إطار الأمن السيبراني لساما — خارطة طريق الامتثال الكاملة للبنوك

نظرة عامة

إطار الأمن السيبراني لساما (CSF v1.0) هو المعيار الإلزامي للبنك المركزي السعودي على كل عضو — البنوك المرخّصة وشركات التمويل والتأمين ومزوّدي خدمات الدفع. يُنفَّذ عبر تقييم ذاتي سنوي وتقييم مستقل كل سنتين. على البنك بلوغ المستوى 3 خلال 18 شهرًا والمستوى 4 خلال 3 سنوات.

على من يطبَّق

• البنوك المحلية وفروع البنوك الأجنبية.
• شركات التمويل والتأمين المرخّصة.
• مزوّدو خدمات الدفع وشركات التقنية المالية.

النطاقات الرئيسية

أربعة نطاقات و11 نطاقًا فرعيًا و118 ضابطًا: القيادة والحوكمة، إدارة المخاطر والامتثال، العمليات والتقنية، الأطراف الثالثة.

خطّة سنوية للتنفيذ

الشهر 1-2: تحليل فجوة + جلسة مجلس الإدارة
الشهر 3-4: مكتبة سياسات + تعيين CISO
الشهر 5-6: IAM + PAM
الشهر 7-8: SOC + SIEM
الشهر 9-10: SDLC آمن
الشهر 11: تدقيق داخلي
الشهر 12: تقييم مستقل وتقديم إلى ساما

الخطوة 1: الحوكمة

• لجنة مخاطر سيبرانية على مستوى المجلس تجتمع ربعيًا.
• CISO يرفع للرئيس التنفيذي وللجنة المخاطر.
• استراتيجية ثلاثية معتمدة بمراجعة سنوية.

الخطوة 2: منهجية المخاطر

موائمة ISO 31000 / 27005؛ سجل مخاطر يُحدَّث ربعيًا؛ مقياس مرتفع/متوسط/منخفض معتمد من المجلس.

الخطوة 3: الخطوط الأساسية التقنية

| النطاق | الحد الأدنى | |---|---| | IAM | SSO + MFA تكيُّفي + PAM | | أمن التطبيقات | SDLC آمن + SAST + DAST + نمذجة تهديد | | البنية | صور ذهبية + SLA ترقيع P1=7d / P2=30d | | التشفير | HSM بمستوى FIPS 140-2 | | المدفوعات | PCI DSS + عزل منطقة الدفع | | الخدمات الإلكترونية | مصادقة قوية للعملاء |

المفتاح: card_issuance_dek
الخوارزمية: AES-256
التخزين: Thales Luna 7 HSM (الرياض + الدمام)
الدوران: سنوي
الحراس: 3 (2 من 3)
التصدير: ممنوع نهائيًا

الخطوة 4: أمن التطبيقات للقنوات الرقمية

نمذجة تهديد STRIDE لكل إصدار، SAST و DAST في CI، اختبار اختراق مستقل سنوي، WAF لكل قناة، إدارة بوتات ضد حشو بيانات الاعتماد.

الخطوة 5: مصادقة العميل

• SCA عبر OTP + إشعار + TOTP.
• توقيع المعاملة لمبالغ كبيرة.
• خطوة إضافية عند جهاز جديد.
• بيانات حيوية سلوكية وتعريف جهاز.

الخطوة 6: الأطراف الثالثة

• تصنيف كل مورد: حساس/مهم/عادي.
• تقييم سنوي على الموقع للحساس.
• خطة خروج لكل تعهيد حساس.

أخطاء شائعة

• "نعهد الأمن لـ MSSP" — المسؤولية تبقى على البنك.
• اعتبار PCI DSS بديلًا — CSF أوسع.
• مفاتيح HSM قابلة للتصدير — ملاحظة حرجة فورًا.

الأدلة الجاهزة

• استراتيجية معتمدة من المجلس.
• سجل مخاطر ربعي.
• لوحة SLA الترقيع.
• اختبار اختراق سنوي.
• جرد PAM بنسبة 100%.

الخلاصة

CSF يحوّل الأمن السيبراني إلى مخاطرة عمل بملكية المجلس؛ CISO هو المسؤول التنفيذي، والمجلس هو المساءَل.

أدلة ذات صلة

• إطار حوكمة تقنية المعلومات لساما
• تقييم نضج الأمن السيبراني لساما
• دليل الحوسبة السحابية من ساما