الضوابط الأساسية للأمن السيبراني: دليل عملي للمقاولين
ما الضوابط الأساسية للأمن السيبراني ECC-2:2024 ومن يلتزم بها، وكيف تصل متطلباتها للمقاولين عبر عقود الأطراف الخارجية، مع أسئلة عملية تطرحها على مزود النظام.
الإجابة المختصرة
الضوابط الأساسية للأمن السيبراني (ECC-2:2024) إطار أصدرته الهيئة الوطنية للأمن السيبراني، يتألف من 4 مكونات رئيسية و108 ضوابط أساسية. وهي إلزامية على الجهات الحكومية والشركات التابعة لها وجهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها. وقد تصل متطلباتها إلى المقاول عبر عقود عملائه المشمولين، وأهم ما يعنيه منها: التحقق متعدد العوامل، والحد الأدنى من الصلاحيات، والاحتفاظ بسجلات الأحداث 12 شهراً على الأقل، وبنود الأطراف الخارجية.
أهم النقاط
- تتكون ECC-2:2024 من 4 مكونات رئيسية و28 مكوناً فرعياً و108 ضوابط أساسية و92 ضابطاً فرعياً.
- تُلزم الضوابط الجهات الحكومية والشركات التابعة لها وجهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها، وتشجع الهيئة بقية الجهات بقوة على تطبيقها.
- قد تصل المتطلبات إلى المقاول عبر بنود الأطراف الخارجية في عقود عملائه، وهي البنود التي يحدد المكوّن الفرعي 4-1 حدها الأدنى.
- تشترط الضوابط التحقق متعدد العوامل للدخول عن بُعد وللحسابات ذات الصلاحيات الهامة، ومنح الصلاحيات وفق مبدأي الحد الأدنى من الصلاحيات وفصل المهام.
- تُحفظ سجلات الأحداث السيبرانية 12 شهراً على الأقل، ولا يغني عنها وحده سجل العمليات في نظام إدارة أوامر العمل.
- ميزات النظام التقني تدعم الحوكمة، لكن الامتثال يبقى مسؤولية الجهة المشمولة نفسها.
محتويات المقال
الضوابط الأساسية للأمن السيبراني (ECC-2:2024) إطار أصدرته الهيئة الوطنية للأمن السيبراني، ويضم 4 مكونات رئيسية و28 مكوناً فرعياً و108 ضوابط أساسية و92 ضابطاً فرعياً. وتُطبَّق إلزامياً على الجهات الحكومية والشركات التابعة لها، وعلى جهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها.
وقد لا يكون مقاول الكهرباء من هذه الجهات، لكن متطلباتها قد تصله عبر عقود عملائه المشمولين بها، لأن الضوابط تشترط حداً أدنى من البنود في عقود الأطراف الخارجية. يشرح هذا الدليل بنية الضوابط، ومن تُلزمه، وكيف تصل إلى المقاول، وأهم ما تطلبه في الهويات والصلاحيات وسجلات الأحداث، ثم يقدّم قائمة أسئلة لمزود النظام، ويبيّن أين تساعد أدوات ELX في الحوكمة، دون أن ندّعي له امتثالاً.
ما هي الضوابط الأساسية للأمن السيبراني ECC-2:2024؟
تنتظم الضوابط في أربعة مكونات رئيسية، يتفرع كل منها إلى مكونات فرعية، وتندرج تحت كل مكوّن فرعي ضوابط أساسية قد تتفرع منها ضوابط فرعية. والمكونات الأربعة هي:
- حوكمة الأمن السيبراني.
- تعزيز الأمن السيبراني.
- صمود الأمن السيبراني.
- الأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية.
| العنصر | العدد |
|---|---|
| المكونات الرئيسية | 4 |
| المكونات الفرعية | 28 |
| الضوابط الأساسية | 108 |
| الضوابط الفرعية | 92 |
ولا يستعرض هذا الدليل الضوابط كلها، بل يركّز على ثلاثة محاور هي الأقرب إلى عمل المقاول اليومي: الهويات والصلاحيات، وسجلات الأحداث، وبنود الأطراف الخارجية في العقود. أما الجهة المشمولة فعليها الالتزام بكل الضوابط المنطبقة عليها.
ويجمع المكوّن الرابع بين الأمن السيبراني المتعلق بالأطراف الخارجية والأمن السيبراني للحوسبة السحابية، وهو أقرب المكونات إلى علاقة المقاول بعملائه ومزوديه. فإن كانت أنظمتك أو أنظمة مزوديك تُقدَّم خدماتٍ سحابية، فهذا المكوّن يعنيك من الجهتين.
من الجهات الملزمة بتطبيق الضوابط؟
تحدد الضوابط نطاق الإلزام بثلاث فئات:
- الجهات الحكومية في المملكة.
- الشركات التابعة للجهات الحكومية.
- جهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة، أو تشغّلها، أو تستضيفها.
وتشجع الهيئة بقوة بقية الجهات على تطبيق الضوابط ولو لم تكن ملزمة بها. وعلى الجهات المشمولة التزام مستمر لا ينتهي بتقرير واحد، وتقيس الهيئة هذا الالتزام بوسائل منها التقييم الذاتي، وتقارير أداة الالتزام، والزيارات الميدانية.
ولتعرف موقع منشأتك، أجب عن سؤالين: هل منشأتك نفسها من الفئات الثلاث؟ وهل عملاؤك الذين تنفّذ لهم أوامر العمل منها؟ إن كانت الإجابة الأولى «نعم» فالالتزام يقع عليك مباشرة. وإن كانت الثانية «نعم» فقد تصلك المتطلبات عبر العقد، بالقدر الذي يحدده العميل.
دليل تثقيفي لا استشارة نظامية
يلخّص هذا الدليل ما تنص عليه الضوابط في محاور مختارة، ولا يغني عن قراءة وثيقة الضوابط نفسها أو استشارة مختص. والجهة المشمولة هي التي تحدد في عقدها ما تطلبه من أطرافها الخارجية.
كيف تصل متطلبات الضوابط إلى المقاولين؟
تخصص الضوابط المكوّن الفرعي 4-1 للأمن السيبراني المتعلق بالأطراف الخارجية، وتنطبق بنوده الدنيا على العقود مع كل طرف خارجي قد يؤثر إخفاقه في بيانات الجهة أو خدماتها. والمقاول الذي ينفّذ أوامر العمل لعميله ويتداول بياناته قد يكون أحد هذه الأطراف.
وتشترط الضوابط أن تتضمن عقود هذه الأطراف ثلاثة بنود على الأقل:
- عدم الإفصاح والحذف الآمن
- يلتزم الطرف الخارجي بعدم الإفصاح عن بيانات الجهة، وبحذفها حذفاً آمناً عند انتهاء الخدمة.
- إجراءات التواصل عند الحادث
- آلية متفق عليها للتواصل بين الطرفين عند وقوع حادث سيبراني.
- تطبيق متطلبات الجهة
- يلتزم الطرف الخارجي بتطبيق متطلبات الأمن السيبراني الخاصة بالجهة.
وعملياً يتداول مقاول الكهرباء بيانات كثيرة تخص عميله: أوامر العمل، وأسماء المشتركين وأرقام جوالاتهم وعناوينهم، وإحداثيات المواقع، وملفات الرسم، وشهادات الإنجاز والمستخلصات. لذلك ينبغي أن يشمل التزامك بتلك البنود كل موضع تُحفظ فيه هذه البيانات.
فإذا وصلك عقد فيه بند للأمن السيبراني، فهذه خطوات عملية للاستعداد:
حدّد نطاق البند
اقرأ البند مع المختصين لديك، وحدّد البيانات والخدمات التي يشملها، ومتطلبات الجهة التي يحيل إليها.
اجرد مواضع البيانات
احصر أين تُحفظ بيانات العميل فعلاً: نظام إدارة أوامر العمل، والبريد الإلكتروني، والمجلدات المشتركة، وجداول Excel، ومجموعات المراسلة.
عيّن مسؤولاً وقناة للحوادث
حدّد من يتواصل مع العميل عند وقوع حادث، وبأي وسيلة، وخلال المدة التي يحددها العقد.
جهّز خطة إنهاء الخدمة
اتفق مسبقاً على طريقة إعادة البيانات أو حذفها حذفاً آمناً عند انتهاء العقد، ومن يوثّق ذلك.
انقل المتطلبات إلى من تعتمد عليهم
إذا عالج بيانات العميل مزود نظام أو مقاول من الباطن، فتأكد أن التزاماته تغطي ما التزمت به أنت.
ما أهم ضوابط الهويات والصلاحيات؟
تشترط ضوابط إدارة الهويات والصلاحيات في ECC-2:2024 التحقق متعدد العوامل للدخول عن بُعد وللحسابات ذات الصلاحيات الهامة. وتشترط منح الصلاحيات وفق مبادئ الحاجة إلى المعرفة والاستخدام، والحد الأدنى من الصلاحيات، وفصل المهام، مع إدارة الصلاحيات الهامة ومراجعة الهويات والصلاحيات دورياً.
ويترجم الجدول التالي هذه المبادئ إلى أمثلة من بيئة مقاول الكهرباء. والعمود الأوسط شرح مبسّط للمبدأ، والأخير مثال تطبيقي من إعدادنا، لا نص من الضوابط.
| المبدأ | معناه باختصار | مثال تطبيقي لدى المقاول |
|---|---|---|
| التحقق متعدد العوامل | مطلوب للدخول عن بُعد وللحسابات ذات الصلاحيات الهامة | حسابات مديري الأنظمة، ومن يدخل إلى الأنظمة من خارج شبكة المكتب |
| الحاجة إلى المعرفة والاستخدام | الوصول بقدر ما يتطلبه العمل | مراقب الجودة يطّلع على بنود التنفيذ دون أن يعدّلها |
| الحد الأدنى من الصلاحيات | أقل صلاحية تكفي لأداء الدور | لا يُمنح الموظف الجديد «كل الشاشات» لتسريع مباشرته العمل |
| فصل المهام | ألا يجمع شخص واحد مهاماً متعارضة | من يُعدّ المستخلص لا يملك صلاحية تعديل كميات شهادة الإنجاز |
| إدارة الصلاحيات الهامة | ضبط الحسابات ذات الصلاحيات الواسعة | حساب مدير النظام شخصي باسم صاحبه، لا حساب مشترك |
| المراجعة الدورية | مراجعة الهويات والصلاحيات بصفة دورية | مراجعة مجدولة للصلاحيات، وإغلاق حسابات المغادرين فوراً |
والتحقق متعدد العوامل يخص طريقة الدخول نفسها، أما بقية المبادئ فتحدد ما يُسمح للمستخدم به بعد دخوله. لذلك اسأل عن الأمرين منفصلين عند تقييم أي نظام. ولبناء مصفوفة صلاحيات حسب الدور خطوة بخطوة، راجع دليلنا عن صلاحيات المستخدمين في نظام المقاولات وسجل التعديلات.
ماذا تشترط الضوابط في سجلات الأحداث السيبرانية؟
سجلات الأحداث السيبرانية هي الأثر التقني الذي يُرجَع إليه لرصد الهجمات والتحقق من أي حادث أو نشاط مريب. ومن أبرز ما تشترطه الضوابط الأساسية فيها:
- التفعيل: للأصول المعلوماتية الحساسة، وللحسابات ذات الصلاحيات الهامة، ولأحداث الدخول عن بُعد.
- المراقبة: متابعة هذه السجلات باستمرار، لا الرجوع إليها بعد وقوع المشكلة فقط.
- الاحتفاظ: حفظ السجلات 12 شهراً على الأقل.
وهنا يقع خلط شائع. فسجل العمليات في نظام إدارة أوامر العمل يجيب عن سؤال إداري: من أضاف أمر العمل أو عدّله أو حذفه، ومتى. أما سجلات الأحداث السيبرانية فتغطي البنية التقنية نفسها، ومنها نشاط الحسابات ذات الصلاحيات الهامة وأحداث الدخول عن بُعد.
سجل العمليات لا يغني عن سجلات الأحداث
وجود سجل عمليات في نظام إدارة أوامر العمل ممارسة جيدة للحوكمة، لكنه لا يحقق وحده متطلب سجلات الأحداث السيبرانية. اتفق مع فريق تقنية المعلومات أو مزود النظام على من يفعّل هذه السجلات ويراقبها ويحتفظ بها المدة المطلوبة.
اطّلع على ضوابط الوصول وفصل البيانات في ELX
نعرض لك حصر البيانات بالفروع والأحياء، والنسخة وقاعدة البيانات المستقلة لكل شركة، لتقارنها بمتطلبات منشأتك.
ما الأخطاء الشائعة في التعامل مع الضوابط؟
- اعتبار العبارة التسويقية دليلاً: وصف المزود نظامه بأنه «آمن» أو «متوافق» لا يغني عن إجابات مكتوبة ومحددة.
- الحسابات المشتركة: حساب واحد لفريق كامل يُفقد السجلات قيمتها لأنها لا تبيّن من نفّذ العملية، ويُضعف إدارة الصلاحيات الهامة.
- نسيان مواضع البيانات الجانبية: جداول Excel ومجموعات المراسلة تحمل بيانات العميل أيضاً، ويشملها التزامك بعدم الإفصاح.
- غياب قناة للحوادث: إذا وقع حادث ولم يُعرف من يبلّغ العميل وكيف، ضاع وقت يصعب تعويضه.
- إبقاء البيانات بعد انتهاء العقد: الحذف الآمن عند انتهاء الخدمة بند صريح ضمن الحد الأدنى لعقود الأطراف الخارجية، فخطّط له من أول يوم.
- إغفال مقاولي الباطن: إذا وصلت بيانات العميل إلى مقاول من الباطن، فالأسلم أن تشمله الالتزامات نفسها.
ما الأسئلة التي تطرحها على مزود النظام؟
سواء كانت منشأتك مشمولة بالضوابط أو طلبها منك عميلك، اطرح الأسئلة التالية على مزود أي نظام لإدارة العمليات أو برنامج مقاولات تعتمد عليه، واطلب الإجابات مكتوبة:
- هل تُمنح الصلاحيات لكل إجراء داخل الشاشة، لا لفتح الشاشة فقط؟
- هل يمكن حصر بيانات كل مستخدم بفروعه ومناطق عمله؟
- هل يدعم النظام التحقق متعدد العوامل للحسابات ذات الصلاحيات الهامة وللدخول عن بُعد؟ وإن لم يدعمه، فما البديل المقترح؟
- ماذا يسجّل سجل العمليات: المستخدم ونوع العملية والتاريخ وقيم السجل؟ وهل يُستعرض تاريخ كل سجل؟
- ما سجلات الأحداث التقنية المتاحة، ومن يراقبها، وكم مدة الاحتفاظ بها؟ وهل تبلغ 12 شهراً على الأقل؟
- هل الحذف منطقي يبقى أثره، أم نهائي؟
- هل بيانات منشأتك منفصلة عن بيانات العملاء الآخرين، وكيف؟
- أين تُستضاف البيانات؟ وإن كانت الخدمة سحابية، فما موقفها من متطلبات الحوسبة السحابية في المكوّن الرابع من الضوابط؟
- كيف تُعاد البيانات أو تُحذف حذفاً آمناً عند انتهاء العقد؟
- ما إجراءات إبلاغك عند وقوع حادث سيبراني، ومن جهة الاتصال لدى المزود؟
- هل يلتزم المزود كتابياً بتطبيق متطلبات الأمن السيبراني التي تنقلها إليه من عقد عميلك؟
- هل يقدّم المزود دليلاً مكتوباً على أي شهادة أو امتثال يذكره؟
والإجابة الصريحة بأن ميزة ما غير متوفرة أنفع لك من وعد عام، لأنها تتيح لك التخطيط لإجراء بديل قبل أن يسألك العميل.
أين تساعد أدوات ELX في الحوكمة؟
ELX نظام سحابي ثنائي اللغة (عربي وإنجليزي) تستضيفه ماتركس وتشغّله، يعمل من المتصفح دون خوادم لدى المقاول، وصُمّم لمقاولي شبكات الكهرباء في المملكة لإدارة أمر العمل من تسجيله حتى أرشفته. ولا يدّعي ELX أي شهادة أو امتثال لضوابط الهيئة الوطنية للأمن السيبراني، لكن فيه أدوات حوكمة تجيب عن جزء من أسئلة القائمة السابقة:
| حاجة الحوكمة | ما يوفره ELX |
|---|---|
| الحد الأدنى من الصلاحيات وفصل المهام | صلاحيات لكل مستخدم على مستوى الشاشة والإجراء: العرض والإضافة والتعديل والحذف وتغيير الحالة وعرض بيانات الآخرين والتحويل والاستيراد |
| الحاجة إلى المعرفة | حصر بيانات المستخدم بفروعه وأحيائه، ولا يفتح أمر العمل إلا المستخدم المسند إليه أو صاحب صلاحية «عرض بيانات الآخرين» |
| تتبّع التغييرات | سجل عمليات يحفظ من غيّر ماذا ومتى على الأدلة والسجلات التشغيلية الرئيسية، مع تاريخ كامل لكل سجل |
| توثيق الاستثناءات | تغيير مرحلة أمر العمل يدوياً يتطلب ملاحظة، ويُحفظ في سجل مستقل |
| أثر الحذف | حذف أوامر العمل والسندات المخزنية والمقايسات حذف منطقي يمكن تتبعه |
| فصل بيانات المنشأة | نسخة ويب وقاعدة بيانات مستقلة لكل شركة |
وفي وحدة الصلاحيات والإعدادات يمنح المدير الصلاحيات من مصفوفة واحدة، ويربط كل مستخدم بفروعه وأحيائه، ويتصفح سجل العمليات ويفتح التاريخ الكامل لأي سجل. وهذه أدوات تساعدك على تطبيق الحد الأدنى من الصلاحيات وفصل المهام على أدوار فريقك الفعلية.
أما فصل البيانات فتشرحه صفحة المنصة متعددة الشركات: تعمل كل شركة في ELX بنسخة ويب وقاعدة بيانات خاصة بها، فتبقى بيانات منشأتك في قاعدة بيانات مستقلة عن بيانات الشركات الأخرى. وتلخّص صفحة الأمان وحوكمة البيانات ضوابط الوصول في ELX كلها.
ولأن ماتركس تستضيف ELX وتشغّله خدمةً سحابية، فالبنية التقنية التي يعمل عليها لديها لا لديك، ويعنيك عند تقييمه جانب الحوسبة السحابية في المكوّن الرابع من الضوابط. لذلك اطرح على ماتركس مباشرة ما لا يغطيه هذا القسم من أسئلة القائمة: التحقق متعدد العوامل، وسجلات الأحداث على مستوى البنية التقنية ومدد الاحتفاظ بها، ومكان استضافة البيانات، وإجراءات الإبلاغ عند وقوع حادث، وطريقة إعادة البيانات أو حذفها حذفاً آمناً عند انتهاء العقد. واطلب الإجابات مكتوبة كما تطلبها من أي مزود.
ولأن أوامر العمل تحمل بيانات شخصية للمشتركين، يلتقي الأمن السيبراني هنا بحماية البيانات؛ فراجع دليلنا عن نظام حماية البيانات الشخصية للمقاولين. وللصورة الأشمل عند اختيار نظام، راجع دليل اختيار برنامج مقاولات الكهرباء في المملكة.
وإن أردت أن ترى مصفوفة الصلاحيات وسجل العمليات على ELX، وتطرح أسئلة القائمة على فريق ماتركس مباشرة، اطلب عرضاً توضيحياً.
هل تريد رؤية ELX على بيانات مشاريعك؟
اطلب عرضاً تجريبياً مع فريقنا عبر واتساب، وسنريك كيف تُدار أوامر العمل والمستخلصات والمستودعات في نظام واحد.
أسئلة شائعة
ما عدد مكونات وضوابط ECC-2:2024؟
تتكون الضوابط الأساسية للأمن السيبراني ECC-2:2024 من 4 مكونات رئيسية: حوكمة الأمن السيبراني، وتعزيز الأمن السيبراني، وصمود الأمن السيبراني، والأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية. وتضم هذه المكونات 28 مكوناً فرعياً و108 ضوابط أساسية و92 ضابطاً فرعياً. ويقع في المكوّن الرابع المكوّن الفرعي 4-1 الذي يحدد البنود الدنيا لعقود الأطراف الخارجية.
هل تنطبق الضوابط الأساسية على مقاولي الكهرباء؟
يعتمد ذلك على المقاول وعملائه. فالضوابط إلزامية على الجهات الحكومية والشركات التابعة لها، وعلى جهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها، وتشجع الهيئة بقية الجهات بقوة على تطبيقها. وقد تصل المتطلبات إلى مقاول غير مشمول بها عبر بنود الأطراف الخارجية في عقود عملائه المشمولين.
ما المدة الدنيا للاحتفاظ بسجلات الأحداث السيبرانية؟
اثنا عشر شهراً على الأقل. وتشترط الضوابط الأساسية تفعيل سجلات الأحداث السيبرانية للأصول المعلوماتية الحساسة وللحسابات ذات الصلاحيات الهامة ولأحداث الدخول عن بُعد، ومراقبتها باستمرار. أما سجل العمليات في نظام إدارة أوامر العمل، الذي يبيّن من عدّل أمر العمل ومتى، فأداة حوكمة مفيدة، لكنه لا يغني وحده عن هذه السجلات التقنية.
ما البنود التي يجب أن تتضمنها عقود الأطراف الخارجية؟
بموجب المكوّن الفرعي 4-1، يجب أن تتضمن عقود الأطراف الخارجية التي قد يؤثر إخفاقها في بيانات الجهة أو خدماتها ثلاثة بنود على الأقل: عدم الإفصاح عن بيانات الجهة وحذفها حذفاً آمناً عند انتهاء الخدمة، وإجراءات التواصل عند وقوع حادث سيبراني، وإلزام الطرف الخارجي بتطبيق متطلبات الأمن السيبراني الخاصة بالجهة.
هل يحمل ELX شهادة امتثال لضوابط الهيئة الوطنية للأمن السيبراني؟
لا. لا يدّعي ELX أي شهادة أو امتثال لضوابط الهيئة، فالامتثال التزام يقع على الجهة المشمولة نفسها وتقيسه الهيئة. ما يقدمه ELX أدوات حوكمة تشغيلية: صلاحيات لكل مستخدم على مستوى الشاشة والإجراء، وحصر البيانات بالفروع والأحياء، وسجل عمليات يحفظ من غيّر ماذا ومتى على الأدلة والسجلات التشغيلية الرئيسية، وقاعدة بيانات مستقلة لكل شركة. ولأن ELX خدمة سحابية تستضيفها ماتركس وتشغّلها، فاسألها مباشرة عن التحقق متعدد العوامل ومكان استضافة البيانات.