في كل مرة تقترب دورة التدقيق السنوية، يُطرح السؤال نفسه في غرف الاجتماعات: هل نحن جاهزون لمتطلبات SAMA CSF؟ والمشكلة أن كثيراً من المؤسسات المالية تكتشف الإجابة الحقيقية متأخرة، بعد أن يرصد المدقق ثغرات كان يمكن معالجتها قبل أشهر.
هذا المقال ليس نظرياً، بل قائمة تشخيصية مباشرة تساعدك على معرفة موقعك الحقيقي من متطلبات الإطار خلال أقل من 30 دقيقة.
ما هو إطار SAMA CSF؟
إطار الأمن السيبراني (Cyber Security Framework) الصادر عن البنك المركزي السعودي (ساما) هو المرجع التنظيمي الإلزامي للأمن السيبراني في المؤسسات المالية الخاضعة لإشرافه. ويتوزع على أربعة مجالات رئيسية:
- قيادة وحوكمة الأمن السيبراني: هيكل الأمن السيبراني، والسياسات، والمسؤوليات.
- إدارة مخاطر الأمن السيبراني والالتزام: تحديد المخاطر وتقييمها ومعالجتها، والالتزام بالمتطلبات التنظيمية.
- عمليات وتقنية الأمن السيبراني: الضوابط التقنية والتشغيلية للحماية، ومراقبة التهديدات والاستجابة للحوادث.
- الأمن السيبراني للأطراف الخارجية: مخاطر الموردين ومقدمي الخدمات، والإسناد الخارجي، والحوسبة السحابية.
علامات تشير إلى أن مؤسستك في خطر
العلامات التالية مرتبة حسب مجالات الإطار، وكل علامة تنطبق على مؤسستك تستحق أن تُعالج قبل أن يصل إليها المدقق.
في مجال القيادة والحوكمة
- لا توجد سياسة أمن سيبراني موثقة ومعتمدة من مجلس الإدارة.
- لا يوجد رئيس لأمن المعلومات (CISO) أو من يعادله بصلاحيات واضحة.
- لا يُرفع إلى الإدارة العليا تقرير دوري عن وضع الأمن السيبراني (انظر دليل بناء تقرير النضج الموجه لمجلس الإدارة).
في مجال إدارة المخاطر والالتزام
- آخر تقييم شامل للمخاطر كان قبل أكثر من 12 شهراً.
- المخاطر المعروفة لم تُعالَج، ولم تُوثَّق خطط معالجتها.
- لا تُجرى مراجعة دورية للتحقق من الالتزام بالمتطلبات التنظيمية.
في مجال العمليات والتقنية: الحماية
- لا توجد قائمة محدّثة بالأصول الحساسة وتصنيفها.
- لا يوجد برنامج منتظم لإدارة الثغرات (Vulnerability Management).
- إدارة الهوية والوصول (IAM) لا تلتزم بمبدأ الصلاحية الأدنى.
- التحقق الثنائي (MFA) غير مفعّل على الأنظمة الحساسة.
في مجال العمليات والتقنية: الكشف والاستجابة
- لا يوجد نظام مراقبة مركزي (SIEM أو ما يعادله).
- لم تُختبر خطة الاستجابة للحوادث خلال العام الماضي.
- لا توجد اتفاقية مستوى خدمة (SLA) واضحة لأوقات الاستجابة للحوادث.
في مجال الأطراف الخارجية
- عقود الموردين ومقدمي الخدمات لا تتضمن متطلبات أمن سيبراني واضحة.
- الإسناد الخارجي أو الانتقال إلى خدمة سحابية لا يسبقه تقييم لمخاطره.
كيف تقيّم مستوى نضجك الآن؟
يقيس إطار SAMA CSF نضج كل ضابط على ستة مستويات، من 0 إلى 5:
| المستوى | التسمية في الإطار | ما يعنيه للضابط |
|---|---|---|
| 0 | غير موجود (Non-existent) | الضابط غير مطبق، وقد لا يكون هناك وعي بالمخاطرة أصلاً |
| 1 | مخصص (Ad-hoc) | تصميم الضابط وتنفيذه يختلفان من إدارة لأخرى، والتنفيذ غير متسق |
| 2 | متكرر لكنه غير رسمي (Repeatable but informal) | الضابط يتكرر، لكن مراجعته واختباره بصورة منظمة محدودان |
| 3 | منظم وذو طابع رسمي (Structured and formalized) | الضابط معرّف ومعتمد ومطبق بطريقة منظمة، ويمكن إثبات تطبيقه |
| 4 | مُدار وقابل للقياس (Managed and measurable) | فعالية الضابط تُقاس وتُقيَّم دورياً بمؤشرات المخاطر وتقارير الاتجاه |
| 5 | متكيّف (Adaptive) | الضابط يخضع لخطة تحسين مستمر، ويُقيَّم أداؤه ببيانات النظراء والقطاع |
ويتوقع البنك المركزي السعودي من المؤسسات المالية العمل عند المستوى 3 على الأقل. ولهذا فالفجوة بين المستوى 2 (ضوابط تتكرر دون إطار رسمي) والمستوى 3 (ضوابط معتمدة ومطبقة يمكن إثباتها) هي تحديداً ما يرصده المدقق: فالممارسة قد تكون موجودة فعلاً، لكنها لا تُحتسب ما لم تكن موثقة ومعتمدة ويمكن إثبات تطبيقها.
الخطوات الثلاث الأولى التي تنصح بها فينترالينك
أولاً: تقييم سريع للفجوات (Gap Assessment)
قبل أي خطوة أخرى، تحتاج إلى صورة واضحة عن وضعك الحالي مقارنة بمتطلبات الإطار. هذا التقييم يستغرق عادةً 2-3 أسابيع، ويعطيك قائمة دقيقة بالثغرات مرتبة حسب الأولوية.
ثانياً: خارطة طريق للمعالجة
ليست كل الثغرات بالخطورة نفسها؛ فبعضها يُغلق خلال أيام بقرار إداري، وبعضها يحتاج مشروعاً تقنياً ممتداً. والأهم هو وجود خطة موثقة تُظهر للمدقق أنك تتحرك في الاتجاه الصحيح.
ثالثاً: توثيق الامتثال بشكل مستمر
المدقق لا يبحث فقط عن الضوابط الموجودة، بل عن الدليل الموثق على تطبيقها. ونظام توثيق منتظم يوفّر عليك ضغطاً هائلاً في موسم التدقيق، وهو ما يفصّله مقال المراقبة المستمرة لضوابط SAMA.
أسئلة شائعة حول الجاهزية لإطار SAMA CSF
ما الفرق بين SAMA CSF وضوابط CSCC؟
إطار الأمن السيبراني (CSF) يصدره البنك المركزي السعودي للمؤسسات المالية الخاضعة لإشرافه. أما ضوابط الأمن السيبراني للأنظمة الحساسة (CSCC) فتصدرها الهيئة الوطنية للأمن السيبراني للجهات التي تشغّل أنظمة حساسة، وهي مبنية على الضوابط الأساسية للأمن السيبراني (ECC). ولكل منهما جهة إصدار ونطاق مختلفان، فالامتثال لأحدهما لا يغني عن التحقق من انطباق الآخر.
ما مستوى النضج المطلوب من البنك المركزي السعودي؟
المستوى 3 على الأقل من ستة مستويات (0 إلى 5)، أي أن تكون الضوابط معرّفة ومعتمدة ومطبقة بطريقة منظمة يمكن إثباتها.
هل يكفي وجود السياسات والضوابط لاجتياز التدقيق؟
لا. المدقق يبحث عن الدليل الموثق على تطبيق الضوابط، لا عن وجودها على الورق فقط، ولهذا لا يبلغ الضابط المستوى 3 ما لم يكن تطبيقه قابلاً للإثبات.
من أين تبدأ المؤسسة إذا اكتشفت فجوات؟
بتقييم للفجوات يعطي قائمة مرتبة حسب الأولوية، ثم خارطة طريق موثقة للمعالجة، ثم نظام يوثّق الامتثال بشكل مستمر حتى لا يُعاد العمل نفسه قبل كل تدقيق.
هل تريد معرفة موقعك بالضبط؟
فينترالينك تقدم تقييم نضج SAMA CSF مجانياً للمؤسسات المالية المؤهلة: جلسة مدتها 45 دقيقة تخرج منها بصورة واضحة عن مستوى نضجك وأولويات المعالجة، دون أي التزام.
إذا كنت رئيساً لأمن المعلومات أو مسؤولاً عن الامتثال في بنك أو شركة تأمين أو مؤسسة مالية سعودية، تواصل معنا وسنحدد موعداً في أقرب وقت. ولنطاق العمل الكامل، راجع خدمة الامتثال لمعايير SAMA CSF.