تكتشف معظم المنشآت الصغيرة والمتوسطة خطة الاستجابة للحوادث أثناء الحادثة نفسها: من يملك كلمة مرور المسؤول؟ بأي مزوّد نتصل؟ هل نطفئ الخادم؟ هل يجب إبلاغ أحد؟ وهذه القرارات الأولى تحت الضغط هي التي تحدد غالبًا حجم البيانات المفقودة، ومدة توقف العمل، وما إذا فاتت التزامات نظامية.

وفيما يلي خطة تستطيع المنشأة الصغيرة أو المتوسطة صيانتها فعلًا، والمتطلبات الوطنية التي يجب أن تغطيها.

ما تطلبه المتطلبات الوطنية #

ضوابط NCNICC #

لجهات القطاع الخاص من غير ذات البنى التحتية الحساسة، تتضمن ضوابط NCNICC إدارة حوادث وتهديدات الأمن السيبراني (الضابط 2-13) للفئتين. وبالنسبة إلى الجهات الصغيرة والمتوسطة (الفئة ب):

  • تحديد متطلبات إدارة الحوادث والتهديدات وتوثيقها واعتمادها إلزامي، وكذلك تطبيقها.
  • تبليغ الهيئة عند حدوث حادثة أمن سيبراني إلزامي.
  • مشاركة معلومات الأمن السيبراني مع الهيئة إلزامية.
  • أما الخطط التفصيلية للاستجابة لحوادث مثل اختراق البيانات وفيروس الفدية، مع آليات التصعيد، والمراجعة الدورية للمتطلبات، فهي موصى بها للفئة (ب) وإلزامية للجهات الكبيرة.

وتلتزم الجهات الحكومية وجهات البنى التحتية الحساسة بالضابط المقابل في الضوابط الأساسية للأمن السيبراني (2-13)، الذي يشمل أيضًا تصنيف الحوادث والتعامل مع المعلومات الاستباقية للتهديدات.

نظام حماية البيانات الشخصية #

إذا شملت الحادثة بيانات شخصية، فهي أيضًا حدث يخص حماية البيانات. وتلزم اللائحة التنفيذية لنظام حماية البيانات الشخصية جهة التحكم بإشعار الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) خلال 72 ساعة من علمها بتسرب بيانات شخصية قد يُلحق ضررًا بأصحابها أو يتعارض مع حقوقهم، وبإشعار أصحاب البيانات دون تأخير غير مبرر متى كان التسرب قد يضرّ بهم. وفي عام 2026 نشرت سدايا تعديلات مقترحة توسّع واجب الإشعار، فتحقّق من النص النافذ عند اعتماد خطتك.

المراجع الدولية #

حلّ إصدار NIST SP 800-61 Rev. 3، المنشور في أبريل 2025، محل إصدار 2012، ووضع الاستجابة للحوادث ضمن إدارة مخاطر الأمن السيبراني الشاملة بالتوافق مع إطار NIST للأمن السيبراني 2.0. ويحدد معيار ISO/IEC 27035-1:2023 مبادئ إدارة الحوادث. وكلاهما مرجع جيد، ولا تحتاج المنشأة الصغيرة إلى نسخ أيٍّ منهما كاملًا.

الخطة في صفحات قليلة #

1. الأدوار بأسماء حقيقية #

  • قائد الحادثة: ينسّق ويحدد الأولويات ويحفظ التسلسل الزمني.
  • القائد التقني: مسؤول تقنية المعلومات لديك أو مزوّد الخدمة المُدارة.
  • صاحب القرار في الإدارة: يعتمد إيقاف الأنظمة والإنفاق والإشعارات الخارجية.
  • الاتصال: العملاء والموظفون، ووسائل الإعلام عند الحاجة.
  • الشؤون القانونية والخصوصية: يقرر الإشعارات النظامية، ومنها إشعار سدايا للبيانات الشخصية.

وفي المنشأة الصغيرة قد يجمع شخص واحد دورين. المهم أن يعرف الجميع من يقرر، وأن يكون لكل دور نائب مسمّى.

2. قائمة اتصال تعمل دون شبكة #

احتفظ بنسخة مطبوعة وغير متصلة تتضمن: أرقام الهواتف الداخلية، وخط الطوارئ لدى مزوّد تقنية المعلومات أو الاستضافة، وقنوات دعم مزوّدي السحابة والبريد، وخط الاحتيال في البنك، واتفاقية الاستجابة للحوادث إن وجدت، وقنوات التبليغ لدى الهيئة وسدايا. ففي هجوم الفدية قد يكون القرص المشترك الذي تحفظ فيه الخطة أول ما تفقده.

3. مستويات الخطورة #

اكتفِ بثلاثة أو أربعة مستويات بمعايير بسيطة، مثل:

  • منخفض: جهاز أو حساب واحد متأثر، دون بيانات حساسة، ودون توقف للعمل.
  • متوسط: عدة أجهزة أو نظام أعمال متأثر، أو اشتباه بالوصول إلى بيانات داخلية.
  • مرتفع: توقف العمليات، أو فيروس فدية، أو سرقة بيانات مؤكدة، أو أي تسرب لبيانات شخصية.

والمستوى هو الذي يحدد من يُستدعى، وما الإشعارات التي يجب النظر فيها.

4. الساعة الأولى #

  1. التأكد والتوثيق: ماذا رُصد، ومن رصده، ومتى. ابدأ تسلسلًا زمنيًا وحافظ عليه.
  2. الاحتواء دون إتلاف الأدلة: افصل الأجهزة المتأثرة عن الشبكة بدل مسحها، واتركها تعمل حيثما أمكن حتى لا تضيع الأدلة المؤقتة.
  3. حماية الحسابات: غيّر كلمات المرور وألغِ الجلسات للحسابات المتأثرة والحسابات ذات الصلاحيات، من جهاز سليم.
  4. حماية النسخ الاحتياطية: تأكد أن النسخ غير المتصلة أو غير القابلة للتعديل سليمة ومعزولة قبل أي استعادة.
  5. التصعيد حسب المستوى: اتصل بمن يحددهم جدول المستويات.
  6. بدء عدّاد الإشعار: سجّل وقت علمك بالحادثة، لأن مهلة نظام حماية البيانات تُحسب من وقت العلم.

5. أدلة مختصرة للحوادث المرجحة #

اكتب صفحة واحدة لكل حادثة تواجهها المنشآت الصغيرة فعلًا:

  • فيروس الفدية: اعزل، واحفظ الأدلة، وتحقق من النسخ الاحتياطية، واستعن بالمختصين قبل الاستعادة، ولا تتخذ أي قرار بالدفع إلا مع الإدارة والاستشارة النظامية وإشراك الجهات المختصة.
  • اختراق البريد الإلكتروني للأعمال: أمّن صندوق البريد، وافحص قواعد إعادة التوجيه، ونبّه الإدارة المالية، واتصل بالبنك فورًا إذا حُوّلت دفعة.
  • فقدان جهاز أو سرقته: اقفله وامسحه عن بُعد، وألغِ الجلسات، وقيّم البيانات التي كان يحملها.
  • اختراق الموقع أو المتجر الإلكتروني: خذ نسخة للحالة، واستعد من مصدر سليم، وغيّر بيانات الدخول ومفاتيح الربط، وراجع التطبيقات المرتبطة.
  • اشتباه بتسرب بيانات شخصية: حدد أي بيانات وأي أشخاص، واحفظ الأدلة، وابدأ تقييم إشعار سدايا فورًا.

6. التعافي والدروس المستفادة #

استعد من نسخ احتياطية سليمة، وراقب عن كثب لاكتشاف أي عودة للإصابة، واعقد مراجعة قصيرة خلال أسبوعين: ماذا حدث، وما الذي نجح، وما الذي يجب تغييره. ثم حدّث الخطة والأدلة وسجل المخاطر.

تدرّب عليها #

الخطة التي لم يُتدرب عليها نادرًا ما تنجح يوم الحاجة. نفّذ تمرينًا مكتبيًا مرتين في السنة على الأقل: ساعة واحدة، وسيناريو واقعي مثل "بريد المحاسب يرسل طلبات دفع"، والأشخاص الحقيقيون حاضرون. وكل تمرين يكشف عادة رقم هاتف ناقصًا، أو قرارًا غير واضح، أو نسخة احتياطية لم تُختبر.

نقطة بداية في أسبوع #

  • اليوم الأول: سمِّ الأدوار ونوابها.
  • اليوم الثاني: جهّز قائمة الاتصال غير المتصلة.
  • اليوم الثالث: اتفق على مستويات الخطورة.
  • اليوم الرابع: اكتب قائمة الساعة الأولى.
  • اليوم الخامس: اكتب دليلي فيروس الفدية واختراق البريد.
  • اليوم السادس: اختبر استعادة نسخة احتياطية.
  • اليوم السابع: نفّذ تمرينًا مكتبيًا لثلاثين دقيقة مع الفريق.

إن كانت لديك حادثة جارية الآن، فيستطيع فريق التحقيق الجنائي الرقمي والاستجابة للحوادث لدينا مساعدتك على احتوائها وحفظ الأدلة. وللالتزامات التي تقوم عليها الخطة، اطّلع على خدمة الجاهزية لضوابط NCNICC وخدمة الامتثال لنظام حماية البيانات الشخصية.

الأسئلة الشائعة #

هل يجب على المنشأة الصغيرة تبليغ الهيئة عن الحوادث السيبرانية؟

للجهات الخاصة المشمولة بضوابط NCNICC، فإن تبليغ الهيئة عند حدوث حادثة أمن سيبراني، ومشاركة معلومات الأمن السيبراني معها، إلزاميان للجهات الكبيرة والصغيرة والمتوسطة على حد سواء.

خلال كم يجب إشعار سدايا بتسرب البيانات الشخصية؟

تلزم اللائحة التنفيذية لنظام حماية البيانات الشخصية بالإشعار خلال 72 ساعة من العلم بتسرب قد يضر بأصحاب البيانات أو يتعارض مع حقوقهم. واقترحت سدايا في 2026 تعديلات أوسع، فتحقق من النص النافذ.

هل نطفئ الجهاز المصاب؟

افصله عن الشبكة لوقف الانتشار، لكن اتركه يعمل حيثما أمكن ولا تمسحه، حفاظًا على الأدلة اللازمة للتحقيق.

كم مرة يجب اختبار الخطة؟

نفّذ تمرينًا مكتبيًا مرتين في السنة على الأقل، واختبر استعادة النسخ الاحتياطية بانتظام. فكل تمرين يكشف عادة ثغرة يمكنك سدّها قبل الحادثة الحقيقية.

المصادر الرسمية والمراجع #

الوثائق التي تستند إليها هذه الصفحة، بروابط إلى الجهة المصدرة. وحين تُنشر الأنظمة السعودية باللغتين فالنص العربي هو المعتمد.