يسمع أصحاب المنشآت الصغيرة والمتوسطة في المملكة اليوم اسمين في الحديث نفسه: ISO 27001، الشهادة الدولية التي يسأل عنها العملاء والشركاء، وNCNICC، ضوابط الهيئة الوطنية للأمن السيبراني لجهات القطاع الخاص من غير ذات البنى التحتية الحساسة. والميزانيات والفرق محدودة، فالسؤال عملي: بأيهما نبدأ، وكيف نتجنب تكرار العمل؟

نوعان مختلفان من المتطلبات #

ضوابط NCNICC التزام وطني. تحدد ضوابط الأمن السيبراني لجهات القطاع الخاص من غير ذات البنى التحتية الحساسة (NCNICC-1:2025) الحد الأدنى من ضوابط الأمن السيبراني لجهات القطاع الخاص التي لا تمتلك بنى تحتية وطنية حساسة ولا تشغّلها ولا تستضيفها. ويجب على الجهات المشمولة الالتزام الدائم والمستمر بها، وتقيّم الهيئة الالتزام وفق الآلية التي تراها مناسبة.

معيار ISO/IEC 27001 اختياري ودولي. يحدد متطلبات نظام إدارة أمن المعلومات: طريقة لإدارة الأمن تقوم على التزام القيادة، وتقييم المخاطر، والضوابط، والتدقيق الداخلي، والتحسين المستمر. وتختاره الجهات غالبًا لأن العملاء أو المنافسات أو الشركاء في الخارج يطلبون شهادة معتمدة.

ما تطلبه NCNICC من المنشأة الصغيرة أو المتوسطة #

تصنف الضوابط الجهات في فئتين، بحسب تعريف الهيئة العامة للمنشآت الصغيرة والمتوسطة (منشآت):

  • الفئة (أ)، الجهات الكبيرة: 3 مكونات أساسية، و22 مكونًا فرعيًا، و65 ضابطًا أساسيًا ملزمًا.
  • الفئة (ب)، الجهات الصغيرة والمتوسطة: مكون أساسي واحد، و13 مكونًا فرعيًا، و26 ضابطًا أساسيًا ملزمًا.

وفي الفئة (ب) تقع جميع الضوابط الملزمة ضمن مكوّن تعزيز الأمن السيبراني. وبعبارة مبسطة، تشمل القائمة الملزمة:

  • إدارة الأصول، وإدارة هويات الدخول والصلاحيات (بما فيها التحقق من الهوية والمراجعة الدورية للصلاحيات).
  • حماية الأنظمة والأجهزة من البرمجيات الضارة، مع الإعدادات الآمنة ومزامنة التوقيت.
  • حماية البريد الإلكتروني، بما في ذلك التصفية، وتوثيق نطاق البريد الإلكتروني للجهة عبر منصة حصين باستخدام SPF وDKIM وDMARC.
  • أمن الشبكات، بما فيها الشبكات اللاسلكية.
  • أمن الأجهزة المحمولة، وحماية البيانات والمعلومات.
  • تشفير البيانات أثناء التخزين والنقل.
  • النسخ الاحتياطي لأنظمة الأعمال الحساسة، مع فحص دوري لفاعلية الاستعادة.
  • إدارة الثغرات والتحديث المنتظم.
  • تفعيل سجلات الأحداث.
  • إدارة الحوادث والتهديدات، بما فيها تبليغ الهيئة عند وقوع حادثة ومشاركة معلومات الأمن السيبراني معها.
  • الأمن المادي.

أما ضوابط الحوكمة، مثل منهجية المخاطر الموثقة والسياسات والمراجعات الدورية، فموصى بها للفئة (ب) وليست ملزمة. وكذلك اختبار الاختراق ليس ضمن القائمة الملزمة للفئة (ب).

ما يطلبه ISO 27001 #

معيار ISO/IEC 27001:2022 ليس قائمة تحقق. فهو يطلب تحديد نطاق نظام إدارة أمن المعلومات، وتقييم المخاطر، واختيار الضوابط لمعالجتها، وتوثيق اختياراتك في بيان قابلية التطبيق مقابل الضوابط المرجعية الثلاثة والتسعين في الملحق (أ)، الموزعة على أربعة محاور: تنظيمية، وبشرية، ومادية، وتقنية. ثم تجري التدقيق الداخلي ومراجعة الإدارة وتحسّن باستمرار.

وتصدر الشهادة عن جهة مانحة معتمدة، عادة لدورة مدتها ثلاث سنوات تتخللها عمليات تدقيق رقابية. وقد انتهت فترة الانتقال من إصدار 2013 في أكتوبر 2025، فأي شهادة اليوم يجب أن تكون وفق إصدار 2022.

أين يتداخلان #

معظم ضوابط الفئة (ب) في NCNICC لها موضع طبيعي في الملحق (أ) من ISO 27001. وهذه خريطة أولية تحتاج إلى مواءمتها مع بيئتك:

  • إدارة الأصول (NCNICC 2-1) مع الضابط 5.9، جرد المعلومات والأصول المرتبطة بها.
  • الهويات والصلاحيات (2-2) مع الضوابط من 5.15 إلى 5.18 و8.5، التحكم في الوصول والهوية والمصادقة وحقوق الوصول.
  • البرمجيات الضارة والإعدادات الآمنة (2-3) مع الضابطين 8.7 و8.9.
  • أمن الشبكات (2-5) مع الضوابط من 8.20 إلى 8.22.
  • الأجهزة المحمولة (2-6) مع الضابط 8.1، أجهزة المستخدمين الطرفية.
  • التشفير (2-8) مع الضابط 8.24.
  • النسخ الاحتياطي (2-9) مع الضابط 8.13.
  • إدارة الثغرات (2-10) مع الضابط 8.8.
  • سجلات الأحداث (2-12) مع الضابطين 8.15 و8.16.
  • إدارة الحوادث (2-13) مع الضوابط من 5.24 إلى 5.28.
  • الأمن المادي (2-14) مع المحور 7 كاملًا.

وبعض متطلبات NCNICC خاصة بالمملكة وليس لها مقابل مباشر في الملحق (أ)، مثل توثيق نطاق البريد الإلكتروني عبر حصين، وتبليغ الهيئة ومشاركة المعلومات معها. ولا تثبت شهادة ISO وحدها أنك تلبيها.

بأيهما تبدأ #

للمنشأة المشمولة بـ NCNICC، فإن التسلسل الأقل هدرًا للجهد عادة هو:

  1. حقق الحد الأدنى في NCNICC. فهو الالتزام، وضوابط الفئة (ب) هي الحمايات العملية التي توقف أكثر الهجمات شيوعًا على الشركات الصغيرة.
  2. طبّقه بأسلوب ISO. وثّق كل ضابط في سياسة وإجراء مختصرين، وحدد المالكين، واحتفظ بالأدلة، وسجّل قائمة الأصول والمخاطر. وهذا ما يحوّل مجموعة الضوابط إلى نواة نظام إدارة.
  3. أضف نظام الإدارة إذا طلبه السوق. حين يطلب العملاء أو المنافسات شهادة، أضف عناصر ISO التي لا تطلبها منك NCNICC: التقييم الرسمي للمخاطر ومعالجتها، وبيان قابلية التطبيق، والتدقيق الداخلي، ومراجعة الإدارة. ثم ادعُ جهة مانحة للشهادة.

ولهذا التسلسل استثناءات. فإن كان عقد قائم يشترط شهادة ISO بحلول موعد محدد، فابدأ نظام الإدارة الآن وأدمج فيه ضوابط NCNICC من اليوم الأول. وإن نمت منشأتك إلى الفئة (أ)، فستصبح ضوابط الحوكمة ملزمة، وISO 27001 يهيئك لها جيدًا.

كلمة عن الأدلة #

يتعثر المساران للسبب نفسه: ضوابط موجودة على الورق وغائبة في الممارسة. احتفظ أولًا بأول بأدلة بسيطة ومؤرخة، مثل سجلات مراجعة الصلاحيات، ونتائج اختبار استعادة النسخ الاحتياطية، وتقارير التحديثات، وملاحظات تمارين الحوادث. فهي تخدم تقييم الهيئة وتدقيق ISO بالقدر نفسه.

صُممت خدمة الجاهزية لضوابط NCNICC وخدمة ISO/IEC 27001 لدينا لتُنفَّذا بهذا الترتيب، فيُعاد استخدام عمل الأولى في الثانية. وللصورة الكاملة عن الضوابط، اطّلع على دليل NCNICC للقطاع الخاص.

الأسئلة الشائعة #

هل شهادة ISO 27001 إلزامية في المملكة؟

لا. معيار ISO/IEC 27001 معيار دولي اختياري، أما NCNICC فهي ضوابط وطنية يجب على جهات القطاع الخاص المشمولة الالتزام بها.

كم عدد ضوابط NCNICC التي تنطبق على المنشأة الصغيرة أو المتوسطة؟

للفئة (ب)، أي الجهات الصغيرة والمتوسطة وفق تعريف منشآت، 26 ضابطًا أساسيًا ملزمًا ضمن 13 مكونًا فرعيًا، جميعها في مكوّن تعزيز الأمن السيبراني. أما الجهات الكبيرة في الفئة (أ) فعليها 65 ضابطًا ضمن 3 مكونات.

هل تثبت شهادة ISO 27001 الالتزام بـ NCNICC؟

لا. يتداخلان كثيرًا، لكن NCNICC تتضمن متطلبات خاصة بالمملكة، مثل توثيق نطاق البريد الإلكتروني عبر حصين وتبليغ الهيئة عن الحوادث، لا تثبتها الشهادة.

هل يمكن العمل على الاثنين معًا؟

نعم. ابنِ ضوابط NCNICC بتوثيق وملكية وأدلة على طريقة ISO، ثم أضف عناصر نظام الإدارة حين تحتاج إلى الشهادة، دون إعادة أي عمل.

المصادر الرسمية والمراجع #

الوثائق التي تستند إليها هذه الصفحة، بروابط إلى الجهة المصدرة. وحين تُنشر الأنظمة السعودية باللغتين فالنص العربي هو المعتمد.