تنتقل جهات كثيرة في المملكة إلى الحوسبة السحابية، ويزداد اهتمام الجهات التنظيمية بذلك. وضوابط الأمن السيبراني للحوسبة السحابية الصادرة عن الهيئة الوطنية للأمن السيبراني تضع الحد الأدنى من متطلبات الأمن السيبراني للحوسبة السحابية، لمقدمي الخدمات السحابية وللجهات التي تستخدمها. والإصدار الحالي هو CCC-2:2024 الذي حلّ محل CCC-1:2020.

على من تنطبق ضوابط CCC #

تخاطب الضوابط دورين:

  • مقدمو الخدمات السحابية: أي مقدم خدمة يقدّم خدمات الحوسبة السحابية لمستأجرين ضمن نطاق الضوابط.
  • المستأجرون: الجهات الحكومية في المملكة، بما فيها الوزارات والهيئات وشركاتها والجهات التابعة لها، وجهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها، متى استخدمت أي خدمة سحابية أو خططت لاستخدامها.

وتذكر الوثيقة أمثلة لمقدمي خدمات خارج النطاق، كمن يخدم الأفراد وشركات القطاع الخاص من خارج البنى التحتية الحساسة فقط، ولا يخدم أي مستأجر داخل النطاق. ومع ذلك تشجع الهيئة بقوة جميع الجهات الأخرى في المملكة على الاستفادة من الضوابط كأفضل ممارسة.

وباختصار: إن كنت جهة حكومية أو تدير بنية تحتية حساسة وتستخدم السحابة، فالضوابط تنطبق عليك كمستأجر. وإن كنت تبيع خدمات سحابية لهذه الجهات فهي تنطبق عليك كمقدم خدمة.

مبنية على الضوابط الأساسية #

تُبنى ضوابط CCC على الضوابط الأساسية للأمن السيبراني (ECC). وتنص الوثيقة صراحةً على أن ضوابط المستأجر ومقدم الخدمة امتداد ومكمّل لضوابط ECC، فعلى الجهات المشمولة الالتزام بالاثنين بصفة مستمرة، وعلى مقدمي الخدمات ذلك سواء كانوا ضمن نطاق ECC أم لا.

وهذا يسهّل التخطيط: فإن كان لديك برنامج لضوابط ECC، تضيف ضوابط CCC متطلبات خاصة بالسحابة على أساس تعرفه، بدل البدء بإطار جديد.

المجالات الأربعة #

تتبع ضوابط CCC المجالات الرئيسية الأربعة نفسها في ECC:

  • حوكمة الأمن السيبراني: الأدوار والمسؤوليات، وإدارة المخاطر، والالتزام، والأمن السيبراني في الموارد البشرية وفي إدارة التغيير.
  • تعزيز الأمن السيبراني: المجال الأكبر، ويشمل إدارة الأصول، والهويات والصلاحيات، وحماية الأنظمة، وأمن الشبكات، وحماية البيانات، والتشفير، والنسخ الاحتياطي والاستعادة، وإدارة الثغرات، واختبار الاختراق، والسجلات والمراقبة، وإدارة الحوادث، والأمن المادي، وأمن تطبيقات الويب، وإدارة المفاتيح، والتطوير الآمن، ووسائط التخزين.
  • صمود الأمن السيبراني: جوانب الأمن السيبراني في إدارة استمرارية الأعمال.
  • الأمن السيبراني المتعلق بالأطراف الخارجية: أمن سلسلة الإمداد والأطراف الخارجية.

وداخل هذه المجالات ضوابط مستقلة لمقدمي الخدمات وأخرى للمستأجرين، ويتحدد مستوى الالتزام وفق المستويات الواردة في ملحق الوثيقة.

ما الذي تغيّر في CCC-2:2024 #

قائمة التحديثات في الوثيقة قصيرة ومحددة، وأهم تغيير فيها يتعلق بتوطين البيانات:

  • حُذف ضابطان فرعيان لمقدمي الخدمات: أحدهما كان يشترط تقديم الخدمات السحابية من داخل المملكة بما في ذلك أنظمة التخزين والمعالجة ومراكز التعافي من الكوارث، والآخر يشترط ذلك لأنظمة المراقبة والدعم.
  • والمبرر المذكور أن الضوابط المتعلقة بتوطين البيانات نُقلت إلى مكتب إدارة البيانات الوطنية في الهيئة السعودية للبيانات والذكاء الاصطناعي وفق اختصاصه.
  • وعلى الجهات الرجوع إلى مكتب إدارة البيانات الوطنية في شأن توطين البيانات قبل اتخاذ أي إجراء.

كما شمل التحديث مراجعة لترجمة تعريفي البيانات السرية والبيانات الحساسة.

وعمليًا، ما زال موقع البيانات مهمًا، لكنه صار يُحكم عبر إطار إدارة البيانات الوطنية لا عبر ضوابط CCC نفسها. لذا تحتاج القرارات السحابية المتعلقة بالموقع إلى رأي فريقي الأمن السيبراني وحوكمة البيانات معًا.

كيف يُقاس الالتزام #

تقيّم الهيئة الالتزام بعدة وسائل، منها التقييم الذاتي من الجهات، والتقارير الدورية لأداة الالتزام، والزيارات الميدانية. وتنظّم أداة التقييم والالتزام الخاصة بالضوابط عملية التقييم والقياس. فتوقع أن تُطلب منك أدلة إلى جانب السياسات.

كيف تستعد كمستأجر #

  1. احصر بيئتك السحابية. اكتب كل خدمة سحابية تستخدمها، بما فيها البرمجيات كخدمة، مع مالكها والبيانات التي تحتويها.
  2. صنّف البيانات. التزاماتك تعتمد على نوع البيانات، فاربط جردك السحابي بتصنيف بياناتك.
  3. راجع قرارات موقع البيانات وفق متطلبات إدارة البيانات الوطنية الحالية لا وفق الصياغة القديمة للضوابط.
  4. راجع مقدمي الخدمات. تأكد أن كل مقدم خدمة يخدمك يفي بالتزاماته، واكتب توقعات الأمن في العقود.
  5. أجرِ تقييم فجوة وفق ضوابط المستأجر فوق خط أساس ECC لديك.
  6. عالج ووثّق. ابدأ بالهويات والصلاحيات، والسجلات والمراقبة، والنسخ الاحتياطي والاستعادة، والتشفير وإدارة المفاتيح، واحتفظ بأدلة تثبت أن الضوابط تعمل.

كيف تستعد كمقدم خدمة #

يتحمل مقدمو الخدمات العبء الأكبر. ابدأ بتقييم فجوة وفق ضوابط مقدم الخدمة، وأولِ عناية خاصة للهويات والصلاحيات على منظومة التقنية السحابية، والمراقبة، وإدارة الحوادث، وإدارة المفاتيح، واستعد للتقييم من المستأجرين ومن الهيئة.

أين تقع المعايير الدولية #

تتوافق جهات كثيرة أيضًا مع معياري ISO/IEC 27017 وISO/IEC 27018 لأمن السحابة وخصوصيتها، أو مع برنامج CSA STAR. وهذه لا تُغني عن ضوابط CCC للجهات المشمولة، لكن الأدلة المجموعة لأحدها كثيرًا ما تدعم الأخرى.

اطّلع على خدمة تقييم ضوابط CCC وعلى معياري ISO/IEC 27017 و ISO/IEC 27018.

الأسئلة الشائعة #

من الملزم بضوابط CCC؟

مقدمو الخدمات السحابية الذين يخدمون مستأجرين داخل النطاق، والمستأجرون من الجهات الحكومية وجهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها متى استخدمت خدمات سحابية أو خططت لذلك. وتُشجَّع الجهات الأخرى على الاستفادة منها كأفضل ممارسة.

ما الذي تغيّر في CCC-2:2024؟

حُذف ضابطان فرعيان لمقدمي الخدمات كانا يشترطان تقديم الخدمات السحابية من داخل المملكة، لأن الضوابط المتعلقة بتوطين البيانات نُقلت إلى مكتب إدارة البيانات الوطنية في سدايا، وعلى الجهات الرجوع إليه قبل اتخاذ أي إجراء.

هل تحل ضوابط CCC محل ضوابط ECC؟

لا. ضوابط المستأجر ومقدم الخدمة في CCC امتداد ومكمّل لضوابط ECC، فعلى الجهات المشمولة الالتزام بالاثنين.

كيف تقيّم الهيئة الالتزام بضوابط CCC؟

عبر التقييم الذاتي من الجهات، والتقارير الدورية لأداة الالتزام، والزيارات الميدانية.

المصادر الرسمية والمراجع #

الوثائق التي تستند إليها هذه الصفحة، بروابط إلى الجهة المصدرة. وحين تُنشر الأنظمة السعودية باللغتين فالنص العربي هو المعتمد.