الضوابط الأساسية للأمن السيبراني (ECC) الصادرة عن الهيئة الوطنية للأمن السيبراني هي خط الأساس للجهات الحكومية وللجهات التي تمتلك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها. أما الشركات الخاصة خارج هذه الدائرة فلها الآن خط أساس خاص بها هو ضوابط NCNICC المعتمدة في ديسمبر 2025، لكن كثيرًا منها ما زال يستعد مقابل ضوابط ECC لأن عميلًا أو جهة تنظيمية تطلب ذلك.

وفي الحالتين، قد يبدو أول تقييم فجوة أكبر مما هو عليه. فمعظم الجهد يذهب إلى تنظيم ما لديك، لا إلى شراء شيء جديد. والخطوات العشر أدناه تتبع الترتيب الذي يسير به التقييم المنضبط عادة، وكل خطوة تنتج ما تحتاجه الخطوة التالية، فلا تقفز إلى المعالجة قبل أن تعرف نطاقك وفجواتك.

الخطوات العشر #

الخطوة 1: تأكيد الانطباق وتحديد النطاق #

ابدأ بمصدر التزامك: هل أنت جهة وطنية، أم مزوّد خدمة، أم مورّد ضمن سلسلة خاضعة للتنظيم؟ ثم دوّن الأنظمة والمواقع ووحدات العمل والبيانات الداخلة في النطاق. النطاق المكتوب يمنعك من المبالغة في جوانب وإغفال جوانب أخرى تمامًا.

الخطوة 2: الحصول على راعٍ من الإدارة العليا #

الامتثال الذي يبقى عند فريق تقنية المعلومات وحده نادرًا ما يستمر. تحتاج إلى مالك رفيع المستوى، عادة من مجلس الإدارة أو الإدارة التنفيذية، يعتمد استراتيجية الأمن السيبراني ويقرّ الميزانية ويتابع البرنامج. والضوابط تتوقع أن يكون هذا الالتزام موثقًا، فاحصل عليه كتابة.

الخطوة 3: بناء سجل الأصول #

اجمع أصول المعلومات والتقنية في قائمة واحدة: الخوادم، والأجهزة الطرفية، والتطبيقات، وأجهزة الشبكة، والخدمات السحابية، والبيانات التي تحفظها. وسجّل لكل أصل مالكه وتصنيفه ومدى أهميته للعمل. تكاد كل الضوابط الأخرى تعود إلى هذه القائمة، فالأفضل إتقانها مبكرًا.

الخطوة 4: إسناد أدوار الحوكمة #

حدّد المسؤول عن حوكمة الأمن السيبراني، ومن يتخذ قرارات المخاطر، ومن يدير العمليات اليومية، وأسند هذه الأدوار رسميًا. قد تكفي المنشأة الصغيرة مسؤولًا واحدًا مسمّى بدل إدارة كاملة. المهم أن يكون الفصل واضحًا بين من يشغّل الضوابط ومن يراجعها.

الخطوة 5: مراجعة الوثائق #

اجمع السياسات والمعايير والإجراءات وقارنها بمجالات الضوابط. معظم المنشآت الصغيرة والمتوسطة تجد أجزاء متفرقة: تعليمات للاستخدام المقبول في مكان، ونسخًا احتياطيًا غير موثق في مكان آخر. حدّد الموجود والمفقود، والمواضع التي لم تعد فيها السياسة المكتوبة تطابق الممارسة الفعلية.

الخطوة 6: الفحص الذاتي ضابطًا بضابط #

مرّ على المجالات بالترتيب، من الحوكمة وإدارة المخاطر إلى إدارة الأصول والهويات والصلاحيات، وحماية البيانات، والصمود. وأعطِ كل ضابط حالة صادقة: مطبّق، أو مطبّق جزئيًا، أو غير مطبّق. ودوّن كيف وصلت إلى كل حكم، فالمقيّم سيسأل عنه.

الخطوة 7: ترتيب الأولويات حسب المخاطر #

بعض الفجوات أهم من غيرها بكثير. رتّبها حسب احتمالية الخطر وأثره على العمل، وابدأ بنقاط الضعف التي تكشف الأنظمة الحساسة أو البيانات المهمة. هذا الترتيب يُظهر تقدمًا حقيقيًا بسرعة، ويضع الجهد حيث يحمي أكثر.

الخطوة 8: بناء خارطة طريق المعالجة #

حوّل الفجوات المرتبة إلى خطة لها مالكون ومواعيد مستهدفة ومراحل واقعية. وافصل المكاسب السريعة، التي يكفيها غالبًا إجراء موثق، عن الأعمال الأطول التي تحتاج إلى أدوات أو تغيير في العمليات. فخارطة الطريق المؤرخة والواقعية من المخرجات التي يتوقع المقيّم رؤيتها.

الخطوة 9: جمع الأدلة #

لكل ضابط تقول إنك تطبقه، اجمع ما يثبته: السياسات المعتمدة، وسجلات الإعدادات، ومراجعات الصلاحيات، وعينات السجلات، وسجلات التدريب، ومحاضر الاجتماعات. ونظّمها بحيث ينتقل المقيّم من الضابط إلى دليله دون بحث. وإذا لم تستطع إبراز الدليل، فسيُعامل الضابط في التقييم على أنه فجوة.

الخطوة 10: تقييم مستقل قبل المراجعة الرسمية #

قبل المراجعة الرسمية، اطلب من طرف مستقل أن يمرّ على ضوابطك ويناقش أدلتك. فالعين الخارجية تلتقط الافتراضات التي اعتاد عليها فريقك، وتكشف نقاط الضعف وما زال لديك وقت لإصلاحها.

الخلاصة #

النطاق والراعي أولًا، وكل ما بعدهما يعتمد عليهما. سجل الأصول الجيد وخريطة الوثائق الواضحة ينجزان معظم العمل. قيّم نفسك بصدق، ودع المخاطر تحدد ترتيب المعالجة، واجمع الأدلة أولًا بأول لا في النهاية.

الأسئلة الشائعة #

كم يستغرق عادةً الاستعداد لضوابط ECC الأساسية لدى منشأة صغيرة أو متوسطة؟

يعتمد ذلك على نقطة البداية والنطاق، لكن البرنامج المركّز يستغرق عادة بضعة أشهر. الفحص الذاتي وخارطة الطريق سريعان، أما إغلاق الفجوات وبناء أدلة مستمرة فيأخذ معظم الوقت.

هل نحتاج إلى شراء أدوات أمنية جديدة للامتثال؟

ليس بالضرورة. كثير من الضوابط يتعلق بالحوكمة والإجراءات الموثقة وتشغيل ما لديك بشكل صحيح. قد تفيد الأدوات في فجوات محددة، لكن ابدأ بتنظيم ما تملكه وتشغيله جيدًا.

هل يمكننا إجراء تقييم الفجوة بأنفسنا؟

نعم، والفحص الذاتي بداية جيدة. نقطة الضعف هي الموضوعية، فالفرق الداخلية تميل إلى التساهل في التقييم وإغفال المشكلات المألوفة. والتقييم المستقل قبل المراجعة الرسمية يعطيك صورة أدق.

المصادر الرسمية والمراجع #

الوثائق التي تستند إليها هذه الصفحة، بروابط إلى الجهة المصدرة. وحين تُنشر الأنظمة السعودية باللغتين فالنص العربي هو المعتمد.