في 28 ديسمبر 2025 اعتمدت الهيئة الوطنية للأمن السيبراني ضوابط الأمن السيبراني لجهات القطاع الخاص من غير ذوات البنى التحتية الحساسة، المعروفة اختصارًا بـ NCNICC-1:2025. وهي أول خط أساس وطني للأمن السيبراني يُكتب للشركات الخاصة التي لا تدير بنى تحتية وطنية حساسة: شركات التجارة، ومجموعات العيادات، وشركات الخدمات اللوجستية، وشركات البرمجيات، والمنشآت العائلية التي يكبر حضورها الرقمي.

إن كانت شركتك واحدة منها، فهذا المقال يوضح ما تطلبه منك ضوابط NCNICC، وكيف تستعد لها دون تعطيل أعمالك.

ما هي ضوابط NCNICC #

تضع ضوابط NCNICC الحد الأدنى من ضوابط الأمن السيبراني لجهات القطاع الخاص في المملكة التي لا تملك بنى تحتية وطنية حساسة ولا تشغّلها ولا تستضيفها. فحتى الآن كان خط الأساس الوطني الرئيسي، أي الضوابط الأساسية للأمن السيبراني (ECC)، مكتوبًا للجهات الحكومية وللجهات التي تدير بنى تحتية حساسة، وبقيت معظم الشركات الخاصة خارجه.

وتنقسم الضوابط إلى ثلاثة مكونات. حوكمة الأمن السيبراني: من يملك ملف الأمن السيبراني في شركتك، وما السياسات التي تتبعها، وكيف تبقى القيادة على اطلاع. وتعزيز الأمن السيبراني: الحماية العملية لأنظمتك وحساباتك وأجهزتك وبياناتك، من ضبط الوصول إلى النسخ الاحتياطي. والأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية: الموردون والمتعاقدون ومقدمو الخدمات السحابية والاستضافة الذين يصلون إلى أنظمتك أو بياناتك.

وهي ضوابط حد أدنى، تصف ما ينبغي أن تفعله أي شركة تُدار بشكل معقول، وتمنحك مرجعًا وطنيًا تقيس نفسك عليه.

فئتان على قدر حجم شركتك #

تقسم الوثيقة الرسمية الجهات إلى فئتين وفق تعريفات الهيئة العامة للمنشآت الصغيرة والمتوسطة (منشآت):

  • الفئة (أ)، الجهات الكبيرة: أكثر من 250 موظفًا بدوام كامل، أو إيرادات سنوية تتجاوز 200 مليون ريال. وتطبّق المكونات الثلاثة كاملة، بـ 22 مكونًا فرعيًا و65 ضابطًا أساسيًا.
  • الفئة (ب)، الجهات الصغيرة والمتوسطة: من 6 إلى 249 موظفًا بدوام كامل، أو إيرادات سنوية بين 3 ملايين و200 مليون ريال. وتطبّق مجموعة أخف: مكونًا أساسيًا واحدًا، و13 مكونًا فرعيًا، و26 ضابطًا أساسيًا.

وضوابط كل فئة ملزمة للجهات التي تعمّم عليها الهيئة، وللهيئة أن تُلزم الجهة بضوابط إضافية عند الحاجة. أما بقية الجهات فيُتوقع أن تستفيد من الضوابط كأفضل ممارسة، وكثير من العملاء يطلبونها بالفعل. ومعرفة فئتك مبكرًا توضح لك حجم العمل الحقيقي.

من يجب أن يهتم #

كُتبت الضوابط لجهات القطاع الخاص من خارج البنى التحتية الحساسة. وعمليًا، اعتبرها تعنيك إن انطبق عليك أي مما يلي:

  1. أنت شركة خاصة تعمل في المملكة ولست مصنّفًا بنية تحتية وطنية حساسة.
  2. تورّد لجهات حكومية أو شركات كبرى تسألك عن أمنك.
  3. تحتفظ ببيانات عملاء أو مسارات دفع أو أنظمة حيوية سيضرّك تسرّبها أو توقفها.
  4. تستعد لاستثمار أو منافسة أو تدقيق من عميل سيُسأل فيه عن الأمن.

أما إن كنت تملك بنية تحتية حساسة أو تشغّلها أو تستضيفها، فخط أساسك هو ضوابط ECC.

لماذا يهمك الأمر حتى لو كانت شركتك صغيرة #

لا يسأل المهاجم عن حجم الشركة قبل أن يرسل رسائل التصيّد لموظفيها أو يشفّر ملفاتها، والشركات الصغيرة والمتوسطة كثيرًا ما تكون أهدافًا أسهل لأنها أقل تنظيمًا. وخط الأساس الوطني يفيدك عمليًا: يستبدل التخمين في معنى "الأمن الجيد" بمرجع معترف به، ويعطيك لغة مشتركة مع العملاء، فعبارة "نحن متوائمون مع ضوابط NCNICC" لها معنى لدى فرق المشتريات، ويوجّهك إلى الإجراءات التي تخفض المخاطر أكثر من غيرها أولًا.

مسار عملي للجاهزية #

لا تحتاج إلى مجموعة أدوات جديدة لتبدأ، فمعظم العمل في البداية تنظيم ما تملكه وتشغيله جيدًا.

1. أكّد الانطباق والنطاق #

اكتب في صفحة واحدة لماذا تُعدّ ضوابط NCNICC خط أساسك، وما أجزاء الأعمال الداخلة في النطاق: المكاتب والأنظمة والخدمات السحابية والموردون المتصلون بها. هذه الصفحة تحسم كثيرًا من النقاش لاحقًا.

2. سمِّ مالكًا للملف #

يحتاج الأمن السيبراني إلى مالك محدد بصلاحيات كافية لإنجاز العمل. وفي الشركة الصغيرة قد يكون مدير تقنية المعلومات أو مسؤول العمليات، بدعم من القيادة.

3. أجرِ تقييم فجوة صادقًا #

راجع الضوابط ضابطًا ضابطًا، وسجّل بالأدلة ما هو مطبّق، وما هو جزئي، وما هو غائب. وكن صارمًا: السياسة الموجودة على الورق وغير المتّبعة تُحسب فجوة. والمقيّم المستقل مفيد هنا، لأن الفرق الداخلية تميل إلى التساهل في التقييم.

4. عالج الفجوات عالية الخطورة أولًا #

بعض الإجراءات أهم بكثير من غيرها، وفي معظم الشركات تتكرر المكاسب الأولى نفسها: التحقق متعدد العوامل للبريد والوصول عن بُعد وحسابات المدراء، ونسخ احتياطي مُختبر ومحفوظ حيث لا يصل إليه برنامج الفدية، وتحديث الأنظمة المتصلة بالإنترنت وأجهزة الموظفين وفق جدول، وحذف حسابات من غادروا وتقليص الصلاحيات الزائدة، والتوعية بالتصيّد للموظفين بالعربية والإنجليزية.

5. اضبط الموردين #

اكتب قائمة بالموردين الذين يصلون إلى أنظمتك أو بياناتك، من مزود برنامج المحاسبة إلى الوكالة التي تدير حساباتك على وسائل التواصل. واتفق معهم على حد أدنى من متطلبات الأمن، وتأكد أنك تستطيع سحب وصولهم بسرعة.

6. اكتب السياسات التي تحتاجها فعلًا #

اجعل السياسات قصيرة وواقعية: الاستخدام المقبول، وضبط الوصول، والنسخ الاحتياطي، والاستجابة للحوادث، وأمن الموردين. فسياسة من عشر صفحات يقرؤها الناس أنفع من مئة صفحة لا يفتحها أحد.

7. احتفظ بالأدلة وراجع التقدم #

سيطلب المقيّم سجلات لا تصريحات: مراجعات الصلاحيات، واختبارات النسخ الاحتياطي، وحضور التدريب، وتقييمات الموردين. وراجع التقدم مع القيادة وفق جدول ثابت.

أخطاء شائعة #

أكثرها تكرارًا: شراء الأدوات قبل معرفة الفجوات، ونسخ سياسات عامة من الإنترنت لا تطابق طريقة عمل الشركة، والتعامل مع البرنامج كمشروع تقني فقط بينما تحتاج ضوابط الحوكمة والموردين إلى القيادة والمشتريات، وتنفيذ العمل مرة واحدة بدل صيانته مع تغيّر التهديدات والموظفين.

كيف تتكامل ضوابط NCNICC مع المتطلبات الأخرى #

إن كنت تتعامل مع بيانات شخصية فإن نظام حماية البيانات الشخصية ينطبق عليك أيضًا، وكثير من عمل ضوابط NCNICC يدعمه. وإن سعيت لاحقًا إلى شهادة ISO/IEC 27001 فإن عادات الحوكمة والمخاطر والأدلة نفسها تنتقل معك. وبرنامج واحد يخدم الثلاثة يوفّر الوقت والمال.

ما الذي سيطلب المقيّم رؤيته #

سواء جاءت المراجعة من عميل أو مستثمر أو جهة تنظيمية، تتشابه الطلبات عادة:

  • بيان نطاق يسمّي الكيانات والمواقع والأنظمة والموردين المشمولين.
  • تكليف مالك ملف الأمن السيبراني معتمدًا من القيادة.
  • سياسات معتمدة، لكل منها تاريخ وإصدار ومالك.
  • قائمة أصول بالأنظمة والخدمات السحابية والأجهزة المهمة.
  • مراجعات صلاحيات تبيّن من يصل إلى ماذا، وأن حسابات من غادروا حُذفت.
  • سجلات اختبار النسخ الاحتياطي التي تثبت أن البيانات تُستعاد فعلًا.
  • سجلات التحديثات والثغرات للأنظمة المتصلة بالإنترنت.
  • سجلات التدريب لجلسات توعية الموظفين.
  • تقييمات الموردين وبنود الأمن في العقود الرئيسية.
  • خطة الاستجابة للحوادث، ويُفضّل معها سجل تمرين مكتبي.

لا يحتاج شيء من ذلك إلى تعقيد، لكنه يحتاج إلى أن يكون حقيقيًا ومحدّثًا وسهل الوصول إليه.

خطة واقعية لتسعين يومًا #

تبدأ كل شركة من نقطة مختلفة، لكن الأيام التسعين الأولى كثيرًا ما تسير هكذا:

  • من اليوم 1 إلى 30: تأكيد النطاق والمالك، وإجراء تقييم الفجوة، وتفعيل التحقق متعدد العوامل، واختبار استعادة نسخة احتياطية واحدة.
  • من اليوم 31 إلى 60: تنظيف الصلاحيات، ووضع التحديثات على جدول، وحصر الموردين والاتفاق على حد أدنى من المتطلبات، وتنفيذ أول جلسة توعية.
  • من اليوم 61 إلى 90: اعتماد السياسات الأساسية، والتدرّب على حادثة مع القيادة، وبدء ملف الأدلة الذي يثبت كل ما سبق.

وبنهاية هذه المدة تكون معظم الشركات قد أغلقت فجواتها الأعلى خطورة، ولديها خارطة طريق للباقي بتواريخ ومُلّاك اتفقت عليها القيادة.

من أين تبدأ هذا الأسبوع #

اختر مالكًا واحدًا للملف، واكتب صفحة النطاق، وفعّل التحقق متعدد العوامل للبريد والوصول عن بُعد. هذه الخطوات الثلاث قليلة الكلفة وتخفض مخاطرك فورًا. ثم احجز تقييم فجوة وفق ضوابط NCNICC لتخطيط الباقي.

الأسئلة الشائعة #

متى اعتُمدت ضوابط NCNICC؟

اعتمدت الهيئة الوطنية للأمن السيبراني ضوابط الأمن السيبراني لجهات القطاع الخاص من غير ذوات البنى التحتية الحساسة (NCNICC-1:2025) في 28 ديسمبر 2025.

هل تنطبق ضوابط NCNICC على الشركات الصغيرة؟

نعم. تحدد الضوابط فئتين وفق تعريفات منشآت: الجهات الكبيرة (أكثر من 250 موظفًا بدوام كامل أو إيرادات سنوية تتجاوز 200 مليون ريال)، والجهات الصغيرة والمتوسطة (من 6 إلى 249 موظفًا أو إيرادات بين 3 ملايين و200 مليون ريال). وتطبّق الصغيرة والمتوسطة مجموعة أخف من 26 ضابطًا أساسيًا، وضوابط كل فئة ملزمة للجهات التي تعمّم عليها الهيئة.

ما المكونات الثلاثة لضوابط NCNICC؟

حوكمة الأمن السيبراني، وتعزيز الأمن السيبراني، والأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية. وتطبّق الجهات الكبيرة المكونات الثلاثة، أما الصغيرة والمتوسطة فمجموعة أخف من مكون أساسي واحد و26 ضابطًا أساسيًا.

هل نحتاج إلى أدوات أمنية جديدة للامتثال؟

ليس بالضرورة. معظم العمل في البداية تنظيم ما تملكه وتشغيله: الملكية والسياسات وضبط الوصول والنسخ الاحتياطي وضبط الموردين. وتساعد الأدوات في فجوات محددة بعد معرفتها.

المصادر الرسمية والمراجع #

الوثائق التي تستند إليها هذه الصفحة، بروابط إلى الجهة المصدرة. وحين تُنشر الأنظمة السعودية باللغتين فالنص العربي هو المعتمد.