ضوابط الأمن السيبراني الأساسية (ECC): من يلتزم بها وقائمة جاهزية

الضوابط الأساسية للأمن السيبراني (ECC-2:2024) ملزمة للجهات الحكومية في المملكة، والجهات والشركات التابعة لها داخل المملكة وخارجها، وجهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها [1]. أما بقية الجهات فتشجّعها الهيئة الوطنية للأمن السيبراني بشدة على الاستفادة منها دون إلزام [1]. وتبدأ الجاهزية بتحديد نطاقك كتابةً.

يعرض هذا الدليل نطاق ضوابط الأمن السيبراني الأساسية بعبارات الهيئة نفسها، وعلاقتها بالضوابط المستقلة التي أصدرتها الهيئة لبقية الشركات الخاصة، وما الذي تغيّر في إصدار 2024، والمتطلبات التي تفاجئ من يقرأ الضوابط أول مرة، ثم قائمة جاهزية من 12 بندًا. وما فيه معلومات عامة؛ فإذا أردت قرارًا يخص جهتك فاعتمد على النص الرسمي للهيئة أو على مستشار مرخّص.

ما هي ضوابط الأمن السيبراني الأساسية؟

تضع الضوابط الأساسية الحد الأدنى من متطلبات الأمن السيبراني للجهات الوطنية الواقعة ضمن نطاقها [2]. وقد أصدرت الهيئة النسخة الأولى ECC-1:2018، ثم أعلنت تحديثها إلى النسخة الحالية في أكتوبر 2024 [3]. وتتكون الوثيقة الحالية ECC-2:2024 من [1]:

• 4 مكونات أساسية؛
• 28 مكونًا فرعيًا؛
• 108 ضوابط أساسية؛
• 92 ضابطًا فرعيًا.

وتستهدف الضوابط ثلاثة أهداف للحماية، هي سرية المعلومة وسلامتها وتوافرها، وتقوم على أربعة محاور: الإستراتيجية، والأشخاص، والإجراءات، والتقنية [1]. وتنشر الهيئة الوثيقة بالعربية والإنجليزية، وتنص النسخة الإنجليزية على أن النص العربي هو المعتمد في كل ما يتعلق بتفسير معانيها [2].

أما السند النظامي فهو تنظيم الهيئة والأمر السامي رقم 57231 وتاريخ 10/11/1439هـ؛ فبموجب الفقرة الثالثة من المادة العاشرة من التنظيم وهذا الأمر، يجب على جميع الجهات ضمن النطاق تنفيذ ما يحقق الالتزام الدائم والمستمر بالضوابط [1].

من يجب عليه الالتزام بالضوابط الأساسية بحسب نص الهيئة؟

تحدد الهيئة النطاق في جملة واحدة. فالضوابط تُطبَّق على [1]:

• الجهات الحكومية في المملكة العربية السعودية، وتشمل الوزارات والهيئات والمؤسسات وغيرها؛
• والجهات والشركات التابعة لها، داخل المملكة وخارجها؛
• وجهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها.

ثم تضيف الوثيقة أن الهيئة «تُشجع الجهات الأخرى في المملكة وبشدة على الاستفادة من هذه الضوابط» لتطوير أمنها السيبراني [1]. والتشجيع ليس إلزامًا، ولهذا فعبارة مثل «كل شركة سعودية ملزمة بالضوابط الأساسية» غير دقيقة.

وتعرّف الضوابط البنى التحتية الوطنية الحساسة بأنها العناصر الأساسية للبنية التحتية، من أصول ومرافق وأنظمة وشبكات وعمليات والعاملين الأساسيين الذين يشغّلونها، التي قد يؤدي فقدانها أو تعرّضها للاختراق إلى أثر سلبي كبير في توافر الخدمات الأساسية أو تقديمها، أو إلى خسائر جسيمة في الممتلكات أو الأرواح، أو إلى أثر كبير في الأمن الوطني أو الدفاع أو الاقتصاد [2]. وإن لم تكن متأكدًا من أن شركتك من جهات البنى الحساسة، فاسأل الجهة الرقابية في قطاعك أو الهيئة بدل أن تحسم الأمر وحدك.

وداخل الجهة المشمولة، يجب الالتزام بكل ضابط قابل للتطبيق عليها [1]. وتختلف قابلية التطبيق بحسب طبيعة العمل؛ فضوابط الحوسبة السحابية والاستضافة في المكون الفرعي 4-2 مثلًا لا تُلزم إلا الجهة التي تستخدم هذه الخدمات حاليًا أو تخطط لاستخدامها [1].

هل تُلزم الضوابط الأساسية شركتك الخاصة؟

أغلب الشركات الخاصة ليست من جهات البنى الحساسة، ولا تتبع جهة حكومية. ولهذه الشركات أصدرت الهيئة في 2025 وثيقة مستقلة هي «ضوابط الأمن السيبراني لجهات القطاع الخاص من غير ذات البنى التحتية الحساسة» (NCNICC-1:2025)، وطوّرتها بناءً على الضوابط الأساسية لتقدّم نسخة أكثر ملاءمة للجهات الخاصة الكبيرة والمتوسطة والصغيرة [4].

ويتبع تحديد الأحجام في ضوابط القطاع الخاص تعريف الهيئة العامة للمنشآت الصغيرة والمتوسطة (منشآت) [4][5]. ويترتب على ذلك أمران عمليان. الأول أن الشركة الصغيرة أو المتوسطة التي عمّمت عليها الهيئة تواجه 26 ضابطًا دفاعيًا لا 108 ضوابط. والثاني أن الشركة التي تخدم عملاء حكوميين أو من جهات البنى الحساسة تلتقي بمتطلبات الضوابط الأساسية عبر عقودها وإن لم تُلزمها الضوابط مباشرة؛ فالضابط 4-1-2 يوجب على الجهة المشمولة أن تضمّن عقودها مع الأطراف الخارجية بنود عدم الإفصاح، والإزالة الآمنة لبياناتها عند انتهاء الخدمة، وإجراءات التواصل عند وقوع حادثة، وإلزام الطرف الخارجي بتطبيق متطلباتها وسياساتها للأمن السيبراني [2].

والجهات التي تشغّل أنظمة تحكم صناعية عليها أن تقرأ أيضًا ضوابط الأمن السيبراني للأنظمة التشغيلية (OTCC-1:2022)، وهي امتداد للضوابط الأساسية لتلك الأنظمة [7].

الضوابط الأساسية في لمحة: 4 مكونات أساسية و28 مكونًا فرعيًا

المصدر: قائمة المكونات الفرعية في ECC-2:2024 [2].

ما الذي تغيّر عن ECC-1:2018؟

يسرد ملحق التحديثات في الوثيقة التغييرات مقارنةً بإصدار 2018 [2]، وهذه أكثرها أثرًا في العمل:

والتغيير الأخير مهم لكل جهة تختار مزوّدًا سحابيًا؛ فأسئلة مكان البيانات صار مرجعها مكتب إدارة البيانات الوطنية، لا الضوابط الأساسية وحدها [2]. ويشرح دليلنا عن نقل البيانات الشخصية خارج المملكة أحكام البيانات الشخصية المرتبطة بذلك.

متطلبات تفاجئ من يقرأ الضوابط أول مرة

بعض الضوابط يتجاوز ما تطلبه المعايير التجارية المعتادة. وكل ما يلي من ECC-2:2024 [2]:

• إدارة مستقلة (1-2-1): تكون إدارة الأمن السيبراني مستقلة عن إدارة تقنية المعلومات والاتصالات، وفق الأمر السامي رقم 37140 وتاريخ 14/8/1438هـ، ويُوصى بأن ترتبط برئيس الجهة.
• شغل الوظائف بسعوديين (1-2-2): يشغل جميع وظائف الأمن السيبراني مختصون سعوديون متفرغون مؤهلون.
• لجنة إشرافية (1-2-3): يكون رئيس إدارة الأمن السيبراني من أعضائها.
• تدقيق مستقل (1-8-2): يراجع تطبيق الضوابط ويدققه طرف غير إدارة الأمن السيبراني، وفق معايير التدقيق المتعارف عليها.
• تقييم المخاطر في مواضع محددة (1-5-3): في المراحل الأولى لمشاريع التقنية، وقبل التغييرات الجوهرية في البنية التقنية، وعند التخطيط للتعاقد مع أطراف خارجية، وقبل إطلاق خدمات تقنية جديدة.
• التطوير الآمن (1-6-3): معايير التطوير الآمن، ومصادر موثوقة ومرخّصة لأدوات التطوير ومكتباته، واختبار التزام البرمجيات بمتطلبات الأمن السيبراني.
• توقيت موثوق (2-3-3-4): مزامنة التوقيت مركزيًا من مصدر دقيق وموثوق، مثل ما توفره الهيئة السعودية للمواصفات والمقاييس والجودة.
• سجلات 12 شهرًا (2-12-3): تفعيل سجلات الأحداث للأصول الحساسة والحسابات ذات الصلاحيات، والمراقبة المستمرة، والاحتفاظ بالسجلات 12 شهرًا على الأقل.
• إبلاغ الهيئة (2-13-3): الإبلاغ عن الحوادث إلى الهيئة، ومشاركة الإشعارات ومعلومات التهديدات معها.
• اختبار ما هو ظاهر للإنترنت (2-11-3): اختبار اختراق دوري يشمل كل الخدمات المقدمة عبر الإنترنت، ومنها المواقع وتطبيقات الجوال والبريد والدخول عن بعد.
• المراقبة داخل المملكة (4-1-3-2): مراكز عمليات الأمن السيبراني المدارة التي تستخدم الدخول عن بعد يجب أن تكون بالكامل داخل المملكة.

ولتسرب البيانات الشخصية واجب مستقل؛ فاللائحة التنفيذية لنظام حماية البيانات الشخصية توجب إشعار الجهة المختصة خلال 72 ساعة عند احتمال الضرر، وتنص على أن ذلك لا يُخل بالتزامات الإبلاغ عن الحوادث وفق ما تصدره الهيئة الوطنية للأمن السيبراني [11].

كيف تتحقق الهيئة من الالتزام؟

تقيّم الهيئة التزام الجهات عبر التقييم الذاتي، أو التقارير الدورية لأداة الالتزام، أو الزيارات الميدانية للتدقيق، أو وفق الآلية التي تراها مناسبة [2]. وتذكر الوثيقة أن الهيئة ستصدر أداة لتقييم الالتزام بـ ECC-2:2024 وقياسه [1]. وتنشر صفحة الضوابط على موقع الهيئة الوثيقة مع «الدليل الإرشادي لتطبيق الضوابط الأساسية للأمن السيبراني» [8].

ومعنى ذلك عمليًا أن الدليل على التطبيق لا يقل أهمية عن التطبيق نفسه: وثائق معتمدة، وسجلات مراجعة، ونتائج اختبارات، وتقارير تدقيق. والقائمة التالية تذكر ما تحتفظ به من أدلة في كل مجال.

قائمة جاهزية للضوابط الأساسية من 12 بندًا

استخدمها تقييمًا أوليًا للفجوات. ضع أمام كل بند «نعم» أو «جزئيًا» أو «لا»، وأرفق الدليل.

ولصياغة الوثائق الناقصة، تنشر الهيئة نماذج مجانية للسياسات والمعايير والإجراءات والسجلات، وتذكر أنها للقطاع الحكومي والخاص وغيرهما [9].

كيف تختار شركات الأمن السيبراني التي تساعدك؟

تستعين أغلب الجهات بجهة خارجية في تقييم الفجوات أو المراقبة أو اختبار الاختراق. وبعض الفحوص يضيّق الخيارات:

• التسجيل أو الترخيص: أكدت الهيئة في أكتوبر 2026 أن على مقدمي خدمات الأمن السيبراني ومنتجاته وحلوله في المملكة التسجيل في البوابة الوطنية لخدمات الأمن السيبراني «حصين»، للأنشطة التي لا تتطلب ترخيصًا من الهيئة [10]. فاطلب من كل شركة مرشحة ما يثبت تسجيلها أو ترخيصها.
• المكان: إن كانت الخدمة مركز عمليات أمن سيبراني مدارًا يستخدم الدخول عن بعد، فيجب أن يكون بالكامل داخل المملكة [2].
• شروط العقد: قيّم مخاطر الأمن السيبراني قبل التوقيع، وضمّن العقد البنود التي يتطلبها المكون الفرعي 4-1 [2].
• المسؤولية: يمكن للشركة الخارجية أن تنفّذ العمل، لكن تنظيم الهيئة ينص على أنه لا تُعفى أي جهة من مسؤوليتها تجاه أمنها السيبراني [2].

ويعرض دليلنا عن اختيار شركة برمجة في السعودية طريقة الأسئلة المكتوبة، وهي تصلح أيضًا لمقارنة شركات الأمن السيبراني.

خطوتك التالية

اكتب هذا الأسبوع مذكرة نطاق من صفحة واحدة: أي جملة من نطاق الضوابط الأساسية تنطبق عليك، أو لماذا لا تنطبق، وهل تنطبق بدلًا منها ضوابط القطاع الخاص أو عقد مع عميل. فإن كانت ضوابط الأمن السيبراني الأساسية تنطبق عليك، فاستخدم جدول الجاهزية ذا البنود الاثني عشر تقييمًا أوليًا للفجوات، وأرفق الدليل بكل بند. فالجهة الجاهزة هي التي تستطيع أن تُثبت ما طبّقته، لا التي طبّقته فقط. ويمكنك التعرف على O AI (أو إيه آي)، شركة البرمجيات والذكاء الاصطناعي في الخبر، من صفحتنا الرئيسية.