# دليل عملي للامتثال للضوابط الأساسية للأمن السيبراني (ECC)

بقلم فريق سايبرت الاستشاري ١٢ نوفمبر ٢٠٢٥ قراءة في ٥ دقائق

في هذه الصفحة

1. من يلزمه الامتثال
2. ما الذي تغطيه الضوابط
3. المتطلبات التي تفاجئ الكثيرين
4. خارطة طريق عملية
5. أخطاء نراها مراراً
6. كم يستغرق الامتثال

الضوابط الأساسية للأمن السيبراني هي خط الأساس الذي تُقاس عليه كل مؤسسة منظَّمة في المملكة. إليك ما تتطلبه، وكيف تصل إليه دون أن تغرق في الأوراق.

أصدرت الهيئة الوطنية للأمن السيبراني الضوابط الأساسية للأمن السيبراني، المعروفة اختصاراً بـ ECC، عام ٢٠١٨، ثم أصدرت نسخة محدّثة هي ECC-2:2024. والفكرة بسيطة: بدلاً من أن تضع كل جهة حكومية وكل مشغّل للبنية الحرجة تعريفها الخاص لما هو "آمن بما يكفي"، يكون للمملكة معيار أدنى واحد تستطيع الهيئة قياس الجهات عليه.

لكن هذه البساطة تُخفي عملاً كثيراً. فالضوابط تمس الحوكمة والتقنية والأشخاص والموردين، والمقيّم سيطلب دليلاً على كل ضابط، لا سياسة تقول الكلام الصحيح. يشرح هذا الدليل من تنطبق عليهم الضوابط، وما الذي تغطيه، وترتيباً عملياً للتعامل معها.

## من يلزمه الامتثال

تنطبق الضوابط على الجهات الحكومية في المملكة، بما فيها الوزارات والهيئات والمؤسسات العامة، والشركات والجهات التابعة لها. كما تنطبق على جهات القطاع الخاص التي تملك بنية تحتية وطنية حساسة أو تشغّلها أو تستضيفها.

ويتسع النطاق عملياً أكثر من ذلك. فإن كنت تقدم خدمات لجهة خاضعة للضوابط، خاصة في تقنية المعلومات أو الاستضافة أو الخدمات المُدارة، فتوقع أن تسألك عقودها ووثائق منافساتها عن مدى توافقك مع الضوابط. كما تتبناها شركات خاصة كثيرة خارج النطاق الرسمي طوعاً، لأنها تقدم مرجعاً محلياً معترفاً به يفهمه مجلس الإدارة والعملاء.

والضوابط الأساسية هي أيضاً الأساس لضوابط الهيئة الأكثر تخصصاً. فبحسب ما تشغّله، قد تحتاج إلى النظر في ضوابط الأمن السيبراني للحوسبة السحابية، وضوابط الأمن السيبراني للأنظمة الحساسة، وضوابط الأمن السيبراني للبيانات، وضوابط الأمن السيبراني للأنظمة التشغيلية، وضوابط الأمن السيبراني للعمل عن بُعد، وضوابط الأمن السيبراني لحسابات التواصل الاجتماعي للجهات. حدّد مبكراً أيها ينطبق عليك، لتصمم برنامجاً واحداً لا ستة برامج.

## ما الذي تغطيه الضوابط

تُجمَّع الضوابط في مكونات رئيسية، يتفرع كل منها إلى مكونات فرعية وضوابط مفردة. لا تحتاج إلى حفظ الترقيم، لكن فهم البنية يساعد.

### الحوكمة

هنا تستهين معظم المؤسسات بالجهد المطلوب. فالضوابط تتوقع استراتيجية معتمدة للأمن السيبراني، وإدارة مخصصة للأمن السيبراني، وسياسات وإجراءات موثقة، وأدواراً ومسؤوليات محددة، ومنهجية لإدارة المخاطر، والأمن السيبراني ضمن إدارة المشاريع والتغيير، ومراجعات دورية للامتثال، وأمن الموارد البشرية عبر دورة حياة الموظف، وبرنامجاً مستمراً للتوعية والتدريب.

### التعزيز

اللب التقني: إدارة الأصول، وإدارة هويات الدخول والصلاحيات، وحماية الأنظمة وأجهزة المعالجة، وحماية البريد الإلكتروني والشبكات والأجهزة المحمولة، وحماية البيانات والمعلومات، والتشفير، والنسخ الاحتياطي والاستعادة، وإدارة الثغرات، واختبار الاختراق، وإدارة سجلات الأحداث ومراقبتها، وإدارة الحوادث والتهديدات، والأمن المادي، وحماية تطبيقات الويب.

### الصمود

يجب أن يكون الأمن السيبراني جزءاً من إدارة استمرارية الأعمال، بحيث تحسب خطط الاستمرارية حساب الحوادث السيبرانية، لا انقطاع الكهرباء والفيضانات فقط.

### الأطراف الخارجية والحوسبة السحابية

يجب أن تنتقل متطلبات الأمن إلى عقود الموردين ويُتحقق منها، ويحتاج استخدام السحابة إلى ضوابطه الخاصة، بما في ذلك الاهتمام بمكان استضافة البيانات.

## المتطلبات التي تفاجئ الكثيرين

بضعة ضوابط تولّد معظم النقاشات الصعبة مع عملائنا.

- **إدارة مستقلة للأمن السيبراني.** تتوقع الضوابط أن يكون الأمن السيبراني منفصلاً عن إدارة تقنية المعلومات، ويرتبط برئيس الجهة أو من يفوّضه، حتى لا يكون من يشغّلون الأنظمة هم وحدهم من يحكمون على أمنها.
- **قيادة سعودية للإدارة.** يُتوقع أن يشغل رئاسة إدارة الأمن السيبراني والوظائف الحساسة فيها مواطنون سعوديون متفرغون ومؤهلون. خطط للتوظيف والإحلال على هذا الأساس.
- **الأدلة لا النوايا.** السياسة التي تقول "تُراجع الصلاحيات كل ربع سنة" تصبح عبئاً إن لم يستطع أحد إثبات آخر ثلاث مراجعات.
- **المراجعة الدورية.** يُتحقق من الامتثال مجدداً، فالمشروع الذي يُنجز مرة ثم لا يُصان سيفشل في التقييم التالي.

## خارطة طريق عملية

تبدأ كل مؤسسة من نقطة مختلفة، لكن الترتيب التالي يتجنب أكثر أشكال الهدر شيوعاً: كتابة وثائق لضوابط لم تُصمم بعد، أو شراء أدوات قبل معرفة الفجوة التي تسدها.

1. **حدّد النطاق.** قرر الجهات والأنظمة والمواقع المشمولة، وأي ضوابط أخرى للهيئة تنطبق إلى جانب الضوابط الأساسية.
2. **أجرِ تقييماً للفجوات.** مرّ على الضوابط واحداً واحداً وسجّل ثلاثة أشياء: الوضع الحالي، والدليل الذي يثبته، والفجوة. وقابل من يشغّلون الضوابط فعلاً، لا مديريهم فقط.
3. **رتّب الأولويات بحسب المخاطر.** بعض الفجوات عاجلة وسدّها رخيص، مثل المصادقة متعددة العوامل على الوصول عن بُعد، وجرد دقيق للأصول، وتجميع مركزي لسجلات الأنظمة الحرجة. ابدأ بها. وبعضها، مثل برنامج ناضج لإدارة الأطراف الثالثة، يستغرق وقتاً أطول ويحتاج إلى تخطيط.
4. **أصلح الحوكمة مبكراً.** اعتمد الاستراتيجية والإدارة والسياسات الأساسية. فمن دونها يفتقر كل تحسين تقني إلى مالك وتفويض.
5. **طبّق الضوابط وشغّلها.** اضبط الإعدادات وراقب وراجع. وأدرج المهام الدورية، مثل مراجعة الصلاحيات وفحص الثغرات واختبار استعادة النسخ الاحتياطية، في تقويم بمسؤولين مسمّين.
6. **ابنِ مكتبة للأدلة.** احتفظ لكل ضابط بالسياسة السارية والإجراء وسجلات مؤرخة تثبت عمله. وخزّنها حيث يمكن استعراضها مع المقيّم في ساعات قليلة.
7. **راقب باستمرار.** تنحرف الضوابط مع تغيّر الأنظمة وتنقّل الأشخاص. والمراجعة الداخلية كل ربع سنة تلتقط الانحراف قبل أن تلتقطه الجهة التنظيمية.

## أخطاء نراها مراراً

**التعامل مع الضوابط كمشروع توثيق.** السياسات المنسوخة من قوالب والمعتمدة في اجتماع واحد تبدو مرتبة حتى يسأل أحد كيف تُطبَّق. اكتب وثائق أقل، وتأكد أن كل واحدة تصف ما يحدث فعلاً.

**تجاهل جرد الأصول.** تعتمد معظم ضوابط التعزيز على معرفة ما تملكه. فإن كان جردك جدول بيانات حُدّث آخر مرة قبل عامين، فأصلح ذلك قبل أي شيء آخر.

**نسيان الموردين.** مزود الخدمات المُدارة ومنصة الرواتب والمطورون المتعاقدون كلهم يملكون وصولاً أو بيانات. والضوابط تتوقع متطلبات أمنية في تلك العقود، والمهاجم سيستخدم أضعفها بلا تردد.

**تشتت الأدلة.** لقطات الشاشة في سلاسل البريد والملفات المصدّرة على حاسوب أحدهم تكلّف أياماً أثناء التقييم. اتفق على مكان واحد وطريقة تسمية واحدة من اليوم الأول.

## كم يستغرق الامتثال

يعتمد ذلك على نقطة البداية والحجم. فالمؤسسة متوسطة الحجم التي لديها بعض الأساسيات الأمنية ولكن حوكمة رسمية محدودة ينبغي أن تفكر في برنامج يُقاس بالأشهر، تسير فيه أعمال الحوكمة والموجة الأولى من الإصلاحات التقنية بالتوازي. والمؤسسات الأسرع تقدماً هي التي تمنح مالكاً واحداً صلاحية اتخاذ القرار وتُبقي سجل الفجوات صادقاً.

وإن أردت نظرة سريعة على موقعك قبل الالتزام بتقييم كامل للفجوات، فإن [تقييم النضج المجاني](https://cybrt.sa/ar/maturity/) لدينا يغطي عشرين من أهم المجالات في الضوابط الأساسية وإطار NIST، ويستغرق نحو خمس دقائق.

كيف تساعدك سايبرت

## استشارات الحوكمة والتدقيق

نساعد المؤسسات على استيفاء المتطلبات التنظيمية، وإدارة المخاطر بفعالية، ومواءمة استراتيجية الأمن السيبراني مع أهداف الأعمال.

## مقالات أخرى

الامتثال ١٠ مارس ٢٠٢٦ قراءة في ٤ دقائق

### إطار الأمن السيبراني للبنك المركزي السعودي: كيف تصل إلى مستوى النضج الثالث

ما تعنيه مستويات النضج في إطار الأمن السيبراني للبنك المركزي السعودي، ولماذا المستوى الثالث هو الحد الأدنى المتوقع، وخطوات عملية لبلوغه.

الامتثال ٢١ يناير ٢٠٢٦ قراءة في ٥ دقائق

### قائمة الامتثال لنظام حماية البيانات الشخصية: الضوابط الأمنية التي تحتاجها الشركات السعودية

قائمة عملية للامتثال لنظام حماية البيانات الشخصية: جرد البيانات، والضوابط الأمنية، والمعالجون، والنقل خارج المملكة، والإبلاغ عن التسرب، وحقوق الأفراد.

المرونة والاستجابة ١٨ أكتوبر ٢٠٢٦ قراءة في ٧ دقائق

### خطة الاستجابة لبرامج الفدية للمؤسسات السعودية: أول ٧٢ ساعة

خطة عملية للاستجابة لبرامج الفدية في المؤسسات السعودية: ما تفعله في الساعة الأولى واليوم الأول وأول ٧٢ ساعة، مع الإبلاغ للهيئة وإشعار سدايا.

## هل أنت مستعد لحماية أعمالك؟

احجز استشارتك الأمنية المجانية اليوم.

---

Canonical page: https://cybrt.sa/ar/nca-ecc-compliance-guide/
Guide for AI agents: https://cybrt.sa/llms.txt