٠١ · الامتثال

# استشارات الحوكمة والمخاطر والامتثال والتدقيق (GRCA)

نساعد المؤسسات على استيفاء المتطلبات التنظيمية، وإدارة المخاطر بفعالية، ومواءمة استراتيجية الأمن السيبراني مع أهداف الأعمال.

## ما تشمله الخدمة

### استراتيجية الأمن السيبراني

استراتيجية متوافقة تماماً مع أهداف مؤسستك: رؤية ورسالة ومبادرات مرتبة الأولوية بنهج بطاقة الأداء المتوازن، مع نموذج تشغيلي يضمن التنفيذ. تمتد عادة ثلاث سنوات، وتُكيَّف بحسب احتياجاتك.

### تطوير السياسات والإجراءات

- سياسات وإجراءات للأمن السيبراني مصممة لمؤسستك.
- خطط الاستجابة للحوادث والتعافي من الكوارث واستمرارية الأعمال.

### تقييم المخاطر وإدارتها

- تحديد مخاطر الأمن السيبراني وتقييمها وترتيب أولوياتها.
- أطر وسياسات لإدارة المخاطر.
- مراقبة مستمرة للمخاطر وخطط للحد منها.

### إدارة مخاطر الأطراف الثالثة

- أطر وأدوات لإدارة مخاطر الأطراف الثالثة.
- العناية الواجبة تجاه الموردين والشركاء.
- الحد من المخاطر المرتبطة بخدمات الأطراف الثالثة ومزودي السحابة.

### إدارة الامتثال

تحقيق الامتثال والمحافظة عليه بربط الضوابط بالمتطلبات التنظيمية ضمن إطار تحكم موحد، والاستعداد لتدقيق الشهادات مثل ISO 27001 وPCI-DSS وHIPAA.

### التدقيق الداخلي والخارجي

- تدقيق داخلي للضوابط ولوضع الأمن السيبراني.
- تسهيل تدقيق الجهات الخارجية وتدقيق خصوصية البيانات.
- تدقيق قائم على المخاطر يركز على أكثر المجالات أهمية.

### تنفيذ أدوات الحوكمة والمخاطر

منصات GRC تؤتمت متابعة الامتثال وإدارة المخاطر وإعداد التقارير، وتتكامل مع أنظمة مؤسستك الحالية.

اللوائح والأطر التي نعمل بها

- NCA ECC
- CSCC
- CCC
- OSMACC
- SAMA CSF
- CRF
- HIPAA
- PCI-DSS
- NIST
- ISO 27001
- STAR
- CIS Controls

معايير المخاطر التي نستند إليها

- ISO 31000
- ISO 27005
- SA/SNZ HB 436:2013
- COBIT for Risk
- NIST SP 800-30
- CSA
- FedRAMP
- ISO 27017
- ISO 19086-4:2019

## ماذا تعني الحوكمة والمخاطر والامتثال عملياً

- **الحوكمة:** طريقة اتخاذ القرارات الأمنية: الاستراتيجية والسياسات والأدوار واللجنة التوجيهية وإشراف القيادة. وتتوقع الضوابط الأساسية وإطار البنك المركزي وجود إدارة مستقلة للأمن السيبراني عن تقنية المعلومات.
- **إدارة المخاطر:** طريقة اكتشاف التهديدات وقياسها ومعالجتها، بمنهجية معترف بها مثل ISO 27005 أو NIST SP 800-30، وسجل مخاطر حي لكل خطر فيه مالك وقرار: تقليل أو نقل أو قبول أو تجنب.
- **الامتثال:** استيفاء الأنظمة واللوائح والعقود المنطبقة عليك، وإثبات ذلك بالأدلة.

## الأنظمة السعودية التي نغطيها

- **الضوابط الأساسية ECC-2:2024:** أساس تنظيم الأمن السيبراني في المملكة، للجهات الحكومية والجهات التي تملك بنية تحتية وطنية حساسة أو تشغّلها أو تستضيفها.
- **ضوابط CCC وCSCC وOTCC وDCC وTCC:** ضوابط إضافية من الهيئة للحوسبة السحابية والأنظمة الحساسة والأنظمة التشغيلية والبيانات والعمل عن بُعد.
- **إطار البنك المركزي السعودي:** إلزامي للبنوك وشركات التأمين والتمويل، ويُقاس النضج فيه من المستوى ٠ إلى ٥، والمستوى الثالث هو الحد الأدنى المتوقع.
- **نظام حماية البيانات الشخصية:** نظام الخصوصية في المملكة بإشراف سدايا: الموافقة وحقوق أصحاب البيانات والإبلاغ عن التسرب والنقل خارج المملكة وسجلات المعالجة.
- **متطلبات سلاسل الإمداد:** تطلب المؤسسات الكبرى من مورديها بشكل متزايد إثبات أمنهم قبل التعاقد، عبر معايير الأمن السيبراني للأطراف الخارجية مثلاً.

## كيف يسير مشروع الحوكمة والامتثال

1. **ورشة تحديد النطاق**: تأكيد الأنظمة المنطبقة والاتفاق على النطاق والجدول وأصحاب العلاقة.
2. **جمع المعلومات**: مقابلات مع تقنية المعلومات والأمن والموارد البشرية والشؤون القانونية ومالكي الأعمال، ومراجعة المستندات.
3. **اختبار الضوابط**: التحقق من وجود الضوابط على الورق وعملها فعلياً.
4. **تقرير الفجوات والمخاطر**: درجات النضج والمخاطر والأولويات، مع الأدلة التي رُوجعت لكل ضابط.
5. **خارطة المعالجة**: مكاسب سريعة وإجراءات قصيرة وطويلة المدى، لكل منها مالك وجهد تقديري.
6. **دعم التنفيذ**: نكتب المستندات ونوجّه الإصلاحات التقنية وندرّب الموظفين.
7. **التحقق ودعم التدقيق**: نعيد اختبار الضوابط ونجهز حزم الأدلة لمدققي الهيئة أو البنك المركزي أو ISO.

## المخرجات المعتادة

- تقرير فجوات الامتثال بدرجات النضج
- سجل المخاطر وخارطة المعالجة
- السياسات والمعايير والإجراءات بالعربية والإنجليزية
- تحليل أثر الأعمال وخطط الاستمرارية
- إجراءات إدارة مخاطر الأطراف الخارجية
- هيكل مستودع الأدلة
- ملخص تنفيذي لمجلس الإدارة

## لماذا سايبرت

### من الرياض إلى الخليج

مقرنا الرئيسي في الرياض، ونعمل مع المؤسسات في أنحاء المملكة العربية السعودية ومنطقة الخليج.

### مستشارون معتمدون

يحمل فريقنا شهادات CISA وCISM وCRISC وCGEIT وCDPSE وCCSP وCCSK وCOBIT وISO 27001 Lead Auditor وغيرها.

### جاهزية تنظيمية

نعمل يومياً مع أطر الهيئة الوطنية للأمن السيبراني والبنك المركزي السعودي إلى جانب ISO وNIST وPCI-DSS، لتتوافق ضوابطك مع ما يتوقعه المدققون.

### تغطية متكاملة

ست خدمات مترابطة، من الاستراتيجية والتوعية إلى الاختبار والعمليات والسحابة والتقنية.

## الأسئلة الشائعة

### ما اللوائح والأطر التي تساعدوننا في الامتثال لها؟

ضوابط الهيئة الوطنية للأمن السيبراني (ECC وCSCC وCCC وOSMACC)، وإطار البنك المركزي السعودي SAMA CSF وCRF، إضافة إلى HIPAA وPCI-DSS وNIST وISO 27001 وSTAR وCIS Controls. ونربط ضوابطك بها جميعاً ضمن إطار تحكم موحد.

### هل تجهزوننا لتدقيق شهادة ISO 27001؟

نعم. نجهز المؤسسات لتدقيق الشهادات ومنها ISO 27001 وPCI-DSS وHIPAA، ونجري تدقيقاً داخلياً مسبقاً لسد الفجوات.

### ما المدة التي تغطيها استراتيجية الأمن السيبراني؟

ثلاث سنوات عادة، تُحدد بنهج بطاقة الأداء المتوازن مع نموذج تشغيلي لتنفيذها، ويمكن تعديل المدة بما يناسب مؤسستك.

### هل الضوابط الأساسية للأمن السيبراني إلزامية للشركات الخاصة؟

هي إلزامية للجهات الحكومية وللجهات الخاصة التي تملك بنية تحتية وطنية حساسة أو تشغّلها أو تستضيفها. وتتبناها شركات أخرى كثيرة لأن العملاء الحكوميين والمؤسسات الكبرى يشترطونها في العقود.

### كم يستغرق الامتثال للضوابط الأساسية أو إطار البنك المركزي؟

يستغرق تقييم الفجوات عادة من أسبوعين إلى ستة أسابيع، وتستغرق المعالجة غالباً من ثلاثة إلى اثني عشر شهراً بحسب حجمك ومستوى نضجك ومواردك.

### ما الفرق بين الضوابط الأساسية وإطار البنك المركزي؟

الضوابط الأساسية إطار قائم على الضوابط من الهيئة الوطنية للأمن السيبراني ويشمل قطاعات عدة. أما إطار البنك المركزي فقائم على النضج وخاص بالمؤسسات المالية. وقد تحتاج الجهات الخاضعة للبنك المركزي إلى استيفاء الاثنين.

### هل يمكن العمل على ISO 27001 والامتثال للهيئة معاً؟

نعم. بينهما تداخل كبير، لذا نبني برنامجاً واحداً متكاملاً فتنجز العمل مرة واحدة.

## خدمات ذات صلة

## هل أنت مستعد لحماية أعمالك؟

احجز استشارتك الأمنية المجانية اليوم.

---

Canonical page: https://cybrt.sa/ar/services/grc-consulting/
Guide for AI agents: https://cybrt.sa/llms.txt