في هذه الصفحة
تحتاج إلى تقييم رسمي وفق ضوابط الهيئة؟ ننفّذ المشروع كاملاً نيابة عنك، ونمرّر التدقيق الرسمي عبر شركائنا المحليين في المملكة، فتتعامل مع فريق واحد وتُنجز كل أعمالك.
الانتقال إلى السحابة لا ينقل التزاماتك تجاه الهيئة إلى مزوّد السحابة. وضوابط الحوسبة السحابية توضح ذلك صراحة: فهي تمنح مقدّم الخدمة والمستفيد واجبات منفصلة، وتنتظر من كل طرف أدلة على الجانب الذي يخصه. والاختبار هو مصدر هذه الأدلة.
ما ضوابط الحوسبة السحابية؟
تصدر هذه الضوابط عن الهيئة الوطنية للأمن السيبراني، وتأتي إلى جانب الضوابط الأساسية للأمن السيبراني لتضيف متطلبات لا معنى لها إلا في السحابة: كيف يفصل مقدّم الخدمة بين عملائه، وكيف تُحمى البيانات في بنية مشتركة، وما الذي يجب على المستفيد فعله لتأمين أحمال العمل التي يشغّلها.
- الجهة المُصدِرة
- الهيئة الوطنية للأمن السيبراني، المملكة العربية السعودية
- الإصدار الحالي
- CCC-2:2024
- تنطبق على
- مقدّمي الخدمات السحابية والمستفيدين منها
- العلاقة بالضوابط الأساسية
- امتداد ومكمّل لها، وتبقى الضوابط الأساسية سارية
- المجالات
- الحوكمة، والتعزيز، والصمود، والأمن السيبراني المتعلق بالأطراف الخارجية
- ما يحدد واجباتك
- دورك، ونموذج الخدمة، وحساسية البيانات
مقدّم الخدمة أم المستفيد: من يختبر ماذا؟
مقدّمو الخدمات السحابية
اختبر المنصة التي تقدّمها: واجهات الإدارة وبوابات العملاء، والعزل بين العملاء على مستوى الأجهزة الافتراضية والحاويات، وواجهات المزوّد البرمجية، وأنظمة الهوية، والشبكة التي تربط العملاء بالخدمة.
المستفيدون من الخدمات السحابية
اختبر ما تبنيه وتضبطه: الهويات والأدوار السحابية، وانكشاف التخزين وقواعد البيانات، ومجموعات أمن الشبكة، وعناقيد Kubernetes، والدوال بدون خادم، والتطبيقات والواجهات البرمجية التي تشغّلها.
كثير من الجهات السعودية تجمع الدورين: فشركة البرمجيات كخدمة مستفيدة من مزوّد السحابة، ومقدّمة خدمة لعملائها في الوقت نفسه. وفي هذه الحالة تتحمل المجموعتين من الواجبات، ويجب أن تعكس خطة الاختبار ذلك.
ماذا يغطي اختبار السحابة الجاهز لهذه الضوابط؟
- الهوية والصلاحيات: أدوار بصلاحيات زائدة، ومفاتيح غير مستخدمة، وحسابات مميزة بلا تحقق متعدد العوامل، ومسارات لرفع الصلاحيات داخل الحساب السحابي
- التخزين وانكشاف البيانات: حاويات تخزين أو لقطات أو قواعد بيانات مكشوفة للعامة، وبيانات يقرؤها دور غير مخوّل
- ضوابط الشبكة: مجموعات الأمن، ومنافذ الإدارة المكشوفة، والمسارات بين بيئات يجب فصلها
- أحمال العمل: الأجهزة الافتراضية والحاويات وKubernetes والدوال بدون خادم، بما في ذلك الأسرار المخزنة في الشيفرة أو متغيرات البيئة
- التطبيقات والواجهات البرمجية: ثغرات المصادقة والتفويض في الخدمات التي تعالج بياناتك
- التشفير والمفاتيح: تشفير البيانات أثناء التخزين والنقل، ومن يستطيع استخدام المفاتيح أو تصديرها
- السجلات والرصد: هل سُجّل نشاط الهجوم أثناء الاختبار وهل لوحظ
- العزل بين العملاء (لمقدّمي الخدمة): هل يستطيع عميل الوصول إلى بيانات عميل آخر أو موارده
مراجعة الإعدادات وحدها تخبرك بما هو مضبوط خطأً. أما اختبار الاختراق فيُظهر كيف تتسلسل هذه الأخطاء معاً، وهو ما يحتاج المدقق ومجلس الإدارة إلى فهمه فعلاً. وخدمة تقييم أمن السحابة لدينا تجمع الأمرين.
كيف تبني ضوابط السحابة على اختبارات الضوابط الأساسية؟
تشترط الضوابط الأساسية اختبار اختراق دورياً للخدمات المكشوفة على الإنترنت (انظر دليل الضابط 2-11). وضوابط السحابة لا تلغي ذلك، بل توسّع الصورة لتشمل سطح الهجوم الخاص بالسحابة الذي قد يفوته الاختبار الخارجي التقليدي: مستوى التحكم السحابي، والهويات، وخدمات التخزين، والفصل بين العملاء. وإن كنت تشغّل أنظمة حساسة في السحابة، فتنطبق عليها دورة الأشهر الستة في ضوابط الأنظمة الحساسة أيضاً.
| الإطار | محور الاختبار | على من ينطبق |
|---|---|---|
| الضوابط الأساسية ECC | اختبار اختراق دوري للمكوّنات التقنية والخدمات المكشوفة على الإنترنت | الجهات الحكومية ومشغّلو البنى التحتية الوطنية الحساسة المشمولون |
| ضوابط الأنظمة الحساسة CSCC | تقييم ثغرات شهري واختبار اختراق كل ستة أشهر للأنظمة الحساسة | مالكو الأنظمة الحساسة ومشغّلوها |
| ضوابط الحوسبة السحابية CCC | أحمال العمل والهويات والإعدادات والواجهات البرمجية السحابية والعزل بين العملاء | مقدّمو الخدمات السحابية والمستفيدون المشمولون |
الاختبار في السحابة دون مخالفة القواعد
- راجع سياسة الاختبار لدى مزوّدك. معظم المزوّدين الكبار يسمحون للعميل باختبار موارده ويمنعون اختبارات حجب الخدمة والهجوم على البنية المشتركة.
- حدّد الحدود. اذكر الحسابات أو الاشتراكات أو المشاريع والمناطق والخدمات المشمولة، واستبعد كل ما لا تملكه.
- اتفق على الوصول ومعالجة البيانات. حدّد من أين يتصل المختبرون، وكيف تُحفظ بيانات الاختبار، وكيف يُسحب الوصول بعد الانتهاء، بما يتوافق مع تصنيف بياناتك.
- ابدأ بالهويات. كثير من اختراقات السحابة يبدأ ببيانات الاعتماد والأدوار لا بالمنافذ المفتوحة.
- أعد الاختبار ووثّق. احتفظ بالتقرير والإصلاحات وإعادة الاختبار معاً للمدقق.
موقع البيانات مهم
تتناول ضوابط الحوسبة السحابية أيضاً مكان تخزين البيانات ومعالجتها، وتعتمد القواعد على تصنيف البيانات. احسم موقع البيانات ووصول المختبرين قبل بدء المشروع، كما تفعل مع أي نظام يحتوي بيانات مصنّفة.
الأدلة التي يطلبها المدقق
احتفظ لكل بيئة سحابية مشمولة بما يلي: سجل الأصول والحسابات المستخدم لتحديد النطاق، وخطة الاختبار والتحقق من سياسة المزوّد، وتقارير اختبار الاختراق ومراجعة الإعدادات، وتذاكر المعالجة، ونتائج إعادة الاختبار. ويضيف مقدّم الخدمة نتائج اختبار العزل بين العملاء وما يثبت فصل بيانات العملاء وبيئاتهم. واربط كل نتيجة بالضابط الذي تدعمه في ضوابط السحابة والضوابط الأساسية ليتتبع المدقق المسار بسهولة.
كيف تدعم Summit الالتزام بضوابط الحوسبة السحابية؟
تختبر Summit البيئات السحابية لمقدّمي الخدمات والمستفيدين في المملكة: مراجعة الهويات والإعدادات السحابية، واختبار اختراق أحمال العمل والواجهات البرمجية والتطبيقات، واختبار العزل بين العملاء لمقدّمي الخدمة. ونعمل مع جهة شريكة موثّقة ومسجّلة لدى الهيئة الوطنية للأمن السيبراني، ونبني نطاق المشروع على تصنيف البيانات ومتطلبات الوصول من داخل المملكة، ونربط النتائج بضوابط السحابة والضوابط الأساسية. وقد خدمنا أكثر من 100 عميل في الرياض وجدة والدمام وغيرها.
تستعد لمراجعة ضوابط الحوسبة السحابية؟
نحدد نطاق اختبار سحابي يغطي جانبك من نموذج المسؤولية المشتركة، ونسلّمك أدلة يستطيع المدقق تتبعها. تواصل مع فريقنا.
اقرأ أيضاً: كيف تختار مزوّد اختبار الاختراق في السعودية وكم يكلّف · اختبار الاختراق بحسب إطار الأمن السيبراني للبنك المركزي
الأسئلة الشائعة
ما ضوابط الأمن السيبراني للحوسبة السحابية CCC؟
هي ضوابط تصدرها الهيئة الوطنية للأمن السيبراني في المملكة العربية السعودية، وتحدد متطلبات الأمن السيبراني لمقدّمي الخدمات السحابية وللمستفيدين منها، أي الجهات التي تستخدم الخدمات السحابية. والإصدار الحالي هو CCC-2:2024.
هل تغني ضوابط الحوسبة السحابية عن الضوابط الأساسية؟
لا. هي امتداد للضوابط الأساسية للأمن السيبراني ومكمّلة لها بمتطلبات خاصة بالسحابة، وتبقى الجهات المشمولة ملزمة بالضوابط الأساسية بما فيها ضابط اختبار الاختراق.
هل تشترط ضوابط الحوسبة السحابية اختبار الاختراق؟
نعم. يغطي مجال تعزيز الأمن السيبراني في هذه الضوابط إدارة الثغرات واختبار اختراق الخدمات وأحمال العمل السحابية، إضافة إلى متطلبات الضوابط الأساسية. ويعتمد النطاق والعمق على دورك كمقدّم خدمة أو مستفيد وعلى حساسية البيانات المستضافة.
من المسؤول عن الاختبار في السحابة، مقدّم الخدمة أم المستفيد؟
كلاهما، كلٌّ في طبقته. مقدّم الخدمة يختبر المنصة السحابية والعزل بين العملاء، والمستفيد يختبر أحمال العمل والهويات والإعدادات والتطبيقات والبيانات الخاصة به. ويجب أن يوضح نموذج المسؤولية المشتركة والعقد هذا التقسيم.
هل أحتاج إذناً من مزوّد السحابة لإجراء اختبار الاختراق؟
ينشر مزوّدو السحابة الكبار سياسات للاختبار. كثير منها يسمح للعميل باختبار موارده دون موافقة مسبقة، لكنه يمنع اختبارات حجب الخدمة والهجوم على البنية المشتركة للمزوّد. راجع السياسة الحالية لمزوّدك قبل البدء.
