في هذه الصفحة
بالشراكة مع جهة موثّقة ومسجّلة لدى الهيئة الوطنية للأمن السيبراني
تنفّذ Summit خدمات تقييم الثغرات واختبار الاختراق للجهات السعودية من أول المشروع إلى آخره بالشراكة مع جهة شريكة موثّقة ومسجّلة لدى الهيئة، وقد خدمت أكثر من 115 عميلاً في الرياض وجدة والدمام ومدن أخرى. تواصل مع فريقنا.
تقول الضوابط الأساسية «دورياً»، أما ضوابط الأنظمة الحساسة فتقول بالضبط كم مرة. ولمن يشغّل نظاماً حساساً، هذا يحسم النقاش.
هل نظامك «حساس»؟
النظام الحساس، بحسب تعريف الهيئة، هو كل نظام قد يؤدي تعطّله أو التغيير غير المشروع في عمله أو الوصول غير المصرّح إليه أو إلى بياناته إلى أثر سلبي على أعمال الجهة، أو إلى آثار اقتصادية أو مالية أو أمنية أو اجتماعية على المستوى الوطني. ومن معايير التحديد:
- أثر سلبي على الأمن الوطني أو على سمعة المملكة.
- خسائر مالية تتجاوز 0.01% من الناتج المحلي.
- تأثّر خدمات يستخدمها أكثر من 5% من السكان.
- فقدان أرواح.
- الإفصاح غير المصرّح به عن بيانات مصنّفة «سري للغاية» أو «سري».
- التأثير على عمليات قطاع حيوي واحد أو أكثر.
وتنطبق الضوابط على الجهات التي تمتلك مثل هذه الأنظمة أو تشغّلها. والالتزام بالضوابط الأساسية شرط مسبق، فلا يمكن الالتزام بضوابط الأنظمة الحساسة دون الالتزام بها (راجع دليلنا عن NCA ECC). وتتكوّن هذه الضوابط من 4 مكوّنات أساسية و21 مكوّناً فرعياً و32 ضابطاً أساسياً و73 ضابطاً فرعياً.
جدول الدوريات
| النشاط | الحد الأدنى | الضابط |
|---|---|---|
| تقييم الثغرات للمكوّنات التقنية للأنظمة الحساسة | شهرياً | 2-9-2 |
| التحديثات للأنظمة الخارجية أو المتصلة بالإنترنت | شهرياً | 2-9-1-2 |
| التحديثات للأنظمة الداخلية | كل ثلاثة أشهر | 2-9-1-2 |
| الثغرات الحرجة | معالجة فورية | 2-9-1-3 |
| اختبار الاختراق (كل المكوّنات والخدمات الداخلية والخارجية) | كل ستة أشهر | 2-10-1 و2-10-2 |
| مراجعة الإعدادات والتحصين | كل ستة أشهر | 2-3-1-6 |
| مراجعة قواعد جدار الحماية وقوائم الوصول | كل ستة أشهر | 2-4-1-2 |
| تقييم مخاطر الأمن السيبراني للأنظمة الحساسة | سنوياً، مع مراجعة السجل شهرياً | 1-2-1-1 و1-2-1-2 |
| اختبار استعادة النسخ الاحتياطية | كل ثلاثة أشهر | 2-8-2 |
| الاحتفاظ بسجلات أحداث الأمن السيبراني | 18 شهراً على الأقل | 2-11-2 |
| المراجعة الداخلية لتطبيق الضوابط | سنوياً | 1-4-1 |
| مراجعة مستقلة من خارج إدارة الأمن السيبراني | كل ثلاث سنوات | 1-4-2 |
ثلاث نقاط تختلف فيها عن الضوابط الأساسية
أولاً: النطاق أوسع. نطاق الاختبار في الضوابط الأساسية هو الخدمات المكشوفة على الإنترنت، أما الضابط 2-10-1-1 هنا فيوسّعه ليشمل كل المكوّنات التقنية للنظام الحساس وكل خدماته الداخلية والخارجية: الشبكات الداخلية وقواعد البيانات والبرمجيات الوسيطة وواجهات الإدارة وشبكة الإدارة.
ثانياً: «الفريق المؤهل» شرط منصوص. يتطلب الضابط 2-10-1-2 أن ينفّذ الاختبار فريق مؤهل، فاحتفظ بالسير الذاتية والشهادات ومنهجية العمل مع كل تقرير.
ثالثاً: انتبه للترقيم. تعيد هذه الضوابط ترقيم مكوّناتها: اختبار الاختراق هو 2-10 وإدارة الثغرات 2-9، أما 2-11 فيخص سجلات الأحداث والمراقبة، وهو غير الضابط 2-11 في الضوابط الأساسية (اختبار الاختراق). فاكتب على كل دليل اسم الإطار ورقم الضابط الصحيحين.
قيود تؤثر على طريقة تنفيذ الاختبار
ضابطان يحدّدان كيف يعمل مزوّد الاختبار على الأنظمة الحساسة:
- الضابط 2-2-1-1 يمنع الدخول عن بُعد إلى الأنظمة الحساسة من خارج المملكة. فإذا كان المختبِر سيتصل من الخارج فهذا يتعارض مع ضابطك أنت. والاختبار الداخلي للأنظمة الحساسة ينبغي أن يتم من داخل المملكة عبر وصول تتحكم فيه الجهة وتراقبه (2-2-1-2).
- الضابط 4-1-1-2 يشترط الاعتماد على شركات وجهات وطنية في خدمات الإسناد والخدمات المُدارة للأنظمة الحساسة بما يتوافق مع الأنظمة ذات العلاقة، والضابط 4-1-1-1 يشترط المسح الأمني للعاملين المسندين على هذه الأنظمة.
ضمّن هذين الشرطين في نطاق العمل قبل بدء الاختبار. فهذا أرخص بكثير من شرح اتصال خارجي للمدقق بعد وقوعه.
تقويم سنوي مقترح لاختبارات CSCC
إيقاع يناسب معظم مالكي الأنظمة الحساسة:
- كل شهر: فحص ثغرات موثّق لكل مكوّنات النظام الحساس، ومعالجة فورية للثغرات الحرجة، ومعالجة الثغرات الخارجية خلال الشهر، وتحديث سجل المخاطر.
- كل ثلاثة أشهر (الأشهر 3 و6 و9 و12): التأكد من تطبيق تحديثات الأنظمة الداخلية واختبار استعادة النسخ الاحتياطية.
- الشهران 6 و12: اختبار اختراق شامل للخدمات الداخلية والخارجية، مع مراجعة الإعدادات وقواعد جدار الحماية.
- الشهر 12: تقييم المخاطر السنوي والمراجعة الداخلية لتطبيق الضوابط.
- بعد أي تغيير جوهري: إعادة اختبار مركّزة على المكوّن الذي تغيّر، حتى لا تحمل دورة الأشهر الستة ثغرة معروفة.
أدلة تصمد أمام المراجعة
احتفظ مع كل اختبار اختراق نصف سنوي بنطاق الاختبار (مربوطاً بسجل أصول النظام الحساس، الضابط 2-1-1-1)، وسجلات الفريق المؤهل، والتقرير، وسجل المعالجة، وإعادة الاختبار. وللتقييم الشهري احتفظ بمخرجات الفحص وتذاكر المعالجة وملخص شهري معتمد من إدارة الأمن السيبراني. فالمدقق ينظر إلى الاتجاه عبر الأشهر لا إلى آخر ملف PDF فقط.
كيف تنفّذ Summit اختبارات CSCC؟
تقدّم Summit خدمات تقييم الثغرات واختبار الاختراق بالشراكة مع جهة شريكة موثّقة ومسجّلة لدى الهيئة الوطنية للأمن السيبراني. ندير الدورتين الشهرية والنصف سنوية كبرنامج واحد، ونبني نطاق المشروع على قواعد الوصول من داخل المملكة المذكورة أعلاه، ونربط التقارير بالضابطين 2-9 و2-10 وبالضوابط الأساسية التي تستند إليها. وقد خدمنا أكثر من 115 عميلاً في الرياض وجدة والدمام وغيرها، ونتولى تحديد النطاق والتنفيذ والدعم في المعالجة وتجهيز الأدلة من البداية إلى النهاية. ويكمل ذلك تقييم للمخاطر من خدماتنا يغطي تقييم المخاطر السنوي ومراجعة السجل الشهرية المنصوص عليهما في الضابط 1-2.
خطّط لدورتك القادمة
دعنا نبنِ معك تقويم اختبار يقدّم للمدقق صورة واضحة ومتسقة. خدمات اختبار الشبكات.
اقرأ أيضاً: متطلبات الضابط 2-11 في الضوابط الأساسية · كيف تختار مزوّد اختبار الاختراق وكم يكلّف
الأسئلة الشائعة
كم مرة يجب اختبار اختراق الأنظمة الحساسة؟
مرة كل ستة أشهر على الأقل بحسب الضابط 2-10-2، على أن يشمل الاختبار جميع المكوّنات التقنية وجميع الخدمات الداخلية والخارجية.
كم مرة يجب تقييم الثغرات في الأنظمة الحساسة؟
شهرياً على الأقل للمكوّنات التقنية للأنظمة الحساسة بحسب الضابط 2-9-2. وتُطبَّق التحديثات شهرياً على الأنظمة الخارجية أو المتصلة بالإنترنت، وكل ثلاثة أشهر على الأنظمة الداخلية.
هل تغني ضوابط الأنظمة الحساسة عن الضوابط الأساسية؟
لا. هي امتداد للضوابط الأساسية، والالتزام بالضوابط الأساسية شرط مسبق للالتزام بها.
هل يجوز اختبار الأنظمة الحساسة عن بُعد من خارج المملكة؟
الضابط 2-2-1-1 يمنع الدخول عن بُعد إلى الأنظمة الحساسة من خارج المملكة، فيجب أن يكون الوصول لأغراض الاختبار من داخل المملكة.
ما الفرق بين الضابط 2-10 هنا والضابط 2-11 في الضوابط الأساسية؟
الموضوع واحد وهو اختبار الاختراق، والاختلاف في الترقيم. لكن نطاق الأنظمة الحساسة أوسع، والدورية فيها محددة بستة أشهر كحد أدنى.
