في هذه الصفحة
بالشراكة مع جهة موثّقة ومسجّلة لدى الهيئة الوطنية للأمن السيبراني
تنفّذ Summit خدمات تقييم الثغرات واختبار الاختراق للجهات السعودية من أول المشروع إلى آخره بالشراكة مع جهة شريكة موثّقة ومسجّلة لدى الهيئة، وقد خدمت أكثر من 115 عميلاً في الرياض وجدة والدمام ومدن أخرى. تواصل مع فريقنا.
النص نفسه قصير. الصعوبة في تحويل كلمة «دورياً» إلى برنامج عمل واضح يصمد أمام التقييم، وهذا ما يشرحه هذا الدليل.
من الجهات المُلزَمة بالضوابط الأساسية؟
تنطبق الضوابط على الجهات الحكومية في المملكة من وزارات وهيئات ومؤسسات، وعلى الشركات والجهات التابعة لها داخل المملكة وخارجها، وعلى جهات القطاع الخاص التي تمتلك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها. وتشجّع الهيئة بقية الجهات على تبنّيها كأفضل ممارسة. ويغطي دليلنا عن ضوابط NCA ECC الإطار كاملاً.
وتتكوّن الضوابط من 4 مكوّنات أساسية و28 مكوّناً فرعياً و108 ضوابط أساسية و92 ضابطاً فرعياً. واختبار الاختراق جزء صغير منها، لكنه من أسهل الضوابط على المقيّم فحصاً: فالدليل إما موجود أو غير موجود.
وإن كنت شركة خاصة غير مالكة لبنى تحتية حساسة، فاقرأ فقرة NCNICC-1:2025 أدناه، فقد أصدرت الهيئة مرجعاً مستقلاً لجهات القطاع الخاص.
نص الضابط 2-11 وما يعنيه عملياً
| الضابط | المتطلب | الترجمة العملية |
|---|---|---|
| 2-11-1 | تحديد متطلبات اختبار الاختراق وتوثيقها واعتمادها | سياسة أو معيار معتمد من صاحب الصلاحية |
| 2-11-2 | تطبيق المتطلبات | اختبارات تُنفَّذ فعلاً وتطابق السياسة |
| 2-11-3-1 | النطاق: كل الخدمات المقدَّمة عبر الإنترنت ومكوّناتها، من بنية تحتية ومواقع وتطبيقات ويب وتطبيقات جوال وبريد ودخول عن بُعد | سطح الهجوم الخارجي كاملاً، لا الموقع الإلكتروني وحده |
| 2-11-3-2 | إجراء الاختبار دورياً | دورية محددة ومبرَّرة على أساس المخاطر |
| 2-11-4 | مراجعة تطبيق المتطلبات دورياً | محضر مراجعة لآلية الاختبار نفسها |
يلفت النظر أمران. الأول أن قائمة النطاق صريحة، فإذا غابت بوابة الشبكة الخاصة الافتراضية أو البريد أو تطبيق الجوال فهذه ملاحظة مهما كان اختبار تطبيق الويب متقناً. والثاني أن الضوابط لا تحدد رقماً، فهي لا تقول «سنوياً» بل تكتفي بـ«دورياً».
كم مرة نختبر؟
لأن النص يقول «دورياً»، فالدورية قرارك وأنت من يدافع عنه. وهذا ما نوصي به عادةً:
- حدّ أدنى سنوي لكل خدمة مكشوفة على الإنترنت. هذا ما يتوقعه معظم المقيّمين ويناسب أغلب الميزانيات.
- اختبار عند التغيير. يشترط الضابط 1-5-3 تقييم المخاطر قبل التغييرات الجوهرية في البنية التقنية وقبل إطلاق خدمات تقنية جديدة، فاربط الاختبار بالمحطات نفسها. بوابة عملاء جديدة؟ اختبرها قبل الإطلاق.
- الأنظمة الحساسة. إن صُنّف لديك نظام حساس، فإن ضوابط الأنظمة الحساسة (CSCC) تُنهي الغموض وتُلزمك باختباره كل ستة أشهر على الأقل. التفاصيل في دليلنا عن CSCC.
ثبّت الدورية في السياسة التي تعتمدها بموجب 2-11-1. فالمقيّم يطمئن إلى عبارة مثل «سنوياً وقبل كل إطلاق جوهري وفق السياسة كذا» أكثر من جدول لا يلتزم به أحد.
الفرق بين إدارة الثغرات (2-10) واختبار الاختراق (2-11)
يخلط كثيرون بين الأمرين، والضوابط تعاملهما كمكوّنين منفصلين:
- 2-10 إدارة الثغرات تتطلب فحصاً دورياً للثغرات وتصنيفها حسب الخطورة ومعالجتها على أساس المخاطر وإدارة التحديثات. أي الفحص المستمر أو المجدول.
- 2-11 اختبار الاختراق يحاكي أساليب الهجوم الحقيقية ليكشف ما لا تكشفه أدوات الفحص: تسلسل الثغرات، وإساءة استخدام منطق الأعمال، وضعف التحكم في الصلاحيات.
تقرير الفحص النظيف لا يحقق 2-11، واختبار الاختراق لا يحقق 2-10. تحتاج إلى الاثنين معاً، ومن مجموعهما جاء المصطلح الشائع: تقييم الثغرات واختبار الاختراق (VAPT).
ملف الأدلة الذي يطلبه المقيّم
تقيس الهيئة الالتزام بالتقييم الذاتي وتقارير أداتها الخاصة بالالتزام والزيارات الميدانية. ولكي يكتمل ملف الضابط 2-11 يلزمك عادةً:
- سياسة أو معيار اختبار اختراق معتمد: مؤرخ ومرقّم الإصدار وموقّع (2-11-1).
- خطة اختبار سنوية: الأصول والمواعيد ونوع الاختبار والجهة المنفِّذة.
- مطابقة النطاق: قائمة الأصول المختبَرة مقابل سجل الأصول لديك (المكوّن 2-1). وعدم التطابق هنا أكثر أسباب بقاء الملاحظة مفتوحة.
- تقارير الاختبار: المنهجية والنتائج المصنّفة حسب الخطورة والأدلة وتوصيات المعالجة.
- سجل المعالجة: المسؤول والموعد والحالة لكل ملاحظة.
- نتائج إعادة الاختبار: إثبات أن الملاحظات الحرجة والعالية عولجت فعلاً.
- محضر مراجعة الآلية: ما يثبت أنك راجعت آلية الاختبار نفسها (2-11-4).
- عقد الطرف الثالث: إن نفّذ الاختبار مزوّد خارجي، فيجب أن يتضمن عقده متطلبات الضابط 4-1، ومنها السرية والحذف الآمن للبيانات.
أخطاء نراها كثيراً
- إغفال الدخول عن بُعد. بوابات الشبكة الخاصة الافتراضية وأنظمة سطح المكتب البعيد وأدوات الدعم عن بُعد مذكورة نصاً في 2-11-3-1 ومع ذلك تُهمَل.
- اختبار تطبيق الجوال كواجهة برمجية فقط. الضابط يذكر تطبيقات الهواتف والأجهزة اللوحية بالاسم، فاختبر التطبيق نفسه لا الخادم وحده.
- إهمال البريد الإلكتروني. بوابات البريد وخدمات الويب ميل داخلة في النطاق.
- غياب إعادة الاختبار. تقرير فيه 14 ملاحظة عالية دون متابعة ليس التزاماً، بل عبء موثّق في ملفك.
- الخلط في الترقيم. اختبار الاختراق في CSCC هو 2-10 لا 2-11 (فـ2-11 هناك للسجلات). والأدلة المنسوبة إلى رقم إطار خاطئ تربك المراجع.
ماذا عن شركات القطاع الخاص؟
أصدرت الهيئة في 28 ديسمبر 2025 ضوابط الأمن السيبراني لجهات القطاع الخاص من غير ذوات البنى التحتية الحساسة (NCNICC-1:2025). وبحسب القراءات المنشورة، تطبّق الشركات الكبيرة (الفئة «أ»: أكثر من 250 موظفاً أو إيرادات تتجاوز 200 مليون ريال) جميع الضوابط الأساسية الـ65 بما فيها اختبار الاختراق، بينما تطبّق الفئة «ب» (من 6 إلى 249 موظفاً أو إيرادات بين 3 و200 مليون ريال) مجموعة إلزامية مخففة من 26 ضابطاً، ويلزم التحقق من النص الرسمي لمعرفة ما إذا كان اختبار الاختراق إلزامياً لها. وحتى حيث يكون الاختبار اختيارياً، يبقى اختبار خارجي محدد النطاق أرخص وسيلة لإثبات «التدابير المعقولة» أمام العملاء والجهات التنظيمية مثل سدايا.
كيف تساعدك Summit؟
تقدّم Summit خدمات تقييم الثغرات واختبار الاختراق بالشراكة مع جهة شريكة موثّقة ومسجّلة لدى الهيئة الوطنية للأمن السيبراني، وتتولى المشروع من أوله إلى آخره: تحديد النطاق على أساس سجل الأصول، والتنفيذ، وتقرير مربوط بالضابطين 2-10 و2-11، وورشة المعالجة، وإعادة الاختبار، وتجهيز ملف الأدلة. وقد خدمنا أكثر من 115 عميلاً في الرياض وجدة والدمام ومدن أخرى.
وإن كنت تبني جانب الحوكمة أيضاً، فيمكن أن يصاحب الاختبار تقييم لمخاطر الأمن السيبراني من خدماتنا، فالضابط 1-5 يتوقع تقييم المخاطر في اللحظات نفسها التي تحتاج فيها إلى اختبار.
هل أنت جاهز لإغلاق الضابط 2-11؟
احجز جلسة لتحديد النطاق مع فريق Summit. سنربط ما تكشفه منظومتك على الإنترنت بالضابط 2-11 وننفّذ الاختبار، بالشراكة مع جهتنا الشريكة المسجّلة لدى الهيئة، بحيث لا يجد المقيّم ما يتتبعه. تواصل مع فريق اختبار الاختراق.
اقرأ أيضاً: دورية الاختبار في ضوابط الأنظمة الحساسة · كيف تختار مزوّد اختبار الاختراق في السعودية · اختبار الاختراق وفق إطار ساما
الأسئلة الشائعة
هل تشترط الضوابط الأساسية اختبار اختراق سنوياً؟
لا يرد ذلك نصاً. الضابط 2-11-3-2 يشترط إجراء الاختبار دورياً ويترك تحديد الدورية للجهة. والاختبار السنوي لجميع الخدمات المكشوفة على الإنترنت مع الاختبار قبل التغييرات الجوهرية خط أساس يمكن الدفاع عنه. أما الأنظمة الحساسة فتُختبر كل ستة أشهر على الأقل.
ما الذي يشمله نطاق الضابط 2-11؟
جميع الخدمات المقدَّمة عبر الإنترنت ومكوّناتها التقنية: البنية التحتية، والمواقع، وتطبيقات الويب، وتطبيقات الهواتف والأجهزة اللوحية، والبريد الإلكتروني، والدخول عن بُعد.
هل يكفي فحص الثغرات الآلي لتحقيق الامتثال؟
لا. الفحص يخدم الضابط 2-10 الخاص بإدارة الثغرات، أما اختبار الاختراق فضابط مستقل هو 2-11 ويتطلب محاكاة هجمات فعلية على الخدمات الداخلة في النطاق.
من الجهات المُلزَمة بالضوابط الأساسية؟
الجهات الحكومية والشركات التابعة لها داخل المملكة وخارجها، وجهات القطاع الخاص التي تمتلك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها. وتشجّع الهيئة بقية الجهات على تبنّيها كأفضل ممارسة.
ما الأدلة التي يطلبها التقييم؟
سياسة اختبار اختراق معتمدة، وخطة اختبار، ومطابقة النطاق مع سجل الأصول، وتقارير الاختبار، وسجل معالجة الملاحظات، ونتائج إعادة الاختبار، ومحضر المراجعة الدورية لآلية الاختبار.
