اختبار الاختراق بحسب إطار الأمن السيبراني للبنك المركزي ما الذي تختبره البنوك والتقنية المالية؟

هذا الفرق بين السنوي (الإطار) ومرتين في السنة (CRFR) هو الخلط الأكثر شيوعاً الذي نراه في عروض الامتثال لشركات التقنية المالية السعودية.

أي وثيقة من ساما تنطبق عليك؟

أنت	الإطار الرئيسي	توقع اختبار الاختراق في النص
بنك مرخّص أو شركة تأمين أو تمويل أو جهة عضو أخرى في ساما	إطار ساما للأمن السيبراني (CSF)	الخدمات المقدمة للعملاء والمتصلة بالإنترنت: مراجعة واختبار اختراق سنويان (3.2.4)
شركة تقنية مالية تدخل البيئة التجريبية لساما أو تتقدم للترخيص	متطلبات المرونة السيبرانية الأساسية (CRFR)	اختبار اختراق مرتين في السنة كحد أدنى، أو بعد تغيير كبير أو حرج (3.2.6)

وتنص ساما على أن CRFR لا تحل محل إطاريها للأمن السيبراني واستمرارية الأعمال. وبعد الترخيص يُتوقع منك الالتزام بكامل متطلبات ساما. وكثير من شركات التقنية المالية تُبقي إيقاع المرتين في السنة بعد الترخيص، وقلّما يذهب هذا هدراً.

ما الذي يتطلبه البند 3.2.4 فعلاً؟

تحت عنوان «مراجعة الأمن السيبراني» يقول الإطار:

• تُجرى مراجعات الأمن السيبراني بشكل دوري للأصول المعلوماتية الحرجة؛
• تخضع الخدمات المقدمة للعملاء والمتصلة بالإنترنت لمراجعة واختبارات اختراق سنوية؛
• تُسجَّل تفاصيل كل مراجعة (النتائج والمشكلات والإجراءات الموصى بها) وتُرفع إلى مالك العمل؛
• تتأكد مراجعات المتابعة من معالجة المشكلات ومن التعامل الفعّال مع المخاطر الحرجة.

والنقطة الأخيرة مهمة. فنص ساما يجعل المتابعة جزءاً من المتطلب، وبذلك يكون اختبار الاختراق دون تتبّع للمعالجة وإعادة اختبار نصف ضابط فقط.

النضج: لماذا لا يكفي القول «أجرينا اختباراً»؟

يقيّم الإطار الجهات الأعضاء بحسب نموذج نضج، وينص القسم 2.4 على أن الجهات الأعضاء «يجب أن تعمل عند مستوى النضج 3 أو أعلى على الأقل»، حيث يُعرَّف المستوى 3 بأنه «مُهيكل ومُوثّق رسمياً». وعملياً يبدو برنامج الاختبار عند هذا المستوى كالتالي:

• محدد: معيار موثّق لاختبار الاختراق فيه قواعد النطاق والدورية وقواعد الاشتباك.
• مطبّق باتساق: كل خدمة ضمن النطاق تُختبر في موعدها، لا التطبيق الرئيسي وحده.
• متابَع: النتائج تُتتبّع حتى الإغلاق، وإعادة الاختبار موثّقة.

وتضيف المستويات الأعلى القياس: مؤشرات الاتجاه، ووقت المعالجة، ومعدل تكرار النتائج. ولدى ساما كذلك إطار منفصل لمحاكاة الهجمات الموجّهة بالاستخبارات للمؤسسات الكبرى هو FEER للفرق الحمراء الأخلاقية في القطاع المالي. وهو يكمل اختبار الاختراق الدوري ولا يحل محله.

تحديد نطاق اختبار اختراق جاهز لساما

بالنسبة لبنك نموذجي في الرياض أو شركة مدفوعات في جدة، تشمل «الخدمات المقدمة للعملاء والمتصلة بالإنترنت» عادةً:

• تطبيقات الخدمات المصرفية عبر الإنترنت والجوال (iOS وAndroid) وواجهاتها البرمجية؛
• واجهات الصيرفة المفتوحة وواجهات الشركاء؛
• صفحات الدفع وبوابات التجار؛
• مسارات تسجيل العملاء الجدد والتحقق الإلكتروني من الهوية؛
• البنية المتصلة بالإنترنت: البوابات وشبكات VPN والبريد؛
• المكوّنات المستضافة لدى أطراف ثالثة وأنت مسؤول عنها.

وملاحظتان عمليتان. الأولى: الاختبار على بيئة الإنتاج في بنك يحتاج تفويضاً صريحاً ونوافذ زمنية متفقاً عليها وشروط إيقاف وتنسيقاً مع مركز العمليات الأمنية، فاكتب ذلك في قواعد الاشتباك. والثانية: إذا كانت مؤسستك تمتلك بنية تحتية وطنية حرجة أو تشغّلها، فإن ضوابط الهيئة ECC-2:2024 وربما CSCC تنطبق أيضاً. فاربط اختباراً واحداً بجميع الضوابط المنطبقة بدل شراء ثلاثة اختبارات منفصلة.

الأدلة التي يتوقعها فاحص ساما

• سياسة أو معيار لاختبار الاختراق معتمد عبر الحوكمة لديك.
• خطة اختبار سنوية تغطي كل خدمة موجهة للعملاء أو متصلة بالإنترنت.
• تقارير فيها المنهجية وتصنيفات الخطورة والأدلة.
• سجل متابعة المعالجة وتقارير إعادة الاختبار («مراجعات المتابعة» في 3.2.4).
• رفع التقارير إلى مالكي الأعمال، وملخصات إلى لجنة الأمن السيبراني.

كيف تساعد Summit؟

تنفّذ Summit اختبار الاختراق للمؤسسات المالية بالشراكة مع جهة موثّقة ومسجّلة لدى الهيئة الوطنية للأمن السيبراني، بنطاق مبني على البند 3.2.4 في إطار ساما، وعلى CRFR لشركات التقنية المالية في مرحلة البيئة التجريبية والترخيص، وعلى ضوابط الهيئة حيث تنطبق. ونتولى المشروع من أوله إلى آخره، من قواعد الاشتباك إلى إعادة الاختبار وحزمة الأدلة، وقد دعمنا أكثر من 115 عميلاً في الرياض وجدة والدمام ومدن أخرى. ويكمل الاختبار تقييم للمخاطر من خدماتنا لمجال إدارة المخاطر في الإطار.

اجعل مراجعة ساما القادمة هادئة

تحدث إلى Summit عن برنامج اختبار اختراق مرتبط بإطار ساما وCRFR. اطّلع على اختبار تطبيقات الجوال.

اقرأ أيضاً: اختبار الاختراق بحسب ECC-2:2024 · دورية الاختبار في CSCC