إطار الأمن السيبراني الصادر عن البنك المركزي السعودي

حقائق أساسية

الجهة المُصدِرة

البنك المركزي السعودي

الإصدار

الإصدار 1.0، صدر في مايو 2017، وعنوانه في دليل أنظمة البنك: الدليل التنظيمي لأمن المعلومات في القطاع المالي

ينطبق على

المؤسسات المالية الخاضعة لإشراف البنك المركزي السعودي

الهيكل

4 مجالات رئيسية

هدف النضج

مستوى النضج 3 على الأقل

المجالات الرئيسية الأربعة

• قيادة وحوكمة الأمن السيبراني
• إدارة مخاطر الأمن السيبراني والالتزام
• عمليات وتقنيات الأمن السيبراني
• الأمن السيبراني للأطراف الثالثة

المجال الرابع، الأمن السيبراني للأطراف الثالثة، هو الأكثر عرضة للإهمال لدى المؤسسات. فالموردون ومقدمو الخدمات جزء من وضعك الأمني، والإطار يتعامل معهم على هذا الأساس.

هدف مستوى النضج

يطلب نموذج النضج لدى البنك المركزي السعودي أن تبلغ المؤسسات المالية مستوى النضج 3 على الأقل. وبحسب نص الإطار، تحقيق المستوى 3 يعني أن تحدد المؤسسة ضوابط الأمن السيبراني وتعتمدها وتطبقها.

والمعنى العملي أن النوايا الموثقة لا تكفي، فلا بد أن تكون الضوابط معتمدة ومطبقة فعليًا، مع أدلة تثبت ذلك.

معايير البطاقات وEMV وسويفت

ينص البند 3.2.3 من الإطار، الخاص بالالتزام بالمعايير الوطنية والدولية للقطاع، على أن تلتزم البنوك بمعيار PCI DSS ومعيار EMV وإطار ضوابط أمن العملاء لدى سويفت. أما سائر المؤسسات المالية الخاضعة لإشراف البنك المركزي فيستثنيها البند 1.4 من البند 3.2.3، لكن يجب عليها تطبيق معيار PCI DSS و/أو إطار سويفت إذا كانت تخزن بيانات حاملي البطاقات أو تعالجها أو تنقلها أو تتعامل مع خدمات سويفت.

تطبيقه مع بقية التنظيمات السعودية

يحكم إطار البنك المركزي المؤسسات الخاضعة لإشرافه، ولا يحل محل التنظيمات الوطنية: فالمؤسسة الخاضعة لإشرافه عليها التزامات أيضًا بموجب نظام حماية البيانات الشخصية، وبعض المؤسسات تقع كذلك ضمن نطاق الهيئة الوطنية للأمن السيبراني. اربطها جميعًا بمجموعة ضوابط واحدة بدلًا من إدارة برامج متوازية.

من أين تبدأ

1. قيّم كل مجال بناءً على الأدلة، وحدد مستوى نضجك الحالي بصدق.
2. ابدأ بسد الفجوات التي تبقيك دون مستوى النضج 3.
3. أعطِ مجال الأطراف الثالثة الاهتمام ذاته: احصر مورديك، وحدد المتطلبات في العقود، وراجعها دوريًا.
4. حافظ على حداثة الأدلة لتكون أي مراجعة إجراءً روتينيًا لا سباقًا مع الوقت.