عندما تبدأ الشركات السعودية في البحث عن متطلبات الأمن السيبراني، تقابل غالباً اسمين: الضوابط الأساسية للأمن السيبراني (NCA ECC) الصادرة عن الهيئة الوطنية للأمن السيبراني، ومعيار أرامكو السعودية SACS-210. يغطيان مجالات متقاربة، لكنهما صادران عن جهتين مختلفتين، وينطبقان على شركات مختلفة، ويُثبَت الالتزام بهما بطريقتين مختلفتين. والتعامل مع أحدهما كبديل للآخر خطأ شائع ومكلف.
جهتان مختلفتان وهدفان مختلفان
NCA ECC تصدرها الهيئة الوطنية للأمن السيبراني، الجهة التنظيمية الوطنية للأمن السيبراني. وتحدد الحد الأدنى من متطلبات الأمن السيبراني للجهات الحكومية وشركاتها، ولجهات القطاع الخاص التي تملك أو تشغّل أو تستضيف بنى تحتية وطنية حساسة. والإصدار الحالي هو ECC-2:2024 الذي حدّث الإصدار الأول الصادر عام 2018.
SACS-210 هو معيار أرامكو السعودية للأمن السيبراني للأطراف الثالثة، وحلّ محل SACS-002 في فبراير 2026. وهو ليس نظاماً وطنياً، بل متطلب تضعه أرامكو على الشركات التي تتعامل معها. ويلزم كل طرف ثالث يعالج معلومات أرامكو، أو يتصل بشبكتها، أو يصل إلى أجهزتها، أو يقدّم لها منتجات تقنية، مهما كان حجمه.
كيف يُبنى كل منهما؟
ينقسم ECC-2:2024 إلى أربعة مكونات رئيسية:
- حوكمة الأمن السيبراني.
- تعزيز الأمن السيبراني.
- صمود الأمن السيبراني.
- الأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية.
ويبدأ SACS-210 بـ33 متطلباً عاماً (من TPC-1.1 إلى TPC-1.33) تنطبق على جميع الأطراف الثالثة، مقسمة إلى الحوكمة والتحديد والحماية والاكتشاف والاستجابة. وللشركات المصنّفة في فئات خاصة، كالمتصلة بشبكة أرامكو أو التي تعالج بيانات سرية، متطلبات إضافية.
أين يتقاطعان؟
يطلب الإطاران نفس الأساسيات:
- الحوكمة: سياسات أمن سيبراني معتمدة ومسؤوليات محددة.
- الهوية والوصول: حساب مستقل لكل مستخدم، وأقل صلاحية ممكنة، والمصادقة متعددة العوامل.
- أمن البريد: مكافحة الرسائل المزعجة، وفحص المرفقات، وSPF وDKIM وDMARC.
- حماية الأجهزة: مكافحة البرمجيات الضارة، وجدار الحماية، والتحديثات.
- السجلات والمراقبة: سجلات تدقيق مفعّلة ومحمية.
- الاستجابة للحوادث: إجراء موثّق للتعامل مع الحوادث.
فالشركة التي طبّقت أحدهما تطبيقاً صحيحاً تكون قد أنجزت جزءاً كبيراً من العمل التقني للآخر.
أين يختلفان؟
- عمق الحوكمة: تتعمق ECC أكثر في الاستراتيجية وإدارة المخاطر والأدوار واستمرارية الأعمال، بينما تركّز المتطلبات العامة في SACS-210 على ضوابط عملية يستطيع المقاول تطبيقها وإثباتها بسرعة.
- متطلبات خاصة: في SACS-210 بنود لا تصاغ بنفس الطريقة في ECC، مثل إبلاغ أرامكو خلال 24 ساعة من اكتشاف أي حادث سيبراني (TPC-1.32)، واشتراط نطاق بريد خاص بالشركة (TPC-1.23)، وحظر وحدات الماكرو في ملفات Office الخارجية (TPC-1.24).
- طريقة إثبات الالتزام: في SACS-210 تحصل الشركة على شهادة الامتثال للأمن السيبراني (CCC) من جهة تدقيق معتمدة، بعد تقرير أدلة وجلسة تدقيق مباشرة، وتجددها قبل انتهائها. أما الالتزام بـECC فيُثبَت أمام الهيئة الوطنية للأمن السيبراني وفق آلية التقييم المطبّقة على الجهة.
أيهما ينطبق على شركتك؟
- تعمل مع أرامكو السعودية كمورّد أو مقاول أو مقدّم خدمة: ينطبق SACS-210، وتحتاج إلى شهادة CCC.
- جهة حكومية أو شركة مملوكة للحكومة أو تشغّل بنية تحتية وطنية حساسة: تنطبق ECC.
- الاثنان معاً: وهذا شائع لدى المقاولين الكبار. ابنِ برنامج أمن واحداً يحقق الأشد من الإطارين في كل مجال، ثم جهّز الأدلة التي يطلبها كل منهما.
- لا ينطبق أي منهما حالياً: تبقى ECC مرجعاً قوياً ومعترفاً به، والهيئة تشجع الجهات الأخرى على تطبيقها كأفضل ممارسة.
برنامج واحد لإطارين
الطريقة الأكفأ ليست مشروعين متوازيين، بل بناء الأساس المشترك مرة واحدة: الهوية، والبريد، والأجهزة، والسجلات، والسياسات. ثم إضافة ما يحتاجه كل إطار: عمق الحوكمة والصمود في ECC، والضوابط الخاصة وإجراءات الشهادة في SACS-210.
للقائمة الكاملة لضوابط SACS-210 اقرأ شرح ضوابط SACS-210 الـ33.
كيف تساعدك سراج؟
ننفّذ الإطارين: شهادة SACS-210 لمقاولي أرامكو، بأكثر من 300 شهادة منجزة، والامتثال لضوابط NCA ECC من تقييم الفجوات حتى ملف الأدلة.
أخبرنا بالإطار الذي تحتاجه ونوضح لك أين تقف شركتك.