تُعدّ شهادة الامتثال للأمن السيبراني (CCC) شرطاً أساسياً لأي شركة تعمل مع أرامكو السعودية كطرف ثالث. ومنذ فبراير 2026 أصبحت هذه الشهادة تصدر وفق معيار SACS-210، وهو معيار أرامكو للأمن السيبراني للأطراف الثالثة الذي حلّ محل SACS-002.
في هذا المقال نشرح بلغة بسيطة المتطلبات العامة في المعيار، وهي 33 ضابطاً مرقّمة من TPC-1.1 إلى TPC-1.33، وتنطبق على جميع الأطراف الثالثة مهما كان حجمها أو نوع خدماتها. ولكل ضابط نوضح ما يعنيه عملياً داخل شركتك.
ملاحظة: هذا المقال شرح مبسّط للتوعية. المرجع الرسمي هو نص معيار SACS-210 الصادر عن أرامكو السعودية.
كيف يُقسَّم معيار SACS-210؟
يقسّم المعيار الضوابط العامة إلى خمسة محاور:
- الحوكمة (Govern): من TPC-1.1 إلى TPC-1.7.
- التحديد (Identify): الضابط TPC-1.8.
- الحماية (Protect): من TPC-1.9 إلى TPC-1.30.
- الاكتشاف (Detect): الضابط TPC-1.31.
- الاستجابة (Respond): الضابطان TPC-1.32 وTPC-1.33.
وإلى جانب المتطلبات العامة، توجد متطلبات خاصة إضافية للشركات التي تندرج تحت فئات معيّنة، مثل الشركات المتصلة بشبكة أرامكو، أو التي تدير خدمات تملكها أرامكو، أو التي تعالج بيانات سرية، أو التي تعمل على التقنيات التشغيلية. هذا المقال يغطي المتطلبات العامة فقط.
أولاً: الحوكمة (TPC-1.1 إلى TPC-1.7)
TPC-1.1 الالتزام بالأنظمة
على الشركة الالتزام المستمر بجميع الأنظمة والتعليمات المتعلقة بالأمن السيبراني وحماية البيانات في المملكة العربية السعودية.
TPC-1.2 سياسة الاستخدام المقبول
إعداد سياسة استخدام مقبول (AUP) واعتمادها وتعميمها على الموظفين. هذه السياسة توضح للموظف ما يُسمح به وما يُمنع عند استخدام أجهزة الشركة وبريدها وأنظمتها.
TPC-1.3 سياسات ومعايير الأمن السيبراني
يجب أن تكون لدى الشركة سياسات مكتوبة ومعتمدة تغطي على الأقل ثمانية مجالات:
- إدارة الأصول.
- إدارة الوصول.
- الأمن المادي.
- الإتلاف الآمن للوسائط ومسح البيانات.
- تصنيف الأصول والبيانات والتعامل معها.
- إدارة الحوادث.
- إدارة الثغرات والتحديثات.
- استمرارية الأعمال والتعافي من الكوارث.
TPC-1.4 إجراءات تعيين الموظفين وإنهاء خدماتهم
إجراء موثّق لتعيين الموظفين يشمل التحقق من خلفياتهم، وإجراء موثّق لإنهاء خدماتهم يشمل استرجاع الأجهزة وإلغاء صلاحيات الوصول.
TPC-1.5 الحصول على شهادة CCC
الحصول على شهادة الامتثال للأمن السيبراني من جهة تدقيق معتمدة، وتقديمها لأرامكو عبر الإجراء المعتمد.
TPC-1.6 تجديد الشهادة قبل انتهائها
تجديد الشهادة قبل تاريخ انتهائها. شهادة CCC صالحة لمدة 24 شهراً، لذلك ننصح بالبدء في تجديد شهادة SACS-210 قبل الانتهاء بنحو شهرين.
TPC-1.7 مشاركة البيانات على قدر الحاجة
لا تُشارك بيانات أرامكو إلا مع الأشخاص الذين يعملون فعلياً على نطاق العقد.
ثانياً: التحديد (TPC-1.8)
TPC-1.8 جرد الأصول
آلية فعّالة لجرد جميع أصول المعلومات والتقنية: أجهزة الكمبيوتر والخوادم وأجهزة الشبكة والأنظمة، مع الحفاظ على دقة القائمة وتحديثها.
ثالثاً: الحماية (TPC-1.9 إلى TPC-1.30)
هذا المحور هو الأكبر في المعيار، ويضم معظم الضوابط التقنية.
الهوية والوصول (TPC-1.9 إلى TPC-1.15)
- TPC-1.9 إدارة مركزية للهوية: إدارة حسابات المستخدمين وصلاحياتهم من نظام مركزي، مثل Microsoft Entra ID أو Google Workspace، على أساس الحاجة إلى المعرفة وأقل صلاحية ممكنة وفصل المهام.
- TPC-1.10 حساب مستقل لكل مستخدم: لا حسابات مشتركة بين الموظفين.
- TPC-1.11 كلمات المرور: طول من 8 إلى 64 حرفاً، تجمع بين الأحرف الصغيرة والكبيرة والأرقام والرموز، مع المصادقة متعددة العوامل، ودون تلميحات لكلمة المرور.
- TPC-1.12 المصادقة متعددة العوامل (MFA): إلزامية على الوصول عن بُعد، والخدمات السحابية، والبريد عبر الويب والجوال، والتطبيقات المتصلة بالإنترنت، والحسابات ذات الصلاحيات العالية.
- TPC-1.13 الدخول الموحّد (SSO): مسموح به بشرط اقترانه بالمصادقة متعددة العوامل عند الدخول الأول.
- TPC-1.14 مراجعة الحسابات: مراجعة حسابات المستخدمين وصلاحياتهم مرة واحدة سنوياً على الأقل.
- TPC-1.15 مصادقة الأجهزة: مصادقة جميع الأصول التقنية بآليات آمنة.
أمن البيانات والبريد (TPC-1.16 إلى TPC-1.26)
- TPC-1.16 إعادة بيانات أرامكو وحذفها: عند انتهاء الحاجة أو فترة الاحتفاظ، تُعاد البيانات إلى أرامكو ثم تُحذف من جميع الأجهزة، بما في ذلك النسخ الاحتياطية.
- TPC-1.17 الإتلاف الآمن للأجهزة: عند نهاية عمر الجهاز أو نقله أو التبرع به.
- TPC-1.18 التشفير: تشفير البيانات أثناء التخزين والنقل وفق المستوى المتقدم في المعايير الوطنية للتشفير (NCS-1:2020). عملياً يعني ذلك تشفير أقراص الأجهزة، مثل BitLocker، واستخدام اتصالات مشفّرة.
- TPC-1.19 وسائط التخزين الخارجية: تقييد استخدام وحدات USB والأقراص الخارجية وتأمينها.
- TPC-1.20 حماية نطاق البريد: إعداد SPF وDKIM وDMARC.
- TPC-1.21 مكافحة البريد المزعج: فحص كل الرسائل الواردة من الإنترنت.
- TPC-1.22 فحص المرفقات: فحص مرفقات البريد قبل وصولها إلى المستخدم.
- TPC-1.23 نطاق بريد خاص بالشركة: لا يُسمح باستخدام Gmail أو Hotmail أو أي نطاق عام للعمل.
- TPC-1.24 حظر وحدات الماكرو: الحظر التلقائي لوحدات الماكرو في ملفات Microsoft Office القادمة من الإنترنت أو من مرفقات البريد.
- TPC-1.25 مزامنة الوقت: مزامنة جميع الأجهزة مع مصدر وقت معتمد مثل خادم NTP.
- TPC-1.26 حماية السجلات: حماية سجلات الأحداث من التعديل أو الحذف أو الوصول غير المصرّح به.
أمن المنصات (TPC-1.27 إلى TPC-1.30)
- TPC-1.27 جدار الحماية: تفعيل جدار الحماية على كل جهاز.
- TPC-1.28 جدار حماية تطبيقات الويب (WAF): لفحص حركة HTTP وHTTPS إلى التطبيقات المتاحة على الإنترنت.
- TPC-1.29 مكافحة الفيروسات: برنامج حماية من الفيروسات والبرمجيات الخبيثة محدَّث على جميع الأجهزة.
- TPC-1.30 اختبار التحديثات: اختبار التحديثات الأمنية قبل تطبيقها، أو وجود طريقة للتراجع عنها عند الحاجة.
رابعاً: الاكتشاف (TPC-1.31)
TPC-1.31 سجلات التدقيق
تفعيل سجلات التدقيق وأحداث الأمن السيبراني على الأنظمة والتطبيقات. ويحدّد الملحق (C) في المعيار الأحداث التي يجب تسجيلها، ومنها:
- محاولات الدخول الفاشلة.
- إضافة حسابات المستخدمين وحذفها.
- تعديل الصلاحيات وإعدادات الأمان.
- أنشطة الحسابات ذات الصلاحيات العالية.
- مسح السجلات أو إيقافها.
خامساً: الاستجابة (TPC-1.32 وTPC-1.33)
TPC-1.32 الإبلاغ عن الحوادث
عند اكتشاف حادث سيبراني، يجب إبلاغ أرامكو خلال 24 ساعة، واتباع إجراء الاستجابة للحوادث الوارد في الملحق (A) من المعيار.
TPC-1.33 الإبلاغ عن انتهاء حاجة الموظف للوصول
إبلاغ أرامكو عندما لا يعود الموظف الذي يملك بيانات دخول إلى أنظمة أرامكو بحاجة إليها، سواء بسبب النقل أو تغيير المهام أو التقاعد أو ترك العمل.
ماذا يعني هذا لشركتك عملياً؟
معظم الشركات الصغيرة والمتوسطة تحتاج إلى أربعة أمور أساسية لتغطي الجزء الأكبر من الضوابط:
- نطاق بريد خاص بالشركة على Microsoft 365 أو Google Workspace، مع SPF وDKIM وDMARC والمصادقة متعددة العوامل.
- أجهزة محمية: مضاد فيروسات محدّث، وجدار حماية مفعّل، وتشفير الأقراص، والتحديثات، وتقييد وحدات USB، وحظر الماكرو.
- إدارة مركزية للمستخدمين بحساب مستقل لكل موظف.
- سياسات وإجراءات مكتوبة تغطي البنود المطلوبة في TPC-1.2 وTPC-1.3 وTPC-1.4.
بعد ذلك يأتي دور تقرير الأدلة: لقطات شاشة توثّق تطبيق كل ضابط، يراجعها المدقق ثم يعاين التطبيق في جلسة أونلاين مباشرة قبل إصدار الشهادة.
كيف تساعدك سراج؟
أنجز فريق سراج أكثر من 300 شهادة لمقاولي أرامكو وموردّيها. نراجع وضع شركتك مقابل الضوابط من TPC-1.1 إلى TPC-1.33، ونطبّق الناقص على أجهزتك وأنظمتك، ونجهّز السياسات وتقرير الأدلة، ونحضر جلسة التدقيق معك.
- إذا كانت هذه أول شهادة لشركتك: متطلبات الأمن السيبراني لموردي أرامكو الجدد.
- إذا كانت لديك شهادة وفق SACS-002: الانتقال من SACS-002 إلى SACS-210.
- للدليل الكامل عن الشهادة: شهادة SACS-210.
اطلب الشهادة الآن ويصلك استبيان SACS-210 على بريدك فوراً.
