← كل المساعدات
زيّنها للأمن السيبراني
مساعد AI لمسؤولي الأمن السيبراني وحماية البيانات
مساعد زيّنها للأمن السيبراني يرافقك في كل ما يخص حوكمة الأمن السيبراني والامتثال التنظيمي في السياق السعودي: من صياغة سياسات تصنيف البيانات وخطط الاستجابة للحوادث المتوافقة مع الضوابط الأساسية للأمن السيبراني (ECC-2:2024) ونظام حماية البيانات الشخصية (PDPL)، إلى إعداد تقييمات المخاطر ومصفوفات NIST CSF وOWASP وMITRE ATT&CK، وتحويل نتائج الفحوصات الأمنية إلى تقارير تنفيذية واضحة. مصمَّم لمسؤولي الأمن السيبراني وفرق GRC وضباط الامتثال الذين يحتاجون مخرجات دقيقة، موثّقة بالمرجع التنظيمي، وجاهزة للاستخدام الفوري.
أمثلة على المهام التي يُنجزها
مرجع قاعدة المعرفة
محتوى استرشاديّ يستند عليه المساعد. نُراجع المحتوى دوريّاً ونحرص على دقّته، وتبقى المراجع الرسميّة هي الفيصل.
أفضل الممارسات
إطار MITRE ATT&CK لتكتيكات وتقنيات المهاجمين
+
إطار MITRE ATT&CK قاعدة معرفة عالمية مفتوحة طوّرتها مؤسسة MITRE الأمريكية غير الربحية (بدأ العمل عليها داخلياً عام 2013 ونُشرت للعموم عام 2015)، وتوثّق تكتيكات وتقنيات وإجراءات (TTPs) فعلية رُصدت في هجمات سيبرانية واقعية لا نظرية. يعتمد عليها مراكز عمليات الأمن (SOC) وفِرَق الاستجابة للحوادث في ثلاثة استخدامات رئيسية: بناء سيناريوهات كشف دقيقة، محاكاة سلوك الخصم (Adversary Emulation) لاختبار الدفاعات فعلياً، وتقييم فجوات التغطية الدفاعية مقارنةً بمصفوفة معروفة عالمياً. عند صياغة أي playbook للاستجابة للحوادث أو تقرير تحليل تهديد لجهة سعودية، الإشارة إلى تكتيك ATT&CK محدَّد (برقمه) ترفع من الدقة المهنية للمخرَج.
إطار العمل NIST للأمن السيبراني (CSF 2.0)
+
أصدر المعهد الوطني الأمريكي للمعايير والتقنية (NIST) في 26 فبراير 2024 النسخة 2.0 من إطار الأمن السيبراني، وهي أول تحديث جوهري منذ نسخة 2014. أهم إضافة هي وظيفة سادسة مركزية باسم "الحوكمة" (Govern) تُوجّه وتربط الوظائف الخمس الأخرى: التعرّف (Identify)، الحماية (Protect)، الكشف (Detect)، الاستجابة (Respond)، والتعافي (Recover) — بدل أن تبقى هذه الوظائف الخمس منفصلة عن القرار الإداري. وسّعت النسخة الجديدة أيضاً نطاق تطبيق الإطار ليشمل مؤسسات من كل الأحجام والقطاعات، لا البنية التحتية الحرجة وحدها كما كان الحال سابقاً. مرجع ممتاز لبناء تقرير فجوات (Gap Assessment) شامل الحوكمة لا التقنية فقط.
معيار إدارة أمن المعلومات ISO/IEC 27001:2022
+
أعادت النسخة المحدَّثة من معيار ISO/IEC 27001 هيكلة ملحقها A بالكامل: من 114 ضابطاً في نسخة 2013 إلى 93 ضابطاً موزّعة على أربعة مواضيع رئيسية فقط — تنظيمية (37 ضابطاً)، بشرية (8 ضوابط)، مادية/فيزيائية (14 ضابطاً)، وتقنية (34 ضابطاً). أضافت النسخة الجديدة 11 ضابطاً جديداً كلياً يعكس تهديدات العصر، أبرزها: الاستخبارات التهديدية (5.7)، أمن المعلومات في الخدمات السحابية (5.23)، ومنع تسرّب البيانات (8.12). عند بناء نظام إدارة أمن معلومات (ISMS) لجهة سعودية تسعى لشهادة دولية معترف بها إلى جانب الامتثال المحلي لـECC، استخدم هذا التصنيف الرباعي كهيكل أساسي للسياسات الداخلية.
الأنظمة واللوائح
الضوابط الأساسية للأمن السيبراني (ECC-2:2024)
+
أصدرت الهيئة الوطنية للأمن السيبراني (NCA) النسخة المحدَّثة من الضوابط الأساسية للأمن السيبراني ECC-2:2024، لتحلّ محلّ النسخة الأولى ECC-1:2018 التي ضمّت 114 ضابطاً موزّعة على خمسة محاور. أعادت النسخة الجديدة هيكلة الإطار حول أربعة محاور رئيسية فقط: حوكمة الأمن السيبراني، الدفاع السيبراني، الصمود السيبراني، وأمن الأطراف الخارجية والحوسبة السحابية — بعد أن أُدمج هذا المحور الأخير ضمن الأربعة بدل أن يبقى محوراً خامساً مستقلاً. عند صياغة سياسة أو خطة امتثال لجهة سعودية، ابدأ دوماً بتحديد أيّ من هذه المحاور الأربعة تخاطبه الوثيقة، فهذا هو التصنيف الذي تعتمده NCA رسمياً في مراجعاتها.
ضوابط الأمن السيبراني للبيانات (DCC-1:2022)
+
أصدرت الهيئة الوطنية للأمن السيبراني ضوابط الأمن السيبراني للبيانات DCC-1:2022 في 1 نوفمبر 2022م، لتحديد الحدّ الأدنى من متطلبات حماية البيانات طوال دورة حياتها الكاملة — من الإنشاء والتخزين مروراً بالمعالجة والمشاركة وانتهاءً بالإتلاف الآمن. تُلزِم الضوابط الجهات الحكومية ومؤسسات القطاع الخاص المشغِّلة للبنية التحتية الوطنية الحساسة، وتعتمد نظام تصنيف من أربع مستويات حسب حساسية البيانات، يفرض أعلاها (سرّي للغاية) قيود وصول صارمة، إجراءات إتلاف موثَّقة، ومراجعات دورية منتظمة. عند صياغة سياسة تصنيف بيانات داخلية لجهة سعودية، استخدم هذه المستويات الأربعة كإطار مرجعي إلزامي لا اختياري.
ضوابط الأمن السيبراني للحوسبة السحابية (CCC-1:2020)
+
صمّمت الهيئة الوطنية للأمن السيبراني ضوابط الأمن السيبراني للحوسبة السحابية CCC-1:2020 لتقليل مخاطر الأمن السيبراني لدى طرفَي العلاقة السحابية معاً: مزوّدي الخدمات السحابية (CSPs) بـ37 محوراً رئيسياً و96 محوراً فرعياً، والمستأجرين (CSTs) بـ18 محوراً رئيسياً و26 محوراً فرعياً، ضمن أربعة مكوّنات أساسية موحَّدة. أجرت الهيئة أيضاً دراسة مقارنة ربطت هذه الضوابط بمعايير عالمية معروفة مثل FedRAMP الأمريكي وMTCS السنغافوري وC5 الألماني وISO/IEC 27001 وCSA CCM، ما يسهّل على أي مؤسسة سعودية تتعامل مع مزوّد سحابي عالمي إثبات التوافق المزدوج دون ازدواجية في العمل التوثيقي.
عقوبات نظام حماية البيانات الشخصية
+
يفرض نظام حماية البيانات الشخصية السعودي عقوبتين متمايزتين حسب طبيعة المخالفة: عقوبة جزائية بموجب المادة 35 تصل إلى السجن مدة سنتين و/أو غرامة 3 ملايين ريال سعودي، وتُطبَّق تحديداً في حالات الإفصاح عن البيانات الحسّاسة بقصد الإضرار بصاحبها أو لتحقيق منفعة شخصية. أمّا المادة 36 فتُقرّر عقوبة إدارية (إنذار أو غرامة تصل إلى 5 ملايين ريال) لبقية المخالفات الأخرى لأحكام النظام. في الحالتين، يجوز مضاعفة الغرامة عند تكرار المخالفة — ما يجعل التوثيق المسبق لضوابط المعالجة وموافقات أصحاب البيانات خط الدفاع الأول قبل الوصول لمرحلة العقوبة.
نظام حماية البيانات الشخصية (PDPL) — تاريخ النفاذ والجهة المختصة
+
صدر نظام حماية البيانات الشخصية السعودي بالمرسوم الملكي رقم (م/19) وتاريخ 9/2/1443هـ (2021م)، ونصّت المادة 43 منه على أن يُعمَل به بعد 720 يوماً من نشره في الجريدة الرسمية — أي اعتباراً من 14 سبتمبر 2023م — مع مهلة إضافية للجهات للتوافق انتهت في 14 سبتمبر 2024م. الجهة المختصة بالإشراف على تطبيقه هي الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، مع إبقاء المادة 30 على صلاحيات البنك المركزي السعودي (ساما) وفق أنظمته الخاصة دون إخلال بأحكام PDPL. عُدِّل النظام لاحقاً بالمرسوم الملكي رقم (م/148) وتاريخ 5/9/1444هـ، وصدرت لائحته التنفيذية بموجب قرار إداري رقم 1516/1445هـ من رئيس سدايا.
نظام مكافحة جرائم المعلوماتية
+
صدر نظام مكافحة جرائم المعلوماتية السعودي بالمرسوم الملكي رقم (م/17) بتاريخ 8/3/1428هـ (26 مارس 2007م)، مقترناً بقرار مجلس الوزراء رقم (79) الصادر قبله بيوم واحد وفق الترتيب الاعتيادي بين موافقة المجلس وصدور المرسوم. يُجرِّم النظام صراحةً أفعالاً مثل الدخول غير المشروع إلى الأنظمة المعلوماتية، اختراق المواقع الإلكترونية، سرقة البيانات، والاحتيال الإلكتروني، ويقرّر عقوبات تشمل السجن والغرامة المالية إلى جانب مصادرة الأجهزة والأدوات المستخدمة في الجريمة. هذا النظام هو المرجع الجزائي الأقدم والأشمل عند صياغة أي سياسة استجابة لحوادث تتضمّن اختراقاً أو وصولاً غير مصرَّح به في السياق السعودي، ويُستشهَد به عادة إلى جانب PDPL لا بدلاً عنه.
القوالب الجاهزة
نموذج التقييم الذاتي لإطار الأمن السيبراني (ساما)
+
يُلزِم إطار الأمن السيبراني الصادر عن البنك المركزي السعودي (ساما، مايو 2017) كل مؤسسة مالية خاضعة لإشرافه بتعبئة استبانة تقييم ذاتي مُعدَّة من ساما نفسها، تقيس نضج الأمن السيبراني على مقياس من 6 مستويات (من 0 إلى 5)، مع اشتراط الوصول إلى المستوى الثالث كحدٍّ أدنى إلزامي وليس مجرّد توصية استرشادية. تراجع ساما نتائج هذا التقييم دورياً لتحديد مستوى الامتثال والنضج الفعلي للمؤسسة، وأي فجوة دون المستوى الثالث تتطلّب خطة معالجة موثَّقة بجدول زمني واضح. هذا النموذج مرجع أساسي عند إعداد أي تقرير نضج أمن سيبراني لجهة مالية سعودية.
برومبتات جاهزة في هذا المجال
برومبتات مُختبَرة بشريّاً، جاهزة للاستخدام الفوريّ.
ابدأ الآن وارفع إنتاجيّتك
أوّل برومبت مجّاناً. لا حاجة لبطاقة ائتمان.
تنبيه:
المحتوى أعلاه استرشاديّ لأغراض الاطّلاع المهنيّ، ولا يُعدّ استشارة قانونيّة أو ضريبيّة أو مهنيّة رسميّة. يجب الرجوع إلى المراجع الرسميّة وأهل الاختصاص قبل اتّخاذ أيّ إجراء.