دليل الأمن السيبراني وحماية البيانات الشامل

دليل الأمن السيبراني وحماية البيانات

نوادر • SVC-0376 • نسخة تعليمية 1.0 • مراجعة المصادر: 12 أكتوبر 2026

ابدأ من الأصول والبيانات

هذه مادة توعية وتنظيم تتضمن سجل أصول، سجل مخاطر، قائمة صلاحيات ونسخ احتياطية، وبطاقة استجابة أولية. لا تتضمن اختبار اختراق أو شهادة امتثال أو ضمان منع الحوادث. نفّذ أي تغيير تقني عبر مسؤول مخوّل وبخطة اختبار واسترجاع؛ لا تطبق مثالًا تعليميًا مباشرة على الإنتاج.

الأصل قد يكون حسابًا أو نظامًا أو جهازًا أو مستندًا. والبيانات الشخصية قد تشمل معلومات تجعل التعرف على الفرد ممكنًا؛ فلا تقتصر الحماية على كلمات المرور أو أرقام الهوية. بحسب نظام حماية البيانات الشخصية، تختلف أدوار جهة التحكم وجهة المعالجة؛ حدد دور المنشأة في العملية بدل نسخه من نموذج عام.

1. سجل الأصول وتدفق البيانات

• الأصل أو العملية: [نظام]؛ المسؤول: [دور]؛ الاستخدام: [غرض محدد]؛ البيانات الموجودة: [فئات دون إدراج بيانات أشخاص]؛ من يصل إليها؟: [أدوار]؛ مكان الحفظ أو الطرف الخارجي: [موقع / مزود]؛ أهمية التوقف: [وصف الأثر]

ارسم رحلة البيانات بكلمات بسيطة: مصدر الجمع، الغرض، مكان التخزين، الاستخدام، المشاركة، ثم المراجعة أو الإتلاف. دوّن مواضع الغموض لتراجعها مع مسؤول الخصوصية أو المختص. لا تجعل هذا السجل مستودعًا لكلمات المرور أو لبيانات العملاء نفسها.

2. قيّم الخطر قبل اختيار الحل

الخطر يجمع حدثًا محتملًا وأصلًا يتأثر وأثرًا على العمل. مثال افتراضي: فقدان الوصول إلى ملفات التشغيل بسبب صلاحيات مفرطة أو نسخة احتياطية غير قابلة للاستعادة. وجود نسخة لا يثبت نجاح استعادتها، ووجود سياسة لا يثبت تطبيقها.

• الحدث المحتمل: [مثال: حذف ملفات بالخطأ]؛ الأصل المتأثر: [ملفات التشغيل]؛ الأثر: [تعطل خدمة]؛ ما يقلله حاليًا؟: [نسخ وتقييد صلاحيات]؛ ما يزال غير واضح؟: [نتيجة اختبار الاستعادة]؛ العمل التالي: [اختبار معتمد]؛ المالك: [دور]

استخدم وصفًا مفهومًا للأثر بدل رقم يبدو دقيقًا بلا بيانات. وعند استخدام درجات داخلية، وثّق تعريف كل درجة ومن راجعها. السجل طريقة تعلم وتنظيم، وليس تقرير تدقيق سيبراني.

3. قائمة مراجعة الوصول والنسخ

• ☐ لكل حساب مسؤول واستخدام معروف؛ الحسابات المشتركة تحتاج معالجة مع المسؤول.
• ☐ الصلاحيات تناسب المهمة، ومراجعتها مسجلة عند انتقال الموظف أو انتهاء عمله.
• ☐ وسائل التحقق الإضافية مفعلّة حيث يدعمها النظام وخطة الاسترداد واضحة.
• ☐ البيانات الحساسة لا ترسل عبر قناة غير معتمدة.
• ☐ النسخ الاحتياطية لها مسؤول ومكان معلوم وصلاحيات مناسبة.
• ☐ جرى اختبار الاستعادة في نطاق مصرح به، مع توثيق النتيجة والنواقص.
• ☐ تحديثات الأنظمة تراجع وتختبر وفق إجراءات المنشأة.

هذه قائمة توعية من إعداد نوادر. لا تعني أن كل بند شرط واحد في جميع الأطر أو أن إكمالها يمنح امتثالًا.

4. الاستجابة الأولية دون إتلاف الأدلة

عند ملاحظة رسالة مريبة أو تغيير غير مفسر، سجّل ما رأيته والتوقيت والنظام المتأثر، وأبلغ المسؤول عبر القناة المعتمدة. لا تفتح روابط إضافية للاستكشاف، ولا تحذف الأدلة أو تعيد تهيئة الأجهزة من تلقاء نفسك. العزل والاحتواء والإبلاغ الخارجي قرارات يتخذها المختص المخوّل وفق خطة المنشأة والنظام المنطبق.

• الحقل: وقت الملاحظة؛ ما يسجله الفريق: الوقت والمنطقة الزمنية إن أمكن
• الحقل: النظام أو الحساب؛ ما يسجله الفريق: تعريف الأصل دون كلمات مرور
• الحقل: الوصف؛ ما يسجله الفريق: ما حدث فعلًا، منفصلًا عن الظنون
• الحقل: الأثر المرصود؛ ما يسجله الفريق: الخدمة أو البيانات المحتمل تأثرها
• الحقل: التصعيد؛ ما يسجله الفريق: من أُبلغ ومتى والقناة المستخدمة
• الحقل: القرارات والأدلة؛ ما يسجله الفريق: مرجع يحفظه المختص في مكان محدود الوصول

5. فصل الأمن السيبراني عن الخصوصية

تعرض وثيقة NCA الضوابط الأساسية ECC 2-2024 إطارًا وطنيًا للأمن السيبراني بنطاق تطبيق محدد؛ لا نفترض انطباق كل ضابط على كل منشأة. ويعرض نظام حماية البيانات الشخصية لدى سدايا تعريفات وأحكام المعالجة. موضوعا الأمن والخصوصية مترابطان، لكن فحص النظام التقني وحده لا يحسم غرض جمع البيانات أو أدوار الأطراف أو حقوق أصحابها.

اسأل المختص: ما الغرض المحدد؟ ما البيانات اللازمة؟ من يصل إليها؟ ما علاقة المزود بالمنشأة؟ ما سياسة الحفظ؟ كيف تُعالج الطلبات والحوادث؟ لا يتضمن الدليل تحديد أساس نظامي نهائي لحالة فردية أو مهلة تبليغ عامة؛ هذه أمور تحتاج مراجعة النص واللوائح والحالة.

6. تمرين توعية آمن

استخدم مثالًا افتراضيًا: موظف يستلم طلبًا لتغيير رقم حساب مورد. اطلب من الفريق وصف قناة التحقق المستقلة وصاحب الموافقة وكيف يوثق الطلب، دون إرسال رسالة تصيد حقيقية أو إدخال بيانات شخص. ناقش أين ينتهي دور الموظف ويبدأ دور المختص. سجل تحسينًا واحدًا قابلًا للتنفيذ ثم راجع نتيجته.

المراجع

• NCA — الضوابط الأساسية للأمن السيبراني — https://nca.gov.sa/ar/regulatory-documents/controls-list/ecc/.
• NCA — وثيقة ECC 2-2024 الرسمية — https://cdn.nca.gov.sa/api/files/public/upload/29a9e86a-595f-4af9-8db5-88715a458a14_ECC-2-2024---NCA.pdf.
• سدايا — نظام حماية البيانات الشخصية — https://dgp.sdaia.gov.sa/wps/portal/pdp/knowledgecenter/details/PDPL.

فتح ملف ECC الرسمي ونظام حماية البيانات في مراجعة هذا الإصدار. النماذج المنشأة هنا للتوعية؛ أي تقييم امتثال أو تنفيذ حماية أو استجابة متخصصة يحدد كنطاق مستقل مع الجهة المؤهلة.