ضوابط الهيئة الوطنية للأمن السيبراني، مثل الضوابط الأساسية ECC-2:2024 وضوابط الحوسبة السحابية CCC-2:2024، تلزم أساساً الجهات الحكومية وجهات البنى التحتية الوطنية الحساسة ومورّديها. إذا كانت شركتك الناشئة تبيع للأفراد أو لشركات خاصة عادية فهي غالباً غير ملزمة بها مباشرة، لكن إن أردت التعاقد مع جهة حكومية أو حساسة فستصلك متطلباتها عبر العقد. وفي كل الأحوال، تطبيق أساسياتها مبكراً يجعل منتجك أكثر أماناً وأسهل بيعاً للمؤسسات.
- ضوابط الامن السيبراني الاساسية ECC
- هل ضوابط الهيئة الوطنية للامن السيبراني تنطبق على الشركات الخاصة
- متطلبات الامن السيبراني للتعاقد مع جهة حكومية
- ضوابط الحوسبة السحابية CCC
- كيف اجهز شركتي الناشئة للامن السيبراني
هل تنطبق ضوابط الهيئة الوطنية للأمن السيبراني على شركتك الناشئة؟
إن كنت مؤسس شركة ناشئة في السعودية وسمعت عن ضوابط الأمن السيبراني الأساسية (ECC) أو ضوابط الحوسبة السحابية (CCC)، فالسؤال الطبيعي: هل تنطبق على شركتي؟ الجواب في الغالب: ليس مباشرة، إلا إذا كنت جهة حكومية، أو جهة ضمن البنى التحتية الوطنية الحساسة، أو مورّداً يقدّم خدمات لهذه الجهات.
الإصداران الحاليان هما ECC-2:2024 وCCC-2:2024، وكلاهما من الهيئة الوطنية للأمن السيبراني. هدفهما رفع الحد الأدنى من الأمن في الجهات التي يمس تعطلها أو اختراقها المصلحة العامة. لذلك متجر إلكتروني صغير أو تطبيق حجوزات لصالون لا يُطلب منه عادة إثبات الالتزام بهذه الضوابط.
لكن الصورة تتغير لحظة تقرر أن تبيع لجهة حكومية أو لشركة كبيرة في قطاع حساس. هنا تنتقل المتطلبات إليك عبر العقد وكراسة الشروط واستبيانات الأمن، وقد تُطلب منك أدلة مكتوبة على ممارساتك. هذا الدليل يشرح كيف تعرف موقعك، وما الذي تبدأ به دون فريق أمني كامل.
الضوابط قد لا تلزمك اليوم، لكن عميلك القادم قد يلزمك بها غداً.
على من تنطبق ضوابط ECC وCCC؟
| وضع شركتك | هل أنت معني؟ | كيف تصلك المتطلبات |
|---|---|---|
| تبيع للأفراد فقط (متجر، تطبيق حجوزات) | غالباً لا مباشرة | لا تُطلب عادة، لكن الأساسيات تحميك |
| تبيع لشركات خاصة عادية | غالباً لا مباشرة | استبيانات أمنية من بعض العملاء |
| تبيع لشركة في قطاع حساس أو بنية تحتية وطنية | غالباً نعم كمورّد | بنود تعاقدية ومراجعات أمنية |
| تقدم خدمة أو برنامجاً لجهة حكومية | نعم في الغالب | كراسة الشروط والعقد ومتطلبات الجهة |
| تقدم خدمة سحابية لجهات ملزمة | نعم، وتنطبق ضوابط الحوسبة السحابية أيضاً | متطلبات CCC وتنظيمات الحوسبة السحابية |
الفكرة الأساسية أن الالتزام ينتقل عبر سلسلة التوريد. الجهة الملزمة مسؤولة عن أمن ما تستخدمه، فتطلب من مورّديها ضمانات. لذلك قد تجد نفسك مطالباً بممارسات أمنية محددة رغم أنك شركة صغيرة، لأن عميلك هو الملزم.
ماذا تغطي الضوابط عموماً؟
دون الدخول في تفاصيل كل ضابط، تدور الضوابط الأساسية حول محاور معروفة في الأمن السيبراني. فهمها يساعدك على تقييم منتجك وشركتك حتى لو لم تكن ملزماً.
- الحوكمة: سياسات أمن مكتوبة، ومسؤول واضح عن الأمن، وإدارة للمخاطر، ومراجعة دورية.
- الحماية: إدارة الهويات والصلاحيات، وحماية الأنظمة والشبكات، والتشفير، وإدارة الثغرات والتحديثات.
- الصمود: النسخ الاحتياطي، والقدرة على الاستعادة، واستمرارية الأعمال عند حدوث مشكلة.
- الأطراف الخارجية والحوسبة السحابية: متطلبات على المورّدين ومزوّدي الخدمات السحابية.
- السجلات والمراقبة: تسجيل الأحداث المهمة ومتابعتها والاستجابة للحوادث.
أما ضوابط الحوسبة السحابية CCC-2:2024 فتضيف متطلبات خاصة بمزوّدي الخدمات السحابية والجهات التي تستخدمها. وبخصوص مكان البيانات: الإصدار ECC-2:2024 لم يعد يتضمن شرطاً شاملاً بالاستضافة داخل المملكة، بينما تبقى البيانات الحكومية المصنّفة داخل المملكة وفق تنظيمات الحوسبة السحابية من هيئة الاتصالات والفضاء والتقنية. التفاصيل في دليل استضافة البيانات داخل السعودية.
ما الحد الأدنى الذي تبدأ به شركة ناشئة؟
لست بحاجة إلى فريق أمن كامل لتبدأ. هذه أساسيات تطلبها معظم الاستبيانات الأمنية، ويمكن لشركة من شخصين تطبيقها خلال أسابيع قليلة.
- 1عيّن مسؤولاً عن الأمن
حتى لو كان المؤسس نفسه. المهم أن يكون هناك اسم مسؤول عن القرارات الأمنية والمتابعة.
- 2اكتب سياسة مختصرة
صفحتان تكفيان في البداية: كلمات المرور، الصلاحيات، النسخ الاحتياطي، التعامل مع الحوادث، والمزوّدون.
- 3فعّل التحقق الثنائي
على البريد، ومستودع الكود، ولوحات الاستضافة والدفع، وكل حساب إداري.
- 4طبّق مبدأ أقل صلاحية
كل موظف أو مستخدم يرى فقط ما يحتاجه. أدوار وصلاحيات واضحة داخل التطبيق ولوحة الإدارة.
- 5شفّر واحمِ البيانات
HTTPS في كل مكان، وتشفير أثناء التخزين، ومفاتيح وأسرار خارج الكود.
- 6انسخ احتياطياً وجرّب الاستعادة
نسخ يومية على الأقل، وتجربة استعادة موثقة مرة كل فترة، لأن النسخة التي لم تُجرَّب لا يعتمد عليها.
- 7سجّل وراقب
سجلات دخول للوحة الإدارة والعمليات الحساسة، وتنبيهات عند الأعطال أو النشاط غير المعتاد.
إن كان تطبيقك مبنياً بالذكاء الاصطناعي، راجع أيضاً قائمة الأمان للتطبيقات المبنية بالذكاء الاصطناعي قبل أي عرض على عميل مؤسسي.
كيف تجهز ملفاً أمنياً للعميل الحكومي أو المؤسسي؟
أكثر ما يؤخر الصفقات الكبيرة ليس ضعف المنتج، بل غياب الإجابات الجاهزة. جهّز ملفاً أمنياً مختصراً لمنتجك يجيب عن الأسئلة المتكررة.
| بند الملف | ماذا تكتب فيه |
|---|---|
| وصف المنتج والبيانات | ماذا يفعل المنتج، وما البيانات التي يحفظها، وتصنيفها |
| الاستضافة ومكان البيانات | المنطقة الجغرافية، والنسخ الاحتياطية، وخيار الاستضافة داخل المملكة إن توفر |
| الهوية والصلاحيات | طريقة الدخول، والتحقق الثنائي، وتسجيل الدخول الموحد SSO، والأدوار |
| التشفير | أثناء النقل وأثناء التخزين، وإدارة المفاتيح والأسرار |
| الاستمرارية | النسخ الاحتياطي، والاستعادة، والتراجع عن التحديثات، ومستوى الخدمة المتعهد به |
| السجلات والحوادث | سجلات التدقيق، والمراقبة، وخطوات الاستجابة لحادث أمني |
| المزوّدون الفرعيون | قائمة المزوّدين الخارجيين ودور كل منهم |
أخطاء شائعة تقع فيها الشركات الناشئة
- الاعتقاد أن كل شركة سعودية ملزمة بكل الضوابط فتتأخر في الإطلاق
- أو العكس: تجاهل الأمن كلياً ثم التقدم لمناقصة حكومية
- حساب إداري واحد يتشاركه كل الفريق
- نسخ احتياطية لم تُجرَّب استعادتها أبداً
- استضافة لا يعرف المؤسس مكانها بالضبط
- حدد وضعك أولاً: هل أنت أو عميلك جهة ملزمة؟
- طبّق الأساسيات مبكراً، ثم وسّعها حسب متطلبات كل عقد
- حساب لكل شخص مع أدوار وسجل دخول
- تجربة استعادة دورية موثقة
- توثيق مكان البيانات والمزوّدين في صفحة واحدة
تذكر أيضاً أن الأمن السيبراني لا ينفصل عن نظام حماية البيانات الشخصية، الذي ينطبق على كل من يعالج بيانات شخصية في المملكة بغض النظر عن حجمه.
كيف يساعدك فنّان في الاستعداد؟
حين تبني منتجك في فنّان، تحصل على أساسيات كثيرة جاهزة: استضافة داخل المنطقة مع SSL ونسخ احتياطي يومي وتراجع فوري، وقاعدة بيانات مُدارة، وتسجيل دخول برقم الجوال، وأدوار وصلاحيات. وتضيف خطط المؤسسات استضافة داخل الدولة، وتسجيل دخول موحد SSO، وسجلات تدقيق، وموافقات، واتفاقية مستوى خدمة. ولأنك تملك الكود كاملاً ويمكنك تصديره إلى GitHub، يستطيع فريق الأمن لدى عميلك مراجعته عند الحاجة.
هذا لا يعني أن المنصة تجعلك ملتزماً بالضوابط تلقائياً؛ الالتزام يشمل سياسات شركتك وإجراءاتها وأشخاصها. لكنه يوفر عليك بناء الأساس التقني من الصفر.
ابنِ لي نظاماً داخلياً لإدارة طلبات الصيانة لشركة تخدم جهات حكومية. الأدوار: مقدم الطلب، فني الصيانة، المشرف، ومدير النظام. كل دور يرى فقط ما يخصه. أضف سجل تدقيق يحفظ من دخل ومتى وما الذي غيّره في كل طلب، ولا يمكن لأحد حذفه. اجعل الدخول برقم الجوال مع رمز تحقق OTP، وأضف مهلة خروج تلقائي بعد عدم النشاط. لا تحفظ أرقام الهويات. أضف لوحة للمدير تعرض الطلبات المفتوحة والمتأخرة، وصفحة تصدير للسجلات بصيغة CSV. انشر على استضافة داخل المنطقة مع نسخ احتياطي يومي، واجعل الواجهة عربية من اليمين لليسار مع تواريخ هجرية وميلادية.
جرّبه في فنّانالخلاصة
- ضوابط ECC وCCC تلزم أساساً الجهات الحكومية والبنى التحتية الحساسة ومورّديها، لا كل شركة سعودية.
- الشركة الناشئة تصبح معنية عملياً حين تتعاقد مع جهة ملزمة، فتنتقل المتطلبات إليها عبر العقد.
- الإصدار ECC-2:2024 لم يعد يفرض استضافة شاملة داخل المملكة، لكن البيانات الحكومية المصنّفة تبقى داخلها وفق تنظيمات الحوسبة السحابية.
- الأساسيات التي تطلبها الضوابط مفيدة لأي منتج: صلاحيات واضحة، تشفير، نسخ احتياطي، سجلات، وإدارة مزوّدين.
- جهّز ملفاً أمنياً مختصراً لمنتجك قبل أول مناقصة، فهو يختصر أسابيع في أي صفقة كبيرة.
أسئلة شائعة
هل ضوابط الهيئة الوطنية للأمن السيبراني تنطبق على الشركات الخاصة؟
ما الفرق بين ضوابط ECC وضوابط CCC؟
ما متطلبات الأمن السيبراني للتعاقد مع جهة حكومية؟
هل تفرض الضوابط استضافة البيانات داخل السعودية؟
كيف اجهز شركتي الناشئة للامن السيبراني بدون فريق كبير؟
اسأل مساعدك الذكي عن هذا الموضوع
انسخ هذا الطلب والصقه في مساعد الذكاء الاصطناعي الذي تستخدمه، ثم أضف تفاصيل حالتك.
أقرأ هذا الدليل: «ضوابط الأمن السيبراني من الهيئة الوطنية: هل تنطبق على شركتك الناشئة؟» https://fanann.com/ar/blog/nca-cybersecurity-controls-startups/ سؤالي: ضوابط الامن السيبراني الاساسية ECC اعتمد على هذه الصفحة كمصدر واشرح لي الإجابة خطوة بخطوة بما يناسب حالتي، واذكر ما يجب أن أتحقق منه قبل أن أبدأ، واذكر رابط الصفحة كمرجع.