انتقل إلى المحتوى
مساعدة طارئةابدأ الآن
الامتثال والحوكمة

ما الضوابط الأساسية للأمن السيبراني (ECC) الصادرة عن الهيئة الوطنية للأمن السيبراني؟

تحدد ECC-2:2024 الصادرة عن الهيئة الوطنية للأمن السيبراني 108 ضوابط أساسية ضمن أربعة مكونات أساسية للجهات الحكومية السعودية ومشغّلي البنى التحتية الوطنية الحساسة (CNI). النطاق، والمكونات، والتقييم، والأدلة.
بقلم Vigilbaseنُشر في
اقرأ الدليلمزيد من المواضيع

الضوابط الأساسية للأمن السيبراني (ECC) هي الحد الأدنى من متطلبات الأمن السيبراني التي وضعتها الهيئة الوطنية للأمن السيبراني في المملكة العربية السعودية. وتُحدِّث النسخة الحالية ECC-2:2024 النسخةَ السابقة ECC-1:2018، وتحدد 108 ضوابط أساسية و92 ضابطاً فرعياً موزعة على أربعة مكونات أساسية: حوكمة الأمن السيبراني، وتعزيز الأمن السيبراني، وصمود الأمن السيبراني، والأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية. وتنطبق على الجهات الحكومية والشركات والجهات التابعة لها، داخل المملكة وخارجها، وعلى جهات القطاع الخاص التي تمتلك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها. وتشجع الهيئة بشدة جميع الجهات الأخرى في المملكة على الاستفادة من هذه الضوابط أيضاً.

مَن أصدر الضوابط الأساسية للأمن السيبراني، ومتى؟

أصدرت الهيئة الوطنية للأمن السيبراني (NCA) النسخة الأولى بعنوان ECC-1:2018، ثم حدّثتها في النسخة ECC-2:2024. ويذكر المستند الحالي سنة النسخة بدلاً من تاريخ إصدار محدد. وتشير ECC-2:2024 إلى تنظيم الهيئة الصادر بالأمر الملكي رقم 6801 وتاريخ 11/02/1439H، وإلى الأمر السامي رقم 57231 وتاريخ 10/11/1439H، الذي يُلزم جميع الجهات الوطنية باتخاذ الإجراءات اللازمة للالتزام الدائم والمستمر بالضوابط الأساسية للأمن السيبراني. وتنشر الهيئة الضوابط باللغتين العربية والإنجليزية، والنص العربي هو المُلزِم في أي مسألة تتعلق بالمعنى أو التفسير.

مَن يجب عليه الالتزام بالضوابط الأساسية للأمن السيبراني؟

تنطبق الضوابط على ثلاث فئات. وتشجع الهيئة الوطنية للأمن السيبراني بشدة جميع الجهات الأخرى في المملكة على تطبيقها بوصفها ممارسة جيدة. وتُعدّ ضوابط المكوّن الفرعي 4-2، الأمن السيبراني المتعلق بالحوسبة السحابية والاستضافة، مُلزِمة للجهات المشمولة بالنطاق التي تستخدم خدمات الحوسبة السحابية والاستضافة أو تخطط لاستخدامها.
1.الجهات الحكومية في المملكة، بما فيها الوزارات والهيئات والمؤسسات.
2.الشركات والجهات التابعة لتلك الجهات الحكومية، داخل المملكة وخارجها.
3.جهات القطاع الخاص التي تمتلك بنى تحتية وطنية حساسة (CNI) أو تشغّلها أو تستضيفها.

ما المكونات الأساسية الأربعة للضوابط الأساسية للأمن السيبراني؟

تتألف ECC-2:2024 من 4 مكونات أساسية و28 مكوناً فرعياً و108 ضوابط أساسية و92 ضابطاً فرعياً. أما ECC-1:2018 فكانت تضم خمسة مكونات أساسية و114 ضابطاً. وقد حُذف المكوّن الخامس، الأمن السيبراني لأنظمة التحكم الصناعي، ونُقلت ضوابطه إلى ضوابط الأمن السيبراني للأنظمة التشغيلية (OTCC) الصادرة عن الهيئة الوطنية للأمن السيبراني.
1.حوكمة الأمن السيبراني: الاستراتيجية، والإدارة، والسياسات والإجراءات، والأدوار، وإدارة المخاطر، والأمن السيبراني في مشاريع تقنية المعلومات، والالتزام بالمعايير والتشريعات، والمراجعة والتدقيق الدوري، والموارد البشرية، والتوعية والتدريب.
2.تعزيز الأمن السيبراني: إدارة الأصول، وإدارة الهويات والوصول، وحماية الأنظمة ومرافق المعالجة، وحماية البريد الإلكتروني، وأمن الشبكات، والأجهزة المحمولة، وحماية البيانات والمعلومات، والتشفير، والنسخ الاحتياطي والاستعادة، وإدارة الثغرات، واختبار الاختراق، وسجلات الأحداث والمراقبة، وإدارة الحوادث والتهديدات، والأمن المادي، وأمن تطبيقات الويب.
3.صمود الأمن السيبراني: جوانب الأمن السيبراني في إدارة استمرارية الأعمال.
4.الأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية: الأمن السيبراني المتعلق بالأطراف الخارجية، والأمن السيبراني المتعلق بالحوسبة السحابية والاستضافة.

ما ضوابط ECC التي ترسم ملامح العمليات الأمنية اليومية؟

تتبع معظم ضوابط ECC النمط نفسه: تُحدَّد المتطلبات وتُوثَّق وتُعتمد، ثم تُطبَّق، ثم تُراجع دورياً. وتضع بعض الضوابط الفرعية حدوداً دنيا محددة تحدد كيفية تشغيل المراقبة ومعالجة الحوادث والواجهة العامة.
1.2-12 سجلات الأحداث والمراقبة: تفعيل سجلات الأحداث للأصول المعلوماتية الحساسة والحسابات ذات الصلاحيات الهامة والوصول عن بُعد؛ وتحديد تقنيات SIEM المستخدمة لجمعها؛ ومراقبتها باستمرار؛ والاحتفاظ بها مدة لا تقل عن 12 شهراً.
2.2-13 إدارة الحوادث والتهديدات: خطط الاستجابة للحوادث وإجراءات التصعيد، وتصنيف الحوادث، والإبلاغ عن الحوادث إلى الهيئة الوطنية للأمن السيبراني، ومشاركة معلومات الحوادث مع الهيئة، والتعامل مع مصادر المعلومات الاستباقية عن التهديدات.
3.2-15 أمن تطبيقات الويب: حماية تطبيقات الويب الخارجية باستخدام جدار حماية لتطبيقات الويب، وبنية متعددة المستويات، وبروتوكولات آمنة مثل HTTPS.
4.2-5 إدارة أمن الشبكات: تشمل الحماية من هجمات حجب الخدمة الموزعة (DDoS).
5.4-1 الأمن السيبراني المتعلق بالأطراف الخارجية: تتطلب عقود الإسناد والخدمات المُدارة في مجال تقنية المعلومات أو الأمن السيبراني إجراء تقييم لمخاطر الأمن السيبراني قبل التوقيع، ويجب أن تكون مراكز الخدمات المُدارة للمراقبة والعمليات التي تستخدم الوصول عن بُعد موجودة بالكامل داخل المملكة.

كيف يُقيَّم الالتزام بالضوابط الأساسية للأمن السيبراني؟

تقيّم الهيئة الوطنية للأمن السيبراني الالتزام بوسائل عدة، مثل التقييم الذاتي من قِبل الجهات، والتقارير الدورية الصادرة عن أداة الالتزام التابعة لها، والزيارات الميدانية للتدقيق. وتنص ECC-2:2024 على أن الهيئة ستُصدر أداة تقييم وقياس الالتزام بـ ECC-2:2024 لتنظيم هذا العمل. ولا يحدد نص الضوابط عقوبات أو مهلة للالتزام خاصة به، لذا اسألوا الهيئة أو مستشاركم القانوني عن كيفية تطبيق الإنفاذ على جهتكم.

كيف تُثبت الجهات التزامها بالضوابط الأساسية للأمن السيبراني؟

لأن معظم الضوابط تتطلب توثيق المتطلبات واعتمادها وتطبيقها ومراجعتها دورياً، تأتي الأدلة عادةً في ثلاث طبقات: المستند المعتمد، وسجل يُثبت أن الضابط يعمل، وسجل آخر مراجعة له. وتُعد السجلات التشغيلية الجزء الأصعب في تقديمه عند الطلب.
1.الاستراتيجية والسياسات والإجراءات المعتمدة، والأدوار المسؤولة عنها.
2.قوائم جرد الأصول، ومراجعات صلاحيات الوصول، وسجلات الحسابات ذات الصلاحيات الهامة.
3.إعدادات سجلات الأحداث، وسجلات المراقبة المستمرة، والسجلات المحفوظة مدة لا تقل عن 12 شهراً.
4.سجلات الحوادث التي تُبيّن التصنيف والتصعيد والإبلاغ إلى الهيئة الوطنية للأمن السيبراني.
5.إعدادات جدار حماية تطبيقات الويب والحماية من DDoS، مع سجلات التغييرات.
6.عقود الأطراف الخارجية، وتقييمات المخاطر، والمراجعات الدورية.

أين تساعد Vigilbase في أدلة الالتزام بالضوابط الأساسية للأمن السيبراني؟

تقدّم Vigilbase أدلة تشغيلية، لا شهادة. تربط Vigilbase OS أدوات الأمان التي تدفعون مقابلها بالفعل وتحفظ سجلاتها وأحداثها قابلة للتدقيق والاستعلام في مكان واحد. وتُسجِّل كل عملية تحقيق الأدلةَ والإجراءَ المتخذ ونتيجةَ التحقق، مما يساعدكم على تقديم الأدلة لمراقبة سجلات الأحداث (2-12) وإدارة الحوادث (2-13). وتُشغِّل خدمات Cloudflare المُدارة ضوابط WAF وDDoS ضمن النطاق المتفق عليه، بما يتصل بأمن تطبيقات الويب (2-15) والحماية من DDoS (2-5). وهناك حدّان مهمّان. تُضبط مدة الاحتفاظ الافتراضية لكل مجموعة بيانات، وتتراوح عادةً بين 30 و90 يوماً، لذا اتفقوا على مكان حفظ أرشيف السجلات لمدة 12 شهراً. ولأن الضابط 4-1-3-2 يشترط أن تكون مراكز المراقبة المُدارة التي تستخدم الوصول عن بُعد موجودة بالكامل داخل المملكة، فاطرحوا هذه المسألة أثناء تحديد النطاق، وتأكدوا من مكان تنفيذ أي مراقبة قبل التوقيع.

حول هذا الدليل

يلخّص هذا الدليل نص ECC-2:2024 الذي نشرته الهيئة الوطنية للأمن السيبراني، بحسب ما كان متاحاً في أكتوبر 2026. وهو ليس استشارة قانونية. والنص العربي هو المُلزِم، وتتقدّم منشورات الهيئة نفسها على هذا الملخص. ويحدد المسؤولون القانونيون ومسؤولو الالتزام لديكم كيفية تطبيق الضوابط على جهتكم.

أبرز النقاط

✓تمثل ECC-2:2024 الحد الأدنى من متطلبات الهيئة الوطنية للأمن السيبراني: 4 مكونات أساسية، و28 مكوناً فرعياً، و108 ضوابط أساسية، و92 ضابطاً فرعياً.
✓تُلزِم الجهاتِ الحكومية والجهاتِ التابعة لها ومشغّلي البنى التحتية الوطنية الحساسة من القطاع الخاص؛ وتُشجَّع الجهات الأخرى على تبنّيها.
✓يجب الاحتفاظ بسجلات أحداث الأمن السيبراني مدة لا تقل عن 12 شهراً، وتحتاج تطبيقات الويب الخارجية إلى جدار حماية لتطبيقات الويب.
✓تساعد Vigilbase على إعداد أدلة تشغيلية للمراقبة والحوادث وWAF وDDoS؛ لكنها لا تمنح شهادة بالالتزام بالضوابط الأساسية للأمن السيبراني.

المصادر

حلول ذات صلة

خدمات Vigilbase المرتبطة بهذا الدليل

SOC مُدار

اعرف المزيد

خدمات Cloudflare المُدارة

اعرف المزيد

ابدأ مع Vigilbase OS

اعرف المزيد

الأمن السيبراني في المملكة العربية السعودية

اعرف المزيد

الأسئلة الشائعة

ما الذي تغيّر بين ECC-1:2018 وECC-2:2024؟

تتألف ECC-2:2024 من أربعة مكونات أساسية بدلاً من خمسة، وتضم 108 ضوابط أساسية و92 ضابطاً فرعياً. وقد انتقل مكوّن أنظمة التحكم الصناعي إلى ضوابط الأمن السيبراني للأنظمة التشغيلية الصادرة عن الهيئة الوطنية للأمن السيبراني، وحُذف الضابط الفرعي في ECC-1 الذي كان يشترط استضافة المعلومات وتخزينها داخل المملكة، ونُقلت ضوابط توطين البيانات إلى مكتب إدارة البيانات الوطنية في الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا).

هل تنطبق الضوابط الأساسية للأمن السيبراني على الشركات الخاصة؟

تنطبق على جهات القطاع الخاص التي تمتلك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها، وعلى الشركات التابعة للجهات الحكومية. وتشجع الهيئة الوطنية للأمن السيبراني بشدة جميع الجهات الأخرى في المملكة على تطبيق الضوابط لتحسين مستوى الأمن السيبراني لديها.

ما المدة التي يجب الاحتفاظ خلالها بسجلات أحداث الأمن السيبراني وفق الضوابط الأساسية للأمن السيبراني؟

مدة لا تقل عن 12 شهراً، وفق الضابط الفرعي 2-12-3-5. وتتطلب الضوابط أيضاً سجلات أحداث للأصول المعلوماتية الحساسة والحسابات ذات الصلاحيات الهامة والوصول عن بُعد، ومراقبة تلك السجلات باستمرار.تضبط Vigilbase OS مدة الاحتفاظ الافتراضية لكل مجموعة بيانات، وتتراوح عادةً بين 30 و90 يوماً. وإذا استخدمتموها للمراقبة المطلوبة وفق ECC، فحدّدوا مكان حفظ أرشيف الـ12 شهراً قبل الدمج.ما الذي يفعله SIEMمسؤوليات العمليات الأمنية

مَن يتحقق من الالتزام بالضوابط الأساسية للأمن السيبراني؟

الهيئة الوطنية للأمن السيبراني. إذ تقيّم الالتزام من خلال التقييم الذاتي من قِبل الجهات، والتقارير الدورية الصادرة عن أداة الالتزام التابعة لها، والزيارات الميدانية للتدقيق.

هل يمكن لـ Vigilbase أن تجعلنا ملتزمين بالضوابط الأساسية للأمن السيبراني؟

لا يمكن لأي مزوّد أن يفعل ذلك نيابةً عنكم. تدعم Vigilbase الجانب التشغيلي: إذ تُسجَّل التحقيقات والتغييرات المُصرَّح بها وعمليات التحقق، وتبقى السجلات المرتبطة قابلة للاستعلام. أما الالتزام فيقرره المسؤولون عن الالتزام لديكم وتقييم الهيئة الوطنية للأمن السيبراني.كيف يعمل الأمن السيبراني القائم على الوكلاءناقشوا نطاق العمل مع Vigilbase

مواضيع ذات صلة

أساسيات الأمن

ما SIEM؟

أمن الشبكات

ما WAF؟

الامتثال والحوكمة

NCA CSCC

الامتثال والحوكمة

الإطار التنظيمي للأمن السيبراني الصادر عن البنك المركزي السعودي

الامتثال والحوكمة

نظام حماية البيانات الشخصية السعودي (PDPL)

ابدأ الآن

هل أنت مستعد لتحسين أمنك؟

يمكن لفريقنا مساعدتك في تطبيق التدابير الأمنية الواردة في هذا الدليل. احصل على إرشاد متخصص يناسب مؤسستك.
ابدأ الآن واصل التعلّم