انتقل إلى المحتوى
مساعدة طارئةابدأ الآن
الامتثال والحوكمة

ما هو الإطار التنظيمي للأمن السيبراني الصادر عن البنك المركزي السعودي؟

يحدد الإطار التنظيمي للأمن السيبراني الصادر عن البنك المركزي السعودي أربعة مجالات ونموذجًا للنضج للبنوك وشركات التأمين وشركات التمويل السعودية. النطاق والمجالات والأدلة.
بقلم Vigilbaseنُشر في
اقرأ الدليلمزيد من المواضيع

الإطار التنظيمي للأمن السيبراني الصادر عن البنك المركزي السعودي (CSF) هو إطار الأمن السيبراني الذي وضعه البنك المركزي السعودي للمؤسسات المالية الخاضعة لتنظيمه. صدر الإصدار 1.0 في مايو 2017، وهو مُدرج بحالة «ساري» في الدليل التنظيمي للبنك المركزي السعودي (SAMA Rulebook). ويسري على الجهات الأعضاء الخاضعة لتنظيم البنك المركزي السعودي، بما فيها البنوك وشركات التأمين وإعادة التأمين وشركات التمويل وشركات المعلومات الائتمانية والبنية التحتية للسوق المالية. ويتضمن الإطار أربعة مجالات ونموذج نضج من ستة مستويات، وينبغي أن تعمل الجهات الأعضاء عند مستوى النضج 3 أو أعلى.

من أصدر الإطار التنظيمي للأمن السيبراني (SAMA CSF)، ومتى؟

أصدرت مؤسسة النقد العربي السعودي الإطار بوصفه الإصدار 1.0 في مايو 2017. ويسجّله الدليل التنظيمي للبنك المركزي السعودي (SAMA Rulebook) تحت الرقم 381000091275 بتاريخ 24/5/2017 (28/8/1438هـ)، وحالته «ساري». وأصبحت المؤسسة الآن البنك المركزي السعودي، الذي يحتفظ باختصار SAMA. وبصفته مالك الإطار، فهو المسؤول الوحيد عن تفسير مبادئه وأهدافه واعتبارات الضوابط الواردة فيه.

ما الجهات الملزمة بالإطار التنظيمي للأمن السيبراني (SAMA CSF)؟

يسري الإطار على جميع الجهات الأعضاء الخاضعة لتنظيم البنك المركزي السعودي. وتنطبق جميع المجالات على القطاع المصرفي. أما المؤسسات المالية الأخرى فمُعفاة من المجالات الفرعية المتعلقة بالمعايير القطاعية الوطنية والدولية، وأنظمة المدفوعات، والخدمات المصرفية الإلكترونية. ومع ذلك، ينبغي لها تطبيق معيار PCI أو إطار ضوابط أمن العملاء من SWIFT (SWIFT Customer Security Controls Framework) إذا كانت تتعامل مع بيانات حاملي البطاقات أو خدمات SWIFT، وتطبيق المصادقة متعددة العوامل إذا كانت تقدّم خدمات إلكترونية للعملاء عبر الإنترنت.
1.جميع البنوك العاملة في المملكة العربية السعودية.
2.جميع شركات التأمين وإعادة التأمين العاملة في المملكة العربية السعودية.
3.جميع شركات التمويل العاملة في المملكة العربية السعودية.
4.جميع شركات المعلومات الائتمانية العاملة في المملكة العربية السعودية.
5.البنية التحتية للسوق المالية.

ما المجالات الأربعة في الإطار التنظيمي للأمن السيبراني (SAMA CSF)؟

يُقسَّم كل مجال إلى مجالات فرعية، ويحدد كل مجال فرعي مبدأً وهدفًا واعتبارات للضوابط.
1.قيادة وحوكمة الأمن السيبراني: الحوكمة، والاستراتيجية، والسياسة، والأدوار والمسؤوليات، وإدارة المشاريع، والتوعية، والتدريب.
2.إدارة مخاطر الأمن السيبراني والالتزام: إدارة المخاطر، والالتزام التنظيمي، والالتزام بالمعايير الدولية، والمراجعة، والتدقيق.
3.عمليات وتقنية الأمن السيبراني: الموارد البشرية، والأمن المادي، وإدارة الأصول، والبنية المعمارية، وإدارة الهويات والوصول، وأمن التطبيقات، وإدارة التغيير، وأمن البنية التحتية، والتشفير، وBYOD، والإتلاف الآمن، وأنظمة المدفوعات، والخدمات المصرفية الإلكترونية، وإدارة الأحداث، وإدارة الحوادث، وإدارة التهديدات، وإدارة الثغرات.
4.الأمن السيبراني للأطراف الثالثة: إدارة العقود والموردين، والإسناد الخارجي، والحوسبة السحابية.

كيف يعمل نموذج النضج الخاص بالبنك المركزي السعودي (SAMA)؟

يقيس الإطار كل مجال من مجالات الضوابط وفق ستة مستويات للنضج: 0 غير موجود، و1 عشوائي، و2 قابل للتكرار لكنه غير رسمي، و3 منظَّم ورسمي، و4 مُدار وقابل للقياس، و5 تكيّفي. وينبغي أن تعمل الجهات الأعضاء عند مستوى النضج 3 أو أعلى. وفي المستوى 3، تكون الضوابط محددة ومعتمدة ومطبقة بطريقة منظمة ورسمية، ويمكن إثبات تطبيقها، وتُرصد مؤشرات الأداء الرئيسية ويُبلَّغ عنها. وللوصول إلى المستوى 3 أو 4 أو 5، يجب على الجهة أن تستوفي أولًا جميع معايير المستويات السابقة.

ماذا يقول الإطار التنظيمي للأمن السيبراني (SAMA CSF) عن المراقبة والأطراف الثالثة والحوسبة السحابية؟

تحدد عدة اعتبارات للضوابط كيفية تنظيم العمليات الأمنية وترتيبات الموردين.
1.إدارة الأحداث (3.3.14): فريق مخصص لمراقبة الأمن، أي مركز للعمليات الأمنية، مزوّد بالموارد اللازمة للمراقبة المستمرة لأحداث الأمن على مدار الساعة طوال أيام الأسبوع (24x7)، وسجلات محمية بشكل كافٍ، وتحليل آلي ومركزي للسجلات وربطها من خلال نظام SIEM.
2.إدارة الحوادث (3.3.15): إبلاغ إدارة الإشراف على مخاطر تقنية المعلومات في البنك المركزي السعودي فورًا عند وقوع حادث أمني مصنَّف بدرجة متوسطة أو عالية، وتقديم تقرير رسمي عن الحادث بعد استئناف العمليات.
3.أمن البنية التحتية (3.3.8): الحماية من هجمات DDoS حيثما ينطبق ذلك، بما في ذلك خدمات تنقية حركة البيانات، والمراقبة على مدار الساعة طوال أيام الأسبوع (24x7)، واختبارات تنقية هجمات DDoS مرتين في السنة على الأقل.
4.الإسناد الخارجي (3.4.2): الحصول على موافقة البنك المركزي السعودي قبل أي إسناد خارجي جوهري.
5.الحوسبة السحابية (3.4.3): الحصول على موافقة البنك المركزي السعودي قبل استخدام خدمات الحوسبة السحابية الهجينة أو العامة أو التعاقد مع مزوّد خدمات سحابية، والاقتصار مبدئيًا على الخدمات السحابية الموجودة في المملكة العربية السعودية، ما لم يمنح البنك المركزي السعودي موافقة صريحة على خدمات خارج المملكة.

كيف يُقيَّم الالتزام بالإطار التنظيمي للأمن السيبراني (SAMA CSF)؟

يخضع التطبيق لتقييم ذاتي دوري قائم على استبيان، ويراجع البنك المركزي السعودي التقييمات الذاتية ويدققها لتحديد مدى الالتزام ومستوى النضج. وحيثما يتعذر تطبيق أحد الضوابط، يتوقع الإطار وجود ضوابط تعويضية، وقبولًا داخليًا للمخاطر، وطلبًا رسميًا للإعفاء يُقدَّم إلى البنك المركزي السعودي. كما طلب تعميم البنك المركزي السعودي الموجَّه إلى البنوك تقديم تقارير ربع سنوية، وأشار إلى أن البنك سيجري زيارات تفتيشية دورية للتحقق من التقييمات. ولا يتضمن الإطار نفسه أي بند للعقوبات.

في أي الجوانب تساعدكم Vigilbase على توفير أدلة الالتزام بالإطار التنظيمي للأمن السيبراني (SAMA CSF)؟

توفّر Vigilbase أدلة تشغيلية، لا تصنيفًا لمستوى النضج. يربط Vigilbase OS أدوات الأمان التي تدفعون مقابلها بالفعل، ويحفظ سجلاتها وأحداثها قابلة للتدقيق والاستعلام في مكان واحد، مع لوحات معلومات لكل فريق؛ ويسجّل كل تحقيق الأدلة والإجراء والتحقق، ما يساعدكم على إثبات إدارة الأحداث وإدارة الحوادث. ويعمل SOC المُدار من Vigilbase على أساس هذا السجل، مع تغطية على مدار الساعة في مستويات SLA ‏Priority وCritical. وتتولى خدمات Cloudflare المُدارة تشغيل ضوابط DDoS وWAF ضمن النطاق؛ فاتفقوا على كيفية إجراء اختبار DDoS نصف السنوي وتسجيله. وقد يتطلب استخدام أي خدمة خارجية موافقة البنك المركزي السعودي بموجب المجالات الفرعية الخاصة بالإسناد الخارجي والحوسبة السحابية، لذا تأكدوا من ذلك مع البنك المركزي السعودي قبل بدء الخدمة.

حول هذا الدليل

يلخّص هذا الدليل الإطار التنظيمي للأمن السيبراني الصادر عن البنك المركزي السعودي، الإصدار 1.0، كما هو منشور في الدليل التنظيمي للبنك المركزي السعودي (SAMA Rulebook) في أكتوبر 2026. وهو ليس استشارة قانونية. وتنص بعض التعاميم ذات الصلة على أن النص العربي هو المعتمد. تأكدوا من المتطلبات الحالية مع البنك المركزي السعودي والمسؤولين عن الشؤون القانونية والالتزام لديكم.

أبرز النقاط

✓يسري الإطار التنظيمي للأمن السيبراني (SAMA CSF) على البنوك وشركات التأمين وشركات التمويل وشركات المعلومات الائتمانية والبنية التحتية للسوق المالية الخاضعة لتنظيم البنك المركزي السعودي.
✓يتضمن أربعة مجالات وستة مستويات للنضج، وينبغي أن تعمل الجهات الأعضاء عند المستوى 3 أو أعلى.
✓يتوقع وجود مركز للعمليات الأمنية (SOC) يوفّر مراقبة على مدار الساعة طوال أيام الأسبوع (24x7)، ونظام SIEM، والإبلاغ الفوري للبنك المركزي السعودي عن الحوادث المتوسطة والعالية.
✓يتطلب الإسناد الخارجي الجوهري وخدمات الحوسبة السحابية العامة أو الهجينة موافقة البنك المركزي السعودي.

المصادر

حلول ذات صلة

خدمات Vigilbase المرتبطة بهذا الدليل

SOC مُدار

اعرف المزيد

خدمات Cloudflare المُدارة

اعرف المزيد

ابدأ مع Vigilbase OS

اعرف المزيد

الأمن السيبراني في المملكة العربية السعودية

اعرف المزيد

الأسئلة الشائعة

هل الإطار التنظيمي للأمن السيبراني الصادر عن البنك المركزي السعودي إلزامي؟

نعم، بالنسبة إلى الجهات الأعضاء الخاضعة لتنظيم البنك المركزي السعودي. فالإطار مفروض من البنك المركزي السعودي، والجهات الأعضاء مسؤولة عن اعتماده وتطبيقه، ويراجع البنك المركزي السعودي تقييماتها الذاتية الدورية ويدققها.

ما مستوى النضج الذي يشترطه البنك المركزي السعودي؟

ينبغي أن تعمل الجهات الأعضاء عند مستوى النضج 3، «منظَّم ورسمي»، أو أعلى، على مقياس من 0 إلى 5.

هل يشترط الإطار التنظيمي للأمن السيبراني (SAMA CSF) وجود مركز للعمليات الأمنية (SOC)؟

يتوقع المجال الفرعي الخاص بإدارة الأحداث وجود فريق مخصص لمراقبة الأمن، أي مركز للعمليات الأمنية، مزوّد بالموارد اللازمة للمراقبة المستمرة على مدار الساعة طوال أيام الأسبوع (24x7) والتحليل المركزي للسجلات من خلال نظام SIEM.يمكن لـ SOC مُدار أن يوفّر جزءًا من هذه القدرة. ومع Vigilbase، تنطبق التغطية على مدار الساعة على مستويات SLA ‏Priority وCritical. تأكدوا أولًا مع البنك المركزي السعودي من أي موافقة لازمة على الإسناد الخارجي.مسؤوليات العمليات الأمنيةالتغطية والتزامات الاستجابة للحوادث

هل يمكن لبنك سعودي استخدام خدمات سحابية خارج المملكة العربية السعودية؟

فقط بموافقة صريحة من البنك المركزي السعودي. فمن حيث المبدأ، يتوقع الإطار أن تكون الخدمات السحابية موجودة في المملكة العربية السعودية، ويلزم الحصول على موافقة البنك المركزي السعودي قبل استخدام خدمات الحوسبة السحابية الهجينة أو العامة أو التعاقد مع مزوّد خدمات سحابية.

ما العلاقة بين الإطار التنظيمي للأمن السيبراني (SAMA CSF) والضوابط الأساسية للأمن السيبراني (NCA ECC)؟

الإطار التنظيمي للأمن السيبراني (SAMA CSF) إطار قطاعي للمؤسسات المالية الخاضعة لتنظيم البنك المركزي السعودي. أما الضوابط الأساسية للأمن السيبراني (ECC) الصادرة عن الهيئة الوطنية للأمن السيبراني فهي خط الأساس الوطني للجهات الحكومية والجهات المشغّلة للبنى التحتية الوطنية الحساسة. وقد تخضع المؤسسة لكليهما، لذا تحققوا من نطاق كل جهة تنظيمية بالنسبة إلى جهتكم.

مواضيع ذات صلة

أساسيات الأمن

ما SIEM؟

أساسيات الأمن

ما SOC؟

الامتثال والحوكمة

NCA ECC

الامتثال والحوكمة

نظام حماية البيانات الشخصية السعودي (PDPL)

ابدأ الآن

هل أنت مستعد لتحسين أمنك؟

يمكن لفريقنا مساعدتك في تطبيق التدابير الأمنية الواردة في هذا الدليل. احصل على إرشاد متخصص يناسب مؤسستك.
ابدأ الآن واصل التعلّم