Saltar para o conteúdo
Ajuda de emergênciaComeçar agora
Conformidade e Governação

O que são os Controlos de Cibersegurança para Sistemas Críticos (CSCC) da NCA?

O CSCC-1:2019 da NCA acrescenta 32 controlos principais ao ECC para os sistemas críticos sauditas. A quem se aplica, como são identificados os sistemas e o que acrescenta.
Por VigilbasePublicado em
Ler o guiaMais tópicos

Os Controlos de Cibersegurança para Sistemas Críticos (CSCC-1:2019) são os requisitos adicionais da Autoridade Nacional de Cibersegurança para os sistemas que as organizações sauditas identificam como críticos. A NCA concebeu-os como uma extensão e um complemento dos Controlos Essenciais de Cibersegurança (ECC), pelo que uma organização tem de continuar a cumprir o ECC para estar plenamente em conformidade com o CSCC. O CSCC tem 4 domínios principais, 21 subdomínios, 32 controlos principais e 73 subcontrolos, aplicados aos sistemas críticos das organizações governamentais e das subsidiárias de organizações governamentais ou privadas.

Quem tem de aplicar o CSCC?

Os controlos aplicam-se aos sistemas considerados críticos, segundo os critérios da NCA, pelas organizações que os detêm ou operam. Isto inclui organizações governamentais no Reino ou no estrangeiro, como ministérios, autoridades, instituições e embaixadas, e subsidiárias de organizações governamentais ou privadas. Cada organização abrangida tem de identificar os seus sistemas críticos, aplicar-lhes os controlos dentro do prazo de cumprimento definido pela NCA e manter-se em conformidade após esse prazo.

Como são identificados os sistemas críticos?

O CSCC define um sistema crítico como qualquer sistema ou rede cuja falha, alteração não autorizada ou acesso não autorizado, incluindo aos seus dados, possa perturbar os serviços da organização ou causar um impacto económico, financeiro, de segurança ou social negativo a nível nacional. As organizações podem utilizar os critérios seguintes para identificar os sistemas críticos.
1.Impacto negativo na segurança nacional ou na reputação e imagem pública do Reino.
2.Perdas financeiras significativas, superiores a 0,01% do PIB.
3.Impacto negativo nos serviços para um grande número de utilizadores, mais de 5% da população.
4.Perda de vidas.
5.Divulgação não autorizada de dados classificados como Muito Secreto ou Secreto.
6.Impacto negativo nas operações de um ou mais setores vitais.

De que forma o CSCC alarga o ECC?

O CSCC utiliza os mesmos quatro domínios do ECC: governação, defesa e resiliência da cibersegurança, e cibersegurança de terceiros e da computação em nuvem. Muitos controlos partem de um controlo do ECC e acrescentam mínimos mais rigorosos para os sistemas críticos.
1.Registos de eventos: ativar registos em todos os componentes técnicos de um sistema crítico, monitorizar ininterruptamente os eventos de segurança dos sistemas críticos, monitorizar o comportamento dos utilizadores e os alertas de integridade de ficheiros, e conservar os registos de eventos dos sistemas críticos durante, pelo menos, 18 meses.
2.Terceiros: proceder à triagem ou à verificação de antecedentes das empresas de externalização e de serviços geridos e do pessoal que trabalha nos sistemas críticos, e recorrer a empresas e organizações sauditas para a externalização e os serviços geridos dos sistemas críticos.
3.Alojamento: alojar os sistemas críticos dentro da organização, ou em serviços de nuvem de organizações governamentais ou de empresas sauditas que cumpram os Controlos de Cibersegurança na Nuvem (CCC) da NCA, tendo em conta a classificação dos dados.

Como é avaliado o cumprimento do CSCC?

A NCA avalia o cumprimento através de autoavaliações pelas organizações e de auditorias no local, utilizando os mecanismos que considerar adequados. Publica também uma Ferramenta de Avaliação e Conformidade do CSCC. O texto do CSCC não fixa sanções próprias. Invoca como fundamento o ponto 3 do artigo 10.º do mandato da NCA e os Decretos Reais n.º 57231 e n.º 7732.

Como é que as organizações comprovam o cumprimento do CSCC?

Comece pelo registo de sistemas críticos: que sistemas cumprem os critérios, quem os detém e que componentes tem cada um. As evidências do CSCC assentam então sobre as evidências do ECC para os mesmos sistemas.
1.O registo de sistemas críticos e a avaliação subjacente a cada decisão.
2.Cobertura de registos de eventos para todos os componentes técnicos, com 18 meses de retenção.
3.Registos da monitorização ininterrupta de eventos de segurança e da análise do comportamento dos utilizadores.
4.Registos de verificação de antecedentes e contratos de externalização e de serviços geridos nos sistemas críticos.
5.Registos de alojamento que mostram onde são executados cada sistema crítico e os respetivos componentes.

Onde se enquadra a Vigilbase no CSCC?

O Vigilbase OS mantém os registos e eventos ligados auditáveis e pesquisáveis num único lugar, e cada investigação regista as evidências, a ação e a verificação. Isso pode apoiar as evidências de monitorização para sistemas fora do âmbito crítico. Para os sistemas críticos, verifique primeiro dois requisitos do CSCC. O controlo 4-1-1-2 exige que a externalização e os serviços geridos dos sistemas críticos recorram a empresas e organizações sauditas, e o 2-11-2 exige 18 meses de retenção de registos de eventos, face a uma predefinição do Vigilbase OS de, normalmente, 30 a 90 dias por conjunto de dados. Levante ambas as questões durante a definição do âmbito e confirme o que um contrato pode abranger antes de qualquer trabalho tocar num sistema crítico.

Sobre este guia

Este guia resume o texto do CSCC-1:2019 publicado pela NCA, tal como disponível em outubro de 2026. Não constitui aconselhamento jurídico. O CSCC ainda remete para os números de controlo do ECC-1:2018, por isso consulte as publicações atuais da NCA e confirme com os seus responsáveis jurídicos e de conformidade que sistemas e controlos se aplicam.

Principais conclusões

✓O CSCC acrescenta 32 controlos principais e 73 subcontrolos ao ECC para os sistemas que uma organização identifica como críticos.
✓O cumprimento contínuo do ECC é um pré-requisito para o cumprimento do CSCC.
✓Os registos de eventos dos sistemas críticos têm de ser conservados durante, pelo menos, 18 meses e monitorizados ininterruptamente.
✓A externalização e os serviços geridos dos sistemas críticos têm de recorrer a empresas e organizações sauditas.

Fontes

Soluções relacionadas

Serviços Vigilbase relacionados com este guia

SOC gerido

Saiba mais

Cloudflare gerido

Saiba mais

Comece a utilizar o Vigilbase OS

Saiba mais

Cibersegurança na Arábia Saudita

Saiba mais

Perguntas frequentes

Qual é a diferença entre o ECC e o CSCC da NCA?

O ECC é a base de referência da NCA para as entidades governamentais e os operadores de Infraestruturas Nacionais Críticas. O CSCC acrescenta controlos mais rigorosos para os sistemas que essas organizações identificam como críticos e exige, como pré-requisito, o cumprimento contínuo do ECC.

Durante quanto tempo têm de ser conservados os registos dos sistemas críticos ao abrigo do CSCC?

Pelo menos 18 meses, ao abrigo do controlo 2-11-2, face a, pelo menos, 12 meses para os registos de eventos de cibersegurança ao abrigo do ECC.O que faz um SIEMResponsabilidades nas operações de segurança

Um fornecedor não saudita pode prestar serviços geridos para um sistema crítico?

O controlo 4-1-1-2 exige que a subcontratação e os serviços geridos de sistemas críticos recorram a empresas e organizações sauditas, em conformidade com os requisitos legislativos e regulamentares aplicáveis. Confirme este ponto com o responsável pela conformidade antes de definir o âmbito do trabalho de qualquer fornecedor num sistema crítico.

Como é que a NCA verifica o cumprimento dos CSCC?

Através de autoavaliações realizadas pelas organizações e de auditorias no local. A NCA publica também uma Ferramenta de Avaliação e Conformidade dos CSCC.

Tópicos Relacionados

Noções básicas de segurança

O que é o SOC?

Conformidade e Governação

NCA ECC

Conformidade e Governação

Quadro de Cibersegurança do SAMA

Conformidade e Governação

PDPL saudita

Começar agora

Pronto para melhorar a sua segurança?

A nossa equipa pode ajudá-lo a implementar as medidas de segurança discutidas neste guia. Obtenha orientação especializada adaptada à sua organização.
Começar agora Continuar a aprender