Saltar para o conteúdo
Ajuda de emergênciaComeçar agora
Conformidade e Governação

O que são os Controlos Essenciais de Cibersegurança (ECC) da NCA?

O ECC-2:2024 da NCA estabelece 108 controlos principais em quatro domínios para entidades governamentais sauditas e operadores de CNI. Âmbito, domínios, avaliação e evidências.
Por VigilbasePublicado em
Ler o guiaMais tópicos

Os Controlos Essenciais de Cibersegurança (ECC) são os requisitos de base de cibersegurança da Autoridade Nacional de Cibersegurança na Arábia Saudita. A edição atual, o ECC-2:2024, atualiza o ECC-1:2018 e estabelece 108 controlos principais e 92 subcontrolos em quatro domínios: governação, defesa, resiliência e cibersegurança de terceiros e da computação em nuvem. Aplica-se às agências governamentais e às respetivas empresas e entidades afiliadas, dentro e fora do Reino, e às entidades do setor privado que detêm, operam ou alojam Infraestruturas Nacionais Críticas. A NCA incentiva vivamente todas as outras entidades do Reino a utilizarem também os controlos.

Quem emitiu o ECC e quando?

A Autoridade Nacional de Cibersegurança (NCA) emitiu a primeira edição como ECC-1:2018 e atualizou-a como ECC-2:2024. O documento atual indica o ano da edição, e não uma data de emissão. O ECC-2:2024 cita o Estatuto da NCA, aprovado pela Ordem Real n.º 6801 de 11/02/1439H, e a Ordem Superior n.º 57231 de 10/11/1439H, ao abrigo da qual todas as entidades nacionais devem tomar as medidas necessárias para um cumprimento permanente e contínuo do ECC. A NCA publica os controlos em árabe e em inglês, e a versão em árabe é vinculativa em qualquer questão de significado ou interpretação.

Quem tem de cumprir o ECC?

Os controlos aplicam-se a três grupos. A NCA incentiva vivamente todas as outras entidades do Reino a aplicá-los como boa prática. Os controlos do subdomínio 4-2, Cibersegurança da Computação em Nuvem e do Alojamento, são vinculativos para as entidades abrangidas que utilizam ou planeiam utilizar serviços de computação em nuvem e de alojamento.
1.Agências governamentais do Reino, incluindo ministérios, autoridades e instituições.
2.Empresas e entidades afiliadas a essas agências, dentro e fora do Reino.
3.Entidades do setor privado que detêm, operam ou alojam Infraestruturas Nacionais Críticas (CNI).

Quais são os quatro domínios do ECC?

O ECC-2:2024 tem 4 domínios principais, 28 subdomínios, 108 controlos principais e 92 subcontrolos. O ECC-1:2018 tinha cinco domínios e 114 controlos. O quinto domínio, Cibersegurança dos Sistemas de Controlo Industrial, foi removido e os respetivos controlos passaram para os Controlos de Cibersegurança de Tecnologia Operacional (OTCC) da NCA.
1.Governação da Cibersegurança: estratégia, gestão, políticas e procedimentos, funções, gestão de riscos, cibersegurança em projetos de TI, conformidade com normas e regulamentos, revisão e auditoria periódicas, recursos humanos, e sensibilização e formação.
2.Defesa da Cibersegurança: gestão de ativos, gestão de identidades e acessos, proteção de sistemas e instalações de processamento, proteção do correio eletrónico, segurança de redes, dispositivos móveis, proteção de dados e informação, criptografia, cópias de segurança e recuperação, gestão de vulnerabilidades, testes de intrusão, registos de eventos e monitorização, gestão de incidentes e ameaças, segurança física e segurança de aplicações web.
3.Resiliência da Cibersegurança: os aspetos de cibersegurança da gestão da continuidade do negócio.
4.Cibersegurança de Terceiros e da Computação em Nuvem: cibersegurança de terceiros e cibersegurança da computação em nuvem e do alojamento.

Que controlos do ECC moldam as operações de segurança do dia a dia?

A maioria dos controlos do ECC segue o mesmo padrão: os requisitos são identificados, documentados e aprovados, depois implementados e, em seguida, revistos periodicamente. Alguns subcontrolos fixam mínimos específicos que determinam a forma como são geridos a monitorização, o tratamento de incidentes e o perímetro público.
1.2-12 Registos de eventos e monitorização: ativar registos de eventos para ativos de informação críticos, contas privilegiadas e acesso remoto; identificar as técnicas de SIEM utilizadas para os recolher; monitorizá-los continuamente; e conservá-los durante, pelo menos, 12 meses.
2.2-13 Gestão de incidentes e ameaças: planos de resposta a incidentes e procedimentos de escalonamento, classificação de incidentes, comunicação de incidentes à NCA, partilha de informação sobre incidentes com a NCA e tratamento de fontes de informações sobre ameaças (threat intelligence).
3.2-15 Segurança de aplicações web: proteger as aplicações web externas com uma firewall de aplicações web, uma arquitetura multinível e protocolos seguros, como o HTTPS.
4.2-5 Gestão da segurança de redes: inclui proteção contra ataques de negação de serviço distribuída (DDoS).
5.4-1 Cibersegurança de terceiros: os contratos de externalização e de serviços geridos de TI ou de cibersegurança exigem uma avaliação de riscos de cibersegurança antes da assinatura, e os centros de serviços geridos de monitorização e operações que utilizam acesso remoto têm de estar integralmente localizados no Reino.

Como é avaliado o cumprimento do ECC?

A NCA avalia o cumprimento por vários meios, como a autoavaliação pelas entidades, relatórios periódicos da sua ferramenta de conformidade e visitas de auditoria no local. O ECC-2:2024 indica que a NCA emitirá uma Ferramenta de Avaliação e Conformidade do ECC-2:2024 para organizar esse trabalho. O texto do ECC não fixa sanções nem um prazo de cumprimento próprios, por isso pergunte à NCA ou ao seu consultor jurídico de que forma a fiscalização se aplica à sua entidade.

Como é que as organizações comprovam o cumprimento do ECC?

Como a maioria dos controlos exige que os requisitos sejam documentados e aprovados, implementados e revistos periodicamente, as evidências surgem normalmente em três camadas: o documento aprovado, um registo que mostra que o controlo funciona e o registo da sua última revisão. Os registos operacionais são a parte mais difícil de apresentar a pedido.
1.Estratégia, políticas e procedimentos aprovados, e as funções responsáveis por eles.
2.Inventários de ativos, revisões de acessos e registos de contas privilegiadas.
3.Configuração dos registos de eventos, registos de monitorização contínua e registos conservados durante, pelo menos, 12 meses.
4.Registos de incidentes que mostram a classificação, o escalonamento e a comunicação à NCA.
5.Configurações da firewall de aplicações web e da proteção contra DDoS, com registos de alterações.
6.Contratos com terceiros, avaliações de riscos e revisões periódicas.

Em que aspetos ajuda a Vigilbase com as evidências do ECC?

A Vigilbase fornece evidências operacionais, não um certificado. O Vigilbase OS liga as ferramentas de segurança que já paga e mantém os respetivos registos e eventos auditáveis e pesquisáveis num único lugar. Cada investigação regista as evidências, a ação tomada e o resultado da verificação, o que ajuda a produzir evidências para a monitorização de registos de eventos (2-12) e a gestão de incidentes (2-13). O Cloudflare gerido opera os controlos de WAF e DDoS dentro do âmbito acordado, relevantes para a segurança de aplicações web (2-15) e a proteção contra DDoS (2-5). Há dois limites importantes. A retenção predefinida é configurada por conjunto de dados, normalmente de 30 a 90 dias, por isso acorde onde fica o arquivo de registos de 12 meses. E, como o controlo 4-1-3-2 exige que os centros de monitorização geridos que utilizam acesso remoto estejam integralmente localizados no Reino, levante esta questão durante a definição do âmbito e confirme onde é realizada qualquer monitorização antes de assinar.

Sobre este guia

Este guia resume o texto do ECC-2:2024 publicado pela NCA, tal como disponível em outubro de 2026. Não constitui aconselhamento jurídico. O texto em árabe é vinculativo e as publicações da própria NCA prevalecem sobre este resumo. Os seus responsáveis jurídicos e de conformidade decidem de que forma os controlos se aplicam à sua entidade.

Principais conclusões

✓O ECC-2:2024 é a base de referência da NCA: 4 domínios, 28 subdomínios, 108 controlos principais e 92 subcontrolos.
✓Vincula as agências governamentais, as respetivas entidades afiliadas e os operadores privados de Infraestruturas Nacionais Críticas; as outras entidades são incentivadas a adotá-lo.
✓Os registos de eventos de cibersegurança têm de ser conservados durante, pelo menos, 12 meses, e as aplicações web externas precisam de uma firewall de aplicações web.
✓A Vigilbase ajuda a produzir evidências operacionais para a monitorização, os incidentes, o WAF e o DDoS; não certifica o cumprimento do ECC.

Fontes

Soluções relacionadas

Serviços Vigilbase relacionados com este guia

SOC gerido

Saiba mais

Cloudflare gerido

Saiba mais

Comece a utilizar o Vigilbase OS

Saiba mais

Cibersegurança na Arábia Saudita

Saiba mais

Perguntas frequentes

O que mudou entre o ECC-1:2018 e o ECC-2:2024?

O ECC-2:2024 tem quatro domínios em vez de cinco, com 108 controlos principais e 92 subcontrolos. O domínio dos Sistemas de Controlo Industrial passou para os Controlos de Cibersegurança de Tecnologia Operacional da NCA, e o subcontrolo do ECC-1 que exigia o alojamento e o armazenamento de informação dentro do Reino foi removido, tendo os controlos de localização de dados sido transferidos para o Gabinete Nacional de Gestão de Dados da SDAIA.

O ECC aplica-se a empresas privadas?

Aplica-se às entidades do setor privado que detêm, operam ou alojam Infraestruturas Nacionais Críticas e às empresas afiliadas a agências governamentais. A NCA incentiva vivamente todas as outras entidades do Reino a aplicarem os controlos para melhorar a sua cibersegurança.

Durante quanto tempo têm de ser conservados os registos de eventos de cibersegurança ao abrigo do ECC?

Pelo menos 12 meses, ao abrigo do subcontrolo 2-12-3-5. O ECC exige também registos de eventos para ativos de informação críticos, contas privilegiadas e acesso remoto, bem como a monitorização contínua desses registos.O Vigilbase OS define a retenção predefinida por conjunto de dados, normalmente de 30 a 90 dias. Se o utilizar para a monitorização exigida pelo ECC, decida onde fica o arquivo de 12 meses antes de consolidar.O que faz um SIEMResponsabilidades nas operações de segurança

Quem verifica o cumprimento do ECC?

A NCA. Avalia o cumprimento através da autoavaliação pelas entidades, de relatórios periódicos da sua ferramenta de conformidade e de visitas de auditoria no local.

A Vigilbase pode tornar-nos conformes com o ECC?

Nenhum fornecedor pode fazer isso por si. A Vigilbase apoia a vertente operacional: as investigações, as alterações autorizadas e a verificação ficam registadas, e os registos ligados continuam pesquisáveis. São os seus responsáveis de conformidade e a avaliação da NCA que determinam o cumprimento.Como funciona a cibersegurança agênticaDiscuta o seu âmbito com a Vigilbase

Tópicos Relacionados

Noções básicas de segurança

O que é o SIEM?

Segurança de rede

O que é o WAF?

Conformidade e Governação

NCA CSCC

Conformidade e Governação

Quadro de Cibersegurança do SAMA

Conformidade e Governação

PDPL saudita

Começar agora

Pronto para melhorar a sua segurança?

A nossa equipa pode ajudá-lo a implementar as medidas de segurança discutidas neste guia. Obtenha orientação especializada adaptada à sua organização.
Começar agora Continuar a aprender