Conformidade e Governação

O que é o Quadro de Cibersegurança do SAMA?

O Quadro de Cibersegurança do SAMA define quatro domínios e um modelo de maturidade para bancos, seguradoras e empresas de financiamento sauditas. Âmbito, domínios e evidências.

O Quadro de Cibersegurança do SAMA (CSF) é o quadro de cibersegurança do Banco Central da Arábia Saudita para as instituições financeiras que regula. A Versão 1.0 foi emitida em maio de 2017 e consta como em vigor no SAMA Rulebook. Aplica-se às Organizações Membro do SAMA, incluindo bancos, companhias de seguros e de resseguros, empresas de financiamento, agências de informação de crédito e a infraestrutura do mercado financeiro. O quadro tem quatro domínios e um modelo de maturidade de seis níveis, e as Organizações Membro devem operar no nível de maturidade 3 ou superior.

Quem emitiu o SAMA CSF e quando?

A Autoridade Monetária da Arábia Saudita emitiu o quadro como Versão 1.0 em maio de 2017. O SAMA Rulebook regista-o com o número 381000091275, datado de 24/5/2017 (28/8/1438H), com o estado «em vigor». A autoridade é hoje o Banco Central da Arábia Saudita, que mantém a sigla SAMA. Enquanto proprietário do quadro, é o único responsável pela interpretação dos respetivos princípios, objetivos e considerações de controlo.

Quem tem de cumprir o SAMA CSF?

O quadro aplica-se a todas as Organizações Membro reguladas pelo SAMA. Todos os domínios se aplicam ao setor bancário. As restantes instituições financeiras estão isentas dos subdomínios relativos a normas setoriais (inter)nacionais, sistemas de pagamento e serviços bancários eletrónicos. Ainda assim, devem implementar a norma PCI ou o SWIFT Customer Security Controls Framework, se lidarem com dados de titulares de cartões ou com serviços SWIFT, e a autenticação multifator, se prestarem serviços online aos clientes.

1.Todos os bancos que operam na Arábia Saudita.

2.Todas as companhias de seguros e de resseguros que operam na Arábia Saudita.

3.Todas as empresas de financiamento que operam na Arábia Saudita.

4.Todas as agências de informação de crédito que operam na Arábia Saudita.

5.A infraestrutura do mercado financeiro.

Quais são os quatro domínios do SAMA CSF?

Cada domínio divide-se em subdomínios, e cada subdomínio define um princípio, um objetivo e considerações de controlo.

1.Liderança e governação da cibersegurança: governação, estratégia, política, funções e responsabilidades, gestão de projetos, sensibilização e formação.

2.Gestão de riscos e conformidade da cibersegurança: gestão de riscos, conformidade regulamentar, conformidade com normas internacionais, revisão e auditorias.

3.Operações e tecnologia de cibersegurança: recursos humanos, segurança física, gestão de ativos, arquitetura, gestão de identidades e acessos, segurança de aplicações, gestão de alterações, segurança da infraestrutura, criptografia, BYOD, eliminação segura, sistemas de pagamento, banca eletrónica, gestão de eventos, gestão de incidentes, gestão de ameaças e gestão de vulnerabilidades.

4.Cibersegurança de terceiros: gestão de contratos e de fornecedores, subcontratação e computação em nuvem.

Como funciona o modelo de maturidade do SAMA?

O quadro mede cada área de controlo em seis níveis de maturidade: 0 Inexistente, 1 Ad hoc, 2 Repetível mas informal, 3 Estruturado e formalizado, 4 Gerido e mensurável e 5 Adaptativo. As Organizações Membro devem operar no nível de maturidade 3 ou superior. No nível 3, os controlos estão definidos, aprovados e implementados de forma estruturada e formalizada, a respetiva implementação pode ser demonstrada e os indicadores-chave de desempenho são monitorizados e reportados. Para atingir o nível 3, 4 ou 5, uma organização tem primeiro de cumprir todos os critérios dos níveis anteriores.

O que diz o SAMA CSF sobre monitorização, terceiros e nuvem?

Várias considerações de controlo determinam a forma como as operações de segurança e os fornecedores são organizados.

1.Gestão de eventos (3.3.14): uma equipa designada de monitorização de segurança, um Centro de Operações de Segurança, com recursos para a monitorização contínua 24x7 de eventos de segurança, registos devidamente protegidos e análise e correlação de registos automatizadas e centralizadas através de um SIEM.

2.Gestão de incidentes (3.3.15): informar de imediato a Supervisão de Riscos de TI do SAMA quando ocorrer um incidente de segurança classificado como de gravidade média ou elevada e apresentar um relatório formal do incidente após a retoma das operações.

3.Segurança da infraestrutura (3.3.8): proteção contra DDoS, quando aplicável, incluindo serviços de limpeza de tráfego (scrubbing), monitorização 24x7 e testes de limpeza de tráfego DDoS pelo menos duas vezes por ano.

4.Subcontratação (3.4.2): aprovação do SAMA antes de uma subcontratação significativa.

5.Computação em nuvem (3.4.3): aprovação do SAMA antes de utilizar serviços de nuvem híbrida ou pública ou de celebrar contrato com um fornecedor de nuvem e, em princípio, apenas serviços de nuvem localizados na Arábia Saudita, salvo aprovação explícita do SAMA para serviços fora do Reino.

Como é avaliado o SAMA CSF?

A implementação está sujeita a uma autoavaliação periódica baseada num questionário, e o SAMA revê e audita as autoavaliações para determinar a conformidade e o nível de maturidade. Quando um controlo não pode ser implementado, o quadro prevê controlos compensatórios, uma aceitação interna do risco e um pedido formal de isenção ao SAMA. A circular do SAMA aos bancos pediu também relatórios trimestrais e indicou que o SAMA realizaria visitas de inspeção periódicas para verificar as avaliações. O próprio quadro não contém qualquer cláusula de sanções.

Em que aspetos ajuda a Vigilbase com as evidências do SAMA CSF?

A Vigilbase fornece evidências operacionais, não uma classificação de maturidade. O Vigilbase OS liga as ferramentas de segurança que já paga e mantém os respetivos registos e eventos auditáveis e pesquisáveis num único lugar, com painéis para cada equipa; cada investigação regista as evidências, a ação e a verificação, o que ajuda a evidenciar a gestão de eventos e de incidentes. O SOC gerido da Vigilbase funciona sobre esse registo, com cobertura ininterrupta nos níveis de SLA Priority e Critical. O serviço Cloudflare gerido opera os controlos de DDoS e WAF incluídos no âmbito; acorde a forma como o teste semestral de DDoS será realizado e registado. A utilização de qualquer serviço externo pode exigir aprovação do SAMA ao abrigo dos subdomínios de subcontratação e de nuvem, pelo que deve confirmá-lo com o SAMA antes da integração.

Sobre este guia

Este guia resume o Quadro de Cibersegurança do SAMA, Versão 1.0, tal como publicado no SAMA Rulebook em outubro de 2026. Não constitui aconselhamento jurídico. Algumas circulares relacionadas indicam que prevalece o texto em árabe. Confirme os requisitos em vigor junto do SAMA e dos responsáveis jurídicos e de conformidade da sua organização.

Principais conclusões

✓O SAMA CSF aplica-se aos bancos, seguradoras, empresas de financiamento, agências de informação de crédito e à infraestrutura do mercado financeiro regulados pelo SAMA.

✓Tem quatro domínios e seis níveis de maturidade, e as Organizações Membro devem operar no nível 3 ou superior.

✓Prevê um SOC com monitorização 24x7, um SIEM e a comunicação imediata ao SAMA dos incidentes de gravidade média e elevada.

✓A subcontratação significativa e os serviços de nuvem pública ou híbrida exigem aprovação do SAMA.

Fontes

Soluções relacionadas

Serviços Vigilbase relacionados com este guia

Perguntas frequentes

O Quadro de Cibersegurança do SAMA é obrigatório?

Sim, para as Organizações Membro reguladas pelo SAMA. O quadro é imposto pelo SAMA, as Organizações Membro são responsáveis pela sua adoção e implementação, e o SAMA revê e audita as respetivas autoavaliações periódicas.

Que nível de maturidade exige o SAMA?

As Organizações Membro devem operar no nível de maturidade 3, Estruturado e formalizado, ou superior, numa escala de 0 a 5.

O SAMA CSF exige um SOC?

O subdomínio de gestão de eventos prevê uma equipa designada de monitorização de segurança, um Centro de Operações de Segurança, com recursos para a monitorização contínua 24x7 e a análise centralizada de registos através de um SIEM.Um SOC gerido pode fornecer parte dessa capacidade. Com a Vigilbase, a cobertura ininterrupta aplica-se aos níveis de SLA Priority e Critical. Confirme primeiro com o SAMA qualquer aprovação de subcontratação.Responsabilidades nas operações de segurança Cobertura e compromissos de resposta a incidentes

Pode um banco saudita utilizar serviços de nuvem fora da Arábia Saudita?

Apenas com aprovação explícita do SAMA. Em princípio, o quadro prevê serviços de nuvem localizados na Arábia Saudita, e é necessária aprovação do SAMA antes de utilizar serviços de nuvem híbrida ou pública ou de celebrar contrato com um fornecedor de nuvem.

Qual é a relação entre o SAMA CSF e os ECC da NCA?

O SAMA CSF é um quadro setorial para as instituições financeiras reguladas pelo SAMA. Os ECC da NCA são a base de referência nacional para entidades governamentais e operadores de Infraestruturas Nacionais Críticas. Uma instituição pode estar abrangida por ambos, pelo que deve verificar o âmbito de cada regulador para a sua entidade.

Tópicos Relacionados

Noções básicas de segurança

Pronto para melhorar a sua segurança?

A nossa equipa pode ajudá-lo a implementar as medidas de segurança discutidas neste guia. Obtenha orientação especializada adaptada à sua organização.

Começar agora Continuar a aprender