الضوابط الأساسية للأمن السيبراني (ECC-2) من الهيئة الوطنية للأمن السيبراني (NCA) جعلت تقييم مخاطر الموردين بندًا ثابتًا في خريطة كلّ برنامج سيبراني. عائلات الضوابط واضحة؛ ترجمتها إلى استبيان عمل فعليّ هي الجزء الذي يستغرق دائمًا وقتًا أطول من المتوقّع. هذا المقال شرح للاستبيان الذي يُفترض أن ترسله جهة سعودية مُنظَّمة لأيّ مزوّد SaaS جديد، مع ربط كلّ سؤال بضابط ECC-2.
ECC-2 في صفحة واحدة
ECC-2 هو تحديث ٢٠٢٤ لضوابط NCA. يقسّم المتطلّبات إلى خمسة مجالات: الحوكمة، الدفاع، الصمود، الطرف الثالث، وأنظمة التحكّم الصناعي. تقييم الموردين في المجال ٤ أساسًا، مع روابط مع المجال ١ (الحوكمة) والمجال ٣ (الصمود).
الأسئلة الـ١٨، مرتبطة بالضوابط
الحوكمة (المجال ١)
- ما سياسة أمن المعلومات لديكم، ومتى روجعت آخر مرّة؟
- هل يوجد مسؤول أمن معلومات مُسمّى؟
- ما الشهادات الخارجيّة (ISO 27001، SOC 2، توافق PDPL)؟
الدفاع (المجال ٢)
- إدارة الهويّات والصلاحيّات — MFA، أقلّ صلاحيّة، مراجعة الصلاحيّات المتقدّمة.
- كيف يُعالَج التشفير أثناء التخزين والنقل؟ الخوارزميّات ودورة تدوير المفاتيح.
- دورة إدارة الثغرات؟ SLA الترقيع حسب الخطورة.
- التسجيل والمراقبة — ما يُسجَّل، الاحتفاظ، تكامل SIEM.
- اختبارات الاختراق ودوريّتها. هل تُشارَك آخر نسخة تحت NDA؟
الصمود (المجال ٣)
- خطّة الاستجابة للحوادث: المعايير، مسار التواصل، SLA إشعار العميل.
- استمراريّة الأعمال والتعافي من الكوارث: أهداف RTO وRPO، تاريخ آخر اختبار.
- استراتيجيّة النسخ الاحتياطي — الموقع، الوتيرة، التشفير، اختبار الاستعادة.
الطرف الثالث (المجال ٤)
- قائمة جهات المعالجة الثانوية ودولة المعالجة.
- كيف يُبلَّغ عن تغيير جهات المعالجة؟ وما مدّة الإشعار؟
- هل تُفرَض التزامات أمنيّة مكافئة على جهات المعالجة لديكم؟
- موقع البيانات الإنتاجي اليوم، وإلى أين يتّجه؟
التقاطع مع PDPL
- هل اتفاقية DPA لديكم متوافقة مع PDPL؟ (مقال الأسئلة الثمانية.)
- ما نافذة الإبلاغ عن الاختراق؟ من أيّ حدث تبدأ؟
- كيف تُعالَج طلبات حقوق أصحاب البيانات؟
ربط الإجابات بدرجة مخاطرة
لكلّ سؤال دليل تقييم ٠/١/٢ — ٢ إجابة قويّة موثّقة بدليل، ١ معقولة بلا دليل، ٠ ناقصة. مزوّد تحت ٧٠٪ من أصل ٣٦ يحتاج تصعيدًا؛ وتحت ٥٠٪ توقّف. هذه نقطة بداية، لا سياسة — يُعايَر حسب شهيّة المخاطرة.
أتمتة مسار المراجعة
تُوجَّه الإجابات تلقائيًّا إلى تدفّقات GRC: الإجابات عالية المخاطرة إلى لجنة المراجعة، أسئلة الحوكمة إلى القانوني، الدفاع/الصمود إلى مسؤول SOC. ربطٌ عبر webhook من سهل فورم يكفي بلا تكامل إضافي.
حمّل القالب
حزمنا الأسئلة الـ١٨ كقالب في سهل فورم بتسميات ثنائيّة اللغة، وعمود تقييم ٠/١/٢ جاهز، ومخطط حمولة webhook. طبّقه على مساحتك بنقرة واحدة.