ضوابط الأمن السيبراني للأنظمة الحساسة (CSCC-1:2019)

1-1-1

بالإضافة للضوابط ضمن المكون الفرعي ١-١ في الضوابط الأساسية للأمن السيبراني، يجب أن تضع إستراتيجية الأمن السيبراني للجهة أولوية لدعم حماية الأنظمة الحساسة الخاصة بالجهة.

1-2-1

بالإضافة للضوابط ضمن المكون الفرعي ١-٥ في الضوابط الأساسية للأمن السيبراني، يجب أن تشمل منهجية إدارة مخاطر الأمن السيبراني بحد أدنى ما يأتي:

1-2-1-1 تنفيذ إجراء تقييم مخاطر الأمن السيبراني، على الأنظمة الحساسة، مرة واحدة سنوياً، على الأقل.

1-2-1-2 إنشاء سجل مخاطر الأمن السيبراني الخاص بالأنظمة الحساسة، ومتابعته مرة شهرياً على الأقل.

1-3-1

بالإضافة للضوابط الفرعية ضمن الضابط ١-٦-٢ في الضوابط الأساسية للأمن السيبراني، يجب أن تغطي متطلبات الأمن السيبراني، لإدارة المشاريع والتغييرات على الأصول المعلوماتية والتقنية للأنظمة الحساسة في الجهة، بحد أدنى؛ ما يلي:

1-3-1-1 إجراء اختبار التحمل (Stress Testing) للتأكد من سعة المكونات المختلفة.

1-3-1-2 التأكد من تطبيق متطلبات استمرارية الأعمال.

1-3-2

بالإضافة للضوابط الفرعية ضمن الضابط ١-٦-٣ في الضوابط الأساسية للأمن السيبراني، يجب أن تغطي متطلبات الأمن السيبراني، لمشاريع تطوير التطبيقات، والبرمجيات الخاصة بالأنظمة الحساسة للجهة، بحد أدنى؛ ما يلي:

1-3-2-1 إجراء مراجعة أمنية للشفرة المصدرية، قبل إطلاقها (Security Source Code Review).

1-3-2-2 تأمين الوصول، والتخزين، والتوثيق للشفرة المصدرية (Source Code) وإصداراتها.

1-3-2-3 تأمين واجهة برمجة التطبيقات (Authenticated API).

1-3-2-4 النقل الآمن والموثوق للتطبيقات من بيئات الاختبار (Testing Environment) إلى بيئات الإنتاج (Production Environment) مع حذف أي بيانات، أو هويات، أو كلمات مرور، متعلقة ببيئات الاختبار، قبل النقل.

1-4-1

رجوعاً للضابط ١-٨-١ في الضوابط الأساسية للأمن السيبراني، فإنه يجب على الإدارة المعنية بالأمن السيبراني؛ مراجعة تطبيق ضوابط الأمن السيبراني للأنظمة الحساسة، مرة واحدة سنوياً؛ على الأقل.

1-4-2

رجوعاً للضابط ١-٨-٢ في الضوابط الأساسية للأمن السيبراني، يجب أن تتم مراجعة تطبيق ضوابط الأمن السيبراني للأنظمة الحساسة؛ من قبل أطراف مستقلة عن الإدارة المعنية بالأمن السيبراني من داخل الجهة، مرة واحدة؛ كل ثلاث سنوات على الأقل.

1-5-1

بالإضافة للضوابط الفرعية ضمن الضابط ١-٩-٣ في الضوابط الأساسية للأمن السيبراني، فإنه يجب أن تغطي متطلبات الأمن السيبراني، قبل بدء علاقة العاملين المهنية بالجهة، بحد أدنى؛ ما يلي:

1-5-1-1 إجراء المسح الأمني (Screening or Vetting) للعاملين على الأنظمة الحساسة.

1-5-1-2 أن يشغل وظائف الدعم، والتطوير التقني، للأنظمة الحساسة؛ مواطنون ذوو كفاءة عالية.

2-1-1

بالإضافة للضوابط ضمن المكون الفرعي ٢-١ في الضوابط الأساسية للأمن السيبراني، يجب أن تشمل متطلبات الأمن السيبراني لإدارة الأصول المعلوماتية والتقنية، بحد أدنى؛ مايلي:

2-1-1-1 الاحتفاظ بقائمة محدثة سنوياً، لجميع الأصول التابعة للأنظمة الحساسة.

2-1-1-2 تحديد ملاك الأصول (Assets Owner) وإشراكهم في دورة حياة إدارة الأصول، التابعة للأنظمة الحساسة.

2-2-1

بالإضافة للضوابط الفرعية ضمن الضابط ٢-٢-٣ في الضوابط الأساسية للأمن السيبراني، يجب أن تغطي متطلبات الأمن السيبراني المتعلقة بإدارة هويات الدخول، والصلاحيات للأنظمة الحساسة في الجهة، بحد أدنى؛ ما يلي:

2-2-1-1 منع الدخول عن بعد من خارج المملكة.

2-2-1-2 تقييد الدخول عن بعد من داخل المملكة؛ على أن يتم التأكد عن طريق مركز العمليات الأمنية الخاص بالجهة، عند كل عملية دخول؛ ومراقبة الأنشطة المتعلقة بالدخول عن بعد باستمرار.

2-2-1-3 التحقق من الهوية متعدد العناصر (Multi-Factor Authentication «MFA») لجميع المستفيدين.

2-2-1-4 التحقق من الهوية متعدد العناصر (Multi-Factor Authentication «MFA») للمستخدمين ذوي الصلاحيات الهامة، والحساسة؛ وعلى الأنظمة المستخدمة لإدارة الأنظمة الحساسة المذكورة في الضابط ٢-٣-١-٤ ومتابعتها.

2-2-1-5 وضع سياسة آمنة لكلمة المرور ذات معايير عالية، وتطبيقها.

2-2-1-6 استخدام الطرق والخوارزميات الآمنة لحفظ ومعالجة كلمات المرور مثل: استخدام دوال الاختزال (Hashing Functions).

2-2-1-7 الإدارة الآمنة لحسابات الخدمات (Service Account) مابين التطبيقات والأنظمة؛ وتعطيل الدخول البشري التفاعلي (Interactive login) من خلالها.

2-2-1-8 فيما عدا مشرفي قواعد البيانات (Database Administrators)، يمنع الوصول أو التعامل المباشر لأي مستخدم مع قواعد البيانات؛ ويتم ذلك من خلال التطبيقات فقط، وبناءً على الصلاحيات المخوّل بها؛ مع مراعاة تطبيق حلول أمنية تحد، أو تمنع من اطلاع مشرفي قواعد البيانات على البيانات المصنفة (Classified Data).

2-2-2

رجوعاً للضابط ٢-٢-٣-٥ في الضوابط الأساسية للأمن السيبراني، يجب مراجعة هويات الدخول على الأنظمة الحساسة، مرة واحدة، كل ثلاثة أشهر، على الأقل.

2-3-1

بالإضافة للضوابط الفرعية ضمن الضابط ٢-٣-٣ في الضوابط الأساسية للأمن السيبراني، يجب أن تغطي متطلبات الأمن السيبراني لحماية الأنظمة الحساسة، وأجهزة معالجة المعلومات الخاصة بها، بحد أدنى؛ ما يلي:

2-3-1-1 السماح فقط بقائمة محددة من ملفات التشغيل (Whitelisting) للتطبيقات والبرامج؛ للعمل على الخوادم الخاصة بالأنظمة الحساسة.

2-3-1-2 حماية الخوادم الخاصة بالأنظمة الحساسة بتقنيات حماية الأجهزة الطرفية (End-point Protection) المعتمدة لدى الجهة.

2-3-1-3 تطبيق حزم التحديثات، والإصلاحات الأمنية، مرة واحدة شهرياً على الأقل، للأنظمة الحساسة الخارجية، والمتصلة بالإنترنت؛ وكل ثلاثة أشهر على الأقل، للأنظمة الحساسة الداخلية؛ مع اتباع آليات التغيير المعتمدة لدى الجهة.

2-3-1-4 تخصيص أجهزة حاسب (Workstations) للعاملين في الوظائف التقنية، ذات الصلاحيات الهامة والحساسة؛ على أن تكون معزولة في شبكة خاصة، لإدارة الأنظمة (Management Network) وعلى أن لا ترتبط بأي شبكة، أو خدمة أخرى (مثل: خدمة البريد الإلكتروني، الإنترنت).

2-3-1-5 تشفير أي وصول إشرافي عبر الشبكة (Non-console Administrative Access) لأي من المكونات التقنية للأنظمة الحساسة، باستخدام خوارزميات، وبروتوكولات التشفير الآمنة.

2-3-1-6 مراجعة إعدادات الأنظمة الحساسة وتحصيناتها (Secure Configuration and Hardening) كل ستة أشهر على الأقل.

2-3-1-7 مراجعة الإعدادات المصنعية (Default Configuration) وتعديلها والتأكد من عدم وجود كلمات مرور ثابتة، وخلفية، وإفتراضية (Hard-Coded, Backdoor and Default Passwords) ما أمكن تطبيقه.

2-3-1-8 حماية السجلات، والملفات الحساسة للأنظمة، من الوصول غير المصرح به، أو العبث، أو التغيير، أو الحذف غير المشروع.

2-4-1

بالإضافة للضوابط الفرعية ضمن الضابط ٢-٥-٣ في الضوابط الأساسية للأمن السيبراني، يجب أن تغطي متطلبات الأمن السيبراني لإدارة أمن شبكات الأنظمة الحساسة للجهة بحد أدنى ما يلي:

2-4-1-1 العزل والتقسيم المادي، أو المنطقي، لشبكات الأنظمة الحساسة.

2-4-1-2 مراجعة إعدادات جدار الحماية (Firewall Rules) وقوائمه؛ كل ستة أشهر، على الأقل.

2-4-1-3 منع التوصيل المباشر، لأي جهاز بالشبكة المحلية للأنظمة الحساسة؛ إلا بعد الفحص، والتأكد من توافر عناصر الحماية المحققة، للمستويات المقبولة للأنظمة الحساسة.

2-4-1-4 منع الأنظمة الحساسة من الاتصال بالشبكة اللاسلكية.

2-4-1-5 الحماية من التهديدات المتقدمة المستمرة على مستوى الشبكة (Network APT).

2-4-1-6 منع الأنظمة الحساسة من الاتصال بالإنترنت في حال أن كانت تقدم خدمة داخلية للجهة؛ ولا توجد هناك حاجة ضرورية جداً، للدخول على الخدمة من خارج الجهة.

2-4-1-7 تقديم خدمات الأنظمة الحساسة، من خلال شبكات مستقلة عن الإنترنت، في حال أن كانت خدمات تلك الأنظمة، موجهة لجهات محدودة؛ وليست للأفراد.

2-4-1-8 الحماية من هجمات تعطيل الشبكات (Distrbuted Denial of Service Attack «DDoS») للحد من المخاطر الناتجة عن هجمات تعطيل الشبكات.

2-4-1-9 السماح بقائمة محددة (Whitelisting) فقط، لقوائم جدار الحماية، الخاصة بالأنظمة الحساسة.

2-5-1

بالإضافة للضوابط الفرعية ضمن الضابط ٢-٦-٣ في الضوابط الأساسية للأمن السيبراني، يجب أن تغطي متطلبات الأمن السيبراني، الخاصة بأمن الأجهزة المحمولة، وأجهزة (BYOD) للجهة، بحد أدنى؛ ما يلي:

2-5-1-1 منع الوصول من الأجهزة المحمولة للأنظمة الحساسة، إلا لفترة مؤقتة فقط؛ وذلك بعد إجراء تقييم المخاطر، وأخذ الموافقات اللازمة من الإدارة المعنية بالأمن السيبراني في الجهة.

2-5-1-2 تشفير أقراص الأجهزة المحمولة، ذات صلاحية الوصول للأنظمة الحساسة، تشفيراً كاملاً (Full Disk Encryption).

2-6-1

بالإضافة للضوابط الفرعية ضمن الضابط ٢-٧-٣ في الضوابط الأساسية للأمن السيبراني، يجب أن تغطي متطلبات الأمن السيبراني لحماية البيانات والمعلومات؛ بحد أدنى، ما يلي:

2-6-1-1 عدم استخدام بيانات الأنظمة الحساسة في غير بيئة الإنتاج (Production Environment) إلا بعد استخدام ضوابط مشددة لحماية تلك البيانات مثل: تقنيات تعتيم البيانات (Data Masking) أو تقنيات مزج البيانات (Data Scrambling).

2-6-1-2 تصنيف جميع بيانات الأنظمة الحساسة.

2-6-1-3 حماية البيانات المصنفة الخاصة بالأنظمة الحساسة من خلال تقنيات، منع تسريب البيانات (Data Leakage Prevention).

2-6-1-4 تحديد مدة الاحتفاظ المطلوبة (Retention Period) لبيانات الأعمال المتعلقة بالأنظمة الحساسة؛ حسب التشريعات ذات العلاقة، ويتم الاحتفاظ بالبيانات المطلوبة فقط، في بيئات الإنتاج للأنظمة الحساسة.

2-6-1-5 منع نقل أي من بيانات بيئة الإنتاج الخاصة بالأنظمة الحساسة إلى أي بيئة أخرى.

2-7-1

بالإضافة للضوابط الفرعية ضمن الضابط ٢-٨-٣ في الضوابط الأساسية للأمن السيبراني، يجب أن تغطي متطلبات الأمن السيبراني للتشفير، بحد أدنى، ما يلي:

2-7-1-1 تشفير جميع بيانات الأنظمة الحساسة؛ أثناء النقل (Data-In-Transit).

2-7-1-2 تشفير جميع بيانات الأنظمة الحساسة؛ أثناء التخزين (Data-At-Rest) على مستوى الملفات، أو قاعدة البيانات، أو على مستوى أعمدة محددة، داخل قاعدة البيانات.

2-7-1-3 استخدام طرق وخوارزميات ومفاتيح وأجهزة تشفير محدثّة وآمنة وفقاً لما تصدره الهيئة بهذا الشأن.

2-8-1

بالإضافة للضوابط الفرعية ضمن الضابط ٢-٩-٣ في الضوابط الأساسية للأمن السيبراني، يجب أن تغطي متطلبات الأمن السيبراني لإدارة النسخ الاحتياطية، بحد أدنى؛ ما يلي:

2-8-1-1 نطاق عمل النسخ الاحتياطي المتصل، وغير المتصل (Online and Offline Backup) ليشمل جميع الأنظمة الحساسة.

2-8-1-2 عمل النسخ الاحتياطي على فترات زمنية مخطط لها؛ بناءً على تقييم المخاطر للجهة. وتوصي الهيئة بأن يتم عمل النسخ الاحتياطي، للأنظمة الحساسة، بشكل يومي.

2-8-1-3 تأمين الوصول، والتخزين، والنقل لمحتوى النسخ الاحتياطية للأنظمة الحساسة ووسائطها، وحمايتها من الإتلاف، أو التعديل، أو الاطلاع غير المصرح به.

2-8-2

رجوعاً للضابط ٢-٩-٣-٣ في الضوابط الأساسية للأمن السيبراني، يجب إجراء فحص دوري؛ كل ثلاثة أشهر على الأقل، لتحديد مدى فعالية استعادة النسخ الاحتياطية، الخاصة بالأنظمة الحساسة.

2-9-1

بالإضافة للضوابط الفرعية ضمن الضابط ٢-١٠-٣ في الضوابط الأساسية للأمن السيبراني، يجب أن تغطي متطلبات الأمن السيبراني لإدارة الثغرات للأنظمة الحساسة، بحد أدنى، ما يلي:

2-9-1-1 استخدام وسائل وأدوات موثوقة لإكتشاف الثغرات.

2-9-1-2 تقييم الثغرات ومعالجتها (بتنصيب حزم التحديثات والإصلاحات) على المكونات التقنية للأنظمة الحساسة، مرة واحدة شهرياً، على الأقل، للأنظمة الحساسة الخارجية، والمتصلة بالإنترنت؛ وكل ثلاثة أشهر على الأقل، للأنظمة الحساسة الداخلية.

2-9-1-3 معالجة فورية للثغرات الحرجة (Critical Vulnerabilities) المكتشفة حديثاً؛ مع اتباع آليات إدارة التغيير، المعتمدة لدى الجهة.

2-9-2

رجوعاً للضابط ٢-١٠-٣-١ في الضوابط الأساسية للأمن السيبراني، يجب فحص الثغرات واكتشافها على المكونات التقنية، للأنظمة الحساسة، مرة واحدة شهرياً؛ على الأقل.

2-10-1

بالإضافة للضوابط الفرعية ضمن الضابط ٢-١١-٣ في الضوابط الأساسية للأمن السيبراني، يجب أن تغطي متطلبات الأمن السيبراني لاختبار الاختراق للأنظمة الحساسة، بحد أدنى؛ ما يلي:

2-10-1-1 نطاق عمل اختبار الاختراق، ليشمل جميع المكونات التقنية للأنظمة الحساسة، وجميع الخدمات المقدمة داخلياً وخارجياً.

2-10-1-2 عمل اختبار الاختراق من قبل فريق مؤهل.

2-10-2

رجوعاً للضابط ٢-١١-٣-٢ في الضوابط الأساسية للأمن السيبراني، يجب عمل اختبار الاختراق على الأنظمة الحساسة، كل ستة أشهر؛ على الأقل.

2-11-1

بالإضافة للضوابط الفرعية ضمن الضابط ٢-١٢-٣ في الضوابط الأساسية للأمن السيبراني، يجب أن تغطي متطلبات إدارة سجلات الأحداث، ومراقبة الأمن السيبراني للأنظمة الحساسة، بحد أدنى؛ ما يلي:

2-11-1-1 تفعيل سجلات الأحداث (Event logs) الخاصة بالأمن السيبراني؛ على جميع المكونات التقنية للأنظمة الحساسة.

2-11-1-2 تفعيل التنبيهات وسجلات الأحداث المتعلقة بإدارة تغييرات الملفات (File Integrity Management) ومراقبتها.

2-11-1-3 مراقبة سلوك المستخدم (User Behavior Analytics «UBA») وتحليله.

2-11-1-4 مراقبة سجلات الأحداث، الخاصة بالأنظمة الحساسة على مدار الساعة.

2-11-1-5 الاحتفاظ بسجلات الأحداث، الخاصة بالأمن السيبراني، المتعلقة بالأنظمة الحساسة وحمايتها؛ على أن تكون شاملة، ومتضمنة للتفاصيل كاملة (مثل: الوقت، التاريخ، الهوية، النظام المتأثر).

2-11-2

رجوعاً للضابط ٢-١٢-٣-٥ في الضوابط الأساسية للأمن السيبراني، يجب أن لا تقل مدة الاحتفاظ بسجلات الأحداث الخاصة بالأمن السيبراني، على الأنظمة الحساسة عن ١٨ شهراً؛ حسب المتطلبات التشريعية، والتنظيمية، ذات العلاقة.

2-12-1

بالإضافة للضوابط الفرعية ضمن الضابط ٢-١٥-٣ في الضوابط الأساسية للأمن السيبراني، يجب أن تغطي متطلبات الأمن السيبراني، لحماية تطبيقات الويب الخارجية للأنظمة الحساسة للجهة، بحد أدنى؛ ما يلي:

2-12-1-1 الإدارة الآمنة للجلسات (Secure Session Management)، ويشمل موثوقية الجلسات (Authenticity)، وإقفالها (Lockout)، وإنهاء مهلتها (Timeout).

2-12-1-2 تطبيق معايير أمن التطبيقات وحمايتها (OWASP Top Ten) في حدها الأدنى.

2-12-2

رجوعاً للضابط ٢-١٥-٣-٢ في الضوابط الأساسية للأمن السيبراني، يجب استخدام مبدأ المعمارية ذات المستويات المتعددة (Multi-tier Architecture) على أن لا يقل عدد المستويات عن ٣ (3-Tier Architecture).

2-13-1

يجب تحديد وتوثيق واعتماد متطلبات الأمن السيبراني لحماية التطبيقات الداخلية الخاصة بالأنظمة الحساسة للجهة من المخاطر السيبرانية.

2-13-2

يجب تطبيق متطلبات الأمن السيبراني؛ لحماية التطبيقات الداخلية، الخاصة بالأنظمة الحساسة للجهة.

2-13-3

يجب أن تغطي متطلبات الأمن السيبراني؛ لحماية التطبيقات الداخلية، الخاصة بالأنظمة الحساسة للجهة، بحد أدنى، ما يلي:

2-13-3-1 استخدام مبدأ المعمارية ذات المستويات المتعددة (Multi-tier Architecture) على أن لا يقل عدد المستويات عن ٣ (3-Tier Architecture).

2-13-3-2 استخدام بروتوكولات آمنة (مثل بروتوكول HTTPS).

2-13-3-3 توضيح سياسة الاستخدام الآمن للمستخدمين.

2-13-3-4 الإدارة الآمنة للجلسات (Secure Session Management)، ويشمل موثوقية الجلسات (Authenticity)، وإقفالها (Lockout)، وإنهاء مهلتها (Timeout).

2-13-4

مراجعة متطلبات الأمن السيبراني لحماية التطبيقات الداخلية الخاصة بالأنظمة الحساسة للجهة دورياً.

3-1-1

بالإضافة للضوابط الفرعية ضمن الضابط ٣-١-٣ في الضوابط الأساسية للأمن السيبراني، يجب أن تغطي إدارة استمرارية الأعمال في الجهة، بحد أدنى؛ ما يلي:

3-1-1-1 وضع مركز للتعافي من الكوارث للأنظمة الحساسة.

3-1-1-2 إدراج الأنظمة الحساسة؛ ضمن خطط التعافي من الكوارث.

3-1-1-3 إجراء اختبارات دورية؛ للتأكد من فعالية خطط التعافي، من الكوارث للأنظمة الحساسة، مرة واحدة سنوياً؛ على الأقل.

3-1-1-4 توصي الهيئة بإجراء اختبار دوري حي؛ للتعافي من الكوارث (Live DR Test) للأنظمة الحساسة.

4-1-1

بالإضافة للضوابط ضمن المكون الفرعي ٤-١ في الضوابط الأساسية للأمن السيبراني، يجب أن تغطي متطلبات الأمن السيبراني، المتعلقة بالأطراف الخارجية، بحد أدنى؛ ما يلي:

4-1-1-1 إجراء المسح الأمني (Screening or Vetting) لشركات خدمات الإسناد، ولموظفي خدمات الإسناد، والخدمات المدارة العاملين على الأنظمة الحساسة.

4-1-1-2 أن تكون خدمات الإسناد، والخدمات المدارة على الأنظمة الحساسة؛ عن طريق شركات، وجهات وطنية؛ وفقاً للمتطلبات التشريعية، والتنظيمية ذات العلاقة.

4-2-1

بالإضافة للضوابط الفرعية ضمن الضابط ٤-٢-٣ في الضوابط الأساسية للأمن السيراني، يجب أن تغطي متطلبات الأمن السيبراني الخاصة باستخدام خدمات الحوسبة السحابية والاستضافة، بحد أدنى؛ ما يلي:

4-2-1-1 أن يكون موقع استضافة الأنظمة الحساسة، أو أي جزء من مكوناتها التقنية، داخل الجهة، أو في خدمات الحوسبة السحابية، المقدمة من قبل جهات حكومية، أو شركات وطنية محققة لضوابط الحوسبة السحابية الصادرة من الهيئة مع مراعاة تصنيف البيانات المستضافة.