دليل عملي لضوابط الأمن السيبراني الأساسية (ECC) للمؤسسات السعودية

تضع ضوابط الأمن السيبراني الأساسية (ECC) الصادرة عن الهيئة الوطنية للأمن السيبراني الحد الأدنى الذي يجب أن تلتزم به كل جهة حكومية سعودية والعديد من مؤسسات القطاع الخاص. في مشاريعنا عبر الرياض وجدة والدمام، تتكرر ثلاث فجوات رئيسية: جرد الأصول، وإدارة الصلاحيات المميزة، وتوثيق خطط الاستجابة للحوادث.

قد يبدو جرد الأصول أمراً بسيطاً إلى أن يطلب المدقق قائمة حية بكل جهاز على الشبكة، بينما يكون الملف المتوفر قديماً منذ ثمانية أشهر. عادة ما نحل هذا الأمر عبر دمج فحص اكتشاف الشبكة مع عملية إدارة تغيير مستمرة، وليس مجرد تنظيف لمرة واحدة.

الفجوة الثانية المتكررة هي الصلاحيات المميزة — حسابات إدارية مشتركة، وغياب المصادقة الثنائية على واجهات الإدارة، وقواعد جدار حماية لا يتذكر أحد سبب وجودها. مراجعة دورية منظمة للصلاحيات كل ثلاثة أشهر بدلاً من مرة سنوياً تمنع تحوّل الأمر إلى أزمة قبل كل دورة تدقيق.

وأخيراً، خطط الاستجابة للحوادث التي لا توجد إلا كمستند لم يختبره أحد. نوصي بإجراء تمرين محاكاة واحد على الأقل سنوياً يأخذ فريقك عبر سيناريو واقعي — وأكثر سيناريو نحاكيه لعملائنا هو هجوم فدية على خادم الملفات.

إذا كانت مؤسستك تستعد لأول تقييم لضوابط ECC، ابدأ بتقييم الفجوات مقابل مجالات الضبط بدلاً من محاولة تطبيق كل شيء دفعة واحدة — فتحديد الأولويات يكون أسهل بكثير بعد معرفة موقعك الفعلي بدقة.