التنظيمات والمصادر

تنظيمات الأمن السيبراني في المملكة

الجهات التنظيمية والأطر التي تقيّمها هذه الأداة، مع روابط الوثائق الرسمية. بنوك الأسئلة إعادة صياغة للضوابط الرسمية لأغراض التقييم الذاتي.

NCA

الهيئة الوطنية للأمن السيبراني (‪NCA‬)

الجهة الوطنية المختصة بالأمن السيبراني. تضع السياسات والأطر والضوابط (‪ECC‬ و‪NCNICC‬ و‪CCC‬ و‪DCC‬ و‪CSCC‬ و‪OTCC‬ وغيرها) وتتابع الالتزام بها.

ضوابط ‪ECC‬ · ضوابط ‪NCNICC‬ · ضوابط ‪CSCC‬ · ضوابط ‪CCC‬ · ضوابط ‪DCC‬ · ضوابط ‪OTCC‬ · ضوابط ‪TCC‬ · ضوابط ‪OSMACC‬ · معايير ‪NCS‬ · nca.gov.sa ↗

SDAIA

الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)

الجهة المختصة بنظام حماية البيانات الشخصية، تتلقى بلاغات التسرب وتتولى إنفاذ النظام، وتصدر اللائحة التنفيذية ولائحة نقل البيانات خارج المملكة.

نظام حماية البيانات · ضوابط إدارة البيانات الوطنية · sdaia.gov.sa ↗

CST

هيئة الاتصالات والفضاء والتقنية (‪CST‬)

تنظّم قطاعات الاتصالات وتقنية المعلومات والفضاء والبريد، وتطبّق الإطار التنظيمي للأمن السيبراني على مقدمي الخدمات المرخصين.

إطار ‪CRF‬ · تنظيمات الحوسبة السحابية · www.cst.gov.sa ↗

SAMA

البنك المركزي السعودي (ساما)

البنك المركزي للمملكة، ويحدد متطلبات الأمن السيبراني واستمرارية الأعمال للبنوك وشركات التأمين والتمويل ومقدمي خدمات المدفوعات.

إطار ساما للأمن السيبراني · دليل ساما لاستمرارية الأعمال · www.sama.gov.sa ↗

CMA

هيئة السوق المالية (‪CMA‬)

تنظّم السوق المالية، وتحدد متطلبات الأمن السيبراني لمؤسسات السوق المالية.

الأمن السيبراني - هيئة السوق المالية · cma.org.sa ↗

DGA

هيئة الحكومة الرقمية (‪DGA‬)

تنظّم الحكومة الرقمية، وتضع معايير الخدمات الحكومية الرقمية.

معايير هيئة الحكومة الرقمية · dga.gov.sa ↗

MOH

وزارة الصحة والجهات الصحية

تضع الجهات الصحية متطلبات حماية المعلومات الصحية.

سياسات ‪SeHE‬ · www.moh.gov.sa ↗

الهيئة الوطنية للأمن السيبراني (‪NCA‬)

‪ECC-2:2024‬

الضوابط الأساسية للأمن السيبراني

الهيئة الوطنية للأمن السيبراني

4 مكونات أساسية · 28 مكونًا فرعيًا · 108 ضوابط أساسية · 92 ضابطًا فرعيًا

المصدر الرسمي ↗

الحد الأدنى الوطني للأمن السيبراني. إلزامية للجهات الحكومية (بما فيها الشركات التابعة لها داخل المملكة وخارجها) وللجهات الخاصة التي تمتلك أو تشغّل أو تستضيف بنى تحتية وطنية حساسة.

ينطبق على: الجهات الحكومية والشركات التابعة لها، والجهات المشغّلة للبنى التحتية الوطنية الحساسة.

المجالات المقيّمة (108 سؤالًا)

1-1. إستراتيجية الأمن السيبراني

اعتماد إستراتيجية الأمن السيبراني (1-1-1)
خطة عمل تطبيق الإستراتيجية (1-1-2)
مراجعة الإستراتيجية (1-1-3)

1-2. إدارة الأمن السيبراني

إدارة مستقلة معنية بالأمن السيبراني (1-2-1)
كوادر سعودية مؤهلة في الأمن السيبراني (1-2-2)
اللجنة الإشرافية للأمن السيبراني (1-2-3)

1-3. سياسات وإجراءات الأمن السيبراني

اعتماد سياسات وإجراءات الأمن السيبراني (1-3-1)
تطبيق السياسات والإجراءات (1-3-2)
المعايير التقنية الأمنية (1-3-3)
مراجعة السياسات وتحديثها (1-3-4)

1-4. أدوار ومسؤوليات الأمن السيبراني

الهيكل التنظيمي للحوكمة والأدوار (1-4-1)
مراجعة الأدوار والمسؤوليات (1-4-2)

1-5. إدارة مخاطر الأمن السيبراني

منهجية إدارة مخاطر الأمن السيبراني (1-5-1)
تطبيق إدارة المخاطر (1-5-2)
حالات تقييم المخاطر (1-5-3 (1-5-3-1 – 1-5-3-4))
مراجعة منهجية إدارة المخاطر (1-5-4)

1-6. الأمن السيبراني ضمن إدارة المشاريع المعلوماتية والتقنية

الأمن السيبراني في إدارة المشاريع والتغيير (1-6-1)
تقييم الثغرات ومراجعة التحصين قبل الإطلاق (1-6-2 (1-6-2-1, 1-6-2-2))
التطوير الآمن للتطبيقات (1-6-3 (1-6-3-1 – 1-6-3-5))
مراجعة متطلبات الأمن السيبراني في المشاريع (1-6-4)

1-7. الالتزام بتشريعات وتنظيمات ومعايير الأمن السيبراني

الاتفاقيات والالتزامات الدولية (1-7-1)

1-8. المراجعة والتدقيق الدوري للأمن السيبراني

المراجعة الدورية الداخلية (1-8-1)
التدقيق المستقل (1-8-2)
عرض نتائج المراجعة والتدقيق (1-8-3)

1-9. الأمن السيبراني المتعلق بالموارد البشرية

متطلبات الأمن السيبراني المتعلقة بالعاملين (1-9-1)
تطبيق متطلبات الأمن السيبراني المتعلقة بالعاملين (1-9-2)
العقود والمسح الأمني (1-9-3 (1-9-3-1, 1-9-3-2))
الأمن السيبراني خلال العلاقة الوظيفية (1-9-4 (1-9-4-1, 1-9-4-2))
إلغاء الصلاحيات عند انتهاء العلاقة الوظيفية (1-9-5)
مراجعة متطلبات الأمن السيبراني المتعلقة بالعاملين (1-9-6)

1-10. برنامج التوعية والتدريب بالأمن السيبراني

اعتماد برنامج التوعية بالأمن السيبراني (1-10-1)
تطبيق برنامج التوعية (1-10-2)
موضوعات برنامج التوعية (1-10-3 (1-10-3-1 – 1-10-3-4))
التدريب المتخصص (1-10-4 (1-10-4-1 – 1-10-4-3))
مراجعة برنامج التوعية (1-10-5)

2-1. إدارة الأصول

متطلبات إدارة الأصول (2-1-1)
تطبيق إدارة الأصول وحصرها (2-1-2)
سياسة الاستخدام المقبول للأصول (2-1-3)
تطبيق سياسة الاستخدام المقبول (2-1-4)
تصنيف الأصول وترميزها (2-1-5)
مراجعة متطلبات إدارة الأصول (2-1-6)

2-2. إدارة هويات الدخول والصلاحيات

متطلبات إدارة هويات الدخول والصلاحيات (2-2-1)
تطبيق إدارة هويات الدخول والصلاحيات (2-2-2)
التحقق من الهوية والصلاحيات الهامة والحساسة (2-2-3 (2-2-3-1 – 2-2-3-5))
مراجعة إدارة هويات الدخول والصلاحيات (2-2-4)

2-3. حماية الأنظمة وأجهزة معالجة المعلومات

متطلبات حماية الأنظمة وأجهزة معالجة المعلومات (2-3-1)
تطبيق حماية الأنظمة (2-3-2)
الحماية من البرمجيات الضارة والتحديثات ومزامنة التوقيت (2-3-3 (2-3-3-1 – 2-3-3-4))
مراجعة حماية الأنظمة (2-3-4)

2-4. حماية البريد الإلكتروني

متطلبات حماية البريد الإلكتروني (2-4-1)
تطبيق حماية البريد الإلكتروني (2-4-2)
التصفية والتحقق متعدد العناصر والأرشفة و‪SPF/DKIM/DMARC‬ (2-4-3 (2-4-3-1 – 2-4-3-5))
مراجعة حماية البريد الإلكتروني (2-4-4)

2-5. إدارة أمن الشبكات

متطلبات إدارة أمن الشبكات (2-5-1)
تطبيق أمن الشبكات (2-5-2)
العزل والتصفح والشبكات اللاسلكية و‪IPS‬ و‪DNS‬ و‪DDoS‬ (2-5-3 (2-5-3-1 – 2-5-3-9))
مراجعة أمن الشبكات (2-5-4)

2-6. أمن الأجهزة المحمولة

متطلبات أمن الأجهزة المحمولة وأجهزة ‪BYOD‬ (2-6-1)
تطبيق أمن الأجهزة المحمولة وأجهزة ‪BYOD‬ (2-6-2)
فصل البيانات وتشفيرها وحذفها (2-6-3 (2-6-3-1 – 2-6-3-4))
مراجعة أمن الأجهزة المحمولة (2-6-4)

2-7. حماية البيانات والمعلومات

متطلبات حماية البيانات والمعلومات (2-7-1)
حماية البيانات حسب مستوى تصنيفها (2-7-2)
مراجعة حماية البيانات والمعلومات (2-7-3)

2-8. التشفير

متطلبات التشفير (2-8-1)
تطبيق التشفير (2-8-2)
المعايير الوطنية للتشفير (2-8-3 (2-8-3-1 – 2-8-3-3))
مراجعة التشفير (2-8-4)

2-9. إدارة النسخ الاحتياطية

متطلبات إدارة النسخ الاحتياطية (2-9-1)
تطبيق النسخ الاحتياطي (2-9-2)
نطاق النسخ والاستعادة السريعة واختبارها (2-9-3 (2-9-3-1 – 2-9-3-3))
مراجعة إدارة النسخ الاحتياطية (2-9-4)

2-10. إدارة الثغرات

متطلبات إدارة الثغرات (2-10-1)
تطبيق إدارة الثغرات (2-10-2)
فحص الثغرات وتصنيفها ومعالجتها وإدارة التحديثات (2-10-3 (2-10-3-1 – 2-10-3-5))
مراجعة إدارة الثغرات (2-10-4)

2-11. اختبار الاختراق

متطلبات اختبار الاختراق (2-11-1)
تنفيذ اختبارات الاختراق (2-11-2)
نطاق اختبار الاختراق ودوريته (2-11-3 (2-11-3-1, 2-11-3-2))
مراجعة اختبار الاختراق (2-11-4)

2-12. إدارة سجلات الأحداث ومراقبة الأمن السيبراني

متطلبات إدارة سجلات الأحداث والمراقبة (2-12-1)
تطبيق إدارة سجلات الأحداث والمراقبة (2-12-2)
سجلات الأصول الحساسة و‪SIEM‬ والمراقبة المستمرة والاحتفاظ (2-12-3 (2-12-3-1 – 2-12-3-5))
مراجعة إدارة سجلات الأحداث والمراقبة (2-12-4)

2-13. إدارة حوادث وتهديدات الأمن السيبراني

متطلبات إدارة الحوادث والتهديدات (2-13-1)
تطبيق إدارة الحوادث (2-13-2)
خطط الاستجابة وإبلاغ الهيئة والمعلومات الاستباقية (2-13-3 (2-13-3-1 – 2-13-3-5))
مراجعة إدارة الحوادث (2-13-4)

2-14. الأمن المادي

متطلبات الأمن المادي (2-14-1)
تطبيق الأمن المادي (2-14-2)
الأماكن الحساسة والمراقبة والإتلاف الآمن (2-14-3 (2-14-3-1 – 2-14-3-5))
مراجعة الأمن المادي (2-14-4)

2-15. حماية تطبيقات الويب

متطلبات حماية تطبيقات الويب (2-15-1)
تطبيق حماية تطبيقات الويب (2-15-2)
جدار حماية تطبيقات الويب والمعمارية متعددة المستويات و‪HTTPS‬ (2-15-3 (2-15-3-1 – 2-15-3-5))
مراجعة حماية تطبيقات الويب (2-15-4)

3-1. جوانب صمود الأمن السيبراني في إدارة استمرارية الأعمال

متطلبات الأمن السيبراني ضمن استمرارية الأعمال (3-1-1)
تطبيق الأمن السيبراني ضمن استمرارية الأعمال (3-1-2)
استمرارية أنظمة الأمن السيبراني وخطط التعافي (3-1-3 (3-1-3-1 – 3-1-3-3))
مراجعة الأمن السيبراني ضمن استمرارية الأعمال (3-1-4)

4-1. الأمن السيبراني المتعلق بالأطراف الخارجية

متطلبات الأمن السيبراني في العقود مع الأطراف الخارجية (4-1-1)
البنود الأمنية في العقود (4-1-2 (4-1-2-1 – 4-1-2-3))
خدمات الإسناد والخدمات المُدارة (4-1-3 (4-1-3-1, 4-1-3-2))
مراجعة متطلبات الأطراف الخارجية (4-1-4)

4-2. الأمن السيبراني المتعلق بالحوسبة السحابية والاستضافة

متطلبات الحوسبة السحابية والاستضافة (4-2-1)
تطبيق متطلبات الحوسبة السحابية والاستضافة (4-2-2)
حماية البيانات وإعادتها وفصل البيئة (4-2-3 (4-2-3-1, 4-2-3-2))
مراجعة متطلبات الحوسبة السحابية والاستضافة (4-2-4)

‪NCNICC-1:2025‬

ضوابط الأمن السيبراني لجهات القطاع الخاص من غير ذات البنى التحتية الحساسة

الهيئة الوطنية للأمن السيبراني

3 مكونات أساسية · 22 مكونًا فرعيًا · 65 ضابطًا أساسيًا · 47 ضابطًا فرعيًا (صدرت في ديسمبر 2025)

المصدر الرسمي ↗

الحد الأدنى من متطلبات الأمن السيبراني لجهات القطاع الخاص غير المصنفة ضمن البنى التحتية الوطنية الحساسة، ومشتقة من الضوابط الأساسية. تطبّق جهات الفئة (أ) الكبيرة جميع المكونات، وتطبّق جهات الفئة (ب) الصغيرة والمتوسطة ضوابط تعزيز الأمن السيبراني الأساسية.

ينطبق على: جهات القطاع الخاص من غير ذات البنى التحتية الحساسة التي تعمّم عليها الهيئة (الفئة أ: الكبيرة، الفئة ب: الصغيرة والمتوسطة).

المجالات المقيّمة (23 سؤالًا)

1. حوكمة الأمن السيبراني

إدارة الأمن السيبراني (1-1-1 – 1-1-3)
سياسات وإجراءات الأمن السيبراني (1-2-1 – 1-2-3)
إدارة مخاطر الأمن السيبراني (1-3-1 – 1-3-3)
المراجعة والتدقيق الدوري للأمن السيبراني (1-4-1, 1-4-2)
برنامج التوعية والتدريب بالأمن السيبراني (1-5-1 – 1-5-3)

2. تعزيز الأمن السيبراني

إدارة الأصول (2-1-1, 2-1-2)
إدارة هويات الدخول والصلاحيات (2-2-1, 2-2-2)
حماية الأنظمة وأجهزة معالجة المعلومات (2-3-1, 2-3-2)
حماية البريد الإلكتروني (2-4-1, 2-4-2)
إدارة أمن الشبكات (2-5-1, 2-5-2)
أمن الأجهزة المحمولة (2-6-1, 2-6-2)
حماية البيانات والمعلومات (2-7-1, 2-7-2)
التشفير (2-8-1, 2-8-2)
إدارة النسخ الاحتياطية (2-9-1, 2-9-2)
إدارة الثغرات (2-10-1, 2-10-2)
اختبار الاختراق (2-11-1 – 2-11-3)
إدارة سجلات الأحداث ومراقبة الأمن السيبراني (2-12-1, 2-12-2)
إدارة حوادث وتهديدات الأمن السيبراني (2-13-1, 2-13-2)
تبليغ الهيئة عن الحوادث (2-13-1-2, 2-13-1-3)
الأمن المادي (2-14-1, 2-14-2)
حماية تطبيقات الويب (2-15-1 – 2-15-3)

3. الأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية

الأمن السيبراني المتعلق بالأطراف الخارجية (3-1-1 – 3-1-3)
الأمن السيبراني المتعلق بالحوسبة السحابية والاستضافة (3-2-1 – 3-2-3)

‪CSCC-1:2019‬

ضوابط الأمن السيبراني للأنظمة الحساسة

الهيئة الوطنية للأمن السيبراني

4 مكونات أساسية · 21 مكونًا فرعيًا · 32 ضابطًا أساسيًا · 73 ضابطًا فرعيًا

المصدر الرسمي ↗

امتداد للضوابط الأساسية للأمن السيبراني يضع متطلبات إضافية بالحد الأدنى للأنظمة الحساسة، وهي الأنظمة التي قد يؤدي تعطلها أو الوصول غير المصرح به إليها إلى التأثير سلبًا على توافر خدمات الجهة أو إلى آثار اقتصادية أو مالية أو أمنية أو اجتماعية على المستوى الوطني.

ينطبق على: الجهات المالكة أو المشغّلة لأنظمة حساسة وفقًا لمعايير التحديد الواردة في الضوابط، سواء كانت جهات حكومية داخل المملكة أو خارجها (وزارات وهيئات ومؤسسات وسفارات وغيرها)، أو جهات وشركات تابعة لها، أو جهات القطاع الخاص. ويُعد الالتزام المستمر بالضوابط الأساسية للأمن السيبراني متطلبًا مسبقًا.

المجالات المقيّمة (32 سؤالًا)

1. حوكمة الأمن السيبراني

أولوية الأنظمة الحساسة في الاستراتيجية (1-1-1)
إدارة مخاطر الأنظمة الحساسة (1-2-1)
الأمن السيبراني في المشاريع وإدارة التغيير (1-3-1)
أمن تطوير التطبيقات والبرمجيات (1-3-2)
المراجعة السنوية لضوابط الأنظمة الحساسة (1-4-1)
المراجعة المستقلة لضوابط الأنظمة الحساسة (1-4-2)
العاملون على الأنظمة الحساسة (1-5-1)

2. تعزيز الأمن السيبراني

إدارة أصول الأنظمة الحساسة (2-1-1)
إدارة هويات الدخول والصلاحيات للأنظمة الحساسة (2-2-1)
المراجعة الربع سنوية للصلاحيات (2-2-2)
حماية الأنظمة الحساسة وأجهزة معالجة المعلومات (2-3-1)
إدارة أمن شبكات الأنظمة الحساسة (2-4-1)
وصول الأجهزة المحمولة إلى الأنظمة الحساسة (2-5-1)
حماية بيانات الأنظمة الحساسة (2-6-1)
تشفير الأنظمة الحساسة (2-7-1)
النسخ الاحتياطية للأنظمة الحساسة (2-8-1)
اختبار الاستعادة كل ثلاثة أشهر (2-8-2)
معالجة ثغرات الأنظمة الحساسة (2-9-1)
التقييم الشهري للثغرات (2-9-2)
نطاق اختبار الاختراق (2-10-1)
اختبار الاختراق نصف السنوي (2-10-2)
سجلات ومراقبة الأنظمة الحساسة (2-11-1)
الاحتفاظ بالسجلات 18 شهرًا (2-11-2)
حماية تطبيقات الويب الخارجية (2-12-1)
البنية متعددة المستويات لتطبيقات الويب (2-12-2)
تحديد متطلبات حماية التطبيقات الداخلية (2-13-1)
تطبيق متطلبات حماية التطبيقات الداخلية (2-13-2)
الحد الأدنى لضوابط التطبيقات الداخلية (2-13-3)
مراجعة متطلبات حماية التطبيقات الداخلية (2-13-4)

3. صمود الأمن السيبراني

التعافي من الكوارث للأنظمة الحساسة (3-1-1)

4. الأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية

خدمات الإسناد والخدمات المدارة (4-1-1)
موقع استضافة الأنظمة الحساسة (4-2-1)

‪CCC-2:2024‬

ضوابط الأمن السيبراني للحوسبة السحابية

الهيئة الوطنية للأمن السيبراني

4 مكونات أساسية · 24 مكونًا فرعيًا · 55 ضابطًا أساسيًا (مقدمو الخدمات 37 · المشتركون 18) · 120 ضابطًا فرعيًا (مقدمو الخدمات 94 · المشتركون 26)

المصدر الرسمي ↗

امتداد للضوابط الأساسية للأمن السيبراني ومكمّل لها، يحدد الحد الأدنى من متطلبات الأمن السيبراني للحوسبة السحابية لمقدمي الخدمات والمشتركين. كل ضابط فيها خاص إما بمقدمي الخدمات أو بالمشتركين، إضافةً إلى الضوابط الأساسية.

ينطبق على: المشتركون: الجهات الحكومية داخل المملكة وخارجها والجهات والشركات التابعة لها، وجهات القطاع الخاص التي تمتلك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها، ممن يستخدمون أو يخططون لاستخدام خدمات الحوسبة السحابية. مقدمو الخدمات: كل مقدم خدمة يقدّم خدماته لهؤلاء المشتركين. ويلتزم الطرفان أيضًا بالضوابط الأساسية للأمن السيبراني.

المجالات المقيّمة (55 سؤالًا)

1. حوكمة الأمن السيبراني

أدوار الحوسبة السحابية ومصفوفة ‪RACI‬ (مقدم الخدمة) (‪1-1-P-1‬)
أدوار الحوسبة السحابية ومصفوفة ‪RACI‬ (المشترك) (‪1-1-T-1‬)
إدارة مخاطر الحوسبة السحابية (مقدم الخدمة) (‪1-2-P-1‬)
إدارة مخاطر الحوسبة السحابية (المشترك) (‪1-2-T-1‬)
الالتزام التنظيمي الدائم (مقدم الخدمة) (‪1-3-P-1‬)
مراقبة التزام مقدم الخدمة (‪1-3-T-1‬)
العاملون قبل العلاقة المهنية وخلالها (‪1-4-P-1‬)
إعادة الأصول عند انتهاء العلاقة المهنية (‪1-4-P-2‬)
المسح الأمني للمهام السحابية الحساسة (‪1-4-T-1‬)
متطلبات الأمن السيبراني لإدارة التغيير (‪1-5-P-1‬)
تطبيق متطلبات إدارة التغيير (‪1-5-P-2‬)
التغييرات الآمنة والاستثنائية (‪1-5-P-3‬)
مراجعة متطلبات إدارة التغيير (‪1-5-P-4‬)

2. تعزيز الأمن السيبراني

جرد الأصول السحابية وتحديد ملاكها (‪2-1-P-1‬)
حصر الخدمات السحابية (‪2-1-T-1‬)
إدارة هويات الدخول والصلاحيات لدى مقدم الخدمة (‪2-2-P-1‬)
هويات الدخول والصلاحيات السحابية لدى المشترك (‪2-2-T-1‬)
حماية المنصة السحابية والعزل (‪2-3-P-1‬)
التحقق من عزل الحوسبة السحابية المشتركة (‪2-3-T-1‬)
أمن شبكات الحوسبة السحابية (‪2-4-P-1‬)
حماية قناة الاتصال مع مقدم الخدمة (‪2-4-T-1‬)
أجهزة المستخدمين والأجهزة المحمولة لدى مقدم الخدمة (‪2-5-P-1‬)
مسح الأجهزة التي تصل إلى الخدمات السحابية (‪2-5-T-1‬)
حماية بيانات المشتركين (‪2-6-P-1‬)
استراتيجية الخروج ونقل البيانات (‪2-6-T-1‬)
التشفير لدى مقدم الخدمة (‪2-7-P-1‬)
تشفير البيانات المنقولة من وإلى السحابة (‪2-7-T-1‬)
تأمين النسخ الاحتياطية للمشتركين والمنصة (‪2-8-P-1‬)
إدارة ثغرات المنصة السحابية (‪2-9-P-1‬)
إدارة ثغرات الخدمات السحابية لدى المشترك (‪2-9-T-1‬)
اختبار اختراق المنصة السحابية (‪2-10-P-1‬)
سجلات الأحداث والمراقبة عبر ‪SIEM‬ (‪2-11-P-1‬)
سجلات الأحداث والمراقبة السحابية لدى المشترك (‪2-11-T-1‬)
إدارة حوادث وتهديدات الأمن السيبراني (‪2-12-P-1‬)
الأمن المادي لمراكز البيانات (‪2-13-P-1‬)
حماية معاملات تطبيقات الويب (‪2-14-P-1‬)
متطلبات إدارة المفاتيح (مقدم الخدمة) (‪2-15-P-1‬)
تطبيق إدارة المفاتيح (مقدم الخدمة) (‪2-15-P-2‬)
ملكية المفاتيح واسترجاعها وتدقيقها (مقدم الخدمة) (‪2-15-P-3‬)
مراجعة إدارة المفاتيح (مقدم الخدمة) (‪2-15-P-4‬)
متطلبات إدارة المفاتيح (المشترك) (‪2-15-T-1‬)
تطبيق إدارة المفاتيح (المشترك) (‪2-15-T-2‬)
ملكية المفاتيح واسترجاعها (المشترك) (‪2-15-T-3‬)
مراجعة إدارة المفاتيح (المشترك) (‪2-15-T-4‬)
متطلبات أمن تطوير الأنظمة (‪2-16-P-1‬)
تطبيق أمن تطوير الأنظمة (‪2-16-P-2‬)
الأمن خلال دورة حياة التطوير (‪2-16-P-3‬)
مراجعة أمن تطوير الأنظمة (‪2-16-P-4‬)
متطلبات أمن وسائط التخزين (‪2-17-P-1‬)
تطبيق متطلبات وسائط التخزين (‪2-17-P-2‬)
مسح الوسائط والتحكم في استخدامها (‪2-17-P-3‬)
مراجعة متطلبات وسائط التخزين (‪2-17-P-4‬)

3. صمود الأمن السيبراني

التعافي الآمن واستمرارية الأنظمة الأمنية (‪3-1-P-1‬)
التعافي من الكوارث للخدمات السحابية (المشترك) (‪3-1-T-1‬)

4. الأمن السيبراني المتعلق بالأطراف الخارجية

أمن سلسلة الإمداد والسوق السحابي (‪4-1-P-1‬)

‪DCC-1:2022‬

ضوابط الأمن السيبراني للبيانات

الهيئة الوطنية للأمن السيبراني

3 مكونات أساسية · 11 مكونًا فرعيًا · 19 ضابطًا أساسيًا · 47 ضابطًا فرعيًا

المصدر الرسمي ↗

امتداد للضوابط الأساسية للأمن السيبراني يضع الحد الأدنى من متطلبات الأمن السيبراني لحماية البيانات خلال جميع مراحل دورة حياتها (الإنشاء، التخزين، المشاركة، الاستخدام، الإتلاف). وتتدرج المتطلبات بحسب مستوى تصنيف البيانات: عام، مقيد، سري، سري للغاية.

ينطبق على: الجهات الحكومية (الوزارات والهيئات والمؤسسات وغيرها) والجهات والشركات التابعة لها، وجهات القطاع الخاص التي تمتلك بنى تحتية وطنية حساسة أو تقوم بتشغيلها أو استضافتها، وتشمل جميع أشكال البيانات المادية والرقمية. ويُعد الالتزام المستمر بالضوابط الأساسية للأمن السيبراني متطلبًا مسبقًا.

المجالات المقيّمة (19 سؤالًا)

1. حوكمة الأمن السيبراني

المراجعة الداخلية الدورية لضوابط البيانات (1-1-1)
المراجعة والتدقيق المستقل لضوابط البيانات (1-1-2)
الأمن السيبراني المتعلق بالموارد البشرية (1-2-1)
موضوعات التوعية بحماية البيانات (1-3-1)

2. تعزيز الأمن السيبراني

تقييد صلاحيات الوصول إلى البيانات (2-1-1)
إدارة الصلاحيات الهامة والحساسة للبيانات (2-1-2)
المراجعة الدورية لصلاحيات البيانات (2-1-3)
حماية الأنظمة وأجهزة معالجة المعلومات (2-2-1)
أمن الأجهزة المحمولة (2-3-1)
حماية البيانات والمعلومات (2-4-1)
التشفير حسب مستوى التصنيف (2-5-1)
الإتلاف الآمن للبيانات (2-6-1)
مراجعة الإتلاف الآمن (2-6-2)
متطلبات أمن الطابعات وآلات التصوير (2-7-1)
تطبيق متطلبات أمن الطابعات (2-7-2)
الحد الأدنى لضوابط الطابعات وآلات التصوير (2-7-3)
مراجعة ضوابط الطابعات وآلات التصوير (2-7-4)

3. الأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية

حماية البيانات لدى الأطراف الخارجية (3-1-1)
الخدمات الاستشارية للمشاريع الوطنية الحساسة (3-1-2)

‪OTCC-1:2022‬

ضوابط الأمن السيبراني للأنظمة التشغيلية

الهيئة الوطنية للأمن السيبراني

4 مكونات أساسية · 23 مكونًا فرعيًا · 47 ضابطًا أساسيًا · 122 ضابطًا فرعيًا · 3 مستويات للمرافق (‪L1–L3‬)

المصدر الرسمي ↗

امتداد للضوابط الأساسية للأمن السيبراني يحدد الحد الأدنى من متطلبات الأمن السيبراني لأنظمة التحكم الصناعي (‪OT/ICS‬) في المرافق الحساسة. تُطبَّق الضوابط وفق مستوى المرفق (المستوى الأول ‪L1‬ عالي الحساسية، والثاني ‪L2‬ متوسط، والثالث ‪L3‬ منخفض) الذي يُحدَّد بأداة تحديد مستوى المرافق الصادرة عن الهيئة.

ينطبق على: الجهات الحكومية وجهات القطاع الخاص التي تمتلك أو تشغّل أو تستضيف بنى تحتية وطنية حساسة، والتي تمتلك أو تشغّل أنظمة تحكم صناعي في مرافق حساسة داخل المملكة أو خارجها؛ ويُعد الالتزام بالضوابط الأساسية للأمن السيبراني متطلبًا مسبقًا.

المجالات المقيّمة (47 سؤالًا)

1. حوكمة الأمن السيبراني

سياسات وإجراءات الأمن السيبراني لأنظمة التحكم الصناعي (1-1-1)
المعايير التقنية لأنظمة التحكم الصناعي (1-1-2)
مراجعة سياسات أنظمة التحكم الصناعي (1-1-3)
أدوار ومسؤوليات الأمن السيبراني لأنظمة التحكم الصناعي (1-2-1)
إدارة مخاطر الأمن السيبراني لأنظمة التحكم الصناعي (1-3-1)
الأمن السيبراني في مشاريع أنظمة التحكم الصناعي (1-4-1)
مراجعة الأمن السيبراني في مشاريع التحكم الصناعي (1-4-2)
متطلبات الأمن السيبراني في إدارة التغيير (1-5-1)
تطبيق الأمن السيبراني في إدارة التغيير (1-5-2)
الممارسات الآمنة لإدارة التغيير (1-5-3)
مراجعة الأمن السيبراني في إدارة التغيير (1-5-4)
المراجعة السنوية لتطبيق الضوابط (1-6-1)
المراجعة المستقلة لتطبيق الضوابط (1-6-2)
المسح الأمني للعاملين على الأنظمة التشغيلية (1-7-1)
مراجعة أمن الموارد البشرية للأنظمة التشغيلية (1-7-2)
التوعية بأمن أنظمة التحكم الصناعي (1-8-1)
التدريب المتخصص على أمن الأنظمة التشغيلية (1-8-2)

2. تعزيز الأمن السيبراني

جرد أصول أنظمة التحكم الصناعي (2-1-1)
مراجعة إدارة أصول الأنظمة التشغيلية (2-1-2)
إدارة هويات الدخول والصلاحيات لأنظمة التحكم الصناعي (2-2-1)
مراجعة إدارة الهويات والصلاحيات (2-2-2)
حماية الأنظمة وأجهزة معالجة المعلومات (2-3-1)
مراجعة حماية الأنظمة التشغيلية (2-3-2)
إدارة أمن شبكات أنظمة التحكم الصناعي (2-4-1)
مراجعة أمن شبكات الأنظمة التشغيلية (2-4-2)
أمن الأجهزة المحمولة في الأنظمة التشغيلية (2-5-1)
مراجعة أمن الأجهزة المحمولة (2-5-2)
حماية البيانات والمعلومات في الأنظمة التشغيلية (2-6-1)
مراجعة حماية البيانات في الأنظمة التشغيلية (2-6-2)
التشفير في الأنظمة التشغيلية (2-7-1)
مراجعة التشفير في الأنظمة التشغيلية (2-7-2)
إدارة النسخ الاحتياطية للأنظمة التشغيلية (2-8-1)
مراجعة إدارة النسخ الاحتياطية (2-8-2)
إدارة ثغرات أنظمة التحكم الصناعي (2-9-1)
مراجعة إدارة الثغرات (2-9-2)
اختبار اختراق أنظمة التحكم الصناعي (2-10-1)
مراجعة اختبارات الاختراق (2-10-2)
سجلات الأحداث ومراقبة الأمن السيبراني (2-11-1)
مراجعة إدارة السجلات والمراقبة (2-11-2)
إدارة حوادث وتهديدات الأمن السيبراني (2-12-1)
مراجعة إدارة الحوادث والتهديدات (2-12-2)
الأمن المادي لأنظمة التحكم الصناعي (2-13-1)
مراجعة الأمن المادي (2-13-2)

3. صمود الأمن السيبراني

صمود الأمن السيبراني في استمرارية الأعمال (3-1-1)
مراجعة صمود الأمن السيبراني (3-1-2)

4. الأمن السيبراني المتعلق بالأطراف الخارجية

الأمن السيبراني للأطراف الخارجية (4-1-1)
مراجعة الأمن السيبراني للأطراف الخارجية (4-1-2)

‪TCC-1:2021‬

ضوابط الأمن السيبراني للعمل عن بعد

الهيئة الوطنية للأمن السيبراني

3 مكونات أساسية · 16 مكونًا فرعيًا · 21 ضابطًا أساسيًا · 42 ضابطًا فرعيًا

المصدر الرسمي ↗

الحد الأدنى من متطلبات الأمن السيبراني التي تمكّن الجهات الوطنية من أداء العمل عن بعد بشكل آمن، وهي امتداد للضوابط الأساسية للأمن السيبراني. يجب على كل جهة ضمن النطاق تسمح بالعمل عن بعد الالتزام بجميع الضوابط المنطبقة عليها.

ينطبق على: الجهات الحكومية (الوزارات والهيئات والمؤسسات والشركات التابعة لها) وجهات القطاع الخاص التي تمتلك أو تشغّل أو تستضيف بنى تحتية وطنية حساسة، متى سمحت بالعمل عن بعد.

المجالات المقيّمة (21 سؤالًا)

1. حوكمة الأمن السيبراني

سياسة الأمن السيبراني للعمل عن بعد (1-1-1)
إدارة مخاطر العمل عن بعد (1-2-1)
التوعية بمخاطر العمل عن بعد (1-3-1)
التدريب التقني على أنظمة العمل عن بعد (1-3-2)

2. تعزيز الأمن السيبراني

جرد أصول العمل عن بعد (2-1-1)
إدارة صلاحيات العمل عن بعد (2-2-1)
مراجعة صلاحيات العمل عن بعد (2-2-2)
حماية أنظمة العمل عن بعد (2-3-1)
أمن شبكات العمل عن بعد (2-4-1)
أمن الأجهزة المحمولة والأجهزة الشخصية (2-5-1)
حماية البيانات في العمل عن بعد (2-6-1)
التشفير في العمل عن بعد (2-7-1)
النسخ الاحتياطي لأنظمة العمل عن بعد (2-8-1)
اختبار استعادة النسخ الاحتياطية للعمل عن بعد (2-8-2)
إدارة ثغرات أنظمة العمل عن بعد (2-9-1)
نطاق اختبار اختراق العمل عن بعد (2-10-1)
دورية اختبار اختراق العمل عن بعد (2-10-2)
سجلات ومراقبة العمل عن بعد (2-11-1)
الاحتفاظ بسجلات العمل عن بعد (2-11-2)
إدارة حوادث وتهديدات العمل عن بعد (2-12-1)

3. الأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية

موقع استضافة أنظمة العمل عن بعد (3-1-1)

‪OSMACC-1:2021‬

ضوابط الأمن السيبراني لحسابات التواصل الاجتماعي للجهات

الهيئة الوطنية للأمن السيبراني

3 مكونات أساسية · 12 مكونًا فرعيًا · 15 ضابطًا أساسيًا · 38 ضابطًا فرعيًا

المصدر الرسمي ↗

الحد الأدنى من متطلبات الأمن السيبراني للاستخدام الآمن لحسابات التواصل الاجتماعي الرسمية للجهات، للحد من مخاطر سرقة الحسابات وإساءة استخدامها وانتحال هوية الجهة، وهي امتداد للضوابط الأساسية للأمن السيبراني.

ينطبق على: الجهات الحكومية (الوزارات والهيئات والمؤسسات والجهات والشركات التابعة لها) وجهات القطاع الخاص التي تمتلك أو تشغّل أو تستضيف بنى تحتية وطنية حساسة، عند استخدامها لحسابات التواصل الاجتماعي.

المجالات المقيّمة (15 سؤالًا)

1. حوكمة الأمن السيبراني

سياسة الأمن السيبراني لحسابات التواصل الاجتماعي (1-1-1)
إدارة مخاطر حسابات التواصل الاجتماعي (1-2-1)
العاملون المسؤولون عن حسابات التواصل الاجتماعي (1-3-1)
التوعية بمخاطر حسابات التواصل الاجتماعي (1-4-1)
التدريب التقني لمسؤولي الحسابات (1-4-2)

2. تعزيز الأمن السيبراني

حصر حسابات التواصل الاجتماعي (2-1-1)
هويات الدخول والصلاحيات للحسابات (2-2-1)
مراجعة صلاحيات الحسابات (2-2-2)
حماية الحسابات والأصول التقنية المرتبطة (2-3-1)
الأجهزة المحمولة لحسابات التواصل الاجتماعي (2-4-1)
عدم حفظ بيانات مصنفة على أصول الحسابات (2-5-1)
مراقبة حسابات التواصل الاجتماعي (2-6-1)
خطة استعادة حسابات التواصل الاجتماعي (2-7-1)

3. الأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية

تقييم الحاجة لخدمات التواصل الاجتماعي (3-1-1)
متطلبات مقدمي خدمات التواصل الاجتماعي (3-1-2)

‪NCS-1:2020‬

المعايير الوطنية للتشفير

الهيئة الوطنية للأمن السيبراني

6 أقسام + الملحقات · 31 قسمًا فرعيًا للمتطلبات · 9 عمليات لإدارة دورة المفاتيح · مستويان للقوة (الأساسي / المتقدم)

المصدر الرسمي ↗

الحد الأدنى الوطني من متطلبات استخدام التشفير لحماية البيانات والأنظمة والشبكات للأغراض المدنية والتجارية. تحدد الخوارزميات وأطوال المفاتيح وطرق التشغيل والبروتوكولات المقبولة وقواعد الشهادات وإدارة دورة المفاتيح وفق مستويين من القوة (الأساسي والمتقدم)، وتُلزم بها ضوابط أخرى للهيئة مثل المكون الفرعي للتشفير في الضوابط الأساسية للأمن السيبراني.

ينطبق على: الجهات الوطنية التي تستخدم التشفير لحماية البيانات (عند تخزينها أو معالجتها أو نقلها) والأنظمة والشبكات للأغراض المدنية أو التجارية؛ وتختار كل جهة المستوى الأساسي أو المتقدم حسب حساسية البيانات أو وفق ما تحدده وثائق الهيئة الأخرى.

المجالات المقيّمة (38 سؤالًا)

1. المقدمة: النطاق ومستويات معايير التشفير

اختيار مستوى قوة التشفير (1.1, 1.2)

2. أساسيات التشفير

خوارزميات التشفير الانسيابية (2.1.1)
خوارزميات التشفير الكتلية (2.1.2)
الخوارزميات غير المتماثلة (2.2)
دوال الاختزال (2.3)
خوارزميات التشفير الخفيفة (2.4)

3. تصاميم التشفير

طرق عمليات التشفير الكتلية (3.1)
رموز توثيق الرسائل (3.2)
التشفير والتوثيق باستخدام البيانات المرتبطة (3.3)
دوال حماية المفاتيح (3.4)
دوال اشتقاق المفاتيح (3.5)
الاتفاق على المفاتيح ونقلها (3.6.1, 3.6.2)
تصاميم التشفير الهجينة (3.7)
تواقيع المفاتيح العامة (3.8)

4. بروتوكولات التشفير الشائعة

البروتوكولات غير المدرجة في المعايير (4 (‪introduction‬))
بروتوكول الإنترنت الآمن (‪IPsec‬) (4.1)
بروتوكول طبقة النقل الآمنة (‪TLS‬) (4.2)
بروتوكول نظام اسم النطاق الآمن (‪DNSSEC‬) (4.3)
بروتوكول الاتصال الآمن عن بعد (‪SSH‬) (4.4)
بلوتوث (4.5)
شبكات الاتصالات المتنقلة (‪UMTS‬ / ‪LTE‬ / ‪5G‬) (4.6)
الوصول الآمن للشبكة اللاسلكية (‪WPA‬) (4.7)
بروتوكول كيربيروس (4.8)

5. البنية التحتية للمفاتيح العامة (‪PKI‬)

خوارزميات الشهادات (5.1)
صلاحية الشهادات (5.2)

6. إدارة دورة المفاتيح (‪KLM‬)

حماية المفاتيح وصلاحيتها (6.1)
إنشاء المفاتيح (6.2 (‪Table 1‬: ‪Key Generation‬))
تسجيل المفاتيح وتصديقها (6.2 (‪Table 1‬: ‪Key Registration/Certification‬))
توزيع المفاتيح وتثبيتها (6.2 (‪Table 1‬: ‪Key Distribution and Installation‬))
استخدام المفاتيح (6.2 (‪Table 1‬: ‪Key Use‬))
تخزين المفاتيح ونسخها الاحتياطي (6.2 (‪Table 1‬: ‪Key Storage‬))
إلغاء المفاتيح والتحقق من صحتها (6.2 (‪Table 1‬: ‪Key Revocation/Validation‬))
أرشفة المفاتيح (6.2 (‪Table 1‬: ‪Key Archive‬))
إتلاف المفاتيح (6.2 (‪Table 1‬: ‪Key Destruction‬))
المحاسبة على المفاتيح (6.2 (‪Table 1‬: ‪Key Accounting‬))

7. الملحقات

توليد الأعداد شبه العشوائية (7.1)
الجاهزية للتشفير ما بعد الحوسبة الكمية (7.2)
الحماية من هجمات القنوات الجانبية (7.3)

الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)

المرسوم الملكي م/19، المعدّل بالمرسوم م/148

نظام حماية البيانات الشخصية

الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)

النظام: 43 مادة (المادة 32 ملغاة) · اللائحة التنفيذية: 38 مادة · لائحة نقل البيانات الشخصية خارج المملكة: 9 مواد

المصدر الرسمي ↗

يحمي البيانات الشخصية للأفراد في المملكة. يتطلب أساسًا نظاميًا وضوابط للموافقة، وسياسة خصوصية وإشعارًا عند الجمع، والاستجابة لحقوق أصحاب البيانات خلال 30 يومًا، والحد الأدنى من البيانات، ومدد احتفاظ محددة، وضوابط لجهات المعالجة، وسجلات لأنشطة المعالجة، وتعيين مسؤول لحماية البيانات وتقويم الأثر عند الاقتضاء، وتدابير أمنية، والإشعار عن التسرب إلى سدايا خلال 72 ساعة، وضوابط النقل خارج المملكة. قد تصل الغرامات إلى 5 ملايين ريال.

ينطبق على: كل جهة تعالج البيانات الشخصية للأفراد في المملكة، بما في ذلك الجهات خارج المملكة التي تعالج بيانات المقيمين فيها؛ ويُستثنى الاستخدام الشخصي أو العائلي.

المجالات المقيّمة (35 سؤالًا)

G. الحوكمة والمساءلة

مسؤول حماية البيانات الشخصية (المادة 30(2)؛ اللائحة التنفيذية م 32؛ قواعد تعيين مسؤول حماية البيانات الشخصية م 4–8)
سياسة الخصوصية (المادة 12)
سجل أنشطة معالجة البيانات الشخصية (المادة 31; اللائحة التنفيذية م 33)
تقويم الأثر على حماية البيانات الشخصية (المادة 22; اللائحة التنفيذية م 25)
اختيار جهات المعالجة والتعاقد معها (المادة 8; اللائحة التنفيذية م 17(1)–(2))
التدريب والمحافظة على السرية (المادة 41)
الإشراف على جهات المعالجة والتعاقد من الباطن (اللائحة التنفيذية م 17(3)–(5))
السجل الوطني لجهات التحكم (المادة 30(4)(ج)؛ اللائحة التنفيذية م 34؛ القواعد المنظمة للسجل الوطني لجهات التحكم داخل المملكة م 2–10)
التعاون مع الجهة المختصة ومعالجة الشكاوى (المادة 30(3), 34; اللائحة التنفيذية م 37)

L. مشروعية المعالجة والموافقة والحالات الخاصة

الأساس النظامي والموافقة (المادة 5(1), 6(1)–(3), 7; اللائحة التنفيذية م 11, 14)
تحديد الغرض والحد الأدنى من البيانات (المادة 11; اللائحة التنفيذية م 19)
الاحتفاظ والإتلاف وإخفاء الهوية (المادة 18; اللائحة التنفيذية م 9)
التسويق والمواد الإعلانية والتوعوية (المادة 25, 26; اللائحة التنفيذية م 28, 29)
البيانات الحساسة والصحية (المادة 23; اللائحة التنفيذية م 26)
العدول عن الموافقة (المادة 5(2); اللائحة التنفيذية م 12)
المصلحة المشروعة (المادة 6(4); اللائحة التنفيذية م 16)
الجمع من غير صاحب البيانات والمعالجة لغرض آخر (المادة 10; اللائحة التنفيذية م 15, 18)
البيانات الائتمانية (المادة 24; اللائحة التنفيذية م 27)
الأطفال وناقصو الأهلية أو عديموها (اللائحة التنفيذية م 13)
الأغراض العلمية والبحثية والإحصائية (المادة 27; اللائحة التنفيذية م 30)
تصوير أو نسخ الوثائق الرسمية (المادة 28; اللائحة التنفيذية م 31)
الإفصاح عن البيانات الشخصية (المادة 15, 16; اللائحة التنفيذية م 20, 21)

R. حقوق صاحب البيانات الشخصية

التعامل مع طلبات أصحاب البيانات الشخصية (المادة 4, 21; اللائحة التنفيذية م 3, 10)
الإشعار عند الجمع (الحق في العلم) (المادة 13; اللائحة التنفيذية م 4)
الحق في الوصول والحصول على نسخة (المادة 9; اللائحة التنفيذية م 5, 6)
دقة البيانات وتصحيحها (المادة 14, 17; اللائحة التنفيذية م 7, 22)
الإتلاف بناءً على الطلب (اللائحة التنفيذية م 8)

S. أمن البيانات والإشعار بالتسرب

التدابير الأمنية (المادة 19; اللائحة التنفيذية م ‪23(b‬))
التشفير والتحكم في الوصول (اللائحة التنفيذية م ‪23(a‬))
الإشعار بالتسرب خلال 72 ساعة (المادة 20; اللائحة التنفيذية م 24)
اكتشاف التسرب (اللائحة التنفيذية م 1(3))

T. النقل خارج المملكة

ضوابط نقل البيانات الشخصية خارج المملكة (المادة 29; لائحة النقل المادة 2, 3)
موقع البيانات والنقل اللاحق (لائحة النقل المادة 5)
الضمانات المناسبة لحالات الإعفاء (لائحة النقل المادة 4, 6)
تقويم مخاطر نقل البيانات الشخصية (لائحة النقل المادة 7)

الإصدار 1.5 (يناير 2021)

ضوابط ومواصفات إدارة البيانات الوطنية وحوكمتها وحماية البيانات الشخصية

مكتب إدارة البيانات الوطنية – الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)

15 مجالًا · 77 ضابطًا · 191 مواصفة (مجال أمن البيانات وحمايتها تتولاه الهيئة الوطنية للأمن السيبراني)

المصدر الرسمي ↗

ضوابط ومواصفات وطنية لإدارة البيانات الحكومية وحوكمتها وحماية البيانات الشخصية، موزعة على 15 مجالًا من حوكمة البيانات إلى حماية البيانات الشخصية. تجري الجهات تدقيقًا سنويًا لامتثالها على مستوى كل مواصفة وترفع التقرير إلى مكتب إدارة البيانات الوطنية في الربع الثالث من كل عام، ويُطبَّق التنفيذ تدريجيًا حسب الأولوية (الأولوية 1 في السنة الأولى، و2 في الثانية، و3 في الثالثة).

ينطبق على: جميع الجهات العامة (الجهات الحكومية والجهات التابعة لها، والشركات التي تدير أو تشغّل مرافق عامة أو بنى تحتية وطنية أو تقدم خدمات عامة مرتبطة بها)، وشركاء الأعمال الذين يتعاملون مع البيانات الحكومية.

المجالات المقيّمة (77 سؤالًا)

DG. حوكمة البيانات

الاستراتيجية والخطة (‪DG.1‬ (‪DG.1.1 – DG.1.4‬))
السياسات والقواعد الاسترشادية (‪DG.2‬ (‪DG.2.1 – DG.2.2‬))
التدريب على إدارة البيانات (‪DG.3‬ (‪DG.3.1‬))
تنظيم إدارة البيانات وحوكمتها (‪DG.4‬ (‪DG.4.1 – DG.4.11‬))
إطار تدقيق الامتثال (‪DG.5‬ (‪DG.5.1 – DG.5.3‬))
حوكمة دورة حياة البيانات (‪DG.6‬ (‪DG.6.1 – DG.6.2‬))
إدارة أداء حوكمة البيانات (‪DG.7‬ (‪DG.7.1 – DG.7.2‬))
سجلات حوكمة البيانات (‪DG.8‬ (‪DG.8.1 – DG.8.3‬))

MCM. البيانات الوصفية ودليل البيانات

التخطيط لدليل البيانات (‪MCM.1‬ (‪MCM.1.1 – MCM.1.3‬))
الموافقة على الوصول إلى دليل البيانات (‪MCM.2‬ (‪MCM.2.1 – MCM.2.2‬))
التدريب على دليل البيانات وتبنيه (‪MCM.3‬ (‪MCM.3.1 – MCM.3.2‬))
إدارة دورة حياة البيانات الوصفية (‪MCM.4‬ (‪MCM.4.1 – MCM.4.7‬))
أتمتة دليل البيانات (‪MCM.5‬ (‪MCM.5.1 – MCM.5.4‬))
مؤشرات أداء الدليل والبيانات الوصفية (‪MCM.6‬ (‪MCM.6.1 – MCM.6.2‬))

DQ. جودة البيانات

التخطيط والتقييم الأولي لجودة البيانات (‪DQ.1‬ (‪DQ.1.1 – DQ.1.3‬))
عمليات جودة البيانات (‪DQ.2‬ (‪DQ.2.1 – DQ.2.5‬))
مؤشرات أداء جودة البيانات (‪DQ.3‬ (‪DQ.3.1 – DQ.3.2‬))
الجودة ضمن دورة حياة البيانات (‪DQ.4‬ (‪DQ.4.1 – DQ.4.3‬))

DO. تخزين البيانات

التخطيط لعمليات البيانات (‪DO.1‬ (‪DO.1.1 – DO.1.4‬))
سياسة التخزين والاحتفاظ (‪DO.2‬ (‪DO.2.1‬))
عمليات قواعد البيانات (‪DO.3‬ (‪DO.3.1 – DO.3.5‬))
استمرارية الأعمال (‪DO.4‬ (‪DO.4.1 – DO.4.3‬))
مؤشرات أداء التخزين (‪DO.5‬ (‪DO.5.1‬))

DCM. إدارة المحتوى والوثائق

التخطيط لإدارة الوثائق والمحتوى (‪DCM.1‬ (‪DCM.1.1 – DCM.1.4‬))
سياسة إدارة الوثائق والمحتوى (‪DCM.2‬ (‪DCM.2.1‬))
التدريب على إدارة الوثائق (‪DCM.3‬ (‪DCM.3.1‬))
عمليات إدارة المحتوى والوثائق (‪DCM.4‬ (‪DCM.4.1 – DCM.4.5‬))
مؤشرات أداء إدارة الوثائق (‪DCM.5‬ (‪DCM.5.1‬))

DAM. النمذجة وهيكلة البيانات

التخطيط لهيكلة البيانات (‪DAM.1‬ (‪DAM.1.1‬))
سياسة هيكلة البيانات والنمذجة (‪DAM.2‬ (‪DAM.2.1‬))
تعريف إطار هيكلة البيانات (‪DAM.3‬ (‪DAM.3.1 – DAM.3.5‬))
تعريف نمذجة البيانات (‪DAM.4‬ (‪DAM.4.1 – DAM.4.2‬))
إدارة التغيير ونقاط فحص الهيكلة (‪DAM.5‬ (‪DAM.5.1 – DAM.5.2‬))
مؤشرات أداء هيكلة البيانات (‪DAM.6‬ (‪DAM.6.1‬))
سجل هيكلة البيانات والنمذجة (‪DAM.7‬ (‪DAM.7.1‬))

DSI. تكامل البيانات ومشاركتها

التخطيط لتكامل البيانات (‪DSI.1‬ (‪DSI.1.1 – DSI.1.3‬))
التدريب على مشاركة البيانات (‪DSI.2‬ (‪DSI.2.1‬))
دورة حياة تطوير حلول التكامل (‪DSI.3‬ (‪DSI.3.1 – DSI.3.4‬))
عمليات معالجة البيانات (‪ETL/ELT‬) (‪DSI.4‬ (‪DSI.4.1 – DSI.4.2‬))
عملية مشاركة البيانات (‪DSI.5‬ (‪DSI.5.1‬))
قناة طلبات مشاركة البيانات (‪DSI.6‬ (‪DSI.6.1‬))
اتفاقيات مشاركة البيانات (‪DSI.7‬ (‪DSI.7.1 – DSI.7.3‬))
مؤشرات أداء مشاركة البيانات (‪DSI.8‬ (‪DSI.8.1‬))

RMD. إدارة البيانات المرجعية والرئيسية

التخطيط للبيانات المرجعية والرئيسية (‪RMD.1‬ (‪RMD.1.1 – RMD.1.4‬))
هيكلة البيانات المرجعية والرئيسية (‪RMD.2‬ (‪RMD.2.1 – RMD.2.5‬))
التدريب على البيانات المرجعية والرئيسية (‪RMD.3‬ (‪RMD.3.1‬))
إدارة دورة حياة البيانات المرجعية والرئيسية (‪RMD.4‬ (‪RMD.4.1 – RMD.4.4‬))
إدارة أداء البيانات المرجعية والرئيسية (‪RMD.5‬ (‪RMD.5.1 – RMD.5.2‬))
سجلات البيانات المرجعية والرئيسية (‪RMD.6‬ (‪RMD.6.1 – RMD.6.2‬))

BIA. ذكاء الأعمال والتحليلات

التخطيط لذكاء الأعمال والتحليلات (‪BIA.1‬ (‪BIA.1.1 – BIA.1.4‬))
التدريب والتوعية بالتحليلات (‪BIA.2‬ (‪BIA.2.1 – BIA.2.2‬))
التحقق من حالات الاستخدام (‪BIA.3‬ (‪BIA.3.1 – BIA.3.2‬))
مؤشرات أداء التحليلات (‪BIA.4‬ (‪BIA.4.1‬))
سجل ذكاء الأعمال والتحليلات (‪BIA.5‬ (‪BIA.5.1‬))

DVR. تحقيق القيمة من البيانات

التخطيط لتحقيق القيمة من البيانات (‪DVR.1‬ (‪DVR.1.1 – DVR.1.2‬))
عملية تحقيق الإيرادات من البيانات (‪DVR.2‬ (‪DVR.2.1 – DVR.2.4‬))
المراقبة والصيانة (‪DVR.3‬ (‪DVR.3.1‬))
مؤشرات أداء تحقيق القيمة (‪DVR.4‬ (‪DVR.4.1‬))

OD. البيانات المفتوحة

التخطيط للبيانات المفتوحة (‪OD.1‬ (‪OD.1.1‬))
التوعية بالبيانات المفتوحة (‪OD.2‬ (‪OD.2.1‬))
إدارة دورة حياة البيانات المفتوحة (‪OD.3‬ (‪OD.3.1 – OD.3.6‬))
مؤشرات أداء البيانات المفتوحة (‪OD.4‬ (‪OD.4.1‬))
سجل البيانات المفتوحة (‪OD.5‬ (‪OD.5.1‬))

FOI. حرية المعلومات

التخطيط لحرية المعلومات (‪FOI.1‬ (‪FOI.1.1‬))
التوعية بحرية المعلومات (‪FOI.2‬ (‪FOI.2.1‬))
إدارة طلبات الوصول إلى المعلومات العامة (‪FOI.3‬ (‪FOI.3.1 – FOI.3.6‬))
سجل حرية المعلومات (‪FOI.4‬ (‪FOI.4.1‬))

DC. تصنيف البيانات

التخطيط لتصنيف البيانات (‪DC.1‬ (‪DC.1.1 – DC.1.2‬))
ضوابط التصنيف (‪DC.2‬ (‪DC.2.1‬))
عملية التصنيف (‪DC.3‬ (‪DC.3.1 – DC.3.5‬))
مؤشرات أداء التصنيف (‪DC.4‬ (‪DC.4.1‬))
سجل تصنيف البيانات (‪DC.5‬ (‪DC.5.1‬))

PDP. حماية البيانات الشخصية

التخطيط لحماية البيانات الشخصية (‪PDP.1‬ (‪PDP.1.1 – PDP.1.2‬))
التدريب على حماية البيانات الشخصية (‪PDP.2‬ (‪PDP.2.1‬))
تسريب البيانات (‪PDP.3‬ (‪PDP.3.1 – PDP.3.2‬))
إدارة دورة حياة البيانات الشخصية (‪PDP.4‬ (‪PDP.4.1 – PDP.4.4‬))
سجل حماية البيانات الشخصية (‪PDP.5‬ (‪PDP.5.1‬))

هيئة الاتصالات والفضاء والتقنية (‪CST‬)

‪RT08‬، الإصدار الثاني، أكتوبر 2023

الإطار التنظيمي للأمن السيبراني لمقدمي الخدمات في قطاع الاتصالات وتقنية المعلومات

هيئة الاتصالات والفضاء والتقنية

6 مجالات · 36 متطلبًا · مستويات الالتزام ‪CL1‬ / ‪CL2‬ / ‪CL3‬

المصدر الرسمي ↗

إطار قطاعي لمقدمي الخدمات المرخصين أو المسجلين لدى الهيئة. يطبّق مقدمو الخدمات من غير البنى التحتية الحساسة ضوابط الإطار وفق مستوى الالتزام الذي تحدده الهيئة (‪CL1–CL3‬)، بينما يلتزم مقدمو الخدمات ذوو البنى التحتية الحساسة بالضوابط الأساسية ويشاركون تقارير الالتزام والحوادث مع الهيئة.

ينطبق على: مقدمو خدمات الاتصالات والإنترنت والبريد وتقنية المعلومات المرخصون أو المسجلون لدى هيئة الاتصالات والفضاء والتقنية.

المجالات المقيّمة (32 سؤالًا)

1. الحوكمة

استراتيجية الأمن السيبراني (الاستراتيجية)
وظيفة الأمن السيبراني (الإدارة)
الالتزام بالإطار التنظيمي والرفع إلى هيئة الاتصالات والفضاء والتقنية (الالتزام)
تدقيق الأمن السيبراني (التدقيق)
توعية الموظفين وتدريبهم (التوعية والتدريب)
توعية العملاء (توعية العملاء بالأمن السيبراني)
الأمن في المشاريع (الأمن السيبراني في إدارة المشاريع)
الأمن في الموارد البشرية (الأمن السيبراني في الموارد البشرية)

2. إدارة الأصول

اكتشاف الأصول وحصرها (اكتشاف الأصول)
تصنيف الأصول (تصنيف الأصول)
استخدام الأجهزة الشخصية والاستخدام المقبول (استخدام الأجهزة الشخصية (‪BYOD‬) · الاستخدام المقبول)
الصيانة والإتلاف الآمن (صيانة الأصول · الإتلاف الآمن)

3. إدارة مخاطر الأمن السيبراني

تقييم المخاطر (تقييم المخاطر)
معالجة المخاطر ومراقبتها (معالجة المخاطر ومراقبتها)

4. الأمن المنطقي

التشفير (التشفير)
إدارة التغيير (إدارة التغيير)
الثغرات والتحديثات (إدارة الثغرات · إدارة التحديثات والإصلاحات)
أمن الشبكات (أمن الشبكات)
التسجيل والمراقبة (التسجيل والمراقبة)
الهويات والصلاحيات (إدارة الهويات والصلاحيات)
الحماية من البرمجيات الضارة (القوائم البيضاء للتطبيقات · التعامل مع البرمجيات الضارة)
إدارة الحوادث (إدارة الحوادث)
حماية المعلومات (حماية المعلومات)
النسخ الاحتياطي والاستعادة (النسخ الاحتياطي والاستعادة)
الإعدادات الآمنة (إدارة الإعدادات والتحصين)
التطوير الآمن (التطوير الآمن للبرمجيات)
حماية البريد الإلكتروني والمتصفح (حماية البريد الإلكتروني ومتصفحات الويب)
اختبار الاختراق (اختبار الاختراق)

5. الأمن المادي

حماية الأصول المادية (حماية أصول المعلومات المادية)
الوصول المادي (إدارة الوصول المادي)

6. أمن الأطراف الخارجية

أمن الخدمات السحابية (الخدمات السحابية)
أمن الإسناد الخارجي (خدمات الإسناد الخارجي)

‪RS10‬، الإصدار الرابع، أكتوبر 2023م

تنظيمات تقديم خدمات الحوسبة السحابية (الإطار التنظيمي للحوسبة السحابية سابقًا)

هيئة الاتصالات والفضاء والتقنية

11 قسمًا · 57 فقرة مرقمة + 13 متطلبًا للتسجيل في دليل مقدمي الخدمات (41 سؤالًا)

المصدر الرسمي ↗

تنظيمات الهيئة لخدمات الحوسبة السحابية في المملكة: تسجيل مقدمي الخدمة لدى الهيئة، وتصنيف بيانات المشترك وموقعها، والإشعار بالانتهاكات، وحماية بيانات المشترك، والمحتوى المخالف، والحد الأدنى لمحتوى العقود، والمسؤولية، والجودة، واستمرارية الخدمة. حلّت محل الإطار التنظيمي للحوسبة السحابية (الإصدار الثالث) وتُطبَّق مع دليل مقدمي خدمات الحوسبة السحابية (الإصدار الخامس).

ينطبق على: مقدمو خدمات الحوسبة السحابية للمشتركين المقيمين أو الذين لديهم عنوان في المملكة، وأي مقدم خدمة يعالج أو يخزن محتوى المشتركين في مراكز بيانات داخل المملكة؛ ويجب التسجيل لدى الهيئة على من يتحكم في مركز بيانات أو بنية أساسية هامة للحوسبة السحابية في المملكة. ويلتزم مشتركو الحوسبة السحابية بتصنيف بياناتهم، وإبقاء بيانات الجهات الحكومية داخل المملكة لدى مقدمي خدمة مسجلين، والالتزام بأنظمة الهيئة الوطنية للأمن السيبراني ومكتب إدارة البيانات الوطنية والهيئة السعودية للملكية الفكرية.

المجالات المقيّمة (41 سؤالًا)

3-1. النطاق

تحديد نطاق الانطباق (3-1-1 – 3-1-4)

3-2. التسجيل لتقديم خدمات الحوسبة السحابية

التسجيل قبل التشغيل (3-2-1)
ملف التسجيل وتجديده (3-2-2؛ الدليل 3-1 (1–8)، 3-2 (11–13)، 3-3)
المعايير الفنية لفئة التسجيل (الدليل 3-2 (9)؛ 3-8-3)
الالتزام بضوابط الهيئة الوطنية للأمن السيبراني (الدليل 3-2 (10))
التسجيل في الفئة التأهيلية (3-2-3؛ دليل التسجيل في الفئة التأهيلية)

3-3. بيانات المشترك

تصنيف بيانات المشترك (3-3-1, 3-3-4)
متطلبات الإسناد القطاعية (3-3-2)
استبعاد البيانات التجارية (3-3-3)
الإخطار بفئة التسجيل (3-3-5)
إبقاء بيانات الجهات الحكومية داخل المملكة (3-3-6)
مقدم خدمة مسجل لبيانات الجهات الحكومية (3-3-7)
الموافقة على نقل البيانات خارج المملكة (3-3-8)
الإشعار بالانتهاكات (3-3-9)
الإفصاح عن التغطية التأمينية (3-3-10)

3-4. حماية بيانات المشترك

عدم الإفصاح عن بيانات المشترك (3-4-1; 3-4-2-1)
تقييد الغرض وصلاحيات الاطلاع (3-4-2-2)
الاستثناءات النظامية والموافقة (3-4-3)
حقوق المشترك في بياناته (3-4-4, 3-4-5)
قواعد حماية البيانات الأشد (3-4-6)

3-5. المحتوى المخالف للنظام ولحقوق الملكية الفكرية

إزالة المحتوى بطلب رسمي (3-5-1 – 3-5-4)
الإزالة الطوعية وإخطار المشترك (3-5-5, 3-5-8)
الإبلاغ عن المحتوى المخالف (3-5-6)
الشكاوى والتعاون مع الجهات المختصة (3-5-7, 3-5-9)
تراخيص البرمجيات للمشتركين (3-5-10)

3-6. معلومات عن عقود خدمة الحوسبة السحابية والحد الأدنى الإلزامي للمحتوى

الشفافية قبل التعاقد (3-6-1, 3-6-2)
الحد الأدنى لمحتوى العقد (3-6-3)
خدمة العناية بالمشتركين والنزاعات (3-6-4, 3-6-5)
إعادة البيانات عند الإنهاء (3-6-6)

3-7. حماية المشترك وشروط العقد غير العادلة

المسؤولية عن الوكلاء والمتعاقدين من الباطن (3-7-1)
عدم إخلاء المسؤولية بشروط غير عادلة (3-7-2, 3-7-3)
أدلة المشترك وحدود المسؤولية (3-7-4, 3-7-5)

3-8. معايير الجودة

شفافية مستوى الخدمة والشهادات (3-8-1)
ملخصات الاستمرارية والمخاطر (3-8-2)

3-9. ترشيح المحتوى

استثناء ترشيح المحتوى (3-9-1, 3-9-2)

3-10. صلاحيات الهيئة

تزويد الهيئة بالتقارير والمعلومات (3-10-1, 3-10-2)
التعاون مع تفتيش الهيئة (3-10-3)
متابعة إرشادات الهيئة وقراراتها (3-10-4, 3-10-5)

3-11. أحكام عامة

الالتزام بأنظمة الجهات الوطنية المختصة (3-11-1)
القوانين والطلبات الأجنبية المتعارضة (3-11-2)
إدارة استمرارية الخدمات (3-11-3)

البنك المركزي السعودي (ساما)

الإصدار 1.0 (مايو 2017)

الدليل التنظيمي لأمن المعلومات في القطاع المالي

البنك المركزي السعودي (ساما)

4 مجالات رئيسية · 32 مجالًا فرعيًا (منها 4 أقسام لإدارة المخاطر) · مبدأ وهدف وضوابط أساسية لكل مجال فرعي

المصدر الرسمي ↗

دليل تنظيمي قائم على المبادئ يصدره البنك المركزي السعودي، يحدد ضوابط الأمن السيبراني ونموذج النضج للمؤسسات المالية الخاضعة لرقابته. يجب على المؤسسات المالية العمل عند مستوى النضج الثالث على الأقل (والمستوى الرابع للبنوك).

ينطبق على: جميع المؤسسات المالية الخاضعة لرقابة البنك المركزي: البنوك، وشركات التأمين و/أو إعادة التأمين، وشركات التمويل، وشركات المعلومات الائتمانية العاملة في المملكة، والبنية التحتية للسوق المالية؛ ويطبّقه دليل القواعد أيضًا على نظم المدفوعات ومقدمي خدمات المدفوعات والبيئة التجريبية التشريعية. تنطبق جميع المجالات على البنوك، وتُستثنى المؤسسات الأخرى من المجالات الفرعية 3.2.3 و3.3.12 و3.3.13 (بشروط).

المجالات المقيّمة (40 سؤالًا)

3.1. قيادة وحوكمة الأمن السيبراني

لجنة الأمن السيبراني (3.1.1 (1–4))
وحدة الأمن السيبراني المستقلة والرئيس التنفيذي لأمن المعلومات (3.1.1 (5–10))
استراتيجية الأمن السيبراني (3.1.2 (1–3))
سياسة الأمن السيبراني (3.1.3 (1–4))
أدوار ومسؤوليات الأمن السيبراني (3.1.4 (1–6))
الأمن السيبراني في إدارة المشاريع (3.1.5 (1–2))
التوعية بالأمن السيبراني (3.1.6 (1–7))
التدريب على الأمن السيبراني (3.1.7 (1–2))

3.2. إدارة مخاطر الأمن السيبراني والالتزام

إدارة مخاطر الأمن السيبراني (3.2.1 (1–11))
تحديد مخاطر الأمن السيبراني وتحليلها (3.2.1.1 (1–3); 3.2.1.2 (1–2))
الاستجابة لمخاطر الأمن السيبراني (3.2.1.3 (1–7))
مراقبة المخاطر السيبرانية ومراجعتها (3.2.1.4 (1–2))
الالتزام التنظيمي (3.2.2 (1))
الالتزام بمعايير الصناعة الوطنية والدولية (3.2.3 (1))
مراجعة الأمن السيبراني (3.2.4 (1–5))
عمليات تدقيق الأمن السيبراني (3.2.5 (1–2))

3.3. عمليات وتقنيات الأمن السيبراني

الموارد البشرية (3.3.1 (1–3))
الأمن المادي (3.3.2 (1–3))
إدارة الأصول (3.3.3 (1–3))
هيكلية الأمن السيبراني (3.3.4 (1–3))
إدارة الهوية والوصول (3.3.5 (‪1–3, 4.a–4.d‬))
المصادقة متعددة العوامل والصلاحيات الهامة (3.3.5 (‪4.e–4.f‬))
أمن التطبيقات (3.3.6 (1–5))
إدارة التغيير (3.3.7 (1–4))
أمن البنية التحتية (3.3.8 (‪1–5, 6.a–6.g, 6.i–6.j‬))
الحماية من هجمات حجب الخدمة الموزعة (3.3.8 (‪6.h‬))
التشفير (3.3.9 (1–4))
أحضر جهازك الخاص (‪BYOD‬) (3.3.10 (1–4))
التخلص الآمن من الأصول المعلوماتية (3.3.11 (1–6))
أنظمة الدفع (3.3.12 (1–2))
الخدمات البنكية الإلكترونية (3.3.13 (‪1–3, 4.a–4.b‬))
أجهزة الصراف الآلي ونقاط البيع والرسائل النصية (3.3.13 (‪4.c–4.d‬))
إدارة أحداث الأمن السيبراني (3.3.14 (1–4))
إدارة حوادث الأمن السيبراني (3.3.15 (1–4))
إبلاغ البنك المركزي بالحوادث (3.3.15 (5–7))
إدارة التهديدات (3.3.16 (1–3))
إدارة الثغرات الأمنية (3.3.17 (1–3))

3.4. الأمن السيبراني للأطراف الثالثة

إدارة العقود والموردين (3.4.1 (1–6))
إسناد المهام إلى طرف ثالث (3.4.2 (1–3))
الحوسبة السحابية (3.4.3 (1–4))

الإصدار 1.0 (فبراير 2017)

الدليل التنظيمي لإدارة استمرارية الأعمال

البنك المركزي السعودي (ساما)

13 قسمًا للمتطلبات (2.1–2.13) · 3 أقسام فرعية للاختبارات · 75 ضابطًا أساسيًا

المصدر الرسمي ↗

متطلبات البنك المركزي السعودي لبدء وتطبيق ومراقبة وتحسين والحفاظ على ضوابط استمرارية الأعمال والتعافي من كوارث تقنية المعلومات، استنادًا إلى معايير ‪ISO 22301‬ و‪ISO 27001‬ وممارسات معهد استمرارية الأعمال (‪BCI‬) والمعهد الدولي للتعافي من الكوارث (‪DRII‬). يجب على المؤسسات المالية الالتزام بهذه المتطلبات وإدراجها رسميًا ضمن برنامج إدارة استمرارية الأعمال لديها.

ينطبق على: كافة المؤسسات الخاضعة لإشراف البنك المركزي (المؤسسات المالية)، وكافة البنوك العاملة في المملكة، والشركات التابعة للبنوك السعودية، والشركات التابعة للبنوك الأجنبية في المملكة؛ ويحدد دليل القواعد نطاق تطبيقه في القطاع المصرفي وقطاع التمويل ونظم المدفوعات ومقدمي خدمات المدفوعات وشركات المعلومات الائتمانية. ويشمل النطاق الكامل للمؤسسة المالية بما في ذلك الشركات التابعة والموظفين والمقاولين والأطراف الثالثة والعملاء.

المجالات المقيّمة (19 سؤالًا)

2.1. حوكمة إدارة استمرارية الأعمال

حوكمة استمرارية الأعمال ولجنتها (2.1 (1–5))
وحدة إدارة استمرارية الأعمال ومديرها (2.1 (6–9))

2.2. استراتيجية إدارة استمرارية الأعمال

استراتيجية إدارة استمرارية الأعمال (2.2 (1–2))

2.3. سياسة استمرارية الأعمال

سياسة استمرارية الأعمال (2.3 (1–5))

2.4. تحليل أثر انقطاع الأعمال وتقييم المخاطر

تحليل أثر انقطاع الأعمال (2.4 (1, 3, 4, 6, 9))
تقييم مخاطر استمرارية الأعمال (2.4 (2, 5, 7, 8))

2.5. خطة استمرارية الأعمال (‪BCP‬)

خطة استمرارية الأعمال (2.5 (1–5))
مساحات العمل الاحتياطية واستمرارية مزودي الخدمة (2.5 (6–8, 10))

2.6. خطة التعافي من كوارث تقنية المعلومات (‪DRP‬)

خطة التعافي من الكوارث ومركز البيانات الاحتياطي (2.6 (1–4, 8–10))
النسخ الاحتياطي والتخزين الخارجي وعقود التعافي (2.6 (5–7))

2.7. المرونة السيبرانية

المرونة السيبرانية (2.7 (1–2))

2.8. خطة إدارة الأزمات

خطة إدارة الأزمات (2.8 (1–4))

2.9. الاختبارات

اختبار خطة استمرارية الأعمال (2.9.1 (1–4))
اختبار خطة التعافي من الكوارث (2.9.2 (1–4))
الاختبارات المنفذة ونتائجها (2.9.3 (1–4))

2.10. التوعية والتدريب

التوعية والتدريب (2.10 (1–3))

2.11. التواصل

التواصل مع البنك المركزي (2.11 (1–5))

2.12. المراجعة الدورية للوثائق

المراجعة الدورية للوثائق (2.12 (1–2))

2.13. التأكيد

التأكيد المستقل لإدارة استمرارية الأعمال (2.13 (1–3))

هيئة السوق المالية (‪CMA‬)

صدر عام 2021 (الإصدار الحالي)

الدليل الاسترشادي للأمن السيبراني لمؤسسات السوق المالية

هيئة السوق المالية

4 مجالات رئيسة · 26 مجالًا فرعيًا · 146 ضابطًا أساسيًا (60 سؤالًا)

المصدر الرسمي ↗

ضوابط الأمن السيبراني لمؤسسات السوق المالية الخاضعة لإشراف هيئة السوق المالية، المبنية على ضوابط الهيئة الوطنية للأمن السيبراني وإطار البنك المركزي السعودي و‪NIST‬ و‪ISO‬. ويخضع تنفيذها لتقييم ذاتي دوري ومراجعة وتدقيق وفق الآلية التي تراها الهيئة.

ينطبق على: جميع مؤسسات السوق المالية المرخص لها والخاضعة لإشراف هيئة السوق المالية (مثل الأشخاص المرخص لهم)، وللهيئة تطبيق الدليل على أي جهة خاضعة لإشرافها. وتنطبق أيضًا الضوابط الأساسية للأمن السيبراني (‪ECC‬) الصادرة عن الهيئة الوطنية للأمن السيبراني، وهي إلزامية للمؤسسات الداخلة في نطاقها.

المجالات المقيّمة (60 سؤالًا)

4.1.1. القيادة والمسؤوليات

إدارة مستقلة للأمن السيبراني (4.1.1 (1–2))
ميزانية الأمن السيبراني ومراجعة الأدوار (4.1.1 (3–4))
لجنة الأمن السيبراني (4.1.1 (5–8))
مسؤوليات مجلس الإدارة (4.1.1 (9))
مسؤوليات مدير إدارة الأمن السيبراني (4.1.1 (10))
التدقيق الداخلي ومسؤولية الموظفين (4.1.1 (11–12))

4.1.2. حوكمة وأمن البيانات

برنامج حوكمة البيانات (4.1.2 (1–3))
تصنيف البيانات وخصوصيتها (4.1.2 (4–5))
التحكم في البيانات الحساسة وقياس حمايتها (4.1.2 (6–7))
سير عمل حوكمة البيانات (4.1.2 (8–9))

4.1.3. الاستراتيجية والسياسات

استراتيجية الأمن السيبراني (4.1.3 (1–3))
سياسات ومعايير الأمن السيبراني (4.1.3 (4–7))

4.1.4. التدريب والتوعية

برنامج التوعية بالأمن السيبراني (4.1.4 (1–4))
تقييم البرنامج والتدريب التخصصي (4.1.4 (5–6))

4.1.5. الأمن السيبراني المتعلق بالموارد البشرية

الأمن السيبراني المتعلق بالموارد البشرية (4.1.5 (1–3))

4.2.1. إدارة مخاطر الأمن السيبراني

منهجية إدارة مخاطر الأمن السيبراني (4.2.1 (1–5))
مراحل تقييم المخاطر (4.2.1 (6))
سجل المخاطر ومعالجتها (4.2.1 (7–9))

4.2.2. مراجعة الأمن السيبراني والتدقيق

المراجعة الدورية للأمن السيبراني (4.2.2 (1–2))
التدقيق المستقل للأمن السيبراني (4.2.2 (3–4))

4.3.1. هيكلية الأمن السيبراني

هيكلية الأمن السيبراني (4.3.1 (1–2))

4.3.2. أمن البنية التحتية

ضوابط أمن البنية التحتية (4.3.2 (1–3))
أمن البريد الإلكتروني (4.3.2 (4))
الحمايات الأساسية للبنية التحتية (4.3.2 (5))

4.3.3. إدارة التغيير وإدارة المشاريع

إدارة التغيير الآمنة (4.3.3 (1–2))
الأمن السيبراني في إدارة المشاريع (4.3.3 (3–5))
الثغرات والتحصين في التغييرات (4.3.3 (6))

4.3.4. إدارة هويات الدخول والصلاحيات

سياسة إدارة هويات الدخول والصلاحيات (4.3.4 (1–2))
التحكم في الوصول والصلاحيات الهامة (4.3.4 (3))

4.3.5. إدارة الأصول المعلوماتية والتقنية

سجل الأصول وتصنيفها (4.3.5 (1–2))
سياسة الاستخدام المقبول (4.3.5 (3))

4.3.6. الإتلاف الآمن

معايير الإتلاف الآمن (4.3.6 (1–4))
تنفيذ الإتلاف والأطراف الخارجية (4.3.6 (5–7))

4.3.7. إدارة حوادث الأمن السيبراني

عملية إدارة حوادث الأمن السيبراني (4.3.7 (1–4))
إبلاغ هيئة السوق المالية بالحوادث (4.3.7 (5–7))

4.3.8. إدارة سجلات أحداث الأمن السيبراني

إدارة سجلات أحداث الأمن السيبراني (4.3.8 (1–6))
مركز العمليات الأمنية (4.3.8 (7))
التعامل مع الحوادث الكبرى (4.3.8 (8))

4.3.9. إدارة تهديدات الأمن السيبراني

إدارة تهديدات الأمن السيبراني (4.3.9 (1–3))

4.3.10. حماية التطبيقات

ضوابط حماية التطبيقات ودورة التطوير (4.3.10 (1–4))
إجراءات حماية التطبيقات (4.3.10 (5))

4.3.11. التشفير

معايير التشفير (4.3.11 (1–4))

4.3.12. إدارة الثغرات

إدارة الثغرات (4.3.12 (1–3))

4.3.13. خدمات التداول الإلكتروني

ضوابط أمن التداول الإلكتروني (4.3.13 (1–3))
حماية عملاء التداول الإلكتروني (4.3.13 (4))

4.3.14. الأمن المادي

ضوابط الأمن المادي (4.3.14 (1, 2, 6))
الحماية من انقطاع الطاقة والحريق والكوارث (4.3.14 (3–5))

4.3.15. إدارة استمرارية الأعمال

سياسة استمرارية الأعمال (4.3.15 (1–3))
تحليل الأثر واستراتيجية الاستمرارية (4.3.15 (4–6))
فريق الأزمات وخطة الاستمرارية (4.3.15 (7–8))
اختبار خطط الاستمرارية والتعافي (4.3.15 (9))
التدريب على استمرارية الأعمال (4.3.15 (10–11))

4.3.16. استخدام الأجهزة الشخصية (‪BYOD‬)

أمن الأجهزة الشخصية (4.3.16 (1–4))

4.4.1. إدارة العقود والموردين

ضوابط الأمن السيبراني للموردين (4.4.1 (1–3))
الأمن السيبراني في العقود (4.4.1 (4–5))
تقارير الأمن في اتفاقيات مستوى الخدمة (4.4.1 (6))

4.4.2. الإسناد الخارجي

ضوابط الأمن السيبراني للإسناد الخارجي (4.4.2 (1–3))
الالتزام بالأنظمة وموقع مراقبة العمليات الأمنية (4.4.2 (4–5))

4.4.3. الحوسبة السحابية

سياسة الحوسبة السحابية (4.4.3 (1–3))
اعتماد الخدمات السحابية وشروطها (4.4.3 (4))

هيئة الحكومة الرقمية (‪DGA‬)

ضوابط الحوكمة 3.0 (2026) · ضوابط المخاطر والاستمرارية 4.0 (2025) · المعايير الأساسية 5.0 (2026)

ضوابط ومعايير الحكومة الرقمية (حوكمة تقنية المعلومات، وإدارة المخاطر واستمرارية الأعمال، والتحول الرقمي)

هيئة الحكومة الرقمية

ضوابط الحوكمة: 23 قسمًا · 120 ضابطًا؛ ضوابط المخاطر والاستمرارية: 18 قسمًا · 92 ضابطًا؛ المعايير الأساسية 5.0: معايير مختارة

المصدر الرسمي ↗

ضوابط إلزامية من هيئة الحكومة الرقمية لحوكمة تقنية المعلومات ولإدارة المخاطر واستمرارية الأعمال في الحكومة الرقمية، إضافة إلى المعايير الأساسية للتحول الرقمي المتعلقة بالأمن والاستضافة والاستمرارية التي تُقاس في مؤشر قياس السنوي. تقيس الهيئة الالتزام، بينما تُترك ضوابط الأمن السيبراني للهيئة الوطنية للأمن السيبراني، والبيانات والخصوصية للهيئة السعودية للبيانات والذكاء الاصطناعي ومكتب إدارة البيانات الوطنية.

ينطبق على: جميع الجهات الحكومية والجهات المشغّلة التي تقدم خدمات ومنتجات الحكومة الرقمية أيًا كان نوعها أو حجمها أو طبيعتها (بحسب بيئة عملها ودرجة تعقيدها وعدد مواقعها الجغرافية).

المجالات المقيّمة (49 سؤالًا)

ITG. ضوابط حوكمة تقنية المعلومات في الحكومة الرقمية (‪DGA-1-2-5-108‬)

ضوابط إدارة العمليات (5-108-01 – 5-108-05 (7.1.1))
ضوابط سياسات وإجراءات تقنية المعلومات (5-108-06 – 5-108-08 (7.1.2))
ضوابط تحديد الأدوار والمسؤوليات (5-108-09 (7.1.3))
ضوابط إدارة مخاطر تقنية المعلومات (5-108-10 – 5-108-19 (7.1.4))
ضوابط إدارة الكفاءات والقدرات لتقنية المعلومات (5-108-20 – 5-108-23 (7.1.5))
إستراتيجية تقنية المعلومات والبنية التقنية (5-108-24 – 5-108-29 (7.2.1 – 7.2.2))
ضوابط إدارة اتفاقيات مستوى الخدمة (5-108-30 – 5-108-39 (7.2.3))
ضوابط اقتناء النظم والتطبيقات (5-108-40 – 5-108-44 (7.3.1))
ضوابط إدارة تهيئة النظم والتطبيقات (5-108-45 – 5-108-47 (7.3.2))
ضوابط إدارة التغيير (5-108-48 – 5-108-56 (7.3.3))
ضوابط تطوير النظم والتطبيقات (5-108-57 – 5-108-66 (7.3.4))
ضوابط إدارة الأصول الرقمية والتقنية (5-108-67 – 5-108-75 (7.3.5))
ضوابط إدارة مشاريع تقنية المعلومات (5-108-76 – 5-108-79 (7.3.6))
ضوابط إتاحة الخدمات الرقمية وإدارة القدرات والسعة (5-108-80 – 5-108-84 (7.3.7))
ضوابط إدارة خدمات النسخ الاحتياطي (5-108-85 – 5-108-90 (7.4.1))
ضوابط الاعتمادية والترابط (5-108-91 – 5-108-93 (7.4.2))
ضوابط بنية الشبكة المعلوماتية والرقمية (5-108-94 – 5-108-96 (7.4.3))
ضوابط البرمجيات الافتراضية (5-108-97 – 5-108-100 (7.4.4))
ضوابط معالجة حزم البيانات (5-108-101 – 5-108-105 (7.4.5))
ضوابط إدارة الأداء (5-108-106 – 5-108-109 (7.5.1))
ضوابط التدقيق الداخلي والامتثال لتقنية المعلومات (5-108-110 – 5-108-120 (7.5.2 – 7.5.3))

RBC. ضوابط إدارة المخاطر واستمرارية الأعمال للحكومة الرقمية (‪DGA-1-2-5-107‬)

بناء وحوكمة نظام إدارة المخاطر (05-107-01 – 05-107-04 (7.1.1); ‪DTS 5.9.1‬)
إعداد استراتيجية إدارة المخاطر (05-107-05 – 05-107-07 (7.1.2))
إعداد إطار وإجراءات إدارة المخاطر (05-107-08 – 05-107-14 (7.1.3))
تحديد مستويات تقبل وتحمل المخاطر (05-107-15 (7.1.4))
تحديد وتحليل وتقييم المخاطر ومعالجتها (05-107-16 – 05-107-24 (7.2.1 – 7.2.2); ‪DTS 5.9.2‬)
المراجعة والمتابعة والتواصل (05-107-25 – 05-107-27 (7.2.3); ‪DTS 5.9.3‬)
التدريب والتوعية بإدارة المخاطر (05-107-28 – 05-107-31 (7.3.1); ‪DTS 5.9.4‬)
التطوير والتحسين المستمر (05-107-32 – 05-107-37 (7.3.2); ‪DTS 5.9.5‬)
إنشاء نظام استمرارية الأعمال (05-107-38 – 05-107-44 (8.1.1); ‪DTS 5.10.1‬)
التدريب والتوعية بنظام إدارة استمرارية الأعمال (05-107-45 – 05-107-48 (8.1.2); ‪DTS 5.10.2‬)
تحليل أثر انقطاع الأعمال وتقييم المخاطر والتهديدات (05-107-49 – 05-107-64 (8.2.1); ‪DTS 5.10.3‬)
تحديد استراتيجيات استمرارية الأعمال (05-107-65 – 05-107-68 (8.2.2); ‪DTS 5.10.4‬)
بناء خطط استمرارية الأعمال (05-107-69 – 05-107-70 (8.2.3); ‪DTS 5.10.5‬)
بناء خطط التعافي من كوارث تقنية المعلومات والاتصالات (05-107-71 – 05-107-75, 05-107-78 – 05-107-81 (8.2.4); ‪DTS 5.10.5‬)
إبلاغ الهيئة بالانقطاعات ونسب الإتاحة (05-107-76 – 05-107-77 (8.2.4))
هيكلة خطط الاستجابة للحوادث (05-107-82 – 05-107-85 (8.2.5))
التمارين والاختبارات ذات العلاقة باستمرارية الأعمال (05-107-86 – 05-107-89 (8.3.1); ‪DTS 5.10.6‬)
التوثيق والتحسين المستمر (05-107-90 – 05-107-92 (8.4.1); ‪DTS 5.10.7‬)

DTS. المعايير الأساسية للتحول الرقمي 5.0 (معايير مختارة)

استخدام البريد الإلكتروني (‪DTS 5.11.5‬ (‪req‬. 2–3))
تطوير إدارة الخدمات التقنية (‪DTS 5.12.1‬)
تنفيذ إدارة الخدمات التقنية والاستضافة (‪DTS 5.12.2 – 5.12.3‬)
وحدة الحوسبة السحابية وخطة التبني (‪DTS 5.13.1 – 5.13.2‬)
تفعيل بيئة الحوسبة السحابية (‪DTS 5.13.3‬)
النفاذ الوطني الموحد والخدمات المشتركة (‪DTS 5.14.2‬)
تفعيل خدمات الثقة الرقمية (‪DTS 5.14.4‬)
حوكمة وتسجيل المنصات والنطاقات الحكومية (‪DTS 5.15.1, 5.15.3‬)
موثوقية وأمن الموقع الإلكتروني للجهة (‪DTS 5.21.1‬)
إشعار الخصوصية واتفاقية الاستخدام (‪DTS 5.22.1‬ (‪req‬. 1))

وزارة الصحة والجهات الصحية

‪IS0303‬ الإصدار 1.0 (أبريل 2016)

سياسات تبادل المعلومات الصحية السعودية (‪IS0303‬)

المجلس الصحي السعودي / المركز الوطني للمعلومات الصحية

9 سياسات (§3–§11) · بنود إلزامية وموصى بها واختيارية (‪IS0303‬ الإصدار 1.0، 2016)

المصدر الرسمي ↗

سياسات الخصوصية والأمن الخاصة بمنظومة تبادل المعلومات الصحية السعودية (‪SeHE‬)، وتضم تسع سياسات: أغراض الاستخدام، وأمن المعلومات، وحقوق متلقي الرعاية، وإدارة الهوية، والتحقق من الهوية، والموافقة والتحكم في الوصول، والتدقيق، والإشعار بالاختراق، والاستخدام الثانوي للمعلومات الصحية الشخصية. بعض القيم التقنية قديمة (مثل ‪3DES‬ و‪TLS 1.0‬ و‪ISO 27799:2008‬) وينبغي قراءتها مع ضوابط الهيئة الوطنية للأمن السيبراني الحالية.

ينطبق على: المنشآت الصحية المشتركة في منظومة تبادل المعلومات الصحية، وشركاؤها في الأعمال ومقاولوهم من الباطن، ومزودو خدمات أنظمة التبادل، لكل المعلومات الصحية الشخصية المرسلة إلى المنظومة أو المسترجعة منها.

المجالات المقيّمة (50 سؤالًا)

3. سياسة أغراض الاستخدام

أغراض الاستخدام المسموح بها (§3.3.1 – §3.3.2; §5.3(14))
الاستخدامات المحظورة (§3.3.3)

4. سياسة أمن المعلومات

الحد الأدنى من الحمايات الأمنية (§4.3(1))
إطار إدارة أمن المعلومات (§4.3(2), §4.3(4))
سلامة البيانات والاحتفاظ بها (§4.3(3), §4.3(6))
خطط الطوارئ والتعافي من الكوارث (§4.3(5), §4.3(12))
تشفير الاتصالات (§4.3(7))
كشف التسلل (§4.3(8))
التدريب على الخصوصية والسرية (§4.3(9))
مسؤول الخصوصية والأمن (§4.3(10))
سياسة الجزاءات (§4.3(11))

5. سياسة حقوق متلقي الرعاية

وصول المريض إلى معلوماته الصحية (§5.3(1))
الحماية وحدود الإفصاح (§5.3(6), §5.3(14))
شكاوى المرضى بشأن الاختراق (§5.3(8))
تقرير الإفصاحات الإلكترونية (§5.3(9))
طلبات الانسحاب من المنظومة (§5.3(10) – §5.3(13))
تعريف المرضى والإشعار الخاص (§5.3(2) – §5.3(4))

6. سياسة إدارة الهوية

شهادات أنظمة المنشأة (§6.3(1), §6.3(3))
إثبات هوية المستخدمين (§6.3(2), §6.3(5.1) – §6.3(5.2))
إثبات الهوية حسب الدور (§6.3(5.2.1) – §6.3(5.2.6))
إثبات هوية عقدة المنشأة (§6.3(6))
اتفاقيات بيانات الاعتماد (§6.3(7), §6.3(10))
إلغاء الحسابات وتحديثها (§6.3(8) – §6.3(9))
بيانات الاعتماد المخترقة (§6.3(11))

7. سياسة التحقق من الهوية

الوصول الطارئ (كسر الزجاج) (§7.3(1))
الخروج التلقائي (§7.3(2))
التحقق من هوية العُقد (§7.3(3))
التحقق متعدد العناصر (§7.3(4) – §7.3(5))
التعريف الفريد (§7.3(6.3) – §7.3(6.4), §7.3(7))
التحقق من بيانات الاعتماد (§7.3(8) – §7.3(9))

8. سياسة الموافقة والتحكم في الوصول

اختبار التحكم في الوصول (§8.3(1))
التحقق من الموافقة (§8.3(2) – §8.3(3), §8.3(8))
تدفقات المعلومات والسياسات المحلية (§8.3(4) – §8.3(5))
المرضى المنسحبون (§8.3(6) – §8.3(7), §8.3(14))
المعلومات الصحية الحساسة (§8.3(9) – §8.3(13))
الوصول المبني على الأدوار (§8.3(15))
اتفاقيات البوابات وسياسات الالتزام (§8.3(16), §8.3(18))

9. سياسة التدقيق

تسجيل أنشطة المعلومات الصحية (§9.3(1) – §9.3(3))
محتوى سجلات الدخول والإفصاح (§9.3(4) – §9.3(5))
توليد السجلات ومراجعتها (§9.3(6) – §9.3(8))
استفسارات التدقيق والمدققون الخارجيون (§9.3(9) – §9.3(10))
مزامنة الوقت (§9.3(13))
حماية سجلات التدقيق (§9.3(14) – §9.3(15))

10. سياسة الإشعار بالاختراق

التحقيق في الأنشطة المشبوهة (§10.3.1)
الإشعار بالأحداث الواجب الإبلاغ عنها (§10.3.2)
التعاون في معالجة الاختراقات (§10.3.3(3.3), §10.3.3(4))
إشعار الأفراد بالاختراق (§10.3.4(2) – §10.3.4(5))

11. سياسة الاستخدام الثانوي

الموافقة الأخلاقية على الاستخدام الثانوي (§11.3(1) – §11.3(2.3))
اتفاقيات استخدام البيانات (§11.3(2.6))
إتاحة البيانات غير المعرِّفة (§11.3(3))

العقوبات

الحدود القصوى للعقوبات وفق نظام حماية البيانات الشخصية ونظام مكافحة الجرائم المعلوماتية (المرسوم الملكي م/17 لعام 1428هـ). للعلم فقط وليست استشارة قانونية.

النظام	المخالفة	السجن	الغرامة
نظام حماية البيانات الشخصية المادة 35 (1)	الإفصاح عن بيانات حساسة أو نشرها بالمخالفة لأحكام النظام بقصد الإضرار بصاحب البيانات أو لتحقيق منفعة شخصية	حتى سنتين	حتى 3,000,000 ريال بإحداهما أو بكلتيهما؛ وللمحكمة مضاعفة الغرامة في حال العود.
نظام حماية البيانات الشخصية المادة 36 (1)	أي مخالفة أخرى لأحكام النظام أو لوائحه (مثل غياب الأساس النظامي للمعالجة، أو نقص تدابير الأمان، أو التأخر في الإبلاغ عن التسرب، أو النقل غير المشروع)	—	إنذار أو غرامة حتى 5,000,000 ريال تفرضها لجنة لدى سدايا؛ ويجوز مضاعفتها في حال العود.
نظام مكافحة الجرائم المعلوماتية المادة 3	التنصت على ما هو مرسل عبر الشبكة دون مسوغ نظامي، والدخول غير المشروع لتهديد شخص أو ابتزازه، والدخول غير المشروع إلى موقع إلكتروني لتغيير تصاميمه أو إتلافه، والمساس بالحياة الخاصة عبر الأجهزة، والتشهير بالآخرين عبر وسائل تقنية المعلومات	حتى سنة واحدة	حتى 500,000 ريال بإحداهما أو بكلتيهما.
نظام مكافحة الجرائم المعلوماتية المادة 4	الاستيلاء على مال أو سند أو توقيع عن طريق الاحتيال أو انتحال صفة، والوصول دون مسوغ نظامي إلى بيانات بنكية أو ائتمانية أو بيانات أوراق مالية	حتى 3 سنوات	حتى 2,000,000 ريال بإحداهما أو بكلتيهما.
نظام مكافحة الجرائم المعلوماتية المادة 5	الدخول غير المشروع لحذف بيانات خاصة أو تسريبها أو إتلافها أو تغييرها، وإيقاف الشبكة المعلوماتية عن العمل أو تعطيلها، وإعاقة الوصول إلى الخدمة أو تشويشها أو تعطيلها	حتى 4 سنوات	حتى 3,000,000 ريال بإحداهما أو بكلتيهما.
نظام مكافحة الجرائم المعلوماتية المادة 6	إنتاج أو إعداد أو إرسال أو تخزين ما من شأنه المساس بالنظام العام أو القيم الدينية أو الآداب العامة أو حرمة الحياة الخاصة	حتى 5 سنوات	حتى 3,000,000 ريال بإحداهما أو بكلتيهما.
نظام مكافحة الجرائم المعلوماتية المادة 7	إنشاء مواقع لمنظمات إرهابية أو تسهيل التواصل معها، والدخول غير المشروع إلى بيانات تمس الأمن الداخلي أو الخارجي للدولة أو اقتصادها الوطني	حتى 10 سنوات	حتى 5,000,000 ريال بإحداهما أو بكلتيهما.

الالتزامات والمهل الرئيسية

الإبلاغ عن الحوادث والتسربات

الضوابط الأساسية ‪ECC-2:2024‬ (2-13-3-3/4) وضوابط ‪NCNICC‬ (2-13-1-2/3): إبلاغ الهيئة الوطنية للأمن السيبراني بالحوادث ومشاركة المعلومات الاستباقية ومؤشرات الاختراق، وقناة الإبلاغ هي منصة حصين.
المادة 20 من نظام حماية البيانات الشخصية والمادة 24 من لائحته التنفيذية: إبلاغ سدايا خلال 72 ساعة من العلم بتسرب البيانات الشخصية، وإبلاغ أصحاب البيانات عند احتمال وقوع ضرر.
إطار هيئة الاتصالات: يبلغ مقدمو الخدمات ذوو البنى التحتية الحساسة الهيئة الوطنية للأمن السيبراني بالحوادث فورًا ويُخطرون هيئة الاتصالات.

تنظيمات الأمن السيبراني في المملكة

الهيئة الوطنية للأمن السيبراني (‪NCA‬)

الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)

هيئة الاتصالات والفضاء والتقنية (‪CST‬)

البنك المركزي السعودي (ساما)

هيئة السوق المالية (‪CMA‬)

هيئة الحكومة الرقمية (‪DGA‬)

وزارة الصحة والجهات الصحية

الهيئة الوطنية للأمن السيبراني (‪NCA‬)

الضوابط الأساسية للأمن السيبراني

ضوابط الأمن السيبراني لجهات القطاع الخاص من غير ذات البنى التحتية الحساسة

ضوابط الأمن السيبراني للأنظمة الحساسة

ضوابط الأمن السيبراني للحوسبة السحابية

ضوابط الأمن السيبراني للبيانات

ضوابط الأمن السيبراني للأنظمة التشغيلية

ضوابط الأمن السيبراني للعمل عن بعد

ضوابط الأمن السيبراني لحسابات التواصل الاجتماعي للجهات

المعايير الوطنية للتشفير

الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)

نظام حماية البيانات الشخصية

ضوابط ومواصفات إدارة البيانات الوطنية وحوكمتها وحماية البيانات الشخصية

هيئة الاتصالات والفضاء والتقنية (‪CST‬)

الإطار التنظيمي للأمن السيبراني لمقدمي الخدمات في قطاع الاتصالات وتقنية المعلومات

تنظيمات تقديم خدمات الحوسبة السحابية (الإطار التنظيمي للحوسبة السحابية سابقًا)

البنك المركزي السعودي (ساما)

الدليل التنظيمي لأمن المعلومات في القطاع المالي

الدليل التنظيمي لإدارة استمرارية الأعمال

هيئة السوق المالية (‪CMA‬)

الدليل الاسترشادي للأمن السيبراني لمؤسسات السوق المالية

هيئة الحكومة الرقمية (‪DGA‬)

ضوابط ومعايير الحكومة الرقمية (حوكمة تقنية المعلومات، وإدارة المخاطر واستمرارية الأعمال، والتحول الرقمي)

وزارة الصحة والجهات الصحية

سياسات تبادل المعلومات الصحية السعودية (‪IS0303‬)

العقوبات

الالتزامات والمهل الرئيسية

الإبلاغ عن الحوادث والتسربات

روابط رسمية مفيدة