خدمات الأمن السيبراني في المملكة العربية السعودية — مرخّصة من NCA وحاصلة على ISO 27001

ما الذي يقدّمه مزوّد الأمن السيبراني فعلياً لمنشأة سعودية؟

لم يعد الأمن السيبراني قراراً تقنياً فحسب لمعظم المنشآت في المملكة، بل أصبح قراراً تنظيمياً. فالجهات الحكومية ومشغّلو البنية التحتية الوطنية الحساسة ملزمون بالضوابط الأساسية للأمن السيبراني (ECC) الصادرة عن الهيئة الوطنية للأمن السيبراني، والبنوك وشركات التأمين الخاضعة لإشراف ساما تلتزم بإطار الأمن السيبراني لساما، والشركات التي تشغّل منشآت صناعية مطالبة بحماية أنظمة تحكم لم تُصمَّم أصلاً لتكون متصلة بأي شبكة.

دور SNTech هو سدّ الفجوة بين وضعك الأمني الحالي وما تتوقعه منك الجهة التنظيمية أو أكبر عملائك. وعملياً يتكوّن ذلك من ثلاثة أنواع من العمل: تقييم ضوابطك وتوثيقها وفق الإطار المنطبق عليك، ومعالجة الفجوات التقنية (تقسيم الشبكات، والتحكم في الوصول، والمراقبة، والتصليب)، ثم اختبار النتيجة عبر اختبار الاختراق للتأكد من أن الضوابط تصمد فعلاً ولا توجد على الورق فقط.

لماذا تحتاج أنظمة التحكم الصناعي إلى نهج مختلف عن تقنية المعلومات المكتبية؟

تختلف طريقة فشل أنظمة تقنية المعلومات عن أنظمة التقنية التشغيلية (OT). فاختراق تقنية المعلومات يعني غالباً سرقة البيانات أو تشفيرها، أما اختراق أنظمة OT فقد يوقف خط إنتاج أو محطة ضخ أو يتسبب في حادث سلامة. كما لا يمكن التعامل مع أنظمة التحكم كأجهزة الحاسب المحمولة: فكثير من وحدات PLC وخوادم SCADA لا يمكن تحديثها عند الطلب، ولا تستطيع تشغيل برامج الحماية المعتادة، وقد لا يمكن إيقافها إلا خلال فترة توقف مخطط لها.

لهذا تؤمّن SNTech البيئات الصناعية وفق سلسلة معايير IEC 62443 الدولية الخاصة بأمن أنظمة الأتمتة والتحكم الصناعي، ووفق ضوابط الأمن السيبراني للأنظمة التشغيلية (OTCC) الصادرة عن الهيئة الوطنية للأمن السيبراني والتي تمدّ نطاق ECC إلى أنظمة OT لدى مشغّلي البنية التحتية الحساسة. وتقوم المنهجية الأساسية على تقسيم الموقع إلى مناطق وقنوات اتصال (Zones & Conduits): تجميع الأصول حسب أهميتها، والتحكم الدقيق في الحركة المسموح بعبورها بينها، ووضع منطقة عازلة (DMZ) بين الشبكة المؤسسية وشبكة التحكم حتى لا يتمكن حاسب مكتبي مخترَق من الوصول إلى وحدة PLC.

ويرتبط ذلك مباشرةً ببقية حلول SNTech؛ إذ تدعم الموجّهات والبوابات الصناعية التي ننشرها في المواقع البعيدة أنفاق IPsec وOpenVPN، وتنطبق مبادئ التقسيم ذاتها على الشبكات التي نصممها ضمن حل الشبكات الصناعية.

كيف تقدّم SNTech خدماتها: ترخيص، واعتماد، وشراكات حيث يلزم

تحمل SNTech ترخيصاً من الهيئة الوطنية للأمن السيبراني لتقديم خدمات الأمن السيبراني في المملكة، وهي نفسها حاصلة على شهادة ISO/IEC 27001، المعيار الدولي لأنظمة إدارة أمن المعلومات. ولهذا أهمية عملية: فالمزوّد الذي يطلب منك توثيق ضوابطك وإثباتها يجب أن يكون قادراً على إثبات ضوابطه هو أيضاً.

وفي المراقبة الأمنية المُدارة والتخصصات الدقيقة، تعمل SNTech مع مجموعة محدودة من مزوّدي الأمن السيبراني المتخصصين بدلاً من الادعاء بتنفيذ كل شيء داخلياً. وتبقى SNTech جهة المسؤولية الواحدة أمامك — تحديد النطاق، ومواءمة متطلبات الامتثال، والعمل الميداني انطلاقاً من مقرنا في الظهران، وإعداد التقارير — بينما يستعين كل مشروع بالشريك الأنسب من حيث الأدوات والخبرة.

متى لا تكون SNTech الخيار المناسب

الوضوح في هذه النقاط يوفّر الوقت على الطرفين:

• إصدار شهادة ISO 27001 لك. تُجري تدقيقَ الاعتماد جهةُ اعتماد معتمدة ومستقلة عمّن ساعدك في الاستعداد. تُعدّك SNTech للتدقيق ولا تُصدر الشهادة — وأي مستشار يعرض القيام بالأمرين معاً فذلك مؤشر تحذير.
• إعلان امتثالك لضوابط ECC. الامتثال لـ ECC أمر تُثبته منشأتك أمام الهيئة الوطنية للأمن السيبراني، ولا يستطيع أي مزوّد منحه. تبني SNTech الضوابط وتُعدّ الأدلة وتقارير الامتثال.
• اختبار منفرد لتطبيق واحد عندما يكون لديك فريق أمني داخلي ناضج؛ فقد تكون شركة اختبار متخصصة خياراً أبسط. تناسب SNTech أكثر حين يكون الاختبار جزءاً من برنامج امتثال أو أمن OT أشمل.

NCA ECC أم SAMA CSF أم ISO 27001 أم IEC 62443: أيّها ينطبق عليك؟

كثيراً ما يطلب العملاء "امتثال NCA" أو "شهادة ISO" بينما يحتاجون فعلياً إلى إطار مختلف — أو إلى إطارين معاً. هذه أكثر الأطر شيوعاً لدى المنشآت السعودية، والفرق بينها:

تتكامل هذه الأطر أكثر مما تتعارض. فنظام إدارة ISO 27001 يوفّر كثيراً من أدلة الحوكمة التي تطلبها ECC، ونموذج المناطق في IEC 62443 طريقة عملية لتطبيق ضوابط الشبكات في OTCC. ويمكن لتقييم فجوات واحد أن يطابق ضوابطك الحالية مع جميع الأطر المنطبقة عليك دفعة واحدة.