لا تفتقر معظم المؤسسات في السعودية إلى التزامات الأمن السيبراني وحماية البيانات — بل تفتقر إلى مكان واحد يجمع بين الضوابط الأساسية للأمن السيبراني (NCA ECC) وإطار الأمن السيبراني لساما (SAMA CSF) وقانون حماية البيانات الشخصية لسدايا (PDPL) في قائمة عملية واحدة. كل إطار ينظّم طبقة مختلفة من المشكلة ذاتها: كيفية تعامل المؤسسة مع البيانات والأنظمة العاملة في المملكة، وتأمينها، ومساءلتها عنها.
الضوابط الأساسية للأمن السيبراني (ECC)
تظل الضوابط الأساسية المعيار الأساسي للأمن السيبراني للجهات الحكومية وشبه الحكومية والقطاعات الحيوية العاملة في السعودية. وهي منظمة حول مجالات الحوكمة والدفاع والصمود وأمن الأطراف الثالثة والحوسبة السحابية، مع متطلبات على مستوى الضوابط لا مجرد مبادئ عامة.
بالنسبة لمعظم المؤسسات، الفجوة العملية ليست في الوعي بالضوابط الأساسية — بل في الأدلة. تتوقع عمليات التدقيق المرتبطة بالهيئة تنفيذًا موثقًا للضوابط، لا مجرد سياسة على الورق. أكثر أوجه القصور شيوعًا التي نلاحظها في التقييمات تتعلق بإدارة الأصول وإدارة التغيير وضوابط مخاطر الأطراف الثالثة، وجميعها تتطلب انضباطًا تشغيليًا مستمرًا لا مشروعًا لمرة واحدة.
إذا كانت مؤسستك تقع ضمن النطاق التنظيمي للهيئة — جهات حكومية أو بنية تحتية حيوية أو مؤسسات تتعامل مع بيانات وطنية حساسة — فإن الامتثال للضوابط الأساسية ليس اختياريًا، وتظهر الفجوات بسرعة في عمليات التدقيق الرسمية أو مراحل التأهيل للمناقصات.
إطار الأمن السيبراني لساما
بالنسبة للبنوك وشركات التأمين وشركات التمويل الخاضعة لإشراف البنك المركزي السعودي، يضع إطار الأمن السيبراني لساما مجموعة أكثر تفصيلاً من المتطلبات، مع تقييمات ذاتية لمستوى النضج وتركيز قوي على مخاطر الأطراف الثالثة والاستعانة بمصادر خارجية — وهو أمر مهم نظرًا لاعتماد القطاع المالي الكبير على مزودي التقنية والحوسبة السحابية الخارجيين.
كما يتوقع الإطار تحسينًا مستمرًا في النضج، لا نتيجة نجاح أو فشل ثابتة. المؤسسات التي تتعامل مع تقييمها الذاتي لساما كتمرين امتثال سنوي، بدلاً من مدخل لخارطة طريق، تميل إلى الثبات عند نفس مستوى النضج عامًا بعد عام.
قانون حماية البيانات الشخصية لسدايا
يطبَّق قانون حماية البيانات الشخصية، الذي تديره سدايا، على نطاق أوسع بكثير من الضوابط الأساسية أو إطار ساما — على أي مؤسسة تعالج بيانات شخصية لأفراد داخل السعودية، بغض النظر عن القطاع. تشمل الالتزامات الأساسية وجود أساس قانوني للمعالجة، وحقوق أصحاب البيانات، والإخطار بالاختراقات، والقيود على نقل البيانات عبر الحدود.
تُعد قيود النقل عبر الحدود المصدر الأكبر للأسئلة التشغيلية، خصوصًا للمؤسسات التي تستخدم خدمات الذكاء الاصطناعي السحابية أو منصات SaaS المستضافة خارج المملكة. قبل اعتماد أي أداة سحابية تعالج بيانات شخصية — بما في ذلك معظم واجهات برمجة تطبيقات الذكاء الاصطناعي التوليدي — يستحق الأمر التأكد من مكان معالجة تلك البيانات وتخزينها، وما إذا كان ينطبق استثناء لسيادة البيانات أو ضمان تعاقدي.
أين تتقاطع هذه الأطر الثلاثة
من الناحية العملية، تعزز هذه الأطر بعضها البعض: ضوابط الأطراف الثالثة في الضوابط الأساسية، ومتطلبات مخاطر الاستعانة بمصادر خارجية في إطار ساما، وقواعد النقل عبر الحدود في قانون حماية البيانات الشخصية، كلها تتقاطع عند سؤال واحد — ماذا يحدث لبياناتك وأنظمتك عندما يتدخل طرف ثالث (غالبًا مزود خدمة سحابية). المؤسسات التي تبني عملية واحدة لمراجعة مخاطر الموردين وسيادة البيانات تميل إلى تلبية متطلبات الأطر الثلاثة بجهد مكرر أقل بكثير من التعامل معها كمسارات امتثال منفصلة.
إذا لم تكن متأكدًا من الأطر المنطبقة على مؤسستك، أو من موقع ضوابطك الحالية مقارنة بها، فهذه عادة نقطة البداية الصحيحة. تُجري أويسِس سيستمز تقييمات فجوات الضوابط الأساسية وإطار ساما وقانون حماية البيانات الشخصية للمؤسسات في جميع أنحاء المملكة — تواصل معنا للحصول على صورة واضحة لموقع مؤسستك مقابل الأطر الثلاثة.