الهيئة الوطنية للأمن السيبراني لا تصدر «اعتمادًا» لأنظمة الأرشفة، بل تصدر ضوابط تلتزم بها الجهات الخاضعة لها. أهمها لنظام إدارة الوثائق: الضوابط الأساسية للأمن السيبراني (ECC-2:2024)، وضوابط الأمن السيبراني للبيانات (DCC-1:2022) التي تشمل الوثائق والمستندات صراحة، وضوابط الحوسبة السحابية (CCC-2:2024) عند الاستضافة السحابية. أما CSCC-1:2019 فهي ضوابط الأنظمة الحساسة، وتنطبق إن صُنّف النظام حساسًا.
دورك كمشترٍ: حدّد الضوابط المطبقة على جهتك، واربطها بمتطلبات قابلة للاختبار في النظام، واطلب من المورد أدلة لا عبارات.
هذا الدليل لمدير الأمن السيبراني ومدير تقنية المعلومات ولجنة فحص العروض في جهة حكومية أو شركة تملك بنية تحتية وطنية حساسة أو تشغّلها، ولأي منشأة تريد الاسترشاد بالضوابط وإن لم تكن ملزمة بها. سنعرض الأطر ذات الصلة بإصداراتها الحالية، ثم نربط كل مجال رقابي بمتطلب في نظام الوثائق وبالدليل الذي تطلبه من المورد.
أي أطر الهيئة تمسّ نظام الوثائق؟
تكثر في المحتوى المتداول أخطاء في أسماء الأطر وإصداراتها. هذه الصورة كما تعرضها صفحات الهيئة الرسمية حتى سبتمبر 2026:
| الإطار | ما هو | متى يعنيك |
|---|---|---|
| ECC-2:2024 الضوابط الأساسية للأمن السيبراني | الإصدار الحالي الذي حل محل ECC-1:2018. يتكون من 4 مكونات أساسية و28 مكونًا فرعيًا و108 ضوابط أساسية و92 ضابطًا فرعيًا | يُطبق على الجهات الحكومية والجهات والشركات التابعة لها، وجهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها، وتشجّع الهيئة غيرها على الاستفادة منه |
| DCC-1:2022 ضوابط الأمن السيبراني للبيانات | امتداد للضوابط الأساسية لحماية البيانات في كل مراحل دورة حياتها. 3 مكونات أساسية و11 مكونًا فرعيًا و19 ضابطًا أساسيًا و47 ضابطًا فرعيًا، تتدرج بحسب مستوى التصنيف | النطاق نفسه تقريبًا، وتنطبق صراحة على البيانات المادية والرقمية، بما فيها غير المهيكلة مثل الوثائق والمستندات |
| CCC-2:2024 ضوابط الأمن السيبراني للحوسبة السحابية | امتداد للضوابط الأساسية يحدد متطلبات مقدمي الخدمات السحابية والمشتركين فيها | إن كان نظام الوثائق مستضافًا سحابيًا |
| CSCC-1:2019 ضوابط الأمن السيبراني للأنظمة الحساسة | امتداد للضوابط الأساسية للأنظمة الوطنية الحساسة: 32 ضابطًا أساسيًا و73 ضابطًا فرعيًا | إن صُنّف نظام الوثائق أو البيئة التي يعمل فيها نظامًا حساسًا |
ملاحظتان من وثيقة ECC-2:2024 نفسها: نُقلت الضوابط المتعلقة بتوطين البيانات وسيادتها إلى الاختصاص التنظيمي للهيئة السعودية للبيانات والذكاء الاصطناعي، ويُرجع إلى مكتب إدارة البيانات الوطنية بشأنها. ونُقل مكون أنظمة التحكم الصناعي إلى وثيقة ضوابط الأنظمة التشغيلية. فإن قرأت في مقال أن «الضوابط الأساسية تشترط التخزين داخل المملكة» فهي معلومة من الإصدار السابق.
من المجال الرقابي إلى متطلب في نظام الوثائق
الضوابط مكتوبة على مستوى الجهة لا المنتج. مهمتك ترجمتها إلى ما يجب أن يفعله نظام الوثائق، وإلى دليل يثبت ذلك. الجدول التالي يغطي المكونات الفرعية الأقرب لأنظمة الوثائق في ECC-2:2024 وDCC-1:2022:
| المجال في الضوابط | ما يجب أن يوفره نظام الوثائق | الدليل الذي تطلبه |
|---|---|---|
| إدارة هويات الدخول والصلاحيات (ECC 2-2) | صلاحيات حسب الدور على المجلد والمستند، مبدأ الحد الأدنى، ربط بالدليل النشط، مصادقة متعددة العناصر، مراجعة دورية للصلاحيات | عرض حي لمصفوفة الصلاحيات، وتقرير «من يملك الوصول إلى هذا المجلد»، وإعدادات المصادقة |
| حماية البيانات والمعلومات (ECC 2-7 وDCC) | ضوابط تتدرج حسب تصنيف الوثيقة: الاطلاع، والتنزيل، والطباعة، والمشاركة | سيناريو اختبار لوثيقة «سري» ووثيقة «عام» بالحساب نفسه |
| التشفير (ECC 2-8) | تشفير أثناء النقل وأثناء التخزين، وإدارة المفاتيح | وصف الخوارزميات والبروتوكولات، ومن يملك المفاتيح وأين تُحفظ |
| إدارة النسخ الاحتياطية (ECC 2-9) | نسخ دوري، ونسخة في موقع منفصل، واستعادة مختبرة | سياسة النسخ، وأهداف الاسترداد في اتفاقية الخدمة، ونتيجة اختبار استعادة |
| إدارة الثغرات واختبار الاختراق (ECC 2-10 و2-11) | تحديثات أمنية منتظمة للتطبيق ومكوناته | سياسة الترقيع، وملخص نتائج آخر اختبار اختراق وتاريخه |
| سجلات الأحداث والمراقبة (ECC 2-12) | سجل لكل دخول واطلاع وتعديل وحذف وتنزيل، قابل للتصدير والربط بأنظمة المراقبة | عينة سجل مصدّرة، وطريقة حمايته من التعديل، ومدة الاحتفاظ به |
| الإتلاف الآمن للبيانات (DCC 2-6) | إجراء موثّق لحذف الوثائق عند انتهاء مدتها، مع أثر في السجل | وصف آلية الإتلاف وما يبقى بعده، واختبار في العرض التوضيحي |
| الطابعات والماسحات (DCC 2-7) | ربط آمن للماسحات بالنظام، وتسجيل عمليات الرفع | كيف يُسجَّل مصدر كل ملف ممسوح ومن رفعه |
| الأطراف الخارجية والحوسبة السحابية (ECC 4-1 و4-2، وCCC) | التزامات المورد الأمنية، وإعادة البيانات بصيغة قابلة للاستخدام عند انتهاء الخدمة | بنود العقد، وموقع الاستضافة، ومن يصل إلى البيانات من فريق المورد |
لاحظ أن التفاصيل الرقمية، مثل الحد الأدنى لمدة الاحتفاظ بسجلات أحداث الأمن السيبراني، ترد في نصوص الضوابط الفرعية وتخص نطاقًا محددًا. ارجع إلى النص الرسمي قبل نقل أي رقم إلى الكراسة، ولا تعتمد على ملخصات الموردين، بما فيها هذا المقال.
الافتراضات: هيئة حكومية تصنّف وثائقها أربعة مستويات، وتريد تحويل مجال «حماية البيانات والمعلومات» إلى بند قبول واحد في الكراسة.
الصياغة الضعيفة: «يلتزم النظام بضوابط الهيئة الوطنية للأمن السيبراني لحماية البيانات».
الصياغة القابلة للاختبار: «يُنشئ المورد في بيئة الاختبار وثيقتين، إحداهما مصنفة (سري) والأخرى (عام)، في المجلد نفسه. يدخل مستخدم بدور موظف إدارة دون صلاحية السري؛ يجب أن يرى الوثيقة العامة ويُمنع من فتح السرية أو تنزيلها، وأن يظهر رفض المحاولة في سجل التدقيق باسم المستخدم ووقت المحاولة. ثم يُصدَّر السجل ويُطابق مع ما جرى.»
الصياغة الثانية تعطي لجنة الفحص معيار نجاح واضحًا، وتمنع المورد من الإجابة بعبارة عامة.
ما يقع على المورد وما يبقى على جهتك
ما يوفره النظام والمورد
ضوابط تقنية داخل التطبيق (الصلاحيات، التشفير، السجل)، وتشغيل آمن للبنية في النماذج السحابية، وأدلة موثقة على ذلك، والتزامات تعاقدية واضحة.
ما يبقى على جهتك
سياسات الأمن السيبراني واعتمادها، وتصنيف البيانات، وتصميم مصفوفة الصلاحيات ومراجعتها، ومراقبة السجلات، وإدارة الحسابات عند التعيين والنقل والمغادرة، وتقييم الالتزام أمام الهيئة.
ما يُتفق عليه في العقد
أهداف الاسترداد، ومسؤولية النسخ في النشر المحلي، والإبلاغ عن الحوادث، وتصدير البيانات عند انتهاء الخدمة، وحق التدقيق.
أي نظام يُسوَّق بأنه «يجعلك ممتثلًا دون جهد» يخلط بين الأداة والبرنامج. الهيئة تقيّم التزام الجهة من خلال زيارات التدقيق أو التقييم الذاتي أو ما تراه مناسبًا؛ النظام الجيد يسهّل عليك تقديم الأدلة، لكنه لا يقدمها نيابة عنك.
أربعة أخطاء متكررة في كراسات الأرشفة
- ذكر إصدار قديم. كراسة تطلب «التوافق مع ECC-1:2018» تكشف أنها منسوخة من مشروع سابق.
- الخلط بين الأطر. CSCC ليست ضوابط الحوسبة السحابية؛ الحوسبة السحابية لها CCC.
- طلب «شهادة توافق مع NCA». اطلب بدلًا منها وصف الضوابط المطبقة ونتائج الاختبارات والشهادات المستقلة الحالية بأرقامها وتواريخها إن وُجدت.
- إغفال DCC. كثير من الكراسات تذكر الضوابط الأساسية وتنسى ضوابط البيانات، مع أنها الأقرب إلى الوثائق وتتدرج بحسب التصنيف.
أسئلة ترسلها لأي مورد نظام وثائق
- ما الضوابط الأمنية المطبقة في التطبيق، وما المطبق في البنية التي تستضيفه؟ أرسل وصفًا مكتوبًا.
- متى أُجري آخر اختبار اختراق للتطبيق، ومن نفّذه، وما ملخص نتائجه ومعالجته؟
- ما الأحداث التي يسجلها سجل التدقيق، وكيف يُحمى من التعديل، وبأي صيغ يُصدَّر، وكم يُحفظ؟
- كيف تُطبق ضوابط مختلفة على الوثائق حسب مستوى تصنيفها؟
- أين تُخزن البيانات والنسخ الاحتياطية والفهارس، ومن يملك الوصول الإداري إليها؟
- ما سياسة التحديثات الأمنية، وكيف تُبلَّغ الجهة بالثغرات المؤثرة؟
- كيف تُعاد البيانات عند انتهاء العقد، وبأي صيغة؟
للنسخة الكاملة من هذا النوع من الأسئلة راجع استبيان الأمن التقني الذي يُرسل إلى موردي أنظمة الأرشفة، ولقائمة المستندات الفنية قائمة الوثائق الفنية المطلوبة من مورد نظام إدارة الوثائق.
كيف يدعم وثيقة متطلبات هذه الضوابط
وثيقة متوافق مع ضوابط الهيئة الوطنية للأمن السيبراني ونظام حماية البيانات الشخصية، وحاصل على شهادة ISO/IEC 27001؛ اطلب نسخة الشهادة ونطاقها كما تطلبها من أي مورد. ويبقى تقييم التزام جهتك مسؤوليتها، لكن النظام يوفر الأدلة في المجالات التي تخص الوثائق مباشرة:
- صلاحيات مبنية على الأدوار على مستوى المجلد والمستند، وصلاحيات هرمية تتبع الهيكل التنظيمي، وربط بـ Active Directory / LDAP.
- مصادقة ثنائية عبر SMS أو تطبيقات المصادقة، وقفل الحساب بعد محاولات فاشلة متكررة مع تنبيه المسؤول.
- تشفير أثناء النقل بـ TLS 1.3 وأثناء التخزين بـ AES-256، مع تشفير البيانات الوصفية وسجلات التدقيق في قاعدة البيانات.
- سجل تدقيق لكل فتح وتعديل وحذف وتنزيل وتسجيل دخول مع الوقت وعنوان IP والجهاز، محمي من التلاعب بالتجزئة، ويُصدَّر PDF وExcel. نشرح اختباره في التحقق من سجل التدقيق وإمكان تصديره.
- في النماذج السحابية نسخ احتياطي تلقائي متعدد المواقع وفق صفحة الأمان واتفاقية الخدمة، وعزل بيانات كل مؤسسة بمفاتيح مستقلة.
- استضافة بخوادم داخل المملكة، أو نشر على خوادم الجهة، أو نشر هجين يجمع بينهما.
- مفاتيح تشفير يديرها العميل (BYOK)، وإتلاف آلي حسب مدد الاحتفاظ مع أثر في السجل، وتقييد التنزيل والطباعة وإضافة علامة مائية على الوثائق حسب تصنيفها.
تُضبط مدد الاحتفاظ وقواعد كل مستوى تصنيف بحسب سياسات جهتك أثناء التهيئة؛ اطلب عرضها في العرض التوضيحي على سيناريو من جهتك. تفاصيل الضوابط الأمنية في صفحة الأمان والحوكمة ودعم متطلبات الامتثال. وللجهات الحكومية تحديدًا راجع الأرشفة الإلكترونية في القطاع الحكومي السعودي.
الخطوة التالية
ابدأ بقائمة الضوابط المطبقة على جهتك ومستويات تصنيف بياناتك، وحوّلها إلى مصفوفة كالتي أعلاه، ثم اطلب من فريق وثيقة ردًا مكتوبًا على كل سطر مع عرض توضيحي للاختبارات. بذلك تقارن العروض على أدلة لا على عبارات.
المصادر
- الهيئة الوطنية للأمن السيبراني: الضوابط الأساسية للأمن السيبراني (ECC-2:2024)
- الهيئة الوطنية للأمن السيبراني: ضوابط الأمن السيبراني للبيانات (DCC-1:2022)
- الهيئة الوطنية للأمن السيبراني: ضوابط الأمن السيبراني للحوسبة السحابية (CCC-2:2024)
- الهيئة الوطنية للأمن السيبراني: ضوابط الأمن السيبراني للأنظمة الحساسة (CSCC-1:2019)
اطلب إجابات فريق الأمن لدينا
أرسل استبيان الأمن الخاص بجهتك أو قائمة الضوابط المطلوبة، ونجيب عنها كتابياً مع توضيح ما يُختبر في العرض التوضيحي.
- عدد المستخدمين المتوقع والإدارات المشاركة
- حجم الأرشيف الحالي تقريباً (عدد الملفات أو الصفحات أو الحجم بالجيجابايت) ونسبة الورقي منه
- نموذج الاستضافة المفضل: سحابة داخل المملكة أو خوادم الجهة
- النظام الحالي للملفات والأنظمة المطلوب التكامل معها
الهاتف وواتساب: +966 56 533 0501 — الأحد إلى الخميس 9 صباحاً حتى 6 مساءً.