نظرة عامة على البرنامج
العمق التقني: ممارس · أسلوب التطبيق: دراسة حالة
مقدمة
يتعين على الجهات الحكومية والشركات التابعة لها وجهات البنى التحتية الوطنية الحساسة في المملكة العربية السعودية الامتثال للضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني، وقد أعاد الانتقال من ECC-1:2018 إلى ECC-2:2024 ترتيب كثير من برامج الامتثال. وكثيرا ما تستكمل التقييمات الذاتية كأعمال ورقية بينما تبقى ثغرات الوصول وحماية البريد الإلكتروني وضوابط الأطراف الخارجية مفتوحة. تزود هذه الدورة من كور كونسبت مديري الأمن السيبراني والحوكمة والمخاطر والامتثال بمهارة تحديد نطاق ECC-2:2024 وتطبيقها وتوثيق أدلتها إلى جانب ISO/IEC 27001 وNIST CSF 2.0، ويخرجون بتقييم الفجوات وخارطة طريق الامتثال.
أهداف الدورة
- تحديد نطاق ECC-2:2024 ومدى انطباقها على الجهة وخدماتها في المملكة العربية السعودية
- تفسير المكونات الرئيسية الأربعة في ECC-2:2024 وربط ضوابطها بالمواصفة ISO/IEC 27001:2022 وإطار NIST CSF 2.0
- تطبيق ضوابط الحوكمة والتعزيز، ومنها السياسات وإدارة الوصول وحماية البريد الإلكتروني والمراقبة، وفق متطلبات الضوابط الأساسية
- إعداد تقييم ذاتي لكل ضابط مدعوم بالأدلة باستخدام أداة التقييم والامتثال الصادرة عن الهيئة
- ترتيب أولويات معالجة الفجوات حسب المخاطر السيبرانية والجهد المطلوب ومدى التعرض في التقييم
- إعداد تقييم الفجوات وخارطة طريق الامتثال لضوابط ECC-2:2024 لاعتمادها من صاحب الصلاحية
الفئة المستهدفة
- رؤساء إدارات الأمن السيبراني ومديروها المسؤولون عن تطبيق الضوابط الأساسية
- مديرو الحوكمة والمخاطر والامتثال الذين يعدون التقييمات الذاتية وأدلتها للهيئة
- مديرو تقنية المعلومات والبنية التحتية المسؤولون عن ضوابط التعزيز في الشبكات والأنظمة والهويات
- مديرو المراجعة الداخلية والتأكيد الذين يراجعون الامتثال للأمن السيبراني
- مديرو المخاطر واستمرارية الأعمال الذين يربطون المخاطر السيبرانية بالمخاطر المؤسسية والصمود
- مديرو الموردين والخدمات السحابية المشرفون على التزامات الأطراف الخارجية في الأمن السيبراني
محاور الدورة
اليوم الأول: سياق ECC-2:2024 ونطاقها في المملكة العربية السعودية
- اختصاصات الهيئة الوطنية للأمن السيبراني ووثائقها التنظيمية: ECC وCCC وOTCC وDCC
- انطباق ECC-2:2024 على الجهات الحكومية والشركات التابعة لها وجهات البنى التحتية الوطنية الحساسة
- هيكل ECC-2:2024: أربعة مكونات رئيسية و28 مكونا فرعيا و108 ضوابط أساسية و92 ضابطا فرعيا
- التغييرات عن ECC-1:2018 وأولويات الانتقال
- تحديد الوضع الراهن ونطاقه بقائمة الأصول والخدمات
اليوم الثاني: مكونات الضوابط الأساسية والمواءمة مع المعايير الدولية
- مكون حوكمة الأمن السيبراني: الاستراتيجية والسياسات والأدوار وإدارة المخاطر
- مكون تعزيز الأمن السيبراني: ضوابط الأصول والهويات والشبكات والبيانات والتشفير
- مكون صمود الأمن السيبراني وجوانب استمرارية الأعمال
- مكون الأمن السيبراني المتعلق بالأطراف الخارجية والحوسبة السحابية
- مواءمة ECC-2:2024 مع الملحق A في ISO/IEC 27001:2022 وإطار NIST CSF 2.0
اليوم الثالث: تطبيق الضوابط
- إعداد مجموعة سياسات الأمن السيبراني وإجراءاته وفق متطلبات الضوابط الأساسية
- هيكل إدارة الأمن السيبراني ومتطلبات شغل وظائفه بالكفاءات السعودية
- ضوابط إدارة الهويات والوصول: التحقق متعدد العوامل والصلاحيات المميزة والمراجعة الدورية
- ضوابط حماية البريد الإلكتروني ومنها DMARC وSPF وDKIM
- دورات إدارة الثغرات واختبار الاختراق ومراقبة سجلات الأحداث
اليوم الرابع: تقييم الامتثال والأدلة والحالات الإشكالية
- التقييم الذاتي باستخدام أداة التقييم والامتثال للضوابط الأساسية الصادرة عن الهيئة
- تصميم حزمة الأدلة وتصنيف حالة تطبيق الضوابط
- تقييم المخاطر السيبرانية ومعالجتها وفق ISO/IEC 27005
- متطلبات الأمن السيبراني في مشاريع تقنية المعلومات وإدارة التغيير
- الملاحظات المتكررة في الزيارات الميدانية ومزالق المعالجة
اليوم الخامس: دراسات الحالة وخارطة طريق الامتثال
- حالة جهة حكومية: تقييم الفجوات ضابطا بضابط
- حالة شركة مرافق: فجوات ضوابط الأطراف الخارجية والحوسبة السحابية
- مصفوفة أولويات المعالجة حسب المخاطر والجهد
- إعداد مسودة تقييم الفجوات وخارطة طريق الامتثال لضوابط ECC-2:2024
- الدفاع عن خارطة الطريق أمام لجنة تقييم افتراضية
المهارات المكتسبة
- تطبيق ضوابط الأمن السيبراني
- تحليل فجوات الامتثال
- المواءمة بين أطر الضوابط
- إدارة الأدلة
- تقييم المخاطر السيبرانية
- إدارة المخاطر السيبرانية للأطراف الخارجية
- تخطيط المعالجة
- الجاهزية للتدقيق
لماذا تحضر هذه الدورة
- تعود إلى عملك بتقييم الفجوات وخارطة طريق الامتثال لضوابط ECC-2:2024 لجهتك، وقد اختبرت أمام لجنة تقييم افتراضية
- تشرح للقيادة ما الذي تغير عن ECC-1:2018 وأين يجب أن يتجه جهد الجهة أولا
- تستفيد من أعمال ISO/IEC 27001 وNIST CSF القائمة بدلا من تشغيل برنامج امتثال منفصل
- تقارن أساليب إعداد الأدلة مع مديرين من جهات حكومية وشركات تابعة لها وجهات بنى تحتية حساسة
الخاتمة
تحدد ECC-2:2024 الحد الأدنى من الأمن السيبراني الذي تتوقعه الهيئة الوطنية للأمن السيبراني في الجهات الحكومية والبنى التحتية الحساسة في المملكة، وأصبحت التقييمات تبحث عن ضوابط مطبقة فعلا لا عن وثائق فحسب. تنتقل هذه الدورة من النطاق والهيكل، مرورا بالمكونات الأربعة ومواءمتها مع المعايير الدولية، وصولا إلى التطبيق وأدلة التقييم الذاتي والملاحظات المتكررة في الزيارات الميدانية. ويحول اليوم الأخير هذه المعارف إلى تقييم الفجوات وخارطة طريق الامتثال يعود بهما المشارك إلى صاحب الصلاحية لاعتمادهما وتمويلهما.