ضوابط الأمن السيبراني للحوسبة السحابية (CCC) هي الحد الأدنى من متطلبات الأمن السيبراني للحوسبة السحابية الصادرة عن الهيئة الوطنية للأمن السيبراني، وهي موجهة لمقدمي الخدمات السحابية وللعملاء الذين يستخدمونها، ويُسمَّون المستأجرين. والإصدار الحالي هو CCC-2:2024، ويمتد من الضوابط الأساسية للأمن السيبراني (ECC)، وهو منفصل عن تسجيل مقدمي الخدمات السحابية لدى هيئة الاتصالات والفضاء والتقنية.
هذه معلومات عامة لا استشارة امتثال. تحقق من كيفية انطباق الضوابط على منشأتك مع الهيئة الوطنية للأمن السيبراني أو الجهة التنظيمية لقطاعك أو مستشار مؤهل.
أربع وثائق وأربعة أسئلة مختلفة
كثيراً ما يعامل المشترون عبارتي “ممتثل لضوابط الهيئة الوطنية للأمن السيبراني” و”مسجل لدى هيئة الاتصالات” كضمان واحد، لكن ضوابط الحوسبة السحابية وتسجيل الهيئة يجيبان عن أسئلة مختلفة ويصدران عن جهات مختلفة.
| الوثيقة | الجهة المُصدِرة | السؤال الذي يجيب عنه |
|---|---|---|
| الضوابط الأساسية للأمن السيبراني (ECC-2:2024) | الهيئة الوطنية للأمن السيبراني | ما الحد الأدنى من الأمن السيبراني الذي تحتاجه الجهة المشمولة، بما في ذلك عند استخدام الخدمات السحابية؟ |
| ضوابط الأمن السيبراني للحوسبة السحابية (CCC-2:2024) | الهيئة الوطنية للأمن السيبراني | ما الضوابط الإضافية التي تنطبق على مقدم الخدمة السحابية وعلى المستأجر الذي يستخدم خدمته؟ |
| تنظيمات تقديم خدمات الحوسبة السحابية (الإصدار 4) | هيئة الاتصالات والفضاء والتقنية | هل يحق لهذا المزود تقديم خدمات سحابية في المملكة، وفي أي فئة تسجيل؟ |
| متطلبات توطين البيانات | مكتب إدارة البيانات الوطنية في سدايا | أين يجوز استضافة بيانات معينة؟ وتذكر الهيئة الوطنية للأمن السيبراني أن ضوابط التوطين الخاصة بها نُقلت إلى مكتب إدارة البيانات الوطنية. |
وتثير البيانات الشخصية سؤالاً إضافياً بموجب نظام حماية البيانات الشخصية، ويوضح دليلنا عن إقامة البيانات في السعودية كيف تتكامل هذه الأجزاء في قرارات الاستضافة.
ما ضوابط الأمن السيبراني للحوسبة السحابية؟
ضوابط الأمن السيبراني للحوسبة السحابية مجموعة من الحد الأدنى من المتطلبات للحوسبة السحابية تصدرها الهيئة الوطنية للأمن السيبراني، التي تصف نفسها بأنها الجهة المختصة بالأمن السيبراني في المملكة. ويدرج موقع الهيئة CCC-2:2024 إصداراً حالياً، وهو تحديث لـ CCC-1:2020.
تقع الضوابط في أربعة مكونات رئيسية: حوكمة الأمن السيبراني، وتعزيز الأمن السيبراني، وصمود الأمن السيبراني، والأمن السيبراني المتعلق بالأطراف الخارجية. وللمزودين تحصي الوثيقة 24 مكوناً فرعياً و37 ضابطاً رئيسياً و94 ضابطاً فرعياً، وللمستأجرين مجموعة أقصر على المكونات نفسها تضم 18 ضابطاً رئيسياً و26 ضابطاً فرعياً. ويوضح الجزء الثالث من رقم كل ضابط الجهة الملزمة: P للمزود وT للمستأجر، فالضابط 3-1-P-1-1 ضابط للمزود و3-1-T-1-1 ضابط للمستأجر.
تتدرج متطلبات الضوابط في أربعة مستويات تتبع تصنيف البيانات المعنية: المستوى 1 للسري جداً، والمستوى 2 للسري، والمستوى 3 للمقيد، والمستوى 4 للعام. وبعض الضوابط اختيارية في المستوى 4. وحين تختلط التصنيفات في مجموعة بيانات، تنص الوثيقة على اعتماد المستوى الأعلى.
من يجب عليه الالتزام بضوابط الحوسبة السحابية؟
تنطبق الضوابط على مقدمي الخدمات السحابية الذين يخدمون عملاء مشمولين، وعلى هؤلاء العملاء. وتعرّف الوثيقة المستأجرين المشمولين بأنهم الجهات الحكومية في المملكة، داخلها أو خارجها، بما فيها الوزارات والهيئات والمؤسسات وشركاتها والجهات التابعة لها، إضافة إلى جهات القطاع الخاص التي تملك أو تشغّل أو تستضيف بنى تحتية وطنية حساسة وتستخدم أو تخطط لاستخدام خدمة سحابية.
وتستثني نوعين من المزودين: مزود يخدم جهات غير سعودية خارج المملكة دون مستأجرين مشمولين، ومزود يخدم الأفراد وجهات القطاع الخاص التي لا تملك بنى تحتية حساسة أو تشغّلها أو تستضيفها، دون مستأجرين مشمولين أيضاً. فالاختبار هو من يخدمه المزود، والمزود الذي لديه أي مستأجر مشمول يكون مشمولاً بنفسه.
تقيّم الهيئة الامتثال للضوابط من خلال التقييم الذاتي للجهات، أو التقارير الدورية من أداة الامتثال، أو التدقيق الميداني. وتنص الوثيقة على أن نصها العربي هو المعتمد في التفسير.
الضوابط الأساسية وضوابط الحوسبة السحابية: كيف تتكاملان
لا تحل ضوابط الحوسبة السحابية محل الضوابط الأساسية، بل تضيف إليها. وتنطبق الضوابط الأساسية على الجهات الحكومية والشركات والجهات التابعة لها، وعلى جهات القطاع الخاص المالكة للبنى التحتية الوطنية الحساسة أو المشغّلة أو المستضيفة لها، وتشجع الهيئة بشدة كل الجهات الأخرى في المملكة على تطبيقها كأفضل ممارسة.
- للمستأجر. يطلب المكون الفرعي 4-2 في الضوابط الأساسية (الأمن السيبراني المتعلق بالحوسبة السحابية والاستضافة) من الجهة تحديد متطلبات الأمن السيبراني لخدمات السحابة والاستضافة وتوثيقها واعتمادها وتطبيقها. ويضع الضابط 4-2-3 حداً أدنى: حماية بيانات الجهة وفق تصنيفها، وإعادتها بصيغة قابلة للاستخدام عند انتهاء الخدمة، وفصل البيئات الافتراضية للجهة عن بيئات العملاء الآخرين. وتمتد ضوابط المستأجر في CCC من ذلك.
- للمزود. تنص ضوابط الحوسبة السحابية على أن يحافظ المزودون، سواء كانوا ضمن نطاق الضوابط الأساسية أم لا، على الامتثال المستمر لكلتا المجموعتين.
ما تقوله الضوابط عن التعافي والخروج وموقع البيانات
توضح ثلاثة أمثلة كيف توزع الضوابط المسؤولية بين المزود والمستأجر.
التعافي من الكوارث. يطلب ضابط المزود 3-1-P-1-1 إجراءات للتعافي من الكوارث واستمرارية الأعمال تُطوَّر وتُطبَّق بشكل آمن، ويطلب ضابط المستأجر 3-1-T-1-1 الأمر نفسه من المستأجر فيما يتعلق باستخدامه للحوسبة السحابية. فقدرة المزود على التعافي لا تُغني عن خطتك، وتغطي قائمة التحقق لخطة التعافي من الكوارث ما يجب أن تتضمنه.
الخروج. يشترط ضابط المستأجر 2-6-T-1-1 استراتيجية خروج تضمن الإتلاف الآمن للبيانات عند انتهاء العقد مع المزود.
موقع البيانات. ذهبت الإصدارات السابقة أبعد من ذلك: فالضابط الفرعي 4-2-3-3 في ECC-1:2018 اشترط استضافة بيانات الجهة داخل المملكة، والضابطان 2-3-P-1-10 و2-3-P-1-11 في CCC-1:2020 اشترطا تقديم المزودين خدماتهم من داخل المملكة، بما في ذلك التخزين والمعالجة والتعافي من الكوارث والمراقبة والدعم. وحذف الإصداران ECC-2:2024 وCCC-2:2024 هذه الضوابط، ويذكر جدول التغييرات في CCC-2:2024 أن ضوابط التوطين نُقلت إلى مكتب إدارة البيانات الوطنية، ويوجه الجهات بالرجوع إليه قبل أي إجراء. فالدليل على امتثال المزود للضوابط يتعلق بالأمان، ولا يحسم موقع بياناتك.
الإطار التنظيمي للحوسبة السحابية لدى هيئة الاتصالات وتسجيل المزودين
كيف يعمل تصنيف مقدمي الخدمات السحابية في السعودية؟
يُصنَّف المزودون بطريقتين منفصلتين. تسجّل هيئة الاتصالات مقدمي خدمات الحوسبة السحابية في واحدة من أربع فئات، التأهيل أو A أو B أو C، حسب تصنيف بيانات المشتركين الذي يتأهل المزود للتعامل معه. ثم تحدد ضوابط الحوسبة السحابية مستويات من 1 إلى 4 حسب تصنيف البيانات. وهما إطاران منفصلان، فلا تجيب فئة المزود لدى هيئة الاتصالات عن أسئلة ضوابط الأمن السيبراني، والعكس صحيح. اسأل عن الاثنين.
تدرج خدمة التسجيل لدى الهيئة شهادات مراكز البيانات حسب الفئة: تتطلب الفئة A شهادة منشأة مبنية من المستوى Tier 2 أو أعلى، أو ISO/IEC 27001 لمراكز البيانات، وتتطلب الفئتان B وC شهادة منشأة مبنية واستدامة تشغيلية من المستوى Tier 3 أو أعلى. ويجب على المتقدمين أيضاً استيفاء متطلبات الخدمة في إطار الحوسبة السحابية لدى الهيئة ودليله.
تغيّر الاسم مع الوقت: فصفحات خدمة الهيئة ما زالت تشير إلى الإطار التنظيمي للحوسبة السحابية، بينما النص الحالي هو تنظيمات تقديم خدمات الحوسبة السحابية. واعتمد قرار الهيئة 506/1445 وتاريخ 8 أكتوبر 2023 الإصدار 4 مع أدلة محدثة، ودخلت حيز النفاذ في 10 أكتوبر 2023. ويحدد النص التنظيمي للهيئة ربط كل فئة بتصنيفات البيانات التي يجوز لها خدمتها، فاقرأ النص الحالي أو اطلب من المزود تحديد فئته والتصنيفات التي تغطيها كتابياً.
أسئلة تطرحها حول ضوابط الحوسبة السحابية
- أي إصدارات من الضوابط الأساسية وضوابط الحوسبة السحابية تقدّمون دليلاً عليها، وفي أي مستوى من 1 إلى 4؟
- ما أدلة التقييم المتاحة، مثل التقييم الذاتي أو تقرير أداة الامتثال أو نتيجة التدقيق الميداني، ولأي نطاق؟
- ما فئة التسجيل لديكم لدى هيئة الاتصالات، وأي تصنيفات بيانات تغطي لبياناتي؟
- ما ضوابط المزود التي تتحملونها، وما الذي يقع عليّ كمستأجر، مثل التعافي والخروج؟
- أين تُحفظ بيانات الإنتاج والنسخ الاحتياطية ونسخ التعافي، وهل أُكّد التوطين مع مكتب إدارة البيانات الوطنية لتصنيف بياناتي؟
- كيف تُعاد البيانات وتُتلف بشكل آمن عند انتهاء العقد؟
تحويل الإجابات إلى بنية عمل تصميمي، والضوابط أحد مدخلاته. وتصمم وسنا للحلول الرقمية بنى سحابية سيادية وهجينة ومتعددة تضع إقامة البيانات والتوافق التنظيمي أولاً، ثم تبني الأداء وقابلية التوسع فوقها.
اربط أحمال العمل بالضوابط المناسبة قبل اختيار المزود
أحضر قائمة بأنظمتك الرئيسية، وتصنيف البيانات في كل منها، وأي خدمات سحابية مستخدمة حالياً، وسيعود إليك مستشار من وسنا للحلول الرقمية بالأسئلة التي تشكّل البنية.
اطلب تقييماً للسحابة وإقامة البياناتالمصادر
- ضوابط الأمن السيبراني للحوسبة السحابية (CCC-2:2024). الهيئة الوطنية للأمن السيبراني. صفحة القائمة: nca.gov.sa. تاريخ الاطلاع: 2 أكتوبر 2026.
- الضوابط الأساسية للأمن السيبراني (ECC-2:2024). الهيئة الوطنية للأمن السيبراني. تاريخ الاطلاع: 2 أكتوبر 2026.
- عن الهيئة الوطنية للأمن السيبراني. تاريخ الاطلاع: 2 أكتوبر 2026.
- الموافقة على تحديث تنظيمات تقديم خدمات الحوسبة السحابية وأدلتها (القرار 506/1445، 8 أكتوبر 2023). هيئة الاتصالات والفضاء والتقنية. تاريخ الاطلاع: 2 أكتوبر 2026.
- تسجيل الحوسبة السحابية. هيئة الاتصالات والفضاء والتقنية. تاريخ الاطلاع: 2 أكتوبر 2026.
- تسجيل الحوسبة السحابية. البوابة الوطنية (my.gov.sa)، خدمة تقدمها هيئة الاتصالات والفضاء والتقنية. تاريخ الاطلاع: 2 أكتوبر 2026.
