الامتثال
أرامكو CCC+: استعد للتقييم الميداني
أرامكو CCC+ هي النسخة من شهادة الامتثال للأمن السيبراني التي تقيّم فيها شركة تدقيق معتمدة ضوابطك ميدانياً في موقعك. وهي مطلوبة للموردين المصنّفين ضمن فئة معالج البيانات الحرجة (Critical Data Processor).
- جاهزية ميدانية وفق SACS-210
- أكثر من 150 شركة اجتازت CCC مع Waves
- تقييم تجريبي قبل وصول المدقق
10 سنواتفي الأمن السيبراني
150+شركة اجتازت أرامكو CCC
شريك ذهبيSophos و Fortinet
ما هي أرامكو CCC+ وبماذا تختلف عن CCC؟
تقدّم أرامكو نوعين من الشهادات ضمن برنامج CCC. في شهادة CCC العادية، تُجري تقييماً ذاتياً وتتحقق منه شركة تدقيق معتمدة عن بُعد. أما في أرامكو CCC+، فتُجري شركة التدقيق تقييم الامتثال ميدانياً في موقعك وفق معيار الأمن السيبراني للأطراف الثالثة SACS-210.
في الموقع، لا يكتفي المدقق بقراءة مستنداتك، بل يمكنه الاطلاع على أنظمتك وإعداداتك وسجلاتك وضوابطك المادية كما تعمل فعلياً. فتظهر الفجوات التي قد يخفيها تقرير محكم الصياغة. ولهذا تتطلب الجاهزية لـ CCC+ ضوابط حقيقية تعمل فعلاً، وموظفين قادرين على عرضها.
- CCC: تقييم ذاتي يُتحقَّق منه عن بُعد
- CCC+: تقييم ميداني تُجريه شركة التدقيق
- كلتاهما ساريتان لمدة سنتين
- لا تُصدر أيٌّ منهما إلا عن شركة تدقيق معتمدة من أرامكو
من يحتاج إلى CCC+؟ ماذا تقول صفحة أرامكو
يخصّص جدول التصنيفات لدى أرامكو شهادة CCC+ لموردي فئة معالج البيانات الحرجة، ويعرّفه SACS-210 بأنه طرف ثالث يطوّر بيانات سرية أو يصل إليها أو يعالجها. أما بقية التصنيفات في الجدول، ومنها الاتصال بالشبكة (Network Connectivity)، فمدرجة تحت شهادة CCC العادية.
غير أن قسم الأسئلة الشائعة في صفحة أرامكو نفسها يذكر أن CCC+ مطلوبة للأطراف الثالثة المصنّفة ضمن الاتصال بالشبكة أو معالج البيانات الحرجة. ويعني الاتصال بالشبكة أن بنيتك التحتية ترتبط بشبكة أرامكو، مثلاً عبر خط مؤجَّر أو VPN. ونظراً لهذا الغموض في الصفحة، تأكّد من الجهة المعنية لديك في أرامكو أو عبر TPCybersecurity@aramco.com قبل أن تخطط. وإذا كان لديك ارتباط بالشبكة، فنحن نجهّزك وفق المستوى الميداني في كلتا الحالتين.
تنطبق CCC+ على فئة معالج البيانات الحرجة؛ وتذكر الأسئلة الشائعة لدى أرامكو فئة الاتصال بالشبكة أيضاً، بينما لا يذكرها جدولها.
كيف تجهّزك Waves لزيارة CCC+
تأكيد التصنيف
نراجع عقدك ونموذج التصنيف (Classification Template)، ونساعدك على الحصول على تأكيد كتابي إذا كانت فئة الاتصال بالشبكة تنطبق عليك.
تحليل الفجوات ميدانياً
نزور مكتبك ونتحقق من كل ضابط منطبق من ضوابط SACS-210 بالطريقة التي يتبعها المدقق، لا على الورق فقط.
معالجة الفجوات
ننفّذ الضوابط الناقصة: MFA، وتشفير البيانات، وعزل البيانات السرية، والتسجيل، والكشف على الأجهزة الطرفية، والنسخ الاحتياطي، والإتلاف الآمن.
تجهيز فريقك
نُطلع الأشخاص الذين سيتحدث إليهم المدقق على ما يلزم، ليتمكنوا من عرض الضوابط وشرح الإجراءات بوضوح.
تقييم تجريبي
نُجري تقييماً تدريبياً في موقعك ونعالج أي نقطة لا تصمد أمام الفحص.
الدعم يوم الزيارة
قبل الزيارة تقدّم نموذج التصنيف وخطاب التأكيد، ونحن نساعدك على الاستعداد ثم على الرد على نقاط المتابعة بعد الزيارة.
ضوابط يتحقق منها المدققون عادةً في الموقع
التعامل مع البيانات السرية
عزل بيانات أرامكو منطقياً أو مادياً، والالتزام بقيود موقع تخزين البيانات، وإعادتها أو حذفها بأمان عند انتهاء العمل.
التشفير
حماية البيانات المخزّنة والمنقولة وفق المستوى المتقدم من NCS-1:2020.
الصلاحيات وMFA
تفعيل MFA على الوصول عن بُعد والخدمات السحابية والبريد الإلكتروني والحسابات ذات الصلاحيات المميزة، مع مراجعة الصلاحيات وتقييدها.
التسجيل والمراقبة
تسجيل مركزي، وتسجيل أحداث التدقيق المطلوبة، والاحتفاظ بالسجلات لمدة سنة على الأقل.
الإتلاف الآمن
مسح الأقراص والأجهزة التي احتوت على بيانات الشركة وإتلافها، مع توثيق ذلك في سجلات.
لمن هذه الخدمة؟
لموردي فئة معالج البيانات الحرجة، وللشركات المرتبطة بشبكة أرامكو التي تريد أن تكون جاهزة لمراجعة ميدانية.
العلامات التجارية والشركاء لتطبيق ضوابط CCC+
SophosFortinetMicrosoftBlanccoKnowBe4CiscoDellHPE
الأسئلة الشائعة
هل تحتاج فئة الاتصال بالشبكة إلى CCC+ أم CCC؟
صفحة أرامكو غير متسقة في هذا الشأن؛ فجدول التصنيفات يُدرج الاتصال بالشبكة تحت CCC، بينما تذكر الأسئلة الشائعة أن CCC+ مطلوبة لها. اطلب من الجهة المعنية لديك في أرامكو أو عبر TPCybersecurity@aramco.com تأكيداً كتابياً.
ما المقصود بمعالج البيانات الحرجة (Critical Data Processor)؟
وفق SACS-210، هو طرف ثالث يطوّر بيانات سرية أو يصل إليها أو يعالجها. وإذا كان عقدك يتيح لك الوصول إلى معلومات أرامكو السرية، فتوقّع هذا التصنيف وشهادة CCC+.
من يُجري تقييم CCC+؟
تُجري إحدى شركات التدقيق المعتمدة من أرامكو التقييم الميداني، وتُعدّ التقرير، وتُصدر الشهادة. أما Waves فتجهّزك لذلك، ولا نُصدر الشهادات.
هل اجتياز CCC+ أصعب من CCC؟
الضوابط مأخوذة من المعيار نفسه SACS-210، لكن المدقق يتحقق منها حضورياً، فيسهل اكتشاف نقاط الضعف مثل النسخ الاحتياطية غير المختبرة أو السجلات الناقصة. والتحضير الجيد يجعل الزيارة سلسة.
كم يستغرق التحضير لـ CCC+؟
المدة المعتادة لدينا لشهادة CCC هي 3–5 أسابيع. أما CCC+ فتعتمد على عدد الفجوات في البداية وعلى موعد زيارة شركة التدقيق، لذا نقدّم لك خطة واقعية بعد تحليل الفجوات.
هل شهادة CCC+ سارية لمدة سنتين أيضاً؟
تذكر أرامكو أن الشهادة سارية لمدة سنتين من تاريخ إصدارها ويجب تجديدها قبل انتهائها، وينطبق ذلك على البرنامج بأكمله.
استعد لتقييم CCC+ الميداني
أخبرنا بتصنيفك وطريقة اتصالك بأرامكو، وسنوضح لك ما سيبحث عنه المدقق في الموقع وما يجب إصلاحه أولاً.
- 📞 +966 58 236 5619
- 💬 +966 58 236 5619
- ✉️ info@wavestelecom.net
- 📍 3266 الظهران – حي العقربية، الخبر 34446
