الامتثال
ضوابط الأمن السيبراني للقطاع الخاص من الهيئة الوطنية للأمن السيبراني: استعد لـ NCNICC-1:2025
ضوابط الأمن السيبراني للقطاع الخاص الصادرة عن الهيئة الوطنية للأمن السيبراني (NCA) والمعروفة بـ NCNICC-1:2025 هي أول مجموعة ضوابط وطنية للشركات الخاصة غير المصنّفة ضمن البنى التحتية الحساسة. وتساعد ويفز تيليكوم (Waves Telecom) الشركات السعودية المتوسطة والكبيرة على تحديد فجواتها ومعالجتها قبل أن تُخطرها الهيئة.
- 65 ضابطاً للمنشآت الكبيرة و26 للصغيرة والمتوسطة
- 10 سنوات في الأمن السيبراني
- شريك ذهبي لـ Sophos وFortinet
10 سنواتفي الأمن السيبراني
150+شركة اجتازت أرامكو CCC
شريك ذهبيSophos و Fortinet
لماذا تمتد ضوابط الهيئة الوطنية للأمن السيبراني الآن إلى القطاع الخاص؟
حتى وقت قريب، كانت ضوابط الهيئة تنطبق أساساً على الجهات الحكومية والشركات المملوكة للدولة ومشغّلي البنى التحتية الحساسة، ولم تكن معظم الشركات الخاصة تلتزم بها إلا من خلال عقد مع أحد العملاء. لكن هذا يتغيّر؛ فقد اعتمدت الهيئة NCNICC-1:2025، وهي ضوابط الأمن السيبراني لجهات القطاع الخاص غير المصنّفة ضمن البنى التحتية الوطنية الحساسة.
وتتدرج الضوابط الجديدة بحسب حجم الشركة: فإذا كان لدى شركتك أكثر من 250 موظفاً بدوام كامل أو تجاوزت إيراداتها 200 مليون ريال، فأنت ضمن فئة المنشآت الكبيرة. ويقع كثير من المقاولين والموزعين والعيادات والمصنّعين في المنطقة الشرقية ضمن إحدى الفئتين.
لا يوجد حتى الآن موعد نهائي مؤكد أو جدول عقوبات. وهذا هو الوقت المناسب للاستعداد، ما دام بإمكانك تخطيط العمل والميزانية بدلاً من الاستعجال.
ما الذي تتطلبه NCNICC-1:2025؟
وفقاً لـ Baker McKenzie، تخضع المنشآت الكبيرة لـ 3 مكونات أساسية و22 مكوناً فرعياً و65 ضابطاً أساسياً. أما المنشآت الصغيرة والمتوسطة، التي لديها من 6 إلى 249 موظفاً بدوام كامل أو إيرادات من 3 ملايين إلى 200 مليون ريال، فتخضع لـ 13 مكوناً فرعياً و26 ضابطاً أساسياً، وبعض ضوابطها موصى بها لا إلزامية.
وتنطبق الضوابط على الجهات "التي تُخطرها الهيئة". وحتى أواخر يوليو 2026، لم يُعلَن رسمياً عن أي إخطارات فردية. وتنصح Baker McKenzie الشركات التي تستوفي الحدود بوضوح بالبدء في تحديد النطاق دون انتظار إخطار.
ويسرد ملخص استشاري للضوابط البنود العملية التي يسألنا عنها العملاء، ومنها: وحدة للأمن السيبراني مستقلة عن تقنية المعلومات، وMFA للوصول عن بُعد، وإدارة الصلاحيات المميزة، وتوثيق نطاق البريد الإلكتروني على منصة "حصين" التابعة للهيئة مع إعداد SPF وDKIM وDMARC. كما يُشترط اختبار استعادة النسخ الاحتياطية وإبلاغ الهيئة بالحوادث. ويجب على المنشآت الكبيرة الاستعانة بمركز عمليات أمنية مُدار (SOC) مرخّص من الهيئة، ويُوصى به للمنشآت الصغيرة والمتوسطة.
المنشآت الكبيرة: 65 ضابطاً أساسياً. الصغيرة والمتوسطة: 26. لم يُؤكَّد بعد أي موعد نهائي أو عقوبات، لذا فالآن هو وقت الاستعداد.
كيف تجهّزك Waves
الحجم والنطاق
نحدد الفئة التي تنتمي إليها بناءً على عدد موظفيك وإيراداتك، والأنظمة المشمولة بالنطاق.
تحليل الفجوات
نراجع وضعك الحالي مقابل ضوابط فئتك ونقدّم لك قائمة فجوات مرتّبة حسب الأولوية.
إصلاحات تقنية سريعة
نبدأ بسدّ الفجوات الشائعة: MFA، والصلاحيات المميزة، ومصادقة البريد الإلكتروني، واختبار النسخ الاحتياطي، والتحديثات الأمنية.
السياسات والأدوار
نساعدك على توثيق السياسات، وتحديد وظيفة الأمن السيبراني، ووضع خطوات الإبلاغ عن الحوادث.
المراقبة عبر الشركاء
لا تدير Waves مركز عمليات أمنية (SOC) خاصاً بها. وحيث تحتاج إلى SOC مُدار ومرخّص من الهيئة، نساعدك على اختياره والانضمام إليه عبر شركائنا.
إبقاء الأدلة محدّثة
نحافظ على تحديث أدلتك وإعداداتك، لتكون جاهزاً عند وصول إخطار أو تدقيق من أحد العملاء.
ضوابط نساعدك على استيفائها
MFA والصلاحيات المميزة
تسجيل دخول متعدد العوامل للوصول عن بُعد وحسابات المسؤولين، باستخدام أدوات Microsoft أو Fortinet أو Sophos التي قد تكون لديك بالفعل.
حماية نطاق البريد الإلكتروني
إعداد SPF وDKIM وDMARC ليمكن توثيق نطاقك على منصة "حصين" التابعة للهيئة.
اختبار النسخ الاحتياطي والاستعادة
نسخ احتياطية يمكنك إثبات فعاليتها، مع اختبارات استعادة مجدولة وسجلات للمدققين.
جدار الحماية والأجهزة الطرفية
جدران حماية Sophos وFortinet وحماية الأجهزة الطرفية، مهيّأة ومحافَظ على سريان تراخيصها.
الجاهزية للحوادث
خطة مكتوبة للاستجابة للحوادث وخطوات واضحة لإبلاغ الهيئة بها.
التدريب التوعوي
اختبارات تصيّد وتدريب عبر KnowBe4 ليتمكن الموظفون من اكتشاف الهجمات التي صُممت الضوابط لمنعها.
العلامات التجارية والشركاء
SophosFortinetMicrosoftKnowBe4CiscoDellHPE
الأسئلة الشائعة
هل تنطبق NCNICC-1:2025 على شركتي؟
تستهدف الضوابط الشركات الخاصة غير المصنّفة ضمن البنى التحتية الوطنية الحساسة والتي تستوفي حدود الحجم، وتنطبق على الجهات التي تُخطرها الهيئة. وإذا كان لديك 6 موظفين أو أكثر أو إيرادات بقيمة 3 ملايين ريال أو أكثر، فمن المفيد التحقق من فئتك الآن.
هل يوجد موعد نهائي للامتثال؟
لم يُنشر أي تاريخ نفاذ أو موعد نهائي أو جدول عقوبات في المصادر التي نتابعها، لذا نتعامل مع الأمر بوصفه استعداداً. والشركات التي تبدأ مبكراً يمكنها توزيع التكلفة وتجنّب الاستعجال لاحقاً.
ما الفرق بين فئة المنشآت الكبيرة وفئة الصغيرة والمتوسطة؟
المنشآت الكبيرة لديها أكثر من 250 موظفاً بدوام كامل أو إيرادات تتجاوز 200 مليون ريال، وتخضع لـ 65 ضابطاً أساسياً. أما الصغيرة والمتوسطة فلديها من 6 إلى 249 موظفاً أو إيرادات من 3 ملايين إلى 200 مليون ريال، وتخضع لـ 26 ضابطاً أساسياً.
هل نحتاج إلى مركز عمليات أمنية مُدار (SOC)؟
يذكر ملخص استشاري للضوابط أن SOC المُدار والمرخّص من الهيئة إلزامي للمنشآت الكبيرة وموصى به للصغيرة والمتوسطة. ولا تدير Waves مركزاً مرخّصاً بنفسها، بل نساعدك على اختيار مزوّد مرخّص والانضمام إليه عبر شركائنا.
ما الفرق بينها وبين الضوابط الأساسية للأمن السيبراني (ECC) من الهيئة؟
تُلزم ECC-2:2024 الجهات الحكومية والشركات المملوكة للدولة ومشغّلي البنى التحتية الحساسة، أما NCNICC-1:2025 فهي مجموعة ضوابط الهيئة لبقية الشركات الخاصة. وإذا كنت تورّد لعملاء ملزمين بـ ECC، فقد تكون مستوفياً لبعض هذه الضوابط بالفعل.
لدينا شهادة أرامكو CCC بالفعل، فهل يفيدنا ذلك؟
نعم. كثير من ضوابط CCC، مثل MFA والنسخ الاحتياطي وحماية جدار الحماية، تتقاطع مع NCNICC. ويمكننا مطابقة ما لديك بالفعل وتوضيح الفجوات المتبقية.
ابدأ مراجعة جاهزيتك لضوابط الهيئة
أخبرنا بحجم شركتك ووضعك الحالي، وسنوضح لك الفئة التي تنتمي إليها وما يجب إصلاحه أولاً.
- 📞 +966 58 236 5619
- 💬 +966 58 236 5619
- ✉️ info@wavestelecom.net
- 📍 3266 الظهران – حي العقربية، الخبر 34446
