كيف تمتثل لضوابط الأمن السيبراني NCNICC خطوة بخطوة؟ (دليل عملي للفئة ب)
بعد أن عرفت أن ضوابط NCNICC-1:2025 تنطبق على منشأتك، يبقى السؤال العملي: من أين تبدأ؟ الامتثال ليس قفزة واحدة، بل مسار مرتّب يمكن لأي منشأة صغيرة أو متوسطة أن تسير فيه بثقة. هذه الصفحة تعطيك خطة من ست خطوات: كيف تبدأ، وبأي ترتيب، وكيف تثبت ما طبّقته.
لماذا الآن؟ منذ 30 أكتوبر 2026 أصبح لعدم الامتثال لضوابط NCNICC غرامات منشورة في جدول مخالفات الهيئة الوطنية للأمن السيبراني، تبدأ من 30 ألف ريال للمنشأة الصغيرة (6 إلى 49 موظفاً) ومن 200 ألف ريال للمتوسطة (50 إلى 249 موظفاً). والخبر الجيد أن الطريق إلى الامتثال واضح.
الخطوة الأولى: تأكّد من فئتك
إن كان لديك من 6 إلى 249 موظفاً (أو إيرادات سنوية بين 3 و200 مليون ريال) فأنت على الأرجح من الفئة (ب)، والمطلوب منك 26 ضابطاً أساسياً ملزماً عبر 13 مجالاً، كلها ضمن مكوّن «تعزيز الأمن السيبراني». إن لم تكن متأكداً، ابدأ من: هل تنطبق عليك ضوابط NCNICC؟
الخطوة الثانية: ابدأ بالسياسات
في كل مجال من المجالات الـ13، أول ضابط ملزم هو تحديد متطلبات الأمن السيبراني للمجال وتوثيقها واعتمادها، أي سياسة مكتوبة ومعتمدة من صاحب الصلاحية. والضابط الثاني هو تطبيقها. فالسياسات هي الأساس الذي يُبنى عليه كل ما بعدها: المطلوب 13 سياسة، واحدة لكل مجال.
السياسة الجيدة لمنشأة صغيرة أو متوسطة قصيرة وواضحة: الغرض والنطاق، ومن المسؤول، وما المطلوب في كل بند من بنود الضابط، وكيف تُراجع. واعتمادها من صاحب الصلاحية جزء من المتطلب، لا إجراء شكلي.
الخطوة الثالثة: قِس وضعك الحالي
مع السياسات في يدك، اعرف أين تقف من تطبيقها: ما الذي تطبّقه منشأتك فعلاً، وأين الفجوات. هذا يوفّر عليك الجهد ويوجّهك إلى ما يحتاج عملاً حقيقياً. التقييم المجاني (8 دقائق) يعطيك هذه الصورة فوراً، بتقرير يوضّح نقطة انطلاقك.
الخطوة الرابعة: طبّق، وابدأ بالأساسيات عالية الأثر
ليست كل الضوابط متساوية في الأثر أو الجهد. هذه أساسيات بسيطة نسبياً لكنها تغلق أكبر قدر من المخاطر، وكلها من الضوابط الملزمة:
- التحقق متعدد العناصر (MFA) على الدخول عن بُعد (البريد والتطبيقات الخارجية): من أعلى الإجراءات أثراً وأقلها كلفة.
- النسخ الاحتياطية المنتظمة لأنظمتك الحسّاسة، مع فحص دوري للتأكد من إمكانية الاستعادة.
- تحديث الأنظمة والبرمجيات بانتظام (إدارة الثغرات) لإغلاق الأبواب المعروفة أمام المهاجمين.
- توثيق نطاق بريدك بـ SPF وDKIM وDMARC عبر منصة حصين، لحماية مراسلاتك من الانتحال.
هذه وحدها ترفع مستوى حمايتك بشكل ملموس خلال أيام، لا أشهر.
الخطوة الخامسة: أكمل تطبيق بقية المجالات
بعد الأساسيات، أكمل بقية المجالات الـ13 بحسب واقع منشأتك:
- اعرف ما تملك: جرد دقيق ومحدّث لأجهزتك وأنظمتك ومعلوماتك (إدارة الأصول)، فأنت لا تحمي ما لا تعرفه.
- اضبط من يصل إلى ماذا: مبدأ الحد الأدنى من الصلاحيات ومراجعتها دورياً (إدارة هويات الدخول والصلاحيات).
- حصّن أجهزتك وشبكتك: حماية من البرمجيات الضارة، وتغيير الإعدادات الافتراضية، وجدران الحماية وتأمين الشبكات اللاسلكية (حماية الأنظمة وإدارة أمن الشبكات).
- لا تنسَ الأجهزة المحمولة: الحواسيب المحمولة والهواتف، وضبط استخدام الأجهزة الشخصية إن سُمح بها (أمن الأجهزة المحمولة).
- احمِ بياناتك: التعامل الآمن معها، والإتلاف الآمن، والتشفير أثناء التخزين والنقل (حماية البيانات والمعلومات والتشفير).
- راقب واستجب: فعّل السجلات على أصولك الحسّاسة وراقبها، وحدّد كيف تتعامل مع الحوادث وتبلّغ عنها (سجلات الأحداث وإدارة الحوادث).
- أمّن المكان: تحكّم في الدخول المادي إلى غرف الأجهزة والمعدات الحساسة (الأمن المادي).
القائمة الكاملة للمجالات الـ13 وضوابطها: قائمة ضوابط الفئة (ب)
الخطوة السادسة: احتفظ بالأدلة، وراجِع دورياً
السياسة تثبت أنك حدّدت المتطلب، والدليل يثبت أنك طبّقته: إعدادات، وسجلات، ونتائج فحص الاستعادة، ومحاضر مراجعة الصلاحيات. احتفظ بها مرتّبة مع سياساتها؛ فهي ما تحتاجه إن طُلب منك إثبات التزامك.
والأمن السيبراني ممارسة مستمرة لا مشروع ينتهي. راجع سياساتك ووضعك على فترات منتظمة، وحدّثها مع تغيّر أنظمتك ونموّ منشأتك.
وبعد الملزم؟ يوصي الإطار الفئة (ب)، دون إلزام، بالحوكمة (كإنشاء وحدة للأمن السيبراني)، وبرنامج توعية للموظفين، وأمن الأطراف الخارجية والحوسبة السحابية. وننصح بالتوعية تحديداً بعد الأساسيات، فهي من أعلى الخطوات أثراً في المنشآت الصغيرة.
ابدأ بالخطوة الأولى الآن، مجاناً
أفضل طريقة لتبدأ مسارك بثقة أن تعرف نقطة انطلاقك. التقييم المجاني (8 دقائق) يأخذك عبر ضوابط الفئة (ب) ويصدر لك تقريراً فورياً يوضّح أين تقف وأين تبدأ، دون حاجة لخبرة تقنية.
أسئلة شائعة
من أين أبدأ في الامتثال لضوابط NCNICC؟
ابدأ بمعرفة فئتك، ثم بالسياسات: 13 سياسة موثّقة ومعتمدة، واحدة لكل مجال. ثم قِس وضعك من تطبيقها، وطبّق الأساسيات عالية الأثر أولاً: التحقق متعدد العناصر، والنسخ الاحتياطية، وتحديث الأنظمة، وتوثيق نطاق البريد.
كم يستغرق تطبيق ضوابط الفئة (ب)؟
يعتمد على وضعك الحالي. كثير من الأساسيات يمكن تطبيقه خلال أيام، بينما تحتاج بقية المجالات إلى خطة متدرّجة. والبدء بقياس وضعك يختصر الطريق.
هل أحتاج فريقاً تقنياً متخصصاً؟
لا للبدء. يمكنك معرفة وضعك وتحديد أولوياتك بنفسك عبر التقييم، ثم الاستعانة بمختص لما يتطلّب ذلك من المجالات.
المصدر: وثيقة الهيئة الوطنية للأمن السيبراني NCNICC-1:2025 (تصنيف: عام)، وجدول تصنيف مخالفات الأمن السيبراني وما يقابلها من العقوبات (أم القرى، 30 أكتوبر 2026). ترتيب الأولويات في هذه الصفحة إرشاد عملي، والحالة الدقيقة لكل ضابط على منشأتك يوضّحها التقييم.