ألزمت الهيئة الوطنية للأمن السيبراني القطاع الخاص بإنشاء وحدة إدارية معنية بالأمن السيبراني ترتبط برئيس الجهة أو من يفوضه، على أن تكون مستقلة عن وحدة تقنية المعلومات.
وقسمت الضوابط التي أصدرتها الهيئة مؤسسات القطاع الخاص إلى الكبيرة والمتوسطة، وتضم الجهات الكبيرة أكثر من 250 موظفًا بدوام كامل، وتلتزم بتوفير 3 مكونات أساسية، و22 مكونا فرعيا، و65 ضابطا أساسيا، فيما تضم الجهات المتوسطة والصغيرة ما يتراوح بين 6 - 249 موظفا بدوام كامل وتلتزم بتوفير مكون أساسي واحد، و13 مكونا فرعيا، و26 ضابطا أساسيا.
ومن الضوابط أن يشغل رئاسة الإدارة المعنية بالأمن السيبراني والوظائف الإشرافية والحساسة موظفون مختصون وذوو كفاءة عالية في المجال. وتهدف الإدارة إلى حماية الجهة من التهديدات السيبرانية، مع التركيز على الجوانب العملية مثل التصيد الإلكتروني وكلمات المرور القوية، وأفضل الممارسات عند استخدام وسائل التواصل الاجتماعي، وآليات الإبلاغ عن الحوادث والسلوكيات المشبوهة، كما ينبغي أن تكون هذه البرامج مخصصة بما يتناسب مع مهام الموظفين وواجباتهم الوظيفية.
ومن الضوابط يجب تحديد متطلبات إدارة هويات الدخول والصلاحيات في الجهة وتوثيقها واعتمادها، وتشمل التحقق من هوية المستخدم عبر آليات مصادقة آمنة تعتمد على اسم المستخدم وكلمة المرور، وتطبيق المصادقة متعددة العوامل لجميع عمليات الدخول بما في ذلك البريد الإلكتروني والتطبيقات الخارجية، كما يجب إدارة تصاريح المستخدمين وصلاحياتهم بما يشمل مبدأ الحاجة إلى المعرفة والاستخدام، ومبدأ الحد الأدنى من الصلاحيات، إضافة إلى إدارة الصلاحيات الحساسة والمميزة.
كشف الرسائل الاحتيالية
على إدارة الأمن السيبراني في الجهة تحديد متطلبات حماية البريد الإلكتروني لتشمل تحليل رسائل البريد الإلكتروني وتصفيتها للكشف عن رسائل التصيد والرسائل الاحتيالية والبريد غير المرغوب فيه باستخدام تقنيات الحماية الحديثة، بما يضمن موثوقية المراسلات الإلكترونية. وتشمل المتطلبات أيضاً توفير الحماية من التهديدات المتقدمة المستمرة والبرمجيات الخبيثة غير المعروفة سابقاً، بما فيها هجمات يوم الصفر، مع إدارة هذه الضوابط بصورة آمنة.
وتتضمن ضوابط أمن الشبكات حماية تصفح الإنترنت عبر تقييد الوصول إلى المواقع الإلكترونية المشبوهة ومواقع مشاركة وتخزين الملفات، وإدارة منافذ وبروتوكولات وخدمات الشبكة بشكل آمن، إضافة إلى استخدام أنظمة كشف ومنع الاختراقات المتقدمة، وتوفير الحماية من هجمات حجب الخدمة الموزعة للحد من آثار المخاطر السيبرانية الناتجة عنها.
The National Cybersecurity Authority has mandated the private sector to establish an administrative unit concerned with cybersecurity that is linked to the head of the entity or their delegate, and it must be independent from the information technology unit.
The regulations issued by the authority categorize private sector institutions into large and medium-sized entities. Large entities employ more than 250 full-time employees and are required to provide 3 core components, 22 sub-components, and 65 essential controls, while medium and small entities employ between 6 to 249 full-time employees and are required to provide one core component, 13 sub-components, and 26 essential controls.
Among the regulations, it is stipulated that the head of the cybersecurity management and supervisory and sensitive positions must be occupied by qualified and highly competent personnel in the field. The management aims to protect the entity from cyber threats, focusing on practical aspects such as phishing, strong passwords, best practices when using social media, and mechanisms for reporting incidents and suspicious behaviors. These programs should also be tailored to fit the tasks and job responsibilities of the employees.
Furthermore, it is required to define, document, and approve the requirements for managing access identities and permissions within the entity, which includes verifying user identity through secure authentication mechanisms based on username and password, applying multi-factor authentication for all access, including email and external applications, and managing user permissions and privileges based on the principles of need-to-know and least privilege, in addition to managing sensitive and privileged permissions.
Detection of Fraudulent Messages
The cybersecurity management within the entity must define email protection requirements to include analyzing and filtering emails to detect phishing messages, fraudulent messages, and spam using modern protection techniques, ensuring the reliability of electronic communications. The requirements also include providing protection against advanced persistent threats and previously unknown malware, including zero-day attacks, while managing these controls securely.
Network security controls include protecting internet browsing by restricting access to suspicious websites and file sharing and storage sites, securely managing network ports, protocols, and services, in addition to using advanced intrusion detection and prevention systems, and providing protection against distributed denial-of-service attacks to mitigate the impacts of the resulting cyber risks.
