اختبار الاختراق وفق متطلبات البنك المركزي السعودي

ما يطلبه البنك المركزي

يحدد البنك المركزي متطلبات اختبار الاختراق في وثيقتين: إطار الأمن السيبراني (CSF)، الذي يسمّيه في نسخته العربية «الدليل التنظيمي لأمن المعلومات في القطاع المالي»، والمتطلبات الأساسية للمرونة السيبرانية (CRFR).

• مراجعة الأمن السيبرانيCSF 3.2.4

  «يجب أن تخضع الخدمات الموجهة للعملاء والمقدمة عبر الإنترنت للمراجعة السنوية واختبارات الاختراق.» ويطلب البند نفسه توثيق نتائج المراجعة والمشكلات المكتشفة والإجراءات الموصى بها، ورفع النتائج إلى مالك الأعمال، ومتابعتها حتى تُعالَج المشكلات وتُعالَج المخاطر الحرجة بفعالية.

• إدارة التغييرCSF 3.3.7

  يشمل الاختبار الأمني للتغييرات اختبارَ الاختراق متى انطبق.

• اختبار الاختراقCRFR 3.2.6

  «يجب على المؤسسة المالية إجراء اختبار الاختراق مرتين في السنة كحد أدنى أو بعد حدوث تغيير كبير/حساس.» ويضيف البند 3.2.5 تقييماً دورياً وشاملاً للثغرات الأمنية في طبقتي التطبيقات والبنية التحتية.

ويؤكد البنك المركزي أن المتطلبات الأساسية للمرونة السيبرانية لا تحل محل أدلته التنظيمية الأخرى، فبعد الترخيص يلزمكم أيضاً إطار الأمن السيبراني وسائر متطلباته.

على من تنطبق؟

• إطار الأمن السيبراني: يُدرجه كتيب القواعد لدى البنك المركزي ضمن متطلبات القطاع المصرفي وقطاع التمويل ونظم المدفوعات ومقدمي خدمات المدفوعات وشركات المعلومات الائتمانية والبيئة التجريبية التشريعية.
• المتطلبات الأساسية للمرونة السيبرانية: المؤسسات المالية التي تسعى إلى الحصول على ترخيص من البنك المركزي أو تنوي التأهل لبيئته التجريبية التشريعية، في قطاعات منها التمويل والمدفوعات والصرافة.

وقد تصل إليكم هذه المتطلبات عبر العقود أيضاً. فالبند 3.4.1 يطلب من المؤسسات الخاضعة لرقابة البنك المركزي أن تحدد متطلبات الأمن السيبراني في عقودها مع الموردين، وأن تختبرها بحسب المخاطر، وأن تحتفظ بحق إجراء مراجعات وتدقيقات دورية للأمن السيبراني. فإن كنتم تبيعون برمجيات أو خدمات لبنك أو لشركة مدفوعات، فقد يُطلب منكم تقرير اختبار اختراق حديث.

كيف نحدد نطاق اختباركم

يتحدث الإطار عن الخدمات الموجهة للعملاء والمقدمة عبر الإنترنت، وقد يشمل ذلك عملياً:

• بوابات العملاء والمواقع الإلكترونية

  المصادقة، وضوابط الوصول بين العملاء، وإدارة الجلسات، ومنطق الأعمال كالتحويلات والمدفوعات والحدود.

  خدمتنا: اختبار اختراق تطبيقات الويب

• تطبيقات الجوال المصرفية وتطبيقات المحافظ والمدفوعات

  تطبيقات iOS و Android وواجهات برمجة التطبيقات التي تعتمد عليها.

  خدمتنا: اختبار اختراق تطبيقات الجوال

• واجهات برمجة التطبيقات، ومنها ما يستدعيه شركاؤكم

  ثغرات الوصول إلى بيانات المستخدمين الآخرين، والتعديل غير المصرّح به للحقول، وغياب تقييد معدل الطلبات.

  خدمتنا: تقييم أمن واجهات برمجة التطبيقات والبيئات السحابية

• البنية التحتية المكشوفة على الإنترنت

  الخوادم والخدمات المكشوفة والمحيط الخارجي.

  خدمتنا: اختبار الشبكات والبنية التحتية

نتفق معكم على الخدمات الداخلة في النطاق، وندرجها في وثيقة نطاق العمل وخطاب التفويض، ولا نختبر إلا ما أُدرج فيهما. أما الأنظمة التي تستضيفها أطراف أخرى، كالمنصات السحابية وبوابات الدفع، فلا نختبرها إلا بما تسمح به سياساتها أو بإذن منها.

ما يستلمه فريق الامتثال لديكم

تتوافق مخرجاتنا مع ما يطلبه البند 3.2.4:

• توثيق النتائج والمشكلات والإجراءات الموصى بها: تقرير نتائج تقني يتضمن تقييم CVSS والأدلة وخطوات إعادة التنفيذ، وخارطة طريق للمعالجة مرتّبة حسب المخاطر والجهد.
• رفع النتائج إلى مالك الأعمال: ملخص تنفيذي بلغة الأعمال، وجلسة لعرض النتائج على إدارتكم.
• المتابعة حتى تُعالَج المشكلات: جولة واحدة لإعادة اختبار جميع النتائج المؤكدة خلال 90 يوماً دون تكلفة إضافية، ثم خطاب إغلاق يوثّق حالة كل نتيجة.
• الربط بالإطار: ربط كل نتيجة بالمجالات الرئيسة والفرعية التي تمسّها في إطار البنك المركزي، بصيغة يقدّمها فريق الامتثال لديكم دليلاً في أعمال التدقيق.

والمخرجات كلها بالعربية أو الإنجليزية أو باللغتين. ولا نُصدر شهادات امتثال ولا نُجري التقييمات الرسمية للامتثال.

كم مرة ينبغي الاختبار؟

• إطار الأمن السيبراني: مرة في السنة على الأقل للخدمات الموجهة للعملاء والمقدمة عبر الإنترنت، وضمن الاختبار الأمني للتغييرات الكبيرة.
• المتطلبات الأساسية للمرونة السيبرانية: مرتين في السنة على الأقل، وبعد أي تغيير كبير أو حساس.

وإن كنتم تنتقلون من البيئة التجريبية التشريعية إلى الترخيص، فخطّطوا للأمرين معاً، واسألونا عن جدول اختبار يناسب التزاماتكم.

أسئلة شائعة