اجتز تفتيش المصرف المركزي القادم بمفاجآت أقل. دليل واضح لما يتوقعه مصرف البحرين المركزي في الحوكمة والضوابط واختبارات الاختراق والإبلاغ عن الحوادث، وكيف تسد الفجوات.
متطلبات الأمن السيبراني لمصرف البحرين المركزي هي قواعد الأمن السيبراني الواردة في دليل أنظمة المصرف للبنوك وشركات التأمين وشركات الاستثمار ومزوّدي خدمات الدفع وغيرهم من المرخَّص لهم. ويجب أن يتبع الإطار إطار الأمن السيبراني NIST. وبالنسبة للبنوك، يعتمد مجلس الإدارة السياسة، ويقود مسؤول أول مؤهل لأمن المعلومات وظيفة مستقلة لمخاطر الأمن السيبراني، ويجب على المرخَّص له تشغيل ضوابط حماية الأجهزة الطرفية والبريد الإلكتروني والصلاحيات المميزة ومنع تسرب البيانات، وتقييمات الثغرات، واختبارات الاختراق مرتين في السنة على الأقل، ومركز عمليات أمنية مع نظام SIEM، والتأمين ضد المخاطر السيبرانية. ويجب إبلاغ المصرف عن الحوادث الجسيمة خلال ساعة واحدة وفق قواعد المجلد الثاني. وتساعد إكس فور أرابيا المرخَّص لهم ومورديهم في البحرين ودول الخليج على سد هذه الفجوات.
يبحث الناس عنه بعدة أسماء: قواعد الأمن السيبراني للمصرف المركزي، أو وحدة الأمن السيبراني في دليل الأنظمة، أو إطار NIST للمصرف المركزي. وجميعها تشير إلى أربعة عناصر أساسية واحدة.
ينشر مصرف البحرين المركزي قواعده المُلزمة في دليل أنظمة مقسّم إلى مجلدات بحسب نوع الترخيص، من البنوك التقليدية والإسلامية إلى التأمين وأعمال الاستثمار والمرخَّص لهم المتخصصين وأسواق رأس المال.
يحتوي كل مجلد على قسم لإدارة مخاطر الأمن السيبراني. فبالنسبة للبنوك الإسلامية هو القسم OM-5.5 في وحدة إدارة المخاطر التشغيلية، ويغطي الحوكمة والضوابط والاختبار والحوادث والتأمين والتدريب.
يشترط دليل الأنظمة أن يتبع إطار المخاطر السيبرانية إطار الأمن السيبراني NIST ووظائفه: التحديد والحماية والكشف والاستجابة والتعافي.
يلخص ملحق إرشادات ضوابط الأمن السيبراني هذا الإطار، ويمنح المرخَّص لهم قائمة مرجعية يبنون عليها استراتيجيتهم وسياستهم.
تشمل القواعد جميع المرخَّص لهم، لكنها تقع في موضع مختلف لكل نوع ترخيص، وتختلف بعض تفاصيلها. ابدأ بتحديد المجلد الخاص بك.
| مجلد دليل الأنظمة | من يشمل | موضع قواعد الأمن السيبراني |
|---|---|---|
| المجلد الأول | البنوك التقليدية | وحدة إدارة المخاطر التشغيلية |
| المجلد الثاني | البنوك الإسلامية | وحدة إدارة المخاطر التشغيلية، القسم OM-5.5 |
| المجلد الثالث | المرخَّص لهم في قطاع التأمين | وحدة إدارة المخاطر، فصل الأمن السيبراني |
| المجلد الرابع | شركات أعمال الاستثمار | وحدة إدارة المخاطر، فصل الأمن السيبراني |
| المجلد الخامس | المرخَّص لهم المتخصصون مثل مزوّدي خدمات الدفع والخدمات المصرفية المفتوحة | يختلف بحسب فئة الترخيص |
| المجلد السادس | أسواق رأس المال، بما فيها المرخَّص لهم في الأصول المشفرة | يختلف بحسب الوحدة، مع إرشادات لضوابط الأمن السيبراني |
أرقام القواعد والمواعيد الواردة في هذا الدليل مقتبسة من وحدة المجلد الثاني الخاصة بالبنوك الإسلامية، وهي تماثل القواعد المصرفية في المجلد الأول. وتأكد دائمًا من النص الساري في المجلد الخاص بك.
يتعامل مصرف البحرين المركزي مع الأمن السيبراني على أنه مسؤولية مجلس الإدارة وليس مهمة تقنية فقط. ووفق القواعد المصرفية:
تسرد القواعد المصرفية إجراءات وقائية يجب أن تكون مطبقة كحد أدنى. وهنا تجد معظم تقييمات الفجوات عملًا يجب إنجازه.
الاختبار هو المتطلب صاحب الجدول الزمني الأوضح، والأكثر خضوعًا لتحقق المصرف المباشر لأن التقارير تُرسل إليه.
ولمعرفة أنواع الاختبارات وكيف تختار الجهة المنفذة، اقرأ دليلنا حول اختبار الاختراق وتقييم الثغرات في البحرين.
مهلة الإبلاغ قصيرة، لذلك يجب أن يكون الكشف والتصعيد جاهزين قبل وقوع أي حادث. ووفق قواعد المجلد الثاني:
نحن نبني البرمجيات وندير البنية التحتية ونؤمّن الشبكات، لذلك نستطيع إصلاح الفجوات التي تكشفها مراجعة الامتثال بدلًا من الاكتفاء بسردها. نقرأ دليل الأنظمة معك، ونحوّل كل متطلب إلى مهمة لها مسؤول، ونسلّم الضوابط والوثائق والأدلة التي يحتاجها فريق الامتثال لديك.
هذا هو الترتيب الذي نتبعه مع المرخَّص لهم ومورديهم، وهو يحوّل وحدة طويلة إلى خطة يمكنك متابعتها.
يقع الالتزام على المرخَّص لهم من المصرف، لكن العمل يمتد إلى كل من يبني أنظمتهم أو يديرها.
القواعد الأكثر تفصيلًا، من تقارير مجلس الإدارة والمسؤول الأول لأمن المعلومات إلى اختبارات الاختراق نصف السنوية ومركز العمليات الأمنية والتأمين السيبراني والإبلاغ عن الحوادث خلال ساعة.
تتضمن مجلداتها فصولًا خاصة بالأمن السيبراني في وحدة إدارة المخاطر، مع التزامات للاختبار والإبلاغ تناسب طبيعة أعمالها.
يجب على مزوّدي خدمات الدفع والخدمات المصرفية المفتوحة اختبار أنظمتهم وحماية بيانات العملاء وتأمين واجهات البرمجة التي تربطهم بالبنوك.
لا تحمل شركات البرمجيات ومزوّدو الاستضافة والإسناد الخارجي ترخيصًا من المصرف، لكن اتصالاتهم تُقيَّم وتُراقب، وستطلب عقودهم منهم الالتزام بالمعيار نفسه.
إذا كنت تبيع برمجيات أو تطبيقات أو خدمات تقنية لبنك أو شركة دفع في البحرين، فتوقع هذه النقاط في المناقصة أو العقد أو المراجعة الأمنية:
وبشأن موقع الاستضافة وقواعد السحابة، اطّلع على دليلنا حول إقامة البيانات في البحرين.
لا يوجد سعر ثابت صادق، لأن شركة دفع صغيرة وبنكًا كبيرًا يبدآن من نقطتين مختلفتين تمامًا. وهذه بنود التكلفة التي ينبغي مقارنتها في أي عرض:
وللحماية والمراقبة المُدارة، اطّلع على خدمات الأمن السيبراني في البحرين.
نخدم البحرين والخليج — بما في ذلك المنامة والمحرق وسترة — منذ 1995.
ابدأ من مواعيد الإبلاغ ثم عد إلى الخلف. فالإبلاغ للمصرف خلال ساعة واحدة لا يكون ممكنًا إلا إذا استطاع مركز العمليات الأمنية لديك اكتشاف الحادث، وحدد دليل الاستجابة من يتولى الاتصال، وكان نموذج القسم (أ) معبأً مسبقًا بكل شيء عدا التفاصيل. تدرّب عليه مرة واحدة بتمرين مكتبي قبل أن تحتاجه، وأبقِ حساباتك ذات الصلاحيات المميزة تحت السيطرة باستخدام إدارة الهوية والوصول.
أخبرنا بنوع ترخيصك وأنظمتك الرئيسية وموعدك النهائي القادم. وسنحدد وضعك مقارنةً بوحدة الأمن السيبراني للمصرف، ونسد الفجوات معك، ونرسل لك خطة واضحة وعرض سعر.
هي قواعد الأمن السيبراني الواردة في دليل أنظمة مصرف البحرين المركزي، وتنطبق على البنوك وشركات التأمين وشركات الاستثمار ومزوّدي خدمات الدفع وغيرهم من المرخَّص لهم من المصرف. وتشمل إشراف مجلس الإدارة، وتعيين مسؤول أول لأمن المعلومات ووظيفة مستقلة لمخاطر الأمن السيبراني، واستراتيجية وسياسة مكتوبتين، وضوابط تقنية، وتقييمات للثغرات، واختبارات اختراق، ومركز عمليات أمنية مع نظام لإدارة السجلات والأحداث الأمنية، والإبلاغ عن الحوادث للمصرف، والتعافي، والتأمين ضد المخاطر السيبرانية، وتدريب الموظفين.
هي القسم الخاص بإدارة مخاطر الأمن السيبراني في كل مجلد من مجلدات دليل الأنظمة. فبالنسبة للبنوك الإسلامية هو القسم OM-5.5 من وحدة إدارة المخاطر التشغيلية في المجلد الثاني. أما المجلدات الأخرى فتضع القواعد المماثلة في وحداتها الخاصة بالمخاطر التشغيلية أو إدارة المخاطر، لذلك راجع المجلد الخاص بترخيصك.
نعم. يشترط دليل الأنظمة أن يُبنى إطار إدارة مخاطر الأمن السيبراني وفق إطار الأمن السيبراني الصادر عن المعهد الوطني الأمريكي للمعايير والتقنية NIST، والملخَّص في ملحق إرشادات ضوابط الأمن السيبراني. ووظائفه الأساسية هي التحديد والحماية والكشف والاستجابة والتعافي.
مرتين في السنة على الأقل وفق القواعد المصرفية. ويجب أن تتبع الاختبارات منهجية معترفًا بها مثل NIST أو OWASP، وأن تشمل اختبار الصندوق الرمادي والصندوق الأسود، وأن يُجريها مختصون معتمدون، وأن يقوم بها مختبرون مستقلون داخليون وخارجيون يُستبدلون كل سنتين على الأقل. ويُرسل التقرير إلى المصرف خلال شهرين من نهاية الشهر الذي أُجري فيه الاختبار.
وفق قواعد المجلد الثاني الخاصة بالبنوك الإسلامية، يجب إبلاغ المصرف عن أي حادث يمس معلومات العملاء أو يعطّل الخدمات الحيوية خلال ساعة واحدة، ثم إرسال القسم (أ) من تقرير الحادث خلال ساعتين، والقسم (ب) مع التحليل الكامل للسبب الجذري خلال 10 أيام تقويمية، مع تحديثات أسبوعية حتى تتم معالجة الحادث بالكامل. وتحقق من المدد الدقيقة في المجلد الخاص بترخيصك.
نعم. يجب على مجلس الإدارة التأكد من أن وظيفة مخاطر الأمن السيبراني يرأسها مسؤول أول لأمن المعلومات مؤهل بالشكل المناسب ولديه الصلاحية لتنفيذ الاستراتيجية. ويجب أن تكون هذه الوظيفة مستقلة عن إدارة تقنية المعلومات وأن ترفع تقاريرها إلى وظيفة إدارة المخاطر أو ما يعادلها.
نعم، وفق القواعد المصرفية. إذ يجب على المرخَّص لهم تطبيق نظام لإدارة المعلومات والأحداث الأمنية SIEM، وإنشاء مركز عمليات أمنية SOC يناسب احتياجاتهم. كما تنص القواعد على الاحتفاظ بسجلات هذا النظام لمدة خمس سنوات أو أكثر لدعم التحقيقات.
تُلزم القواعد المرخَّص لهم من المصرف، بمن فيهم مزوّدو خدمات الدفع والخدمات المصرفية المفتوحة المرخَّصون. أما موردو التقنية غير المرخَّصين فيتأثرون بشكل غير مباشر، لأن على المرخَّص لهم إدارة مخاطر الأطراف الثالثة، وإدراج اتصالات الموردين وواجهات البرمجة في تقييمات الثغرات، ومراقبة الموردين. وعمليًا سيُختبر عقدك وبرنامجك وفق هذه القواعد.
تشترط القواعد المصرفية على المرخَّص لهم السعي للحصول على تغطية تأمينية ضد المخاطر السيبرانية من شركة تأمين مناسبة بعد تقييم قائم على المخاطر لأمنهم السيبراني. ويمكن أن تشمل التغطية تكاليف إدارة الأزمات ومصاريف المطالبات وخسارة الإيرادات الناتجة عن الهجوم، بحسب نتيجة التقييم.
هما منفصلان وينطبق كلاهما. فقانون حماية البيانات الشخصية يغطي طريقة تعامل أي شركة مع البيانات الشخصية، بينما تضيف قواعد المصرف التزامات قطاعية في الأمن السيبراني والاختبار والإبلاغ على المرخَّص لهم. والمرخَّص له الذي يلتزم بأحدهما ما زال عليه التحقق من الآخر.
لا يوجد سعر ثابت. فالتكلفة تعتمد على حجم أنظمتك، والضوابط الموجودة لديك، وهل تدير مركز عمليات أمنية خاصًا بك أم تستخدم خدمة مُدارة، وعدد التطبيقات التي تحتاج إلى اختبار مرتين في السنة، وحجم التوثيق والتدريب الناقص. ونبدأ بتقييم للفجوات حتى يتضح كل بند من بنود التكلفة قبل أن تلتزم.
راسل إكس فور أرابيا على واتساب على الرقم 97313335333+ وأخبرنا بنوع ترخيصك وأنظمتك الرئيسية وموعدك القادم مع مصرف البحرين المركزي. وسنراجع وضعك مقارنةً بوحدة الأمن السيبراني ونرسل لك خطة واضحة وعرض سعر.