مقدمة
تُدرك دولة الكويت أن وجود موقف قوي للأمن السيبراني أمرٌ جوهري لحماية المصالح الوطنية والخدمات العامة والاستقرار الاقتصادي وسلامة المواطنين والمقيمين. وقد أسّس المرسوم الأميري رقم 37 لسنة 2022 المركز الوطني للأمن السيبراني (NCSC) بوصفه الجهة الوطنية المختصة بالأمن السيبراني. وعلى المستوى الاستراتيجي، تتضمن أهداف المركز بناء وتطوير منظومة وطنية فعّالة للأمن السيبراني، وحماية المصالح الحيوية والبنية التحتية الحرجة، وتعزيز القدرات الوطنية للأمن السيبراني، ونشر ثقافة وطنية للأمن السيبراني، وتمكين التعاون والتنسيق وتبادل المعلومات مع أصحاب المصلحة المعنيين محلياً ودولياً.
ولتحقيق هذه الأهداف، أُنيط بالمركز تطوير وإصدار الاستراتيجيات والسياسات والمعايير وآليات التنفيذ الوطنية للأمن السيبراني، ووضع الحوكمة والخطط الوطنية لمعالجة المخاطر والتهديدات السيبرانية، وتنسيق عمليات الأمن السيبراني والاستجابة للحوادث وتقديم الدعم والإرشاد عند الحاجة، وإجراء التقييمات وعمليات التدقيق للتحقق من الامتثال للمتطلبات الصادرة. وتلتزم الجهات بالحفاظ على الأمن السيبراني بما يتسق مع ولاية المركز، وتنفيذ الاستراتيجيات والسياسات والمعايير والضوابط التي يصدرها، وإخطار المركز فوراً بالتهديدات أو الحوادث السيبرانية الفعلية أو المشتبه بها، وتوفير الوثائق والمعلومات والصلاحيات اللازمة لتمكين المركز من الرقابة، والامتثال للمتطلبات السارية في الإطار الوطني لتصنيف البيانات (قرار رقم 1 لسنة 2025).
تضع هذه الوثيقة حداً أساسياً أدنى للأمن السيبراني يَجِب على الجهات تنفيذه بوصفه النظافة السيبرانية الأساسية. ويشكّل هذا الحد الأساسي الملحق (1) للقرار رقم 2 لسنة 2026 بشأن الضوابط الوطنية الأساسية للأمن السيبراني في دولة الكويت.
خصائص هذا الحد الأساسي:
- متوافق مع الأطر الدولية المعترف بها، ولا سيما ضوابط CIS v8.1 – مجموعة التنفيذ الأولى (IG1) وإطار NIST للأمن السيبراني (CSF).
- مرتبط بالإطار الوطني لتصنيف البيانات (قرار رقم 1 لسنة 2025).
- موجّه نحو المخاطر وعملي، ومصمم للجهات ذات الموارد المحدودة في الأمن السيبراني.
- نقطة بداية وليس حالة نهائية؛ إذ يمكن للجهات لاحقاً البناء على هذا الحد الأساسي بضوابط أكثر تقدماً مع نضجها. ويتوافق هذا الحد الأساسي مع المتطلبات الوطنية للأمن السيبراني في الكويت، ومنها الإطار الوطني لحوكمة الأمن السيبراني (قرار رقم 35 لسنة 2023)، والإطار الوطني لتصنيف البيانات (قرار رقم 1 لسنة 2025)، والمرسوم الأميري رقم 37 لسنة 2022 بإنشاء المركز الوطني للأمن السيبراني.
الأهداف
- تأسيس حد أساسي وطني. تحديد ضوابط دنيا واقعية وقابلة للتنفيذ يَجِب على الجهات اعتمادها لتحقيق مستوى مشترك من النظافة السيبرانية وحماية سرية أصول الجهة وسلامتها وتوافرها.
- المواءمة مع أفضل الممارسات الدولية. ضمان اتساق الحد الأساسي مع الأطر والتوجيهات الدولية المعترف بها على نطاق واسع، مثل ضوابط CIS v8.1 وإطار NIST CSF، مع السماح بتكييفها وفق السياق التنظيمي والتشغيلي الكويتي.
- تعزيز المساءلة وإدارة المخاطر. إلزام الجهات بتحديد مسؤوليات واضحة، والحفاظ على السياسات والإجراءات، وتصنيف بياناتها، وإدارة مقدمي الخدمات، وتوثيق الامتثال، بحيث تُحدد مخاطر الأمن السيبراني وتُملك وتُدار بطريقة منظمة.
- تمكين امتثال قابل للقياس. ضمان إمكانية قياس التنفيذ على الأقل من خلال التقييم الذاتي الدوري مقابل هذا الحد الأساسي. ويَجِب أن تكون الجهات قادرة على إثبات مستوى تنفيذها لهذا الحد الأساسي للمركز عند الطلب، كما يَجِب توفير هذه المعلومات للجهات المختصة الأخرى حيثما يقتضي القانون الساري أو التنظيم القطاعي ذلك.
النطاق وسريان التطبيق
يسري هذا الحد الأساسي، بوصفه الملحق (1) للقرار رقم 2 لسنة 2026، على جميع الجهات التي تدخل ضمن ولاية المركز الوطني للأمن السيبراني على النحو المحدد في المرسوم الأميري رقم 37 لسنة 2022 بشأن إنشاء المركز. ويُشجع بقوة سائر الجهات العامة والخاصة غير الداخلة رسمياً ضمن هذه الولاية على اعتماد هذا الحد الأساسي طوعاً، بما يخدم منعة دولة الكويت وسلامتها واستقرارها الاقتصادي.
استخدام هذا الحد الأساسي
يحدد هذا الحد الأساسي ضوابط الأمن السيبراني الوطنية الدنيا التي يَجِب على الجهات تنفيذها. ويجوز للجهات تنفيذ ضوابط أقوى أو إضافية حيثما تقتضي ذلك طبيعة مخاطرها أو التزاماتها القانونية أو متطلباتها القطاعية أو حساسية وأهمية الأنظمة والخدمات والبيانات التي تديرها. ويهدف هذا الحد الأساسي إلى تأسيس مستوى وطني أدنى مشترك للأمن السيبراني، ولا يحد من اعتماد الجهات ضمانات أكثر تقدماً أو إضافية عند الاقتضاء.
في هذا الحد الأساسي: يَجِب (MUST) – تعني متطلباً إلزامياً؛ ويُستحسن (SHOULD) – تعني ممارسة موصى بها؛ ويجوز (MAY) – تعني ممارسة اختيارية.
بنية الضوابط
صُنفت الضوابط في هذا الحد الأساسي وفق وظائف إطار NIST CSF:
- GOV – الحوكمة: وضع ومراقبة استراتيجية إدارة مخاطر الأمن السيبراني للجهة وتوقعاتها وسياستها.
- ID – التحديد: تحديد مخاطر الأمن السيبراني الحالية على الجهة.
- PR – الحماية: منع مخاطر الأمن السيبراني أو تقليلها.
- DE – الاكتشاف: العثور على الهجمات والاختراقات السيبرانية المحتملة وتحليلها.
- RS – الاستجابة: اتخاذ إجراء تجاه حادث سيبراني مكتشف.
- RC – الاستعادة: استعادة الأصول والعمليات التي تأثرت بحادث سيبراني.
ويستخدم كل جدول من جداول الضوابط أدناه الحقول التالية:
- رمز الضابط – معرّف فريد؛
- عنوان الضابط – اسم وصفي مختصر؛
- الغرض / الوصف – ما يعالجه من خطر أو حاجة؛ و
- المتطلب الأدنى – توقع بسيط قابل للتدقيق.
الحوكمة (GOV) – الحوكمة والأدوار والسياسات
| رمز الضابط |
عنوان الضابط |
الغرض / الوصف |
المتطلب الأدنى |
| GOV-1 |
الحوكمة والأدوار |
تأسيس مساءلة واضحة عن الأمن السيبراني. |
يَجِب على الجهة تعيين موظف بدرجة مدير أو أعلى يتحمل المسؤولية الشاملة عن الأمن السيبراني. وتحديد وتوثيق الأدوار والمسؤوليات لأمن المعلومات وعمليات تقنية المعلومات وإدارة المخاطر وتصنيف البيانات والاستجابة للحوادث. ومراجعة هذا الهيكل وتحديثه سنوياً على الأقل أو عند حدوث تغييرات تنظيمية جوهرية. |
| GOV-2 |
السياسات وإدارة الاستثناءات |
ضمان استرشاد السلوك والقرارات بقواعد موثقة ومعتمدة. |
الحفاظ على سياسات مكتوبة أساسية تغطي كحد أدنى: الاستخدام المقبول، والتهيئة الآمنة، وتصنيف البيانات، وضبط الوصول، والنسخ الاحتياطي والاستعادة، والاستجابة للحوادث، وأمن الأطراف الثالثة / مقدمي الخدمات. ويُستحسن اعتماد السياسات من الإدارة ومراجعتها كل سنتين على الأقل. ويَجِب أن يتبع أي انحراف عملية استثناء بسيطة مع توثيق قبول المخاطر وتاريخ انتهاء صلاحية. |
| GOV-3 |
تصنيف البيانات وسيادتها |
ضمان معالجة البيانات وفق حساسيتها ومتطلباتها القانونية. |
تنفيذ برنامج لتصنيف البيانات متوافق مع الإطار الوطني لتصنيف البيانات، يستخدم على الأقل فئات: حساس (Sensitive)، ومقيد (Restricted)، وعام (Public)، مع معايير وأمثلة واضحة. وإصدار سياسة/وثيقة تصنيف بيانات معتمدة من الإدارة العليا ومقدمة للمركز الوطني للأمن السيبراني للاعتماد وفق القرار رقم 1 لسنة 2025. ووسم البيانات (والأنظمة/السجلات المرتبطة بها) بتصنيفها، وضمان تزايد تدابير الحماية مع تزايد الحساسية (مثلاً: ضوابط وصول وتشفير أقوى للبيانات الحساسة). ويَجِب أن يتبع تخزين أو معالجة البيانات الحساسة خارج الكويت عملية الاعتماد الوطنية والحصول على موافقة صريحة من المركز قبل الاستخدام (وفق الأنظمة السارية). |
| GOV-4 |
التكويت والتدقيق للوظائف السيبرانية |
دعم بناء القدرات الوطنية وتقليل مخاطر الداخلين في الوظائف السيبرانية الحرجة. |
بالنسبة للوظائف السيبرانية الرئيسية (مثل محللي مركز العمليات الأمنية SOC، ومسؤولي الأنظمة، وفريق الاستجابة للحوادث)، تُعطى الأولوية للكوادر الكويتية المؤهلة حيثما كان ذلك ممكناً ومتسقاً مع أطر الموارد البشرية الوطنية والقوانين واللوائح المحلية. وللعاملين في مثل هذه الأدوار الحساسة، يُجرى تدقيق أساسي قبل التوظيف (مثل التحقق من الهوية، والسجل الوظيفي، وفحص تعارض المصالح) وفق القوانين وسياسات الموارد البشرية السارية. والحفاظ على قائمة بسيطة بالأدوار «السيبرانية الحساسة» المعينة وضمان توثيق التدقيق. |
| GOV-5 |
التقييم الذاتي الدوري والتحسين المستمر |
توفير آلية دنيا لقياس تنفيذ هذا الحد الأساسي. |
إكمال تقييم ذاتي مقابل هذا الحد الأساسي مرة واحدة سنوياً على الأقل باستخدام قائمة تحقق صادرة عن المركز أو معتمدة منه. وتوثيق النتائج والفجوات الرئيسية والإجراءات والتواريخ المستهدفة. والاحتفاظ بالسجل ثلاث سنوات على الأقل وإتاحته للمركز عند الطلب. واستخدام الحوادث الكبرى أو عمليات التدقيق لتحديث الأولويات. |
| GOV-6 |
حوكمة مقدمي الخدمات والاستعانة بالمصادر الخارجية |
إدارة مخاطر الأمن السيبراني الناشئة عن المزودين الخارجيين، بما في ذلك السحابة. |
إنشاء والحفاظ على سجل لمقدمي الخدمات (بما في ذلك الخدمات السحابية/المُدارة)، يتضمن التصنيف وجهة اتصال في الجهة لكل مزود؛ ويُراجع سنوياً على الأقل أو عند حدوث تغيير جوهري. وبالنسبة لمقدمي الخدمات الذين يتعاملون مع بيانات حساسة أو يدعمون خدمات حرجة، يُوثق نطاق الخدمة والمسؤوليات المشتركة لحماية الخدمة والبيانات. وضمان تضمين معلومات الاتصال الخاصة بالاستجابة للحوادث مقدمي الخدمات المعنيين، وتحديد الأطر الزمنية وآليات الإبلاغ عن الحوادث المرتبطة بالمزودين. وعند إنهاء التعاقد/إلغاء الارتباط، ضمان تنفيذ الإجراءات المطلوبة لإزالة الوصول والتعامل مع البيانات بشكل مناسب، مع الاحتفاظ بالأدلة حيثما انطبق. |
التحديد (ID) – الأصول والبرمجيات والبيانات والحسابات
| رمز الضابط |
عنوان الضابط |
الغرض / الوصف |
المتطلب الأدنى |
| ID-1 |
جرد الأصول والخدمات |
الحفاظ على رؤية محدثة للأجهزة والخدمات الرئيسية. |
الحفاظ على سجل إلكتروني مركزي للأصول المادية (الخوادم، وأجهزة الحاسوب المكتبية والمحمولة، ومعدات الشبكة، وأجهزة إنترنت الأشياء/التشغيل، وغيرها) والخدمات الرئيسية داخل الموقع. وتسجيل كحد أدنى: المالك، والموقع، والغرض، والأهمية، وحالة دورة الحياة (قيد الاستخدام، احتياطي، متقاعد). وللأصول المادية، استخدام ملصقات فريدة قابلة للقراءة آلياً (مثل الباركود/رمز QR) لدعم المسح والتتبع. ومراجعة أدوات اكتشاف الشبكة أو ما شابهها أسبوعياً على الأقل لتحديد الأجهزة غير المصرح بها وإزالتها أو حظرها أو اعتمادها رسمياً. |
| ID-2 |
جرد البرمجيات ومقدمي الخدمات |
الحفاظ على رؤية للبرمجيات المستخدمة ومقدمي الخدمات. |
الحفاظ على قائمة بالبرمجيات المصرح بها (بما في ذلك عائلات الإصدارات) ومقدمي الخدمات (بما في ذلك السحابة وSaaS). ومراجعة الأنظمة شهرياً على الأقل بحثاً عن البرمجيات غير المصرح بها وإزالتها أو تسجيل استثناء موثق. ويُستحسن أن يتضمن السجل: المالك، وبيانات الاتصال، ووصف الخدمة، والأهمية، وحساسية البيانات (أي التصنيفات التي تتم معالجتها). ومراجعة معلومات المزودين سنوياً على الأقل. |
| ID-3 |
جرد البيانات والحسابات |
فهم ما هو موجود من بيانات وحسابات ومن يملكها. |
الحفاظ على جرد لمجموعات البيانات الحرجة والحساسة، يشمل التصنيف والموقع والمالك التجاري. والحفاظ على جرد لحسابات المستخدمين والخدمات يشمل الصلاحيات وآخر نشاط. ومراجعة الحسابات ربع سنوياً على الأقل. وتعطيل أو إزالة حسابات المستخدمين التفاعلية الخاملة التي لم تُستخدم لمدة 90 يوماً حيثما تدعم التقنية ذلك. ومراجعة حسابات الخدمات ربع سنوياً على الأقل للتحقق من استمرار الحاجة التشغيلية. وضمان تحديد الحسابات عالية الخطورة أو المتميزة بوضوح. |
الحماية (PR) – التهيئة والوصول والتوعية والحماية والنسخ الاحتياطي
PR-1 التهيئة الآمنة والتحصين وتقسيم الشبكة
| رمز الضابط |
عنوان الضابط |
الغرض / الوصف |
المتطلب الأدنى |
| PR-1 |
التهيئة الآمنة والتحصين |
تقليل السطح الهجومي للأنظمة والأجهزة. |
وضع خطوط أساس محصنة لتهيئة الخوادم وأجهزة الحاسوب ومعدات الشبكة والتطبيقات الرئيسية. ومن هذا الأساس، تعطيل أو إزالة الخدمات والميزات والمنافذ غير اللازمة لدور النظام. وتغيير أو تعطيل الحسابات الافتراضية وكلمات المرور الافتراضية. وتفعيل جدار حماية على مستوى المضيف في الأجهزة الطرفية والخوادم والسماح فقط بحركة الشبكة اللازمة للتشغيل الطبيعي. ومراجعة التهيئات سنوياً على الأقل وبعد التغييرات الكبرى. |
| PR-1.1 |
تقسيم الشبكة |
الحد من انتشار الهجمات وأثرها عبر فصل الشبكات. |
حيثما أمكن، فصل شبكات المستخدمين عن شبكات الخوادم/البيانات، وإبقاء واجهات الإدارة على قطاع شبكي أكثر تقييداً. ووضع الأنظمة المواجهة للإنترنت في منطقة شبكية أكثر تحكماً. وتجنب الوصول المباشر من شبكات المستخدمين إلى الخوادم الحساسة ما لم يكن مطلوباً ومعتمداً صراحةً. وعدم اعتبار الموقع الشبكي وحده أساساً كافياً للثقة. ويَجِب أن يكون الوصول إلى واجهات الإدارة والأنظمة الحرجة مصرحاً به صراحةً وفق مبدأ أقل الصلاحيات ومحمياً بمصادقة قوية وفقاً لـ PR-2 (بما في ذلك MFA للوصول الإداري حيثما كان مدعوماً). وتوثيق هذا الوصول ومراجعته سنوياً على الأقل. |
| PR-1.2 |
إدارة الثغرات والترقيع |
تحديد نقاط الضعف التقنية ومعالجتها بطريقة منظمة. |
امتلاك عملية مكتوبة بسيطة لإدارة الثغرات ومراجعتها سنوياً على الأقل. وتشغيل فحوصات آلية للثغرات على الأنظمة الرئيسية: شهرياً على الأقل للأنظمة المواجهة للإنترنت، وربع سنوياً على الأقل لغيرها من الأنظمة الداخلية المهمة، وبعد التغييرات الكبرى. وبعد كل فحص، مراجعة التقرير وإعداد قائمة إجراءات مختصرة ومعالجة أخطر المشكلات أولاً (مثل النتائج العالية والحرجة). واستهداف تطبيق ترقيعات نظام التشغيل والتطبيقات شهرياً على الأقل على الأنظمة المدعومة. والاحتفاظ بسجلات الفحوصات وإجراءات المعالجة الرئيسية. |
PR-2 الهوية والمصادقة وضبط كلمات المرور
| رمز الضابط |
عنوان الضابط |
الغرض / الوصف |
المتطلب الأدنى |
| PR-2 |
الهوية والمصادقة وضبط كلمات المرور |
ضمان ضبط الوصول بشكل صحيح وزيادة صعوبة اختراق الحسابات. |
اشتراط كلمات مرور فريدة لجميع الحسابات؛ وعدم إعادة استخدام كلمة المرور نفسها عبر أنظمة مختلفة. وكقاعدة بسيطة، اشتراط 8 أحرف على الأقل للحسابات المحمية بالمصادقة متعددة العوامل (MFA) و14 حرفاً على الأقل للحسابات بدون MFA. وتجنب فرض تغيير دوري لكلمات المرور ما لم يُشتبه في اختراق. وتفعيل قفل الجلسة أو شاشة التوقف بعد 15 دقيقة من الخمول لأجهزة الحاسوب المكتبية ونحو دقيقتين للأجهزة المحمولة حيثما كان عملياً. وحصر صلاحيات المسؤول في حسابات إدارية مخصصة، وإلزام الموظفين بأداء الأنشطة اليومية (البريد، وتصفح الويب، والأعمال المكتبية) من حساب مستخدم عادي. وتطبيق MFA لجميع عمليات الوصول الشبكي عن بعد والتطبيقات المكشوفة خارجياً وحسابات المسؤولين/المتميزة حيثما كان مدعوماً، باستخدام نوعين مختلفين على الأقل من عوامل المصادقة (شيء تعرفه، شيء تملكه، شيء أنت عليه). |
| PR-2.1 |
البريد المؤسسي فقط وحظر البريد الشخصي |
ضمان استخدام الاتصالات العملية لقنوات مُدارة وقابلة للتدقيق وتقليل تسرب البيانات عبر البريد الشخصي. |
اشتراط استخدام حسابات البريد المؤسسي المعتمدة من الجهة على النطاقات المعتمدة فقط لجميع الاتصالات الرسمية. ويَحظر إعداد حسابات البريد الشخصية/الاستهلاكية على أجهزة الجهة ويَحظر استخدامها للاتصالات المتعلقة بالعمل. وإنفاذ ذلك عبر (1) سياسة الاستخدام المقبول، و(2) تهيئة الأجهزة والبريد (مثل MDM أو إعدادات عميل البريد) التي تمنع إضافة الحسابات الشخصية حيثما أمكن. |
| PR-2.2 |
مدير كلمات المرور وضبط بيانات الاعتماد |
مساعدة الموظفين على الحفاظ على كلمات مرور قوية وفريدة دون إعادة استخدام. |
توفير أو اعتماد حل بأسلوب مدير كلمات المرور للموظفين الذين يديرون بيانات اعتماد متعددة. وتشجيع استخدام كلمات مرور طويلة وفريدة يولدها المدير لكل نظام. وللحسابات المشتركة/الجماعية (حيث لا مفر منها)، استخدام خزائن كلمات مرور مشتركة أو قدرات مماثلة؛ وعدم مشاركة كلمات المرور عبر البريد أو الدردشة أو على الورق. |
PR-3 التوعية والعوامل البشرية
| رمز الضابط |
عنوان الضابط |
الغرض / الوصف |
المتطلب الأدنى |
| PR-3 |
التوعية والتدريب الأمني |
بناء ثقافة أساسية للسلوك الآمن. |
تأسيس برنامج للتوعية الأمنية وتوفير التدريب سنوياً على الأقل وللملتحقين الجدد. وتغطية كحد أدنى: الهندسة الاجتماعية والتصيد، والاستخدام الآمن للبريد والويب، والتعامل مع البيانات الحساسة والمقيدة، وضبط كلمات المرور وMFA، واستخدام أدوات الاتصال المعتمدة، واستخدام الوسائط المحمولة، وكيفية الإبلاغ عن النشاط المريب أو الحوادث. واستخدام لغة بسيطة وأمثلة ذات صلة. |
| PR-3.1 |
الحسابات الرسمية على وسائل التواصل والحضور الرقمي |
ضمان أصالة الحسابات الرسمية وحمايتها وتمييزها بوضوح عن الحسابات المنتحلة. |
الحفاظ على سجل مركزي لحسابات الجهة الرسمية على المنصات الخارجية (مثل شبكات التواصل الرئيسية ومنصات الفيديو). وإنشاء الحسابات الرسمية باستخدام عناوين البريد المؤسسي واصطلاحات تسمية مناسبة. وتفعيل التوثيق أو حالة «رسمي» حيثما وفرتها المنصة وتحققت معاييرها. وحماية هذه الحسابات بـ MFA وإدارة قائمة على الأدوار؛ ومراجعة الوصول سنوياً على الأقل وإزالة الوصول عند مغادرة الموظفين أو تغيير أدوارهم. |
PR-4 الحماية من البرمجيات الخبيثة والبريد والويب
| رمز الضابط |
عنوان الضابط |
الغرض / الوصف |
المتطلب الأدنى |
| PR-4 |
الحماية من البرمجيات الخبيثة والبريد والويب |
تقليل مخاطر هجمات البرمجيات الخبيثة والتصيد. |
نشر حماية الأجهزة الطرفية (مثل برامج مكافحة البرمجيات الخبيثة/EDR) على الخوادم وأجهزة الحاسوب المدعومة مع تحديثات آلية وتنبيهات مركزية حيثما أمكن. واستخدام ضوابط أمن البريد والويب (مثل تصفية الرسائل المزعجة، وتصفية المرفقات والروابط) لحجب المحتوى الخبيث الشائع وأنواع الملفات المشبوهة بوضوح. وتهيئة أنظمة البريد لحذر أو تحذير ملحقات الملفات الخطرة غير اللازمة للعمل والحد من المرفقات كبيرة الحجم جداً وفق حاجة العمل. وتهيئة نطاقات البريد بضوابط مضادة للانتحال (SPF وDKIM وDMARC) لمنع انتحال الشخصية. وتدريب الموظفين على الحذر من الروابط والمرفقات غير المتوقعة والإبلاغ عن الرسائل المشبوهة. |
| PR-4.1 |
منصات الاتصال والاجتماعات المرئية المعتمدة |
تقليل المخاطر من أدوات الدردشة/الصوت/الفيديو وتطبيقات التحكم عن بعد غير المعتمدة. |
لاستخدامات العمل الرسمية (الاجتماعات، والمكالمات، والمراسلة، ومشاركة الشاشة)، استخدام منصات الاتصال والتعاون المعتمدة من الجهة فقط. وعدم استخدام التطبيقات الشخصية أو غير المعتمدة (مثل المراسلة الخاصة، والبريد الشخصي، وأدوات التحكم عن بعد غير المصرح بها) لبيانات العمل أو اجتماعاته. والحفاظ على قائمة بسيطة بالمنصات المعتمدة وضمان إلمام الموظفين بها. وحيثما أمكن، تقييد تثبيت أو استخدام الأدوات غير المعتمدة على أجهزة الجهة عبر التهيئة. |
| PR-4.2 |
التحكم في وسائط التخزين المحمولة |
الحد من مخاطر استخدام وسائط التخزين القابلة للإزالة غير المعتمدة. |
حيثما أمكن، تقييد أو تعطيل تقنياً استخدام وسائط التخزين المحمولة غير المعتمدة (مثل أقراص USB) على أنظمة الجهة، وخاصة تلك التي تتعامل مع بيانات حساسة. ووضع إجراءات للسماح فقط بالوسائط المحمولة المصرح بها إذا لزم الأمر للعمل، وتدريب الموظفين على الاستخدام السليم لأجهزة الوسائط المحمولة. |
PR-5 حماية البيانات والنسخ الاحتياطي ودورة الحياة
| رمز الضابط |
عنوان الضابط |
الغرض / الوصف |
المتطلب الأدنى |
| PR-5 |
حماية البيانات والنسخ الاحتياطي ودورة الحياة |
ضمان حماية البيانات الحرجة بشكل مناسب وإمكانية استعادتها والتخلص منها بأمان. |
تنفيذ نسخ احتياطية آلية منتظمة للأنظمة والبيانات الحرجة، مع إعطاء الأولوية للبيانات الحساسة والمقيدة. وتخزين النسخ الاحتياطية في موقع منفصل واحد على الأقل (مثل قطاع شبكي منفصل، أو نظام تخزين، أو حساب سحابي). وحماية بيانات النسخ الاحتياطي من الوصول غير المصرح به والعبث (مثل ضوابط الوصول والتشفير). واختبار استعادة النسخ الاحتياطية للأنظمة الرئيسية سنوياً على الأقل. وتحديد وتطبيق فترات احتفاظ وإجراءات التخلص الآمن متوافقة مع المتطلبات القانونية والإطار الوطني لتصنيف البيانات، وضمان محو أو إتلاف البيانات الحساسة بأمان عند عدم الحاجة إليها. وللبيانات الحساسة، إذا تضمنت النسخ الاحتياطية تخزيناً خارج الكويت (مثل النسخ السحابية)، الحصول على الموافقات المطلوبة وفق متطلبات سيادة البيانات. |
PR-6 الحماية المادية لأصول تقنية المعلومات الحرجة
| رمز الضابط |
عنوان الضابط |
الغرض / الوصف |
المتطلب الأدنى |
| PR-6 |
الحماية المادية لأصول تقنية المعلومات الحرجة |
تقليل مخاطر العبث أو السرقة أو التلف لمعدات تقنية المعلومات الحرجة. |
تحديد مناطق تقنية المعلومات الحرجة (مثل مراكز البيانات، وغرف الخوادم، وغرف الشبكة الرئيسية، ومواقع تخزين وسائط النسخ الاحتياطي) والاحتفاظ بقائمة بسيطة بها. وتنفيذ حمايات مادية أساسية مناسبة للموقع في هذه المناطق، تشمل على الأقل: أبواباً أو خزائن قابلة للقفل عند غياب المراقبة؛ ووصولاً مقيداً بحيث يدخل أو يفتح المعدات فقط الأفراد المصرح لهم (مثل المفاتيح أو بطاقات الدخول أو الأكواد التي تديرها تقنية المعلومات أو المرافق)؛ وسجلاً بسيطاً للزوار غير الاعتياديين (مثل المقاولين أو الموردين) لمناطق تقنية المعلومات الحرجة، ويجوز حفظه باستخدام سجلات المبنى أو الحراسة القائمة. وتخزين وسائط النسخ الاحتياطي والمعدات المحمولة (مثل الحواسيب المحمولة) في غرفة أو خزانة مقفلة عند عدم الاستخدام؛ وتجنب تركها دون مراقبة في الأماكن العامة أو المشتركة. ويركز هذا الضابط على الحماية المادية لأصول تقنية المعلومات، ويُستحسن الاستفادة من ترتيبات أمن المباني أو المرافق القائمة لدى الجهة كلما أمكن. |
الاكتشاف (DE) – السجلات والمراقبة
| رمز الضابط |
عنوان الضابط |
الغرض / الوصف |
المتطلب الأدنى |
| DE-1 |
سجلات التدقيق والمراقبة |
توفير رؤية للنشاط المشبوه ودعم التحقيقات. |
تفعيل سجلات التدقيق على الأنظمة الحرجة ومعدات الشبكة والأدوات الأمنية والتطبيقات الرئيسية. وتسجيل كحد أدنى أحداث المصادقة والإجراءات الإدارية والأحداث الأمنية المهمة. وحيثما أمكن، مركزة السجلات في حل تسجيل أساسي لتسهيل المراجعة. وقصر الوصول إلى السجلات على الأفراد المصرح لهم فقط وحماية السجلات من التعديل أو الحذف غير المصرح به (بما في ذلك تغييرات تهيئة التسجيل)، مع إعطاء الأولوية للأنظمة الحرجة وحل التسجيل المركزي عند استخدامه. والاحتفاظ بالسجلات 90 يوماً على الأقل بشكل حي و12 شهراً إجمالاً (حية أو مؤرشفة). ومراجعة السجلات بحثاً عن النشاط المريب بوتيرة مناسبة لمخاطر الجهة (مثلاً أسبوعياً للجهات الأصغر، ويومياً للبيئات الأعلى خطورة). |
| DE-2 |
مزامنة الوقت |
ضمان اتساق الطوابع الزمنية عبر الأنظمة لتسهيل التحقيق في الحوادث. |
ضمان مزامنة جميع أنظمة المعلومات (الخوادم، وأجهزة الحاسوب، ومعدات الشبكة) لساعاتها مع مصدر وقت موثوق ومرجعي (مثل NTP). ويَجِب أن تكون الطوابع الزمنية في السجلات متسقة عبر البنية التحتية. والتحقق دورياً من بقاء ساعات الأنظمة متزامنة (مثلاً بمقارنة الطوابع الزمنية للسجلات من أنظمة مختلفة). |
الاستجابة (RS) – الإبلاغ عن الحوادث وإدارتها
| رمز الضابط |
عنوان الضابط |
الغرض / الوصف |
المتطلب الأدنى |
| RS-1 |
الإبلاغ عن الحوادث للمركز والقيادة |
ضمان إبلاغ المركز الوطني للأمن السيبراني بالحوادث الخطيرة ومعالجتها من قبل قادة محددين. |
تأسيس وإبلاغ عملية بسيطة للإبلاغ عن الحوادث بحيث يعرف الموظفون كيفية الإبلاغ عن الحوادث المشتبه بها (مثل التصيد، أو فقدان البيانات، أو اختراق الأنظمة). وتعيين شخص واحد مسؤولاً عن الاستجابة للحوادث وشخصاً احتياطياً واحداً على الأقل لتنسيق معالجة الحوادث، حتى لو استُخدم مقدمو خدمات خارجيون. والحفاظ على بيانات اتصال محدثة لمسؤول الحوادث والاحتياطيين ومقدمي الخدمات المعنيين والمركز. وحيثما قد يكون الحادث أو التهديد السيبراني الفعلي أو المشتبه به قابلاً للإبلاغ وفق توجيهات المركز الصادرة لإدارة الحوادث أو الإبلاغ عنها، يَجِب على الجهة إخطار المركز فوراً عبر القنوات الرسمية وضمن الأطر الزمنية السارية التي يحددها المركز. وحيثما اقتضى الأمر، يَجِب على الجهة استخدام قنوات اتصال خارج النطاق (out-of-band) أثناء الحوادث النشطة أو حينما قد تتأثر القنوات العادية. ويَجِب على الجهة توفير التحديثات والمعلومات اللاحقة وفق توجيهات الإبلاغ السارية من المركز. |
| RS-2 |
المعالجة الأساسية للحوادث والتنسيق |
توفير طريقة منظمة وبسيطة لمعالجة الحوادث والتعاون مع المركز. |
الحفاظ على إجراء مكتوب مختصر للاستجابة للحوادث يغطي: الفرز الأولي، والاحتواء، والاتصال، وحفظ الأدلة، والاستعادة، والإبلاغ/التصعيد (بما في ذلك متى وكيف يُخطر المركز وغيره من الجهات التنظيمية أو إنفاذ القانون). وعند إخطار المركز أو جهة مختصة أخرى للجهة بحادث محتمل، يُجرى الفرز والتحقيق فوراً وتُتخذ إجراءات علاجية معقولة ويُقدم الرد والتغذية الراجعة عند الطلب. وبعد الحوادث الكبيرة، تُجرى مراجعة موجزة للدروس المستفادة وتُسجل التحسينات الرئيسية المطلوب تنفيذها، وتُشارك الدروس ذات الصلة مع المركز أو سلطات القطاع عند الاقتضاء. |
الاستعادة (RC) – الاستعادة والتحسين
| رمز الضابط |
عنوان الضابط |
الغرض / الوصف |
المتطلب الأدنى |
| RC-1 |
تخطيط الاستعادة |
دعم الاستعادة المنظمة بعد الحوادث والاضطرابات. |
الحفاظ على خطة استعادة بسيطة أو إجراءات موثقة لاستعادة الأنظمة والخدمات الحرجة بعد الحوادث أو غيرها من الاضطرابات. ويُستحسن أن تشير الخطة إلى مواقع النسخ الاحتياطي وجهات الاتصال الرئيسية وأي تسلسل لازم للاستعادة، خاصة للبيانات الحساسة والمقيدة. ومراجعة الخطة وتحديثها سنوياً على الأقل وبعد التغييرات الكبرى. |
| RC-2 |
الاختبار والتحسين المستمر |
ضمان عمل الاستعادة فعلياً وتنفيذ التحسينات. |
إجراء اختبارات استعادة أو استمرارية أساسية (مثل تمارين الطاولة أو اختبارات الاستعادة الجزئية) للأنظمة الحرجة سنوياً على الأقل. وبعد الاختبارات أو الحوادث الحقيقية، تدوين الدروس المستفادة، وتحديث الإجراءات والضوابط حيثما كان عملياً، ومتابعة إنجاز التحسينات المتفق عليها. |
ملحق أ – الضوابط الدنيا لأمن السحابة
ينطبق هذا الملحق على جميع الجهات التي تستخدم خدمات السحابة العامة، بما في ذلك البرمجيات كخدمة (SaaS)، والمنصات كخدمة (PaaS)، والبنية التحتية كخدمة (IaaS). ويكمل ضوابط الحد الأساسي الوطنية عبر معالجة الخصائص الفريدة للحوسبة السحابية. في هذا الملحق، تشير «الجهة» إلى الكيان الذي يعمل كمستأجر/عميل للسحابة، ويشير «المزود» (CSP) إلى مقدم الخدمة السحابية.
المبادئ الأساسية:
- المسؤولية المشتركة: الأمن في السحابة شراكة؛ إذ يؤمّن مقدم الخدمة السحابية البنية التحتية، بينما تؤمّن الجهة البيانات والتهيئة.
- الهوية هي المحيط: في السحابة، تكون الهوية (من أنت) أهم من الشبكة (أين أنت).
تمييز جوهري: محتوى العميل مقابل البيانات الوصفية التشغيلية – لضمان قابلية الحد الأساسي للتطبيق تقنياً، من الضروري التمييز بين بيانات الجهة وبيانات النظام اللازمة لتشغيل السحابة. محتوى العميل: (الملفات، وقواعد البيانات، وبيانات التطبيقات)؛ وتسري قواعد الإقامة والمعالجة على محتوى العميل وفق الإطار الوطني لتصنيف البيانات وهذا الملحق. البيانات الوصفية التشغيلية: (معرّفات الموارد، وأسماء الملفات، وعناوين IP، وسجلات الفوترة، وحالة النظام).
أ.1 الاستحواذ السحابي والحوكمة التعاقدية
الهدف: ضمان تضمين الأمن قبل توقيع العقد، بالاستفادة من التراخيص الوطنية القائمة والمعايير العالمية.
| رمز الضابط |
عنوان الضابط |
المتطلب الأدنى |
| CLD-1 |
الترخيص التنظيمي |
يَجِب على الجهات التأكد من أن مقدم الخدمة السحابية (CSP) مرخص له بالعمل في دولة الكويت وفقاً للأنظمة الصادرة عن الجهات الوطنية المختصة. |
| CLD-2 |
العناية الواجبة تجاه المزود |
قبل الاختيار، يَجِب على الجهات تقييم الموقف الأمني لمقدم الخدمة السحابية. ويتحقق هذا المتطلب بمراجعة شهادات الأمن الدولية المستقلة السارية للمزود (مثل ISO 27001 وSOC 2 Type II وCSA STAR Level 2). |
| CLD-3 |
حق التدقيق (ضمان الطرف الثالث) |
يَجِب أن تتضمن العقود «حق التدقيق». ولحماية أمن البيئات متعددة المستأجرين، يمارس هذا الحق عبر مراجعة الجهة لتقارير التدقيق المستقلة من أطراف ثالثة الخاصة بالمزود (مثل SOC 2 وC5) بدلاً من إجراء زيارات فعلية لمراكز البيانات. |
| CLD-4 |
شرط الإخطار بالحوادث |
يَجِب أن تتضمن العقود التزاماً من المزود بإخطار الجهة بأي حادث بيانات مؤكد دون تأخير لا مسوغ له، بما يتيح التحقيق والإبلاغ الدقيق. |
| CLD-5 |
ملكية البيانات والخروج |
يَجِب أن ينص العقد صراحةً على احتفاظ الجهة بالملكية الحصرية لبياناتها. ويَجِب على المزود توفير أدوات أو واجهات برمجية قياسية تمكن الجهة من استرداد بياناتها عند إنهاء العقد. |
| CLD-6 |
اتفاقيات مستوى الخدمة (SLAs) |
يَجِب أن تحدد العقود اتفاقيات مستوى الخدمة للتوافرية. ويُستحسن أن تتضمن الاتفاقية تعويضات مالية (رصيد خدمة) عند الإخفاق في تحقيق هذه المعايير. |
أ.2 الحوكمة والمسؤولية المشتركة
| رمز الضابط |
عنوان الضابط |
المتطلب الأدنى |
| CLD-7 |
مصفوفة المسؤولية المشتركة |
يَجِب على الجهات توثيق نموذج الخدمة السحابية (IaaS أو PaaS أو SaaS) وما ينتج عنه من توزيع لمسؤوليات الأمن. وتظل الجهة مسؤولة عن تصنيف البيانات، وإدارة الهوية والوصول (IAM)، وتهيئة الموارد، بغض النظر عن النموذج. |
| CLD-8 |
جرد موارد السحابة |
الحفاظ على جرد آني لموارد السحابة. واستخدام الوسم البرمجي للموارد لتحديد تصنيف البيانات (عام، مقيد، حساس) والمالك التجاري لكل مورد. |
أ.3 إدارة الهوية والوصول (IAM)
| رمز الضابط |
عنوان الضابط |
المتطلب الأدنى |
| CLD-9 |
MFA لوحدات تحكم السحابة |
يَجِب فرض المصادقة متعددة العوامل (MFA) لجميع المستخدمين ذوي الوصول الإداري إلى وحدة إدارة السحابة والحسابات الجذرية (root). |
| CLD-10 |
ضبط حسابات الخدمة |
يَحظر استخدام حسابات الخدمة (الهويات غير البشرية) لتسجيل الدخول التفاعلي البشري. ويُستحسن تدوير مفاتيح حسابات الخدمة دورياً بناءً على المخاطر، أو إدارتها عبر اتحاد هويات آلي (مثل OIDC) لمنع سرقة بيانات الاعتماد. |
أ.4 حماية البيانات والسيادة
| رمز الضابط |
عنوان الضابط |
المتطلب الأدنى |
| CLD-11 |
التشفير افتراضياً |
يَجِب تشفير جميع البيانات المخزنة (at rest) في السحابة. ويُستحسن أن تستخدم الجهات تشفير المزود الافتراضي (مفاتيح تديرها المنصة) كحد أدنى. وللبيانات الحساسة، يجوز للجهات اختيار مفاتيح التشفير المُدارة من العميل (CMEK) على السحابة بناءً على تقييم المخاطر، وفقاً للقرار رقم 1 لسنة 2025. |
| CLD-12 |
إقامة البيانات (محتوى العميل) |
يَجِب على الجهة تهيئة الخدمات السحابية والعقود المرتبطة بها لتخزين ومعالجة محتوى العميل (الملفات، وقواعد البيانات، وبيانات التطبيقات) وفق الإطار الوطني لتصنيف البيانات (قرار رقم 1 لسنة 2025). |
| CLD-13 |
استثناء البيانات الوصفية التشغيلية |
تسري متطلبات الإقامة على محتوى العميل. أما البيانات الوصفية التشغيلية (مثل معرّفات المشاريع، وسجلات الفوترة، وحالة النظام، وعناوين IP) فيمكن معالجتها عالمياً لضمان أمن المنصة وموثوقيتها وفوترة دقيقة. ويَجِب على الجهات ضمان بقاء معرّفات البيانات الوصفية (مثل معرّفات المشاريع وأسماء المجلدات والتصنيفات) غير حساسة. |
| CLD-14 |
منع الوصول العام |
يَجِب تهيئة موارد التخزين السحابي (مثل حاويات تخزين الكائنات) لحجب الوصول العام افتراضياً. ويَجِب أن يكون التعرض العام استثناءً صريحاً وموثقاً معتمداً من مالك البيانات. |
أ.5 الأمن التشغيلي
| رمز الضابط |
عنوان الضابط |
المتطلب الأدنى |
| CLD-15 |
سجلات تدقيق السحابة |
تفعيل سجلات التدقيق لمشاريع السحابة. ويَجِب أن تلتقط السجلات «النشاط الإداري» (تغييرات التهيئة) و«الوصول إلى البيانات» (من وصل إلى البيانات) لأحمال العمل الحساسة. والاحتفاظ بالسجلات 12 شهراً كحد أدنى. |
| CLD-16 |
الاتصال الآمن |
يَجِب تشفير جميع حركة البيانات بين الجهة ومقدم الخدمة السحابية أثناء النقل باستخدام بروتوكولات قياسية صناعياً (مثل TLS 1.2 أو أحدث). ويَحظر تعريض واجهات الإدارة مباشرة للإنترنت العام؛ واستخدام حصون آمنة (bastions) أو شبكات خاصة افتراضية (VPN) أو وكلاء واعين بالهوية (Identity-Aware Proxies). |
ملحق ب – المسرد والمصطلحات المختصرة
ب.1 المسرد
| المصطلح |
التعريف |
| الجهة (Entity) |
الوكالات الحكومية المدنية أو العسكرية أو الأمنية، وكذلك وكالات القطاعين العام والخاص داخل دولة الكويت ذات الصلة بالمركز، والجهات الأخرى التي يحددها رئيس المركز الوطني للأمن السيبراني وفقاً لأحكام المرسوم الأميري رقم 37 لسنة 2022. |
| المتطلبات الدنيا |
عبارات الضوابط الإلزامية في هذا الحد الأساسي. أما الإرشادات وملاحظات التنفيذ فهي غير إلزامية ما لم يُنص عليها صراحةً كمتطلب. |
| قابل للتطبيق (Applicable) |
متطلب ذو صلة ببيئة الجهة وأنظمتها وخدماتها، وبالتالي يُدرج في احتساب الامتثال. |
| غير قابل للتطبيق (N/A) |
متطلب لا يسري على بيئة الجهة، مع تسويغ موثق واعتماد وفق عملية الحوكمة لدى الجهة. |
| الاستثناء (Exception) |
انحراف معتمد رسمياً ومحدد المدة عن متطلب أدنى، يوثق ضمن عملية الاستثناءات (GOV-2)، ويشمل النطاق والمدة والضوابط التعويضية عند الاقتضاء. |
| الضابط التعويضي |
ضابط بديل يقلل الخطر إلى مستوى مماثل حينما يتعذر استيفاء متطلب أدنى كما هو مكتوب؛ ويَجِب توثيقه واعتماده كجزء من استثناء. |
| الدليل (Evidence) |
الوثائق أو المخرجات التي تثبت التنفيذ (مثل: السياسات، والإجراءات، والتكوينات، والسجلات، والتذاكر، وقوائم الجرد، والتقارير) بما يكفي لمراجعة التدقيق والرقابة. |
| مستويات تصنيف البيانات |
كما هي محددة في الإطار الوطني لتصنيف البيانات (قرار رقم 1 لسنة 2025). |
| مقدم الخدمة السحابية (CSP) |
مزود الخدمات السحابية (مثل: SaaS، وPaaS، وIaaS) الذي تستخدمه الجهة. |
| محتوى العميل |
البيانات المقدمة للجهة أو المنشأة بواسطتها أو المُدارة لها ضمن الخدمات السحابية (مثل: الملفات، وقواعد البيانات، وبيانات التطبيقات). |
| البيانات الوصفية التشغيلية |
بيانات وصفية للأنظمة والخدمات لازمة لتشغيل الخدمات السحابية وتأمينها ومراقبتها وفوترتها (مثل: معرّفات الموارد، وسجلات الفوترة، وحالة النظام، وعناوين IP). |
ما لم تُعرّف صراحةً في هذه الوثيقة أو في الصكوك الوطنية المشار إليها، تُفسر المصطلحات التقنية غير المعرفة باستخدام مسرد NIST. وفي حال وجود أي تعارض، تُقدم التعريفات الواردة في الصكوك الوطنية السارية وإصدارات المركز الوطني للأمن السيبراني.
ب.2 المصطلحات المختصرة
| الاختصار |
المعنى |
| CIS |
مركز أمن الإنترنت (Center for Internet Security) |
| CMEK |
مفاتيح التشفير المُدارة من العميل |
| CSA |
تحالف أمن السحابة (Cloud Security Alliance) |
| CSA CCM |
مصفوفة ضوابط السحابة |
| CSP |
مقدم الخدمة السحابية |
| CSF |
إطار الأمن السيبراني |
| DE |
الاكتشاف (وظيفة في إطار NIST CSF) |
| EDR |
الاكتشاف والاستجابة على الأجهزة الطرفية |
| GOV |
الحوكمة (وظيفة في إطار NIST CSF) |
| IAM |
إدارة الهوية والوصول |
| ID |
التحديد (وظيفة في إطار NIST CSF) |
| IG1 |
مجموعة التنفيذ الأولى |
| IaaS |
البنية التحتية كخدمة |
| MFA |
المصادقة متعددة العوامل |
| NCSC |
المركز الوطني للأمن السيبراني |
| NDA |
اتفاقية عدم الإفصاح |
| NIST |
المعهد الوطني للمعايير والتقنية |
| PaaS |
المنصة كخدمة |
| PR |
الحماية (وظيفة في إطار NIST CSF) |
| RC |
الاستعادة (وظيفة في إطار NIST CSF) |
| RS |
الاستجابة (وظيفة في إطار NIST CSF) |
| SaaS |
البرمجيات كخدمة |
| SIEM |
إدارة المعلومات والأحداث الأمنية |
| SLA |
اتفاقية مستوى الخدمة |
| SPF |
إطار سياسة المرسل |
| DKIM |
البريد المعرّف بمفاتيح النطاق |
| DMARC |
المصادقة القائمة على نطاق البريد وإعداد التقارير والمطابقة |
يدعم مكتبنا الجهات في تطبيق هذه المتطلبات وإثبات الامتثال لها. احجز استشارتك المجانية.
