ما هو الامتثال للأمن السيبراني المطلوب في المناقصات السعودية وكم تبلغ تكلفته؟

أكثر البنود التي يتم التعثر فيها أثناء التدقيق الفني: تشفير البيانات الخاملة في قاعدة البيانات، المصادقة المتعددة العوامل (MFA) في جميع لوحات التحكم، وخادم السجلات المركزي. بالإضافة إلى ذلك، يشترط أن يكون لدى مزود السحابة الذي تستخدمه مركز بيانات محلي داخل السعودية بموجب سيادة البيانات.

إرفاق الوثائق التالية في ملف العرض قد ينقذ الموقف: 1) نموذج التقييم الذاتي المعبأ وفق القالب الرسمي، 2) ملخص سياسة أمن المعلومات بالشركة، 3) تعهد بالالتزام خلال 60 يومًا محدد التواريخ للبنود الناقصة إن وجدت. الجهات الحكومية عادة ما تقبل هذا التعهد بدلاً من الرفض المباشر.

العام الماضي حدث معنا نفس الأمر في مناقصة حكومية بالدمام لعقد بقيمة 500.000 SAR. شركة التدقيق قدمت عرضًا بقيمة 60.000 SAR وكان يفوق ميزانيتنا. أصلحنا الفجوات وكتبنا السياسات مع مستشار محلي بـ 18.000 SAR وفزنا بالمناقصة. وقبل تسليم العمل جاءوا وفحصوا الضوابط في الموقع.

إذا كان هذا البند موجودًا في المناقصة وفزت بالعمل، فإن المقاول الرئيسي يحتفظ بحق التدقيق المفاجئ طوال فترة العقد. التوقيع بـ "نحن ممتثلون" لمجرد تقديم العرض دون اتخاذ أي تدابير فنية هو أمر مخاطرة جدًا. في حال حدوث أي تسريب ستخسر ضمانك وتمتنع عنك قائمة الموردين الرسمية.

هل وثائق المناقصة تنص صراحة على إرفاق تقرير معتمد من شركة تدقيق خارجية، أم تكتفي بتعهد من المورد فقط؟ هذه التفصيلة قد تتسبب في مضاعفة التكلفة عليك ثلاثة أضعاف بشكل مباشر.

أصبحت لوائح الأمن السيبراني في السوق السعودي إلزامية لموردي البنية التحتية الحيوية خلال العامين الماضيين. من المفيد التعامل مع متطلبات كراسة الشروط كاستثمار يعزز فرصك مع الشركات في المنطقة، وليس مجرد تكلفة عابرة للمناقصة.

لا تقلق، ترتيب العمليات في فريق مكون من 14 شخصاً يكون أسرع بكثير مقارنة بالشركات الكبيرة. بدلاً من شراء برامج أمان سحابية ومؤسسية مكلفة، يمكنك تلبية معظم ضوابط الفحص بسرعة عبر تشفير البنية التحتية الحالية وتنظيم السجلات (log) وضبط قواعد الوصول.

دعني أشارك تجربتي. انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.

انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار. بالتوفيق.

دعني أترك تنبيهًا. معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

نعم، الوضع في موضوع الامتثال للأمن السيبراني هو بالضبط هكذا. لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.

صححوا لي إن أخطأت.

أود طرح سؤال. تقرير الفحص الآلي ليس نفس اختبار الاختراق.

أتمنى أن يفيدك هذا.

سأكتب ما حدث لي، ربما يفيدكم. كل من يستعجل في الامتثال للأمن السيبراني يتعثر في نفس النقطة.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

ظهرت ثلاث وجهات نظر مختلفة، وكلها تكمل بعضها. كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.

مررت بهذا الطريق، دعني أشرح. إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا.

المسألة ليست الرقم، بل الأساس الذي بُني عليه. مثبت بالتجربة.

قضيت وقتًا طويلاً في هذا المجال. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

نعم، الوضع في موضوع الامتثال للأمن السيبراني هو بالضبط هكذا. يعني إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار.

إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً... هذا كل شيء، أرجو المعذرة إذا أطالت.

بالضبط هكذا لكن إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

دعوني ألخص ما قيل حتى الآن. إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار.