أبرز تطورات الأمن السيبراني في 2025

يمكن تصنيف تطورات العام الماضي ضمن مجالين حاسمين: تطور الجهات المهدِّدة ونضج الإطار التنظيمي.

مشهد التهديدات المتطور

أكد عام 2025 أن الجهات المهدِّدة أصبحت أسرع وأكثر تخصصًا وفعالية على نحو مقلق في استغلال الأدوات الشرعية ونقاط الوصول

اختراق سلسلة الإمداد:

كان تصاعد الهجمات الناجحة التي تستهدف المورّدين من الأطراف الثالثة ومزوّدي البرمجيات ومزوّدي الخدمات المُدارة (MSPs) سمة بارزة. وقد تجاوزت هذه الهجمات دفاعات المحيط التقليدية عبر استغلال الحلقات الأضعف في المنظومة الرقمية الممتدة للشركة. وأصبح خرق لدى مورّد صغير خطرًا منهجيًا على أكبر عملائه.

كما أدى ذلك إلى تعرّض مباشر على مستوى الحوكمة والامتثال: فوفق نموذج الهيئة الوطنية للأمن السيبراني (NCA)، يُتوقع من الجهات إدارة مخاطر الأمن السيبراني عبر منظومتها الممتدة، ما يجعل نقاط ضعف المورّدين مسؤولية تعاقدية محتملة، وقد تصبح—بحسب الظروف—مسألة تنظيمية واجبة الإبلاغ.

تطور نموذج «برمجيات الفدية كخدمة» (RaaS):

واصلت مجموعات برمجيات الفدية احترافها، مع تبني نموذج «الابتزاز الثلاثي»، عبر تشفير البيانات وتسريبها ثم استهداف عملاء الضحية أو شركائه لممارسة مزيد من الضغط. وقد حوّل ذلك تركيز الاستجابة للحوادث من مجرد استعادة البيانات إلى إدارة أزمات عميقة على مستوى السمعة والمسؤولية القانونية.

وبعيدًا عن التعافي التشغيلي، باتت برمجيات الفدية تُطلق على نحو متزايد خطوات حساسة قانونيًا: جداول الإخطار، والتواصل مع أصحاب المصلحة، والتنسيق مع الجهات المختصة، وحفظ الأدلة؛ وهي مجالات لا يعني فيها «الاحتواء التقني» بالضرورة تحقق الامتثال التنظيمي.

استخدام الذكاء الاصطناعي والتزييف العميق:

بدأت الجهات الخبيثة في الاستفادة بفعالية من أدوات الذكاء الاصطناعي التوليدي لإنشاء حملات تصيّد شديدة الواقعية (التصيّد الصوتي والهندسة الاجتماعية بالتزييف العميق) استهدفت التنفيذيين والموظفين ذوي القيمة العالية. وهذا جعل العنصر البشري الحلقة الأكثر هشاشة في سلسلة الدفاع.

وبالنسبة للقيادة، يرفع ذلك المخاطر السيبرانية إلى مستوى المساءلة التنفيذية: يجب أن تكون برامج التوعية وبروتوكولات التصعيد وضوابط اتخاذ القرار قابلة للتدقيق ومتوافقة مع التوقعات المحلية، لا أن تُعامل كخانات تدريب عامة تُؤشر فحسب.

ما الذي تعنيه هذه التطورات لعام 2026

إن تلاقي التهديدات المتطورة مع متطلبات الامتثال الصارمة يفرض وضعًا استراتيجيًا جديدًا لعام 2026.

تعاظم المسؤولية القانونية ومسؤولية مجلس الإدارة عن الأمن السيبراني في المملكة العربية السعودية

أكبر تحول هو الاعتراف بأن المخاطر السيبرانية هي مخاطر ائتمانية/أمانة. ومع نضج أطر الامتثال للأمن السيبراني للشركات في المملكة العربية السعودية، تتزايد مسؤولية الاختراق الكارثي لتقع على مجلس الإدارة والقيادة التنفيذية. وتلاحظ مكاتب المحاماة بالفعل أن الدعاوى والاستفسارات التنظيمية تتحول من الإخفاقات التقنية إلى أسئلة حول حوكمة الأمن السيبراني في المملكة العربية السعودية والعناية الواجبة. هل خصص مجلس الإدارة موارد كافية؟ هل مُنح مسؤول أمن المعلومات (CISO) الصلاحيات اللازمة؟ هل أُجريت عمليات تدقيق وفق المعايير المحلية (مثل ECC)؟

في الممارسة التنظيمية، يصبح السؤال الجوهري: هل تستطيع الجهة إثبات امتثال مُطبَّق (لا ورقي)، وإشراف مجلس الإدارة، ومسار قرارات وضوابط وأنشطة ضمان يمكن الدفاع عنه.

المرونة الرقمية بدلًا من مجرد الوقاية

يجب أن ينتقل التركيز من هدف غير قابل للتحقق يتمثل في الوقاية بنسبة 100 % إلى المرونة الرقمية؛ أي القدرة على التنبؤ بالهجوم وتحمله والتعافي منه والتكيف بسرعة. ويشمل ذلك تطبيق خطط استجابة للحوادث (IRP) قوية ومختبرة بانتظام، تراعي متطلبات الإخطار القانونية وأحكام خصوصية البيانات ومتطلبات الإبلاغ التنظيمي داخل المملكة.

ينبغي أن تكون خطة الاستجابة للحوادث المرنة مستندة إلى اعتبارات قانونية: إذ يجب أن تستبق حفظ الأدلة وسلطة التصعيد والتنسيق مع الجهات التنظيمية ومتطلبات التوثيق، بحيث تُقاس الجاهزية بقدرة الاستجابة للامتثال بقدر ما تُقاس بسرعة التعافي التقني.

محفّز رؤية 2030

كل مشروع تحول رقمي ضمن رؤية 2030، من المدن الذكية إلى ابتكارات التقنية المالية (FinTech)، يضيف نقطة دخول جديدة للجهات المهدِّدة. لم يعد الأمن فكرة لاحقة تُضاف في نهاية المشروع؛ بل يجب أن يكون «الأمن بالتصميم» (Security by Design) مدمجًا منذ مراحل التخطيط الأولى لضمان ألا يتحقق النمو على حساب الاستقرار.

كما يعزز ذلك بُعد الامتثال: ينبغي لبرامج التحول مواءمة متطلبات الأمن مع الضوابط الوطنية المعمول بها وتوقعات القطاعات منذ مرحلة التصميم، بحيث يظل التنفيذ قابلًا للدفاع عنه تحت التدقيق التنظيمي.

خطة عمل تنفيذية لعام 2026

تُبنى خارطة الطريق لتحقيق المرونة الرقمية على أربعة مرتكزات استراتيجية:

الحوكمة والإشراف

• إلزام مشاركة مجلس الإدارة: تعيين عضو في مجلس الإدارة أو لجنة على دراية رقمية للإشراف على المخاطر السيبرانية.
• الإصرار على تقارير منتظمة: إلزام تقارير امتثال ربع سنوية تُفصّل تحديدًا مدى التزام الجهة بضوابط الهيئة الوطنية للأمن السيبراني (NCA) ضمن «الضوابط الأساسية للأمن السيبراني» (ECC) الواردة في ملف ECC-EN.pdf.
• الهدف: رفع إدارة المخاطر السيبرانية إلى مستوى المساءلة الاستراتيجية على مستوى القيادة التنفيذية، بما يحقق الواجبات الائتمانية/الأمانة.

ولجعل الإشراف عمليًا، ينبغي أن تربط التقارير الوضع السيبراني بالتعرّض القانوني واستمرارية الأعمال (مثل مؤشرات متوافقة مع ECC بدلًا من مؤشرات أداء عامة).

الامتثال وعمليات التدقيق التنظيمي للأمن السيبراني في المملكة العربية السعودية

• إنهاء «الامتثال الورقي»: تجاوز فحوصات الامتثال النظرية.
• تكليف عمليات تدقيق خارجية: الاستعانة بمدققين مستقلين من أطراف ثالثة لاختبار الأنظمة تحت الضغط تحديدًا وفق متطلبات ECC التابعة للهيئة الوطنية للأمن السيبراني (NCA).
• الهدف: قياس الوضع الأمني الحقيقي بدقة، وتحديد فجوات التطبيق الفعلية، وضمان الامتثال للالتزامات القانونية في المملكة العربية السعودية.

ينبغي أن تكون مخرجات التدقيق قابلة للاستخدام كأدلة يمكن الدفاع عنها على العناية الواجبة، بما يُظهر التطبيق وتتبع المعالجة ومسؤوليات واضحة.

أمن سلسلة الإمداد

• تشديد عقود المورّدين: إلزام جميع المورّدين الرئيسيين من الأطراف الثالثة بتوقيع عقود تتضمن بنودًا أمنية صارمة تغطي المسؤولية وإخطار الاختراق.
• ضمان المواءمة: إلزام مواءمة ضوابط المورّد مع المتطلبات الأمنية التي يفرضها إطار ECC، حيثما ينطبق.
• الهدف: الحد من المخاطر المنهجية عبر تأمين أضعف الحلقات في المنظومة الرقمية الممتدة للجهة.

في عام 2026، سيكون أمن سلسلة الإمداد عملًا تعاقديًا وحوكميًا بقدر ما هو عمل تقني: فوضوح الالتزامات والتصعيد وحقوق التدقيق وشروط التعاون عند الحوادث يقلل التعرض التشغيلي والقانوني معًا.

التقنية والمعمارية

• اعتماد نهج «انعدام الثقة» (ZTA): افترض أن الخصم في الداخل وانتقل إلى معمارية انعدام الثقة.
• التحقق من كل شيء: تطبيق ضوابط تتحقق من كل مستخدم وجهاز وتطبيق يحاول الوصول إلى موارد الشبكة، بغض النظر عن موقعه.
• الهدف: احتواء نطاق الأثر لأي اختراق ومنع المهاجمين من التحرك أفقيًا داخل الشبكة.

عند نشر هذه المعماريات، ضع التوثيق والمساءلة في الاعتبار: ينبغي أن تُترجم الضوابط التقنية إلى سياسات داخلية واضحة وتطبيق قابل للتتبع.

قائمة تحقق تنفيذية: ما الذي يجب أن تسأله فريقك الآن

إن الأسئلة التي يطرحها التنفيذي تعكس مباشرة مستوى نضج الأمن السيبراني لدى الجهة. ينبغي لكل قائد رفيع والمستشار العام أن يطرح على مسؤول أمن المعلومات (CISO) أو مدير تقنية المعلومات الأسئلة الأساسية التالية:

• الامتثال: «هل يمكننا إثبات التزامنا بشكل قاطع بضوابط الهيئة الوطنية للأمن السيبراني الأساسية (الامتثال لـ ECC) واللوائح ذات الصلة الخاصة بالقطاع (مثل ساما)؟ ومتى كان آخر تدقيق مستقل؟»
• جاهزية الاستجابة: «ما مدى سرعتنا في إخطار جميع الجهات المحلية المختصة والأطراف المتأثرة وفقًا للمتطلبات القانونية بعد تأكيد الاختراق، وهل أجرينا بنجاح هذا الربع محاكاة استجابة لحادث على نطاق كامل، مستندة إلى اعتبارات قانونية ومتعددة الإدارات؟»
• التخفيف المالي: «ما نطاق تغطية التأمين السيبراني لدينا حاليًا، وهل تغطي صياغة الوثيقة المخاطر الحديثة مثل تعطل الأعمال بسبب برمجيات الفدية والتكاليف المرتبطة بالغرامات التنظيمية بموجب نظام المملكة العربية السعودية؟»
• المواهب والتوعية: «ما استراتيجيتنا لاستقطاب الكفاءات السعودية المؤهلة في الأمن السيبراني والاحتفاظ بها، وهل برنامج التدريب الإلزامي للموظفين مُصمم تحديدًا للتصدي لأكثر تهديدات 2025 شيوعًا (مثل التزييف العميق المدفوع بالذكاء الاصطناعي)؟»
• الميزانية: «كيف يُوزَّع إنفاقنا الأمني بين الوقاية والكشف والتعافي/قدرات المرونة، وهل تم تحجيم الميزانية بما يتناسب مع مخاطر مشاريع التحول الرقمي لدينا؟»

إضافة منظور الحوكمة: «هل مؤشرات امتثال ECC مدمجة في تقارير القيادة، وهل يمكننا تقديم أدلة على الإشراف والتصعيد واتخاذ القرار إذا راجعها المنظمون؟»

الخلاصة

إن الانتقال إلى المرونة الرقمية في المملكة العربية السعودية في عام 2026 هو في جوهره تحول في حوكمة الشركات والاستشراف القانوني. إن طريق تحقيق الامتثال للأمن السيبراني ضمن رؤية 2030، إلى جانب أهدافها الطموحة، لا يُمهد بالاستثمار التقني وحده، بل بوضوح قانوني تام.

إن التطبيق الناجح لإطار ECC الإلزامي، وإدارة مخاطر سلسلة الإمداد المعقدة، والتعامل مع التدقيق التنظيمي الحتمي، يتطلب أكثر من تنفيذ تقني؛ إذ يستلزم نهجًا قانونيًا واستراتيجيًا متكاملًا. يجب على المؤسسات ترجمة الضوابط التقنية إلى سياسات قانونية واضحة، وإبرام عقود قابلة للدفاع عنها مع الشركاء، وبناء هياكل حوكمة تصمد أمام التحقيق التنظيمي. وستكون الجهات التي تنجح في تحقيق هذا التكامل—بمواءمة استراتيجيتها السيبرانية مع الالتزامات القانونية الدقيقة والمتطورة في المملكة—هي القادة الحقيقيين للاقتصاد الرقمي، بما يضمن أن يكون نموها سريعًا وآمنًا في آن واحد.