国家网络安全管理局（NCA）合规
什么是NCA合规性？
沙特阿拉伯国家网络安全局（NCA）负责保护该国的网络安全格局。NCA在制定政策、标准和指导方针以保护国家信息和通信技术（ICT）基础架构方面发挥着重要作用。
以下是NCA主要控制措施的概述：
- 基本网络安全控制（ECC）：这些控制是组织应该实施的基本措施，以保护其系统和数据免受常见的网络威胁。
- 云网络安全控制（CCC）：这些控制侧重于保护云计算环境，并解决与云服务相关的特定风险和挑战。
- 远程工作网络安全控制（TCC）：这些控制旨在保护远程工作环境，确保在远程地点工作的员工得到充分保护。
- 关键系统网络安全控制（CSCC）：这些控制旨在保护对关键部门和服务的运作至关重要的关键基础架构和系统。
- 操作技术网络安全控制（OTCC）：这些控制侧重于保护操作技术系统，其中包括工业控制系统（ICS）和工业环境中使用的其他技术。
- 数据网络安全控制（DCC）：这些控制专门针对保护敏感数据免受未经授权的访问、修改或披露。
这些控制措施是为解决沙特阿拉伯境内的特定网络安全风险和要求而量身定制的，确保其不同运营环境和部门的网络安全综合方法。
不合规的后果
不遵守NCA法规可能会给组织带来严重后果。这些包括巨额罚款、法律诉讼和经营许可证的丧失。此外，不遵守网络安全法规会增加组织对网络攻击的脆弱性，这可能导致数据泄露、敏感信息丢失、运营中断和重大恢复成本。这些因素的综合影响可能是毁灭性的，不仅影响组织的财务稳定性，还影响其市场地位和运营连续性。
什么是CCC合规性？
沙特阿拉伯的NCA开发了CCC，以尽量减少与云计算相关的网络安全风险。CCC为云服务提供商（CSP）和云服务租户（CST）规定了具体要求，以确保云服务的安全使用并减轻潜在的网络威胁。
CCC解决了云环境的复杂性，提供了有关数据隐私、身份管理、加密和合规性的具体指南。这些措施旨在保护云托管数据和服务的机密性、完整性和可用性。遵守CCC不仅可以减轻网络安全风险，还可以确保与国家和国际法规保持一致，为该国所有利益相关者促进安全和有弹性的数字环境。
CCC的组成部分
CCC由四个主域和24个子域组成，每个域都设计了CSP和CST的特定控制和子控制。该框架是ECC的延伸，侧重于四个主要支柱：
战略：确保云安全战略与组织目标和国家网络安全目标保持一致。
人员：培养一支能够管理和保护云环境的熟练员工队伍。
程序：实施强大的流程和策略来维护云安全。
技术：利用先进的技术和实践来保护云基础架构和数据。
实施CCC的好处
实施CCC为在沙特阿拉伯运营的CSP和CST提供了重大优势。
对于CSP
- 提高声誉：遵守CCC表明了对安全的坚定承诺，增强了客户之间的信任和信誉。
- 竞争优势：符合CCC标准，CSP成为政府机构和其他受监管行业的首选合作伙伴。
- 风险缓解：通过遵守CCC，CSP可以主动识别和解决潜在的安全漏洞，降低数据泄露和财务损失的风险。
- 业务连续性：CCC中概述的强大安全措施确保不间断的服务交付，并最大限度地减少网络攻击造成的业务中断。
- 遵守法规：CCC与国际网络安全标准保持一致，简化了在全球市场运营的CSP的合规工作。
对于CST
- 数据保护：CCC保护存储在云中的敏感数据，保护关键业务信息免受未经授权的访问。
- 降低风险：通过确保其CSP符合CCC标准，CST可以减轻数据泄露和其他网络事件的风险。
- 监管合规性：组织可以通过与符合CCC的CSP合作来证明对数据保护法规的遵守情况。
- 节省成本：防止数据泄露和相关恢复成本可以为CST节省大量财务费用。
CCC：需要考虑的关键要求
| CCC合规要求 | 是什么？ | EventLog Analyzer中的预定义报表 |
| 2-4 网络安全管理 | 确保保护CSP和CST管理的网络免受网络风险。 |
|
| 2-8 备份和恢复管理 | 根据组织政策和程序以及相关法律法规，确保保护CSP的数据和信息，包括信息系统和软件配置，免受网络风险。 | Exchange Online备份 |
| 2-11 网络安全事件日志和监控管理 | 确保及时收集、分析和监控网络安全事件日志，以主动检测和有效管理网络攻击，以防止或尽量减少对CSP和CST业务的影响。 |
|
| 2-12 网络安全事件和威胁管理 | 确保及时收集、分析和监控网络安全事件日志，以主动检测和有效管理网络攻击，以防止或尽量减少对CSP和CST业务的影响。 |
|
什么是TCC合规性？
TCC是一个全面的框架，旨在保护沙特阿拉伯组织过渡到远程工作环境。认识到对技术的日益依赖以及与远程工作相关的潜在网络风险，NCA开发了TCC来减轻这些威胁。在ECC的基础上，TCC为确保远程办公操作提供了具体指南。例如，这些控制可能涉及安全的VPN访问、MFA、远程设备的端点安全，以及公司网络外安全处理敏感信息的政策。
该框架包括三个主要领域，包括21个主控件和42个子控件，以解决远程工作安全的各个方面。这些控制旨在保护组织数据和系统，增强网络安全复原力，并促进国家的整体网络安全态势。政府实体、关键基础架构组织必须遵守TCC，并强烈鼓励沙特阿拉伯的其他企业遵守TCC。为了确保持续遵守，NCA采用自我评估和外部合规评估。
TCC的目标
TCC的主要目标是：
实现安全的远程工作：为组织提供必要的网络安全措施，在不损害安全性的情况下远程进行业务运营。
增强网络安全弹性：加强组织抵御网络攻击的能力，并从远程办公环境中的事件中快速恢复。
为国家网络安全做出贡献：通过促进标准化的安全实践来提升国家的整体网络安全态势。
实施TCC对于保护组织免受与远程工作相关的日益严重的网络威胁至关重要。通过遵循这些控制措施，企业可以大大加强其网络安全防御，降低数据泄露和财务损失的风险，并确保顺利过渡到远程运营。此外，通过TCC合规性与国际网络安全标准保持一致，表明了对保护敏感信息和保持利益相关者信任的坚定承诺。
实施TCC的好处
实施TCC至关重要，原因有几个：
- 增强网络安全弹性：通过遵守TCC，组织可以显著提高其抵御网络威胁和保护敏感信息的能力。
- 减轻网络风险：TCC解决了与远程工作相关的常见漏洞，降低了数据泄露、未经授权的访问和其他网络攻击的风险。
- 无缝远程操作：该框架促进了向远程工作的顺利过渡，同时保持安全标准。
- 降低成本：通过遵守TCC来防止网络事件，可以避免组织因数据泄露、停机和声誉受损而造成的重大财务损失。
- 与全球标准保持一致：TCC基于国际网络安全最佳实践，确保与全球安全标准的兼容性。
TCC：需要考虑的关键要求
| TCC合规要求 | 是什么？ | EventLog Analyzer中的预定义报表 |
| 2-4 网络安全管理 | 确保保护组织的网络免受网络风险。 |
|
| 2-8 备份和恢复管理 | 根据组织政策、程序和相关法律法规，确保保护组织的数据和信息，包括信息系统和软件配置，免受网络风险。 | Exchange Online备份 |
| 2-11 网络安全事件日志和监控管理 | 确保及时收集、分析和监控网络安全事件，以尽早发现潜在的网络攻击，以防止或尽量减少对组织运营的负面影响。 |
|
| 2-12 网络安全事件和威胁管理 | 考虑到14/8/1438H第37140号皇家法令，确保及时识别、检测、有效管理和处理网络安全事件和威胁，以防止或尽量减少对组织运营的负面影响。 |
|
什么是CSCC合规性？
CSCC是一个全面的框架，旨在加强在沙特阿拉伯运营的组织内关键系统的安全性。它通过提供更严格的要求来补充ECC，这些要求专门针对被认为对国家基础架构和运营至关重要的系统。CSCC由32个主控件和73个子控件组成，为保护关键系统提供了详细的路线图。
CSCC的组成部分
CSCC认识到，关键系统由各种元素组成：
- 技术组件：网络基础架构（例如路由器、交换机、防火墙）、数据库、存储、中间件、服务器、应用程序、加密设备和外围设备。
- 人为因素：参与关键系统操作的个人，包括用户、技术人员和操作员。
- 支持文档：与所有系统组件相关的文档。
CSCC的目标
CSCC的主要目标是：
- 实现安全的远程工作：为组织提供必要的网络安全措施，在不损害安全性的情况下远程进行业务运营。
- 增强网络安全弹性：加强组织抵御网络攻击的能力，并从远程办公环境中的事件中快速恢复。
- 为国家网络安全做出贡献：通过促进标准化的安全实践来提升国家的整体网络安全态势。
应遵守CSCC的组织 以下是一些应遵守这些准则的实体：
- 政府组织，包括各部委、当局和大使馆。
- 政府子公司。
- 运营关键系统的私营部门实体。
合规的重要性
对于运营关键系统的组织来说，遵守CSCC至关重要。它提供了几个好处：
- 增强网络安全弹性：加强对网络威胁的防御。
- 保护关键资产：保护重要系统和敏感信息。
- 法律和监管合规性：与NCA授权保持一致，避免潜在的处罚。
- 声誉提升：展示对网络安全最佳实践的承诺。
- 风险缓解：降低网络事件造成重大损失的可能性。
CSCC：需要考虑的关键要求
| CSCC合规要求 | 是什么？ | EventLog Analyzer中的预定义报表 |
| 2-4 网络安全管理 | 确保保护组织的网络免受网络风险。 |
|
| 2-8 备份和恢复管理 | 根据组织政策、程序和相关法律法规，确保保护组织的数据和信息，包括信息系统和软件配置，免受网络风险。 | Exchange Online备份 |
| 2-11 网络安全事件日志和监控管理 | 确保及时收集、分析和监控网络安全事件，以尽早发现潜在的网络攻击，以防止或尽量减少对组织运营的负面影响。 |
|
什么是OTCC合规性？
OTCC是一个专门的网络安全框架，旨在保护关键基础架构系统。它认识到运营技术（OT）环境（如ICS）带来的独特挑战，并提供量身定制的安全措施来减轻风险。
OTCC的目标
OTCC的主要目标是：
- 加强对关键基础架构的保护：保护基本系统和服务免受网络攻击。
- 提高组织对网络威胁的准备：为组织提供必要的工具和培训，以有效应对网络事件。
- 为国家整体网络安全做出贡献：加强国家对网络威胁的复原力，并保护关键资产。
OTCC专注于在关键设施内保护ICS，包括政府和私营部门的ICS。它适用于拥有、运营或托管关键国家基础架构（CNI）的组织。
潜在的OTCC控制区域
鉴于OT环境的性质，OTCC可能会解决以下领域。
网络安全：
- OT网络与IT网络的分割
- 使用防火墙和入侵检测系统
- 安全远程访问协议
设备硬化：
- OT设备的补丁管理
- 配置管理和变更控制
- 漏洞管理
数据保护：
- 数据分类和保护
- 备份和恢复程序
访问控制：
- 基于角色的访问控制
- 强大的身份验证机制
事件响应和恢复：
- 事件响应计划和程序
- 业务连续性和灾难恢复
OTCC的重要性
实施OTCC对于运营关键基础架构的组织至关重要。主要好处包括：
保护关键基础架构：保护重要系统免受网络攻击和破坏。
合规性：与国家网络安全授权和法规保持一致。
风险缓解：降低网络事件及其后果的可能性。
加强ICS：增强工业控制系统的安全性，工业控制系统是运营的关键组成部分。
OTCC：需要考虑的关键要求
| OTCC合规要求 | 是什么？ | EventLog Analyzer中的预定义报表 |
| 2-4 网络安全管理 | 确保保护组织的OT/ICS网络免受网络风险。 |
|
| 2-8 备份和恢复管理 | 根据组织政策、程序和相关法律法规，确保保护组织的数据和信息，包括信息系统和软件配置，免受网络风险。 | Exchange Online备份 |
| 2-11 网络安全事件日志和监控管理 | 确保及时收集、分析和监控网络安全事件，以尽早发现潜在的网络攻击，以防止或尽量减少对组织运营的负面影响。 |
|
| 2-12 网络安全事件和威胁管理 | 确保及时识别、检测、有效管理和处理网络安全事件和威胁，以防止或尽量减少对组织OT/ICS运营的负面影响。 |
|
什么是DCC合规性？
DCC的主要目的是加强沙特阿拉伯各部门组织的网络安全防御。该框架是为应对日益增长的网络安全威胁而制定的，旨在保护国家的关键基础架构、国家安全和切身利益。
DCC的结构
NCA DCC被组织成一个分层结构，旨在涵盖网络安全的各个方面：
- 该框架分为三个主要领域。这些领域代表了网络安全控制的广泛领域，包括数据保护和管理的各个方面。
- 在每个域中，有11个子域。这些子域进一步将域分解为更具体的重点领域，允许对网络安全实践进行详细管理和监督。
- 框架内有19个核心控制。这些控制提供了组织必须实施的具体指令和做法，以保护其数据。
- 控制被进一步分为47个子控制。这些子控制提供了详细的指导方针和程序，以确保全面实施核心控制。
DCC的目标
DCC的主要目标是：
- 加强网络安全标准：提高保护国家数据的标准，以防止威胁和漏洞。
- 支持组织：在整个生命周期内为实体提供持续支持，以保护其数据，帮助减轻网络安全威胁和风险。
- 提高意识：促进对各组织安全数据处理实践的更好理解。
范围和适用性
NCA DCC适用于：
- 政府组织：这包括沙特政府内部的各部委、当局和附属实体。
- 私营部门组织：参与关键国家基础架构的实体必须遵守这些控制。这包括拥有、运营或托管此类基础架构的私人组织。
- 一般组织：虽然主要关注的是政府和关键基础架构实体，但NCA鼓励王国的所有组织采用这些控制措施。这样做将有助于改善他们的网络安全态势，并确保强大的数据保护。
DCC：需要考虑的关键要求
| DCC合规要求 | 是什么？ | EventLog Analyzer中的预定义报表 |
| 2-6 安全数据处理 | 根据组织政策和程序以及与法律法规相关的安全数据处理。 |
|
| 2-7 打印机、扫描仪和复印机的网络安全 | 确保在使用打印机、扫描仪和复印机时安全处理数据。 | 打印服务器日志监控 |