1. المقدمة
ترتفع توقعات المجتمع الحديث بخصوص إتاحة تجربة عملاء خالية من العيوب وتوافر الخدمات بشكل مستمر، والحماية الفعالة للبيانات الحساسة. وتُعد أصول المعلومات والخدمات المالية عبر الإنترنت الآن ذات أهمية بالغة لجميع المؤسسات العامة والخاصة والمجتمع الأوسع نطاقاً. حيث إن هذه الخدمات أساسية للاقتصاد العالمي والوطني، وحيوية للابتكار الرقمي ومهمة للأمن القومي الأوسع. وتؤكد هذه الأهمية على ضرورة حماية البيانات الحساسة والمعاملات وتوافر الخدمات وبالتالي ضمان الثقة في القطاع المالي السعودي.
ولم تشهد العديد من الصناعات مثل هذه الزيادة الكبيرة في الابتكار مثل التقنية المالية. وعلى مدار العقد الماضي، كانت هناك زيادة في عدد المنتجات والخدمات التي وصلت إلى السوق خلال العقد الماضي والتي تقدم بالفعل فوائد كبيرة للمستهلكين والمؤسسات المالية. ومع ذلك، فإن الاستخدام المتزايد للتقنيات الناشئة يجلب معه أيضًا مخاطر المرونة السيبرانية والتي قد تؤثر على الاستقرار المالي لمنظومة القطاع المالي.
في نوفمبر 2019، وضع البنك المركزي الإطار التنظيمي للبيئة التجريبية التشريعية من أجل فهم وتقييم تأثير التقنيات الجديدة في سوق الخدمات المالية في المملكة العربية السعودية، وكذلك للمساعدة في تحويل السوق السعودية إلى مركز مالي ذكي. حيث صمم البنك المركزي بيئة تجريبية تشريعية ترحب بالشركات المحلية والدولية الراغبة في اختبار حلول رقمية جديدة في بيئة "حية" بهدف نشرها في المملكة العربية السعودية في المستقبل.
وضع البنك المركزي المتطلبات الأساسية للمرونة السيبرانية (يشار إليها هنا باسم "المتطلبات الأساسية")، وهي مخصصة تحديدًا للكيانات التي تم تأسيسها حديثاً والتي لا تزال في المراحل الأولى من عملياتها في القطاع المالي في المملكة العربية السعودية.
1.1 الهدف
تهدف المتطلبات الأساسية إلى دعم المؤسسات المالية في تحقيق التزاماتها نظرًا لما قد تواجهه من قيود أو تحديات في مواردها المتاحة، لا سيما فيما يلي:
- إدارة مجموعة موسعة من مخاطر الأمن المرونة السيبرانية ذات الصلة بالقطاع المالي في المملكة العربية السعودية والتخفيف منها؛
- تركيز الموارد على مجموعة أساسية من الضوابط بهدف توفير الحماية الفعالة للأصول المعلوماتية. ولتحقيق هذا الهدف، توفر المتطلبات الأساسية ما يلي:
- تحديد مجموعة الضوابط الأساسية وذات الأولوية للأمن والمرونة السيبرانية؛
- تحديد الهيكل والمحتوى بما يتماشى مع الأدلة التنظيمية الأخرى الصادرة عن البنك المركزي، مثل الدليل التنظيمي لأمن المعلومات (المشار إليه بـاسم "CSF") والدليل التنظيمي لإدارة استمرارية الأعمال (المشار إليه هنا بـاسم " BCMF)"، والتي يتعين على المؤسسات المالية الالتزام بها مستقبلاً في حال الترخيص.
2.1 التطبيق
ينطبق دليل "المتطلبات الأساسية" للمرونة السيبرانية على المؤسسات المالية التي تنوي التأهل للبيئة التجريبية التشريعية الخاصة بالبنك المركزي و/أو المؤسسات التي تسعى للحصول على ترخيص للعمل في المملكة. وتُعد "المتطلبات الأساسية" بمثابة حافز لتمكين المؤسسات من الالتزام بالحد الأدنى من متطلبات البنك المركزي المعنية بالمرونة السيبرانية. ولا ينبغي التعامل مع "المتطلبات الأساسية" كبديل عن الأدلة التنظيمية الخاصة بالبنك المركزي مثل الدليل التنظيمي لأمن المعلومات في القطاع المالي والدليل التنظيمي لإدارة استمرارية الأعمال، حيث يتعين على المؤسسات الالتزام بجميع المتطلبات التنظيمية ذات العلاقة الصادرة عن البنك المركزي بعد قرار الترخيص. كما ينبغي مراعات المتطلبات المنصوص عليها في الدليل التنظيمي للبيئة التجريبية التشريعية في البنك المركزي.
3.1 المسؤوليات
دليل المتطلبات الأساسية للمرونة السيبرانية صادر عن البنك المركزي السعودي، والبنك هو الجهة المالكة للدليل والمسؤول عن تحديثه بصفة دورية.
4.1 الامتثال
يحتفظ البنك المركزي بحق رفض طلب الجهة بالخروج من البيئة التجريبية والترخيص في حالة عدم مقدرتها على إثبات تحقيق الالتزام بالمتطلبات الأساسية للمرونة السيبرانية.
5.1 التفسير
للبنك المركزي وحدة مسؤولية تفسير ما يرد فيها من مبادئ ومتطلبات إن لزم الأمر، وذلك بصفته الجهة المالكة للمتطلبات الأساسية.
6.1 الجمهور المستهدف
تعد المتطلبات الأساسية مخصصة للإدارة العليا والتنفيذية، وإدارات الأعمال، وإدارة الأصول المعلوماتية ورؤساء الأمن السيبراني والمسؤولين عن تحديد وتنفيذ ومراجعة ضوابط الأمن والمرونة السيبرانية في المؤسسات المالية.
7.1 المراجعة والتحديثات والمحافظة
للبنك المركزي مراجعة المتطلبات الأساسية بشكل دوري لتقييم مدى انطباقها ضمن سياق القطاع المالي في المملكة والمؤسسات المالية المستهدفة بتطبيقها. وللبنك المركزي تحديث المتطلبات الأساسية بناءً على نتائج المراجعة في حال لزم الأمر.
يتم ضبط الإصدارات للحفاظ على المتطلبات الأساسية. وعند إجراء أي تغييرات، للبنك المركزي إلغاء الإصدار السابق وإصدار التحديث وإبلاغ الجهات المعنية. وسيتم الإشارة بوضوح إلى التغييرات في المتطلبات الأساسية.
8.1 دليل القراءة
يتم تنظيم المتطلبات الأساسية على النحو التالي:
- يتضمن الفصل الثاني شرح هيكل المتطلبات الأساسية وتقديم إرشادات حول كيفية تطبيق المتطلبات الأساسية؛
- يتضمن الفصل الثالث شرح مجالات الأمن السيبراني والمرونة بما في ذلك متطلبات الضوابط.