المملكة: منع تخزين مفاتيح التشفير الوطنية خارج المملكة وإلزام بضوابط ”الجذر السعودي“ – عاجل
صادر الهيئة الوطنية للأمن السيبراني وثيقة “المعيار الوطني للتشفير لمقدمي خدمات إصدار الشهادات الجذرية والرقمية السعوديين “NSCA-1:2025”” بهدف تحديد الحد الأدنى من المتطلبات الفنية والإجرائية اللازمة لتأمين البنية التحتية الوطنية للمفتاح العام.
وتهدف المعايير الجديدة إلى تعزيز قدرات المرونة السيبرانية للجذر السعودي و الشهادة الرقمية ضد التهديدات المتقدمة، مما يساهم بشكل مباشر في رفع مستوى الأمن السيبراني على المستوى الوطني وحماية المصالح الحيوية للمملكة.
وألزمت الهيئة جميع الجهات الحكومية والخاصة داخل المملكة المشاركة في البنية التحتية للمفتاح العام (PKI)، بما في ذلك الجهات المصدرة للشهادات الجذرية والثانوية، بتنفيذ هذه الضوابط بدقة لضمان بيئة رقمية آمنة وموثوقة.
المواقع الرئيسية
وشددت الوثيقة على ضرورة استضافة كافة البنية التحتية التقنية لهيئة التصديق بما في ذلك المواقع الرئيسية. والنسخ الاحتياطي للمواقع محلياً وكاملاً داخل أراضي المملكة العربية السعودية لضمان السيادة الرقمية.
وفي إطار تعزيز الموثوقية، تطلب المعيار الاحتفاظ بسجلات تدقيق شاملة لجميع الأحداث المتعلقة بدورة حياة الشهادات الرقمية لمدة لا تقل عن 24 شهراً، وتخزين هذه السجلات بطريقة آمنة ومشفرة تمنع التلاعب.
وتضمنت المتطلبات الفنية استخدام وحدات أمان الأجهزة (HSM) ذات مستويات أمان عالية لا تقل عن المستوى الثالث وفقًا لمعيار المعايير المشتركة أو المستوى الرابع وفقًا لمعيار المعايير المشتركة. “FIPS 140-3” لإنشاء وتخزين مفاتيح التشفير الحساسة.
العمليات الحيوية
واشترطت الهيئة تطبيق مبدأ “الشخصين المفوضين” كشرط أساسي وصارم عند تنفيذ العمليات الحساسة مثل إنشاء المفاتيح وتوقيع الشهادات، لضمان عدم وجود شخص واحد بمفرده في السيطرة على هذه العمليات الحيوية.
وتنص المعايير على أن الشبكة المستخدمة لتخزين مفتاح توقيع الجذر السعودي يجب أن تكون معزولة تماماً عن أي شبكات أخرى، وذلك لحماية الأصول الرقمية الأكثر حساسية من أي محاولات اختراق عبر الشبكة.
وفيما يتعلق بالأمن المادي، طالبت الوثيقة بتركيب أنظمة تحكم في الوصول متعددة العناصر، ومراقبة مستمرة بالكاميرات على مدار 24 ساعة في اليوم، 7 أيام في الأسبوع لجميع المنشآت التي تستضيف أجهزة التشفير.
نسخ احتياطية
وشددت المعايير على أهمية وجود نسخ احتياطية خارجية من البيانات والمفاتيح، يتم تحديثها شهرياً وحفظها في مواقع جغرافية منفصلة تطبق نفس المعايير الأمنية المطبقة في الموقع الرئيسي، لضمان استمرارية العمل في حالات الطوارئ.
حددت الوثيقة بروتوكولات صارمة. لإلغاء الشهادات الرقمية، يلتزم مقدمو الخدمة بتحديث قوائم الشهادات الملغاة (“CRL”) خلال مدة أقصاها 12 ساعة من لحظة الإلغاء، لضمان عدم استخدام الشهادات غير الصالحة.
للمزيد : تابع خليجيون 24 ، وللتواصل الاجتماعي تابعنا علي فيسبوك وتويتر
