منع تخزين مفاتيح التشفير الوطنية خارج المملكة وإلزام بضوابط ”الجذر السعودي“ – عاجل

أصدرت الهيئة الوطنية للأمن السيبراني وثيقة “المعيار الوطني للتشفير للجذر السعودي ومزودي خدمات إصدار الشهادات الرقمية “NSCA-1:2025″، بهدف وضع الحد الأدنى من المتطلبات التقنية والإجرائية اللازمة لتأمين البنية التحتية للمفاتيح العامة الوطنية.

وتستهدف المعايير الجديدة تعزيز قدرات الصمود السيبراني للجذر السعودي ومزودي خدمات التصديق الرقمي ضد التهديدات المتطورة، بما يسهم بشكل مباشر في رفع مستوى الأمن السيبراني على المستوى الوطني وحماية المصالح الحيوية للمملكة.

وألزمت الهيئة جميع الجهات الحكومية والخاصة داخل المملكة بالمشاركة في بنية المفاتيح العامة التحتية “PKI”، بما في ذلك مصدري الشهادات الجذرية والثانوية، بتطبيق هذه الضوابط بشكل دقيق لضمان بيئة رقمية آمنة وموثوقة.

شددت الوثيقة على ضرورة استضافة جميع البنى التحتية التقنية الخاصة بهيئة الشهادات، بما يشمل المواقع الرئيسية ومواقع النسخ الاحتياطي، محلياً وبشكل كامل داخل أراضي المملكة العربية السعودية لضمان السيادة الرقمية.

وفي إطار تعزيز الموثوقية، فرض المعيار الاحتفاظ بسجلات تدقيق شاملة لكافة الأحداث المرتبطة بدورة حياة الشهادات الرقمية لمدة لا تقل عن 24 شهراً، مع تخزين هذه السجلات بشكل آمن ومشفر يمنع التلاعب بها.

وتضمنت الاشتراطات التقنية استخدام وحدات أمن الأجهزة “HSM” بمستويات أمان عالية لا تقل عن المستوى الثالث حسب معيار “Common Criteria” أو المستوى الرابع حسب معيار “FIPS 140-3” لتوليد وتخزين مفاتيح التشفير الحساسة.

أوجبت الهيئة تطبيق مبدأ “الشخصين المخولين” كشرط أساسي وحازم عند تنفيذ العمليات الحساسة مثل توليد المفاتيح وتوقيع الشهادات، لضمان عدم انفراد شخص واحد بالتحكم في هذه العمليات الحيوية.

ونصت المعايير على ضرورة عزل الشبكة المستخدمة لتخزين مفتاح التوقيع الخاص بالجذر السعودي عزلاً تاماً عن أي شبكات أخرى، لحماية الأصول الرقمية الأشد حساسية من أي محاولات اختراق عبر الشبكة.

وفيما يخص الأمن المادي، اشترطت الوثيقة تركيب أنظمة تحكم في الدخول متعددة العناصر، ومراقبة مستمرة بالكاميرات على مدار الساعة وطوال أيام الأسبوع لجميع المنشآت التي تحتضن أجهزة التشفير.

أكدت المعايير على أهمية وجود نسخ احتياطية خارجية للبيانات والمفاتيح، يتم تحديثها شهرياً وحفظها في مواقع جغرافية منفصلة تطبق نفس المعايير الأمنية للموقع الرئيسي، لضمان استمرارية الأعمال في حالات الطوارئ.

وحددت الوثيقة بروتوكولات صارمة لإلغاء الشهادات الرقمية، ملزمةً مزودي الخدمة بتحديث قوائم الشهادات الملغاة “CRL” خلال 12 ساعة كحد أقصى من لحظة الإلغاء، لضمان عدم استخدام شهادات غير صالحة.