كشف شريف حازم، وكيل محافظ البنك المركزي المصري لقطاع الأمن السيبراني، عن إطلاق الإصدار الثاني من الإطار الوطني للأمن السيبراني للقطاع المالي والمصرفي، بالتعاون مع كبرى الشركات العالمية، في خطوة تستهدف تعزيز جاهزية المؤسسات المالية لمواجهة التهديدات السيبرانية المتطورة، ومواكبة التحولات التكنولوجية المتسارعة، وعلى رأسها الذكاء الاصطناعي والحوسبة الكمية والحوسبة السحابية وإنترنت الأشياء.
وقال حازم إن الإصدار الجديد يأتي استكمالًا للنجاح الذي حققه الإصدار الأول من الإطار، والذي استهدف توحيد مرجعية تقييم مستويات الأمن السيبراني داخل المؤسسات المصرفية والمالية، من خلال الاستناد إلى المعايير الدولية المعتمدة.
وأوضح أن فكرة الإطار الوطني بدأت عام 2022، بهدف وضع مرجع موحد لتقييم مستويات الأمن السيبراني بالبنوك العاملة في السوق المصرية، في ظل اختلاف المعايير الدولية التي تعتمد عليها المؤسسات، والتي شملت NIST وPCI DSS وISO 27001، لافتًا إلى الاستعانة بشركة Mandiant العالمية لمراجعة الإصدار الأول والتأكد من قابلية تطبيق معاييره عمليًا.
تقييم 38 مؤسسة مصرفية خلال 8 أشهر
وأشار إلى أن الإطار الأول تضمن 238 معيارًا لأمن المعلومات مستمدة من 5 معايير دولية، وجرى تقييم 38 مؤسسة مصرفية خلال 8 أشهر، أعقبتها فترة 10 أشهر لمراجعة الخطط التصحيحية، بما ساهم في تغطية المؤسسات المصرفية وتحديد الفجوات الأمنية ومتطلبات معالجتها.
وأضاف أن نطاق تطبيق الإطار امتد لاحقًا ليشمل شركات الدفع وشركات الأوراق المالية والبورصة، بما يعزز وجود نموذج موحد لتقييم مستويات الأمن السيبراني بمختلف مكونات القطاع المالي.
38 معيارًا عالميًا لمواكبة التطورات التكنولوجية
وأكد حازم أن التطور المتسارع في التكنولوجيا وأساليب الهجمات السيبرانية فرض ضرورة تحديث الإطار، خاصة مع التوسع في تطبيقات الذكاء الاصطناعي والحوسبة الكمية وإنترنت الأشياء والخدمات السحابية، فضلًا عن ظهور نماذج البنوك الرقمية التي تعمل دون فروع تقليدية وتعتمد بصورة كاملة على القنوات الإلكترونية، وهو ما يتطلب مستويات أكثر تقدمًا من الحماية.
وأوضح أن الإصدار الثاني شهد التوسع في المرجعيات الدولية التي يستند إليها الإطار، لتصل إلى أكثر من 38 معيارًا عالميًا، مقارنة بـ5 معايير في الإصدار الأول، بالتعاون مع شركة PwC، مع الاستفادة من الدروس المستفادة خلال مراحل التطبيق والتقييم السابقة.
وأشار إلى أن الإصدار الجديد يتبنى نهجًا أكثر مرونة في تقييم المؤسسات المالية، من خلال الأخذ في الاعتبار المخاطر الكامنة داخل كل مؤسسة (Inherent Risk)، وعدم تطبيق الضوابط الأمنية بالآلية ذاتها على جميع المؤسسات، بما يراعي اختلاف أحجامها وطبيعة أنشطتها ومستويات المخاطر المرتبطة بها.
وأضاف أن الإطار المطور يتضمن مفهوم «محركات المخاطر» (Risk Drivers)، لتوضيح المخاطر المحتملة الناتجة عن عدم تطبيق كل معيار أمني، إلى جانب توفير أدلة إرشادية (Guidelines) تساعد المؤسسات على فهم متطلبات المعايير وآليات تنفيذها بصورة عملية.
8 نماذج إرشادية لتأمين الذكاء الاصطناعي والحوسبة الكمية
ولفت حازم إلى أن الإصدار الثاني تضمن إعداد 8 نماذج إرشادية للتكنولوجيات الحديثة، تشمل الذكاء الاصطناعي والحوسبة الكمية، بهدف مساعدة المؤسسات المالية على تأمين خدماتها الرقمية والاستعداد المبكر للمخاطر المرتبطة بهذه التقنيات.
وأوضح أن أحد أبرز محاور الإطار الجديد يتعلق بالاستعداد لمخاطر الحوسبة الكمية، التي قد تهدد أنظمة التشفير التقليدية المستخدمة حاليًا في القطاع المصرفي، بما يستلزم البدء في تبني حلول التشفير ما بعد الكمي (Post-Quantum Cryptography)، لضمان حماية البيانات والأنظمة المصرفية، بما في ذلك البرامج وماكينات الصراف الآلي (ATM)، من التهديدات المستقبلية.
تطبيق «الثقة الصفرية» على 388 معيارًا أمنيًا
وكشف وكيل محافظ البنك المركزي عن تبني الإطار الجديد مفهوم «الثقة الصفرية» (Zero Trust)، باعتباره أحد المرتكزات الأساسية لتطوير منظومة الحماية السيبرانية، موضحًا أن هذا النهج يقوم على عدم افتراض موثوقية أي مستخدم أو جهاز أو نظام بشكل مسبق، وإنما التحقق المستمر من الصلاحيات ومستويات الأمان قبل السماح بالوصول إلى الموارد والبيانات.
وأضاف أن مفهوم الثقة الصفرية جرى تطبيقه على المعايير الأمنية البالغ عددها 388 معيارًا في الإطار الجديد، بما يعزز مستويات التحقق والرقابة المستمرة داخل المؤسسات المالية.
وأشار إلى أن الإطار المطور شهد أيضًا الاستعانة بنموذج (Capability Risk Maturity Model – CRMM2) لتقييم نضج إدارة المخاطر والقدرات الأمنية داخل المؤسسات، بما يتيح تقييمًا أكثر ارتباطًا بطبيعة المخاطر ومستوى الجاهزية الفعلي لكل مؤسسة.
البنك المركزي يستهدف تأهيل الكوادر الوطنية في الأمن السيبراني
وأكد حازم أن تطوير الإطار لا يقتصر على تحديث الضوابط والمعايير الفنية، وإنما يمتد إلى بناء الكفاءات البشرية المتخصصة في الأمن السيبراني، من خلال الاستفادة من معيار NICE العالمي لتقييم المهارات والقدرات المهنية للعاملين بالقطاع، بالتعاون مع المعهد المصرفي المصري لتحديد الاحتياجات التدريبية وتوفير البرامج اللازمة لسد فجوات المهارات.
وأشار إلى أن البنك المركزي يستهدف تعزيز التعاون بين المؤسسات المالية والجهات المعنية بالأمن السيبراني، وتبادل الخبرات والمعرفة، انطلاقًا من أن حماية القطاع المالي مسؤولية مشتركة تتطلب العمل بروح الفريق الواحد، وليس مجرد تطبيق مجموعة من القواعد الرقابية.
الإطار الجديد يستهدف تعزيز الثقة وجذب الاستثمارات
وشدد على أن الهدف من الإطار ليس فرض أعباء إضافية أو توقيع عقوبات على المؤسسات، وإنما مساعدة كل مؤسسة على تحديد نقاط الضعف لديها ووضع الخطط التصحيحية المناسبة، بما يضمن رفع كفاءة القطاع ككل وتعزيز قدرته على مواجهة التهديدات السيبرانية.
واكد حازم أن تعزيز الأمن السيبراني يمثل أحد المقومات الأساسية لزيادة الثقة في المؤسسات المالية والمصرفية، ورفع جاذبية الاستثمار، وترسيخ مكانة مصر كمركز إقليمي رائد في صناعة الأمن السيبراني، مشددًا على أهمية بناء قدرات وطنية قادرة على حماية البنية التحتية الرقمية والمالية للدولة، وعدم الاعتماد على الأطراف الخارجية في تأمين مقدراتها.