CCC أرامكو · الرياض
شهادة CCC لأرامكو لشركات الرياض: حدّد نطاق SACS-210 قبل تجهيز الأدلة
توضح تعليمات أرامكو الحالية لعام 2026 أن متطلبات SACS-210 تشمل الأطراف الخارجية، وتفرق الصفحة العربية بين الضوابط العامة للشركات الراغبة في التسجيل وبين التصنيف ومسار الشهادة للشركات ذات اتفاقية شراء سارية. لذلك لا تبدأ بشراء قالب أو اختيار CCC أو CCC+ بالاسم؛ حدّد مرحلة العلاقة والتصنيف الرسمي والنطاق، ثم جهّز الأدلة المنطبقة.
الخلاصة
دليل عملي لشركات الرياض لفهم تصنيف الأمن السيبراني في برنامج CCC لأرامكو، وتحديد النطاق والمواقع والأنظمة، وتجهيز أدلة حديثة ومؤرخة قبل التقييم. التسجيل أو التأهيل لا يضمن الحصول على أعمال، والبوابة الرسمية هي المرجع النهائي.
إذا كان الطلب قُدّم بالفعل أو وصلتك ملاحظة استكمال، استخدم قائمة فحص أسباب تأخر تسجيل مورد أرامكو والمتابعة الصحيحة.
لفهم الفرق بين رقم المورد والاعتماد الفني، راجع دليل رقم مورد أرامكو والتأهيل و9COM.
الإجابة المختصرة: ما المسار الرسمي لشهادة CCC؟
توضح الصفحة العربية الحالية أن الشركات الراغبة في مزاولة الأعمال والتسجيل تلتزم بضوابط قسم المتطلبات العامة في SACS-210. أما الشركات ذات اتفاقية شراء سارية فتطلب من الدوائر المعنية تعبئة نموذج تصنيف الطرف الثالث، ثم تؤكد التصنيف وتطبق جميع الضوابط المرتبطة به.
بعد تحديد نوع الشهادة ومتطلبات التقييم، يتعامل الطرف الثالث مع إحدى شركات التدقيق المعتمدة عبر بوابة CCC. تُستكمل العملية وفق التصنيف وطريقة التقييم، ثم تُرفع الشهادة والتقرير إلى أرامكو عبر e-Marketplace.
- طبّق المتطلبات العامة المنشورة لمرحلة التسجيل.
- إذا كانت العلاقة التعاقدية سارية، احصل على تصنيف الطرف الثالث وتأكيده.
- حدّد ضوابط SACS-210 ونوع الشهادة المنطبقين.
- اختر شركة تدقيق من القائمة الرسمية الحالية.
- استكمل التقييم وارفع التقرير والشهادة عبر القناة المحددة.
لا تختَر CCC أو CCC+ بالاسم فقط
تنشر أرامكو تصنيفات تشمل المتطلبات العامة والبنية التحتية المستعان بها والبرمجيات المخصصة والحوسبة السحابية والتقنية التشغيلية والاتصال الشبكي ومعالجة البيانات الحرجة. يحدد التصنيف الرسمي نوع الشهادة وطريقة التقييم؛ لذلك لا يصح للمورد أن يختار المسار اعتمادًا على اسم خدمته التسويقي فقط.
إذا انطبق على الشركة أكثر من تصنيف، توضح الصفحة الرسمية أن جميع الضوابط المرتبطة بالتصنيفات المنطبقة تصبح مطلوبة. المرجع الحاسم هو نموذج التصنيف وخطاب التأكيد والمتطلبات التي تظهر للشركة، لا قوائم عامة من الإنترنت.
قيمة محلية لشركات الرياض: ارسم النطاق عبر المواقع
قد تكون الإدارة والمالية في الرياض، ويعمل فريق الدعم من المنزل، وتوجد الخوادم لدى مزود سحابي، بينما يستخدم فريق ميداني أجهزة في مشروع بالمنطقة الشرقية. اكتب هذه الصورة كما هي قبل جمع الأدلة؛ فالعنوان القانوني وحده لا يشرح النطاق السيبراني.
أنشئ سجل نطاق يربط كل خدمة مقدمة لأرامكو بالبيانات والأنظمة والحسابات والأجهزة والمواقع والأطراف الخارجية التي تدعمها. ثم حدّد مالكًا داخليًا لكل عنصر: الإدارة، تقنية المعلومات، الموارد البشرية، المشتريات أو مدير المشروع. لا تدّع وجود مكتب أو مركز بيانات أو فريق في موقع غير موجود فعليًا.
- الكيان القانوني والعقود المشمولة.
- الخدمات التي يقدمها الطرف الثالث لأرامكو.
- البيانات التي تُستقبل أو تُخزن أو تُنقل.
- الأنظمة والحسابات والأجهزة المستخدمة.
- المكاتب ومواقع المشاريع والعمل عن بُعد.
- مزودو السحابة والدعم والأطراف الفرعية.
- المسؤول الداخلي عن كل نظام ودليل.
مصفوفة الأدلة: من الضابط إلى إثبات حديث
تشدد خطوات أرامكو المنشورة على أن الإجابات تكون شاملة وواضحة، وأن المرفقات حديثة وواضحة ومؤرخة، مع إبراز علاقتها بالطرف الثالث في لقطات الشاشة. لذلك لا يكفي ملف سياسات منسوخ أو نموذج غير مطبق.
استخدم جدولًا داخليًا لكل ضابط منطبق: المتطلب، الإجراء المنفذ، مالك الإجراء، اسم الدليل، تاريخ الدليل، النظام أو الموقع الذي يغطيه، وحالة المراجعة. احجب الأسرار وكلمات المرور والمفاتيح من لقطات الشاشة، ونسّق مشاركة الأدلة الحساسة عبر قناة آمنة مع الجهة المخولة.
- سياسة معتمدة مرتبطة بإجراء فعلي.
- سجل أو تقرير أو لقطة شاشة مؤرخة.
- اسم الكيان أو النظام وعلاقته بالنطاق واضحة.
- مالك للدليل يستطيع شرحه أثناء المراجعة.
- نسخة محفوظة وتاريخ تحديث ومراجعة داخلية.
أخطاء تؤخر الجاهزية
أكبر خطأ هو شراء قالب كامل ثم محاولة إسقاطه على الشركة. التصنيف والنطاق يسبقان كتابة المستندات وجمع اللقطات.
- بدء العمل قبل استلام التصنيف أو فهمه.
- إهمال موقع أو نظام أو مزود خارجي يدخل في تنفيذ الخدمة.
- سياسات بأسماء شركات أخرى أو تواريخ قديمة.
- لقطات شاشة غير مؤرخة أو لا توضح علاقتها بالكيان.
- إجابات مثالية لا يطبقها الموظفون فعليًا.
- الخلط بين الاستشارة المستقلة وشركة التدقيق المعتمدة.
- اعتبار ISO 27001 بديلًا تلقائيًا عن متطلبات SACS-210.
الصلاحية والتغيير في التصنيف
توضح أرامكو أن شهادة CCC صالحة لمدة سنتين من تاريخ الإصدار، بشرط ألا يتغير تصنيف الطرف الثالث خلال تلك المدة. إذا جاء عقد جديد بتصنيف سيبراني غير مغطى، يلزم تقييم إضافي يغطي التصنيف المحدث إلى جانب النطاق السابق.
لا تتعامل مع الشهادة كملف ثابت حتى موعد الانتهاء. راقب تغير العقود والخدمات والأنظمة ومزودي السحابة والاتصال، واحتفظ بجدول مراجعة للأدلة حتى تظل الجاهزية قابلة للإثبات.
كيف تساعد أبو معن؟
تساعد أبو معن في قراءة المتطلبات المنطبقة، وبناء سجل النطاق ومصفوفة الضوابط والأدلة، وتنظيم السياسات والسجلات، وتدريب المسؤولين، والاستعداد قبل التواصل والتقييم مع شركة تدقيق معتمدة.
أبو معن جهة استشارية مستقلة وليست أرامكو ولا شركة تدقيق معتمدة لإصدار CCC، ولا تضمن الشهادة أو تسجيل المورد أو الحصول على مشروع. مقر أبو معن في الدمام، وتُقدم أعمال التجهيز لشركات الرياض وبقية المملكة عن بُعد.
روابط مفيدة داخل الموقع
الأسئلة الشائعة
هل أؤجل الأمن السيبراني إلى ما بعد تسجيل المورد؟
لا. توضح الصفحة العربية الحالية أن الشركات الراغبة في التسجيل تلتزم بضوابط المتطلبات العامة في SACS-210، بينما يرتبط التصنيف ونوع الشهادة بالعلاقة التعاقدية والتعليمات الرسمية للحالة.
من يحدد تصنيف الشركة؟
يرتبط التصنيف بنطاق التعامل مع أرامكو ويُستكمل عبر الجهة أو الإدارة المتعاملة مع الشركة ثم يؤكده الطرف الثالث وفق الخطوات الرسمية.
هل أختار CCC أم CCC+ بنفسي؟
لا تعتمد على التخمين. نوع الشهادة وطريقة التقييم يحددهما التصنيف الرسمي والمتطلبات المنطبقة المنشورة من أرامكو.
هل شهادة ISO 27001 تغني عن CCC؟
لا تفترض ذلك. قد تدعم نضج نظام أمن المعلومات، لكن CCC يعتمد على الضوابط والتصنيف والتقييم المحدد في برنامج أرامكو.
هل يجب أن تكون الأدلة مؤرخة؟
نعم، تنص الخطوات الرسمية على تقديم أدلة حديثة وواضحة ومؤرخة، مع إظهار علاقتها بالطرف الثالث.
كم مدة صلاحية CCC؟
توضح أرامكو أن الشهادة صالحة لسنتين من تاريخ الإصدار ما لم يتغير التصنيف؛ وقد يتطلب نطاق جديد تقييمًا إضافيًا.
هل تصدر أبو معن شهادة CCC؟
لا. تساعد أبو معن في الجاهزية والتنظيم والتدريب، بينما التقييم والإصدار من شركات التدقيق المعتمدة المدرجة رسميًا.
هل يلزم زيارة مكتب أبو معن؟
لا. مقر أبو معن في الدمام، وتُنفذ أعمال التجهيز لشركات الرياض عن بُعد دون ادعاء وجود مكتب استقبال فيها.
المصادر الرسمية
البوابات الرسمية هي المرجع النهائي لأحدث المتطلبات.