شريف حازم: البنك المركزي يبدأ الرقابة الميدانية لمتابعة تطبيق البنوك الإصدار الثاني لإطار الأمن السيبراني

أكد الدكتور شريف حازم، وكيل محافظ البنك المركزي المصري للأمن السيبراني، أن البنك المركزي سيبدأ خلال الفترة المقبلة متابعة مدى التزام البنوك بتطبيق الإصدار الثاني من الإطار التنظيمي للأمن السيبراني، من خلال تنفيذ زيارات رقابية ميدانية لتقييم جاهزية كل بنك والتحقق من استيفائه الضوابط والمتطلبات الجديدة.

جاء ذلك خلال استعراض الإصدار الثاني من إطار الأمن السيبراني للقطاع المالي والمصرفي المصري، ضمن فعاليات معرض ومؤتمر القاهرة الدولي للتكنولوجيا Cairo ICT 2026.

أوضح أن هذه المتابعة تستهدف مساندة البنوك في تطبيق الإطار بالشكل الصحيح، ورصد أوجه القصور التي قد تواجهها، والعمل على معالجتها من خلال وضع وتنفيذ الإجراءات التصحيحية اللازمة، قبل الانتقال إلى اتخاذ الإجراءات الرقابية المقررة بشأن المخالفات والجزاءات.

وأشار حازم إلى أن قدرة المؤسسات المصرفية على تطبيق متطلبات الأمن السيبراني تختلف وفقًا لحجم كل مؤسسة وإمكاناتها وطبيعة نشاطها، لافتًا إلى أن البنك المركزي يستهدف استمرار رفع مستويات الجاهزية لدى جميع البنوك، بما يتناسب مع التطور المتواصل في أساليب الهجمات والتهديدات السيبرانية.

وشدد على ضرورة الاهتمام بإدارات أمن المعلومات داخل البنوك، وتوفير بيئة عمل تساعدها على جذب المتخصصين والاحتفاظ بالكفاءات والخبرات المؤهلة، في ظل المنافسة المتزايدة على استقطاب العاملين ذوي المهارات المتقدمة في مجال الأمن السيبراني.

وأضاف أن التطور في الخدمات المصرفية الرقمية وظهور البنوك التي تعتمد على القنوات الإلكترونية بصورة كاملة يفرضان على المؤسسات المالية تطوير أنظمة الحماية السيبرانية بالتوازي مع التوسع في تقديم الخدمات، مؤكدًا أن تأمين هذه المؤسسات يمثل عنصرًا رئيسيًا لضمان استمرار التحول الرقمي وتحقيق أهدافه.

وأكد أن دور الأمن السيبراني تجاوز مفهوم التدابير الوقائية التقليدية، ليصبح أحد العناصر الضرورية للحفاظ على استقرار المؤسسات المالية وضمان استمرارية خدماتها، فضلًا عن حماية البنية التحتية الرقمية للدولة.

وفي سياق متصل، قال شريف حازم إن الإصدار الثاني من الإطار التنظيمي للأمن السيبراني للقطاع المالي والمصرفي يعتمد على أكثر من 38 معيارًا ومرجعًا دوليًا، مقارنة بخمسة معايير استند إليها الإصدار الأول، كما يتضمن 8 نماذج إرشادية تتناول التعامل مع التقنيات التكنولوجية الحديثة.

وأوضح حازم، أن البنك المركزي استعان بشركة «PwC» لمراجعة المعايير التي يتضمنها الإصدار الجديد، بما يضمن مواكبتها للتطورات التي يشهدها القطاع المصرفي، خاصة التوسع في استخدام تطبيقات الذكاء الاصطناعي والحوسبة السحابية، إلى جانب دخول البنوك الرقمية إلى السوق.

وأشار إلى أن الإطار المحدث يعتمد في تحديد متطلبات الحماية على طبيعة المخاطر التي تواجه كل مؤسسة، إلى جانب حجم أعمالها ونوعية الخدمات التي تقدمها، موضحًا أن مستوى الضوابط المطلوبة يتحدد وفقًا لدرجة تعرض المؤسسة للمخاطر، لافتًا إلى أن متطلبات بنك كبير تختلف عن تلك المطبقة على شركة صرافة صغيرة، مع استمرار تقييم جاهزية كل جهة بما يتناسب مع طبيعة نشاطها.

وأضاف أن الإطار الجديد يحدد المخاطر المحتملة التي قد تتعرض لها المؤسسة في حال عدم الالتزام بكل ضابط من الضوابط الأمنية، كما يوفر أدلة إرشادية توضح لفرق العمل كيفية تنفيذ المتطلبات وتطبيقها عمليًا، مؤكدًا أن البنوك الرقمية، التي تقدم خدماتها بالكامل عبر الإنترنت، تحتاج إلى ضوابط أمنية تتلاءم مع طبيعة اعتمادها على القنوات الرقمية في تنفيذ عملياتها.

وأوضح أن النماذج الإرشادية الثمانية تغطي عددًا من التقنيات الحديثة، من بينها الذكاء الاصطناعي والحوسبة الكمية، وتتضمن إرشادات تساعد المؤسسات المصرفية على الاستعداد للتحول إلى تقنيات التشفير المقاومة للهجمات التي قد تنفذها الحواسيب الكمية.

وتناول حازم كذلك خطط تطوير مهارات العاملين في إدارات أمن المعلومات بالبنوك، من خلال تنظيم تدريبات تعتمد على محاكاة الهجمات السيبرانية، بما يسمح باختبار قدرة الفرق على اكتشاف الهجمات والتعامل معها في الوقت المناسب، وتحديد المهارات التي تحتاج إلى تطوير، مشيرًا إلى إمكانية مساهمة المعهد المصرفي المصري في تنفيذ برامج تدريبية متخصصة، وفقًا للاحتياجات التي تظهرها نتائج التقييمات.

ولفت إلى أن الإصدار الجديد يستفيد من الخبرات المتراكمة خلال تطبيق الإطار الأول الذي بدأ العمل به عام 2022، وكان يضم 238 معيارًا لأمن المعلومات، موضحًا أن البنك المركزي أجرى من خلاله تقييمًا لمستويات الجاهزية لدى 38 مؤسسة مصرفية على مدار 8 أشهر، ثم خصص 10 أشهر لمتابعة ومراجعة الخطط التصحيحية التي وضعتها تلك المؤسسات لمعالجة أوجه القصور، قبل توسيع نطاق التقييم ليشمل شركات الدفع والمؤسسات العاملة في سوق الأوراق المالية.

وكان شريف حازم، وكيل محافظ البنك المركزي المصري لقطاع الأمن السيبراني، قد أعلن إطلاق الإصدار الثاني من الإطار الوطني للأمن السيبراني للقطاع المالي والمصرفي، بالتعاون مع شركات عالمية كبرى، بهدف رفع قدرة المؤسسات المالية على مواجهة التهديدات السيبرانية المتطورة، ومواكبة التغيرات التكنولوجية المتسارعة، وفي مقدمتها الذكاء الاصطناعي والحوسبة الكمية والحوسبة السحابية وإنترنت الأشياء.

وقال حازم إن الإصدار الثاني يمثل امتدادًا لما حققه الإصدار الأول من نتائج، والذي استهدف توحيد الأسس التي تعتمد عليها المؤسسات المصرفية والمالية في تقييم مستويات الأمن السيبراني لديها، من خلال الاستناد إلى مجموعة من المعايير الدولية المعترف بها.

وأوضح أن العمل على إعداد الإطار الوطني بدأ عام 2022، بهدف إنشاء مرجعية موحدة لقياس مستويات الأمن السيبراني في البنوك العاملة بالسوق المصرية، في ظل اعتماد المؤسسات على معايير دولية متعددة، من بينها NIST وPCI DSS وISO 27001، مضيفًا أن البنك المركزي استعان بشركة Mandiant العالمية لمراجعة الإصدار الأول، والتحقق من إمكانية تطبيق المعايير التي تضمنها على أرض الواقع.

وأشار إلى أن الإصدار الأول اشتمل على 238 معيارًا لأمن المعلومات، جرى إعدادها بالاستناد إلى 5 معايير دولية، موضحًا أن البنك المركزي انتهى من تقييم 38 مؤسسة مصرفية خلال 8 أشهر، أعقب ذلك تخصيص 10 أشهر لمراجعة الخطط التصحيحية التي أعدتها المؤسسات لمعالجة الفجوات الأمنية التي كشف عنها التقييم.

وأضاف أن تطبيق الإطار لم يقتصر على البنوك، بل امتد في مراحل لاحقة ليشمل شركات الدفع وشركات الأوراق المالية والبورصة، بما يدعم توحيد منهجية تقييم الأمن السيبراني في مختلف الأنشطة والمؤسسات العاملة بالقطاع المالي.

وأكد حازم أن التغير المستمر في التكنولوجيا وتطور أساليب تنفيذ الهجمات الإلكترونية جعلا تحديث الإطار ضرورة، لا سيما مع زيادة استخدام الذكاء الاصطناعي والحوسبة الكمية وإنترنت الأشياء والخدمات السحابية، إلى جانب ظهور البنوك الرقمية التي تعمل دون فروع تقليدية وتعتمد بصورة كاملة على الخدمات الإلكترونية، وهو ما يتطلب تطبيق مستويات متقدمة من الحماية.

وأوضح أن الإصدار الثاني وسّع نطاق المراجع والمعايير الدولية التي يستند إليها، لتتجاوز 38 معيارًا عالميًا بدلًا من 5 معايير في الإصدار الأول، وذلك بالتعاون مع شركة PwC، مع الاستفادة من النتائج والخبرات التي أسفرت عنها مراحل التطبيق والتقييم السابقة.

وأشار إلى أن الإطار الجديد يطبق منهجية أكثر مرونة في تقييم المؤسسات المالية، تقوم على تحديد المخاطر الكامنة داخل كل مؤسسة، بدلاً من فرض مجموعة موحدة من الضوابط الأمنية على جميع المؤسسات دون مراعاة الفروق بينها، بما يضمن توافق المتطلبات مع حجم كل مؤسسة وطبيعة أنشطتها ومستوى المخاطر التي تتعرض لها.

وأضاف أن الإطار المطور أدخل مفهوم «محركات المخاطر»، الذي يوضح طبيعة المخاطر المحتمل أن تواجهها المؤسسة نتيجة عدم تطبيق كل معيار أمني، إلى جانب توفير أدلة إرشادية تشرح للمؤسسات متطلبات المعايير والخطوات العملية اللازمة لتنفيذها.

ولفت حازم إلى أن الإصدار الثاني يتضمن 8 نماذج إرشادية مخصصة للتعامل مع التقنيات الحديثة، ومنها الذكاء الاصطناعي والحوسبة الكمية، لمساعدة المؤسسات المالية على تأمين خدماتها الرقمية والتعامل بصورة استباقية مع المخاطر التي قد ترتبط باستخدام هذه التقنيات.

وأوضح أن الاستعداد لمخاطر الحوسبة الكمية يمثل أحد المحاور المهمة في الإطار الجديد، نظرًا إلى ما يمكن أن تشكله هذه التكنولوجيا من تهديد لأنظمة التشفير التقليدية المستخدمة حاليًا في القطاع المصرفي، مؤكدًا أن ذلك يتطلب بدء الاستعداد لتطبيق حلول التشفير ما بعد الكمي بما يضمن استمرار حماية البيانات والأنظمة المصرفية، بما فيها البرامج وماكينات الصراف الآلي، من المخاطر السيبرانية المستقبلية.

وكشف وكيل محافظ البنك المركزي عن اعتماد مفهوم «الثقة الصفرية» ضمن مرتكزات الإطار الجديد، موضحًا أن هذا المفهوم يقوم على عدم منح الثقة بشكل تلقائي لأي مستخدم أو جهاز أو نظام، مع ضرورة التحقق المستمر من الصلاحيات ومستوى الأمان قبل السماح بالوصول إلى البيانات والموارد داخل المؤسسة.

وأضاف أن تطبيق هذا النهج امتد إلى المعايير الأمنية البالغ عددها 388 معيارًا في الإطار الجديد، بما يعزز عمليات التحقق المستمر والرقابة على الوصول إلى الأنظمة والبيانات داخل المؤسسات المالية، مشيرًا إلى أن الإطار المطور يستعين كذلك بنموذج (Capability Risk Maturity Model – CRMM2)، الذي يتيح قياس مدى نضج إدارة المخاطر والقدرات الأمنية لدى المؤسسات، بما يساعد على إجراء تقييم يتناسب بصورة أكبر مع طبيعة المخاطر ومستوى الاستعداد الفعلي لكل مؤسسة.

وأكد حازم أن تطوير منظومة الأمن السيبراني لا يتوقف عند تحديث المعايير والضوابط الفنية، بل يشمل أيضًا الاستثمار في تأهيل الكوادر البشرية المتخصصة، موضحًا أن الإطار يستفيد في هذا الجانب من معيار NICE العالمي، لتقييم مهارات العاملين وقدراتهم المهنية في مجال الأمن السيبراني، بالتعاون مع المعهد المصرفي المصري، بهدف تحديد الاحتياجات التدريبية وإعداد البرامج اللازمة لمعالجة الفجوات في المهارات.

وأشار إلى أن البنك المركزي يعمل على توسيع مجالات التعاون بين المؤسسات المالية والجهات المعنية بالأمن السيبراني، وتشجيع تبادل الخبرات والمعلومات، انطلاقًا من أن حماية القطاع المالي تتطلب تنسيقًا مستمرًا وتعاونًا بين جميع الأطراف، ولا تقتصر على التزام كل مؤسسة بمجموعة من التعليمات والضوابط الرقابية.

وشدد على أن الغرض من الإطار الجديد لا يتمثل في تحميل المؤسسات أعباء إضافية أو التركيز على توقيع العقوبات، وإنما مساعدة كل مؤسسة على اكتشاف نقاط الضعف في أنظمتها، وتحديد الإجراءات التصحيحية الملائمة لمعالجتها، بما يرفع مستوى كفاءة القطاع المالي بأكمله ويعزز قدرته على التصدي للتهديدات السيبرانية.

وأكد حازم أن تطوير منظومة الأمن السيبراني يسهم في تعزيز ثقة المتعاملين والمستثمرين في المؤسسات المالية والمصرفية، وزيادة جاذبية الاستثمار، ودعم توجه مصر لترسيخ موقعها مركزًا إقليميًا رائدًا في صناعة الأمن السيبراني، مشددًا على أهمية بناء قدرات وطنية متخصصة تتولى حماية البنية التحتية الرقمية والمالية للدولة، بما يقلل الاعتماد على الأطراف الخارجية في تأمين مقدراتها.