اختبار أمني آلي
من أجل الامتثال

تشترط ضوابط الأمن السيبراني الأساسية للهيئة الوطنية للأمن السيبراني (ECC-2:2024) إدارة الثغرات واختبار الاختراق ومعايير البرمجة الآمنة في مشاريع تقنية المعلومات.

تُربط نتائج SAST وDAST بضوابط التطوير الآمن وإدارة الثغرات، وتتدفق كأدلة إلى منصة Offensive360 GRC التي تحمل حزمة ECC-2:2024 بالنص العربي الرسمي.

يشترط إطار الأمن السيبراني للبنك المركزي السعودي ضوابط لأمن التطبيقات والتطوير الآمن وإدارة الثغرات واختبار الاختراق للجهات الخاضعة لإشرافه.

توفر الفحوصات المستمرة ومراجعات الشيفرة أدلة لمستويات النضج في الإطار، وتُدار بقية الضوابط في منصة GRC بحزمة SAMA CSF.

التصنيف القياسي في القطاع لأخطر مخاطر أمن تطبيقات الويب، بما فيها الحقن والمصادقة المكسورة وكشف البيانات الحساسة وغيرها.

تُربط قواعد فحص Offensive360 مباشرة بفئات OWASP Top 10. تتضمن كل نتيجة تصنيفها في OWASP ليتمكن فريق التطوير من ترتيب أولويات المعالجة بحسب فئة الخطر.

المتطلب 6.3.2: يشترط مراجعات الشيفرة أو التحليل الآلي للشيفرة المصدرية لشيفرة التطبيقات المخصصة المطوّرة لأنظمة الدفع.

يستوفي فحص SAST الآلي متطلب PCI-DSS رقم 6.3.2 لمراجعة الشيفرة المخصصة. وتوفر التقارير أدلة على الاختبار الأمني لتدقيقات مقيّمي الأمن المعتمدين (QSA).

تشترط معايير خدمات الثقة للأمن (CC6 وCC7 وCC8) ضوابط لتطوير الأنظمة وإدارة التغيير وإدارة الثغرات.

يوفر الفحص المستمر في خطوط أنابيب CI/CD أدلة على الضوابط الأمنية عبر دورة التطوير. ويدعم سجل الفحص وتتبع المعالجة جمع أدلة تدقيق SOC 2.

يشترط الملحق A.14 (اقتناء الأنظمة وتطويرها وصيانتها) سياسات تطوير آمن واختبار أمن الأنظمة وحماية بيانات الاختبار.

يوفر ضوابط تقنية لـ A.14.2.1 (سياسة التطوير الآمن) وA.14.2.5 (هندسة الأنظمة الآمنة) وA.14.2.8 (اختبار أمن الأنظمة).

تشترط الضمانات التقنية (164.312) ضوابط الوصول وضوابط التدقيق وضوابط السلامة وأمن النقل للمعلومات الصحية المحمية إلكترونياً.

اكتشف المعالجة غير الآمنة للبيانات الصحية والتشفير الضعيف وضوابط الوصول غير الكافية وثغرات التسجيل. وتُربط النتائج بمتطلبات الضمانات التقنية المحددة في HIPAA.

يشترط SA-11 (اختبار المطورين وتقييمهم) اختباراً أمنياً أثناء التطوير. ويشترط SI-10 (التحقق من صحة مدخلات المعلومات) التحقق من مدخلات المعلومات.

يستوفي فحص SAST متطلبات SA-11 للاختبار الأمني الآلي. وتعالج نتائج التحقق من المدخلات مباشرة متطلبات ضابط SI-10.

تشترط المادة 25 حماية البيانات بالتصميم وبشكل افتراضي. وتشترط المادة 32 تدابير تقنية مناسبة لضمان أمن المعالجة.

حدد أنماط الشيفرة التي قد تؤدي إلى وصول غير مصرح به إلى البيانات أو تشفير غير كافٍ أو ممارسات معالجة بيانات غير ملائمة تخالف متطلبات حماية البيانات في اللائحة العامة لحماية البيانات.