تعمل هيئة الحكومة الرقمية على  إقرار التنظيمات وتحديثها باستمرار لـمواكبة المتطلبات الحالية والمستقبلية، للمساهمة بصورة رئيسة في تعزيز الأداء الرقمي داخل الجهات الحكومية، والرفع من جودة الخدمات المقدمة، وتحسين تجربة المستفيد من تلك الخدمات، بما يتوافق مع رؤية السعودية 2030.
 

وتأتي التوجهات الاستراتيجية للحكومة الرقمية لتؤكد على أهمية توفير بيئة تنظيمية فعالة ومرنة تتكيف مع التغييرات المستقبلية مع التركيز على تنظيم خدمات الثقة والهوية الرقمية الوطنية وتؤكد على أهمية الالتزام بهذه التنظيمات، خاصة مع انتشار المواقع الوهمية وعمليات الاحتيال الرقمي عبر انتحال الهويات الشخصية أو تقليد صفحات ومنصات موثوقة وتزييفها، ويُعزى جانب كبير من أنواع عمليات الاحتيال الرقمي إلى فقدان تقنيات التحقق القوية من هويات المستخدمين لهذه الخدمات والمنصات الرقمية.
 

وحيث إن الهيئة هي الجهة المختصة بكل ما يتعلق بالحكومة الرقمية، وتُعدّ المرجع الوطني في شؤونها، وانطلاقًا من اختصاص الهيئة بتنظيم أعمال الحكومة الرقمية وتحقيق التكامل بين الجهات الحكومية كافة، واستنادًا إلى اختصاصاتها ومهامها المنصوص عليها في المادة (الرابعة) من تنظيمها بوضع المعايير والضوابط الفنية لنماذج التحول الرقمي في القطاعات الحكومية ومتابعة الالتزام بها فقد جرى العمل وفقًا لذلك على إعداد "ضوابط تصنيف الخدمات الحكومية الرقمية الحساسة ومستويات التحقق".


استنادًا إلى قرار مجلس الوزراء رقم (418) وتاريخ  1442/7/25هـ، الصادر بالموافقة على تنظيم هيئة الحكومة الرقمية، وإشارةً إلى ما نصت عليه المادة (الرابعة) في فقرتها (الرابعة)، على أن من اختصاصات ومهمات الهيئة "التنسيق مع الجهات المختصة للعمل على تنظيم أعمال الحكومة الرقمية، والمنصات والمواقع والخدمات الحكومية الرقمية، والشبكات الحكومية، والبوابة الوطنية الموحدة، ويشمل ذلك وضع الخطط والبرامج والمؤشرات والمقاييس ذات العلاقة بأعمال الحكومة الرقمية والخدمات الحكومية الرقمية المشتركة، وخدمات الثقة الرقمية في الجهات الحكومية".
 

وانطلاقًا من أهمية تحديد مستوى حساسية الخدمات الحكومية الرقمية، وحيث تُعدّ متطلبًا أساسيًا لتحسين استمراريتها والحد من احتمالية انقطاع الخدمة أو تأثير انقطاعها ورفع مستوى الأمان والموثوقية لمكافحة الإحتيال الرقمي، والاستعداد لحالات الانقطاع والاستجابة والتعافي منها لتحسين استمرارية الخدمات والعمليات الرئيسة والتعامل بصورة استباقية مع تلك الخدمات الحكومية الرقمية لتعزيز الصمود والمرونة على المستوى الوطني، كما يرتبط تحديد مستوى حساسية الخدمات الحكومية الرقمية ارتباطًا وثيقًا بتحديد مستويات ضمان التحقق ( (Authentication Assurance Level (AALs)المناسبة من هوية المستخدم للدخول واستخدام تلك الخدمات بناءً على نتائج تقييم مستوى حساسية وفق فئات محددة.
 

ولتحديد تصنيف حساسية الخدمات الحكومية الرقمية، وما يترتب على ذلك من اختيار المستوى المناسب للتحقق من هوية المستخدمين وتقنيات التحقق المرتبطة بتلك المستويات؛ أعدت الهيئة ضوابط تصنيف الخدمات الحكومية الرقمية الحساسة ومستويات التحقق ، الذي  بدوره يُسهم في تحديد مستويات وتقنيات التحقق المناسبة للجهات الحكومية حسب حساسية خدماتها الرقمية لتمكين المستخدمين من الاستفادة من الخدمات الحكومية الرقمية، وضمان استمرارية تلك الخدمات وعدم تأثرها.
 

حيث ستُسهم هذه الضوابط في رفع كفاءة الخدمات والمنصات الحكومية الرقمية، وتحسين أمن وموثوقية التعاملات الإلكترونية، كما ستدعم الجهود القائمة للقضاء على التطبيقات الوهمية ومكافحة الاحتيال الرقمي في المملكة للوصول إلى بيئة رقمية آمنة وموثوقة.
وعلى الجهات جميعها الالتزام بما يصدر من الهيئة الوطنية للأمن السيبراني من ضوابط وارشادات ذات علاقة مثل الضوابط الأساسية للأمن السيبراني، وما يصدر من الهيئة السعودية للبيانات والذكاء الاصطناعي من تنظيمات، وما يصدر من هيئة الحكومة الرقمية من تنظيمات  مثل المعايير الاساسية للتحول الرقمي وضوابط إدارة المخاطر واستمرارية الأعمال.

تهدف هذه الوثيقة إلى تنظيم أهم الجوانب المتعلقة بتصنيف الجهات الحكومية لخدماتها الرقمية الحساسة، وذلك لتحقيق ما يأتي:

• تحديد مستويات حساسية الخدمات الحكومية الرقمية، الذي بدوره سيُسهم في تحسين توافر الخدمات الحكومية الرقمية واستدامتها.

• فع مستوى موثوقية التعاملات الإلكترونية عن طريق تطبيق أعلى المعايير وأفضل الممارسات الدولية لتحديد مستويات وتقنيات التحقق المناسبة لاستخدام الخدمات الحكومية الرقمية.

• تمكين المستخدمين من الاستفادة من الخدمات الحكومية الرقمية بموثوقية آمنة.
   

أعدت الهيئة هذه الوثيقة لتحديد الضوابط والاشتراطات الخاصة بتحديد مستويات حساسية الخدمات الحكومية الرقمية، سواءً تلك الخدمات التي تقدمها الجهات الحكومية بشكل مباشر أو التي تُقدم بالنيابة عنها من القطاع الخاص (على أن تتولى الجهة الحكومية  تحديد مستويات وآليات التحقق للخدمات المقدمة من القطاع الخاص الخاضع لإشرافها ورقابتها وفق ما تراه الجهة الحكومية وبما لا يتعارض مع التنظيمات الصادرة من الجهات ذات الاختصاص) وما يترتب على ذلك من اختيار المستوى المناسب للتحقق من هوية المستخدمين وتقنيات التحقق المرتبطة بتلك المستويات، لتمكين أولئك المستخدمين من الاستفادة من الخدمات الحكومية الرقمية (القائمة منها والجديدة) بموثوقية عالية وتحسين استمراريتها، وذلك وفقًا لأربع مراحل رئيسة: 

1. المرحلة الأولى

تتضمن هذه المرحلة ضوابط تحديد مستوى حساسية الخدمات الحكومية الرقمية (حرج جداً، حرج، مهم أو متوسط، منخفض)، سواءً تلك الخدمات التي تقدمها الجهات الحكومية بشكل مباشر أو التي تُقدم بالنيابة عنها من القطاع الخاص، بناءً على تقييم المخاطر الناتجة عن انقطاعها.
 

2. المرحلة الثانية

تتضمن هذه المرحلة متطلبات تحديد مستوى ضمان التحقق من هوية المستخدم  (Authentication Assurance Levels (AALs)) بناء على حساسية تلك الخدمات، والتي تتكون من (ثلاثة) مستويات لضمان التحقق:

• المستوى الثالث (AAL3): مستوى ضمان تحقق مرتفع، يتطلب مستوى حرج أو حرج جدًا من الأمان والتحقق للتأكد من هوية المستخدم.

• المستوى الثاني (AAL2): مستوى ضمان تحقق متوسط، يتطلب مستوى مهم أو متوسط من الأمان والتحقق للتأكد من هوية المستخدم.

• المستوى الأول (AAL1): مستوى ضمان تحقق منخفض، يتوافق مع مستوى منخفض من الأمان والتحقق للتأكد من هوية المستخدم. 
   

3. المرحلة الثالثة

تشمل هذه المرحلة تحديد آليات وتقنيات التحقق المناسبة حسب مستويات التحقق، والتي حُدّدت بناءً على فئات التأثر المحتملة من فشل عملية التحقق، وفقاً لما يلي:

• عنصر الملازمة: صفة أو سمة حيوية ملازمة بالمستخدم مثل بصمة الأصبع أو العين، أو سمات الوجه، أو الصوت.

• عنصر الحيازة: شيء يملكه المستخدم مثل رقم الطلب، أو كلمة المرور لمرة واحدة (OTP)، أو رابط التحقق عبر البريد الإلكتروني.

• عنصر المعرفة: شيء يعرفه المستخدم مثل اسم المستخدم، كلمة المرور أو الرمز الشخصي، أو أسئلة التحقق.
   

4. المرحلة الرابعة

تتضمن هذه المرحلة مجموعة من الإجراءات لتحديد نهج الاستجابة المناسب لتحسين استمرارية و توافرية الخدمات الحكومية سواءً تلك الخدمات التي تقدمها الجهات الحكومية بشكل مباشر أو التي تُقدم بالنيابة عنها من القطاع الخاص، التي يجب اتباعها لتحسين استمرارية توافر الخدمات الحكومية الرقمية عن طريق الإجراءات ذات النهج الاستباقي أو التفاعلي. 

تنطبق هذه الوثيقة على:

• الجهات الحكومية
• الجهات المشغلة والمطورة والمستضيفة للخدمات الحكومية الرقمية في المملكة
   

تطبيقًا لما ورد في الفقرة (التاسعة) من المادة (الرابعة) من تنظيم هيئة الحكومة الرقمية، التي نصت على أن تتولى الهيئة "وضع المعايير الفنية لنماذج التحول الرقمي في القطاعات الحكومية ومتابعة الالتزام بها بالتنسيق مع الجهات المختصة"، وبناءً عليه تقوم الهيئة بتقييم وقياس مدى التزام الجهات الحكومية بتطبيق هذه الضوابط وفق الآلية التي تُقرّها الهيئة.

للمزيد من المعلومات: الاطلاع على النسخة الرقمية