أمن شركتك يحصل على تقييم بـ«النجوم»: شرح مبسط لنظام تصنيف SCS الياباني (ما يجب معرفته قبل أن يسألك عملاؤك)

«هل يمكن لشركتكم أيضًا الحصول على ★3؟» ابتداءً من ربيع 2027، ستسمع شركات كثيرة في اليابان هذا السؤال من عملائها أكثر فأكثر. تأتي هذه النجمة من نظام تصنيف SCS، الذي أنشأته الحكومة اليابانية (وزارة الاقتصاد والتجارة والصناعة وأمانة مجلس الوزراء) وتديره IPA (الوكالة اليابانية لتعزيز تقنية المعلومات). واسمه الرسمي «نظام تصنيف الأمن لتعزيز سلاسل التوريد». في 28 أكتوبر 2026 نُشرت أدلة التقييم والدليل التوضيحي، وباتت ملامح النظام شبه مكتملة الآن.

يشرح هذا المقال، بأقل قدر ممكن من المصطلحات التقنية، سبب وجود النظام، ومعنى النجوم، وما يحدث عند الحصول على إحداها، وكم تكلّف، ومتى يبدأ العمل به. أما التفاصيل التقنية (ما الذي يجب ضبطه بالضبط) فتجدها في الدليل الموجّه للمهندسين، والأثر على الأعمال وقرارات الإدارة في الدليل الموجّه للمديرين التنفيذيين. وهناك أيضًا نسخة مانغا يمكنك قراءتها مع أطفالك.

هذا المقال منشور أيضًا بالإنجليزية على sitescouter.net وnkzw.jp، وباليابانية على sitescouter.net. هذه هي النسخة العربية على Site Scouter، مترجمة عن النسخة الإنجليزية.

لماذا «سلسلة التوريد»؟

في السنوات الأخيرة تكررت حوادث لم تتعرض فيها الشركة الكبيرة نفسها للهجوم، بل أحد مورديها أو شركاتها التابعة، فتوقفت مصانع الشركة الكبيرة أو عملياتها اللوجستية. فإذا اختُرقت شركة واحدة فقط في السلسلة، سواء كانت تورّد قطع الغيار أو تتولى صيانة الأنظمة أو تحتفظ بالبيانات، امتد الضرر إلى كل شركة مرتبطة بها. وهذا ما يُسمى «هجوم سلسلة التوريد».

حتى الآن، كانت الشركات الكبيرة تتحقق من مورديها بإرسال قوائم تحقق خاصة بها إليهم. وبالنسبة إلى الشركات الصغيرة والمتوسطة التي تتلقى هذه القوائم، يعني ذلك الإجابة عن أسئلة متشابهة مرارًا وتكرارًا وبصيغة مختلفة لكل عميل، وهو عبء ثقيل. أما الجهات المُرسِلة فليست متأكدة بدورها من أن قوائمها وافية. والهدف من النظام هو حل المشكلتين معًا بمقياس موحد تضعه الحكومة.

النقطة المهمة أن هذا المقياس لا يقتصر على الشركات التي تتعامل مباشرة مع الشركات الكبيرة، بل يمتد إلى موردي المستوى 2 والمستوى 3 في أسفل السلسلة. فالشركة التي تحصل على ★4 تصبح ملزمة بمعرفة الوضع الأمني لمورديها (المتطلب 2-1-3). وأسهل طريقة لمعرفة ذلك هي «أن تطلب من الموردين الحصول على نجمة هم أيضًا»، وهكذا ينتقل الطلب على النجوم إلى أسفل السلسلة شيئًا فشيئًا.

النجوم تبيّن «مدى جودة حمايتك»

هناك ثلاثة مستويات: ★3 و★4 و★5. لا يوجد ★1 ولا ★2 (إذ تشكّل التزامات النجمة الواحدة والنجمتين في برنامج IPA المستقل «SECURITY ACTION» الأساسَ لهذا النظام). ولا يزال ★5 قيد الدراسة، لذا فإن ★3 و★4 هما المستخدمان فعليًا في الوقت الحالي.

تنقسم البنود الـ26 والـ43 إلى 7 مجالات رئيسية: «تعيين المسؤولين»، و«معرفة علاقاتك مع الموردين»، و«معرفة ما لديك من حواسيب وخوادم»، و«منع الهجمات»، و«اكتشاف الهجمات»، و«الاستجابة عند وقوع حادث»، و«استعادة سير العمل». قد يبدو ذلك تقنيًا، لكن جزءًا كبيرًا من ★3 يتعلق بـإثبات، عبر الوثائق، أنك وضعت قواعد، وأبلغت بها موظفيك، وتراجعها مرة كل سنة.

أمثلة على ما يطلبه ★3 فعليًا

من بين الوثائق المكتوبة للمتخصصين، إليك البنود الأكثر صلة بأصحاب الأعمال العاديين:

• تعيين المسؤولين. تسمية المسؤول التنفيذي عن الأمن والإدارة المسؤولة، والاحتفاظ بقائمة جهات اتصال
• الاحتفاظ بسجل للحواسيب والخوادم: عددها ونظام التشغيل الذي يعمل عليه كل منها
• قواعد كلمات المرور. تغيير كلمات المرور الأولية دائمًا، وحظر الكلمات السهلة التخمين، وعدم إعادة استخدام كلمات المرور أبدًا. 8 أحرف على الأقل (10 على الأقل إذا لم يكن هناك قفل للحساب أو تحقق بخطوتين)
• استخدام المصادقة بخطوتين (متعددة العوامل) دائمًا مع الخدمات السحابية التي تتعامل مع معلومات مهمة
• تثبيت التحديثات خلال 14 يومًا من صدورها (للتحديثات الخطيرة). التوقف عن استخدام البرمجيات القديمة التي انتهى دعمها، أو فصلها عن الإنترنت
• تثبيت برنامج مكافحة الفيروسات على كل حاسوب وخادم
• النسخ الاحتياطي للبيانات، والاحتفاظ بالمعلومات المهمة في موقع منفصل أيضًا، وتدوين طريقة استعادتها
• تغيير كلمات مرور الإدارة لأجهزة التوجيه (الراوترات) والجدران النارية حتى لا يتمكن أحد من الدخول من الخارج
• تحديد ما يجب فعله ومن يجب الاتصال به عند وقوع حادث مسبقًا (بما في ذلك العملاء والشرطة والوزارة المشرفة)

لست مطالبًا بشراء أي منتج أمني بعينه. وأي عرض بيع يقول «لا يمكنك الحصول على النجمة دون هذا المنتج» لا يتوافق مع ما ينص عليه النظام.

كيف تحصل على نجمة

للحصول على ★3

1. حدّد ما إذا كان التقديم سيشمل الشركة بأكملها أو قسم أعمال واحدًا أو المجموعة
2. املأ نتائج تحققك الذاتي من البنود الـ26 في ورقة التقييم (ملف Excel) التي توفرها IPA
3. احصل على تأكيد وتوقيع من خبير أمن SCS مسجّل لدى IPA
4. يُصدر رئيس الشركة أو أحد أعضاء الإدارة إقرارًا ذاتيًا بالمطابقة مفاده «أننا نستوفي المتطلبات»
5. قدّم طلب التسجيل إلى IPA. وبعد المراجعة، تُدرج شركتك على موقع IPA الإلكتروني ويمكنها استخدام شعار العلامة

للحصول على ★4

بعد الخطوة 2، وبدلًا من تأكيد الخبير، تستعين بـجهة تقييم. تراجع جهة التقييم وثائقك، وتجري زيارة تدقيق ميداني تستغرق من 1 إلى 2 يوم، ثم تمضي من 1 إلى 2 يوم في اختبار الأجهزة التي يمكن الوصول إليها من الخارج عبر الإنترنت (أجهزة VPN وأجهزة التوجيه وما إلى ذلك) بحثًا عن نقاط الضعف. وإذا عُثر على نقطة ضعف خطيرة، تصلحها خلال 14 يومًا ثم يُعاد اختبارها. وبمجرد تسلّم تقرير التقييم، تنتقل إلى الإقرار الذاتي وطلب التسجيل.

كم تبلغ التكلفة؟

رسوم التسجيل المدفوعة إلى IPA موضحة في الجدول أعلاه: ¥10,000 سنويًا لـ★3. غير أن الأتعاب المدفوعة للخبراء وجهات التقييم منفصلة. فهي ليست مدرجة في جدول رسوم النظام، ويحددها السوق.

ومن الأمور التي يُغفل عنها كثيرًا أيضًا تكلفة التدابير الأمنية نفسها والوقت الذي تستغرقه. فاعتماد التحقق بخطوتين، واستبدال الحواسيب والبرمجيات القديمة، وإعداد النسخ الاحتياطي قد يستغرق عدة أشهر بحسب حجم الشركة. وفي أوساط القطاع، كثيرًا ما تُذكر قاعدة تقريبية مفادها «من 2 إلى 3 أشهر للتدابير التقنية، ومن 1 إلى 2 شهر للوثائق والأدلة».

وللشركات الصغيرة والمتوسطة، تُعدّ IPA «خدمة Cyber Security Otasuketai (النوع الجديد)»، وهي خدمة دعم تهدف إلى مساعدتها على الحصول على ★3 و★4 (لا تزال في المرحلة التجريبية حتى أكتوبر 2026).

متى يبدأ العمل به؟

يتبقى نحو 5 أشهر على فتح باب التقديم، لكن بما أن التدابير تستغرق عدة أشهر، فعلى الشركات التي يُرجَّح أن يطلب عملاؤها ذلك أن تبدأ الآن بفحص وضعها الحالي كي تلحق بالموعد. ويمكن بالفعل تنزيل ورقة التقييم.

ماذا يحدث إذا لم تحصل على نجمة؟

بمجرد أن تنص معايير المشتريات لدى العميل على «★3 أو أعلى»، لن تُختار الشركات التي لا تملكها كمورّدين بعد ذلك. فالشركات الكبيرة لا تستطيع إبرام عقود مع شركات لا تستوفي معايير المشتريات الخاصة بها. ولا يملك الموظف المسؤول أي سلطة تقديرية، لأن التعاقد مع شركة لا تستوفي المعيار سيُعد مخالفة لقواعد الامتثال. وفي الأعمال الجديدة يكون ذلك شرطًا منذ البداية، أما في الأعمال القائمة فيُضاف عند تجديد العقد. وكما رأينا في القسم 1، لا يتوقف المتطلب عند موردي المستوى 1، بل يصل إلى موردي المستوى 2 والمستوى 3.

من الناحية القانونية، النظام طوعي. إذ تنص الأسئلة الشائعة لدى IPA على أن «الحصول على نجمة أمر طوعي» وأن «عدم استيفاء جميع المتطلبات لا يعني إيقاف التعامل التجاري فورًا». أما ما إذا كان سيصبح شرطًا في المناقصات العامة فيعود إلى كل جهة مشترية. ومع ذلك، فإن النهج الواقعي هو الاستعداد على أساس أنه «طوعي قانونًا، وإلزامي فعليًا في عالم الأعمال». ومعرفة المدى الذي تستوفي فيه شركتك المتطلبات بالفعل منذ الآن تجعل التفاوض والاستعداد أسهل بكثير من التسرع بعد أن يسألك العميل.

احذر من عروض البيع الملحّة

في أبريل 2026، أصدرت وزارة الاقتصاد والتجارة والصناعة وأمانة مجلس الوزراء تحذيرًا من عروض البيع غير اللائقة التي تزعم أنك «لن تتمكن من مزاولة أعمالك دون نجمة» أو أن أصحابها «جهة دعم معتمدة». لا يوجد في النظام دور اسمه «جهة دعم معتمدة». والأدوار الرسمية الوحيدة هي الأربعة التي تعيّنها IPA أو تسجّلها: جهات التقييم، ومقدمو خدمات التحقق التقني، ومقدمو التدريب، وخبراء أمن SCS. وستُنشر القوائم على موقع IPA الإلكتروني اعتبارًا من ديسمبر 2026.

يمكنك التحقق من صحة أي اسم أو صفة بمطابقتها مع القوائم المنشورة على موقع IPA الإلكتروني. وفي هذه المرحلة، قبل نشر القوائم، لا يمكن لأي شركة أن تدّعي بصورة مشروعة أنها «معتمدة».

أولًا، تحقق من كيف تبدو شركتك من الخارج

تشمل المتطلبات تثبيت التحديثات خلال 14 يومًا وعدم استخدام برمجيات انتهى دعمها. ويمكنك التحقق، دون تسجيل، مما إذا كان موقعك الإلكتروني أو خادمك يُعلن عن إصدار قديم للعالم الخارجي، بمجرد إدخال عنوان URL في أداة فحص معلومات الخادم من Site Scouter. استخدمها كفحص أولي يستغرق دقيقة واحدة قبل أن تبدأ الاستعداد للحصول على النجمة.

ملاحظات منهجية وحدود

يستند هذا المقال إلى موقع النظام لدى IPA، والأسئلة الشائعة، والمتطلبات ومعايير التقييم (SCS-400 Ver.1.1)، والدليل التوضيحي (SCS-620)، ودليل التحقق التقني (SCS-430)، وإشعار الرسوم، والبيان الصحفي الصادر في 28 أكتوبر 2026، وذلك بصيغها المنشورة في 30 أكتوبر 2026. لم يُنشر دليل طلب التسجيل بعد، لذا قد تتغير التفاصيل الإجرائية. يعمل المؤلف في مجال النطاقات والاستضافة والأمن، وليس جهة تقييم ولا خبيرًا ضمن النظام.

الأسئلة الشائعة

هل ينطبق النظام على الشركات الصغيرة أيضًا؟

ينطبق بصرف النظر عن القطاع أو الحجم. وتتوقع IPA أن تكون الفائدة الكبرى للشركات الصغيرة والمتوسطة ذات الموارد البشرية والميزانية المحدودة للأمن.

هل يعني ذلك موردي المستوى 3 الذين لا يتعاملون مباشرة مع الشركات الكبيرة؟

نعم. فالشركة التي تحصل على ★4 ملزمة بمعرفة الوضع الأمني لمورديها، لذا كلما حصل عدد أكبر من الشركات في المستويات العليا على النجوم، طُلبت النجوم من عدد أكبر من الشركات في المستويات الأدنى. ولا يوجد حد لعدد المستويات التي يمتد إليها ذلك.

هل يمكنني التقدم لـ★4 دون ★3؟

نعم. فالنجمة الأعلى تتضمن جميع متطلبات النجوم الأدنى، لذا يمكنك التقدم مباشرة لـ★4.

إذا كان لدي ISMS أو PrivacyMark، فهل ما زلت بحاجة إلى النجمة؟

نعم. تصف الأسئلة الشائعة لدى IPA نظام ISMS وهذا النظام بأنهما متكاملان.

هل تُعلن أسماء الشركات الحاصلة على النجمة؟

نعم. تُدرج الجهات المسجلة على موقع IPA الإلكتروني ويمكنها استخدام شعار العلامة.

أين يمكنني طرح الأسئلة؟

تتلقى مجموعة شهادات الأمن في مركز الأمن التابع لـIPA الأسئلة عبر البريد الإلكتروني. ولا تُقبل الاستفسارات الهاتفية.

المراجع

آخر تحقق: 2026-10-30. قد تتغير المواصفات والسياسات؛ يُرجى مراجعة المصادر الأصلية قبل اتخاذ أي إجراء.

• IPA: Security Rating Scheme for Strengthening Supply Chains (SCS rating scheme)
• IPA: Overview of the level-based assessment
• IPA: Requirements, evaluation criteria and assessment guides
• IPA: Frequently asked questions
• IPA: Fee notice (2026-09-18, PDF)
• IPA: Press release on the assessment guides (2026-10-28)
• METI: SCS rating scheme special site
• IPA: SECURITY ACTION