يشمل: تصميم هرمية السياسات والمعايير والإجراءات والإرشادات، وإعداد أكثر من 30 سياسة أمنية، منها أمن المعلومات والاستخدام المقبول والتحكم بالوصول وتصنيف البيانات والتشفير وكلمات المرور والأجهزة الشخصية والعمل عن بعد وأمن الشبكات والسحابة وإدارة التغيير والثغرات والنسخ الاحتياطي والاستمرارية والاستجابة للحوادث والموردين وحماية البيانات الشخصية، ومسارات اعتماد، وخطة تعميم وتدريب، ومراجعة سنوية، والتوافق مع المتطلبات الوطنية والدولية.

يشمل: تخطيط التدقيق وتحديد نطاقه وميثاقه، والنهج المبني على المخاطر، ومراجعة السياسات والإجراءات والسجلات، ومقابلات المسؤولين وملاك الأعمال، والاختبارات الفنية كمراجعة الإعدادات وفحص الثغرات ومراجعة الصلاحيات، واختيار العينات واختبارها إحصائياً، وجمع الأدلة وتوثيقها، واختبار فعالية الضوابط تصميماً وتشغيلاً، وأوراق العمل، وتصنيف الملاحظات وتحليل أسبابها، وتقريراً بملخص تنفيذي وتوصيات ورد الإدارة، واجتماع الإغلاق، وخطة تدقيق المتابعة.

يشمل: ورشة لتحديد النطاق، واختيار الإطار المستهدف من الأطر الدولية والوطنية ومعايير قطاع البطاقات، ومنهجية تقييم تجمع مراجعة الوثائق والمقابلات والاختبارات الفنية، ومطابقة كل ضابط (مطبق أو جزئي أو غير مطبق أو غير منطبق)، وتقييم نضج التطبيق من 1 إلى 5، وتحديد الفجوات لكل ضابط ومجال، وتقييم خطورة كل فجوة، وتوصيات المعالجة، وتقدير الجهد والتكلفة، وخارطة إصلاح على 90 و180 يوماً و12 شهراً، ودرجة الجاهزية للامتثال، وتقريراً تنفيذياً وآخر مفصلاً.

يشمل: اختيار إطار إدارة مخاطر الأطراف الثالثة، وحصر الموردين وتصنيفهم حسب الأهمية، وإجراءات العناية الواجبة قبل التعاقد، واستبيانات التقييم الأمني، ونماذج البنود الأمنية في العقود واتفاقيات الخدمة، والمراقبة المستمرة لتصنيف الموردين الأمني، وإعادة التقييم السنوية، ومراجعة تقارير (SOC 2) وشهادات ISO 27001، وإدارة المتعاقدين من الباطن، وإجراءات إنهاء العلاقة وإعادة البيانات، والتوافق مع متطلبات الهيئة وقواعد الإسناد للبنك المركزي.

يشمل: تقييم الجاهزية، وتطبيق مراحل الاستجابة وفق (NIST SP 800-61)، وإعداد خطة الاستجابة، وميثاق فريق الاستجابة وأدواره ومصفوفة مسؤولياته، وتصنيف الحوادث ومستويات خطورتها، ونماذج إبلاغ العملاء والجهات التنظيمية والإعلام، ومتطلبات الإبلاغ النظامي ومنها الإبلاغ عن تسريب البيانات خلال 72 ساعة، وأدلة الاستجابة لسيناريوهات الفدية والتسريب والتصيد واختراق الحسابات والسحابة، وتمارين محاكاة ربع سنوية، وخطة الجاهزية الجنائية وحفظ الأدلة.

يشمل: خارطة طريق التطبيق، وتحديد نطاق النظام وسياق المنشأة، والتزام القيادة وسياسة أمن المعلومات، ومنهجية تقييم المخاطر، وإعداد بيان التطبيق، وتطبيق الضوابط التنظيمية والبشرية والمادية والتقنية، وخطة معالجة المخاطر، وأهداف أمن المعلومات، والتدقيق الداخلي ومراجعة الإدارة، والتوعية والتدريب، والتحضير لمرحلتي التدقيق، وتدقيقات تجريبية، واختيار جهة المنح والتنسيق معها، ودعم تدقيقات المتابعة في السنتين الأولى والثانية وإعادة الاعتماد في الثالثة.

يشمل: ورشة لتحديد النطاق، وتحديد بيئة بيانات حاملي البطاقات، واستراتيجية تقسيم الشبكة، وتحديد مستوى التاجر حسب عدد المعاملات، واختيار استبيان التقييم الذاتي المناسب أو مسار تقرير الامتثال الكامل، وتطبيق المتطلبات الـ12 كأمن الشبكات وحماية بيانات البطاقات وإدارة الثغرات والتحكم بالوصول والمراقبة والسياسات، والفحوص الربع سنوية من جهة معتمدة، واختبار الاختراق السنوي، والترميز والتشفير، والتنسيق مع المقيّم المعتمد حتى إصدار شهادة الامتثال.

يشمل: ورشة استراتيجية الخصوصية، وتطبيق النظام السعودي ولائحته التنفيذية، وحصر البيانات الشخصية وسجلات أنشطة المعالجة، وتوثيق الأساس النظامي لكل معالجة، وتقييمات أثر حماية البيانات، وإجراءات حقوق أصحاب البيانات في الوصول والتصحيح والحذف والنقل والاعتراض، وإشعارات الخصوصية بلغة واضحة، وضمانات نقل البيانات خارج المملكة، واتفاقيات معالجة البيانات مع الموردين، ودعم تعيين مسؤول حماية البيانات، والإبلاغ عن التسريب خلال 72 ساعة.

يشمل: تطبيق الضوابط الأساسية للأمن السيبراني (ECC) بجميع مجالاتها: الحوكمة والتعزيز والصمود والأطراف الثالثة والحوسبة السحابية وأنظمة التحكم الصناعي، وضوابط الحوسبة السحابية والأنظمة الحساسة والتقنية التشغيلية والعمل عن بعد والبيانات، والتحضير لتقييم الامتثال السنوي، وتطبيق إطار المخاطر السيبرانية للبنك المركزي للبنوك وشركات التأمين والمدفوعات، وقواعد الإسناد، وتقارير حوكمة التقنية السنوية، والتنسيق مع المدققين، والجاهزية للتدقيق.

يشمل: تطبيق معايير خدمات الثقة للأمان والتوافر وسلامة المعالجة والسرية والخصوصية، والمفاضلة بين تقرير النوع الأول والثاني (فترة 6 إلى 12 شهراً)، وتوثيق بيئة الضوابط، واختيار المدقق المحاسبي والتنسيق معه حتى إصدار التقرير، والامتثال لقواعد الخصوصية والأمان والإبلاغ عن الاختراق للبيانات الصحية واتفاقيات الشركاء، وتطبيق إطار الأمن السيبراني بوظائفه الست وضوابط الأنظمة الحكومية الأمريكية، ومعايير أمن السحابة واستمرارية الأعمال الدولية.