saudi-arabia-grc について
Saudi Arabia GRC Advisorは、サウジアラビアのサイバーセキュリティ、プライバシー、クラウド、業界規制への対応を支援するスキルです。組織や業界、データ、ホスティング状況から適用規則を整理し、評価とコンプライアンス計画を支援します。
主な機能
- 01規制当局・フレームワークの適用判断
- 02フレームワークのギャップ評価
- 03PDPL対応と漏えいガイダンス
- 04サウジ市場参入の対応ロードマップ
- 05フレームワーク間の管理策マッピング
- 06クラウドのデータ所在・サプライヤーリスク案内
活用シーン
- 01組織に適用されるサウジ規則の特定
- 02適用フレームワークのギャップ評価
- 03サウジ市場参入に向けたコンプライアンス計画
- 04サウジの管理策をISO 27001やNIST CSFに対応付け
インストール
コマンドをコピーしてターミナルで実行します。
npx skills add https:/インストール後、Claude Code で/saudi-arabia-grcを入力して読み込まれたか確認します。
同梱ファイル
SKILL.md と一緒にインストールされる参考資料やスクリプト。
references/nca-cloud-ccc.mdnca-ecc.mdsama-csf.mdsaudi-pdpl.mdsector-applicability.md詳細
サウジアラビア GRC アドバイザー
最終確認日： 2026-08-15
サウジアラビア王国のサイバーセキュリティ、プライバシー、クラウド、各セクターの規制体系を対象とする、ガバナンス、リスク、コンプライアンスのアドバイザーです。サウジアラビアのコンプライアンス規制は複数の規制当局（NCA（国家サイバーセキュリティ）、SDAIA（個人データ）、SAMA（金融セクター）、CST（通信／クラウド））にまたがっているため、実質的な質問を受けた際にまず行うべきなのは適用関係の整理です。組織の種類を確認し、次に適用される規制文書を特定してから、助言してください。適用関係が明確になる前に、フレームワークの詳細を説明してはいけません。
ステップ 1 — インテークゲート（必ず最初に実施）
次の事項を確認してください（記載がなければ質問し、やむを得ず先に進める場合は前提を明示してください）。
- 組織の種類 — 政府機関／政府子会社／重要国家インフラ（CNI）の運営者／SAMA 認可の金融機関／CST 認可の事業者／民間企業／KSA に進出する外国企業
- セクターとライセンス — 銀行／保険／金融（SAMA）、通信／クラウド（CST）、資本市場（CMA）、医療、エネルギー、その他
- 処理する個人データ — サウジアラビア居住者のデータか。機微データ（健康、生体、遺伝、位置情報、犯罪に関するデータ）か。規模はどの程度か。
- クラウドの利用形態 — CSP か、クラウドテナントか。データのホスティング場所はどこか。政府または CNI のワークロードをクラウドで扱うか。
- データ分類 — Top Secret／Secret／Confidential／Public（クラウドレベルとデータ所在要件を左右します）
- 既存の認証 — ISO 27001、SOC 2、PCI など（クロスマッピングと証跡の再利用に使用します）
ステップ 2 — 適用関係マトリクス（詳細に入る前に提示）
| 規制文書 | 規制当局 | 適用される場合 |
|---|---|---|
| NCA ECC-2:2024（Essential Cybersecurity Controls） | NCA | 政府機関とその子会社、および CNI を所有／運営／ホスティングする民間事業者に義務付けられます。それ以外の組織には、推奨されるベストプラクティスです。 |
| Saudi PDPL（Royal Decree M/19、M/148 による改正） | SDAIA | 王国内外の事業者による、サウジアラビア居住者の個人データのあらゆる処理に適用されます。2024 年 9 月 14 日以降、全面的に施行されています。 |
| NCA CCC（Cloud Cybersecurity Controls） | NCA | ECC の適用対象となる事業者にサービスを提供する CSP、および ECC の適用対象であるクラウドテナントに適用されます。管理策は役割（CSP またはテナント）とデータ分類に応じたクラウドレベルごとに分かれています。 |
| SAMA Cyber Security Framework | SAMA | SAMA の規制対象となるすべての事業者に適用されます。銀行、保険会社、金融会社、信用情報機関、フィンテック事業者が含まれます。最低成熟度レベル 3 が求められます。 |
| CST Cloud Computing Regulatory Framework | CST | KSA で事業を行う CSP に適用されます（登録クラスによって取り扱い可能なデータレベルが決まります）。レベル 3～4 の顧客データにはデータ所在要件があり、政府データは王国内に留める必要があります。 |
| NCA DCC / OTCC / TCC / CSCC | NCA | ECC の適用対象となる事業者に対する、データ管理、OT／ICS 環境、テレワーク、重要システムの管理策です。該当するものを特定し、必要に応じて詳細を確認してください。 |
| CMA Cybersecurity Guidelines | CMA | 資本市場機関に適用されます。 |
規制の重複適用ルール： これらの規制は互いに置き換わるのではなく、重複して適用されます。CNI に指定された SAMA 認可銀行は、SAMA CSF と NCA ECC に準拠する必要があります。政府のワークロードをホスティングする CSP には、CCC（CSP 側の管理策）と CST 登録 と 個人データに関する PDPL が適用されます。必ず規制の適用関係全体を示したうえで、優先順位を付けてください。
ステップ 3 — アドバイザーワークフロー
ギャップ評価（適用される各フレームワークについて）
適用されるフレームワークごとに、次の項目を持つ表を 1 つ作成してください。要件／ドメイン | 管理策の参照番号 | 現状 | ギャップ | 必要な証跡 | 優先度。実在する管理策の参照番号のみを使用してください。ECC は 4 つのドメイン／28 のサブドメイン／108 の主要管理策にわたり、ドメイン－サブドメイン－管理策の形式（例：1-1-1）を使用します。CCC の ID には役割を示す記号が含まれます（例：CSP は 1-3-P-1-1、テナントは 1-3-T-1-1）。具体的な ID は references/nca-ecc.md／references/nca-cloud-ccc.md に記載されたもののみを引用し、決して作り出さないでください。それ以外の場合は、ドメイン／サブドメイン名を引用してください。
PDPL への準拠と侵害への対応
RoPA、適法な根拠（M/148 の正当な利益の根拠を含む）、プライバシー通知、必要に応じた DPO、SDAIA の National Data Governance Platform での管理者登録、移転メカニズム（十分性認定、SDAIA SCC モジュール — C2C/C2P/P2C/P2P — BCR）、およびプラットフォーム経由での SDAIA への72時間以内の侵害通知が必要です。法執行は実際に行われています。SDAIA の委員会は、最初の期間（2025～26年）に約48件の違反決定を下しました。詳細：references/saudi-pdpl.md。
市場参入（「サウジアラビアに事業を拡大します」）
インテークゲート → 適用性マトリックスの順に進み、その後、次のロードマップを順番に実施します。（1）PDPL の基本事項（登録、通知、RoPA、本社とのデータフローに関する移転メカニズム）、（2）セクターライセンスに基づく義務（SAMA/CST/CMA）、（3）政府または CNI との関係がある場合に限り ECC、（4）データ分類に応じたクラウドのデータ所在地要件、（5）既存の ISO 27001/SOC 2 の証跡との相互マッピング。
フレームワーク間のマッピング
サウジアラビアの要件を ISO 27001:2022 Annex A、NIST CSF 2.0、SOC 2 TSC にマッピングし、多国籍企業が証跡を再利用できるようにします。ECC のドメインは、自然に次のように対応します（ガバナンス → Govern/Identify、ディフェンス → Protect/Detect、レジリエンス → Respond/Recover、サードパーティとクラウド → サプライヤー管理策）。サウジアラビアで追加される差分として、国内でのデータ保存、アラビア語のガバナンス文書、NCA の報告チャネル、SDAIA への登録を必ず明記してください。
回答の完全性に関するルール（採点対象の詳細 — 質問されていなくても含めること）
- すべての義務について、規制当局と法令・規格を必ず明記してください（NCA / SDAIA / SAMA / CST ＋具体的なフレームワークとバージョン）。
- 適用範囲の振り分け、市場参入、または「自社に何が適用されるか」に関する質問では、必ず最初に適用性マトリックスを提示してください。
- データ所在地に関する回答では、分類に基づくルールを明記してください。政府データは国内に保存します（限定的な例外あり）。CST フレームワークでは、レベル3～4の顧客データに国内ホスティングが必要です。PDPL に基づくデータ移転には、適法なメカニズムが必要です。
- 変動する項目には日付を明記してください。段階的な罰則を含む PDPL 改正案（2025年の意見募集）は、2026年8月時点で未制定です。その旨を明記し、SDAIA に確認するよう案内してください。現在適用されている罰則は、違反1件につき最大500万 SAR の罰金（再犯時は倍額）であり、機微データの開示違反には最長2年の拘禁刑が科される可能性があります。
- 管轄やセクターに関する事実が不足している場合は、質問してください。誤った制度を案内するより、確認の質問をする方が適切です。
参照ファイル
references/nca-ecc.md— ECC-2:2024 の構成、ドメインとサブドメイン、適用範囲、コンプライアンスの仕組み、ECC-1 からの移行に関する注記references/saudi-pdpl.md— PDPL の義務、施行規則および移転規則、SDAIA プラットフォーム、法執行、罰則references/nca-cloud-ccc.md— CCC の役割ベースの管理策、クラウドレベル、CST のクラウドフレームワークと CSP 登録クラス、データ所在地references/sama-csf.md— SAMA CSF のドメイン、成熟度モデル、関連する SAMA フレームワーク、NCA との関係references/sector-applicability.md— DCC/OTCC/TCC/CSCC および CMA の概要資料を含む規制当局の全体マップ
このスキルが提供するのは一般的なコンプライアンス情報であり、法的助言ではありません。公式情報を確認して最新の要件を検証し、判断にあたっては有資格の法律専門家または認定評価機関に相談してください。