سياسة الاستخدام المقبول
الإصدار 2.0
تفاصيل الوثيقة
العنصر |
الوصف |
||
عنوان الوثيقة |
سياسة الاستخدام المقبول |
||
التصنيف الأمني |
داخلي |
||
الحالة |
تحت المراجعة |
تاريخ المراجعة القادمة |
20-01-2021 |
موقع التخزين |
سيتم تحديده |
||
تاريخ الإصدار |
1-10-2019 |
||
الاسم المرجعي |
IU-POL-AU-001 |
||
مالك الوثيقة |
قسم امن المعلومات |
تحرير الوثيقة
رقم الإصدار |
التاريخ |
مبررات التحديث |
ملخص التحديث |
1.0 |
1-10-2019 |
الإصدار الأول من الوثيقة |
|
2.0 |
20-1-2020 |
تحديث بنود |
تعديل بعض المصطلحات وإضافة بنود جديدة |
المراجعة والاعتماد
|
توقيع / اسم |
المنصب الوظيفي |
الإصدار |
التاريخ |
إعداد |
فريق ابتكار |
مستشار الأمن |
الأول |
20-01-2020 |
روُجع بواسطة |
|
|
|
|
اعتمدها |
|
|
|
|
الغرض من هذه السياسة هو تحديد الاستخدام المقبول لأصول تقنية المعلومات في الجامعة الإسلامية. هذه القواعد المعمول بها لحماية الموظف والجامعة. الاستخدام غير اللائق يعرض الجامعة للمخاطر بما في ذلك هجمات الفيروسات، اختراق أنظمة وخدمات الشبكة.
تشمل هذه السياسة جميع الأنظمة والأصول المعلوماتية بالجامعة الإسلامية، سواء أكانت تُدار من قبل العمادة أو من قبل طرف ثالث
· تقتضي اﻟﺘﻄﻮرات اﻟﺘﻘﻨﯿـّﺔ واﻟﺘﻐﯿّﺮات اﻟﺘﻲ ﺗﻄﺮأ ﻋﻠﻰ ﻣﺘﻄﻠﺒﺎت اﻟﻌﻤﻞ إﺟﺮاء ﻣﺮاﺟﻌﺔ دورﯾﺔ ﻟﻠﺴﯿﺎﺳﺎت. وﻣﻦ ھﺬا اﻟﻤﻨﻄﻠﻖ، ﻓﺈﻧﮫ ﯾﻤﻜﻦ ﺗﺤﺪﯾﺚ ھﺬه اﻟﺴﯿﺎﺳﺎت ﺑﻤﺎ ﯾﻌﻜﺲ اﻟﺘﻐﯿﯿﺮات أو ﺗﺤﺪﯾﺪ ﻣﺘﻄﻠﺒﺎت ﺟﺪﯾﺪة أو ﻣﺤﺴّﻨﺔ
· ﺗُﺮاﺟﻊ ھﺬه اﻟﺴﯿﺎﺳﺎت ﺳﻨﻮﯾﺎ ﻋﻠﻰ اﻷﻗﻞ ﻟﻠﺘﺄﻛﺪ ﻣﻦ تحديثها
· ﯾُﺤﻈﺮ اﻟﺘﻌﺪﯾﻞ ﻋﻠﻰ ھﺬه اﻟﻮﺛﯿﻘﺔ إﻻ ﻣﻦ ﻗﺒﻞ اﻟﻤﻮظﻔﯿﻦ اﻟﺤﺎﺻﻠﯿﻦ ﻋﻠﻰ ﺗﻔﻮﯾﺾ ﺑﺬﻟﻚ
· ﺗﻘﻊ ﻣﺴﺌﻮﻟﯿﺔ تسهيل اﻟﻤﺮاﺟﻌﺔ اﻟﻤﻨﺘﻈﻤﺔ لهذة اﻟﺴﯿﺎﺳﺎت ﻋﻠﻰ ﻋﺎﺗﻖ ﻣﺪﯾﺮ أﻣﻦ اﻟﻤﻌﻠﻮﻣﺎت. وﯾﻨﺒﻐﻲ إﺷﺮاك اﻟﻤﻮظﻔﯿﻦ ورؤﺳﺎء اﻷﻗﺴﺎم ذات اﻟﻌﻼﻗﺔ ﻓﻲ اﻟﻤﺮاﺟﻌﺔ اﻟﺴﻨﻮﯾﺔ عند الحاجة
· ﯾﺠﺐ إﺑﻼغ إدارة أﻣﻦ اﻟﻤﻌﻠﻮﻣﺎت ﻓﻮراً، ﻋﻦ أي ﻗﺼﻮر ﻓﻲ ھﺬه اﻟﺴﯿﺎﺳﺎت. ﻛﻤﺎ ﯾﺘﻮﺟﺐ اﻟﺤﺼﻮل ﻋﻠﻰ ﻣﻮاﻓﻘﺔ اﻹدارة/ اﻟﻠﺠﻨﺔ التوجيهيه ﻷﻣﻦ اﻟﻤﻌﻠﻮﻣﺎت ﺑﺨﺼﻮص أي ﺗﻌﺪﯾﻞ عليها
· ﯾﺠﺐ ﻣﺘﺎﺑﻌﺔ ﺗﻄﺒﯿﻖ وﺗﺤﺪﯾﺚ ﺑﯿﺎﻧﺎت "ﺳﺠﻞ اﻟﺘﻌﺪﯾﻼت"، واﻟﻌﻤﻞ ﻋﻠﻰ ﺗﺤﺪﯾﺜﮫ ﻓﻮر إﺟﺮاء أي ﺗﻌﺪﯾﻞ.
· راعي هذه السياسة هو اللجنة التوجيهية لأمن المعلومات.
· قسم أمن المعلومات مسؤول عن صيانة ودقة السياسة.
· المديرون المباشرون مسؤولون عن تنفيذ هذه السياسة داخل إداراتهم.
· قسم أمن المعلومات لديه سلطة التحقق من الالتزام لهذه السياسة من قبل جميع موظفي عمادة تقنية المعلومات وكذلك المقاولين والاستشاريين والأطراف الثالثة وسلسلة التوريد التابعة لطرف ثالث وأي موظفين مؤقتين لديهم إمكانية الوصول إلى أصول المعلومات
· يجب توجيه أي أسئلة بخصوص هذه السياسة إلى قسم أمن المعلومات.
· استناداً إلى الهيكل التنظيمي لعمادة تقنية المعلومات، فيما يلي قائمة بالأدوار والمسؤوليات المرتبطة بها تجاه هذه السياسة.
اللجنة التوجيهية لأمن المعلومات.
· فرض سياسات الأمان داخل بيئة عمادة تقنية المعلومات لحماية أصول وأنظمة المعلومات الهامة.
· التأكد من أن السياسات متوافقة مع المتطلبات القانونية والتعاقدية لعمادة تقنية المعلومات.
· الموافقة على أنظمة المعلومات المستخدمة لمعالجة المعلومات الحساسة أو تخزينها أو طباعتها.
· الموافقة على السياسات الجديدة أو التعديلات على السياسات المطبقة.
مدير أمن المعلومات
· توزيع وثائق أمن المعلومات بحيث يكون لدى أولئك الذين يحتاجون إلى هذه الوثائق نسخ أو يمكنهم تحديد موقع الوثائق بسهولة عبر الموقع الداخلي.
· ضمان حماية نظم المعلومات/ البنية التحتية، وفقاً للآليات التكنولوجية التي يحددها فريق تصميم النظام
· تنفيذ الضوابط المناسبة لحماية سرية المعلومات الحساسة وسلامتها وتوفرها عند الحاجة.
· تحديد سياسات وإجراءات أمن المعلومات والحفاظ عليها.
· تنسيق الاستجابة للانتهاكات والاختراقات المتعلقة بالأنظمة
· التحقيق في اختراقات الضوابط الأمنية وتنفيذ ضوابط تعويض إضافية عند الضرورة.
· الإشراف والتنسيق مع قسم تقنية المعلومات للتأكد من أن التدابير الأمنية المنفذة تفي بمتطلبات السياسة الأمنية.
رؤساء الأقسام والإدارات
· رؤساء أقسام عمادة تقنية المعلومات مسؤولون عن تنفيذ ومراقبة هذه السياسة داخل إداراتهم
مستخدمي المعلومات
· الالتزام بالسياسات والإرشادات والإجراءات الأمنية المتعلقة بحماية البيانات الحساسة.
· الإبلاغ عن نقاط الضعف المتعلقة بسرية أو سلامة أو توفر البيانات الحساسة إلى إدارة تقنية المعلومات/ موظف أمن المعلومات.
· استخدام المعلومات للأغراض المقصودة والمحددة في عمادة تقنية المعلومات
· الالتزام بهذه السياسة إلزامي، ويجب على رؤساء اقسام عمادة تقنية المعلومات ضمان مراقبة الالتزام المستمر.
· الالتزام ببنود هذه السياسة هو مسألة مراجعة دورية من قبل إدارة أمن المعلومات.
· أي مخالفة سوف تؤدي إلى اتخاذ إجراءات تأديبية من قبل عميد تقنية المعلومات.
· وتستند الإجراءات التأديبية إلى شدة الانتهاك الذي ستحدده التحقيقات.
· تتخذ إجراءات تأديبية مثل إنهاء الخدمة أو فقدان امتيازات الوصول إلى أصول المعلومات أو غيرها من العقوبات حسبما تراه الجامعة وإدارة شؤون الموظفين مناسبا.
· تهدف هذه السياسة إلى معالجة متطلبات أمن المعلومات. وإذا لزم الأمر، يمكن تقديم الاستثناءات رسميا إلى إدارة أمن المعلومات، بما في ذلك التبرير والفوائد المنسوبة إلى الاستثناء، ويجب أن يوافق عليها مدير أمن المعلومات.
· ومدة الاستثناء من السياسة العامة هي سنة واحدة كحد أقصى، ويمكن إعادة تقييمها وإعادة الموافقة عليها، إذا لزم الأمر، لثلاث فترات متتالية كحد أقصى. ولا ينبغي منح أي سياسة استثناء لأكثر من ثلاث فترات متتالية.
· ضوابط الأمن السيبراني الأساسية NCA_ECC-1:2018
· ISO 27001:2013 نظام إدارة أمن المعلومات
8. بنود السياسة
الاستخدام العام والملكية ((ISO 27001 A.8.1.3
8.1 ترغب عمادة تقنية المعلومات في توفير مستوى مقبول من الخصوصية، فيجب أن يدرك المستخدمون أن البيانات التي يقومون بإنشائها على أنظمة الجامعة تظل ملكًا للجامعة
8.2 الموظفون مسؤولون عن ممارسة مستوى من الحماية المقبولة عند استخدام البنية التحتية لتقنية المعلومات للاستخدام الشخصي.
8.3 بهدف الحماية والمراقبة والصيانة، يجوز للأفراد المعتمدين في الجامعة مراقبة البنية التحتية والأنظمة (بما في ذلك البيانات التي تمر عبر الشبكة) في أي وقت.
8.4 يحتفظ قسم أمن المعلومات بالحق في مراجعة الأنظمة والبنية التحتية على أساس دوري لضمان الالتزام لهذه السياسة.
8.5 يجب الالتزام بسياسة المكتب الآمن والنظيف، والتأكد من خلو سطح المكتب، وكذلك شاشة العرض من المعلومات المصنفة
8.6 يمنع الإفصاح عن أي معلومات تخص الجامعة الإسلامية، بما في ذلك المعلومات المتعلقة بالأنظمة والشبكات لأي جهة أو طرف غير مصرح له سواءً كان ذلك داخلياً أو خارجياً.
8.7 يُمنع ربط الأجهزة الشخصية بالشبكات، والأنظمة الخاصة بـالجامعة الإسلامية دون الحصول على تصريح مسبق، وبما يتوافق مع سياسة أمن الأجهزة المحمولة (BYOD).
8.8 يُمنع القيام بأي أنشطة تهدف إلى تجاوز أنظمة الحماية الخاصة بـالجامعة الإسلامية، بما في ذلك برامج مكافحة الفيروسات، وجدار الحماية، والبرمجيات الضارة دون الحصول على تصريح مسبق، وبما يتوافق مع الإجراءات المعتمدة لدى الجامعة الإسلامية.
8.9 يجب ارتداء البطاقة التعريفية في جميع مرافق الجامعة الإسلامية.
8.10 يمنع استخدام وسائط التخزين الخارجية دون الحصول على تصريح مسبق من إدارة بالأمن السيبراني.
8.11 يُمنع ترك أي معلومات مصنفة في أماكن يسهل الوصول إليها، أو الاطلاع عليها من قبل أشخاص غير مصرح لهم.
8.12 يُمنع تثبيت أدوات خارجية على جهاز الحاسب الآلي دون الحصول على إذن مسبق من عمادة تقنية المعلومات.
8.13 يُمنع استخدام التقنيات التي تسمح بتجاوز الوسيط (Proxy) أو جدار الحماية (Firewall) للوصول إلى شبكة الإنترنت.
8.14 يُمنع تنزيل البرمجيات والأدوات أو تثبيتها على أصول الجامعة الإسلامية دون الحصول على تصريح مسبق من عمادة تقنية المعلومات.
8.15 يُمنع استخدام شبكة الإنترنت في غير أغراض العمل، بما في ذلك تنزيل الوسائط والملفات واستخدام برمجيات مشاركة الملفات
8.16 يجب استخدام تقنيات التشفير عند إرسال معلومات حساسة عن طريق البريد الإلكتروني أو أنظمة الاتصالات.
8.17 يجب عدم تسجيل عنوان البريد الإلكتروني الخاص بـالجامعة الإسلامية في أي موقع ليس له علاقة بالعمل.
8.18 يجب اختيار كلمات مرور آمنة، والمحافظة على كلمات المرور الخاصة بأنظمة الجامعة الإسلامية وأصولها. كما يجب اختيار كلمات مرور مختلفة عن كلمات مرور الحسابات الشخصية، مثل حسابات البريد الشخصي ومواقع التواصل الاجتماعي
8.20 يجب تخزين الأقراص المضغوطة وذاكرة فلاش USB ووسائط التخزين الأخرى (مثل القرص الصلب وبطاقات الذاكرة) بشكل آمن عندما لا تكون قيد الاستخدام ويجب أن يتم تمييزها بالمحتويات وتاريخ النسخ الاحتياطي.
8.21 يجب على جميع أجهزة الكمبيوتر التي يستخدمها الموظف المتصل بإنترنت الجامعة أو الشبكة الداخلية، أن تكون محمية باستمرار ببرنامج فحص الفيروسات المعتمد وان تكون قاعدة بيانات فيروسات محدثة.
8.22 يجب أن يكون الموظفون حذرين عند فتح مرفقات البريد الإلكتروني المستلمة من مرسلين غير معروفين، والتي قد تحتوي على فيروسات أو برمجيات خبيثة
الأنشطة على الأنظمة والشبكات
8.23 لا يُسمح بممارسة أي نشاط غير قانوني بموجب القانون المحلي أو الدولي بواسطة الموارد المملوكة للجامعة الإسلامية
8.24 لا يسمح بتثبيت أو توزيع "البرمجيات المقرصنة" أو غيرها من منتجات البرمجيات غير المرخصة للاستخدام من قبل الجامعة.
8.25 ممنوع منعا باتا استخدام أو توزيع للمواد المحمية بحقوق الطبع والنشر، لا تمتلك الجامعة أو المستخدم النهائي ترخيصً ساري
8.26 ممنوع منعا باتا إدخال أي برامج ضارة في الشبكة أو الي الخوادم (مثل الفيروسات والبرمجيات الخبيثة وما إلى ذلك).
8.27 لا يسمح باستخدام برامج P2P (نظير إلى نظير) لمشاركة البيانات (على سبيل المثال لا الحصر ال(التورنت)، وما إلى ذلك)
8.28 لا يسمح بالكشف عن كلمة مرور حسابك للآخرين أو السماح للآخرين باستخدام حسابك.
8.29 لا يسمح باستخدام أجهزة الجامعية للمشاركة بنشاط في شراء أو بث معلومات خارج نطاق عمل الجامعة.
8.30 تقديم عروض احتيالية للمنتجات أو العناصر أو الخدمات عن طريق أي حساب جامعي هو أمر غير مسموح.
8.31 التسبب في حدوث خروقات أمنية أو تعطيل اتصالات الشبكة، تشمل خروقات الأمان، على سبيل المثال لا الحصر، الوصول إلى البيانات بدون أن يكون الموظف مسموحا له أو تسجيل الدخول إلى خادم أو حساب لا يسمح للموظف صراحةً بالوصول إليه، ما لم تكن هذه الواجبات في نطاق مهامه الوظيفية. لأغراض هذا البند، يشمل "التعطيل"، على سبيل المثال لا الحصر، التنصت على الشبكة، تجارب اختراق الشبكة، منع الوصول للخدمة
8.32 تنفيذ أي شكل من أشكال مراقبة الشبكة ما لم يكن هذا النشاط جزءًا من مهام الوظيفة للموظف.
8.33 توفير معلومات حول موظفي الجامعة للأطراف خارج الجامعة الإسلامية.
أنشطه التواصل والبريد الإلكتروني
8.34 غير مسموح بإرسال رسائل البريد الإلكتروني غير المرغوب فيها، مثل إرسال المواد إعلانية (البريد الإلكتروني العشوائي).
8.35 غير مسموح بأي شكل من أشكال المضايقة عبر البريد الإلكتروني أو الهاتف، سواء من خلال اللغة أو التكرار
8.36 غير مسموح بتزوير معلومات رأس البريد الإلكتروني.
8.37 إنشاء أو إعادة توجيه "رسائل خداعيه" أو "Ponzi" أو مخططات "هرمية" أخرى من أي نوع.
الأنترنت والشبكة الداخلية
8.38 يُحظر المسح الإلكتروني لمصادر النفاذ الى الشبكة ما لم يتم الحصول على موافقة مسبقة من فرق أمن المعلومات وتقنية المعلومات الخاصة بالجامعة.
8.39 يحظر اعتراض الخدمة أو رفضها لأي مستخدم (على سبيل المثال، هجوم رفض الخدمة).
8.40 تحظر جميع خدمات وتطبيقات الإنترنت غير المعتمدة من قبل الجامعة والغير الضرورية لاحتياجات العمل،
8.41 لا يُسمح للمستخدمين الذين يصلون إلى الإنترنت أن يصلوا أجهزة الجامعة بالإنترنت من خلال مصادر أخرى غير مرافق اتصالات الإنترنت بالجامعة الإسلامية، على سبيل المثال، الاتصال من خلال اتصالات البيانات اللاسلكية أو اتصالات 3G / 4G أو لاسلكي.
يعتمد سماح الوصول إلى الإنترنت للفرد على:
8.41.1 طبيعة العمل الذي يتطلب من المستخدم الاتصال بالإنترنت.
8.41.2 المواقع التي يسمح له / لها بالوصول إليها عبر الإنترنت.
8.42 إذا اكتشف المستخدمون الذين يستخدمون أجهزة الكمبيوتر التابعة للجامعة الإسلامية أنهم اتصلوا بموقع ويب يحتوي على مواد يمكن أن تكون مسيئة أو ضاره فعليهم قطع الاتصال على الفور بهذا الموقع وإخطار قسم أمن المعلومات على الفور.
8.43 تعتبر مواقع التصفح التي تحتوي على مواد غير مشروعة / مسيئة / بمثابة جريمة إذا تم القيام بها عن قصد. وهذا ما يمكن إثباته من قبل عمادة تقنية المعلومات من خلال التحقيق
منصات التواصل الاجتماعي
8.44 يُسمح بنشر المحتوى على وسائل التواصل الاجتماعي التي ترعاها الجامعة (مثل صفحة الجامعة على Facebook) فقط للموظفين المخولين بتمثيل الجامعة علنًا.
8.45 لا يُسمح للموظفين بالوصول إلى مواقع التواصل الاجتماعي للاستخدام الشخصي من أجهزة كمبيوتر الجامعة أو أجهزتها أثناء وقت العمل ويجب عدم تركها تعمل "في الخلفية" أثناء العمل. تنطبق هذه الأحكام أيضًا على أجهزة الكمبيوتر الشخصية والأجهزة المحمولة.
8.46 . أي اتصالات يقوم بها الموظفون عبر وسائل التواصل الاجتماعي يجب أن لا تكون في الإطار التالي:
الإضرار بالجامعة، على سبيل المثال عن طريق:
8.46.1 النقد أو الاختلاف أو الجدال مع الطلاب أو الزملاء أو أعضاء هيئه التدريس؛
8.46.2 إبداء تعليقات تشهيرية حول الأفراد أو المنظمات؛
8.46.3 نشر صور غير ملائمة أو روابط لمحتوى غير لائق؛
خرق السرية، على سبيل المثال عن طريق:
8.46.4 التصريح عن المعلومات السرية الخاصة بالأخرين (مثل زميل أو مستخدم خدمة) أو الجامعة
القيام بتصرف يمكن أن يعتبر تمييزًا ضد أي فرد أو مجموعة، أو المضايقة، ، على سبيل المثال من خلال:
8.46.5 إبداء تعليقات مسيئة أو مهينة تتعلق بالجنس أو العرق (بما في ذلك الجنسية) أو الإعاقة أو الدين أو المعتقد أو العمر؛
8.46.6 استخدام وسائل التواصل الاجتماعي للإساءة لشخص آخر (مثل موظف في الجامعة)؛ أو
8.46.7 نشر صور تمييزية أو مسيئة أو روابط لهذا المحتوى.
أي إجراء آخر يؤثر على قدرة الموظفين على القيام بعملهم، على سبيل المثال عن طريق:
8.46.8 نشاط عبر الإنترنت لا يتوافق مع منصبه الوظيفي
8.46.9 أي خرق يحدث داخل أو خارج مكان العمل يحتمل أن يؤثر على الموظف.
التعريفات |
المصطلح |
|
الحماية من التهديدات المتقدمة التي تستخدم أساليب خفية تهدف إلى الدخول غير المشروع على الأنظمة والشبكات التقنية ومحاولة البقاء فيها أطول فترة ممكنة عن طريق تفادي أنظمة الكشف والحماية. وهذه الأساليب تستخدم عادة الفيروسات والبرمجيات الــضــارة غير المعروفة مسبقا MalwareZero-Day لتحقيق هدفها. |
الحماية من التهديدات المتقدمة المستمرة Persistent Advanced Protection APT Threat |
|
أي شيء ملموس أو غير ملموس له قيمة بالنسبة للجهة. هناك أنواع كثيرة من الأصول؛ بعض هــذه الأصول تتضمن أشــيــاء واضــحــة، مـثـل: الأشخاص، وألالت، والمرافق، وبــراءات الاختراع، والبرمجيات والخدمات. ويمكن أن يشمل المصطلح أيضا أشياء أقل وضوحا، مثل: المعلومات والخصائص مثل: سمعة الجهة وصورتها العامة، أو المهارة والمعرفة. |
الأصل Asset |
|
أي نوع من الأنشطة الخبيثة التي تحاول الوصول بشكل غير مشروع أو جمع موارد النظم المعلوماتية أو المعلومات نفسها أو تعطيلها أو منعها أو تحطيمها أو تدميرها. |
هجوم Attack |
|
المراجعة المستقلة ودراسة السجالات والأنشطة لتقييم مدى فعالية ضوابط الأمن السيبراني ولضمان الالتزام بالسياسات، والإجراءات التشغيلية، والمعايير والمتطلبات التشريعية والتنظيمية ذات العالقة. |
تدقيق Audit |
|
التأكد من هوية المستخدم أو العملية أو الجهاز، وغالبا ما يكون هذا الأمر شرطا أساسيا للسماح بالوصول إلى الموارد في النظام. |
التحقق Authentication |
|
خاصية تحديد والتأكد من حقوق/تراخيص المستخدم للوصول إلى الموارد والأصول المعلوماتية والتقنية للجهة والسماح له وفقا لما حدد مسبقا في حقوق/تراخيص المستخدم. |
صالحية المستخدم Authorization |
|
ضمان الوصول إلى المعلومات والبيانات والأنظمة والتطبيقات واستخدامها في الوقت المناسب. |
توافر Availability |
|
الملفات والأجهزة والبيانات والإجراءات المتاحة للاستخدام في حالة الأعطال أو الفقدان، أو إذا حذف الأصل منها أو توقف عن الخدمة. |
النسخ الاحتياطية Backup |
|
يشير هذا المصطلح إلى سياسة جهة تسمح سواء بشكل جزئي أو كلي للعاملين فيها بجلب الأجهزة الشخصية الخاصة بهم أجهزة الكمبيوتر المحمولة والأجهزة اللوحية والهواتف الذكية إلى أماكن العمل في الجهة، واستخدام هذه الأجهزة للوصول إلى الشبكات المعلومات والتطبيقات والأنظمة التابعة للجهة المقيدة بصالحيات دخول. |
أحضر الجهاز الخاص بك Bring Your Own Device BYOD |
|
يستخدم التليفزيون ذو الدائرة المغلقة، والمعروف أيضا باسم المراقبة بالفيديو، كــامــيــرات الفيديو إرسال إشـــارة إلــى مـكـان مـحـدد على مجموعة مــحــدودة من الشاشات. وغالبا ما يطلق هذا المصطلح على تلك التقنية المستخدمة للمراقبة في المناطق التي قد تحتاج إلى مراقبة حيث يشكل الأمن المادي مطلبا هاما فيها. وهو نظام إدارة الخدمة حيث يضمن منهجا نظاميا واستباقيا باستخدام أساليب |
الدائرة التلفزيونية المغلقة CCTV |
|
وإجــــراءات معيارية فعالة على سبيل الـمـثـال: التغيير فــي البنية التحتية للجهة، شبكاتها، ..إلخ. تساعد إدارة التغيير جميع الأطراف المعنيين، بما في ذلك الأفراد والفرق على حد سواء، على الانتقال من حالتهم الحالية إلى الحالة المرغوبة التالية، كما تساعد إدارة التغيير أيضا على تقليل تأثير الحوادث ذات العالقة على الخدمة. |
إدارة التغيير Change Management |
|
نــمــوذج لتمكين الــوصــول عند الطلب إلــى مجموعة مشتركة مــن مـــوارد تقنية المعلومات مثل: الشبكات والخوادم والتخزين والتطبيقات والخدمات التي يمكن توفيرها بسرعة وإطلاقها بالحد الأدنى من الجهد الإداري التشغيلي والتدخل/ التفاعل العداد الخدمة من مزود الخدمة. تسمح الحوسبة السحابية للمستخدمين بالوصول إلى الخدمات القائمة على التقنية من خلال شبكة الحوسبة السحابية دون الحاجة لوجود معرفة لديهم أو تحكم في البنية التحتية التقنية التي تدعمهم. يتألف نموذج الحوسبة السحابية من خمس خصائص أساسية: خدمة ذاتية حسب الطلب، ووصـــول إلــى الشبكة بشكل واســـع، ومجمع الــمــوارد، ومــرونــة سريعة، والخدمة المقاسة. وهناك ثالثة نماذج لتقديم خدمات الحوسبة السحابية وهي: البرمجيات السحابية كخدمة Software-as-Service”Saas”، والنظام أو المنصة السحابية كخدمة ”PaaS“ Platform-as-Service، والــبــنــيــة الــتــحــتــيــة الــســحــابــيــة كــخــدمــة .Infrastructure-as-Service ”IaaS“ كما أن هناك أربعة نماذج للحوسبة السحابية حسب طبيعة الــدخــول: الحوسبة السحابية العامة، والحوسبة السحابية المجتمعية، والحوسبة السحابية الخاصة، والحوسبة السحابية الهجين. |
الحوسبة السحابية Cloud Computing |
|
الإفصاح عن أو الحصول على معلومات لأشخاص غير مصرح تسريبها أو الحصول عليها، أو انتهاك السياسة الأمنية السيبرانية للجهة بالإفصاح عن أو تغيير أو تخريب أو فقد شيء سواء بقصد أو بغير بقصد. ويقصد بالانتهاك الأمني الإفصاح عن أو الحصول على بيانات حساسة أو تسريبها أو تغييرها أو تبديلها أو استخدامها بدون تصريح بما في ذلك مفاتيح تشفير النصوص وغيرها من المعايير الأمنية السيبرانية الحرجة. |
انتهاك أمني Compromise |
|
الاحتفاظ بقيود مصرح بها على الوصول إلى المعلومات والإفصاح عنها بما في ذلك وسائل حماية معلومات الخصوصية والملكية الشخصية. |
السرية Confidentiality |
|
هـي المعلومات أو البيانات التي تعتبر غاية فـي الحساسية والأهمية، حسب تصنيف الجهة، والمعدة للاستخدام من قبل جهة أو جهات محددة. وأحد الطرق التي يمكن استخدامها في تصنيف هذا النوع من المعلومات هو قياس مدى الضرر عند الإفصاح عنها أو بالطالع عليها بشكل غير مصرح به أو فقدها أو تخريبها، حيث قد يؤدي ذلك إلى أضرار مادية أو معنوية على الجهة أو المتعاملين معها، أو التأثير على حياة الأشخاص ذو العالقة بتلك المعلومات، أو التأثير والضرر بأمن الدولة أو اقتصادها الوطني أو مقدراتها الوطنية. وتشمل المعلومات الحساسة كل المعلومات التي يترتب على الإفصاح عنها بشكل غير مصرح به أو فقدها أو تخريبها مساءلة أو عقوبات نظامية. |
المعلومات أو البيانات الحساسة Data/ Confidential Information |
|
تلك العناصر الأساسية للبنية التحتية أي الأصول، والمرافق، والنظم، والشبكات، والعمليات، والعاملون الأساسيون الذين يقومون بتشغيلها ومعالجتها، والتي قد يؤدي فقدانها أو تعرضها الانتهاكات أمنية إلى: · أثر سلبي كبير على توافر الخدمات الأساسية أو تكاملها أو تسليمها - بما في ذلك الخدمات التي يمكن أن تؤدي في حال تعرضت سالمتها للخطر إلى خسائر كبيرة في الممتلكات و/أو الأرواح و/أو الإصابات- مع مراعاة الآثار الاقتصادية و/أو الاجتماعية الكبيرة. · تأثير كبير على الأمن القومي و/أو الــدفــاع الوطني و/أو اقتصاد الــدولــة أو مقدراتها الوطنية. |
البنية التحتية الوطنية الحساسة Critical National Infrastructure |
|
ويسمى أيضا علم التشفير وهي القواعد التي تشتمل مبادئ ووسائل وطرق تخزين ونقل البيانات أو المعلومات في شكل معين وذلك من أجل إخفاء محتواها الداخلي، ومنع الاستخدام غير المصرح به أو منع التعديل غير المكتشف، بحيث لا يمكن لغير الأشخاص المعنيين قراءتها ومعالجتها. |
التشفير Cryptography |
|
الاستغلال المتعمد ألنظمة الحاسب الآلي والشبكات والجهات التي يعتمد عملها على تقنية المعلومات والاتصالات الرقمية بهدف إحداث أضرار. |
الهجوم السيبراني Cyber-Attack |
|
المخاطر التي تمس عمليات أعمال الجهة بما في ذلك رؤية الجهة أو رسالتها أو إداراتــهــا أو صورتها أو سمعتها أو أصــول الجهة أو الأفراد أو الجهات الأخرى أو الدولة، بسبب إمكانية الوصول غير المصرح به أو الاستخدام أو الإفصاح أو التعطيل أو التعديل أو تدمير المعلومات و/أو نظم المعلومات. |
المخاطر السيبرانية Cyber Risks |
|
القدرة الشاملة للجهة على الصمود أمــام الأحداث السيبرانية، ومسببات الضرر، والتعافي منها. |
الصمود الأمني السيبراني Cybersecurity Resilience |
|
حسب ما نص عليه تنظيم الهيئة الصادر بالأمر الملكي رقــم 6801 وتاريخ /11 1439/2هــــ، فإن الأمن السيبراني هو حماية الشبكات وأنظمة تقنية المعلومات وأنظمة التقنيات التشغيلية، ومكوناتها مـن أجـهـزة وبرمجيات، ومــا تقدمه من خدمات، وما تحتويه من بيانات، من أي اختراق أو تعطيل أو تعديل أو دخــول أو استخدام أو استغلال غير مشروع. ويشمل مفهوم الأمن السيبراني أمن المعلومات والأمن الإلكتروني والأمن الرقمي ونحو ذلك. |
الأمن السيبراني Cybersecurity |
|
الشبكة المترابطة من البنية التحتية لتقنية المعلومات، والتي تشمل الإنترنت وشبكات الاتصالات وأنظمة الحاسب الآلي والأجهزة المتصلة بالإنترنت، إلى جانب المعالجات وأجهزة التحكم المرتبطة بها. كما يمكن أن يشير المصطلح إلى عالم أو نطاق افتراضي كظاهرة مجربة أو مفهوم مجرد. |
الفضاء السيبراني Cyberspace |
|
تعيين مستوى الحساسية للبيانات والمعلومات التي ينتج عنها ضوابط أمنية لكل مستوى من مستويات التصنيف. يتم تعيين مستويات حساسية البيانات والمعلومات وفقا لفئات محددة مسبقا حيث يتم إنشاء البيانات والمعلومات أو تعديلها أو تحسينها أو تخزينها أو نقلها. مستوى التصنيف هو مؤشر على قيمة أو أهمية البيانات والمعلومات للجهة. |
تصنيف البيانات والمعلومات Data and Information Classification |
|
عملية نقل البيانات التي لم تعد مستخدمة بشكل فعال في جهاز تخزين منفصل للحفظ طويل الأجل. تتكون بيانات الأرشيف من بيانات قديمة ال تزال مهمة للجهة وقد تكون مطلوبة للرجوع إليها في المستقبل، وبيانات يجب الاحتفاظ بها لالتزام بالتشريعات والتنظيمات ذات العالقة. |
أرشفة البيانات Data Archiving |
|
هــو مفهوم لتوكيد المعلومات Assurance Information حيث يتم وضع مستويات متعددة من الضوابط الأمنية كدفاع في نظام تقنية المعلومات IT أو تقنية التشغيل. OT |
الدفاع الأمني متعدد المراحل Defence-in-Depth |
|
الأنشطة والبرامج والخطط المصممة لإرجاع وظائف وخدمات الأعمال الحيوية للجهة إلى حالة مقبولة، بعد التعرض إلى هجمات سيبرأني أو تعطل لهذه الخدمات والوظائف. |
التعافـي من الكوارث Disaster Recovery |
|
نظام تقني يستخدم قاعدة بيانات يتم توزيعها عبر الشبكة و/أو الإنترنت تسمح بتحويل أسماء النطاقات إلى عناوين الشبكةIP Addresses، والعكس، لتحديد عناوين الخدمات مثل خوادم المواقع الإلكترونية والبريد الإلكتروني. |
نظام أسماء النطاقات Domain Name System |
|
تشير الفعالية إلى الدرجة التي يتم بها تحقيق تأثير مخطط لــه. وتعتبر الأنشطة المخططة فعالة إذا تم تنفيذ هذه الأنشطة بالفعل، وتعتبر النتائج المخطط لها فعالة إذا تم تحقيق هذه النتائج بالفعل. يمكن استخدام مؤشرات قياس الأداء” KPIs“ Indicators Performance Key لقياس وتقييم مستوى الفعالية. |
فعالية Effectiveness |
|
العالقة بين النتائج المحققة المخرجات والموارد المستخدمة المدخلات. يمكن تعزيز كفاءة العملية أو النظام من خلال تحقيق نتائج أكثر باستخدام نفس الموارد المدخلات أو أقل. |
كفاءة Efficiency |
|
شيء يحدث في مكان محدد مثل الشبكة والأنظمة والتطبيقات وغيرها وفي وقت محدد. |
حدث Event |
|
بروتوكول يستخدم التشفير لتأمين صفحات وبيانات الويب عند انتقالها عبر الشبكة. وهو عبارة عن نسخة آمنة من نظام بروتوكول نقل النص التشعبي. HTTP |
بروتوكول نقل النص التشعبي الآمن Hyper Text Transfer Protocol Secure HTTPS |
|
وسيلة التحقق من هوية المستخدم أو العملية أو الجهاز، وهي عادة شرط أساسي لمنح حق الوصول إلى الموارد في النظام. |
هوية Identification |
|
انتهاك أمني بمخالفة سياسات األمن السيبراني أو سياسات الاستخدام المقبول أو ممارسات أو ضوابط أو متطلبات الأمن السيبراني. |
حادثة Incident |
|
الحماية ضد تعديل أو تخريب المعلومات بشكل غير مصرح به، وتتضمن ضمان عدم الإنكار للمعلومات Non-Repudiation والموثوقية. |
سالمة المعلومة Integrity |
|
المتطلبات الوطنية هــي متطلبات طورتها جهة تشريعية فــي المملكة العربية السعودية للاستخدام بشكل تنظيمي مثل: الضوابط الأساسية لألمن السيبراني ."ECC-1:2018" المتطلبات الدولية هي متطلبات طورتها جهة أو منظمة دولية عالمية للاستخدام بشكل تنظيمي في جميع أنحاء العالم مثل: SWIFT ،PCI، وغيرها. |
المتطلبات الوطنية والدولية InterNational Requirements |
|
نظام لديه قـــدرات كشف الاختراقات، بالإضافة إلــى الــقــدرة على منع وإيقاف محاولات الأنشطة والحوادث المشبوهة أو المحتملة. |
نظام الحماية المتقدمة الاكتشاف ومنع الاختراقات Prevention Intrusion IPSSystem |
|
نوع من أدوات قياس مستوى الأداء ُيقيم مدى نجاح نشاط ما أو جهة تجاه تحقيق أهداف محددة. |
الأداء قياس مؤشر Key Performance Indicator KPI |
|
عرض معلومات بتسمية وترميز محدد وقياسي توضع على أصول الجهة مثل: الأجهزة والتطبيقات والمستندات وغيرها ليستدل بها لإشارة إلى بعض المعلومات المتعلقة بتصنيف الأصل وملكيته ونوعه وغيرها من المعلومات المتعلقة بإدارة الأصول. |
ترميز أو علامة Labeling |
|
مبدأ أساسي في الأمن السيبراني يهدف إلى منح المستخدمين صالحيات الوصول التي يحتاجونها لتنفيذ مسؤولياتهم الرسمية فقط. |
الحد األدنى من الصالحيات Privilege Least |
|
برنامج ُيصيب الأنظمة بطريقة خفية في الغالب الانتهاك سرية أو سالمة ودقة أو توافر البيانات أو التطبيقات أو نظم التشغيل. |
البرمجيات الضارة Malware |
|
نظام أمني يتحقق من هوية المستخدم، يتطلب استخدام عدة عناصر مستقلة من آليات التحقق من الهوية. تتضمن آليات التحقق عدة عناصر: المعرفة شيء يعرفه المستخدم فقط "مثل كلمة المرور." الحيازة شيء يملكه المستخدم فقط "مثل برنامج أو جهاز توليد أرقام عشوائية أو الرسائل القصيرة المؤقتة لتسجيل الــدخــول"، ويطلق عليها One-Time-" ."Password الملازمة صفة أو سمة حيوية متعلقة بالمستخدم نفسه فقط "مثل بصمة الإصبع." |
التحقق من الهوية متعدد العناصر Multi-Factor Authentication MFA |
|
معمارية أو بنية ُتطبق أسلوب عميل-خادم الــذي يتم فيه تطوير وصيانة منطق العملية الوظيفية، والــوصــول إلــى البيانات، وتخزين البيانات وواجـهـة المستخدم كوحدات مستقلة على منصات منفصلة. |
المعمارية متعددة المستويات Architecture Multi-tier |
|
القيود المفروضة على البيانات، والتي تعتبر حساسة ما لم يكن لدى الشخص حاجة محددة لا لطالع على البيانات لغرض ما متعلق بأعمال ومهام رسمية. |
الحاجة إلى المعرفة والحاجة إلى الاستخدام Need-to-know and Need-to-use |
|
نسخة احتياطية لقاعدة البيانات وإعــدادات الأنظمة والتطبيقات والأجهزة عندما تكون النسخة غير متصلة وغير قابلة للتحديث. عادة ما تستخدم أشرطة Tapes في حالة النسخة الاحتياطية خارج الموقع. |
النسخ الاحتياطي غير المتصل أو خارج الموقع Backup Offline/Offsite |
|
طريقة للتخزين يتم فيها النسخ الاحتياطي بانتظام عبر شبكة على خادم بعيد، إما داخل شبكة الجهة أو بالاستضافة لدى مزود خدمة. |
النسخ الاحتياطي المتصل Online Backup |
|
الأشخاص الذين يعملون في الجهة بما في ذلك الموظفون الرسميون والموظفون المؤقتون والمتعاقدون. |
العاملون في الجهة Staff Organization |
|
الحصول على السلع أو الخدمات عن طريق التعاقد مع مورد أو مزود خدمة. |
بالسناد الخارجي Outsourcing |
|
حزم بيانات داعمة لتحديث أو إصلاح أو تحسين نظام التشغيل للحاسب الآلي أو تطبيقاته أو برامجه. وهذا يشمل إصلاح الثغرات الأمنية وغيرها من الأخطاء، حيث تسمى هذه الحزم عادة إصلاحات أو إصلاح الأخطاء وتحسين إمكانية الاستخدام أو الأداء. |
حزم التحديثات والإصلاحات Patch |
|
ممارسة اختبار على نظام حاسب آلي أو شبكة أو تطبيق موقع إلكتروني أو تطبيق هواتف ذكية للبحث عن ثغرات يمكن أن يستغلها المهاجم. |
اختبار الاختراق Testing Penetration |
|
محاولة الحصول على معلومات حساسة مثل أسماء المستخدمين وكلمات المرور أو تفاصيل بطاقة الائتمان، غالبا ألسباب ونوايا ضارة وخبيثة، وذلك بالتنكر على هيئة جهة جديرة بالثقة في رسائل بريد إلكترونية. |
رسائل التصيد الإلكترونية Emails Phishing |
|
يصف الأمن المادي التدابير الأمنية التي تم تصميمها لمنع الوصول غير المصرح به إلى المرافق والمعدات والموارد التابعة للجهة، وحماية الأفراد والممتلكات من التلف أو الضرر مثل التجسس أو السرقة، أو الهجمات الإرهابية. ينطوي الأمن المادي على استخدام طبقات متعددة من نظم مترابطة، تشمل الدوائر التلفزيونية المغلقة CCTV، وحراس الأمن، وحدود أمنية، والأقفال، وأنظمة التحكم في الوصول، والعديد من التقنيات الأخرى. |
الأمن المادي Security Physical |
|
وثيقة تحدد بنودها التزاما عاما أو توجيها أو نية ما كما تم التعبير عن ذلك رسميا من قبل صاحب الصالحية للجهة. سياسة الأمن السيبراني هي وثيقة تعبر بنودها عن الالتزام الرسمي لإدارة العليا للجهة بتنفيذ وتحسين برنامج الأمن السيبراني في الجهة، وتشتمل السياسة على أهــداف الجهة فيما يتعلق ببرنامج الأمن السيبراني وضوابطه ومتطلباته وآلية تحسينه وتطويره. |
سياسة Policy |
|
الحرية من التدخل غير المصرح به أو الكشف عن معلومات شخصية حول فرد. |
الخصوصية Privacy |
|
عملية إدارة الصالحيات ذات الخطورة العالية على أنظمة الجهة والتي تحتاج في الغالب إلى تعامل خاص لتقليل المخاطر التي قد تنشأ من سوء استخدامها. |
إدارة الصالحيات الهامة والحساسة Access Privileged Management |
|
وثيقة تحتوي على وصف تفصيلي للخطوات الضرورية لأداء عمليات أو أنشطة محددة في التوافق مع المعايير والسياسات ذات العالقة. وتعرف الإجراءات على أنها جزء من العمليات. |
إجراء Procedure |
|
مجموعة من الأنشطة المترابطة أو التفاعلية تحول المدخلات إلى مخرجات. وهذه الأنشطة متأثرة بسياسات الجهة. |
عملية Process |
|
إجراء أو عملية الاستعادة أو التحكم في شيء منقطع أو تالف أو مسروق أو ضائع. |
الاستعادة Recovery |
|
هي المدة الزمنية التي يجب فيها الاحتفاظ بالمعلومات أو البيانات أو سجالات الأحداث أو النسخ الاحتياطية، بغض النظر عن الشكل ورقــي أو إلكتروني أو غير ذلك. |
مدة الاحتفاظ Retention |
|
ممارسة تطوير برمجيات وتطبيقات الحاسب الآلي بطريقة تحمي من التعرض غير المقصود لثغرات الأمن السيبراني المتعلقة بالبرمجيات والتطبيقات. |
المعايير الأمنية لشفرة البرامج والتطبيقات Secure Coding Standards |
|
حماية وتحصين وضبط إعــدادات جهاز الحاسب الآلي، والنظام، والتطبيق، وجهاز الشبكة، والجهاز الأمني لمقاومة الهجمات السيبرانية. مثل: إيقاف أو تغيير الحسابات المصنعية والافتراضية، إيقاف الخدمات غير المستخدمة، إيقاف منافذ الشبكة غير المستخدمة. |
مراجعة الإعدادات والتحصين Configuration Secure Hardening and |
|
نظام يقوم بإدارة وتحليل بيانات سجلات الأحداث الأمنية في الوقت الفعلي لتوفير مراقبة للتهديدات، وتحليل نتائج القواعد المترابطة لسجلات الأحداث، والتقارير حول بيانات السجلات، والاستجابة للحوادث. |
نظام إدارة سجلات الأحداث ومراقبة الأمن السيبراني Information Security Management Event and SIEM |
|
عملية تهدف إلى التأكد من أن النظام أو التطبيق المعدل أو الجديد يتضمن ضوابط حمايات أمنية مناسبة وال يحتوي على أي ثــغــرات أمنية قــد تضر بالأنظمة أو التطبيقات الأخرى، أو تؤدي إلى سوء استخدام النظام أو التطبيق أو معلوماته، وكذلك للحفاظ على وظيفة النظام أو التطبيق على النحو المنشود. |
الاختبار الأمني Testing Security |
|
منهجية لتطوير الأنظمة والتطبيقات وتصميم الشبكات التي تسعى إلى جعلها خالية من نقاط الضعف والثغرات الأمنية السيبرانية، والمقدرة على صد الهجوم السيبراني قدر الإمكان من خلال عدة تدابير على سبيل المثال: الاختبار المستمر، وحماية المصادقة والتمسك بأفضل ممارسات البرمجة والتصميم، وغيرها. |
الأمن من خلال التصميم Security-by-Design |
|
مبدأ أساسي في الأمن السيبراني يهدف إلى تقليل الأخطاء والاحتيال خلال مراحل تنفيذ عملية محددة عن طريق التأكد من ضرورة وجود أكثر من شخص إكمال هذه المراحل وبصالحيات مختلفة. |
المهام فصل Segregation of Duties |
|
طريقة للتحقق من أن خادم البريد الإلكترونية المستخدم في إرسال رسائل البريد الإلكترونية يتبع المجال الخاص بالجهة المرسلة. |
إطار سياسة المرسل Policy Sender Framework |
|
أي جهة تعمل كطرف في عالقة تعاقدية لتقديم السلع أو الخدمات وهذا يشمل موردي ومزودي الخدمات. |
طرف خارجي Third-Party |
|
أي ظرف أو حدث من المحتمل أن يؤثر سلبا على أعمال الجهة بما في ذلك مهمتها أو وظائفها أو مصداقيتها أو سمعتها أو أصولها أو منسوبيها مستغال أحد أنظمة المعلومات عن طريق الوصول غير المصرح به إلى المعلومات أو تدميرها أو كشفها أو تغييرها أو حجب الخدمة. وأيضا قدرة مصدر التهديد على النجاح في استغلال أحد نقاط الضعف الخاصة بنظام معلومات معين. وهذا التعريف يشمل التهديدات السيبرانية. |
تهديد Threat |
|
يوفر معلومات منظمة وتحليلها حول الهجمات الأخيرة والحالية والمحتملة التي يمكن أن تشكل تهديدا سيبرأني للجهة. |
المعلومات الاستباقية Intelligence Threat |
|
أي نوع من نقاط الضعف في نظام الحاسب الآلي، أو برامجه أو تطبيقاته، أو في مجموعة من الإجراءات، أو في أي شيء يجعل الأمن السيبراني عرضة للتهديد. |
الثغرة Vulnerability |
|
نظام حماية يوضع قبل تطبيقات الويب لتقليل المخاطر الناجمة من محاولات الهجوم الموجهة على تطبيقات الويب. |
جدار الحماية لتطبيقات الويب Web Application Firewall |
|
عبارة عن برمجيات ضارة Malwareغير معروفة مسبقا، تم إنتاجها أو نشرها حديثا. يصعب في العادة اكتشافها بواسطة وسائل الحماية التي تعتمد على المعرفة المسبقة للبرمجيات الضارة Protection.Signature-based |
البرمجيات الضارة غير المعروفة مسبقا Malware Zero-Day |