sama_gov_sa · guide · processed · 193 chunks
تمهيد
في ظل التصاعد غير المسبوق للهجمات السيبرانيه، ادركنا ضروره استباق حدوث هذه الهجمات. ويتمثل الهدف من اصدار الدليل التنظيمي لامن المعلومات ("الدليل التنظيمي") في دعم المؤسسات الخاضعه لرقابه البنك المركزي السعودي في جهودها التي تبذلها لوضع دليل مناسب لحوكمه الامن السيبراني وانشاء بنيه تحتيه قويه مع وضع الضوابط اللازمه لكشف هذه الهجمات والوقايه منها. ويشتمل الدليل التنظيمي الماثل علي الضوابط المناسبه ويتيح توجيهات لطريقه تقييم مستوي النضج.
ويمثل اعتماد الدليل التنظيمي وتنفيذه احدي الخطوات الهامه التي تضمن قدره القطاع المصرفي بالمملكه العربيه السعوديه، وقطاعات شركات التامين والتمويل علي التصدي للهجمات السيرانيه ومنع حدوثها. وعند تصميم الدليل التنظيمي، اخذنا في الاعتبار الطرق التي تستفيد بها المؤسسات الخاضعه لرقابه البنك المركزي السعودي من التقنيه وشعورنا ان كل مؤسسه ستكون قادره علي تبني نهج مشترك لمعالجه الامن السيبراني. وسوف يضمن الدليل التنظيمي الماثل اداره مخاطر الامن السيبراني علي النحو الصحيح في جميع القطاعات.
ولتحقيق الهدف سالف الذكر، فمن الضروري توفير الدعم الكامل والاشراف من مجلس الاداره والاداره العليا لتنفيذ الدليل التنظيمي.
وسوف يساعدكم الفريق المعني بمخاطر تقنيه المعلومات التابع لاداره الرقابه في الحصول علي اي توضيحات في هذا الشان، وسوف نظل ملتزمين بتقديم التوجيهات للجهات الخاضعه لرقابتنا لانشاء بييه سيبرانيه امنه.
ترتفع توقعات المجتمع الرقمي في الوقت الراهن بخصوص اتاحه تجربه عملاء خاليه من العيوب واستمرار توفر الخدمات، والحمايه الفعاله للبيانات الحساسه. واصبحت الاصول المعلوماتيه والخدمات المتاحه علي الانترنت حاليا تحظي باهميه استراتيجيه لدي جميع المؤسسات العامه والخاصه، ولدي المجتمع علي نطاق اوسع. كما تؤدي هذه الخدمات دورا هاما في انشاء اقتصاد رقمي نابض بالحياه. واصبحت تلك الخدمات ذات اهميه نظاميه للاقتصاد والامن القومي علي نطاق اوسع. وكل ذلك يؤكد الحاجه الي حمايه البيانات والمعاملات الحساسه، بما يضمن الثقه في القطاع المالي السعودي بشكل عام.
تزداد المخاطر عندما يتعلق الامر بسريه الاصول المعلوماتيه وسلامتها وتوافرها، وعند تطبيق خدمات جديده عبر الانترنت وتطورات جديده (مثل التقنيه الماليه، وسلسله الكتل)؛ علي الرغم من تحسين القدره علي مواجهه التهديدات السيبرانيه. ولا يتزايد الاعتماد علي هذه الخدمات فحسب، بل ان مشهد التهديدات سريع التغير. ويدرك القطاع المالي الوتيره الذي تتطور بها تلك التهديدات والمخاطر السيبرانيه، فضلا عن تغير مشهد التقنيه والاعمال.
من هنا وضع البنك المركزي الدليل التنظيمي لامن المعلومات ("الدليل التنظيمي") لتمكين المؤسسات الماليه الخاضعه لرقابه البنك المركزي ("المؤسسات الماليه") من تحديد المخاطر المتعلقه بالامن السيبراني ومعالجتها بشكل فعال. وللحفاظ علي حمايه الاصول المعلوماتيه والخدمات المتاحه علي الانترنت، يجب علي المؤسسات الماليه اعتماد الدليل التنظيمي.
يتمثل الهدف من الدليل التنظيمي في الاتي:
انشاء نهج مشترك لمعالجه الامن السيبراني داخل المؤسسات الماليه.
تحقيق مستوي مناسب من النضج لضوابط الامن السيبراني داخل المؤسسات الماليه.
ضمان اداره مخاطر الامن السيبراني علي نحو صحيح في جميع المؤسسات الماليه.
وسوف يستخدم الدليل التنظيمي لتقييم مستوي النضج بشكل دوري وتقييم فعاليه ضوابط الامن السيبراني في المؤسسات الماليه، ومقارنتها مع المؤسسات الماليه الاخري.
ويعتمد الدليل التنظيمي علي متطلبات البنك المركزي ومعايير الامن السيبراني الصناعيه، مثل (PCI, BASEL, ISO, ISF, NIST).
ويحل الدليل التنظيمي الماثل محل كافه التعاميم السابقه الصادره عن البنك المركزي فيما يتعلق بالامن السيبراني. يرجي الرجوع الي "
الملحق ا - نظره عامه علي تعميمات البنك المركزي الصادره سابقا
" للحصول علي مزيد من التفاصيل.
يعرف الامن السيبراني علي انه مجموعه من الادوات، والسياسات، والمفاهيم الامنيه، وتدابير الوقايه الامنيه، والمبادي التوجيهيه، واساليب اداره المخاطر، والاجراءات، والتدريبات، وافضل الممارسات والضمانات، والتقنيات التي يمكن استخدامها لحمايه اصول معلومات المؤسسات الماليه ضد التهديدات الداخليه والخارجيه.
تشمل الاهداف الامنيه العامه ما يلي:
السريه - لا يمكن الوصول الي الاصول المعلوماتيه الا للمصرح لهم بالوصول اليها (اي انها محميه من الافصاح غير المصرح به او التسريب المقصود (غير المقصود) للبيانات الحساسه).
السلامه - الاصول المعلوماتيه دقيقه وكامله ومعالجه بنحو صحيح (اي محميه من التعديل غير المصرح به، وقد تشمل صحه المعلومات وعدم القدره علي انكارها).
التوفر - تتميز الاصول المعلوماتيه بانها مرنه ويمكن الوصول اليها عند الحاجه (اي محميه من الخلل غير المصرح به).
يحدد الدليل التنظيمي المبادي والاهداف لبدء وتنفيذ والمحافظه علي ومراقبه وتحسين ضوابط الامن السيبراني في المؤسسات الماليه.
يوفر الدليل التنظيمي ضوابط الامن السيبراني التي تنطبق علي الاصول المعلوماتيه الخاصه بالمؤسسات الماليه، بما في ذلك:
المعلومات الالكترونيه.
المعلومات الماديه (نسخ ورقيه).
التطبيقات والبرمجيات والخدمات الالكترونيه وقواعد البيانات.
اجهزه الكمبيوتر والاجهزه الالكترونيه (مثل اجهزه الصراف الالي).
اجهزه تخزين المعلومات (علي سبيل المثال، القرص الصلب، وجهاز تخزين USB).
المباني والمعدات وشبكات الاتصالات (البنيه التحتيه التقنيه).
يوفر الدليل التنظيمي توجيهات بشان متطلبات الامن السيبراني للمؤسسات الماليه وفروعها وموظفيها واطرافها الثالثه وعملايها.
للاطلاع علي المتطلبات المتعلقه باستمراريه الاعمال، يرجي الرجوع الي الحد الادني لمتطلبات البنك المركزي المعنيه باستمراريه الاعمال.
ويرتبط الدليل التنظيمي بعلاقه مترابطه مع سياسات االمؤسسات الماليه الاخري في المجالات ذات الصله، مثل الامن المادي واداره الاحتيال. ولا يتناول الدليل التنظيمي الماثل متطلبات الامن غير السيبراني لتلك المجالات.
ينطبق الدليل التنظيمي علي جميع المؤسسات الماليه الخاضعه لرقابه البنك المركزي، والتي تشمل ما يلي:
جميع البنوك العامله في المملكه العربيه السعوديه؛
جميع شركات التامين و/او اعاده التامين العامله في المملكه العربيه السعوديه؛
جميع شركات التمويل العامله في المملكه العربيه السعوديه؛
جميع شركات المعلومات الايتمانيه العامله في المملكه العربيه السعوديه؛
البنيه التحتيه للسوق الماليه
تنطبق جميع المجالات علي القطاع المصرفي. ومع ذلك، تنطبق الاستثناءات التاليه علي المؤسسات الماليه الاخري:
المجال الفرعي (2.1.3)
تكون المواءمه مع استراتيجيه الامن السيبراني للقطاع المصرفي الزاميه عند الاقتضاء.
استبعاد المجال الفرعي (3.2.3)
. ولكن، اذا قامت المؤسسه الماليه بتخزين بيانات حامل البطاقه او معالجتها او نقلها او التعامل مع خدمات السويفت، فيجب تطبيق معيار صناعه بطاقات الدفع (PCI) و/او اطار عمل ضوابط امان عميل السويفت.
استبعاد المجال الفرعي (12.3.3)
.
استبعاد المجال الفرعي (13.3.3)
. ولكن، اذا كانت المؤسسه الماليه توفر خدمات عبر الانترنت للعملاء، فيجب تنفيذ امكانيه المصادقه متعدده العوامل.
اعتمد البنك المركزي الدليل التنظيمي. البنك المركزي السعودي هو الجهه المالكه لهذا الدليل والجهه المسؤوله كذلك عن تحديثه بصفه دوريه.
وتتحمل المؤسسات الماليه مسؤوليه الالتزام بالدليل التنظيمي وتنفيذه.
يعتبر البنك المركزي، بصفته مالك الدليل التنظيمي، المسؤول وحده عن تقديم تفسيرات للمبادي والاهداف والضوابط الاساسيه، اذا لزم الامر.
يستهدف الدليل التنظيمي الماثل الاداره العليا والتنفيذيه، ومسؤولي الاعمال ومسؤولي الاصول المعلوماتيه، ورؤساء امن المعلومات، وكذلك المسؤولين عن تحديد وتنفيذ ومراجعه ضوابط الامن السيبراني داخل المؤسسات الماليه والمشاركين فيها.
وسوف يتولي البنك المركزي مراجعه الدليل التنظيمي والمحافظه عليه.
سوف يراجع البنك المركزي الدليل التنظيمي بشكل دوري لتحديد مدي فعاليته، بما في ذلك مدي فعاليه الدليل التنظيمي في معالجه التهديدات والمخاطر الناشيه في مجال الامن السيبراني. واذا كان ذلك ممكنا، سيتولي البنك المركزي تحديث الدليل بناء علي نتايج المراجعه.
واذا رات احدي المؤسسات الماليه ضروره تحديث الدليل التنظيمي، فعلي المؤسسه الماليه تقديم التحديث المطلوب رسميا الي البنك المركزي. وسوف يراجع البنك المركزي التحديث المطلوب، وعند اعتماده، سوف يجري تعديل الدليل التنظيمي.
وسوف تظل المؤسسه الماليه مسؤوله عن الالتزام بالدليل التنظيمي ريثما يتم التحديث المطلوب.
يرجي الرجوع الي "
الملحق ب - كيفيه طلب تحديث الدليل التنظيمي
" للتعرف علي اجراء طلب تحديث الدليل التنظيمي.
سيتم تنفيذ مراقبه الاصدار للحفاظ علي الدليل. وكلما اجريت اي تغييرات، سيتم سحب الاصدار السابق وسيتم نشر الاصدار الجديد وتبليغه الي جميع المؤسسات الماليه. ولتسهيل الامر علي المؤسسات الماليه، سيتم الاشاره بوضوح الي التغييرات في الدليل التنظيمي.
يتم تقسيم الدليل علي النحو التالي. يتناول
الفصل الثاني
بالتفصيل هيكل الدليل التنظيمي، ويسرد تعليمات حول كيفيه تطبيق الدليل التنظيمي. ويعرض
الفصل الثالث
الدليل التنظيمي الفعلي، بما في ذلك مجالات الامن السيبراني والمجالات الفرعيه والمبادي والاهداف والضوابط الاساسيه.
يتمحور الدليل حول اربعه مجالات رييسيه، وهي:
قياده وحوكمه الامن السيبراني
.
اداره مخاطر الامن السيبراني والالتزام
.
عمليات وتقنيه الامن السيبراني
.
الامن السيبراني للاطراف الثلاثه
.
ويتم تحديد العديد من المجالات الفرعيه لكل مجال رييسي. ويركز المجال الفرعي علي موضوع محدد للامن السيبراني. وينص الدليل التنظيمي علي مبدا وهدف وضوابط اساسيه لكل نطاق فرعي.
يلخص
المبدا
المجموعه الرييسيه من ضوابط الامن السيبراني المطلوبه المتعلقه بالمجال الفرعي.
يصف
الهدف
الغرض من المبدا وما يتوقع ان تحققه مجموعه ضوابط الامن السيبراني المطلوبه.
تعكس
الضوابط الاساسيه
متطلبات الامن السيبراني المقرره والتي يجب اخذها في الاعتبار.
تم ترقيم الضوابط الاساسيه ترقيما فريدا في الدليل التنظيمي باكمله. ومتي اقتضي الامر، يمكن ان تتكون الضوابط مما يصل الي 4 مستويات.
ويتم ترقيم الضوابط الاساسيه وفق نظام الترقيم التالي:
الشكل 1 - نظام ترقيم الضوابط الاساسيه
يوضح الشكل الوارد ادناه الهيكل العام للدليل التنظيمي ويشير الي مجالات الامن السيبراني ومجالاته الفرعيه، بما في ذلك الاشاره الي القسم الذي تنطبق عليه من الدليل التنظيمي.
الشكل 2 – الدليل التنظيمي لامن المعلومات
الدليل التنظيمي قايم علي المبادي، ويشار اليه ايضا بالقايم علي المخاطر. وهذا يعني انه يحدد المبادي والاهداف الرييسيه للامن السيبراني التي يتعين علي المؤسسه الماليه دمجها وتحقيقها. وتسرد قايمه الضوابط الاساسيه توجيهات اضافيه ويجب علي المؤسسه الماليه اخذها بعين الاعتبار عند تحقيق الاهداف. وعندما يتعذر تصميم او تنفيذ احد الضوابط الاساسيه، يجب علي المؤسسه الماليه تطبيق ضوابط بديله، ومتابعه قبول المخاطر الداخليه وطلب اعفاء رسمي من البنك المركزي.
يرجي الرجوع الي
الملحق "د"
للحصول علي تفاصيل اجراء - كيفيه طلب الاعفاء من الدليل التنظيمي.
سوف يخضع تنفيذ الدليل التنظيمي في المؤسسه الماليه لتقييم ذاتي دوري. وسوف تجري المؤسسه الماليه التقييم الذاتي بناء علي استبيان. وسوف يراجع البنك المركزي التقييمات الذاتيه ويدققها لتحديد مستوي الالتزام بالدليل التنظيمي ومستوي نضج الامن السيبراني للمؤسسه الماليه.
يرجي الرجوع الي "
2.4 نموذج نضج الامن السيبراني
" للحصول علي مزيد من التفاصيل حول نموذج نضج الامن السيبراني.
سوف يتم قياس مستوي نضج الامن السيبراني بمساعده نموذج نضج الامن السيبراني المحدد مسبقا. ويميز نموذج نضج الامن السيبراني بين 6 مستويات نضج (0 و1 و2 و3 و4 و5)، والتي تم تلخيصها في الجدول ادناه. ومن اجل تحقيق المستويات 3 او 4 او 5، يجب علي المؤسسه الماليه ان تستوفي اولا جميع معايير مستويات النضج السابقه.
مستوي النضج | التعريف والمعايير | ايضاح
0
غير موجود | لا توجد وثايق.
لا يوجد وعي او اهتمام ببعض ضوابط الامن السيبراني. | ضوابط الامن السيبراني ليست مطبقه. قد لا يكون هناك وعي بمجال الخطر المحدد او لا توجد خطط حاليه لتنفيذ ضوابط الامن السيبراني هذه.
1
مخصصه | ضوابط الامن السيبراني غير محدده او محدده تحديدا جزييا.
يتم تنفيذ ضوابط الامن السيبراني بطريقه غير متسقه.
ضوابط الامن السيبراني غير محدده تحديدا كاملا. | يختلف تصميم وتنفيذ ضابط الامن السيبراني حسب القسم او المالك.
قد يقتصر تصميم ضابط الامن السيبراني علي التخفيف الجزيي من المخاطر المحدده وقد يكون التنفيذ غير متسق.
2
متكرره، ولكن غير رسميه | يعتمد تنفيذ ضابط الامن السيبراني علي ممارسه غير رسميه وغير مكتوبه، وان كانت موحده. | توجد ضوابط متكرره للامن السيبراني مطبقه. ومع ذلك، لم يتم تحديد او اعتماد اهداف الرقابه وتصميمها بشكل رسمي.
هناك اعتبار محدود للمراجعه المنظمه او اختبار بعض الضوابط.
3
منظم وذو طابع رسمي | يتم تحديد ضوابط الامن السيبراني واعتمادها وتنفيذها بطريقه منظمه ورسميه.
يمكن اثبات تنفيذ ضوابط الامن السيبراني. | يتم وضع سياسات ومعايير واجراءات الامن السيبراني.
تتم مراقبه الالتزام لوثايق الامن السيبراني، اي السياسات والمعايير والاجراءات، ويفضل استخدام اداه الحوكمه والمخاطر والالتزام.
يتم تحديد مؤشرات الاداء الرييسيه ومراقبتها والابلاغ عنها لتقييم التنفيذ.
4
مدار وقابل للقياس | يتم تقييم فعاليه ضوابط الامن السيبراني بشكل دوري وتحسينها عند الضروره.
يتم توثيق هذا القياس الدوري والتقييمات وفرص التحسين. | يتم قياس فعاليه ضوابط الامن السيبراني وتقييمها بشكل دوري.
يتم استخدام مؤشرات المخاطر الرييسيه والابلاغ عن الاتجاهات لتحديد مدي فعاليه ضوابط الامن السيبراني.
يتم استخدام نتايج القياس والتقييم لتحديد فرص تحسين ضوابط الامن السيبراني.
5
متكيف | تخضع ضوابط الامن السيبراني لخطه التحسين المستمر. | يركز برنامج الامن السيبراني المتبع في المؤسسه باكملها علي الالتزام المستمر وفعاليه ضوابط الامن السيبراني وتحسينها
يتم دمج ضوابط الامن السيبراني مع اطار وممارسات اداره المخاطر في المؤسسه.
يتم تقييم اداء ضوابط الامن السيبراني باستخدام بيانات النظراء والقطاعات.
مستوي النضج
التعريف والمعايير
ايضاح
0
غير موجود
لا توجد وثايق.
لا يوجد وعي او اهتمام ببعض ضوابط الامن السيبراني.
لا توجد وثايق.
لا يوجد وعي او اهتمام ببعض ضوابط الامن السيبراني.
ضوابط الامن السيبراني ليست مطبقه. قد لا يكون هناك وعي بمجال الخطر المحدد او لا توجد خطط حاليه لتنفيذ ضوابط الامن السيبراني هذه.
ضوابط الامن السيبراني ليست مطبقه. قد لا يكون هناك وعي بمجال الخطر المحدد او لا توجد خطط حاليه لتنفيذ ضوابط الامن السيبراني هذه.
1
مخصصه
ضوابط الامن السيبراني غير محدده او محدده تحديدا جزييا.
يتم تنفيذ ضوابط الامن السيبراني بطريقه غير متسقه.
ضوابط الامن السيبراني غير محدده تحديدا كاملا.
ضوابط الامن السيبراني غير محدده او محدده تحديدا جزييا.
يتم تنفيذ ضوابط الامن السيبراني بطريقه غير متسقه.
ضوابط الامن السيبراني غير محدده تحديدا كاملا.
يختلف تصميم وتنفيذ ضابط الامن السيبراني حسب القسم او المالك.
قد يقتصر تصميم ضابط الامن السيبراني علي التخفيف الجزيي من المخاطر المحدده وقد يكون التنفيذ غير متسق.
يختلف تصميم وتنفيذ ضابط الامن السيبراني حسب القسم او المالك.
قد يقتصر تصميم ضابط الامن السيبراني علي التخفيف الجزيي من المخاطر المحدده وقد يكون التنفيذ غير متسق.
2
متكرره، ولكن غير رسميه
يعتمد تنفيذ ضابط الامن السيبراني علي ممارسه غير رسميه وغير مكتوبه، وان كانت موحده.
يعتمد تنفيذ ضابط الامن السيبراني علي ممارسه غير رسميه وغير مكتوبه، وان كانت موحده.
توجد ضوابط متكرره للامن السيبراني مطبقه. ومع ذلك، لم يتم تحديد او اعتماد اهداف الرقابه وتصميمها بشكل رسمي.
هناك اعتبار محدود للمراجعه المنظمه او اختبار بعض الضوابط.
توجد ضوابط متكرره للامن السيبراني مطبقه. ومع ذلك، لم يتم تحديد او اعتماد اهداف الرقابه وتصميمها بشكل رسمي.
هناك اعتبار محدود للمراجعه المنظمه او اختبار بعض الضوابط.
3
منظم وذو طابع رسمي
يتم تحديد ضوابط الامن السيبراني واعتمادها وتنفيذها بطريقه منظمه ورسميه.
يمكن اثبات تنفيذ ضوابط الامن السيبراني.
يتم تحديد ضوابط الامن السيبراني واعتمادها وتنفيذها بطريقه منظمه ورسميه.
يمكن اثبات تنفيذ ضوابط الامن السيبراني.
يتم وضع سياسات ومعايير واجراءات الامن السيبراني.
تتم مراقبه الالتزام لوثايق الامن السيبراني، اي السياسات والمعايير والاجراءات، ويفضل استخدام اداه الحوكمه والمخاطر والالتزام.
يتم تحديد مؤشرات الاداء الرييسيه ومراقبتها والابلاغ عنها لتقييم التنفيذ.
يتم وضع سياسات ومعايير واجراءات الامن السيبراني.
تتم مراقبه الالتزام لوثايق الامن السيبراني، اي السياسات والمعايير والاجراءات، ويفضل استخدام اداه الحوكمه والمخاطر والالتزام.
يتم تحديد مؤشرات الاداء الرييسيه ومراقبتها والابلاغ عنها لتقييم التنفيذ.
4
مدار وقابل للقياس
يتم تقييم فعاليه ضوابط الامن السيبراني بشكل دوري وتحسينها عند الضروره.
يتم توثيق هذا القياس الدوري والتقييمات وفرص التحسين.
يتم تقييم فعاليه ضوابط الامن السيبراني بشكل دوري وتحسينها عند الضروره.
يتم توثيق هذا القياس الدوري والتقييمات وفرص التحسين.
يتم قياس فعاليه ضوابط الامن السيبراني وتقييمها بشكل دوري.
يتم استخدام مؤشرات المخاطر الرييسيه والابلاغ عن الاتجاهات لتحديد مدي فعاليه ضوابط الامن السيبراني.
يتم استخدام نتايج القياس والتقييم لتحديد فرص تحسين ضوابط الامن السيبراني.
يتم قياس فعاليه ضوابط الامن السيبراني وتقييمها بشكل دوري.
يتم استخدام مؤشرات المخاطر الرييسيه والابلاغ عن الاتجاهات لتحديد مدي فعاليه ضوابط الامن السيبراني.
يتم استخدام نتايج القياس والتقييم لتحديد فرص تحسين ضوابط الامن السيبراني.
5
متكيف
تخضع ضوابط الامن السيبراني لخطه التحسين المستمر.
تخضع ضوابط الامن السيبراني لخطه التحسين المستمر.
يركز برنامج الامن السيبراني المتبع في المؤسسه باكملها علي الالتزام المستمر وفعاليه ضوابط الامن السيبراني وتحسينها
يتم دمج ضوابط الامن السيبراني مع اطار وممارسات اداره المخاطر في المؤسسه.
يتم تقييم اداء ضوابط الامن السيبراني باستخدام بيانات النظراء والقطاعات.
يركز برنامج الامن السيبراني المتبع في المؤسسه باكملها علي الالتزام المستمر وفعاليه ضوابط الامن السيبراني وتحسينها
يتم دمج ضوابط الامن السيبراني مع اطار وممارسات اداره المخاطر في المؤسسه.
يتم تقييم اداء ضوابط الامن السيبراني باستخدام بيانات النظراء والقطاعات.
الجدول 1 – نموذج نضج الامن السيبراني
يتمثل الهدف من الدليل التنظيمي في انشاء نهج فعال لمعالجه الامن السيبراني واداره مخاطر الامن السيبراني داخل القطاع المالي. ولتحقيق مستوي مناسب من النضج في مجال الامن السيبراني، يجب علي المؤسسات الماليه الوصول الي مستوي النضج 3 علي الاقل او الي مستوي اعلي علي النحو الموضح ادناه.
لتحقيق مستوي النضج 3، يجب علي اي من المؤسسات الماليه تحديد واعتماد وتنفيذ ضوابط الامن السيبراني. اضافه الي ذلك، يجب علي المؤسسه مراقبه الالتزام بوثايق الامن السيبراني.
ويجب ان تشير وثايق الامن السيبراني بوضوح الي "سبب" و"ماهيه" و"كيفيه" تنفيذ ضوابط الامن السيبراني. وتتالف وثايق الامن السيبراني من سياسات الامن السيبراني ومعايير الامن السيبراني وعمليات الامن السيبراني.
الشكل 3 – الهيكل الهرمي لوثايق الامن السيبراني
يجب علي مجلس اداره المؤسسه الماليه التصديق علي سياسه الامن السيبراني وفرضها مع ذكر "سبب" اهميه الامن السيبراني للمؤسسه الماليه. ويجب ان تركز السياسه علي الاصول المعلوماتيه التي يجب حمايتها و"ماهيه" مبادي الامن السيبراني واهدافه التي يجب تحديدها.
ويجب تطوير معايير الامن السيبراني استنادا الي
سياسه الامن السيبراني
. وتحدد هذه المعايير "ماهيه" ضوابط الامن السيبراني التي يجب تنفيذها، مثل معلمات الامن والنظام، والفصل بين المهام، وقواعد كلمه المرور، ومراقبه الاحداث، وقواعد النسخ الاحتياطي والاسترداد. وتدعم هذه المعايير سياسه الامن السيبراني وتعززها وتعتبر بمثابه مراجع اساسيه للامن السيبراني.
تسرد اجراءات الامن السيبراني بالتفصيل المهام والانشطه التي يجب ان يؤديها موظفو المؤسسه الماليه، او اطرافها الثالثه، او عملايها خطوه بخطوه. وتصف هذه الاجراءات "كيفيه" تنفيذ ضوابط ومهام وانشطه الامن السيبراني في بييه التشغيل ودعم حمايه الاصول المعلوماتيه الخاصه بالمؤسسه الماليه وفقا لسياسه ومعايير الامن السيبراني.
يتم تعريف الاجراءات في سياق الدليل التنظيمي الماثل علي انها مجموعه منظمه من الانشطه المصممه لتحقيق الهدف المحدد. وقد تتضمن الاجراءات سياسات ومعايير وارشادات وعمليات وانشطه وتعليمات عمل، بالاضافه الي اي من الادوار والمسؤوليات والادوات والضوابط الاداريه المطلوبه لتقديم المخرجات بشكل موثوق.
ويجب مراقبه التقدم الفعلي في تنفيذ واداء والالتزام بضوابط الامن السيبراني وتقييمه بشكل دوري باستخدام مؤشرات الاداء الرييسيه.
لتحقيق مستوي النضج 4، يجب علي المؤسسه الماليه قياس فعاليه ضوابط الامن السيبراني المنفذه وتقييمها بشكل دوري. من اجل قياس وتقييم مدي فعاليه ضوابط الامن السيبراني ، يجب تحديد مؤشرات المخاطر الرييسيه. يوضح مؤشر الخطر الرييسي معيار قياس الفعاليه، ويجب ان يحدد عتبات لتحديد ما اذا كانت النتيجه الفعليه للقياس اقل من المعيار المستهدف او عنده او اعلي منه. تستخدم مؤشرات المخاطر الرييسيه للابلاغ عن الاتجاهات وتحديد التحسينات المحتمله.
يركز مستوي النضج 5 علي التحسين المستمر لضوابط الامن السيبراني. ويتحقق التحسين المستمر من خلال التحليل المستمر لاهداف الامن السيبراني وانجازاته وتحديد التحسينات الهيكليه. ويجب دمج ضوابط الامن السيبراني مع ممارسات اداره المخاطر المؤسسيه ودعمها بالمراقبه الاليه في الوقت الفعلي. ويقع علي عاتق مسؤولي اجراءات الاعمال مسؤوليه مراقبه الالتزام بضوابط الامن السيبراني، وقياس فعاليه ضوابط الامن السيبراني ودمج ضوابط الامن السيبراني ضمن الدليل التنظيمي لاداره مخاطر المؤسسه. اضافه الي ذلك، يجب تقييم اداء ضوابط الامن السيبراني باستخدام بيانات النظراء والقطاعات.
تقع المسؤوليه النهاييه عن الامن السيبراني علي عاتق مجلس اداره المؤسسه الماليه. ويجوز لمجلس اداره المؤسسه الماليه تفويض مسؤولياته المتعلقه بالامن السيبراني الي لجنه الامن السيبراني (او الي احد كبار المديرين باحدي وظايف التحكم). وقد تتحمل لجنه الامن السيبراني المسؤوليه عن تحديد حوكمه الامن السيبراني ووضع استراتيجيه الامن السيبراني للمؤسسه الماليه. كما قد تتحمل لجنه الامن السيبراني المسؤوليه عن تحديد سياسه الامن السيبراني وضمان الفعاليه التشغيليه لسياسه الامن السيبراني المحدده.
ويجب انشاء وحده مستقله للامن السيبراني لوضع سياسه الامن السيبراني والمحافظه عليها وتنفيذ انشطه الامن السيبراني داخل المؤسسه الماليه.
المبدا
يجب تحديد هيكل حوكمه الامن السيبراني وتنفيذه، ويجب ان يقر من مجلس الاداره.
الهدف
لتوجيه والتحكم بالنهج العام للامن السيبراني داخل المؤسسه الماليه.
اعتبارات التحكم
1. | يجب تشكيل لجنه الامن السيبراني وتكليفها من مجلس الاداره.
2. | يجب ان يراس لجنه امن المعلومات احد كبار مديري الوحدات الرقابيه المستقله.
3. | يجب تمثيل المناصب التاليه في لجنه الامن السيبراني:
| ا. | كبار المديرين من جميع الادارات ذات الصله (علي سبيل المثال، الرييس التنفيذي للعمليات، الرييس التنفيذي للمعلومات، ومسؤول الالتزام، ورؤساء اقسام الاعمال ذات الصله)؛
| ب. | الرييس التنفيذي لامن المعلومات؛
| ج. | ويجوز ان يحضر المدقق الداخلي بصفته "مراقب".
4. | يجب صياغه ميثاق لجنه الامن السيبراني واعتماده وان يتضمن ما يلي:
| ا. | اهداف اللجنه؛
| ب. | الادوار والمسؤوليات؛
| ج. | الحد الادني لعدد المشاركين في الاجتماع؛
| د. | وتيره انعقاد الاجتماعات (الحد الادني علي اساس ربع سنوي).
5. | يجب انشاء وحده للامن السيبراني.
6. | يجب ان تكون وحده الامن السيبراني مستقله عن وحده تقنيه المعلومات. ولتجنب اي تضارب في المصالح، يجب فصل التسلسل الاداري والميزانيات وتقييمات موظفيه وحده الامن السيبراني عن وحده تقنيه المعلومات.
7. | ترفع وحده الامن السيبراني تقاريرها مباشره الي الرييس التنفيذي/العضو المنتدب للمؤسسه الماليه او الي المدير العام لاحدي وظايف التحكم.
8. | يجب تعيين احد كبار المديرين بدوام كامل في وظيفه الامن السيبراني، يشار اليه باسم الرييس التنفيذي لامن المعلومات، علي مستوي الاداره العليا.
9. | يجب علي المؤسسه الماليه:
| ا. | التاكد من ان الرييس التنفيذي لامن المعلومات سعودي الجنسيه؛
| ب. | التاكد من ان الرييس التنفيذي لامن المعلومات مؤهل بشكل كاف؛
| ج. | الحصول علي عدم ممانعه من البنك المركزي لتعيين الرييس التنفيذي لامن المعلومات.
10. | يجب علي مجلس اداره المؤسسه الماليه تخصيص ميزانيه كافيه لتنفيذ انشطه الامن السيبراني المطلوبه.
المبدا
يجب تحديد استراتيجيه الامن السيبراني ومواءمتها مع الاهداف الاستراتيجيه للمؤسسه الماليه، وكذلك مع استراتيجيه الامن السيبراني للقطاع المصرفي.
الهدف
ضمان مساهمه مبادرات ومشاريع الامن السيبراني داخل المؤسسه الماليه في اهدافها الاستراتيجيه وتوافقها مع استراتيجيه الامن السيبراني للقطاع المصرفي.
اعتبارات التحكم
1. | يجب تحديد استراتيجيه الامن السيبراني واعتمادها والمحافظه عليها وتنفيذها.
2. | يجب ان تتماشي استراتيجيه الامن السيبراني مع ما يلي :
| ا. | الاهداف العامه للمؤسسه الماليه؛
| ب. | متطلبات الالتزام القانونيه والتنظيميه للمؤسسه الماليه؛
| ج. | استراتيجيه الامن السيبراني للقطاع المصرفي.
3. | يجب ان تتناول استراتيجيه الامن السيبراني ما يلي:
| ا. | اهميه الامن السيبراني وفوايده للمؤسسه الماليه؛
| ب. | الحاله المستقبليه المتوقعه للامن السيبراني للمؤسسه الماليه لكي تصبح وتظل مرنه في مواجهه تهديدات الامن السيبراني (الناشيه)؛
| ج. | ما هي مبادرات ومشاريع الامن السيبراني الواجب تنفيذها لتحقيق الحاله المستقبليه المتوقعه ومتي يجب تنفيذها.
المبدا
يجب تحديد سياسه الامن السيبراني واعتمادها والابلاغ بها.
الهدف
توثيق التزام المؤسسه الماليه واهدافها المتعلقه بالامن السيبراني، وابلاغ اصحاب المصلحه المعنيين بذلك.
اعتبارات التحكم
1. | يجب تحديد سياسه الامن السيبراني واعتمادها والابلاغ بها. |
2. | يجب مراجعه سياسه الامن السيبراني بشكل دوري وفقا لعمليه مراجعه منظمه ومحدده مسبقا. |
3. | يجب ان تكون سياسه الامن السيبراني: |
| ا. | بمثابه مدخلات للسياسات المؤسسيه الاخري للمؤسسه الماليه (علي سبيل المثال، سياسه الموارد البشريه، والسياسه الماليه، وسياسه تقنيه المعلومات)؛
| ب. | مدعومه بمعايير امنيه مفصله (علي سبيل المثال، معيار كلمه المرور، ومعيار جدار الحمايه) والاجراءات؛
| ج. | قايمه علي افضل الممارسات والمعايير الوطنيه (الدوليه)؛
| د. | تم تبليغها الي اصحاب المصلحه المعنيين.
4. | يجب ان تتضمن سياسه الامن السيبراني ما يلي: |
| ا. | تعريف الامن السيبراني؛
| ب. | اهداف ونطاق الامن السيبراني العام للمؤسسه الماليه؛
| ج. | بيان مقصد مجلس الاداره بما يدعم اهداف الامن السيبراني؛
| د. | تعريف المسؤوليات العامه والخاصه للامن السيبراني؛
| ه. | الاشاره الي معايير وعمليات الامن السيبراني الداعمه؛
| و. | تضمن متطلبات الامن السيبراني الاتي:
| | 1. | تصنيف المعلومات بطريقه تشير الي اهميتها بالنسبه للمؤسسه الماليه؛ |
| | 2. | حمايه المعلومات فيما يتعلق بمتطلبات الامن السيبراني، بما يتماشي مع قابليه المخاطر؛ |
| | 3. | تعيين مالكي جميع الاصول المعلوماتيه؛ |
| | 4. | اجراء تقييمات مخاطر الامن السيبراني لاصول المعلوماتيه؛ |
| | 5. | توعيه اصحاب المصلحه المعنيين بالامن السيبراني وسلوكهم المتوقع (برنامج التوعيه بالامن السيبراني)؛ |
| | 6. | الوفاء بالالتزامات التنظيميه والتعاقديه؛ |
| | 7. | الابلاغ عن انتهاكات الامن السيبراني ونقاط ضعف الامن السيبراني المشتبه بها؛ |
| | 8. | عكس متطلبات الامن السيبراني ضمن اداره استمراريه الاعمال. |
المبدا
يجب تحديد مسؤوليات تنفيذ والمحافظه علي ودعم وتعزيز الامن السيبراني في المؤسسه الماليه باكملها. اضافه الي ذلك، يجب علي جميع الاطراف المشاركه في الامن السيبراني فهم الادوار والمسؤوليات المنوطه بها.
الهدف
التاكد من ان اصحاب المصلحه المعنيين علي درايه بالمسؤوليات المتعلقه بالامن السيبراني وتطبيق ضوابط الامن السيبراني في المؤسسه الماليه باكملها.
اعتبارات التحكم
1. | يتحمل مجلس الاداره المسؤوليه النهاييه عن الامن السيبراني، بما في ذلك: |
| ا. | ضمان تخصيص ميزانيه كافيه للامن السيبراني؛
| ب. | اعتماد ميثاق لجنه الامن السيبراني؛
| ج. | المصادقه علي (بعد اعتماده من لجنه الامن السيبراني):
| | 1. | حوكمه الامن السيبراني؛ |
| | 2. | استراتيجيه الامن السيبراني؛ |
| | 3. | سياسه الامن السيبراني. |
2. | تتولي لجنه الامن السيبراني المسؤوليه عن: |
| ا. | مراقبه ومراجعه وابلاغ مدي قابليه المؤسسه الماليه لمخاطر الامن السيبراني بشكل دوري او عند حدوث تغيير جوهري في مقدار قابليه المخاطر؛
| ب. | مراجعه استراتيجيه الامن السيبراني للتاكد من دعمها لاهداف المؤسسه الماليه؛
| ج. | الاعتماد، والتبليغ، والدعم، والمراقبه للاتي:
| | 1. | حوكمه الامن السيبراني؛ |
| | 2. | استراتيجيه الامن السيبراني؛ |
| | 3. | سياسه الامن السيبراني
؛ |
| | 4. | برامج الامن السيبراني (علي سبيل المثال، برنامج التوعيه، برنامج تصنيف البيانات، خصوصيه البيانات، منع تسريب البيانات، تحسينات الامن السيبراني الرييسيه)؛ |
| | 5. | اجراءات اداره مخاطر الامن السيبراني؛ |
| | 6. | مؤشرات المخاطر الرييسيه ومؤشرات الاداء الرييسيه للامن السيبراني. |
3. | تتولي الاداره العليا المسؤوليه عن: |
| ا. | التاكد من ان المعايير والاجراءات والعمليات تفي بالمتطلبات الامنيه (ان وجدت)؛
| ب. | التاكد من قبول الافراد لسياسه الامن السيبراني والالتزام بها، ودعم المعايير والاجراءات عند اصدارها وتحديثها؛
| ج. | التاكد من تضمين مسؤوليات الامن السيبراني في الاوصاف الوظيفيه للمناصب الرييسيه ولموظفي الامن السيبراني.
4. | يتولي الرييس التنفيذي لامن المعلومات المسؤوليه عن: |
| ا. | صياغه وصون:
| | 1. | استراتيجيه الامن السيبراني؛ |
| | 2. | سياسه الامن السيبراني؛ |
| | 3. | هيكليه الامن السيبراني؛ |
| | 4. | اجراءات اداره مخاطر الامن السيبراني؛ |
| ب. | التاكد من وضع المعايير والاجراءات الامنيه التفصيليه واعتمادها وتنفيذها؛
| ج. | تقديم حلول الامن السيبراني القايمه علي المخاطر والتي تتناول الاشخاص والاجراءات والتقنيات؛
| د. | تطوير مهارات موظفي الامن السيبراني لتقديم حلول الامن السيبراني في سياق الاعمال؛
| ه. | مباشره انشطه الامن السيبراني في المؤسسه الماليه باكملها، بما في ذلك:
| | 1. | مراقبه انشطه الامن السيبراني (مراقبه مركز العمليات الامنيه)؛ |
| | 2. | مراقبه الالتزام بلوايح وسياسات ومعايير واجراءات الامن السيبراني؛ |
| | 3. | الاشراف علي التحقيق في حوادث الامن السيبراني؛ |
| | 4. | جمع وتحليل استخبارات التهديدات من المصادر الداخليه والخارجيه؛ |
| | 5. | اجراء مراجعات الامن السيبراني؛ |
| و. | اجراء تقييمات لمخاطر الامن السيبراني علي الاصول المعلوماتيه الخاصه بالمؤسسات الماليه؛
| ز. | الدعم الاستباقي بالامن السيبراني للوظايف الاخري، بما في ذلك:
| | 1. | اجراء تصنيفات للمعلومات والنظم؛ |
| | 2. | تحديد متطلبات الامن السيبراني للمشاريع الهامه؛ |
| | 3. | اجراء مراجعات الامن السيبراني. |
| ح. | تحديد وتنفيذ برامج التوعيه بالامن السيبراني؛
| ط. | قياس مؤشرات المخاطر الرييسيه ومؤشرات الاداء الرييسيه والابلاغ عنها بشان:
| | 1. | استراتيجيه الامن السيبراني؛ |
| | 2. | الالتزام بسياسه الامن السيبراني؛ |
| | 3. | معايير الامن السيبراني واجراءاته؛ |
| | 4. | برامج الامن السيبراني (مثل برنامج التوعيه، برنامج تصنيف البيانات، تحسينات الامن السيبراني الرييسيه). |
5. | تتولي وظيفه التدقيق الداخلي المسؤوليه عن: |
| ا. | اجراء عمليات تدقيق الامن السيبراني.
6. | يتولي جميع موظفي المؤسسه الماليه المسؤوليه عن: |
| ا. | الالتزام بسياسه ومعايير واجراءات الامن السيبراني.
المبدا
يجب تناول منهجيه اداره وحوكمه المشاريع ومتطلبات الامن السيبراني.
الهدف
التاكد من تلبيه متطلبات الامن السيبراني ضمن كافه مشاريع المؤسسه الماليه.
اعتبارات التحكم
1. | يجب دمج متطلبات الامن السيبراني ضمن منهجيه اداره مشاريع المؤسسه الماليه لضمان تحديد مخاطر الامن السيبراني ومعالجتها باعتبارها جزء من المشروع.
2. | يجب ان تضمن منهجيه اداره المشاريع في المؤسسه الماليه تحقيق الاتي:
| ا. | تضمين اهداف الامن السيبراني في اهداف المشروع؛
| ب. | اعتبار وحده الامن السيبراني جزءا من جميع مراحل المشروع؛
| ج. | اجراء تقييم للمخاطر في بدايه المشروع لتحديد مخاطر الامن السيبراني والتاكد من تلبيه متطلبات الامن السيبراني اما من خلال الضوابط الحاليه (استنادا الي معايير الامن السيبراني) او من خلال ضوابط يتم تطويرها؛
| د. | تسجيل مخاطر الامن السيبراني في سجل مخاطر المشروع ومتابعه سيرها؛
| ه. | تحديد مسؤوليات الامن السيبراني وتوزيعها؛
| و. | اجراء مراجعه الامن السيبراني من قبل طرف داخلي او خارجي مستقل.
المبدا
يجب تحديد وتنفيذ برنامج للتوعيه بالامن السيبراني لموظفي المؤسسه الماليه واطرافها الثالثه وعملايها.
الهدف
تكوين ثقافه واعيه بمخاطر الامن السيبراني بما يتيح لموظفي المؤسسه الماليه واطرافها الثالثه وعملايها اتخاذ قرارات فعاله قايمه علي تحليل المخاطر والتي تحمي معلومات المؤسسه الماليه.
اعتبارات التحكم
1. | يجب تحديد برامج التوعيه بالامن السيبراني واعتمادها وتنفيذها لتعزيز الوعي بالامن السيبراني وخلق ثقافه ايجابيه للامن السيبراني.
2. | يجب تحديد برنامج للتوعيه بالامن السيبراني وتنفيذه لكل من:
| ا. | موظفي المؤسسه الماليه؛
| ب. | الاطراف الثالثه للمؤسسه الماليه؛
| ج. | عملاء المؤسسه الماليه.
3. | يجب ان يستهدف برنامج التوعيه بالامن السيبراني سلوكيات الامن السيبراني من خلال تصميم البرنامج لمعالجه المجموعات المستهدفه المختلفه ومن خلال قنوات متعدده.
4. | يجب تنفيذ انشطه برنامج التوعيه بالامن السيبراني بشكل دوري وعلي مدار العام.
5. | يجب ان يتضمن برنامج التوعيه بالامن السيبراني المتطلبات التاليه كحد ادني:
| ا. | ايضاح تدابير الامن السيبراني المتاحه؛
| ب. | الادوار والمسؤوليات المتعلقه بالامن السيبراني؛
| ج. | معلومات عن احداث الامن السيبراني والتهديدات السيبرانيه الناشيه ذات الصله (مثل التصيد الالتكروني الموجه، والاحتيال علي كبار المسؤولين).
6. | يجب تقييم برنامج التوعيه بالامن السيبراني بهدف:
| ا. | قياس فعاليه انشطه التوعيه؛
| ب. | صياغه توصيات لتحسين برنامج التوعيه بالامن السيبراني.
7. | يجب ان تتناول توعيه العملاء فيات الافراد والتجار علي حد سواء، وان تتضمن علي اقل تقدير قايمه باليات الامن السيبراني المقترح لهم تنفيذها للتخفيف من الخطر (المخاطر) الخاصه بهم.
المبدا
يجب تزويد موظفي المؤسسه الماليه بالتدريب اللازم للتشغيل الامن لانظمه المؤسسه الماليه والتعامل مع ضوابط الامن السيبراني وتطبيقها.
الهدف
التاكد من ان موظفي المؤسسه الماليه لديهم المهارات والمعرفه اللازمه لحمايه اصولها المعلوماتيه والوفاء بمسؤولياتهم في مجال الامن السيبراني.
اعتبارات التحكم
1. | يجب توفير التدريب علي المهارات المتخصصه او المتعلقه بالامن لموظفي المؤسسه الماليه حسب فيه مجال اعمالهم ذات الصله وبما يتماشي مع اوصافهم الوظيفيه، بما في ذلك:
| ا. | الادوار الرييسيه داخل المؤسسه؛
| ب. | موظفو الامن السيبراني؛
| ج. | الموظفون المشاركون في تطوير الاصول المعلوماتيه وصيانتها (تقنيا)؛
| د. | الموظفون المشاركون في تقييم المخاطر.
2. | يجب تثقيف الموظفين لتزويدهم بالمهارات والمعرفه اللازمه لتشغيل الاصول المعلوماتيه الخاصه بالمؤسسه الماليه بشكل امن.
اداره المخاطر هي العمليه المستمره لتحديد المخاطر وتحليلها والاستجابه لها ومراقبتها ومراجعتها. وتركز عمليه اداره مخاطر الامن السيبراني بشكل خاص علي اداره المخاطر المتعلقه بالامن السيبراني. وليتسني للمؤسسات الماليه اداره مخاطر الامن السيبراني، يجب عليها القيام بالاتي:
تحديد مخاطر الامن السيبراني الخاصه بها -
تحديد مخاطر الامن السيبراني؛
تحديد احتماليه حدوث مخاطر الامن السيبراني والتاثير الناتج عنها -
تحليل مخاطر الامن السيبراني؛
تحديد الاستجابه المناسبه لمخاطر الامن السيبراني واختيار الضوابط ذات الصله -
الاستجابه لمخاطر الامن السيبراني؛
مراقبه الاجراءات المعالجه لمخاطر الامن السيبراني ومراجعه فعاليه الضوابط-
مراقبه ومراجعه مخاطر الامن السيبراني
.
يجب ان يخضع الالتزام بضوابط الامن السيبراني للمراجعه والتدقيق الدوري.
المبدا
يجب تحديد عمليه اداره مخاطر الامن السيبراني واعتمادها وتنفيذها، ويجب ان تتماشي مع عمليه اداره المخاطر المؤسسيه في المؤسسه الماليه.
الهدف
ضمان اداره مخاطر الامن السيبراني علي نحو صحيح لحمايه سريه وسلامه وتوافر الاصول المعلوماتيه الخاصه بالمؤسسه الماليه، وضمان توافق عمليه اداره مخاطر الامن السيبراني مع عمليه اداره المخاطر المؤسسيه للمؤسسه الماليه.
اعتبارات التحكم
1. | يجب تحديد عمليه اداره مخاطر الامن السيبراني واعتمادها وتنفيذها.
2. | يجب ان تركز عمليه اداره مخاطر الامن السيبراني علي حمايه سريه وسلامه وتوافر الاصول المعلوماتيه.
3. | يجب ان تتماشي عمليه اداره مخاطر الامن السيبراني مع عمليه اداره المخاطر المؤسسيه الحاليه.
4. | يجب توثيق عمليه اداره مخاطر الامن السيبراني ويجب ان تشمل:
| ا. | تحديد المخاطر؛
| ب. | تحليل المخاطر؛
| ج. | الاستجابه للمخاطر؛
| د. | مراقبه المخاطر ومراجعتها.
5. | يجب ان تتناول عمليه اداره مخاطر الامن السيبراني الاصول المعلوماتيه الخاصه بالمؤسسه الماليه، بما في ذلك (علي سبيل المثال لا الحصر):
| ا. | العمليات التجاريه؛
| ب. | تطبيقات الاعمال؛
| ج. | مكونات البنيه التحتيه.
6. | يجب البدء في عمليه اداره مخاطر الامن السيبراني:
| ا. | في مرحله مبكره من المشروع؛
| ب. | قبل التغيير الحرج؛
| ج. | عند النظر في اسناد المهام الي طرف ثالث؛
| د. | عند اطلاق منتجات وتقنيات جديده.
7. | يجب ان تخضع الاصول المعلوماتيه الموجوده بشكل دوري لتقييم مخاطر الامن السيبراني بناء علي تصنيفها او علي طبيعه المخاطر الخاصه بها.
8. | يجب ان تتضمن انشطه اداره مخاطر الامن السيبراني ما يلي:
| ا. | مالكي الاعمال؛
| ب. | متخصصي تقنيه المعلومات؛
| ج. | متخصصي الامن السيبراني؛
| د. | ممثلي المستخدمين الرييسيين.
9. | يجب ابلاغ مسؤول الاعمال المعني في المؤسسه الماليه (اي مالك المخاطر) بنتيجه تقييم المخاطر؛
10. | يجب علي مسؤول الاعمال المعني (اي مالك المخاطر) داخل المؤسسه الماليه قبول والمصادقه علي نتايج تقييم المخاطر.
11. | يجب تحديد واعتماد مدي قابليه المؤسسه الماليه لمخاطر الامن السيبراني وتحملها للمخاطر بشكل واضح.
المبدا
يجب تحديد مخاطر الامن السيبراني وان تشمل الاجراءات تحديد الاصول والتهديدات والضوابط الحاليه والثغرات الامنيه الخاصه بالمؤسسه الماليه.
الهدف
العثور علي مخاطر الامن السيبراني التي تواجهها المؤسسه الماليه والتعرف عليها ووصفها.
اعتبارات التحكم
يجب تحديد مخاطر الامن السيبراني.
يجب توثيق مخاطر الامن السيبراني المحدده (في سجل مركزي).
يجب ان تتناول اجراءات تحديد مخاطر الامن السيبراني الاصول المعلوماتيه ذات الصله، والتهديدات، والثغرات الامنيه، وضوابط الامن السيبراني الرييسيه الحاليه.
المبدا
يجب اجراء تحليل لمخاطر الامن السيبراني بناء علي احتماليه حدوث مخاطر الامن السيبراني المحدده والتاثير الناتج عنها.
الهدف
تحليل وتحديد طبيعه ومستوي مخاطر الامن السيبراني المحدده.
اعتبارات التحكم
يجب اجراء تحليل لمخاطر الامن السيبراني.
يجب ان يتناول تحليل مخاطر الامن السيبراني مستوي التاثير المحتمل علي الاعمال واحتماليه وقوع احداث تهديد للامن السيبراني.
المبدا
يجب معالجه مخاطر الامن السيبراني لدي المؤسسه الماليه.
الهدف
ضمان معالجه مخاطر الامن السيبراني (اي قبولها، او تجنبها، او نقلها، او تخفيفها).
اعتبارات التحكم
1. | يجب معالجه مخاطر الامن السيبراني المحدده ذات الصله حسب قابليه المؤسسه الماليه للمخاطر وحسب متطلبات الامن السيبراني. |
2. | يجب ان تضمن الاستجابه لمخاطر الامن السيبراني توثيق قايمه خيارات معالجه المخاطر (اي قبول المخاطر، او تجنبها، او نقلها، او تخفيفها من خلال تطبيق ضوابط الامن السيبراني). |
3. | يجب ان يشمل قبول مخاطر الامن السيبراني ما يلي: |
| ا. | مراعاه الحدود المحدده مسبقا لمستويات مخاطر الامن السيبراني؛
| ب. | اعتماد مسؤول الاعمال النهايي بما يضمن ما الاتي:
| | 1. | ان يكون خطر الامن السيبراني المقبول ضمن حدود القدره علي تحمل المخاطر والتبليغ به الي لجنه الامن السيبراني؛ |
| | 2. | الا يتعارض خطر الامن السيبراني المقبول مع تعليمات البنك المركزي السعودي. |
4. | يجب ان تتضمن اجراءات تجنب مخاطر الامن السيبراني قرارا من مسؤول الاعمال بالغاء او تاجيل نشاط او مشروع معين في حال كان يمثل خطرا غير مقبول علي الامن السيبراني. |
5. | لنقل مخاطر الامن السيبراني او مشاركتها يجب ان: |
| ا. | ان تشتمل علي مشاركه مخاطر الامن السيبراني مع مقدمي الخدمات ذوي الصله (الداخليين او الخارجيين)؛
| ب. | قبول مقدم (مقدمو) الخدمات (الداخليون او الخارجيون) المتلقون لها؛
| ج. | ان تؤدي في نهايه المطاف الي النقل الفعلي او المشاركه لمخاطر الامن السيبراني.
6. | يجب ان يشمل تطبيق ضوابط الامن السيبراني للتخفيف من المخاطر ما يلي: |
| ا. | تحديد ضوابط الامن السيبراني المناسبه؛
| ب. | تقييم نقاط القوه والضعف في ضوابط الامن السيبراني؛
| | 1. | تقييم تكلفه تطبيق ضوابط الامن السيبراني؛ |
| | 2. | تقييم مدي جدوي تطبيق ضوابط الامن السيبراني؛ |
| | 3. | مراجعه متطلبات الالتزام ذات الصله بضوابط الامن السيبراني؛ |
| ج. | اختيار ضوابط الامن السيبراني؛
| د. | تحديد وتوثيق اي مخاطر متبقيه والحصول علي اعتماد مسؤول الاعمال عليها.
7. | يجب توثيق اجراءات معالجه مخاطر الامن السيبراني ضمن خطه المعالجه. |
المبدا
يجب مراقبه التقدم المحرز في معالجه مخاطر الامن السيبراني ومراجعه فعاليه ضوابط الامن السيبراني المحدثه او المطبقه حديثا.
الهدف
التاكد من تنفيذ اجراءات المعالجه لمخاطر الامن السيبراني وفقا للخطط. والتاكد من فعاليه ضوابط الامن السيبراني المحدثه او المطبقه حديثا.
اعتبارات التحكم
1. | يجب مراقبه معالجه الامن السيبراني، بما في ذلك:
| ا. | تتبع التقدم وفقا لخطه المعالجه؛
| ب. | ان ضوابط الامن السيبراني المختاره والمتفق عليها يجري تنفيذها.
2. | يجب مراجعه تصميم وفعاليه ضوابط الامن السيبراني المحدثه او المطبقه حديثا.
المبدا
يجب علي المؤسسه الماليه وضع اجراءات لتحديد تبعات متطلبات الامن السيبراني ضمن التعليمات ذات الصله وتبليغها والالتزام بها.
الهدف
الالتزام باللوايح التي تؤثر علي الامن السيبراني للمؤسسه الماليه.
اعتبارات التحكم
1. | يجب انشاء اجراءات لضمان الالتزام بمتطلبات الامن السيبراني التنظيميه ذات الصله في كامل المؤسسه الماليه. وان تستوفي الاجراءات الاتي:
| ا. | تنفيذها بشكل دوري او عند دخول المتطلبات التنظيميه الجديده حيز النفاذ؛
| ب. | اشراك ممثلي المجالات الرييسيه في المؤسسه الماليه؛
| ج. | ان تؤدي الي تحديث سياسه ومعايير واجراءات الامن السيبراني لاستيعاب اي تغييرات ضروريه (ان اقتضي الامر).
المبدا
يجب علي المؤسسه الماليه الالتزام بمعايير الصناعه الوطنيه والدوليه الالزاميه.
الهدف
الالتزام بمعايير الصناعه الوطنيه والدوليه الالزاميه.
اعتبارات التحكم
1. | يجب علي المؤسسه الماليه الالتزام بالاتي:
| ا. | معيار امان بيانات صناعه بطاقات الدفع (PCI-DSS)؛
| ب. | المعيار الفني لنظام الدفع الموحد ببطاقات (يورو باي، وماستر كارد، وفيزا)؛
| ج. | اطار عمل ضوابط امن عملاء السويفت - مارس 2017.
المبدا
يجب ان تخضع حاله الامن السيبراني للاصول المعلوماتيه لدي المؤسسه الماليه للمراجعه الدوريه.
الهدف
التاكد مما اذا كانت ضوابط الامن السيبراني مصممه ومنفذه بشكل امن، وان يتم مراقبه فعاليتها.
اعتبارات التحكم
1. | يجب اجراء مراجعات الامن السيبراني بشكل دوري للاصول المعلوماتيه الحساسه.
2. | يجب ان تخضع الخدمات الموجهه للعملاء والمقدمه عبر الانترنت للمراجعه السنويه واختبارات الاختراق.
3. | يجب تسجيل تفاصيل مراجعه الامن السيبراني التي تم اجراؤها، بما يشمل نتايجها والملاحظات المحدده والاجراءات الموصي بها.
4. | يجب ابلاغ مسؤول الاعمال بنتايج مراجعه الامن السيبراني.
5. | يجب ان تخضع مراجعه الامن السيبراني لمراجعات متابعه للتحقق مما يلي:
| ا. | المعالجه لكافه الملاحظات التي تم تحديدها؛
| ب. | المعالجه الفعاله للمخاطر الحرجه؛
| ج. | الاداره المستمره لكافه الاجراءات المتفق عليها.
المبدا
يجب ان تخضع حاله الامن السيبراني للاصول المعلوماتيه للمؤسسه الماليه لعمليات تدقيق شامله ومستقله ومنتظمه، وان يتم اجراؤها وفقا لمعايير التدقيق المقبوله عموما والدليل التنظيمي لامن المعلومات الصادر عن البنك المركزي.
الهدف
التاكد بدرجه معقوله مما اذا كانت ضوابط الامن السيبراني مصممه ومنفذه بشكل امن، وما اذا كانت فعاليه هذه الضوابط خاضعه للمراقبه.
اعتبارات التحكم
1. يجب اجراء عمليات تدقيق الامن السيبراني بشكل مستقل ووفقا لمعايير التدقيق المقبوله عموما والدليل التنظيمي لامن المعلومات الصادر عن البنك المركزي.
2. يجب اجراء عمليات تدقيق الامن السيبراني وفقا لدليل التدقيق وخطه التدقيق الخاصه بالمؤسسه الماليه.
يجب علي المؤسسات الماليه التاكد من تحديد المتطلبات الامنيه للاصول المعلوماتيه الخاصه بها والعمليات الداعمه واعتمادها وتنفيذها للحفاظ علي حمايه العمليات والتقنيات الخاصه باصولها المعلوماتيه، وموظفيها، والاطراف الثالثه، وعملايها.
ويجب مراقبه الالتزام بهذه المتطلبات، وقياس وتقييم فعاليه ضوابط الامن السيبراني بشكل دوري من اجل تحديد التحسينات المحتمله للضوابط او المعايير.
المبدا
يجب علي المؤسسه الماليه دمج متطلبات الامن السيبراني في عمليات الموارد البشريه.
الهدف
التاكد من ان مسؤوليات الامن السيبراني لموظفي المؤسسه الماليه تم تضمينها في اتفاقيات الموظفين ويتم فحص الموظفين قبل واثناء دوره حياتهم الوظيفيه.
اعتبارات التحكم
1. | يجب ان تحدد عمليه الموارد البشريه متطلبات الامن السيبراني وتعتمدها وتنفذها. |
2. | تجب مراقبه فعاليه عمليه الموارد البشريه وقياسها وتقييمها بشكل دوري. |
3. | يجب ان تتضمن اجراءات الموارد البشريه ما يلي: |
| ا. | مسؤوليات الامن السيبراني وبنود عدم الافصاح ضمن اتفاقيات الموظفين (اثناء وبعد التوظيف)؛
| ب. | يجب ان يتلقي الموظفون التوعيه بالامن السيبراني في بدايه واثناء عملهم؛
| ج. | حالات تطبيق الاجراءات التاديبيه؛
| د. | الفحص والتحقق من السير الذاتيه؛
| ه. | انشطه الامن السيبراني بعد التوظيف، مثل:
| | 1. | الغاء حقوق الوصول؛ |
| | 2. | اعاده الاصول المعلوماتيه المخصصه (علي سبيل المثال، بطاقه الدخول، ورموز التحقق، والاجهزه المحموله، وجميع المعلومات الالكترونيه والماديه). |
المبدا
يجب علي المؤسسه الماليه التاكد من ان كافه المرافق التي تستضيف اصولها المعلوماتيه محميه ماديا من الاحداث الامنيه المقصوده وغير المقصوده.
الهدف
منع الوصول المادي غير المصرح به الي اصول المؤسسه الماليه المعلوماتيه وضمان حمايتها.
اعتبارات التحكم
1. | يجب تحديد واعتماد وتنفيذ اجراءات الامن المادي.
2. | يجب مراقبه وقياس وتقييم فعاليه اجراءات الامن المادي بشكل دوري.
3. | يجب ان تتضمن اجراءات الامن المادي (علي سبيل المثال لا الحصر):
| ا. | ضوابط الدخول المادي (بما في ذلك المتطلبات الامنيه للزايرين)؛
| ب. | الرصد والمراقبه (علي سبيل المثال، الدواير التلفزيونيه المغلقه، واجهزه الصراف الالي، والتتبع عبر نظام تحديد المواقع العالمي (GPS)، واجهزه الاستشعار الحساسه)؛
| ج. | حمايه مراكز البيانات وغرف البيانات؛
| د. | الحمايه البيييه؛
| ه. | حمايه الاصول المعلوماتيه خلال دوره حياتها (بما في ذلك النقل والتخلص الامن، وتجنب الوصول غير المصرح به وتسريب البيانات المقصود (وغير المقصود).
المبدا
يجب علي المؤسسه الماليه تحديد واعتماد وتنفيذ وتبليغ ومراقبه اجراءات اداره الاصول، مما يساعد في اعداد سجل اصول دقيق وحديث وموحد.
الهدف
دعم المؤسسه الماليه في انشاء سجل دقيق وحديث وتحقيق رؤيه مركزيه عن الموقع الفعلي/الافتراضي والتفاصيل ذات الصله لكافه الاصول المعلوماتيه القايمه، بما يدعم اجراءاتها المرتبطه بها، مثل الاجراءات الماليه، والاجراءات المتعلقه بالمشتريات وتقنيه المعلومات والانترنت والامن السيبراني.
اعتبارات التحكم
1. | يجب تحديد واعتماد وتنفيذ اجراءات اداره الاصول.
2. | يجب وقياس وتقييم فعاليه اجراءات اداره الاصول بشكل دوري.
3. | يجب ان تتضمن اجراءات اداره الاصول ما يلي:
| ا. | السجل الموحد؛
| ب. | ملكيه ورعايه الاصول المعلوماتيه؛
| ج. | الاشاره الي الاجراءات الاخري ذات الصله، اعتمادا علي اداره الاصول؛
| د. | تصنيف الاصول المعلوماتيه، وتمييزها والتعامل معها؛
| ه. | اكتشاف الاصول المعلوماتيه الجديده.
المبدا
يجب علي المؤسسه الماليه تحديد ومتابعه ومراجعه هيكليه الامن السيبراني، والتي تحدد متطلبات الامن السيبراني في الهيكليه المؤسسيه وان تتناول مبادي التصميم لتطوير قدرات الامن السيبراني.
الهدف
دعم المؤسسه الماليه في انجاز هيكليه استراتيجيه ومتسقه وفعاله من حيث التكلفه وشامله للامن السيبراني.
اعتبارات التحكم
1. | يجب تحديد واعتماد وتنفيذ هيكليه الامن السيبراني.
2. | يجب مراقبه الالتزام بهيكليه الامن السيبراني.
3. | يجب ان تتضمن هيكليه الامن السيبراني ما يلي:
| ا. | مخطط استراتيجي لقدرات وضوابط الامن السيبراني بناء علي متطلبات العمل؛
| ب. | اعتماد هيكليه الامن السيبراني المحدده؛
| ج. | ضروره توافر مهندسين مؤهلين للامن السيبراني؛
| د. | مبادي التصميم لتطوير ضوابط الامن السيبراني وتطبيق متطلبات الامن السيبراني (اي: مبدا الامن وفق التصميم)؛
| ه. | المراجعه الدوريه لهيكليه الامن السيبراني.
المبدا
يجب علي المؤسسه الماليه تقييد الوصول الي اصولها المعلوماتيه بما يتماشي مع متطلبات اعمالها وبناء علي مبداي الحاجه الي الحصول علي المعلومات او الحاجه الي المعرفه.
الهدف
التاكد من ان المؤسسه الماليه تمنح صلاحيات الوصول للمستخدمين المعتمدين فقط ووفق الحد الادني من الامتيازات اللازمه.
اعتبارات التحكم
1. | يجب تحديد واعتماد وتنفيذ سياسه اداره الهويه والوصول، بما يشمل المسؤوليات والمساءلات. | |
2. | يجب مراقبه الالتزام بسياسه اداره الهويه والوصول. | |
3. | يجب قياس وتقييم فعاليه ضوابط الامن السيبراني ضمن سياسه اداره الهويه والوصول بشكل دوري. | |
4. | يجب ان تتضمن سياسه اداره الهويه والوصول ما يلي: | |
| ا. | متطلبات العمل للتحكم في الوصول (اي الحاجه الي الحيازه او الحاجه الي المعرفه)؛ |
| ب. | اداره وصول المستخدمين (علي سبيل المثال، الموظفين الجدد، والمنتقلين، المغادرين): |
| | 1. | يجب تغطيه جميع الانواع المحدده للمستخدمين (اي: الموظفين الداخليين، والاطراف الثالثه)؛
| | 2. | يجب علي قسم الموارد البشريه اجراء التغييرات في الحاله الوظيفيه او المناصب الوظيفيه للموظفين الداخليين (مثل الموظفين الجدد، والمنتقلين، والمغادرين)؛
| | 3. | يجب علي الطرف المسؤول المعين اجراء التغييرات علي الموظفين الخارجيين او الاطراف الثالثه؛
| | 4. | تمنح الموافقه رسميا علي طلبات وصول المستخدم وفقا لمتطلبات العمل والالتزام (اي الحاجه الي الحيازه او الحاجه الي المعرفه لتجنب الوصول غير المصرح به وتسريب البيانات المقصود (وغير المقصود))؛
| | 5. | يجب معالجه التغييرات في حقوق الوصول في الوقت المناسب؛
| | 6. | يجب مراجعه حقوق وصول المستخدم وملفاته الشخصيه بشكل دوري؛
| | 7. | يجب انشاء سجل تدقيق لطلبات وصول المستخدم وطلبات الالغاء المقدمه والمعتمده والمعالجه؛
| ج. | يجب دعم اداره وصول المستخدم بالاتمته؛ |
| د. | تحقيق المركزيه لوظيفه اداره الهويه والوصول؛ |
| ه. | المصادقه متعدده العوامل للانظمه والصلاحيات الحساسه والهامه؛ |
| و. | اداره الوصول المميز والوصول عن بعد، والتي يجب ان تتناول ما يلي: |
| | 1. | تخصيص الوصول المميز والوصول عن بعد وتقييد استخدامهما، مع تحديد الاتي:
| | | ا. | المصادقه متعدده العوامل الواجب استخدامها لجميع عمليات الوصول عن بعد؛ | |
| | | ب. | المصادقه متعدده العوامل الواجب استخدامها للوصول الي الامتيازات علي الانظمه المهمه بناء علي تقييم المخاطر؛ | |
| | 2. | المراجعه الدوريه للمستخدمين اصحاب الحسابات المميزه والمستخدمه عن بعد؛
| | 3. | المساءله الفرديه؛
| | 4. | استخدام الحسابات المميزه غير الشخصيه، بما في ذلك:
| | | ا. | التقييد والمراقبه؛ | |
| | | ب. | سريه كلمات المرور؛ | |
| | | ج. | تغيير كلمات المرور بشكل متكرر وفي نهايه كل جلسه. | |
المبدا
يجب علي المؤسسه الماليه تحديد واعتماد وتنفيذ معايير الامن السيبراني لنظم التطبيقات. ويجب مراقبه الالتزام بالمعايير وقياس وتقييم فعاليه الضوابط بشكل دوري.
الهدف
ضمان توثيق واعتماد وتنفيذ ضوابط الامن السيبراني الكافيه لجميع تطبيقات المؤسسه الماليه، ومراقبه الالتزام بها وتقييم فعاليتها بشكل دوري.
اعتبارات التحكم
1. | يجب تحديد معايير الامن السيبراني للتطبيقات واعتمادها وتنفيذها.
2. | تجب مراقبه الالتزام بمعايير الامن السيبراني للتطبيقات.
3. | يجب قياس وتقييم فعاليه ضوابط الامن السيبراني للتطبيقات بشكل دوري.
4. | يجب ان يتم تطوير التطبيقات وفق المنهجيه المعتمده لدوره حياه تطوير النظم الامنه (SDLC).
5. | يجب ان تتضمن معيار الامن السيبراني للتطبيقات ما يلي:
| ا. | معيار التطوير البرمجي الامن؛
| ب. | ضوابط الامن السيبراني المطبقه (علي سبيل المثال، عناصر التهييه، الاحداث الواجب مراقبتها والاحتفاظ بها [بما في ذلك الوصول الي النظام والبيانات]، واداره الهويه والوصول)؛
| ج. | متطلبات فصل المهام ضمن التطبيق (مدعومه بمصفوفه تفويض موثقه)؛
| د. | حمايه البيانات بما يتوافق مع مخططات التصنيف (المتفق عليه) (بما في ذلك خصوصيه بيانات العملاء، وتجنب الوصول غير المصرح به وتسريب البيانات المقصود (وغير المقصود))؛
| ه. | اداره الثغرات الامنيه وحزم التحديثات والاصلاحات؛
| و. | اجراءات النسخ الاحتياطي والاسترداد؛
| ز. | المراجعه الدوريه للالتزام بمتطلبات الامن السيبراني.
المبدا
يجب علي المؤسسه الماليه تحديد واعتماد وتنفيذ اجراءات اداره التغيير للتحكم بكافه التغييرات في الاصول المعلوماتيه. ويجب مراقبه الااتزام بالاجراءات وقياس وتقييم فعاليتها بشكل دوري.
الهدف
التاكد من ان كافه التغييرات في الاصول المعلوماتيه في المؤسسه الماليه تتبع اجراءات تحكم صارمه.
اعتبارات التحكم
1. | يجب تحديد واعتماد وتنفيذ اجراءات اداره التغيير. |
2. | يجب مراقبه الالتزام باجراءات اداره التغيير. |
3. | يجب قياس وتقييم فعاليه ضوابط الامن السيبراني ضمن اجراءات اداره التغيير بشكل دوري. |
4. | يجب ان تتضمن اجراءات اداره التغيير ما يلي: |
| ا. | متطلبات الامن السيبراني للتحكم في التغييرات المدخله علي الاصول المعلوماتيه، مثل تقييم اثر التغييرات المطلوبه وتصنيفها ومراجعتها؛
| ب. | الاختبارات السيبرانيه، والتي يجب ان تشمل (عند الاقتضاء):
| | 1. | اختبارات الاختراق؛ |
| | 2. | مراجعه الشفره المصدريه في حال تم تطويرها داخليا؛ |
| | 3. | مراجعه الشفره المصدريه للتطبيقات المطوره خارجيا في حال توافرها؛ |
| | 4. | تقرير المراجعه الامنيه للشفره المصدريه (او ما يعادله، مثل بيان تاكيدي مستقل) في حاله عدم امكانيه توفير الشفره المصدريه؛ |
| ج. | موافقه مسؤول الاعمال علي التغييرات؛
| د. | الحصول علي موافقه وحده الامن السيبراني قبل تقديمها الي المجلس الاستشاري للتغيير (المجلس)؛
| ه. | موافقه المجلس؛
| و. | مراجعه ما بعد التنفيذ للتحقق من تطبيق ضوابط الامن السيبراني ذات الصله؛
| ز. | الفصل ما بين بييه التطوير والاختبار والتشغيل و الكوادر المعنيه بها؛
| ح. | اجراءات التغييرات والاصلاحات الطاريه؛
| ط. | الاجراءات البديله واجراءات التراجع.
المبدا
يجب علي المؤسسه الماليه تحديد واعتماد وتنفيذ معايير الامن السيبراني لمكونات البنيه التحتيه الخاصه بها. ويجب مراقبه الالتزام بهذه المعايير وقياس وتقييم فعاليتها بشكل دوري.
الهدف
دعم التوثيق المعتمد لكافه ضوابط الامن السيبراني للبنيه التحتيه للمؤسسه الماليه. ومراقبه الالتزام بها وتقييم فعاليتها بشكل دوري.
اعتبارات التحكم
1. | يجب تحديد معايير الامن السيبراني للبنيه التحتيه واعتمادها وتنفيذها. |
2. | يجب مراقبه الالتزام بمعايير الامن السيبراني البنيه التحتيه. |
3. | يجب قياس وتقييم فعاليه ضوابط الامن السيبراني للبنيه التحتيه بشكل دوري. |
4. | يجب ان تشمل معايير الامن السيبراني للبنيه التحتيه جميع مكوناتها في مركز (مراكز) البيانات الرييسيه ومركز (مراكز) التعافي من الكوارث والمساحات المكتبيه. |
5. | يجب ان تشمل معايير الامن السيبراني للبنيه التحتيه جميع مكوناتها القايمه (علي سبيل المثال، انظمه التشغيل، والخوادم، والاجهزه الافتراضيه، وجدران الحمايه، واجهزه الشبكه، ونظام اكتشاف الاختراقات، ونظام منع الاختراقات، والشبكه اللاسلكيه، وخوادم البوابه، والخوادم الوكيله، وبوابات البريد الالكتروني، والاتصالات الخارجيه، وقواعد البيانات، وانظمه مشاركات الملفات، واجهزه الكمبيوتر المكتبيه، واجهزه الكمبيوتر المحموله، والاجهزه اللوحيه، والاجهزه المحموله، ونظام السنترال الداخلي PBX). |
6. | يجب ان تشمل معايير الامن السيبراني للبنيه التحتيه ما يلي: |
| ا. | ضوابط الامن السيبراني المطبقه (علي سبيل المثال، عناصر التهييه، والاحداث التي يجب مراقبتها والاحتفاظ بها [بما في ذلك الوصول الي النظام والبيانات]، ومنع تسريب البيانات[DLP]، واداره الهويه والوصول، والصيانه عن بعد)؛
| ب. | الفصل بين المهام داخل مكون البنيه التحتيه (مدعوم بمصفوفه تفويض موثقه)؛
| ج. | حمايه البيانات بما يتوافق مع مخطط التصنيف (المتفق عليه) (بما في ذلك خصوصيه بيانات العملاء وتجنب الوصول غير المصرح به وتسريب البيانات المقصود (وغير المقصود))؛
| د. | استخدام البرامج المعتمده والبروتوكولات الامنه؛
| ه. | تجزيه الشبكات؛
| و. | الحمايه من الاكواد/البرامج الضاره والفيروسات (واستخدام حلول قايمه التطبيقات المصرح بها والحمايه من التهديدات المتقدمه والمستمره)؛
| ز. | اداره الثغرات الامنيه وحزم التحديث والاصلاح؛
| ح. | الحمايه من هجمات حجب الخدمه الموزعه (ان اقتضي الامر)؛ ويجب ان يشمل ذلك:
| | 1. | استخدام خدمات التنقيه؛ |
| | 2. | مواصفات حجم النطاق المتفق عليه؛ |
| | 3. | المراقبه علي مدار اليوم طوال ايام الاسبوع بواسطه مركز التشغيل الامني، ومقدم الخدمه، ومقدم خدمه التنقيه؛ |
| | 4. | اختبار خدمات التنقيه للحمايه من هجمات حجب الخدمه الموزعه (DDOS) (مرتين في السنه علي الاقل)؛ |
| | 5. | يجب تنفيذ خدمات الحمايه من هجوم حجب الخدمه (DDOS) لمركز (مراكز) البيانات الرييسيه بالاضافه الي موقع (مواقع) التعافي من الكوارث؛ |
| ط. | اجراءات النسخ الاحتياطي والاسترداد؛
| ي. | المراجعه الدوريه للالتزام بالامن السيبراني.
المبدا
يجب تحديد واعتماد وتنفيذ استخدام حلول التشفير داخل المؤسسات الماليه.
الهدف
ضمان حمايه الوصول الي المعلومات الحساسه وسلامتها وامكانيه التاكد من منشي الاتصال او المعاملات.
اعتبارات التحكم
1. | يجب تحديد معايير التشفير الامن واعتمادها وتنفيذها.
2. | يجب مراقبه الالتزام بمعايير التشفير الامن.
3. | يجب قياس وتقييم فعاليه ضوابط التشفير الامن بشكل دوري.
4. | يجب ان تتضمن معايير التشفير الامن ما يلي:
| ا. | نظره عامه علي حلول التشفير المعتمده والقيود ذات الصله (علي سبيل المثال، الجوانب النظاميه والفنيه)؛
| ب. | الظروف التي يجب فيها تطبيق حلول التشفير المعتمده؛
| ج. | اداره مفاتيح التشفير، بما في ذلك اداره دوره الحياه والارشفه والاسترداد.
المبدا
عندما تسمح المؤسسه الماليه باستخدام الاجهزه الشخصيه (مثل الهواتف الذكيه، والاجهزه اللوحيه، والحواسيب المحموله) لاغراض العمل، يجب ان يكون الاستخدام مدعوما بمعايير الامن السيبراني المحدده والمعتمده والمنفذه، واتفاقيات الموظفين الاضافيه والتدريب علي التوعيه بالامن السيبراني.
الهدف
التاكد من تعامل الموظفين بطريقه امنه عند استخدام الاجهزه الشخصيه مع المعلومات المتعلقه بالاعمال وذات الطبيعه الحساسه الخاصه بالمؤسسه الماليه وحمايتها اثناء النقل والتخزين.
اعتبارات التحكم
1. | يجب تحديد معايير الامن السيبراني لاداره الاجهزه الشخصيه واعتمادها وتنفيذها.
2. | يجب مراقبه الالتزام بمعايير الامن السيبراني لاداره الاجهزه الشخصيه.
3. | يجب قياس وتقييم فعاليه ضوابط الامن السيبراني المعنيه بمعيار "اداره الاجهزه الشخصيه"بشكل دوري.
4. | يجب ان يتضمن معيار "اداره الاجهزه الشخصيه" ما يلي:
| ا. | مسؤوليات المستخدم (بما في ذلك التدريب التوعوي)؛
| ب. | المعلومات المتعلقه بالقيود والعواقب المترتبه علي الموظفين عندما تطبق المؤسسه الماليه ضوابط الامن السيبراني علي اجهزتهم الشخصيه؛ علي سبيل المثال، عند استخدام الاجهزه المعدله (تجاوز قيود الاجهزه)، او عند انهاء توظيفهم، او في حاله فقدان او سرقه الجهاز الشخصي؛
| ج. | فصل المعلومات المتعلقه بالاعمال عن المعلومات الشخصيه (علي سبيل المثال، تقنيات الاحتواء)؛
| د. | تنظيم استخدام تطبيقات الهاتف المحمول الخاصه بالمؤسسه او تطبيقات الهاتف المحمول "العامه" المعتمده؛
| ه. | استخدام انظمه اداره الاجهزه المحموله؛ تطبيق ضوابط الوصول الي الجهاز وحاويه الاعمال واليات التشفير علي الجهاز الشخصي (لضمان النقل والتخزين الامن).
المبدا
يجب التخلص من الاصول المعلوماتيه الخاصه بالمؤسسه الماليه بطريقه امنه عندما تنتهي الحاجه اليها.
الهدف
ضمان حمايه اعمال المؤسسه الماليه وعملايها والمعلومات الحساسه الاخري من التسريب او الكشف غير المصرح به عند التخلص منها.
اعتبارات التحكم
يجب تحديد معايير واجراءات التخلص الامن واعتمادها وتنفيذها.
يجب مراقبه الالتزام بمعايير واجراءات التخلص الامن.
يجب قياس وتقييم فعاليه ضوابط الامن السيبراني للتخلص الامن بشكل دوري.
يجب التخلص من الاصول المعلوماتيه وفقا للمتطلبات النظاميه والتنظيميه، عندما تنتهي الحاجه اليها (اي الالتزام بمتطلبات خصوصيه البيانات لتجنب الوصول غير المصرح به وتجنب تسريب البيانات المقصود (وغير المقصود)).
يجب اتلاف المعلومات الحساسه باستخدام تقنيات تجعل المعلومات غير قابله للاسترجاع (علي سبيل المثال، الحذف الامن، المحو الامن، والحرق، والتقطيع المزدوج، والتمزيق)
يجب علي المؤسسه الماليه التاكد من ان مقدمي الخدمات من الاطراف الثالثه المستخدمين للتخلص الامن والنقل والتخزين بمعايير واجراءات التخلص الامن ويتم قياس وتقييم الفعاليه بشكل دوري.
المبدا
يجب علي المؤسسه الماليه تحديد واعتماد وتنفيذ ومراقبه معيار الامن السيبراني المتبع في انظمه الدفع. ويجب قياس وتقييم فعاليه هذا الاجراء بشكل دوري.
الهدف
التاكد من ان المؤسسه الماليه تحمي سريه وسلامه الانظمه البنكيه المشتركه.
اعتبارات التحكم
للحصول علي معلومات عن النظام السعودي للتحويلات الماليه السريعه (سريع)، يرجي الرجوع الي سياسه امن المعلومات المتبعه في نظام (سريع)، الاصدار 1.0 – يونيو 2016.
للحصول علي معلومات حول نظام المدفوعات الوطني (مدي)، يرجي الرجوع الي الاقسام التاليه في الكتاب التقني لقواعد ومعايير نظام "مدي" (
راجع الملحق "ا"
):
الجزء 3 ا – اطار العمل الامني، عدد الاصدار 6.0.0 – مايو 2016
الجزء 3 ب – متطلبات اجهزه الHSM، عدد الاصدار 6.0.0 – مايو 2016
اجراءات البنك المركزي المعنيه بشهادات CA CPK، الاصدار 6.0.1 – اكتوبر 2016
المبدا
يجب علي المؤسسه الماليه تحديد معايير الامن السيبراني للخدمات البنكيه الالكترونيه واعتمادها وتنفيذها ومراقبتها. ويجب قياس و تقييم فعاليه هذه المعايير بشكل دوري.
الهدف
التاكد من ان المؤسسه الماليه تحافظ علي سريه وسلامه معلومات العملاء ومعاملاتهم.
اعتبارات التحكم
1. | يجب تحديد معايير الامن السيبراني للخدمات البنكيه الالكترونيه واعتمادها وتنفيذها. | | |
2. | يجب مراقبه الالتزام بمعايير الامن السيبراني المتعبه في الخدمات البنكيه الالكترونيه. | | |
3. | يجب قياس وتقييم مدي فعاليه معايير الامن السيبراني المتبعه في الخدمات البنكيه الالكترونيه بشكل دوري. | | |
4. | يجب ان تشمل المعايير الامنيه للخدمات البنكيه الالكترونيه ما يلي: | | |
| ا. | استخدام تدابير حمايه العلامه التجاريه لحمايه الخدمات المتوفره علي الانترنت بما في ذلك وسايل التواصل الاجتماعي. | |
| ب. | الخدمات البنكيه المقدمه عبر الانترنت والهاتف المحمول والهاتف الارضي: | |
| | 1. | استخدام متاجر التطبيقات والمواقع الرسميه (ينطبق علي الخدمات البنكيه المقدمه عبر الانترنت والهاتف المحمول)؛ |
| | 2. | استخدام تدابير الكشف عن وازاله التطبيقات والمواقع الضاره (ينطبق علي الخدمات البنكيه المقدمه عبر الانترنت والهاتف المحمول)؛ |
| | 3. | استخدام تقنيه البييه المعزوله (ينطبق علي الخدمات البنكيه المقدمه عبر الانترنت والهاتف المحمول)؛ |
| | 4. | استخدام تقنيات منع التخزين المؤقت (ينطبق علي الخدمات البنكيه المقدمه عبر الانترنت والهاتف المحمول)؛ |
| | 5. | استخدام تقنيات الاتصال الامن لتجنب وقوع "الهجوم الوسيط" (ينطبق علي الخدمات البنكيه المقدمه عبر الانترنت والهاتف المحمول)؛ |
| | 6. | استخدام اليات المصادقه متعدده العوامل: |
| | | ا. | يجب استخدام المصادقه متعدده العوامل اثناء عمليه التسجيل للعميل من اجل استخدام الخدمات البنكيه الالكترونيه؛
| | | ب. | يجب تنفيذ المصادقه متعدده العوامل لجميع الخدمات البنكيه الالكترونيه المتاحه للعملاء؛
| | | ج. | يجب ان يكون استخدام اجهزه وتطبيقات رموز الامان محميا بكلمه مرور؛
| | | د. | الغاء وصول العملاء بعد ادخال كلمات مرور غير صحيحه او ارقام تعريف شخصي غير صالحه لثلاث مرات متتاليه؛
| | | ه. | يجب الا تتم عمليه تغيير رقم الجوال للعميل الا من احد الفروع او اجهزه الصراف الالي؛
| | | و. | يجب ان تتم عمليات طلب وتفعيل المصادقه متعدده العوامل من خلال قنوات التسليم المختلفه؛
| | | ز. | يجب تنفيذ المصادقه متعدده العوامل للعمليات التاليه:
| | | | 1. | تسجيل الدخول؛ | | |
| | | | 2. | اضافه او تعديل المستفيدين؛ | | |
| | | | 3. | اضافه خدمات الدفع للجهات الحكوميه والمرافق؛ | | |
| | | | 4. | المعاملات عاليه المخاطر (عندما تتجاوز الحدود المحدده مسبقا)؛ | | |
| | | | 5. | اعاده تعيين كلمه المرور؛ | | |
| | 7. | يجب ان تتم عمليات اضافه وتفعيل المستفيدين من خلال قنوات مختلفه (ينطبق علي الخدمات البنكيه المقدمه عبر الهاتف المحمول والانترنت)؛ |
| | 8. | يجب التاكد من التوافر العالي للخدمات البنكيه الالكترونيه؛ |
| | 9. | يجب ابلاغ البنك المركزي والعملاء بالوقت المناسب عن فترات الانقطاع المقرره للخدمات البنكيه الالكترونيه؛ |
| | 10. | الاتفاقيات التعاقديه بين المؤسسه الماليه والعميل التي تنص علي الادوار والمسؤوليات والالتزامات لكل من المؤسسه الماليه والعملاء؛ |
| | 11. | الحصول علي موافقه البنك المركزي قبل اطلاق الخدمه البنكيه الالكترونيه الجديده. |
| ج. | اجهزه الصراف الالي ونقاط البيع: | |
| | 1. | منع استغلال الثغرات الامنيه في تطبيقات الصرافات الاليه/نقاط البيع وفي البنيه التحتيه واكتشافها (علي سبيل المثال، الكابلات، منافذ اجهزه (USB)، اعاده التشغيل) ؛ |
| | 2. | تدابير الامن السيبراني، مثل تامين انظمه التشغيل، والحمايه من البرامج الضاره، وشاشات حمايه الخصوصيه، واخفاء كلمات المرور او ارقام الحسابات (علي سبيل المثال، من الشاشات والايصالات)، والحجب الجغرافي (علي سبيل المثال، تعطيل البطاقات افتراضيا خارج دول مجلس التعاون الخليجي، وتعطيل المعاملات التي تتم بالشريط المغناطيسي)، والمراقبه بالفيديو (الدايره التليفزيونيه المغلقه)، والغاء البطاقات بعد ادخال ارقام تعريف شخصيه غير صالحه لثلاث مرات متتاليه، وحلول مكافحه نسخ البطاقات (الاجهزه/البرامج)، وحمايه لوحه رقم التعريف الشخصي؛ |
| | 3. | ايقاف اجهزه الصراف الالي عن بعد في حاله اكتشاف انشطه مشبوهه. |
| د. | خدمات الاشعارات الفوريه عبر الرسايل النصيه القصيره: | |
| | 1. | يجب الا تحتوي الرسايل النصيه القصيره علي بيانات حساسه (علي سبيل المثال، رصيد الحساب – باستثناء بطاقات الايتمان)؛ |
| | 2. | يجب ارسال تنبيه عبر الرسايل النصيه القصيره الي رقمي الجوال (القديم والجديد) عند تغيير رقم الجوال الخاص بالعميل؛ |
| | 3. | يجب ارسال اشعار عبر الرسايل النصيه القصيره الي رقم جوال العميل عند طلب اليه مصادقه متعدده العوامل جديده. |
| | 4. | يجب ارسال اشعار عبر الرسايل النصيه القصيره الي رقم جوال العميل لجميع المعاملات الماليه الشخصيه والمشتريات. |
| | 5. | يجب ارسال اشعار عبر الرسايل النصيه القصيره الي رقم جوال العميل عند اضافه المستفيدين وتعديلهم وتفعيلهم. |
المبدا
يجب علي المؤسسه الماليه تحديد واعتماد وتنفيذ اجراءات لاداره الاحداث الامنيه لتحليل السجلات التشغيليه والامنيه والاستجابه للاحداث الامنيه. ويجب قياس وتقييم فعاليه هذه العمليه بشكل دوري.
الهدف
ضمان التحديد والاستجابه في الوقت المناسب للحالات غير المالوفه او الاحداث المشتبه فيها فيما يتعلق بالاصول المعلوماتيه.
اعتبارات التحكم
1. | يجب تحديد اجراءات اداره الاحداث الامنيه واعتمادها وتنفيذها.
2. | يجب قياس وتقييم فعاليه ضوابط الامن السيبراني ضمن عمليه اداره الاحداث الامنيه بشكل دوري.
3. | لدعم هذه الاجراءات، يجب تحديد معيار مراقبه الاحداث الامنيه واعتماده وتنفيذه.
| ا. | يجب ان يتناول المعيار الاحداث التي يجب مراقبتها لكافه الاصول المعلوماتيه بناء علي تصنيفها او ملف المخاطر الخاص بها.
4. | يجب ان تتضمن اجراءات اداره الاحداث الامنيه متطلبات لما يلي:
| ا. | تشكيل فريق معين مسؤول عن المراقبه الامنيه (اي مركز العمليات الامنيه)؛
| ب. | توافر الموظفين المهره والمدربين (علي نحو مستمر)؛
| ج. | توافر منطقه مقيده لتسهيل انشطه مركز العمليات الامنيه ومساحات العمل؛
| د. | الموارد المطلوبه لانشطه مراقبه الاحداث الامنيه المستمره (24 ساعه طوال ايام الاسبوع)؛
| ه. | اكتشاف ومع
…(70,339 more chars)