sama_gov_sa · regulation · processed · 58 chunks
ترتفع توقعات المجتمع الحديث بخصوص اتاحه تجربه عملاء خاليه من العيوب وتوافر الخدمات بشكل مستمر، والحمايه الفعاله للبيانات الحساسه. وتعد اصول المعلومات والخدمات الماليه عبر الانترنت الان ذات اهميه بالغه لجميع المؤسسات العامه والخاصه والمجتمع الاوسع نطاقا. حيث ان هذه الخدمات اساسيه للاقتصاد العالمي والوطني، وحيويه للابتكار الرقمي ومهمه للامن القومي الاوسع. وتؤكد هذه الاهميه علي ضروره حمايه البيانات الحساسه والمعاملات وتوافر الخدمات وبالتالي ضمان الثقه في القطاع المالي السعودي. ولم تشهد العديد من الصناعات مثل هذه الزياده الكبيره في الابتكار مثل التقنيه الماليه. وعلي مدار العقد الماضي، كانت هناك زياده في عدد المنتجات والخدمات التي وصلت الي السوق خلال العقد الماضي والتي تقدم بالفعل فوايد كبيره للمستهلكين والمؤسسات الماليه. ومع ذلك، فان الاستخدام المتزايد للتقنيات الناشيه يجلب معه ايضا مخاطر المرونه السيبرانيه والتي قد تؤثر علي الاستقرار المالي لمنظومه القطاع المالي. في نوفمبر 2019، وضع البنك المركزي الاطار التنظيمي للبييه التجريبيه التشريعيه من اجل فهم وتقييم تاثير التقنيات الجديده في سوق الخدمات الماليه في المملكه العربيه السعوديه، وكذلك للمساعده في تحويل السوق السعوديه الي مركز مالي ذكي. حيث صمم البنك المركزي بييه تجريبيه تشريعيه ترحب بالشركات المحليه والدوليه الراغبه في اختبار حلول رقميه جديده في بييه "حيه" بهدف نشرها في المملكه العربيه السعوديه في المستقبل. وضع البنك المركزي المتطلبات الاساسيه للمرونه السيبرانيه (يشار اليها هنا باسم "المتطلبات الاساسيه")، وهي مخصصه تحديدا للكيانات التي تم تاسيسها حديثا والتي لا تزال في المراحل الاولي من عملياتها في القطاع المالي في المملكه العربيه السعوديه. تهدف المتطلبات الاساسيه الي دعم المؤسسات الماليه في تحقيق التزاماتها نظرا لما قد تواجهه من قيود او تحديات في مواردها المتاحه، لا سيما فيما يلي: اداره مجموعه موسعه من مخاطر الامن المرونه السيبرانيه ذات الصله بالقطاع المالي في المملكه العربيه السعوديه والتخفيف منها؛ تركيز الموارد علي مجموعه اساسيه من الضوابط بهدف توفير الحمايه الفعاله للاصول المعلوماتيه. ولتحقيق هذا الهدف، توفر المتطلبات الاساسيه ما يلي: تحديد مجموعه الضوابط الاساسيه وذات الاولويه للامن والمرونه السيبرانيه؛ تحديد الهيكل والمحتوي بما يتماشي مع الادله التنظيميه الاخري الصادره عن البنك المركزي، مثل الدليل التنظيمي لامن المعلومات (المشار اليه باسم "CSF") و الدليل التنظيمي لاداره استمراريه الاعمال (المشار اليه هنا باسم " BCMF)"، والتي يتعين علي المؤسسات الماليه الالتزام بها مستقبلا في حال الترخيص. ينطبق دليل "المتطلبات الاساسيه" للمرونه السيبرانيه علي المؤسسات الماليه التي تنوي التاهل للبييه التجريبيه التشريعيه الخاصه بالبنك المركزي و/او المؤسسات التي تسعي للحصول علي ترخيص للعمل في المملكه. وتعد "المتطلبات الاساسيه" بمثابه حافز لتمكين المؤسسات من الالتزام بالحد الادني من متطلبات البنك المركزي المعنيه بالمرونه السيبرانيه. ولا ينبغي التعامل مع "المتطلبات الاساسيه" كبديل عن الادله التنظيميه الخاصه بالبنك المركزي مثل الدليل التنظيمي لامن المعلومات في القطاع المالي و الدليل التنظيمي لاداره استمراريه الاعمال ، حيث يتعين علي المؤسسات الالتزام بجميع المتطلبات التنظيميه ذات العلاقه الصادره عن البنك المركزي بعد قرار الترخيص. كما ينبغي مراعات المتطلبات المنصوص عليها في الدليل التنظيمي للبييه التجريبيه التشريعيه في البنك المركزي. دليل المتطلبات الاساسيه للمرونه السيبرانيه صادر عن البنك المركزي السعودي، والبنك هو الجهه المالكه للدليل والمسؤول عن تحديثه بصفه دوريه. يحتفظ البنك المركزي بحق رفض طلب الجهه بالخروج من البييه التجريبيه والترخيص في حاله عدم مقدرتها علي اثبات تحقيق الالتزام بالمتطلبات الاساسيه للمرونه السيبرانيه. للبنك المركزي وحده مسؤوليه تفسير ما يرد فيها من مبادي ومتطلبات ان لزم الامر، وذلك بصفته الجهه المالكه للمتطلبات الاساسيه. تعد المتطلبات الاساسيه مخصصه للاداره العليا والتنفيذيه، وادارات الاعمال، واداره الاصول المعلوماتيه ورؤساء الامن السيبراني والمسؤولين عن تحديد وتنفيذ ومراجعه ضوابط الامن والمرونه السيبرانيه في المؤسسات الماليه. للبنك المركزي مراجعه المتطلبات الاساسيه بشكل دوري لتقييم مدي انطباقها ضمن سياق القطاع المالي في المملكه والمؤسسات الماليه المستهدفه بتطبيقها. وللبنك المركزي تحديث المتطلبات الاساسيه بناء علي نتايج المراجعه في حال لزم الامر. يتم ضبط الاصدارات للحفاظ علي المتطلبات الاساسيه. وعند اجراء اي تغييرات، للبنك المركزي الغاء الاصدار السابق واصدار التحديث وابلاغ الجهات المعنيه. وسيتم الاشاره بوضوح الي التغييرات في المتطلبات الاساسيه. يتم تنظيم المتطلبات الاساسيه علي النحو التالي: يتضمن الفصل الثاني شرح هيكل المتطلبات الاساسيه وتقديم ارشادات حول كيفيه تطبيق المتطلبات الاساسيه؛ يتضمن الفصل الثالث شرح مجالات الامن السيبراني والمرونه بما في ذلك متطلبات الضوابط. تتمحور المتطلبات الاساسيه حول اربعه مجالات تشمل ما يلي: قياده وحوكمه الامن السيبراني ؛ عمليات وتقنيه الامن السيبراني ؛ و المرونه . تم ترقيم متطلبات التحكم ترقيما فريدا في جميع انحاء المتطلبات الاساسيه. يتم ترقيم متطلبات التحكم وفق نظام الترقيم التالي: الشكل 1. نظام ترقيم متطلبات التحكم يوضح الشكل ادناه الهيكل العام للمتطلبات الاساسيه ويشير الي مجالات الامن السيبراني والمرونه: المتطلبات الاساسيه للصمود السيبراني قياده وحوكمه الامن السيبراني عمليات تقنيه الامن السيبراني المرونه | المتطلبات الاساسيه للصمود السيبراني | قياده وحوكمه الامن السيبراني | عمليات تقنيه الامن السيبراني | المرونه المتطلبات الاساسيه للصمود السيبراني قياده وحوكمه الامن السيبراني | عمليات تقنيه الامن السيبراني المرونه الشكل 3. مجالات المتطلبات الاساسيه تم ترقيم متطلبات التحكم ترقيما فريدا في جميع انحاء المتطلبات الاساسيه. يتم ترقيم متطلبات التحكم وفق نظام الترقيم التالي: المتطلبات الاساسيه للصمود السيبراني قياده وحوكمه الامن السيبراني | عمليات تقنيه الامن السيبراني المرونه ترتبط المجالات ومتطلبات الضوابط الوارده في المتطلبات الاساسيه بمنهجيه المخاطر وتهدف الي تزويد المؤسسات الماليه بالتوجيهات الاساسيه حول كيفيه التخفيف من المخاطر الاكثر شيوعا، وتجنب ما قد يعيق الابتكار ونمو الاعمال من اعباء مفرطه. ومن هذا المنظور، فان المتطلبات الاساسيه تتضمن الحد الادني من المتطلبات اللازمه لتحقيق الامن والمرونه السيبرانيه بالنسبه في المؤسسات الماليه ضمن نطاق التطبيق. كما يتعين علي المؤسسات الماليه اجراء التقييمات الذاتيه للمخاطر لمراقبه التطورات في مشهد التهديدات المرتبطه بالامن والمرونه السيبرانيه، والعمل علي تحديد المخاطر الجديده والمتطوره، وتقييم اثرها المحتمل، وتطبيق ما يتطلب من ضوابط واجراءات اضافيه لما يرد في المتطلبات الاساسيه لتعزيز الامن والمرونه السيبرانيه وبما يتماشي مع مستوي قبول المخاطر لدي المؤسسه الماليه. يتعين علي المؤسسات الماليه اجراء تقييم ذاتي بشكل دوري حيال التزامها بتطبيق المتطلبات الوارده في الدليل ووفق الاستبيان المعد لذلك، ومشاركه نسخه من نتايج التقييمات الي البنك المركزي السعودي. كما ان للبنك المركزي السعودي حق مراجعه نتايج التقييم الذاتي والتحقق من مدي الالتزام بالمتطلبات. معرف التحكم | وصف متطلبات التحكم 1.1.3. | يجب علي المؤسسات الماليه وضع هيكلا قويا لحوكمه الامن السيبراني مدعوما بالموارد المناسبه للاشراف علي النهج العام للامن السيبراني والتحكم فيه. 2.1.3 | يجب علي المؤسسه الماليه تحديد واعتماد وتطبيق ونشر سياسات واجراءات الامن السيبراني مدعومه بمعايير امنيه مفصله (مثل معايير كلمه المرور، ومعايير جدار الحمايه). 3.1.3. | يجب علي المؤسسه الماليه مراجعه وتحديث سياسات واجراءات ومعايير الامن السيبراني بشكل دوري مع الاخذ بعين الاعتبار التطورات في التهديدات السيبرانيه. 4.1.3 | يجب علي المؤسسه الماليه دمج متطلبات الامن السيبراني ضمن النموذج التشغيلي لاعمالها الجديد و/او القايم، وان تشمل المتطلبات ما يلي: | ا. | تقييم مخاطر الامن السيبراني والاحتيال التي قد تنطبق علي النموذج التشغيلي لاعمالها؛ | ب. | اعتماد وتقييم تدابير الامن السيبراني للحمايه من الهجمات (مثل سرقه النماذج، والمدخلات الضاره، وتسميم البيانات) 5.1.3 | يجب علي المؤسسه الماليه وضع وتطبيق سياسه قويه لكلمات المرور الخاصه بوصول المستخدمين الي اصولها المعلوماتيه، بما يشمل: | ا. | تغيير كلمه المرور عند تسجيل الدخول لاول مره، والحد الادني لطول كلمه المرور وتاريخها ومستوي تعقيدها؛ | ب. | حجب الوصول بعد ثلاثه محاولات متتاليه بكلمات مرور غير صحيحه؛ و | ج. | استخدام تقنيات منع التخزين المؤقت. 6.1.3 | يجب علي المؤسسه الماليه اجراء تقييمات شامله لمخاطر تقنيه المعلومات والامن السيبراني متضمنه (البني التحتيه، والشبكه، والتطبيقات، والانظمه) والضوابط المطبقه لمعالجه المخاطر المحدده. ويجب توثيق المخاطر التي تم تحديدها في سجل مركزي ومراقبتها ومراجعتها بشكل دوري. راجع اطار (اطر) عمل البنك المركزي الاخري الدليل التنظيمي لامن المعلومات في القطاع المالي - 1.1.3 حوكمه الامن السيبراني - 3.1.3 سياسه الامن السيبراني - 1.2.3 اداره مخاطر الامن السيبراني يجب علي المؤسسات الماليه وضع هيكلا قويا لحوكمه الامن السيبراني مدعوما بالموارد المناسبه للاشراف علي النهج العام للامن السيبراني والتحكم فيه. يجب علي المؤسسه الماليه تحديد واعتماد وتطبيق ونشر سياسات واجراءات الامن السيبراني مدعومه بمعايير امنيه مفصله (مثل معايير كلمه المرور، ومعايير جدار الحمايه). يجب علي المؤسسه الماليه مراجعه وتحديث سياسات واجراءات ومعايير الامن السيبراني بشكل دوري مع الاخذ بعين الاعتبار التطورات في التهديدات السيبرانيه. يجب علي المؤسسه الماليه دمج متطلبات الامن السيبراني ضمن النموذج التشغيلي لاعمالها الجديد و/او القايم، وان تشمل المتطلبات ما يلي: ا. تقييم مخاطر الامن السيبراني والاحتيال التي قد تنطبق علي النموذج التشغيلي لاعمالها؛ ب. اعتماد وتقييم تدابير الامن السيبراني للحمايه من الهجمات (مثل سرقه النماذج، والمدخلات الضاره، وتسميم البيانات) يجب علي المؤسسه الماليه وضع وتطبيق سياسه قويه لكلمات المرور الخاصه بوصول المستخدمين الي اصولها المعلوماتيه، بما يشمل: ا. تغيير كلمه المرور عند تسجيل الدخول لاول مره، والحد الادني لطول كلمه المرور وتاريخها ومستوي تعقيدها؛ ب. حجب الوصول بعد ثلاثه محاولات متتاليه بكلمات مرور غير صحيحه؛ و ج. استخدام تقنيات منع التخزين المؤقت. 6.1.3 يجب علي المؤسسه الماليه اجراء تقييمات شامله لمخاطر تقنيه المعلومات والامن السيبراني متضمنه (البني التحتيه، والشبكه، والتطبيقات، والانظمه) والضوابط المطبقه لمعالجه المخاطر المحدده. ويجب توثيق المخاطر التي تم تحديدها في سجل مركزي ومراقبتها ومراجعتها بشكل دوري. راجع اطار (اطر) عمل البنك المركزي الاخري الدليل التنظيمي لامن المعلومات في القطاع المالي - 1.1.3 حوكمه الامن السيبراني - 3.1.3 سياسه الامن السيبراني - 1.2.3 اداره مخاطر الامن السيبراني معرف التحكم | وصف متطلبات التحكم 1.2.3 | يجب علي المؤسسه الماليه وضع اجراءات اداره هويات الدخول والصلاحيات لتنظيم عمليات الوصول المنطقي الي الاصول المعلوماتيه وفق مبدي الحاجه. 2.2.3 | يجب علي المؤسسه الماليه وضع اجراءات اداره التغيير لضمان تصنيف التغييرات علي اصولها المعلوماتيه واختبارها واعتمادها قبل تطبيقها في بييات الانتاج. وان تتضمن اجراءات اداره التغيير متطلبات الامن السيبراني للتحكم في التغييرات علي الاصول المعلوماتيه. 3.2.3. | يجب علي المؤسسه الماليه اعداد والمحافظه علي بنيه شبكه امنه مع مراعاه ما يلي: | ا. | تجزيه الشبكات، وفقا لوظايف الخدمات، واعتماد نظم امن الشبكه (مثل جدران الحمايه) للتحكم في حركه المرور بين اجزاءالشبكه؛و | ب. | التوفر. 4.2.3 | يجب علي المؤسسات الماليه اعتماد خوارزميات تشفير امنه وقويه، والتاكد من تشفير اتصالات التطبيق والخادم باستخدام بروتوكولات امنه. 5.2.3 | يجب علي المؤسسه الماليه اجراء تقييمات دوريه وشامله للثغرات الامنيه وان تغطي كلا من التطبيقات والبني التحتيه في البييه التقنيه للمؤسسه الماليه. 6.2.3 | يجب علي المؤسسه الماليه اجراء اختبار الاختراق مرتين في السنه كحد ادني او بعد حدوث تغيير كبير/حساس لتقييم قدارتها الدفاعيه في مجال الامن السيبراني بشكل شامل. 7.2.3 | يجب علي المؤسسه الماليه التاكد من اختبار حزم التحديثات والاصلاحات الامنيه الحديثه للتطبيقات والبني التحتيه، وتثبيتها في الوقت المناسب لتجنب مخاطر الاختراقات الامنيه بسبب الثغرات الامنيه. 8.2.3 | يجب علي المؤسسه الماليه تطبيق تقنيات الحمايه اثناء تصميم تطبيقاتها (علي سبيل المثال لا الحصر تشويش الكود البرمجي، وتشفير الصندوق الابيض، ومكافحه التلاعب بالكود البرمجي)، بالاضافه الي اجراءات دوره حياه تطوير البرمجيات الامنه (المشار اليها باسم "SSDLC"). 9.2.3 | يجب علي المؤسسه الماليه تطبيق ضوابط فعاله لحمايه هويتها المؤسسيه (Brand Protection) من خلال المراقبه والرصد المستمر للخدمات عبر الانترنت مثل التطبيقات، وحسابات وسايل التواصل الاجتماعي، والمواقع الالكترونيه وازاله الانشطه الضاره بشكل استباقي. 10.2.3 | يجب علي المؤسسه الماليه ضمان امن الاجهزه الطرفيه (الشخصيه في حال السماح بها، والخاصه بالمؤسسه) من خلال تطبيق الحد الادني من متطلبات الامن السيبراني، علي سبيل المثال لا الحصر: | ا. | الحمايه في الوقت الفعلي للاجهزه الطرفيه (مثل حلول مكافحه الفيروسات والبرامج الضاره)؛ | ب. | تطبيق الحلول الامنيه القايمه علي تقييم السلوك و/او التواقيع؛ | ج. | التاكد من تحديث تواقيع مكافحه البرمجيات الضاره وفحص الانظمه بانتظام للبحث عن الملفات الضاره او الانشطه غير الاعتياديه؛ و | د. | في حاله الاجهزه المحموله: | | 1. | فصل وتشفير بيانات المؤسسه الماليه؛ و | | 2. | المسح الامن لبيانات المؤسسه الماليه المخزنه في حال فقدان الجهاز او سرقته او ايقاف تشغيله بما يتماشي مع اجراءات التخلص الامن من الاصول المعلوماتيه. 11.2.3 | يجب علي المؤسسه الماليه وضع وتطبيق اجراءات لجمع سجلات المراقبه الامنيه ومعالجتها ومراجعتها والاحتفاظ بها لتمكين عمليه المراقبه الامنيه المستمره. وان تتضمن السجلات التفاصيل الكافيه والاحتفاظ بها بطريقه امنه لمده سنه واحده كحد ادني. 12.2.3 | يجب علي المؤسسه الماليه التاكد من دمج مكونات التطبيقات والبني التحتيه مع حلول اداره سجل الاحداث والمعلومات الامنيه (SIEM). 13.2.3 | يجب علي المؤسسه الماليه ضمان المراقبه الامنيه والتحليل المستمره لاحداث الامن السيبراني للكشف عن حوادث الامن السيبراني والاستجابه لها علي الفور. 14.2.3 | يجب علي المؤسسه الماليه تطوير اجراءات اداره حوادث الامن السيبراني بما يمكن تحديد حوادث الامن السيبراني التي تؤثر علي اصولها المعلوماتيه والاستجابه لها واحتوايها في الوقت المناسب. 15.2.3 | يجب علي المؤسسه الماليه تطبيق اعدادات مهله الجلسه وفق اطار زمني معقول؛ علي ان لا تتجاوز الجلسات غير النشطه للتطبيقات والبني التحتيه 5 دقايق. 16.2.3 | يجب علي المؤسسه الماليه ابلاغ البنك المركزي السعودي عبر البريد الالكتروني ( F.S.Cybersecurity@SAMA.GOV.SA ) فورا في حال وقوع اي من الحوادث التاليه وبتصنيف متوسط او اعلي: | ا. | الامن السيبراني؛ | ب. | الاحتيال؛ | ج. | كافه الاحداث المعطله. راجع اطار (اطر) عمل البنك المركزي الاخري الدليل التنظيمي لامن المعلومات في القطاع المالي - 5.3.3 اداره الهويه والوصول - 6.3.3 امن التطبيقات - 7.3.3 اداره التغيير | - 8.3.3 امن البنيه التحتيه - 9.3.3 التشفير - 13.3.3 الخدمات المصرفيه الالكترونيه | - 3.3.14 اداره احداث الامن السيبراني - 15.3.3 اداره حوادث الامن السيبراني - 17.3.3 اداره الثغرات الامنيه معرف التحكم 1.2.3 يجب علي المؤسسه الماليه وضع اجراءات اداره هويات الدخول والصلاحيات لتنظيم عمليات الوصول المنطقي الي الاصول المعلوماتيه وفق مبدي الحاجه. 2.2.3 يجب علي المؤسسه الماليه وضع اجراءات اداره التغيير لضمان تصنيف التغييرات علي اصولها المعلوماتيه واختبارها واعتمادها قبل تطبيقها في بييات الانتاج. وان تتضمن اجراءات اداره التغيير متطلبات الامن السيبراني للتحكم في التغييرات علي الاصول المعلوماتيه. 3.2.3. يجب علي المؤسسه الماليه اعداد والمحافظه علي بنيه شبكه امنه مع مراعاه ما يلي: ا. تجزيه الشبكات، وفقا لوظايف الخدمات، واعتماد نظم امن الشبكه (مثل جدران الحمايه) للتحكم في حركه المرور بين اجزاءالشبكه؛و ب. التوفر. 4.2.3 يجب علي المؤسسات الماليه اعتماد خوارزميات تشفير امنه وقويه، والتاكد من تشفير اتصالات التطبيق والخادم باستخدام بروتوكولات امنه. 5.2.3 يجب علي المؤسسه الماليه اجراء تقييمات دوريه وشامله للثغرات الامنيه وان تغطي كلا من التطبيقات والبني التحتيه في البييه التقنيه للمؤسسه الماليه. 6.2.3 يجب علي المؤسسه الماليه اجراء اختبار الاختراق مرتين في السنه كحد ادني او بعد حدوث تغيير كبير/حساس لتقييم قدارتها الدفاعيه في مجال الامن السيبراني بشكل شامل. 7.2.3 يجب علي المؤسسه الماليه التاكد من اختبار حزم التحديثات والاصلاحات الامنيه الحديثه للتطبيقات والبني التحتيه، وتثبيتها في الوقت المناسب لتجنب مخاطر الاختراقات الامنيه بسبب الثغرات الامنيه. 8.2.3 يجب علي المؤسسه الماليه تطبيق تقنيات الحمايه اثناء تصميم تطبيقاتها (علي سبيل المثال لا الحصر تشويش الكود البرمجي، وتشفير الصندوق الابيض، ومكافحه التلاعب بالكود البرمجي)، بالاضافه الي اجراءات دوره حياه تطوير البرمجيات الامنه (المشار اليها باسم "SSDLC"). 9.2.3 يجب علي المؤسسه الماليه تطبيق ضوابط فعاله لحمايه هويتها المؤسسيه (Brand Protection) من خلال المراقبه والرصد المستمر للخدمات عبر الانترنت مثل التطبيقات، وحسابات وسايل التواصل الاجتماعي، والمواقع الالكترونيه وازاله الانشطه الضاره بشكل استباقي. 10.2.3 يجب علي المؤسسه الماليه ضمان امن الاجهزه الطرفيه (الشخصيه في حال السماح بها، والخاصه بالمؤسسه) من خلال تطبيق الحد الادني من متطلبات الامن السيبراني، علي سبيل المثال لا الحصر: الحمايه في الوقت الفعلي للاجهزه الطرفيه (مثل حلول مكافحه الفيروسات والبرامج الضاره)؛ تطبيق الحلول الامنيه القايمه علي تقييم السلوك و/او التواقيع؛ التاكد من تحديث تواقيع مكافحه البرمجيات الضاره وفحص الانظمه بانتظام للبحث عن الملفات الضاره او الانشطه غير الاعتياديه؛ و 11.2.3 يجب علي المؤسسه الماليه وضع وتطبيق اجراءات لجمع سجلات المراقبه الامنيه ومعالجتها ومراجعتها والاحتفاظ بها لتمكين عمليه المراقبه الامنيه المستمره. وان تتضمن السجلات التفاصيل الكافيه والاحتفاظ بها بطريقه امنه لمده سنه واحده كحد ادني. 12.2.3 يجب علي المؤسسه الماليه التاكد من دمج مكونات التطبيقات والبني التحتيه مع حلول اداره سجل الاحداث والمعلومات الامنيه (SIEM). 13.2.3 يجب علي المؤسسه الماليه ضمان المراقبه الامنيه والتحليل المستمره لاحداث الامن السيبراني للكشف عن حوادث الامن السيبراني والاستجابه لها علي الفور. 14.2.3 يجب علي المؤسسه الماليه تطوير اجراءات اداره حوادث الامن السيبراني بما يمكن تحديد حوادث الامن السيبراني التي تؤثر علي اصولها المعلوماتيه والاستجابه لها واحتوايها في الوقت المناسب. 15.2.3 يجب علي المؤسسه الماليه تطبيق اعدادات مهله الجلسه وفق اطار زمني معقول؛ علي ان لا تتجاوز الجلسات غير النشطه للتطبيقات والبني التحتيه 5 دقايق. 16.2.3 يجب علي المؤسسه الماليه ابلاغ البنك المركزي السعودي عبر البريد الالكتروني ( F.S.Cybersecurity@SAMA.GOV.SA ) فورا في حال وقوع اي من الحوادث التاليه وبتصنيف متوسط او اعلي: ا. الامن السيبراني؛ ب. الاحتيال؛ ج. كافه الاحداث المعطله. راجع اطار (اطر) عمل البنك المركزي الاخري الدليل التنظيمي لامن المعلومات في القطاع المالي - 5.3.3 اداره الهويه والوصول - 6.3.3 امن التطبيقات - 7.3.3 اداره التغيير - 8.3.3 امن البنيه التحتيه - 9.3.3 التشفير - 13.3.3 الخدمات المصرفيه الالكترونيه - 3.3.14 اداره احداث الامن السيبراني - 15.3.3 اداره حوادث الامن السيبراني - 17.3.3 اداره الثغرات الامنيه معرف الضابط | وصف متطلبات الضابط 1.3.3 | يجب علي المؤسسه الماليه تحديد واعتماد ونشر خطط استمراريه الاعمال (BCP) والتعافي من الكوارث (DRP) وتطبيقها، ومراجعتها بشكل دوري بما يمكنها من مواصله تقديم خدماتها الحساسه، وفق مستوي مقبول ومحدد مسبقا. 3.3.2. | يجب علي المؤسسه الماليه تحديد وتطبيق متطلبات النسخ الاحتياطي والاستعاده الخاصه بها مع مراعاه ما يلي، علي سبيل المثال لا الحصر: | ا. | المتطلبات القانونيه والتنظيميه؛ | ب. | البيانات الحساسه وبيانات العملاء؛ | ج. | متطلبات الاعمال؛ | د. | الجدول الزمني للنسخ الاحتياطي (يوميا، اسبوعيا، شهريا، الخ)؛ | ه. | تطبيق تقنيات التشفير لحمايه البيانات السريه المخزنه في وسايط النسخ الاحتياطي؛ | و. | تخزين وسايط النسخ الاحتياطي دون الاتصال او خارج الموقع الاساسي؛ | ز. | الاتلاف الامن لبيانات النسخ الاحتياطي. | ح. | اختبارات الاستعاده. راجع اطار (اطر) عمل البنك المركزي الاخري اطار عمل اداره استمراريه الاعمال - 5.2 خطه استمراريه الاعمال - 2.6 خطه التعافي من كوارث تقنيه المعلومات (DRP) - 7.2 المرونه السيبرانيه معرف الضابط 1.3.3 يجب علي المؤسسه الماليه تحديد واعتماد ونشر خطط استمراريه الاعمال (BCP) والتعافي من الكوارث (DRP) وتطبيقها، ومراجعتها بشكل دوري بما يمكنها من مواصله تقديم خدماتها الحساسه، وفق مستوي مقبول ومحدد مسبقا. 3.3.2. يجب علي المؤسسه الماليه تحديد وتطبيق متطلبات النسخ الاحتياطي والاستعاده الخاصه بها مع مراعاه ما يلي، علي سبيل المثال لا الحصر: ا. المتطلبات القانونيه والتنظيميه؛ ب. البيانات الحساسه وبيانات العملاء؛ ج. متطلبات الاعمال؛ د. الجدول الزمني للنسخ الاحتياطي (يوميا، اسبوعيا، شهريا، الخ)؛ ه. تطبيق تقنيات التشفير لحمايه البيانات السريه المخزنه في وسايط النسخ الاحتياطي؛ و. تخزين وسايط النسخ الاحتياطي دون الاتصال او خارج الموقع الاساسي؛ ز. الاتلاف الامن لبيانات النسخ الاحتياطي. ح. اختبارات الاستعاده. راجع اطار (اطر) عمل البنك المركزي الاخري اطار عمل اداره استمراريه الاعمال - 5.2 خطه استمراريه الاعمال - 2.6 خطه التعافي من كوارث تقنيه المعلومات (DRP) - 7.2 المرونه السيبرانيه المده | الوصف اداره الوصول | اداره الوصول تعرف علي انها عمليه منح المستخدمين المصرح لهم الحق في استخدام الخدمه، مع منع الوصول من جانب المستخدمين غير المصرح لهم. التدقيق | المراجعه والفحص المستقل للسجلات والانشطه لتقييم مدي كفايه ضوابط النظام، لضمان الامتثال للسياسات والاجراءات التشغيليه المعمول بها. المصدر: NISTIR 7298r3 قايمه مصطلحات امن المعلومات الاساسيه التوفر | ضمان الوصول الي المعلومات واستخدامها في الوقت المناسب وبشكل موثوق. المصدر: NISTIR 7298r3 قايمهمصطلحات امن المعلومات الاساسيه النسخه الاحتياطيه | الملفات والاجهزه والبيانات والاجراءات المتاحه للاستخدام في حاله الفشل او الفقدان، او في حاله حذف او تعليق نسخها الاصليه. استمراريه الاعمال | قدره المؤسسه علي مواصله تقديم خدمات تقنيه المعلومات والاعمال بمستويات مقبوله محدده مسبقا بعد وقوع حادث تخريبي. المصدر: ISO 22301:2012 الامن المجتمعي - انظمه اداره استمراريه الاعمال اداره استمراريه الاعمال | عمليه الاداره الشامله التي تحدد التهديدات المحتمله للمؤسسه والتاثيرات التي قد تسببها تلك التهديدات علي العمليات التجاريه، في حال تحققها، والتي توفر المتطلبات الاساسيه لبناء الصمود المؤسسي مع القدره علي الاستجابه الفعاله التي تحمي مصالح اصحاب المصلحه الرييسيين وسمعتها وعلامتها التجاريه وانشطتها التي تخلق القيمه. المصدر: ISO 22301:2012 – انظمه اداره استمراريه الاعمال – المتطلبات اداره التغيير | التحديد والتنفيذ المحكم للتغييرات المطلوبه داخل الاعمال او نظم المعلومات. التشفير | مجال يشتمل علي مبادي ووسايل واساليب تحويل البيانات من اجل اخفاء محتواها الدلالي او منع الاستخدام غير المصرح به او اكتشاف التعديل عليها. المصدر: NISTIR 7298r3 قايمه مصطلحات امن المعلومات الاساسيه المخاطر السيبرانيه | خطر الخساره الماليه او التعطل التشغيلي او الضرر الناتج عن فشل التقنيات الرقميه المستخدمه للوظايف المعلوماتيه و/او التشغيليه والتي يتم ادخالها الي نظام التصنيع عبر وسايل الكترونيه نتيجه الوصول غير المصرح به او الاستخدام او الافصاح او التعطيل او التعديل او التدمير لنظام التصنيع. المصدر: NISTIR 7298r3 قايمه مصطلحات امن المعلومات الاساسيه. الامن السيبراني | يعرف الامن السيبراني بانه مجموعه من الادوات والسياسات والمفاهيم الامنيه والضمانات الامنيه والمبادي التوجيهيه ونهج اداره المخاطر والاجراءات والتدريب والممارسات الفضلي والضمانات والتقنيات التي يمكن استخدامها لحمايه اصول معلومات المؤسسات من التهديدات الداخليه والخارجيه. حدث الامن السيبراني | اي حدث يمكن ملاحظته في نظام او شبكه معلومات يؤدي او قد يؤدي الي وصول غير مصرح به او معالجه او افساد او تعديل او نقل او افشاء للبيانات و/او المعلومات او (ب) انتهاك لسياسه امنيه صريحه او مطبقه للمؤسسه. حوكمه الامن السيبراني | مجموعه من المسؤوليات والممارسات التي يمارسها مجلس الاداره بهدف توفير التوجيه الاستراتيجي للامن السيبراني، وضمان تحقيق اهداف الامن السيبراني، والتاكد من اداره المخاطر السيبرانيه بشكل مناسب والتحقق من استخدام موارد المؤسسه بشكل مسؤول. حادث الامن السيبراني | اي حدث (1) يعرض للخطر الفعلي او الوشيك سلامه او سريه او توافر المعلومات او نظام المعلومات للخطر دون سلطه قانونيه؛ او (2) يشكل انتهاكا او تهديدا وشيكا بانتهاك القانون او السياسات الامنيه او الاجراءات الامنيه او سياسات الاستخدام المقبول. المصدر: NISTIR 7298r3 قايمه مصطلحات امن المعلومات الاساسيه اداره حوادث الامن السيبراني | رصد واكتشاف الاحداث الامنيه علي نظام المعلومات وتنفيذ الاستجابات المناسبه لتلك الاحداث. سياسه الامن السيبراني | مجموعه من القواعد التي تحكم جميع جوانب سلوك النظام وعناصر النظام ذات الصله بالامان. ملاحظه 1: تشمل عناصر النظام العناصر التقنيه والاليه والبشريه. ملاحظه 2: يمكن ذكر القواعد علي مستويات عاليه جدا (علي سبيل المثال، سياسه مؤسسيه تحدد السلوك المقبول للموظفين في اداء مهامهم/وظايف العمل) او علي مستويات منخفضه جدا (علي سبيل المثال، سياسه نظام التشغيل التي تحدد السلوك المقبول للعمليات التنفيذيه واستخدام الموارد من قبل تلك العمليات) المصدر: NISTIR 7298r3 قايمهمصطلحات امن المعلومات الاساسيه تقييم مخاطر الامن السيبراني | عمليه تحديد المخاطر التي تتعرض لها العمليات المؤسسيه (بما في ذلك المهمه والوظايف والصوره والسمعه) والاصول المؤسسيه والافراد والمؤسسات الاخري والامه، الناتجه عن تشغيل نظام المعلومات. ويتضمن جزء من اداره المخاطر تحليلات للتهديدات والثغرات الامنيه، وياخذ في الاعتبار وسايل التخفيف التي توفرها الضوابط الامنيه المخطط لها او الموجوده بالفعل المصدر: NISTIR 7298r3 قايمهمصطلحات امن المعلومات الاساسيه اداره مخاطر الامن السيبراني | عمليه اداره المخاطر التي تتعرض لها العمليات المؤسسيه (بما في ذلك المهمه او الوظايف او الصوره او السمعه) او الاصول المؤسسيه او الافراد الناتجه عن تشغيل نظام المعلومات، وتشمل: (1) اجراء تقييم المخاطر؛ (2) تطبيق استراتيجيه تخفيف المخاطر؛ و (3) استخدام التقنيات والاجراءات للمراقبه المستمره للحاله الامنيه لنظام المعلومات. المصدر: NISTIR 7298r3 قايمه مصطلحات امن المعلومات الاساسيه استراتيجيه الامن السيبراني | خطه رفيعه المستوي، تتالف من مشاريع ومبادرات للتخفيف من مخاطر الامن السيبراني مع الامتثال للمتطلبات القانونيه والتشريعيه والتعاقديه والداخليه المقرره. تهديد الامن السيبراني | اي ظرف او حدث يحتمل ان يؤثر سلبا علي العمليات المؤسسيه (بما في ذلك المهمه او الوظايف او الصوره او السمعه) او الاصول المؤسسيه او الافراد او المؤسسات الاخري او الامه من خلال نظام معلومات عن طريق الوصول غير المصرح به للمعلومات او تدميرها او الكشف عنها او تعديلها و/او الحرمان من الخدمه. المصدر: NISTIR 7298r3 قايمه مصطلحات امن المعلومات الاساسيه خطه التعافي من الكوارث | البرامج والانشطه والخطط المصممه لاستعاده وظايف وخدمات الاعمال الحيويه للمؤسسات الي وضع مقبول، بعد التعرض للحوادث السيبرانيه وحوادث تقنيه المعلومات او تعطل هذه الخدمات. رييس الامن السيبراني | يمكن ان يشير رييس الامن السيبراني الي رييس امن المعلومات او الرييس التنفيذي لامن المعلومات او اي لقب اخر يطلق علي المدير الاعلي المسؤول عن وظيفه وعمليات الامن السيبراني. خطه بديله | اجراءات وتدابير العمل، التي يتم اتخاذها عندما تؤدي الاحداث الي تنفيذ خطه استمراريه الاعمال او خطه الطواري. موثقه رسميا | الوثايق التي يتم كتابتها والموافقه عليها من قبل القياده العليا ونشرها علي الاطراف المعنيه. اداره الهويه | عمليه التحكم في المعلومات المتعلقه بالمستخدمين علي اجهزه الكمبيوتر، بما في ذلك كيفيه مصادقتهم والانظمه المصرح لهم بالوصول اليها و/او الاجراءات المصرح لهم بتنفيذها. كما تتضمن ايضا اداره المعلومات الوصفيه عن المستخدم وكيفيه الوصول الي تلك المعلومات وتعديلها ومن قبل الذين يمكنهم الوصول اليها وتعديلها. وتتضمن المؤسسات المداره عاده المستخدمين وموارد الاجهزه والشبكه وحتي التطبيقات. خطه التعافي من الكوارث | يعد التعافي من الكوارث جزءا من اداره استمراريه الاعمال التي تشمل السياسات والمعايير والاجراءات والعمليات المتعلقه بمرونه او تعافي او استمرار البنيه التحتيه التقنيه التي تدعم عمليات الاعمال الحيويه. تغيير كبير | اي تغيير في تكوين النظام او البييه او محتوي المعلومات او الوظيفه او المستخدمين الذين لديه القدره علي تغيير المخاطر المفروضه علي عملياته المستمره. المصدر: NISTIR 7298r2 قايمه مصطلحات امن المعلومات الاساسيه يتم ايضا تضمين التغييرات الحيويه في مفهوم التغييرات الكبيره. البرمجيات الخبيثه | البرمجيات او البرامج الثابته التي تهدف الي تنفيذ عمليه غير مصرح بها من شانها ان تؤثر سلبا علي سريه نظام المعلومات او سلامته او توافره. فيروس او فيروس متنقل او حصان طرواده او اي كيان اخر قايم علي التعليمات البرمجيه يصيب المضيف. تعد برامج التجسس وبعض اشكال برامج الاعلانات المتسلله ايضا امثله علي التعليمات البرمجيه الضاره. المصدر: NISTIR 7298r3 قايمه مصطلحات امن المعلومات الاساسيه اختبار الاختراق | منهجيه اختبار يحاول فيها المقيمون، باستخدام جميع الوثايق المتاحه (علي سبيل المثال، تصميم النظام، التعليمات البرمجيه المصدريه، الكتيبات الارشاديه) والعمل تحت قيود محدده، التحايل علي ميزات الامان في نظام المعلومات. المصدر: NISTIR 7298r3 قايمه مصطلحات امن المعلومات الاساسيه دوريا | بهذا المصطلح، لا ينوي البنك المركزي تحديد فتره زمنيه افتراضيه. وتتحمل كل جهه مسؤوليه تحديد هذه الفتره بناء علي نهجها القايم علي المخاطر. ويمكن ترجمه نفس المصطلح المعتمد في متطلبات التحكم المختلفه الي فترات زمنيه مختلفه بواسطه المؤسسه الماليه. التعافي | اجراء او عمليه لاستعاده او التحكم في شيء تم تعليقه او تلفه او سرقته او فقده. المرونه | القدره علي الاستمرار في: (1) العمل في ظل ظروف او ضغوط معاكسه، حتي وان كان الوضع متردي ومتدهور، مع الحفاظ علي القدرات التشغيليه الاساسيه؛ و (2) التعافي الي وضع تشغيلي فعال في اطار زمني يتفق مع احتياجات المهمه. المخاطره | مقياس لمدي تعرض المؤسسه للتهديد بسبب ظرف او حدث محتمل، وعاده ما تنتج عن: (1) الاثار السلبيه التي قد تنشا في حاله حدوث الظروف او الحدث؛ و (2) احتماليه الحدوث. المصدر: NISTIR 7298r3 قايمه مصطلحات امن المعلومات الاساسيه سجل المخاطر | سجل المخاطر جدول يستخدم كمستودع لجميع المخاطر التي تم تحديدها ويتضمن معلومات اضافيه حول كل خطر، مثل فيه المخاطر، ومالك المخاطر، واجراءات التخفيف المتخذه. تقنيه التدريع | التدريع" عمليه تشويش علي التعليمات البرمجيه الثناييه للتطبيق، مما يجعل من الصعب علي المخترقين ان يقوموا بهندسه عكسيه. استراتيجيه | راجع "استراتيجيه الامن السيبراني". اداره المعلومات الامنيه والاحداث | اداه اداره المعلومات الامنيه والاحداث تطبيق يوفر القدره علي جمع بيانات الامان من مكونات نظام المعلومات وتقديم تلك البيانات كمعلومات قابله للتنفيذ عبر واجهه واحده. المصدر: NISTIR 7298r3 قايمه مصطلحات امن المعلومات الاساسيه دوره حياه تطوير النظام | تصف دوره حياه تطوير النظام نطاق الانشطه المرتبطه بالنظام، والتي تشمل بدء النظام وتطويره واقتناءه وتنفيذه وتشغيله وصيانته، وفي النهايه التخلص منه مما يؤدي الي بدء نظام اخر. المصدر: NISTIR 7298r3 قايمه مصطلحات امن المعلومات الاساسيه تهديد | راجع "تهديد الامن السيبراني". مشهد التهديد | مجموعه من التهديدات في مجال او سياق معين، مع معلومات حول الاصول المعرضه للخطر والتهديدات والمخاطر وجهات التهديد والاتجاهات المرصوده. المصدر: ENISA الثغره الامنيه | نقطه الضعف في نظام المعلومات او اجراءات امن النظام او الضوابط الداخليه او التنفيذ التي يمكن استغلالها او تشغيلها من قبل مصدر تهديد. المصدر: NISTIR 7298r3 قايمه مصطلحات امن المعلومات الاساسيه اداره الثغرات الامنيه | اداره الثغرات الامنيه ممارسه دوريه لتحديد الثغرات الامنيه وتصنيفها ومعالجتها والتخفيف من اثارها. راجع ايضا "الثغرات الامنيه". المده اداره الوصول اداره الوصول تعرف علي انها عمليه منح المستخدمين المصرح لهم الحق في استخدام الخدمه، مع منع الوصول من جانب المستخدمين غير المصرح لهم. التدقيق المراجعه والفحص المستقل للسجلات والانشطه لتقييم مدي كفايه ضوابط النظام، لضمان الامتثال للسياسات والاجراءات التشغيليه المعمول بها. المصدر: NISTIR 7298r3 قايمه مصطلحات امن المعلومات الاساسيه التوفر ضمان الوصول الي المعلومات واستخدامها في الوقت المناسب وبشكل موثوق. المصدر: NISTIR 7298r3 قايمهمصطلحات امن المعلومات الاساسيه النسخه الاحتياطيه الملفات والاجهزه والبيانات والاجراءات المتاحه للاستخدام في حاله الفشل او الفقدان، او في حاله حذف او تعليق نسخها الاصليه. استمراريه الاعمال قدره المؤسسه علي مواصله تقديم خدمات تقنيه المعلومات والاعمال بمستويات مقبوله محدده مسبقا بعد وقوع حادث تخريبي. المصدر: ISO 22301:2012 الامن المجتمعي - انظمه اداره استمراريه الاعمال اداره استمراريه الاعمال عمليه الاداره الشامله التي تحدد التهديدات المحتمله للمؤسسه والتاثيرات التي قد تسببها تلك التهديدات علي العمليات التجاريه، في حال تحققها، والتي توفر المتطلبات الاساسيه لبناء الصمود المؤسسي مع القدره علي الاستجابه الفعاله التي تحمي مصالح اصحاب المصلحه الرييسيين وسمعتها وعلامتها التجاريه وانشطتها التي تخلق القيمه. المصدر: ISO 22301:2012 – انظمه اداره استمراريه الاعمال – المتطلبات اداره التغيير التحديد والتنفيذ المحكم للتغييرات المطلوبه داخل الاعمال او نظم المعلومات. التشفير مجال يشتمل علي مبادي ووسايل واساليب تحويل البيانات من اجل اخفاء محتواها الدلالي او منع الاستخدام غير المصرح به او اكتشاف التعديل عليها. المصدر: NISTIR 7298r3 قايمه مصطلحات امن المعلومات الاساسيه المخاطر السيبرانيه خطر الخساره الماليه او التعطل التشغيلي او الضرر الناتج عن فشل التقنيات الرقميه المستخدمه للوظايف المعلوماتيه و/او التشغيليه والتي يتم ادخالها الي نظام التصنيع عبر وسايل الكترونيه نتيجه الوصول غير المصرح به او الاستخدام او الافصاح او التعطيل او التعديل او التدمير لنظام التصنيع. المصدر: NISTIR 7298r3 قايمه مصطلحات امن المعلومات الاساسيه. الامن السيبراني يعرف الامن السيبراني بانه مجموعه من الادوات والسياسات والمفاهيم الامنيه والضمانات الامنيه والمبادي التوجيهيه ونهج اداره المخاطر والاجراءات والتدريب والممارسات الفضلي والضمانات والتقنيات التي يمكن استخدامها لحمايه اصول معلومات المؤسسات من التهديدات الداخليه والخارجيه. حدث الامن السيبراني اي حدث يمكن ملاحظته في نظام او شبكه معلومات يؤدي او قد يؤدي الي وصول غير مصرح به او معالجه او افساد او تعديل او نقل او افشاء للبيانات و/او المعلومات او (ب) انتهاك لسياسه امنيه صريحه او مطبقه للمؤسسه. حوكمه الامن السيبراني مجموعه من المسؤوليات والممارسات التي يمارسها مجلس الاداره بهدف توفير التوجيه الاستراتيجي للامن السيبراني، وضمان تحقيق اهداف الامن السيبراني، والتاكد من اداره المخاطر السيبرانيه بشكل مناسب والتحقق من استخدام موارد المؤسسه بشكل مسؤول. حادث الامن السيبراني اي حدث (1) يعرض للخطر الفعلي او الوشيك سلامه او سريه او توافر المعلومات او نظام المعلومات للخطر دون سلطه قانونيه؛ او (2) يشكل انتهاكا او تهديدا وشيكا بانتهاك القانون او السياسات الامنيه او الاجراءات الامنيه او سياسات الاستخدام المقبول. المصدر: NISTIR 7298r3 قايمه مصطلحات امن المعلومات الاساسيه اداره حوادث الامن السيبراني رصد واكتشاف الاحداث الامنيه علي نظام المعلومات وتنفيذ الاستجابات المناسبه لتلك الاحداث. سياسه الامن السيبراني مجموعه من القواعد التي تحكم جميع جوانب سلوك النظام وعناصر النظام ذات الصله بالامان. ملاحظه 1: تشمل عناصر النظام العناصر التقنيه والاليه والبشريه. ملاحظه 2: يمكن ذكر القواعد علي مستويات عاليه جدا (علي سبيل المثال، سياسه مؤسسيه تحدد السلوك المقبول للموظفين في اداء مهامهم/وظايف العمل) او علي مستويات منخفضه جدا (علي سبيل المثال، سياسه نظام التشغيل التي تحدد السلوك المقبول للعمليات التنفيذيه واستخدام الموارد من قبل تلك العمليات) المصدر: NISTIR 7298r3 قايمهمصطلحات امن المعلومات الاساسيه تقييم مخاطر الامن السيبراني عمليه تحديد المخاطر التي تتعرض لها العمليات المؤسسيه (بما في ذلك المهمه والوظايف والصوره والسمعه) والاصول المؤسسيه والافراد والمؤسسات الاخري والامه، الناتجه عن تشغيل نظام المعلومات. ويتضمن جزء من اداره المخاطر تحليلات للتهديدات والثغرات الامنيه، وياخذ في الاعتبار وسايل التخفيف التي توفرها الضوابط الامنيه المخطط لها او الموجوده بالفعل المصدر: NISTIR 7298r3 قايمهمصطلحات امن المعلومات الاساسيه اداره مخاطر الامن السيبراني عمليه اداره المخاطر التي تتعرض لها العمليات المؤسسيه (بما في ذلك المهمه او الوظايف او الصوره او السمعه) او الاصول المؤسسيه او الافراد الناتجه عن تشغيل نظام المعلومات، وتشمل: (1) اجراء تقييم المخاطر؛ (2) تطبيق استراتيجيه تخفيف المخاطر؛ و (3) استخدام التقنيات والاجراءات للمراقبه المستمره للحاله الامنيه لنظام المعلومات. المصدر: NISTIR 7298r3 قايمه مصطلحات امن المعلومات الاساسيه استراتيجيه الامن السيبراني خطه رفيعه المستوي، تتالف من مشاريع ومبادرات للتخفيف من مخاطر الامن السيبراني مع الامتثال للمتطلبات القانونيه والتشريعيه والتعاقديه والداخليه المقرره. تهديد الامن السيبراني اي ظرف او حدث يحتمل ان يؤثر سلبا علي العمليات المؤسسيه (بما في ذلك المهمه او الوظايف او الصوره او السمعه) او الاصول المؤسسيه او الافراد او المؤسسات الاخري او الامه من خلال نظام معلومات عن طريق الوصول غير المصرح به للمعلومات او تدميرها او الكشف عنها او تعديلها و/او الحرمان من الخدمه. المصدر: NISTIR 7298r3 قايمه مصطلحات امن المعلومات الاساسيه خطه التعافي من الكوارث البرامج والانشطه والخطط المصممه لاستعاده وظايف وخدمات الاعمال الحيويه للمؤسسات الي وضع مقبول، بعد التعرض للحوادث السيبرانيه وحوادث تقنيه المعلومات او تعطل هذه الخدمات. رييس الامن السيبراني يمكن ان يشير رييس الامن السيبراني الي رييس امن المعلومات او الرييس التنفيذي لامن المعلومات او اي لقب اخر يطلق علي المدير الاعلي المسؤول عن وظيفه وعمليات الامن السيبراني. خطه بديله اجراءات وتدابير العمل، التي يتم اتخاذها عندما تؤدي الاحداث الي تنفيذ خطه استمراريه الاعمال او خطه الطواري. موثقه رسميا الوثايق التي يتم كتابتها والموافقه عليها من قبل القياده العليا ونشرها علي الاطراف المعنيه. اداره الهويه عمليه التحكم في المعلومات المتعلقه بالمستخدمين علي اجهزه الكمبيوتر، بما في ذلك كيفيه مصادقتهم والانظمه المصرح لهم بالوصول اليها و/او الاجراءات المصرح لهم بتنفيذها. كما تتضمن ايضا اداره المعلومات الوصفيه عن المستخدم وكيفيه الوصول الي تلك المعلومات وتعديلها ومن قبل الذين يمكنهم الوصول اليها وتعديلها. وتتضمن المؤسسات المداره عاده المستخدمين وموارد الاجهزه والشبكه وحتي التطبيقات. خطه التعافي من الكوارث يعد التعافي من الكوارث جزءا من اداره استمراريه الاعمال التي تشمل السياسات والمعايير والاجراءات والعمليات المتعلقه بمرونه او تعافي او استمرار البنيه التحتيه التقنيه التي تدعم عمليات الاعمال الحيويه. تغيير كبير اي تغيير في تكوين النظام او البييه او محتوي المعلومات او الوظيفه او المستخدمين الذين لديه القدره علي تغيير المخاطر المفروضه علي عملياته المستمره. المصدر: NISTIR 7298r2 قايمه مصطلحات امن المعلومات الاساسيه يتم ايضا تضمين التغييرات الحيويه في مفهوم التغييرات الكبيره. البرمجيات الخبيثه البرمجيات او البرامج الثابته التي تهدف الي تنفيذ عمليه غير مصرح بها من شانها ان تؤثر سلبا علي سريه نظام المعلومات او سلامته او توافره. فيروس او فيروس متنقل او حصان طرواده او اي كيان اخر قايم علي التعليمات البرمجيه يصيب المضيف. تعد برامج التجسس وبعض اشكال برامج الاعلانات المتسلله ايضا امثله علي التعليمات البرمجيه الضاره. المصدر: NISTIR 7298r3 قايمه مصطلحات امن المعلومات الاساسيه اختبار الاختراق منهجيه اختبار يحاول فيها المقيمون، باستخدام جميع الوثايق المتاحه (علي سبيل المثال، تصميم النظام، التعليمات البرمجيه المصدريه، الكتيبات الارشاديه) والعمل تحت قيود محدده، التحايل علي ميزات الامان في نظام المعلومات. المصدر: NISTIR 7298r3 قايمه مصطلحات امن المعلومات الاساسيه دوريا بهذا المصطلح، لا ينوي البنك المركزي تحديد فتره زمنيه افتراضيه. وتتحمل كل جهه مسؤوليه تحديد هذه الفتره بناء علي نهجها القايم علي المخاطر. ويمكن ترجمه نفس المصطلح المعتمد في متطلبات التحكم المختلفه الي فترات زمنيه مختلفه بواسطه المؤسسه الماليه. التعافي اجراء او عمليه لاستعاده او التحكم في شيء تم تعليقه او تلفه او سرقته او فقده. المرونه القدره علي الاستمرار في: (1) العمل في ظل ظروف او ضغوط معاكسه، حتي وان كان الوضع متردي ومتدهور، مع الحفاظ علي القدرات التشغيليه الاساسيه؛ و (2) التعافي الي وضع تشغيلي فعال في اطار زمني يتفق مع احتياجات المهمه. المخاطره مقياس لمدي تعرض المؤسسه للتهديد بسبب ظرف او حدث محتمل، وعاده ما تنتج عن: (1) الاثار السلبيه التي قد تنشا في حاله حدوث الظروف او الحدث؛ و (2) احتماليه الحدوث. المصدر: NISTIR 7298r3 قايمه مصطلحات امن المعلومات الاساسيه سجل المخاطر سجل المخاطر جدول يستخدم كمستودع لجميع المخاطر التي تم تحديدها ويتضمن معلومات اضافيه حول كل خطر، مثل فيه المخاطر، ومالك المخاطر، واجراءات التخفيف المتخذه. تقنيه التدريع التدريع" عمليه تشويش علي التعليمات البرمجيه الثناييه للتطبيق، مما يجعل من الصعب علي المخترقين ان يقوموا بهندسه عكسيه. استراتيجيه راجع "استراتيجيه الامن السيبراني". اداره المعلومات الامنيه والاحداث اداه اداره المعلومات الامنيه والاحداث تطبيق يوفر القدره علي جمع بيانات الامان من مكونات نظام المعلومات وتقديم تلك البيانات كمعلومات قابله للتنفيذ عبر واجهه واحده. المصدر: NISTIR 7298r3 قايمه مصطلحات امن المعلومات الاساسيه دوره حياه تطوير النظام تصف دوره حياه تطوير النظام نطاق الانشطه المرتبطه بالنظام، والتي تشمل بدء النظام وتطويره واقتناءه وتنفيذه وتشغيله وصيانته، وفي النهايه التخلص منه مما يؤدي الي بدء نظام اخر. المصدر: NISTIR 7298r3 قايمه مصطلحات امن المعلومات الاساسيه تهديد راجع "تهديد الامن السيبراني". مشهد التهديد مجموعه من التهديدات في مجال او سياق معين، مع معلومات حول الاصول المعرضه للخطر والتهديدات والمخاطر وجهات التهديد والاتجاهات المرصوده. المصدر: ENISA الثغره الامنيه نقطه الضعف في نظام المعلومات او اجراءات امن النظام او الضوابط الداخليه او التنفيذ التي يمكن استغلالها او تشغيلها من قبل مصدر تهديد. المصدر: NISTIR 7298r3 قايمه مصطلحات امن المعلومات الاساسيه اداره الثغرات الامنيه اداره الثغرات الامنيه ممارسه دوريه لتحديد الثغرات الامنيه وتصنيفها ومعالجتها والتخفيف من اثارها. راجع ايضا "الثغرات الامنيه".