الدليل التنظيمي لحوكمة تقنية المعلومات في القطاع المالي

sama_gov_sa · guide · processed · 142 chunks

ترتفع توقعات المجتمع الرقمي في الوقت الراهن بخصوص اتاحه تجربه عملاء خاليه من العيوب واستمرار توفر الخدمات. حيث ادي التقدم في تقنيه المعلومات ("تقنيه المعلومات") الي احداث تغييرات سريعه في الطريقه التي تتم بها الاعمال والعمليات في القطاع المالي. ورغم ان تقنيه المعلومات تلعب دورا اساسيا جنبا الي جنب البييه المحيطه اليوم، الا انها تعرض ايضا المؤسسات الماليه لمخاطر تقنيه المعلومات التي تتطور بفاعليه. وفي هذا الصدد، وضع البنك المركزي الدليل التنظيمي لحوكمه تقنيه المعلومات ("الدليل") لتمكين المؤسسات الخاضعه لرقابته ("المؤسسات الماليه") من تحديد المخاطر المتعلقه بتقنيه المعلومات ومعالجتها بشكل فعال. يتمثل الهدف من الدليل التنظيمي في الاتي: وضع نهج مشترك لمعالجه مخاطر تقنيه المعلومات داخل المؤسسات الماليه. تحقيق مستوي نضج مناسب لضوابط تقنيه المعلومات داخل المؤسسات الماليه. ضمان اداره مخاطر تقنيه المعلومات بشكل صحيح في جميع انحاء المؤسسات الماليه. وسيتم استخدام الدليل التنظيمي لاجراء تقييم دوري لمستوي النضج وتقييم مدي فعاليه ضوابط تقنيه المعلومات في المؤسسات الماليه. ويعتمد الدليل التنظيمي علي متطلبات البنك المركزي ومعايير تقنيه المعلومات الخاصه بالمجال. تضمن حوكمه تقنيه المعلومات (IT) الكفاءه والفعاليه في استخدام تقنيه المعلومات لتمكين المؤسسات الماليه من تحقيق اهدافها وغاياتها. فهي تمكن المؤسسات الماليه من صياغه القيمه المثلي من تقنيه المعلومات من خلال الحفاظ علي التوازن بين تحقيق الفوايد وتحسين مستويات المخاطر واستخدام الموارد. يحدد الدليل المبادي والاهداف اللازمه لبدء وتنفيذ والمحافظه علي ومراقبه وتحسين ضوابط حوكمه تقنيه المعلومات في المؤسسات الماليه الخاضعه لرقابه البنك المركزي السعودي. ويقدم الدليل متطلبات ضوابط حوكمه تقنيه المعلومات التي تنطبق علي الاصول المعلوماتيه الخاصه بالمؤسسات الماليه. كما يقدم الدليل توجيهات بشان متطلبات حوكمه تقنيه المعلومات للمؤسسات الماليه وفروعها، وموظفيها، والاطراف الثالثه، وعملايها. وينبغي تنفيذ هذا الدليل بالتزامن مع الدليل التنظيمي لامن المعلومات و الدليل التنظيمي لاداره استمراريه الاعمال الصادر عن البنك المركزي علي التوالي (الشكل 1). للاطلاع علي المتطلبات المحدده المتعلقه بالامن السيبراني واستمراريه الاعمال، يرجي مراجعه الادله التنظيميه المشار اليها اعلاه. يرتبط الدليل بعلاقه متبادله مع السياسات المؤسسيه الاخري في المجالات ذات الصله، مثل اداره التغيير وتدريب الموظفين. ولا يتناول الدليل الماثل المتطلبات غير المتعلقه بتقنيه المعلومات في تلك المجالات. ينطبق الدليل علي المؤسسات الماليه الخاضعه لرقابه البنك المركزي. اعتمد البنك المركزي الدليل وسيتم التعميم به علي المؤسسات الماليه. ويعد البنك المركزي هو الجهه المالكه للدليل والمسؤول عن تحديثه بشكل دوري. وتتولي المؤسسات الماليه تنفيذه والالتزام به. للبنك المركزي وحده، بصفته مالك الدليل، مسؤوليه تقديم تفسيرات للمبادي ومتطلبات الضوابط، اذا لزم الامر. هذا الدليل مخصص للاداره العليا والتنفيذيه، ومسؤولي الاعمال، ومالكي الاصول المعلوماتيه، ومديري تقنيه المعلومات(CIOs) والمسؤولين عن ضوابط تقنيه المعلومات والمنخرطين في تحديدها وتنفيذها ومراجعتها داخل المؤسسات الماليه. سيراجع البنك المركزي الدليل دوريا من اجل الوقوف علي مدي فعاليته من حيث مواجهه التهديدات والمخاطر الناشيه في مجال تقنيه المعلومات. واذا كان ذلك ممكنا، سيتولي البنك المركزي تحديث الدليل بناء علي نتايج المراجعه. واذا ارتات احدي المؤسسات الماليه ان هناك حاجه الي تحديث الدليل، فيتعين علي المؤسسه الماليه تقديم التحديث المطلوب رسميا الي البنك المركزي. وسيقوم البنك المركزي بدوره بمراجعه التحديث المطلوب، وعند الاقتضاء، سيتم تعديل الدليل في النسخه المحدثه التاليه. وستظل المؤسسه الماليه مسؤوله عن الامتثال للدليل في انتظار تحديث الاصدار التالي. يرجي الرجوع الي " الملحق ا - كيفيه طلب تحديث الدليل " للاطلاع علي عمليه طلب تحديث الدليل. وسيتم تنفيذ عمليه ضبط الاصدارات للحفاظ علي الدليل. وكلما اجريت اي تغييرات، سيتم سحب الاصدار السابق وسيتم نشر الاصدار الجديد وتبليغه الي جميع المؤسسات الماليه. ولتسهيل الامر علي المؤسسات الماليه، يجب الاشاره بوضوح الي التغييرات التي تطرا علي الدليل. يتم تقسيم الدليل علي النحو التالي. يتناول الفصل الثاني بالتفصيل هيكل الدليل، ويسرد تعليمات حول كيفيه تطبيق الدليل. ويعرض الفصل الثالث الدليل الفعلي، بما في ذلك مجالات تقنيه المعلومات والمجالات الفرعيه والمبادي والاهداف ومتطلبات الرقابه. يتمحور الدليل حول اربعه مجالات رييسيه، وهي: اداره تقنيه المعلومات والقياده. اداره مخاطر تقنيه المعلومات. اداره عمليات تقنيه المعلومات. اداره تغيير النظام. ويتم تحديد العديد من المجالات الفرعيه لكل مجال رييسي. حيث يركز المجال الفرعي علي موضوع محدد بخصوص حوكمه تقنيه المعلومات. وينص الدليل بكل مجال فرعي علي المبدا ومتطلبات التحكم. مبدا يلخص المجموعه الرييسيه لضوابط تقنيه المعلومات المطلوبه المتعلقه بالمجال الفرعي. متطلبات تحكم تعكس ضوابط تقنيه المعلومات الالزاميه التي يجب مراعاتها. يجب تطبيق الدليل في ضوء المبادي المذكوره في كل مجال فرعي مع متطلبات الرقابه المرتبطه به. تم ترقيم متطلبات المراقبه بشكل فريد وفقا لنظام الترقيم التالي في جميع انحاء الدليل: الشكل 2 - نظام ترقيم متطلبات التحكم يوضح الشكل ادناه الهيكل العام للدليل ويبين المجالات الرييسيه والفرعيه بدليل حوكمه تقنيه المعلومات، بما في ذلك الاشاره الي القسم ذي الصله من الدليل. الشكل 3 - الدليل التنظيمي لحوكمه تقنيه المعلومات يستند الدليل الي المبادي، ويشار اليه ايضا بانه "قايم علي المخاطر". ويعني ذلك انه ينص علي المبادي والاهداف الرييسيه لحوكمه تقنيه المعلومات التي يجب علي المؤسسات الماليه تضمينها وتحقيقها. وتوفر قايمه متطلبات التحكم الالزاميه توجيها اضافيا ويتعين ان تاخذها المؤسسات الماليه بعين الاعتبار في تحقيق الاهداف. وعندما يتعذر تصميم او تنفيذ متطلبات تحكم معينه، يجب علي المؤسسات الماليه دراسه تطبيق ضوابط تعويضيه والسعي الي قبول المخاطر الداخليه وطلب اعفاء رسمي من البنك المركزي. يرجي الرجوع الي الملحق "د" للاطلاع علي تفاصيل - كيفيه طلب الاعفاء من الدليل - العمليه . سيخضع تنفيذ الدليل في المؤسسات الماليه لتقييم ذاتي دوري. وستجري المؤسسات الماليه التقييم الذاتي من خلال استبيان. وسيقوم البنك المركزي بدروه بمراجعه التقييمات الذاتيه وتدقيقها للوقوف علي مستوي الامتثال للدليل ومستوي نضج تقنيه المعلومات لدي المؤسسات الماليه. يرجي الرجوع الي " 4.2 نموذج نضج حوكمه تقنيه المعلومات " لمزيد من التفاصيل حول نموذج نضج حوكمه تقنيه المعلومات. سيتم قياس مستوي نضج حوكمه تقنيه المعلومات بمساعده نموذج نضج محدد مسبقا. ويميز نموذج نضج حوكمه تقنيه المعلومات 6 مستويات للنضج (0 و1 و 2 و 3 و 4 و 5)، وهي ملخصه في الجدول ادناه. ومن اجل تحقيق المستويات 3 او4 او 5، يجب علي المؤسسات الماليه اولا استيفاء جميع معايير مستويات النضج السابقه. مستوي النضج | التعريف والمعايير | ايضاح 0 غير موجود | لا توجد وثايق. لا يوجد وعي او اهتمام ببعض ضوابط تقنيه المعلومات. | لا توجد ضوابط تقنيه المعلومات مطبقه. لا يوجد وعي بمجال المخاطر المحدد او خطط حاليه لتنفيذ ضوابط تقنيه المعلومات هذه. 1 مخصصه | ضوابط تقنيه المعلومات غير محدده او محدده جزييا. يتم تنفيذ ضوابط تقنيه المعلومات بطريقه غير متناسقه. لم يتم تحديد ضوابط تقنيه المعلومات بشكل كامل. | يختلف تصميم وتنفيذ الرقابه علي تقنيه المعلومات باختلاف الاداره او المالك. قد لا يخفف تصميم ضوابط تقنيه المعلومات من المخاطر المحدده الا جزييا، وقد يكون التنفيذ غير متسق. 2 متكرره، ولكن غير رسميه | يعتمد تنفيذ ضوابط التحكم في تقنيه المعلومات علي ممارسه غير رسميه وغير مكتوبه، وان كانت موحده. | توجد ضوابط لتقنيه المعلومات قابله للتكرار. ومع ذلك، لم يتم تحديد او اعتماد اهداف الرقابه وتصميمها بشكل رسمي. هناك اعتبار محدود للمراجعه المنظمه او اختبار التحكم. 3 منظم وذو طابع رسمي | ضوابط تقنيه المعلومات محدده ومعتمده ويتم تنفيذها بطريقه منظمه ورسميه. يمكن اثبات تنفيذ ضوابط تقنيه المعلومات. | وضع سياسات ومعايير واجراءات تقنيه المعلومات. يتم مراقبه الامتثال لوثايق تقنيه المعلومات، اي السياسات والمعايير والاجراءات، ويفضل باستخدام اداه الحوكمه والمخاطر والامتثال (GRC). يتم تحديد مؤشرات الاداء الرييسيه ورصدها والابلاغ عنها لتقييم التنفيذ. 4 مدار وقابل للقياس | يتم تقييم فعاليه ضوابط تقنيه المعلومات دوريا وتحسينها عند الضروره. يتم توثيق هذا القياس الدوري والتقييمات وفرص التحسين. | يتم قياس فعاليه ضوابط تقنيه المعلومات وتقييمها دوريا. يتم استخدام مؤشرات المخاطر الرييسيه وتقارير الاتجاهات لتحديد مدي فعاليه ضوابط تقنيه المعلومات. يتم استخدام نتايج القياس والتقييم لتحديد فرص تحسين ضوابط تقنيه المعلومات. 5 متكيف | تخضع ضوابط تقنيه المعلومات لخطه تحسين مستمر. | يركز برنامج حوكمه تقنيه المعلومات علي مستوي المؤسسه علي الامتثال المستمر لضوابط تقنيه المعلومات وفاعليتها وتحسينها. يتم دمج ضوابط تقنيه المعلومات مع اطار عمل وممارسات اداره المخاطر المؤسسيه. يتم تقييم اداء ضوابط تقنيه المعلومات باستخدام بيانات النظراء والقطاع. 0 غير موجود لا توجد وثايق. لا يوجد وعي او اهتمام ببعض ضوابط تقنيه المعلومات. لا توجد وثايق. لا يوجد وعي او اهتمام ببعض ضوابط تقنيه المعلومات. لا توجد ضوابط تقنيه المعلومات مطبقه. لا يوجد وعي بمجال المخاطر المحدد او خطط حاليه لتنفيذ ضوابط تقنيه المعلومات هذه. لا توجد ضوابط تقنيه المعلومات مطبقه. لا يوجد وعي بمجال المخاطر المحدد او خطط حاليه لتنفيذ ضوابط تقنيه المعلومات هذه. 1 مخصصه ضوابط تقنيه المعلومات غير محدده او محدده جزييا. يتم تنفيذ ضوابط تقنيه المعلومات بطريقه غير متناسقه. لم يتم تحديد ضوابط تقنيه المعلومات بشكل كامل. ضوابط تقنيه المعلومات غير محدده او محدده جزييا. يتم تنفيذ ضوابط تقنيه المعلومات بطريقه غير متناسقه. لم يتم تحديد ضوابط تقنيه المعلومات بشكل كامل. يختلف تصميم وتنفيذ الرقابه علي تقنيه المعلومات باختلاف الاداره او المالك. قد لا يخفف تصميم ضوابط تقنيه المعلومات من المخاطر المحدده الا جزييا، وقد يكون التنفيذ غير متسق. يختلف تصميم وتنفيذ الرقابه علي تقنيه المعلومات باختلاف الاداره او المالك. قد لا يخفف تصميم ضوابط تقنيه المعلومات من المخاطر المحدده الا جزييا، وقد يكون التنفيذ غير متسق. 2 متكرره، ولكن غير رسميه يعتمد تنفيذ ضوابط التحكم في تقنيه المعلومات علي ممارسه غير رسميه وغير مكتوبه، وان كانت موحده. يعتمد تنفيذ ضوابط التحكم في تقنيه المعلومات علي ممارسه غير رسميه وغير مكتوبه، وان كانت موحده. توجد ضوابط لتقنيه المعلومات قابله للتكرار. ومع ذلك، لم يتم تحديد او اعتماد اهداف الرقابه وتصميمها بشكل رسمي. هناك اعتبار محدود للمراجعه المنظمه او اختبار التحكم. توجد ضوابط لتقنيه المعلومات قابله للتكرار. ومع ذلك، لم يتم تحديد او اعتماد اهداف الرقابه وتصميمها بشكل رسمي. هناك اعتبار محدود للمراجعه المنظمه او اختبار التحكم. 3 منظم وذو طابع رسمي ضوابط تقنيه المعلومات محدده ومعتمده ويتم تنفيذها بطريقه منظمه ورسميه. يمكن اثبات تنفيذ ضوابط تقنيه المعلومات. ضوابط تقنيه المعلومات محدده ومعتمده ويتم تنفيذها بطريقه منظمه ورسميه. يمكن اثبات تنفيذ ضوابط تقنيه المعلومات. وضع سياسات ومعايير واجراءات تقنيه المعلومات. يتم مراقبه الامتثال لوثايق تقنيه المعلومات، اي السياسات والمعايير والاجراءات، ويفضل باستخدام اداه الحوكمه والمخاطر والامتثال (GRC). يتم تحديد مؤشرات الاداء الرييسيه ورصدها والابلاغ عنها لتقييم التنفيذ. وضع سياسات ومعايير واجراءات تقنيه المعلومات. يتم مراقبه الامتثال لوثايق تقنيه المعلومات، اي السياسات والمعايير والاجراءات، ويفضل باستخدام اداه الحوكمه والمخاطر والامتثال (GRC). يتم تحديد مؤشرات الاداء الرييسيه ورصدها والابلاغ عنها لتقييم التنفيذ. 4 مدار وقابل للقياس يتم تقييم فعاليه ضوابط تقنيه المعلومات دوريا وتحسينها عند الضروره. يتم توثيق هذا القياس الدوري والتقييمات وفرص التحسين. يتم تقييم فعاليه ضوابط تقنيه المعلومات دوريا وتحسينها عند الضروره. يتم توثيق هذا القياس الدوري والتقييمات وفرص التحسين. يتم قياس فعاليه ضوابط تقنيه المعلومات وتقييمها دوريا. يتم استخدام مؤشرات المخاطر الرييسيه وتقارير الاتجاهات لتحديد مدي فعاليه ضوابط تقنيه المعلومات. يتم استخدام نتايج القياس والتقييم لتحديد فرص تحسين ضوابط تقنيه المعلومات. يتم قياس فعاليه ضوابط تقنيه المعلومات وتقييمها دوريا. يتم استخدام مؤشرات المخاطر الرييسيه وتقارير الاتجاهات لتحديد مدي فعاليه ضوابط تقنيه المعلومات. يتم استخدام نتايج القياس والتقييم لتحديد فرص تحسين ضوابط تقنيه المعلومات. 5 متكيف تخضع ضوابط تقنيه المعلومات لخطه تحسين مستمر. تخضع ضوابط تقنيه المعلومات لخطه تحسين مستمر. يركز برنامج حوكمه تقنيه المعلومات علي مستوي المؤسسه علي الامتثال المستمر لضوابط تقنيه المعلومات وفاعليتها وتحسينها. يتم دمج ضوابط تقنيه المعلومات مع اطار عمل وممارسات اداره المخاطر المؤسسيه. يتم تقييم اداء ضوابط تقنيه المعلومات باستخدام بيانات النظراء والقطاع. يركز برنامج حوكمه تقنيه المعلومات علي مستوي المؤسسه علي الامتثال المستمر لضوابط تقنيه المعلومات وفاعليتها وتحسينها. يتم دمج ضوابط تقنيه المعلومات مع اطار عمل وممارسات اداره المخاطر المؤسسيه. يتم تقييم اداء ضوابط تقنيه المعلومات باستخدام بيانات النظراء والقطاع. الجدول 1 - نموذج نضج حوكمه تقنيه المعلومات يجب علي المؤسسه الماليه، من اجل تحقيق مستوي النضح الثالث، تحديد واعتماد وتنفيذ ضوابط تقنيه المعلومات. كما ينبغي لها مراقبه الالتزام بوثايق تقنيه المعلومات. ويجب ان تشير وثايق تقنيه المعلومات بوضوح الي "سبب" و"ماهيه" و"كيفيه" تنفيذ ضوابط تقنيه المعلومات. وتتكون وثايق تقنيه المعلومات من سياسات ومعايير واجراءات تقنيه المعلومات. الشكل 4 - هرم مستندات تقنيه المعلومات يجب ان تكون سياسه تقنيه المعلومات معتمده ومصادق عليها من قبل مجلس اداره المؤسسه الماليه وتوضح "سبب" اهميه تقنيه المعلومات بالنسبه للمؤسسه الماليه. يجب ان تسلط السياسه الضوء علي الاصول المعلوماتيه التي ينبغي حمايتها و"ماهيه" مبادي واهداف تقنيه المعلومات التي ينبغي تحديدها. وبناء علي سياسه تقنيه المعلومات، ينبغي وضع معايير تقنيه المعلومات. وتحدد هذه المعايير "ماهيه" ضوابط تقنيه المعلومات التي يجب تنفيذها، مثل الفصل بين الواجبات وقواعد النسخ الاحتياطي والاسترداد وما الي ذلك. تدعم المعايير سياسه تقنيه المعلومات وتعززها وتعتبر بمثابه خطوط اساس لتقنيه المعلومات. ويتم تفصيل المهام والانشطه التي يجب ان يقوم بها موظفو المؤسسه الماليه خطوه بخطوه في اجراءات تقنيه المعلومات. وتصف هذه الاجراءات "كيفيه" تنفيذ ضوابط ومهام وانشطه تقنيه المعلومات في بييه التشغيل. يتم تعريف الاجراءات في سياق الدليل الماثل علي انها مجموعه منظمه من الانشطه المصممه لتحقيق الهدف المحدد. وقد تتضمن الاجراءات سياسات ومعايير وارشادات واجراءات وانشطه وتعليمات عمل، بالاضافه الي اي من الادوار والمسؤوليات والادوات والضوابط الاداريه المطلوبه لتقديم المخرجات بشكل موثوق. يجب مراقبه التقدم الفعلي في التنفيذ والاداء والالتزام بضوابط تقنيه المعلومات وتقييمها بشكل دوري باستخدام مؤشرات الاداء الرييسيه (KPIs). يجب علي المؤسسات الماليه، من اجل تحقيق مستوي النضج الرابع، قياس وتقييم فعاليه ضوابط تقنيه المعلومات المطبقه دوريا. ويجب تحديد مؤشرات المخاطر الرييسيه (KRIs) من اجل قياس وتقييم ما اذا كانت ضوابط حوكمه تقنيه المعلومات فعاله. يوضح مؤشر الخطر الرييسي معيار قياس الفعاليه، ويجب ان يحدد عتبات لتحديد ما اذا كانت النتيجه الفعليه للقياس اقل من المعيار المستهدف او عنده او اعلي منه. تستخدم مؤشرات المخاطر الرييسيه للابلاغ عن الاتجاهات وتحديد التحسينات المحتمله. يركز مستوي النضج الخامس علي التحسين المستمر لضوابط تقنيه المعلومات. ويتحقق التحسين المستمر من خلال التحليل المستمر لاهداف وانجازات حوكمه تقنيه المعلومات وتحديد التحسينات الهيكليه. وينبغي دمج ضوابط تقنيه المعلومات مع ممارسات اداره المخاطر في المؤسسه ودعمها بالمراقبه الاليه في الوقت الفعلي. يجب ان يكون مالكو العمليات التجاريه مسؤولين عن مراقبه الامتثال لضوابط تقنيه المعلومات وقياس فعاليتها ودمجها ضمن اطار عمل اداره المخاطر المؤسسيه. اضافه الي ذلك، ينبغي تقييم اداء ضوابط تقنيه المعلومات باستخدام بيانات النظراء والقطاع. يكون مجلس اداره المؤسسات الماليه مسؤول في نهايه المطاف عن وضع حوكمه تقنيه المعلومات (IT) وضمان اداره مخاطر تقنيه المعلومات بفعاليه داخل المؤسسه الماليه. ويمكن لمجلس اداره المؤسسه الماليه تفويض مسؤوليات حوكمه تقنيه المعلومات الي الاداره العليا او اللجنه التوجيهيه لتقنيه المعلومات (اللجنه التوجيهيه). وقد تتحمل اللجنه التوجيهيه مسؤوليه تحديد حوكمه تقنيه المعلومات ووضع استراتيجيه تقنيه المعلومات في المؤسسه الماليه. المبدا يجب تحديد هيكل حوكمه تقنيه المعلومات واقراره ودعمه بالموارد المناسبه للاشراف علي النهج العام للمؤسسه الماليه في مجال تقنيه المعلومات ومراقبته. متطلبات الرقابه 1. | يجب علي المؤسسات الماليه تشكيل لجنه توجيهيه لتقنيه المعلومات وان يتم تكليفها من قبل مجلس الاداره. 2. | وينبغي ان يراس اللجنه التوجيهيه مدير تنفيذي مسؤول عن عمليات المؤسسات الماليه. 3. | يجب ان تكون المناصب التاليه ممثله في اللجنه التوجيهيه: | ا. | كبار المديرين من جميع الادارات ذات الصله (علي سبيل المثال، رييس قسم المخاطر، والرييس التنفيذي لامن المعلومات، ومسؤول الامتثال، ورؤساء اقسام الاعمال ذات الصله)؛ | ب. | الرييس التنفيذي للمعلومات؛ و | ج. | يجوز لمسؤول المراجعه الداخليه الحضور بصفه "مراقب". 4. | يجب وضع ميثاق اللجنه التوجيهيه والموافقه عليه وان يتضمن ما يلي: | ا. | اهداف اللجنه؛ | ب. | الادوار والمسؤوليات؛ | ج. | الحد الادني لعدد المشاركين في الاجتماع؛ | د. | تواتر الاجتماعات (علي الاقل كل ثلاثه اشهر)؛ و | ه. | توثيق محاضر الاجتماعات والقرارات والاحتفاظ بها. 5. | يجب تعيين مدير تنفيذي لوظيفه تقنيه المعلومات بدوام كامل، يشار اليه باسم الرييس التنفيذي للمعلومات، علي مستوي الاداره العليا. 6. | يجب علي المؤسسات الماليه القيام بما يلي: | ا. | التاكد من ان الرييس التنفيذي للمعلومات سعودي الجنسيه؛ | ب. | التاكد من ان الرييس التنفيذي للمعلومات مؤهل بشكل كاف؛ و | ج. | الحصول علي خطاب عدم ممانعه كتابي من البنك المركزي قبل تعيين الرييس التنفيذي للمعلومات. 7. | يجب علي المؤسسات الماليه ان تضع ممارسات رسميه للانشطه الماليه المتعلقه بتقنيه المعلومات تغطي الميزانيه والتكلفه وتحديد اولويات الانفاق بما يتماشي مع الاهداف الاستراتيجيه لتقنيه المعلومات. 8. | يجب مراقبه الميزانيه الاجماليه لتقنيه المعلومات ومراجعتها بشكل دوري وتعديلها وفقا لذلك لتلبيه احتياجات تقنيه المعلومات والاعمال. 9. | يجب علي المؤسسات الماليه تحديد ادوار ومسؤوليات الاداره العليا وموظفي تقنيه المعلومات باستخدام مصفوفه اسناد المسؤوليه، والمعروفه ايضا باسم مصفوفه المسؤوليه والمحاسبه والاستشاره والتبليغ. ويجب ان تحدد مصفوفه المسؤوليه والمحاسبه والاستشاره والتبليغ الاشخاص المسؤولين والخاضعين للمساءله عن الوظايف، وكذلك الاشخاص الذين يجب استشارتهم او وتبليغهم. 10. | يجب علي المؤسسات الماليه تحديد البنيه المؤسسيه التي تعكس المكونات الاساسيه لاجراءات الاعمال والطبقات التقنيه الداعمه لها لضمان الاستجابه والفعاليه في تحقيق الاهداف الاستراتيجيه. 11. | يجب علي المؤسسات الماليه تحديد دور مهندس تطبيقات المؤسسه ضمن وظيفه تقنيه المعلومات لتحديد التغييرات المطلوبه في مجموعه التطبيقات عبر النظام البييي للمؤسسات الماليه. 12. | يجب ان تكون الادوار والمسؤوليات داخل وظيفه تقنيه المعلومات علي النحو التالي: | ا. | موثقه ومعتمده من قبل الاداره؛ و | ب. | منفصله لتجنب تضارب المصالح. 13. | يجب علي المؤسسات الماليه وضع خطه تعاقب رسميه لتقنيه المعلومات بالتنسيق مع اداره الموارد البشريه مع مراعاه الاعتماد علي موظفي تقنيه المعلومات الرييسيين والمعنيين باداء ادوار ومسؤوليات حساسه. المبدا ينبغي تحديد استراتيجيه تقنيه المعلومات بما يتماشي مع الاهداف الاستراتيجيه للمؤسسه الماليه وبما يتوافق مع المتطلبات النظاميه والتنظيميه. متطلبات الرقابه 1. | يجب تحديد واعتماد وتنفيذ استراتيجيه تقنيه المعلومات والمحافظه عليها. 2. | ينبغي ترجمه المبادرات الاستراتيجيه لتقنيه المعلومات الي خارطه طريق محدده مع الاخذ في الاعتبار ما يلي: | ا. | يجب ان تتطلب المبادرات سد الفجوات بين البييات الحاليه والبييات المستهدفه؛ | ب. | يجب دمج المبادرات في استراتيجيه متسقه لتقنيه المعلومات تتوافق مع استراتيجيه العمل؛ | ج. | يجب ان تعالج المبادرات النظام البييي الخارجي (شركاء المؤسسه، والموردين، والشركات الناشيه، وما الي ذلك)؛ و | د. | يجب ان تشمل تحديد التبعيات والتداخلات واوجه التازر والاثار بين المشاريع، وتحديد الاولويات. 3. | يجب ان تتماشي استراتيجيه تقنيه المعلومات مع ما يلي: | ا. | اهداف العمل الشامله للمؤسسه الماليه؛ و | ب. | متطلبات التزام المؤسسه الماليه بالانظمه والتعليمات ذات العلاقه. 4. | يجب ان تتناول استراتيجيه تقنيه المعلومات علي الاقل ما يلي: | ا. | اهميه تقنيه المعلومات وفوايدها بالنسبه للمؤسسه الماليه؛ | ب. | بييه الاعمال وتقنيه المعلومات الحاليه، والتوجه المستقبلي، والمبادرات المطلوبه للانتقال الي الحاله المستقبليه؛ و | ج. | الاعتمادات المتبادله بين الاصول المعلوماتيه الهامه. 5. | يجب علي المؤسسه الماليه تحديد مخاطر تقنيه المعلومات الاستراتيجيه والناشيه في مجال تقنيه المعلومات التي قد تؤثر علي تحقيق الاهداف الاستراتيجيه الشامله علي مستوي المؤسسه. 6. | يجب علي المؤسسات الماليه تعزيز مجموعات المهارات والخبرات (التشغيليه والتقنيه) للموارد الحاليه من خلال توفير التدريب الدوري علي التقنيات الناشيه، واذا لزم الامر توفير الموارد ذات الصله بما يتماشي مع توجه المؤسسات الماليه نحو الرقمنه. 7. | يجب مراجعه استراتيجيه تقنيه المعلومات وتحديثها بشكل دوري او عند حدوث تغيير جوهري في البييه التشغيليه للمؤسسه الماليه او عند حدوث تغيير في استراتيجيه العمل او الاهداف او عند حدوث تغيير في الانطمه والتعليمات. المبدا يجب تحديد البنيه المؤسسيه التي توضح المكونات الاساسيه لاجراءات الاعمال والبيانات وطبقات التقنيه الداعمه لضمان الاستجابه والفعاليه في تحقيق الاهداف الاستراتيجيه لتقنيه المعلومات في المؤسسات الماليه. متطلبات الرقابه 1. | يجب تحديد واعتماد وتنفيذ هيكليه المؤسسه. 2. | يجب مراقبه الالتزام بهيكليه المؤسسه. 3. | يجب ان تتناول هيكليه المؤسسه ما يلي، علي سبيل المثال لا الحصر: | ا. | مخطط استراتيجي للقدرات التقنيه للمؤسسات؛ | ب. | تحديد الفجوات بين البني الاساسيه والبني المستهدفه، مع الاخذ في الاعتبار كلا من المنظورين التجاري والتقني؛ و | ج. | القدره علي تلبيه احتياجات العمل المتغيره بطريقه بكفاءه وفعاليه. المبدا يجب تحديد واعتماد وتبليغ وتنفيذ سياسه واجراءات تقنيه المعلومات لتحديد التزامات المؤسسه الماليه واهدافها في مجال تقنيه المعلومات وابلاغها الي اصحاب المصلحه المعنيين. متطلبات الرقابه 1. | يجب تحديد واعتماد وتبليغ وتنفيذ سياسه واجراءات تقنيه المعلومات. 2. | يجب مراجعه سياسه واجراءات تقنيه المعلومات دوريا مع مراعاه تطور المشهد التقني. 3. | يجب وضع سياسه تقنيه المعلومات مع الاخذ في الاعتبار المدخلات من سياسات المؤسسات الماليه ذات الصله (مثال - الامن السيبراني، والماليه، والموارد البشريه). 4. | يجب ان تتضمن سياسه تقنيه المعلومات ما يلي: | ا. | الاهداف والنطاق العام لتقنيه المعلومات في المؤسسه الماليه؛ | ب. | بيان نوايا المجلس، بما يدعم اهداف تقنيه المعلومات؛ | ج. | تعريف المسؤوليات العامه والخاصه لتقنيه المعلومات؛ و | د. | الاشاره الي المعايير والاجراءات الوطنيه /الدوليه الداعمه لتقنيه المعلومات (عند الاقتضاء). المبدا يجب تحديد ادوار ومسؤوليات تقنيه المعلومات وان يتمتع جميع الاطراف المشاركه في اجراءات تقنيه المعلومات في المؤسسه الماليه بمستوي كاف من الفهم للتوقعات المتعلقه بدورها. متطلبات الرقابه 1. | يجب ان يكون مجلس الاداره مسؤولا عما يلي: | | ا. | المسؤوليه النهاييه عن وضع ممارسه حوكمه تقنيه المعلومات؛ | ب. | التاكد من وضع اطار معزز لاداره مخاطر تقنيه المعلومات والمحافظه عليه حتي يتسني اداره مخاطر تقنيه المعلومات؛ | ج. | التاكد من تخصيص ميزانيه كافيه لتقنيه المعلومات؛ | د. | اعتماد ميثاق اللجنه التوجيهيه لتقنيه المعلومات؛ و | ه. | المصادقه (بعد الحصول علي موافقه اللجنه التوجيهيه لتقنيه المعلومات) علي ما يلي: | | 1. | الادوار والمسؤوليات بممارسات الحوكمه والاداره؛ | | | 2. | استراتيجيه تقنيه المعلومات؛ | | | 3. | سياسه تقنيه المعلومات. | 2. | يجب ان تكون اللجنه التوجيهيه مسؤوله علي الاقل عما يلي: | | ا. | رصد ومراجعه وتبليغ مخاطر تقنيه المعلومات بالمؤسسه الماليه دوريا؛ | ب. | اعتماد وتبليغ ودعم ما يلي: | | 1. | استراتيجيه تقنيه المعلومات؛ | | | 2. | سياسات تقنيه المعلومات؛ | | | 3. | اجراءات اداره مخاطر تقنيه المعلومات؛ و | | | 4. | مؤشرات الاداء الرييسيه (KPIs) ومؤشرات المخاطر الرييسيه (KRIs) لتقنيه المعلومات. | 3. | يكون الرييس التنفيذي للمعلومات مسؤولا، علي الاقل، عما يلي: | | ا. | وضع وتنفيذ والمحافظه علي: | | 1. | استراتيجيه تقنيه المعلومات؛ | | | 2. | سياسه تقنيه المعلومات؛ و | | | 3. | ميزانيه تقنيه المعلومات. | | ب. | التاكد من وضع واعتماد وتنفيذ معايير وعمليات مفصله لتقنيه المعلومات؛ | ج. | تقديم حلول تقنيه المعلومات القايمه علي المخاطر التي تتناول الافراد والعمليات والتقنيات؛ | د. | تحديد والمحافظه علي مؤشرات الاداء الرييسيه ومؤشرات المخاطر الرييسيه الخاصه باجراءات تقنيه المعلومات؛ | ه. | اطلاع اللجنه التوجيهيه علي اخر المستجدات بشان المبادرات الاستراتيجيه لتقنيه المعلومات وحاله تنفيذها؛ | و. | تنفيذ التقنيات المناسبه لتبسيط جميع العمليات الداخليه والمساعده في تحسين فوايدها الاستراتيجيه؛ | ز. | انشطه تقنيه المعلومات في جميع انحاء المؤسسه الماليه، بما في ذلك: | | 1. | مراقبه سير عمل تقنيه المعلومات؛ | | | 2. | مراقبه الالتزام بتعليمات وسياسات ومعايير تقنيه المعلومات؛ و | | | 3. | الاشراف علي التحقيق في الحوادث المتعلقه بتقنيه المعلومات. | | ح. | تحليل تكاليف تقنيه المعلومات وقيمتها ومخاطرها لتقديم المشوره لرييس العمليات/المدير الاداري؛ و | ط. | تحديد خطه التدريب لتقنيه المعلومات بالتنسيق مع الموارد البشريه. 4. | تتولي وظيفه المراجعه الداخليه المسؤوليه عن: | | ا. | تحديد مجموعه شامله من المجالات القابله للتدقيق لمخاطر تقنيه المعلومات واجراء تقييم فعال لمخاطر تقنيه المعلومات اثناء التخطيط للتدقيق؛ | ب. | اجراء عمليات تدقيق تقنيه المعلومات. 5. | يجب ان يكون مهندس تطبيقات المؤسسه مسؤولا علي الاقل عما يلي: | | ا. | وضع نماذج وعمليات ووثايق بنيه تطبيقات النظام البييي لتقنيه المعلومات؛ | ب. | وضع التطبيقات وحلول التكامل المخصصه علي مستوي المؤسسه بما في ذلك التحسينات الرييسيه والواجهات والوظايف والميزات؛ و | ج. | ضمان التحسين المستمر للانتقال بين الحالتين الحاليه والمستقبليه لهيكليه التطبيقات. 6. | يجب ان يكون جميع موظفي المؤسسه الماليه مسؤولين عن الالتزام بسياسه ومعايير واجراءات تقنيه المعلومات المعمول بها. | المبدا يجب تحديد وتبليغ والالتزام بالتعليمات التنظيميه ذات الصله بما في ذلك خصوصيه البيانات والتي تؤثر علي عمليات تقنيه المعلومات في المؤسسات الماليه. متطلبات الرقابه 1. | يجب علي المؤسسات الماليه انشاء اجراءات لضمان الالتزام بالمتطلبات التنظيميه المتعلقه بتقنيه المعلومات. ويجب ان تستوفي اجراءات ضمان الالتزام الاتي: | ا. | يتم تنفيذها بشكل دوري او عندما تصبح المتطلبات التنظيميه الجديده ساريه المفعول؛ | ب. | يشترك فيها ممثلين من المجالات الرييسيه للمؤسسه الماليه؛ | ج. | تؤدي الي تحديث سياسه ومعايير واجراءات تقنيه المعلومات لاستيعاب اي تغييرات ضروريه (ان امكن)؛ و | د. | تحتفظ بسجل محدث لجميع المتطلبات النظاميه والتنظيميه والتعاقديه ذات الصله؛ وتاثيرها والاجراءات المطلوبه. المبدا يجب اجراء المراجعه لتقنيه المعلومات وفقا لمعايير التدقيق المتعارف عليها والادله التنظيميه ذات الصله الصادره عن البنك المركزي للتحقق من ان تصميم ضوابط التحكم في تقنيه المعلومات يتم تنفيذها بشكل مناسب وتعمل علي النحو المنشود. متطلبات الرقابه 1. | يجب ان تتم اجراءات المراجعه لتقنيه المعلومات بشكل مستقل ووفقا لمعايير التدقيق المتعارف عليها والادله التنظيميه ذات الصله الصادره عن البنك المركزي. 2. | يجب علي المؤسسات الماليه انشاء دوره للمراجعه لتحدد تواتر عمليات المراجعه لتقنيه المعلومات. 3. | يجب علي المؤسسات الماليه وضع خطه رسميه لمراجعه تقنيه المعلومات تتناول الاشخاص والعمليات والمكونات التقنيه. 4. | يجب ان تتم الموافقه علي خطه المراجعه لتقنيه المعلومات من قبل لجنه المراجعه في المؤسسه الماليه. 5. | يجب ان يتماشي تواتر المراجعه لتقنيه المعلومات مع اهميه ومخاطر نظام او اجراءات تقنيه المعلومات. 6. | ينبغي انشاء اجراءات متابعه لملاحظات مراجعه تقنيه المعلومات من اجل متابعه حاله الملاحظات المرصوده. 7. | يجب علي المؤسسات الماليه التاكد من ان مراجعي تقنيه المعلومات يتمتعون بالمستوي المطلوب من الكفاءات والمهارات اللازمه لتقييم وتقدير مدي كفايه سياسات تقنيه المعلومات والاجراءات والعمليات والضوابط المطبقه. 8. | يجب ان يتوفر ما يلي في تقرير المراجعه لتقنيه المعلومات: | ا. | تضمين النتايج والتوصيات واستجابه الاداره مع خطه عمل محدده والجهه المسؤوله والقيود المفروضه علي النطاق فيما يتعلق باجراءات مراجعه تقنيه المعلومات؛ | ب. | ان يكون موقعا ومؤرخا وموزعا وفقا للصيغه المحدده؛ و | ج. | ان يتم تقديمه الي لجنه المراجعه بشكل دوري. المبدا يجب ان يتمتع موظفو المؤسسات الماليه بما يلزم من المهارات والمعرفه لتشغيل الاصول المعلوماتيه الخاصه بالمؤسسه الماليه بطريقه محكمه، وان يتم تدريبهم علي كيفيه تشغيل ومعالجه وتطبيق الضوابط ذات الصله بتقنيه المعلومات علي الاصول المعلوماتيه الخاصه بالمؤسسه الماليه. متطلبات الرقابه 1. | يجب علي المؤسسات الماليه تحديد وتعريف الادوار الحساسه داخل قسم تقنيه المعلومات (مثل مدير قاعده البيانات، ومسؤول النظام، وما الي ذلك) 2. | يجب ان تضمن المؤسسات الماليه توفير عدد كاف من الموظفين لادوار تقنيه المعلومات الحساسه، بحيث لا يتولي ادوار تقنيه المعلومات الحساسه موظف واحد فقط. 3. | يجب علي المؤسسات الماليه تحديد الشهادات المهنيه المطلوبه للموظفين المسؤولين عن الادوار الحساسه في مجال تقنيه المعلومات. 4. | يجب علي المؤسسات الماليه تقييم متطلبات التوظيف علي اساس دوري او عند حدوث تغييرات كبيره في بييات العمل او التشغيل او تقنيه المعلومات لضمان ان وظيفه تقنيه المعلومات لديها موارد كافيه. 5. | يجب علي المؤسسات الماليه وضع خطه تدريب سنويه لتقنيه المعلومات. 6. | اجراء تدريب رسمي، كحد ادني لما يلي: | ا. | موظفو تقنيه المعلومات (الحاليون والجدد)؛ و | ب. | المتعاقدين (حيثما ينطبق ذلك). 7. | يجب مراجعه خطه التدريب لتقنيه المعلومات بشكل دوري. 8. | يجب توفير التدريب المتخصص للموظفين في فيات المجالات الوظيفيه ذات الصله في المؤسسه الماليه بما يتماشي مع الوصف الوظيفي، بما في ذلك: | ا. | الموظفون المشاركون في اداء ادوار تقنيه المعلومات الحساسه؛ | ب. | الموظفون المشاركون في تطوير والمحافظه علي الاصول المعلوماتيه (من الناحيه التقنيه)؛ | ج. | الموظفون المشاركون في تقييم المخاطر. المبدا يجب قياس كفاءه وفعاليه اجراءات وخدمات تقنيه المعلومات في المؤسسات الماليه بشكل مستمر من خلال مؤشرات الاداء الرييسيه (KPIs). متطلبات الرقابه 1. | يجب تحديد مؤشرات الاداء الرييسيه واعتمادها وتنفيذها لقياس تنفيذ اجراءات تقنيه المعلومات واداء النظم. 2. | يجب تحديد مؤشرات الاداء الرييسيه مع مراعاه ما يلي علي سبيل المثال لا الحصر: | ا. | وظيفه تقنيه المعلومات والاجراءات ذات الصله؛ | ب. | كفاءه القوي العامله وتطورها؛ و | ج. | الالتزام بالتعليمات التنظيميه. 3. | مؤشرات الاداء الرييسيه يجب ان يتم: | ا. | ابلاغها الي اقسام/وحدات تقنيه المعلومات المعنيه في المؤسسات الماليه من اجل التنفيذ؛ | ب. | دعمها بالقيمه المستهدفه والعتبات؛ | ج. | تحليلها لتحديد اوجه الانحراف عن الاهداف والبدء في اتخاذ اجراءات تصحيحيه؛ | د. | تحليلها لتحديد الاتجاهات في الاداء والالتزام واتخاذ الاجراءات المناسبه؛ و | ه. | مراقبتها وتقديم تقارير دوريه بشانها الي الاداره العليا واللجنه التوجيهيه. اداره مخاطر تقنيه المعلومات اجراءات مستمره لتحديد المخاطر المتعلقه بتقنيه المعلومات وتحليلها والاستجابه لها ومراقبتها ومراجعتها من منظور العمليات والتقنيات والافراد. ويجب علي المؤسسات الماليه، من اجل اداره مخاطر تقنيه المعلومات، ان تقوم باستمرار بتحديد وتقييم وتقليل تلك المخاطر ضمن مستويات التحمل التي تحددها الاداره العليا للمؤسسه الماليه. المبدا ينبغي تحديد واعتماد وتنفيذ وتبليغ اجراءات اداره مخاطر تقنيه المعلومات ومواءمتها مع اجراءات اداره المخاطر المؤسسيه في المؤسسه الماليه، بما في ذلك تحديد مخاطر تقنيه المعلومات وتحليلها ومعالجتها ومراقبتها ومراجعتها علي فترات زمنيه مناسبه. متطلبات الرقابه 1. | يجب تحديد واعتماد وتنفيذ وتبليغ اجراءات اداره مخاطر تقنيه المعلومات. 2. | ينبغي قياس وتقييم فعاليه اجراءات اداره مخاطر تقنيه المعلومات دوريا. 3. | يجب ان تتماشي اجراءات اداره مخاطر تقنيه المعلومات مع اجراءات اداره المخاطر المؤسسيه في المؤسسه الماليه. 4. | يجب ان تتناول اجراءات اداره مخاطر تقنيه المعلومات الاجراءات الفرعيه التاليه بوضوح، بما في ذلك علي سبيل المثال لا الحصر: | ا. | تحديد المخاطر وتحليلها وتصنيفها؛ | ب. | معالجه المخاطر؛ | ج. | الابلاغ عن المخاطر؛ و | د. | مراقبه المخاطر وتوصيفها. 5. | يجب ان تعالج اجراءات اداره مخاطر تقنيه المعلومات الاصول المعلوماتيه للمؤسسه الماليه، بما في ذلك علي سبيل المثال لا الحصر: | ا. | اجراءات الاعمال والبيانات ذات الصله؛ | ب. | تطبيقات الاعمال؛ | ج. | مكونات البنيه التحتيه؛ و | د. | علاقات الاطراف الثالثه والمخاطر المرتبطه بها. 6. | يجب ان تعالج اجراءات اداره مخاطر تقنيه المعلومات الجانب البشري في المؤسسه الماليه (اي الموظفين الدايمين، والموظفين المتعاقدين، والاطراف الثالثه). 7. | يجب ان تبدا اجراءات اداره مخاطر تقنيه المعلومات، علي سبيل المثال لا الحصر، في: | ا. | مرحله مبكره من تنفيذ البرنامج والمشروع؛ | ب. | قبل الشروع في اجراء تغييرات حساسه وكبيره علي الاصول المعلوماتيه؛ | ج. | وقت الاستعانه بمصادر خارجيه للخدمات؛ و | د. | قبل شراء الانظمه والادوات والتقنيات الناشيه الجديده (مثل تقنيه دفتر الاستاذ الموزع ( (DTL ، وضمان العمليات الاليه ( RPA ) وما الي ذلك) 8. | يجب ان تخضع الاصول المعلوماتيه الحاليه لتقييم دوري لمخاطر تقنيه المعلومات بناء علي مدي اهميتها، علي سبيل المثال: | ا. | يجب تقييم جميع الاصول المعلوماتيه الحساسه مره واحده علي الاقل في السنه؛ و | ب. | يجب تقييم الاصول المعلوماتيه غير الحساسه بناء علي اهميتها للاعمال. 9. | يجب ان تشتمل انشطه اداره مخاطر تقنيه المعلومات اصحاب المصلحه التاليين، علي سبيل المثال لا الحصر: | ا. | اصحاب الاعمال والمستخدمون؛ | ب. | رؤساء اقسام/وظايف تقنيه المعلومات؛ | ج. | الاداريون الفنيون؛ و | د. | المتخصصون في الامن السيبراني. 10. | يجب علي المؤسسات الماليه وضع وتنفيذ الاستجابه لمخاطر تقنيه المعلومات (اي التجنب والتخفيف والنقل والقبول) وكذلك استراتيجيات التحكم التي تتوافق مع قيمه الاصول المعلوماتيه ومستوي تقبل المخاطر لدي المؤسسات الماليه. 11. | يجب تحديد مؤشرات المخاطر الرييسيه لتقنيه المعلومات (KRIs) وتنفيذها ومراقبتها. المبدا يجب تحديد الاصول المعلوماتيه وتسجيلها والمحافظه عليها حتي يتسني جمع المعلومات حول التهديدات ذات الصله، ويجب تحليل الضوابط الحاليه والمخاطر المرتبطه بها بناء علي احتماليه حدوثها والتاثير الناتج. متطلبات الرقابه 1. | يجب ان يتم تحديد مخاطر تقنيه المعلومات وتوثيقها وتحديثها بشكل دوري في سجل المخاطر المركزي الرسمي. 2. | يجب تحديث سجل مخاطر تقنيه المعلومات بانتظام. 3. | يجب ان يتناول تحليل مخاطر تقنيه المعلومات ما يلي، علي سبيل المثال لا الحصر: | ا. | وصف الاصول المعلوماتيه وتصنيفها؛ | ب. | التهديد (التهديدات) المحتمله للاصول المعلوماتيه؛ | ج. | التاثير والاحتماليه؛ | د. | ضوابط تقنيه المعلومات الحاليه؛ | ه. | مالك المخاطر (صاحب العمل او العمليه)؛ | و. | مالك التنفيذ (جهه التحكم)؛ و | ز. | المخاطر الكامنه والمتبقيه المتعلقه بالاصول المعلوماتيه. المبدا ينبغي معالجه مخاطر تقنيه المعلومات المرتبطه بالاصول المعلوماتيه الخاصه بالمؤسسه الماليه بشكل مناسب بناء علي المعايير المعمول بها (اي قبولها او تجنبها او نقلها او تخفيفها). متطلبات الرقابه 1. | يجب تحديد واعتماد وتبليغ خطه معالجه مخاطر تقنيه المعلومات. | 2. | يجب تنفيذ وتقييم خطه معالجه مخاطر تقنيه المعلومات دوريا. | 3. | يجب التعامل مع مخاطر تقنيه المعلومات وفقا لمستوي تقبل المخاطر لدي المؤسسه الماليه والمحدده من قبل مسؤول الحوكمه ذي الصله والمعتمده من قبل اللجنه التوجيهيه. | 4. | يجب ان تتضمن خطه معالجه مخاطر تقنيه المعلومات التصميم والتنفيذ التفصيلي للضوابط اللازمه للتخفيف من المخاطر المحدده. | 5. | يجب ان تضمن خطه معالجه مخاطر تقنيه المعلومات ان قايمه خيارات معالجه المخاطر موثقه رسميا (اي قبول المخاطر او تجنبها او نقلها او تخفيفها من خلال تطبيق ضوابط تقنيه المعلومات). | 6. | يجب ان يكون قبول المخاطر هو الاقل تفضيلا علي تخفيف المخاطر من خلال تنفيذ الضوابط الاوليه. | 7. | يجب ان يتم توثيق قبول مخاطر تقنيه المعلومات رسميا واعتماده وتوقيعه من قبل صاحب العمل وابلاغه الي لجنه المخاطر، مما يضمن ما يلي: | | ا. | تقديم مبرر تفصيلي لقبول المخاطر، بما في ذلك علي سبيل المثال لا الحصر ما يلي: | | 1. | اثر عدم تطبيق الضوابط الرييسيه (اي من الناحيه التشغيليه والماليه والمتعلق بالسمعه)؛ و | | | 2. | الضوابط التعويضيه بدلا من الضوابط الاوليه لتخفيف المخاطر. | | ب. | ان مخاطر تقنيه المعلومات مقبوله ضمن حدود رغبه المؤسسه الماليه في المخاطره؛ | ج. | عدم تعارض مخاطر تقنيه المعلومات المقبوله مع تعليمات البنك المركزي؛ | د. | توثيق استثناء منفصل لكل خطر فريد؛ | ه. | تجديد قبول المخاطر بشكل دوري؛ و | و. | عرض قبول المخاطر علي لجنه المخاطر وابلاغها به. 8. | يجب ان يتضمن تجنب مخاطر تقنيه المعلومات قرارا من صاحب العمل ولجنه المخاطر بالغاء او تاجيل نشاط او مشروع معين يؤدي الي مخاطر غير مقبوله في مجال تقنيه المعلومات علي الاعمال. | 9. | يجب ان يتوفر في نقل او مشاركه مخاطر تقنيه المعلومات ما يلي: | | ا. | مشاركه مخاطر تقنيه المعلومات مع مقدمي الخدمات ذوي الصله (الداخليين او الخارجيين)؛ و | ب. | الموافقه عليه من قبل مقدمي الخدمات المتلقيين (الداخليين او الخارجيين). 10. | يجب ان يتضمن تطبيق ضوابط تقنيه المعلومات بغرض التخفيف من مخاطر تقنيه المعلومات ما يلي: | | ا. | تحديد الضوابط المناسبه لتقنيه المعلومات؛ | ب. | تقييم نقاط القوه والضعف في ضوابط تقنيه المعلومات؛ | ج. | اختيار الضوابط المناسبه لتقنيه المعلومات؛ و | د. | توثيق اي مخاطر متبقيه والحصول علي الموافقه علي صاحب العمل ولجنه المخاطر عليها. 11. | يجب توثيق اجراءات معالجه مخاطر تقنيه المعلومات في خطه معالجه المخاطر. | المبدا يجب التعامل مع مخاطر تقنيه المعلومات وفقا لخطط العلاج المحدده ويجب مراجعتها ومراقبتها والابلاغ عنها بشكل فعال. متطلبات الرقابه 1. | يجب توثيق نتايج تقييم مخاطر تقنيه المعلومات رسميا وابلاغها الي اصحاب الاعمال المعنيين والاداره العليا. 2. | يجب ان تتضمن نتايج تقييم مخاطر تقنيه المعلومات المخاطر والتاثير والاحتماليه والتخفيف من المخاطر وحاله المعالجه. 3. | يجب مراقبه مخاطر تقنيه المعلومات من حيث، علي سبيل المثال لا الحصر: | ا. | تتبع التقدم وفقا لخطه معالجه المخاطر؛ و | ب. | يتم تنفيذ ضوابط تقنيه المعلومات المختاره والمتفق عليها. 4. | يجب مراقبه التصميم والفعاليه التشغيليه لضوابط تقنيه المعلومات المنقحه او المطبقه حديثا ومراجعتها بشكل دوري. 5. | يجب علي اصحاب الاعمال المعنيين قبول نتايج تقييم مخاطر تقنيه المعلومات. 6. | يجب المصادقه علي نتايج تقييم مخاطر تقنيه المعلومات من قبل لجنه المخاطر. 7. | يجب تحديد مؤشرات المخاطر الرييسيه لتقنيه المعلومات (KRIs) وتنفيذها ومراقبتها. 8. | يجب تقديم ملف تعريف مخاطر تقنيه المعلومات والبيانات ذات الصله كمدخل الي قسم المخاطر التشغيليه لصياغه ملف تعريف المخاطر علي مستوي المؤسسه. 9. | ينبغي صياغه ملف تعريف مخاطر تقنيه المعلومات وتقديمه الي الاداره العليا واللجنه التوجيهيه ومجلس الاداره دوريا. يمكن تعريف اداره عمليات تقنيه المعلومات علي انها الوظيفه المسؤوله عن الاداره والصيانه المستمره للتطبيقات والبني التحتيه لتقنيه المعلومات بالمؤسسه الماليه لضمان تقديم المستوي المتفق عليه من خدمات تقنيه المعلومات الي الاعمال. ومن ثم، يجب ان تعالج المؤسسات الماليه عوامل مخاطر تقنيه المعلومات من خلال الاداره والرقابه الفعاله. المبدا يجب انشاء اجراءات اداره الاصول لتوفير رؤيه واضحه حول الاصول المعلوماتيه الخاصه بالمؤسسه الماليه من خلال الحفاظ علي قايمه جرد دقيقه وحديثه. متطلبات الرقابه 1. | يجب تحديد واعتماد وتنفيذ وتبليغ اجراءات اداره الاصول. 2. | تجب مراقبه وقياس وتقييم فعاليه اجراءات اداره الاصول بشكل دوري. 3. | يجب ان تتضمن اجراءات اداره الاصول، علي سبيل المثال لا الحصر، ما يلي: | ا. | تاهيل الاصول؛ | ب. | تحديد الاصول وتصنيفها ووسمها والتعامل معها؛ | ج. | التخلص من الاصول؛ و | د. | ايقاف تشغيل الاصول. 4. | يجب ان يوفر سجل الاصول مستوي من التفاصيل، بما في ذلك (علي سبيل المثال لا الحصر): | ا. | اسم الاصل؛ | ب. | مالك الاصل؛ | ج. | امين الاصل؛ اهميه الاصل؛ | د. | الموقع الفعلي للاصل ؛ | ه. | الموقع المنطقي للاصل (منطقه الشبكه)؛ | و. | تحديد ان كان الاصل ضمن النطاق المباشر لصناعه بطاقات الدفع؛ | ز. | تحديد ان كان الاصل خارج النطاق المباشر لصناعه بطاقات الدفع ؛ | ح. | معلومات التوافر او النسخ الاحتياطي؛ | ط. | معلومات عقد الخدمه او الترخيص؛ | ي. | معلومات التواصل مع الفرق التقنيه (لنظام التشغيل، والتطبيقات، وقاعده البيانات، والشبكه)؛ | ك. | العمليات الاوليه والثانويه التي يدعمها الاصل؛ | ل. | وقت التوقف المقبول عن العمل المتوافق مع اداره استمراريه الاعمال - تحليل اثر انقطاع الاعمال حيثما ينطبق ذلك؛ | م. | التاثير المالي لكل ساعه في حاله التوقف؛ | ن. | رقم عقد تكليف المورد؛ | س. | تفاصيل جهه التواصل مع المورد؛ | ص. | تفاصيل اتفاقيه مستوي الخدمه الخاصه بالمورد؛ و | ض. | تفاصيل تصنيف المورد. 5. | يجب الاحتفاظ بسجل الاصول وتحديثه علي اساس سنوي، او كلما تم ادخال اي اصل او ازالته من المخزون. 6. | يجب علي المؤسسات الماليه: | ا. | تعيين معايير تحديد الاصول الحساسه؛ | ب. | تحديد والمحافظه والتحديث الدوري للقايمه الشامله للاصول الحساسه؛ | ج. | مراقبه اداء الاصول الحساسه بشكل استباقي؛ و | د. | ضمان وجود تدابير مرونه كافيه للاصول الحساسه للحفاظ علي توافر الخدمات الحساسه المطلوبه. 7. | يجب ان يكون مالك الاصل مسؤولا ، علي سبيل المثال لا الحصر، عما يلي: | ا. | تصنيف ووسم الاصل؛ | ب. | تحديد ومراجعه حقوق الوصول والقيود، ومراعاه سياسات التحكم في الوصول المعمول بها في المؤسسات الماليه؛ | ج. | التفويض بالتغييرات المتعلقه بالاصول؛ و | د. | ضمان التوافق مع ضوابط الامن السيبراني. 8. | يجب التخلص من الاصول بطريقه محكمه وامنه عند انتهاء عمرها الانتاجي وعند الوفاء بالالتزامات الاخري ذات الصله. المبدا يجب تحديد الاعتمادات المتبادله بين الاصول المعلوماتيه الحساسه وادارتها من خلال نموذج الحوكمه لضمان توافر عمليات الاعمال. متطلبات الرقابه يجب علي المؤسسات الماليه تحديد وتنفيذ نموذج حوكمه قوي في ضوء ترابطها مع اصحاب المصلحه المعنيين (مثل مقدمي الخدمات والمؤسسات الحكوميه وغيرها) يجب علي المؤسسات الماليه تحديد الاعتمادات المتبادله بين الاصول المعلوماتيه الحساسه الخاصه بها. وكجزء من اختبارات خطه استمراريه الاعمال، يجب علي المؤسسات ان تاخذ بعين الاعتبار الترابط بين السيناريوهات لاصول المعلوماتيه الحساسه ضمن بنيتها التحتيه. ملحوظه: لمزيد من متطلبات التحكم من اجل تحسين المرونه الشامله، يرجي الرجوع الي الدليل التنظيمي لاداره استمراريه الاعمال الصادر عن البنك المركزي . المبدا يجب الاتفاق رسميا علي الشروط والاحكام التعاقديه التي تحكم الادوار والعلاقات والالتزامات والمسؤوليات الخاصه باصحاب المصلحه الداخليين والاطراف الخارجيه، وتطويرها وضبطها بشكل كاف. متطلبات الرقابه 1. | يجب تحديد اتفاقيه مستوي خدمه تقنيه المعلومات الداخليه رسميا والموافقه عليها وابلاغها الي اداره الاعمال ذات الصله في المؤسسات الماليه. 2. | يجب مراقبه وقياس وتقييم مدي فعاليه اتفاقيه مستوي الخدمه الداخليه لتقنيه المعلومات. 3. | يجب ان تتضمن اتفاقيه مستوي الخدمه الداخليه لتقنيه المعلومات ما يلي، علي سبيل المثال لا الحصر: | ا. | مستوي الخدمه المتفق عليه بين وظايف الاعمال وقسم تقنيه المعلومات؛ | ب. | اهداف محدده وقابله للقياس لخدمات تقنيه المعلومات مقابل مؤشرات الاداء الرييسيه المحدده؛ و | ج. | ادوار ومسؤوليات اصحاب المصلحه في قطاع الاعمال وتقنيه المعلومات. 4. | يجب تحديد واعتماد وتنفيذ وتبليغ اجراءات اداره العلاقه مع الطرف الثالث. 5. | يجب مراقبه وقياس وتقييم فعاليه اجراءات اداره العلاقه مع الطرف الثالث بشكل دوري. 6. | يجب تحديد اتفاقيه مستوي الخدمه الرسميه وتوقيعها مع الطرف الثالث. 7. | يجب ان تغطي اجراءات اداره العلاقه مع الطرف الثالث المتطلبات التاليه، علي سبيل المثال لا الحصر: | ا. | يجب ان يكون لدي مقدمي خدمات الاسناد المعنيين اجراءات مناسبه لضمان توافر وحمايه البيانات والتطبيقات المسنده؛ | ب. | اعداد التقارير الدوريه ومراجعه وتقييم المتطلبات المتفق عليها تعاقديا (في اتفاقيات مستوي الخدمه)؛ | ج. | التغييرات في تقديم الخدمات المقدمه؛ | د. | تنفيذ تقييم المخاطر كجزء من عمليه الشراء؛ | ه. | اجراءات التصعيد في حاله انتهاك اتفاقيه مستوي الخدمه؛ | و. | الضمانات الاداريه والماديه والفنيه التي تحمي بشكل معقول ومناسب سريه المعلومات وسلامتها وتوافرها؛ | ز. | ضمان قانوني من الطرف الثالث لتقديم الدعم في الموقع حين يتطلب وجود مهندس دعم معتمد وذو خبره وضمن جدول زمني محدد لدعم المؤسسات الماليه في المواقف السلبيه؛ | ح. | الخروج من العقد او انهايه او تجديده (بما في ذلك اتفاقيات الضمان ان وجدت)؛ | ط. | الالتزام بالتعليمات التنظيميه ذات العلاقه بما في ذلك علي سبيل المثال لا الحصر الدليل االتنظيمي لامن المعلومات و الدليل التنظيمي لاداره استمراريه الاعمال و الدليل التنظيمي لحوكمه تقنيه المعلومات - والانظمه والتعليمات المعمول بها؛ | ي. | الحق في التدقيق (المؤسسات الماليه او جهه مستقله)؛ و | ك. | اتفاقيه عدم الافصاح ("NDA"). المبدا يجب الحفاظ علي توافر الخدمه لدعم وظايف اعمال المؤسسات الماليه وتجنب تعطل وبطء اداء الانظمه من خلال مراقبه عتبات النظام الحاليه والتنبؤ بمتطلبات الاداء والسعه المستقبليه. متطلبات الرقابه 1. | ينبغي تحديد واعتماد وتنفيذ اجراءات اداره توافر وسعه تقنيه المعلومات. 2. | يجب مراقبه وقياس وتقييم فعاليه اجراءات اداره توافر وسعه تقنيه المعلومات بشكل دوري. 3. | يجب وضع واعتماد وتقييم خطه توافر وسعه تقنيه المعلومات دوريا. 4. | يجب تحديد خطه توافر وسعه تقنيه المعلومات لمعالجه ما يلي، علي سبيل المثال لا الحصر: | ا. | السعه الحاليه للانظمه والموارد؛ | ب. | المواءمه مع احتياجات العمل الحاليه والمستقبليه؛ | ج. | متطلبات التوافر العاليه (بما في ذلك تعطل وبطء قنوات العملاء)؛ | د. | الادوار والمسؤوليات اللازمه للحفاظ علي الخطه؛ و | ه. | تحديد التبعيات علي مقدمي الخدمات كجزء من تخطيط السعات لمعالجه متطلبات اداره استمراريه الاعمال. 5. | يجب تحديد عتبات اداء النظام وتنفيذها. 6. | يجب مراقبه اداء النظام مع الاخذ في الاعتبار ما يلي، علي سبيل المثال لا الحصر: | ا. | متطلبات العمل الحاليه والمستقبليه؛ | ب. | اتفاقيه مستوي الخدمه المتفق عليها مع وحدات الاعمال؛ | ج. | البني التحتيه الحساسه لتقنيه المعلومات؛ | د. | تعطل وبطء في النظام (النظم) الاساسيه التي تدعم قنوات العملاء؛ و | ه. | الدروس المستفاده من مشكلات اداء النظام السابقه. 7. | يجب تحديد الانحرافات عن خطوط الاساس/عتبات السعه والاداء المحدده وتوثيقها ومتابعتها وابلاغ الاداره ولجنه خدمات تقنيه المعلومات. المبدا يتم تصميم وتنفيذ ضوابط ماديه كافيه لحمايه مرافق ومعدات تقنيه المعلومات من التلف والوصول غير المصرح به. متطلبات الرقابه 1. | يجب تحديد الضوابط الماديه والبيييه لاداره مركز البيانات والموافقه عليها وتنفيذها. 2. | يجب مراقبه وتقييم الضوابط الماديه والبيييه بشكل دوري. 3. | يجب تنفيذ الضوابط الماديه والبيييه اللازمه مثل علي سبيل المثال لا الحصر: | ا. | يجب ان يكون الوصول الي مركز البيانات خاضعا لرقابه صارمه ومتاحا علي اساس الحاجه الي المعرفه؛ | ب. | يجب تسجيل دخول الزايرين الي مركز البيانات ومرافقتهم من قبل شخص مخول؛ | ج. | اجهزه كشف الدخان؛ | د. | الحريق؛ | ه. | طفايات الحريق؛ | و. | مراقبه الرطوبه؛ | ز. | مراقبه درجه الحراره. و | ح. | الدواير التلفزيونيه المغلقه. 4. | يجب ان يتوافق اسناد المهام لمركز البيانات مع المتطلبات المنشوره في تعاميم البنك المركزي بشان تعليمات اسناد المهام الي طرف ثالث و الدليل التنظيمي لامن المعلومات . 5. | يجب علي المؤسسات الماليه التاكد من تضمين الضوابط الرقابيه المناسبه في العقود المبرمه مع مقدمي الخدمات الذين يخططون لاسناد مهام مركز البيانات والتي تشمل علي سبيل المثال لا الحصر: | ا. | وجود حاله عمل موثقه لاسناد مهام خدمات مركز البيانات؛ و | ب. | طبيعه ونوعيه الوصول الي مركز البيانات من قبل مزود الخدمه. المبدا يجب تصميم ضوابط اداره احداث تقنيه المعلومات وبنيه الشبكه وتنفيذها لمراقبه عمليات تقنيه المعلومات بشكل مستمر من اجل حمايه شبكه المؤسسات الماليه من الوصول غير المصرح به. متطلبات الرقابه 1. | يجب علي المؤسسات الماليه تحديد واعتماد وتنفيذ سياسه هيكليه الشبكه مع مراعاه ما يلي: | ا. | موقف المؤسسه فيما يتعلق بالاستخدام المقبول للشبكه؛ | ب. | قواعد صريحه للاستخدام الامن لموارد وخدمات وتطبيقات محدده للشبكه؛ | ج. | عواقب عدم الالتزام بالقواعد الامنيه؛ | د. | موقف المؤسسه من اساءه استخدام الشبكه؛ و | ه. | الاساس (الاسس) المنطقيه للسياسه ولاي قواعد امنيه محدده. 2. | يجب علي المؤسسات الماليه التاكد من تنفيذ ضوابط هيكليه الشبكه التاليه، والتي تشمل علي سبيل المثال لا الحصر: | ا. | رسم تخطيطي للشبكه يوضح البنيه التحتيه الحاليه الكامله؛ | ب. | تجزيه الشبكه الي نطاقات شبكيه متعدده منفصله بناء علي مستويات الثقه المطلوبه (مثل النطاق العام، ونطاق سطح الاجهزه المكتبيه، ونطاق الخوادم) وبما يتماشي مع المبادي التصميميه ذات الصله؛ | ج. | يجب ان يكون محيط كل نطاق من نطاقات الشبكه محميا بشكل جيد بواسطه بوابه امان (مثل جدار الحمايه، موجه التصفيه). وبالنسبه لكل بوابه امنيه، يجب وضع وتنفيذ قواعد منفصله للوصول الي الخدمه (الامان) لضمان عدم السماح بمرور سوي حركه المرور المصرح بها؛ | د. | كافه حركات المرور الداخليه (مستخدمو المكتب الرييسي، ومستخدمو الفرع، ومستخدمو الطرف الثالث، الخ) الماره الي الشبكه الفرعيه المراقبه او الخوادم الداخليه يجب ان تمر عبر بوابتين امنيتين (جدار الحمايه)؛ | ه. | يتم توجيه جميع عمليات الوصول الي الانترنت الصادره من الشبكات الداخليه عبر خادم وكيل بحيث لا يسمح بالوصول الا للمستخدمين المعتمدين المصادق عليهم؛ | و. | يجب عزل شبكه الزايرين (الشبكه السلكيه/اللاسلكيه) وفصلها عن الشبكه الداخليه؛ | ز. | يجب ان يقوم جدار الحمايه المحيط بالشبكه الفرعيه المراقبه باطلاق تنبيه وحظر المسح النشط ؛ | ح. | يجب تنفيذ جدار حمايه تطبيقات الويب (WAF) للتطبيقات الموجهه للعملاء؛ | ط. | ضمان عدم وجود نقطه فشل واحده تؤثر علي توافر الخدمه الحساسه؛ | ي. | يجب نشر خادم مصادقه مركزي (AAA او TACACS او RADIUS، الخ) لاداره المصادقه والترخيص لاجهزه الشبكه؛ | ك. | يجب نشر خادم السجل المركزي (علي سبيل المثال، خادم سجل النظام) لجمع السجلات وتخزينها من جميع اجهزه الشبكه؛ | ل. | يجب ان تبلغ فتره الاحتفاظ بالسجلات 12 شهرا كحد ادني؛ | م. | يجب علي جميع اجهزه الشبكه مزامنه توقيتات الساعه الخاصه بها من خادم بروتوكول وقت الشبكه مركزي؛ | ن. | يجب ان تكون جميع اتصالات الشبكه عبر الشبكه الخارجيه (WLAN) والانترنت من خلال قناه مشفره؛ | س. | يجب ان يقتصر الوصول عن بعد علي مجموعه معينه من عناوين بروتوكول الانترنت؛ | ص. | يجب ان تكون الاداره عن بعد عبر قناه مشفره (مثل SSL VPN وSSH)؛ | ش. | يجب ان يكون الوصول الي الاداره عن بعد للموردين محددا بفتره زمنيه ويتم منحه علي اساس الحاجه الي جانب اخذ الموافقه؛ | ض. | فحص اجهزه المؤسسه الماليه قبل الدخول الي الشبكه لضمان تطبيق السياسات الامنيه علي الاجهزه قبل دخولها الي شبكه المؤسسه؛ و | ظ. | الفصل بين الواجبات داخل مكون البنيه التحتيه (مدعوما بمصفوفه موثقه لملف التفويض). 3. | يجب علي المؤسسات الماليه التاكد من مراقبه الشبكه مع الاخذ في الاعتبار ما يلي، علي سبيل المثال لا الحصر: | ا. | المسارات الاداريه بما في ذلك مسارات تسجيل الدخول والنشاط (مثل تغيير التكوين، وتغيير القاعده، وما الي ذلك)؛ | ب. | استخدام الموارد (المعالج والذاكره)؛ و | ج. | ربط الشبكه بجميع الفروع واجهزه الصراف الالي. المبدا يجب تحديد واعتماد وتنفيذ اجراءات الاداره الدفعيه من اجل اداره المعالجه المجمعه للمهام المؤتمته بطريقه فعاله ومضبوطه. متطلبات الرقابه 1. | يجب تحديد واعتماد وتنفيذ وتبليغ اجراءات الاداره الدفعيه. 2. | يجب قياس وتقييم فعاليه اجراءات الاداره الدفعيه بشكل دوري. 3. | يجب ان تتضمن اجراءات الاداره الدفعيه ما يلي، علي سبيل المثال لا الحصر: | ا. | جداول بدايه ونهايه اليوم؛ | ب. | الادوار والمسؤوليات؛ | ج. | مراقبه الدفعات؛ و | د. | معالجه الخطا او الاستثناء. 4. | يجب ان تتم الموافقه علي التغييرات في جداول الدفعات من قبل اصحاب المصلحه المعنيين. 5. | يجب علي المؤسسات الماليه الاحتفاظ بسجل يحتوي علي معلومات حول العمليات المجمعه لبدايه ونهايه اليوم بالاضافه الي حالته مثلا (ناجحه او فاشله). المبدا ينبغي انشاء اجراءات اداره حوادث تقنيه المعلومات حتي يتسني تحديد الحوادث التقنيه التي تؤثر علي الاصول المعلوماتيه الخاصه بالمؤسسه الماليه والاستجابه لها والتعامل معها في الوقت المناسب، والابلاغ عن الحوادث ذات الصله الي البنك المركزي، وفقا لبروتوكول اتصال محدد. متطلبات الرقابه 1. | يجب تحديد واعتماد وتنقيذ وتبليغ اجراءات اداره حوادث تقنيه المعلومات. 2. | يجب قياس وتقييم فعاليه اجراءات اداره حوادث تقنيه المعلومات بشكل دوري. 3. | يجب ان تتضمن اجراءات اداره حوادث تقنيه المعلومات المتطلبات التاليه، علي سبيل المثال لا الحصر: | ا. | تشكيل فريق معين مسؤول عن اداره الحوادث؛ | ب. | خطه تواصل؛ | ج. | تفاصيل الموظفين الرييسيين الذين يتعين اخطارهم؛ | د. | الموظفون المهره والمدربون (باستمرار)؛ | ه. | تحديد اولويات الحوادث وتصنيفها؛ | و. | التعامل مع الحوادث في الوقت المناسب، وتسجيل ورصد التقدم المحرز؛ | ز. | حمايه الادله والتسجيلات ذات الصله؛ | ح. | انشطه ما بعد وقوع الحوادث مثل تحليل الاسباب الجذريه للحوادث؛ و | ط. | الدروس المستفاده. 4. | يجب اتمته اجراءات اداره حوادث تقنيه المعلومات، مثلا من خلال مكتب خدمه تقنيه المعلومات. 5. | يجب انشاء اجراءات لتوثيق تفاصيل الحادث، ويجب ابلاغ موظفي تقنيه المعلومات المعنيين بالخطوات المتخذه المثمره وغير والمثمره علي حد سواء من اجل اكتساب الخبره العمليه وكذلك للرجوع اليها في المستقبل لتعزيز الكفاءه. 6. | يجب تسجيل جميع طلبات المستخدم وحوادث تقنيه المعلومات بالمعلومات التاليه علي سبيل المثال لا الحصر: | ا. | رقم مرجعي فريد؛ | ب. | التاريخ والوقت؛ | ج. | اسم الخدمات والانظمه المتاثره؛ | د. | تحديث المالك المعني؛ و | ه. | التصنيف وترتيب الاولويات بناء علي اولويتها وتاثيرها. 7. | يجب تتبع جميع حوادث تقنيه المعلومات وحلها وفقا لمستوي الخدمه المتفق عليه. 8. | يجب اشراك فرق المؤسسات الماليه ذات الصله (عند الاقتضاء) لضمان التعامل المناسب مع الحادث. 9. | يجب علي المؤسسات الماليه ابلاغ الاداره الرقابيه المعنيه في البنك المركزي فور تحديد حادثه مصنفه علي انها "متوسطه" او اعلي من ذلك والتي لها تاثير علي العملاء، وفقا للدليل التنظيمي لاداره استمراريه الاعمال الصادر عن البنك المركزي. 10. | يجب علي المؤسسات الماليه ابلاغ الاداره الرقابيه المعنيه في البنك المركزي فور تحديد تعطل وبطء في تطبيق و/او تطبيقات مهمه من شانها التاثير علي العملاء. 11. | يجب علي المؤسسات الماليه اخطار الاداره الرقابيه المعنيه في البنك المركزي قبل الكشف عن اي معلومات حول الحادثه لوسايل الاعلام. 12. | يجب علي المؤسسات الماليه تقديم تقرير تفصيلي عن الحادثه خلال خمسه (5) ايام الي الاداره الرقابيه المعنيه في البنك المركزي، بما في ذلك التفاصيل التاليه كحد ادني: | ا. | عنوان الحادثه؛ | ب. | تحديد وتصنيف وتحديد اولويات الحادثه؛ | ج. | تسجيل ومراقبه الحادثه؛ | د. | حل واغلاق الحادثه؛ | ه. | تقييم التاثير مثل الامور الماليه و/او والمتعلقه بالبيانات و/او العملاء و/او السمعه؛ | و. | تاريخ ووقت الحادثه؛ | ز. | اسم الخدمات والانظمه المتاثره؛ | ح. | تحليل السبب الجذري؛ و | ط. | الاجراءات التصحيحيه مع التواريخ المستهدفه. المبدا يجب تحديد معايير واجراءات الابلاغ عن المشكلات للحد من الحوادث المتكرره وتقليل تاثير الحوادث علي المؤسسات الماليه. متطلبات الرقابه 1. | يجب تحديد واعتماد وتنفيذ وتبليغ اجراءات اداره المشكلات. 2. | يجب قياس وتقييم مدي فعاليه اجراءات اداره المشكلات بشكل دوري. 3. | يجب ان تتضمن اجراءات اداره المشكلات المتطلبات التاليه علي سبيل المثال لا الحصر: | ا. | تحديد المشكله وتصنيفها وتحديد اولوياتها؛ | ب. | تسجيل المشكله ورصدها؛ | ج. | حل المشكله واغلاقها؛ | د. | حمايه الادله والسجلات ذات الصله؛ | ه. | تقييم التاثير مثل الامور الماليه و/او والمتعلقه بالبيانات و/او العملاء و/او السمعه؛ | و. | تاريخ ووقت المشكله؛ | ز. | اسم الخدمات والانظمه المتاثره؛ | ح. | تحليل السبب الجذري؛ و | ط. | الاجراءات التصحيحيه. 4. | يجب ان تحتفظ المؤسسات الماليه بقاعده بيانات لسجلات الاخطاء المعروفه في النظم. المبدا يجب تحديد واعتماد وتنفيذ استراتيجيه اداره النسخ الاحتياطي للبيانات الي جانب اجراءات النسخ الاحتياطي والاستعاده لضمان موثوقيه بيانات المؤسسات الماليه وتوافرها وامكانيه استعادتها. متطلبات الرقابه 1. | يجب تحديد واعتماد وتنفيذ استراتيجيه اداره النسخ الاحتياطي للبيانات. 2. | يجب ان تراعي سياسه اداره النسخ الاحتياطي للبيانات ما يلي، علي سبيل المثال لا الحصر: | ا. | التوافق مع الدليل التنظيمي لاداره استمراريه الاعمال الصادر عن البنك المركزي؛ | ب. | تنفيذ قدرات النسخ المتماثل والنسخ الاحتياطي والاسترداد؛ | ج. | مخزن البيانات؛ | د. | استرجاع البيانات؛ و | ه. | الاحتفاظ بالبيانات وفقا للمتطلبات النظاميه والتنظيميه ومتطلبات الاعمال. 3. | يجب تحديد واعتماد وتنفيذ اجراءات النسخ الاحتياطي والاستعاده. 4. | يجب قياس وتقييم فعاليه اجراء النسخ الاحتياطي والاستعاده بشكل دوري. 5. | يجب علي المؤسسات الماليه تحديد متطلبات النسخ الاحتياطي والاستعاده الخاصه بها مع الاخذ في الاعتبار ما يلي، علي سبيل المثال لا الحصر: | ا. | المتطلبات النظاميه والتنظيميه؛ | ب. | متطلبات العمل بما يتماشي مع نقطه التعافي المستهدفه (RPO) المتفق عليها؛ | ج. | نوع النسخ الاحتياطيه (دون اتصال بالانترنت، عبر الانترنت، كامل، تزايدي، وما الي ذلك)؛ و | د. | جدول النسخ الاحتياطي (يومي، اسبوعي، شهري، الخ). 6. | يجب علي المؤسسات الماليه التاكد من عمل نسخه احتياطيه من المعلومات التاليه علي الاقل: | ا. | التطبيقات؛ | ب. | برامج انظمه التشغيل؛ | ج. | قواعد بيانات؛ و | د. | تهييه الاجهزه. 7. | في حاله نسخ البيانات بين الموقع الرييسي وموقع التعافي من الكوارث، يجب علي المؤسسات الماليه التاكد من حل جميع مشكلات النسخ في الوقت المناسب بحيث تكون البيانات الموجوده في موقع التعافي من الكوارث متزامنه مع الموقع الرييسي وفقا لنقطه التعافي المستهدفه (RPO) ووقت التعافي المستهدف (RTO). 8. | يجب علي المؤسسات الماليه التاكد من ان اوقات التعافي المستهدفه للخدمات الحساسه مثل انظمه الدفع والخدمات المتعلقه بالعملاء وما الي ذلك محدده بشكل مناسب مع مراعاه التوافريه العاليه للعمليات الداعمه والحد الادني من التعطيل في حاله وقوع كارثه. 9. | يجب علي المؤسسه الماليه التاكد من وجود استثمارات كافيه من منظور الاشخاص والعمليات والتقنيه لتحقيق اوقات التعافي المستهدفه. 10. | يجب علي المؤسسات الماليه تنفيذ اليه بديله للنسخ الاحتياطي والتكرار (مثل تفريغ المعاملات بالاضافه الي النسخ الاحتياطي الكامل لقاعده البيانات). 11. | يجب علي المؤسسات الماليه اجراء اختبارات دوريه والتحقق من قدره التعافي والاسترداد من وسايط النسخ الاحتياطي. 12. | يجب ان يتم تصنيف وسايط النسخ الاحتياطي بشكل مناسب. 13. | يجب تشفير وسايط النسخ الاحتياطي، بما في ذلك اقراص التخزين الخارجيه (USB)، التي تحتوي علي معلومات حساسه او سريه قبل نقلها الي خارج الموقع لتخزينها. المبدا يجب تحديد واداره اجراءات رسميه لانشاء وتوزيع وتخزين واستخدام وسحب صور الانظمه الافتراضيه او اللقطات او الحاويات الافتراضيه بطريقه خاضعه للرقابه وامنه. متطلبات الرقابه يجب تحديد واعتماد وتنفيذ وتبليغ الاجراءات لاعداد بييه افتراضيه لدي المؤسسات الماليه. ويجب ان تخضع اجراءات للحوكمه وفق السياسات والعمليات والمعايير المحدده. يجب قياس وتقييم مدي فعاليه اجراءات الانظمه الافتراضيه او اجراءات التعيبه بالحاويات بشكل دوري. يجب تزويد جميع المكونات الافتراضيه المنشوره في المؤسسات الماليه بنفس مستوي الامان الذي تتمتع به البييه غير الافتراضيه. يجب تهييه جميع المكونات الافتراضيه بشكل ملايم باستخدام معايير الامان الاساسيه الدنيا المحدده والمعتمده (MBSS) الخاصه بالانظمه الافتراضيه او التعبيه بالحاويات. يجب تنفيذ اليه مصادقه قويه ومنح حق الوصول علي اساس الحاجه الي المعرفه او وفق الحد الادني اللازم من الامتيازات لجميع البييات الافتراضيه بما في ذلك نظام التشغيل المضيف، ومراقب الاجهزه الافتراضيه، وانظمه تشغيل الضيف واي مكونات اخري ذات صله. يجب التعامل مع انشاء وتوزيع وتخزين واستخدام وسحب واتلاف الانظمه واللقطات الافتراضيه بطريقه امنه وخاضعه للتحكم. يجب مراعاه ما يلي كجزء من الانظمه الافتراضيه/الحاويه البرمجيه، علي سبيل المثال لا الحصر: | | ا. | يجب التحكم في الوصول الاداري باحكام حيث يجب تقييد الوصول عبر المسؤول المحلي؛ | | ب. | يجب ان تقتصر اداره برامج مراقبه الاجهزه الافتراضيه علي المسؤولين فقط؛ | | ج. | يجب ان تكون بييه الاختبار الافتراضيه منفصله ماديا و/او منطقيا عن بييه الانتاج، بل ويجب الا تعمل علي نفس المضيف؛ | | د. | يجب تعطيل البرامج والخدمات غير الضروريه علي الاجهزه الافتراضيه ما لم تسمح اداره الاعمال المعنيه بذلك؛ | | ه. | يجب تفعيل سجلات التدقيق ومراقبته لجميع الاجهزه الافتراضيه وان تتضمن علي سبيل المثال لا الحصر: | | | 1. | الانشاء والنشر والازاله؛ | | | | 2. | الانشطه الاداريه؛ و | | | | 3. | انشاء وتعديل وحذف المكونات علي مستوي النظام. | | | و. | يجب وضع الضوابط المناسبه لحمايه البيانات الحساسه والحيويه التي يتم استخدامها وادارتها من خلال الانظمه او اللقطات الافتراضيه؛ و | | ز. | يجب عمل نسخه احتياطيه لجميع محركات الاقراص الافتراضيه التي تستخدمها انظمه تشغيل الضيف واختبارها بشكل منتظم، باستخدام نفس سياسه اداره النسخ الاحتياطي المستخدمه في الانظمه غير الافتراضيه. اداره التغيير في النظم عباره عن اجراءات لتحديد وتصميم واختبار وتنفيذ التغييرات المتعلقه بالاصول المعلوماتيه بما في ذلك علي سبيل المثال لا الحصر التطبيقات والبرمجيات والاجهزه والبيانات. وبالتالي، يجب معالجه عوامل المخاطر المتعلقه باداره التغيير في النظم من قبل المؤسسات الماليه من خلال التنفيذ المناسب لضوابط تقنيه المعلومات المطلوبه. المبدا ينبغي انشاء اجراءات اداره التغيير لضمان تصنيف التغييرات في الاصول المعلوماتيه الخاصه بالمؤسسه الماليه واختبارها واعتمادها قبل نشرها في بييات الانتاج. متطلبات الرقابه 1. | يجب تحديد واعتماد وتنفيذ وتبليغ اجراءات اداره التغيير في النظم داخل المؤسسات الماليه. 2. | يجب قياس وتقييم فعاليه اجراءات اداره التغيير في النظم بشكل دوري. 3. | يجب ان تخضع اجراءات اداره التغيير في النظم لسياسه واجراءات اداره التغيير التي يجب اعتمادها ومراقبتها ومراجعتها وتحديثها علي اساس دوري و/او عند حدوث تغييرات كبيره في بييه تقنيه المعلومات او تغييرات في المتطلبات النظاميه والتنظيميه. 4. | يجب ان تعالج اجراءات اداره التغيير في النظم ما يلي، علي سبيل المثال لا الحصر: | ا. | تحديد متطلبات التغيير والموافقه عليها؛ | ب. | خطور التغيير واولويته؛ | ج. | تقييم مخاطر التغيير وتاثيره؛ | د. | تطوير التغيير؛ | ه. | اختبار التغيير؛ | و. | طرح التغيير واسترجاعه؛ | ز. | الادوار والمسؤوليات بالتغيير؛ | ح. | مستندات التغيير؛ | ط. | الوعي بالتغيير و/او التدريب المقدم للمستخدمين؛ و | ي. | مدخلات المجلس الاستشاري للتغيير ((CAB، ان وجدت. 5. | يجب تنفيذ نظام لسير العمل لاتمته اجراءات اداره التغيير الي اقصي حد ممكن لدي المؤسسات الماليه. 6. | يجب تسجيل ومراقبه وتوثيق اي تغييرات في الاصول المعلوماتيه. 7. | يجب ان تكون بييات النظم (اي التطوير والاختبار والانتاج وما الي ذلك) منفصله تقنيا ومنطقيا. 8. | يجب التحكم في الوصول الي بييات النظم المختلفه ومراقبتها بشكل صارم. من اجل القيام بذلك، يجب ضمان الفصل بين الواجبات ("SoD") بحيث لا يتحمل اي فرد مسؤوليتين متعارضتين في نفس الوقت، مثل (التطوير والتجميع والاختبار والترحيل والنشر). 9. | يجب اجراء التغييرات الطاريه في الاصول المعلوماتيه بطريقه خاضعه لرقابه صارمه ويجب ان تراعي ما يلي: | ا. | يجب ان يكون عدد التغييرات الطاريه اقل تفضيلا من التغييرات المخطط لها من اجل ابقاء هذه التغييرات في ادني حد ممكن؛ | ب. | ينبغي تقييم التغييرات الطاريه من حيث تاثيرها علي الانظمه؛ | ج. | يجب الموافقه علي التغييرات الطاريه من قبل المجلس الاستشاري للتغييرات الطاريه ("ECAB")؛ | د. | يجب ان يكون الحد الادني من الاختبار مقبولا لتنفيذ التغييرات الطاريه؛ | ه. | يجب استكمال التوثيق الرسمي للتغييرات الطاريه بعد التنفيذ؛ | و. | ينبغي اجراء مراجعه ما بعد التنفيذ لجميع التغييرات الطاريه؛ و | ز. | يجب اجراء تحليل السبب الجذري لتحديد السبب الذي ادي الي الحاجه الي تغيير طاري، بالاضافه الي الاحتفاظ بسجل يعكس الدروس المستفاده ويقدم تقريرا الي جميع الموظفين المعنيين والاداره واللجنه التوجيهيه. 10. | يجب تفعيل التدقيق الكافي لتسجيل التغييرات الطاريه المتعلقه بالاصول المعلوماتيه لاغراض الرجوع اليها او التحقيق في المستقبل. المبدا يجب تحديد وتوثيق التغييرات علي الاصول المعلوماتيه بشكل رسمي واعتمادها من قبل مالك الاصل المعني قبل تنفيذ التغييرات في الاصول المعلوماتيه. متطلبات الرقابه يجب ان يبدا طالب التغيير رسميا بمتطلبات التغيير. يجب ان تحدد متطلبات التغيير المتطلبات الوظيفيه وغير الوظيفيه، حيثما ينطبق ذلك. يجب مراجعه واعتماد متطلبات التغيير رسميا من قبل مالك الاصل المعني. يجب تقييم اي تغييرات في الاصول المعلوماتيه لمعرفه تاثيرها علي الانظمه قبل تنفيذ التغيير. يجب ان تتم المصادقه علي اي تغيير في الاصول المعلوماتيه من قبل المجلس الاستشاري للتغيير ("CAB") قبل النشر في بييه الانتاج. يجب مراجعه واعتماد اي تغييرات في الاصول المعلوماتيه من قبل وظيفه الامن السيبراني قبل تقديمها الي "المجلس الاستشاري للتغيير" (مطلوب وفقا للدليل التنظيمي لامن المعلومات الخاص بالبنك المركزي، . 7.3.3 اداره التغيير، متطلبات التحكم، 4 -د ). المبدا يجب انشاء اجراءات اقتناء النظم لضمان تقييم المخاطر المرتبطه باقتناء النظم ومستوي خدمه الموردين ذات الصله والتخفيف من حدتها بشكل كاف قبل اقتناء النظم. متطلبات الرقابه 1. | يجب تحديد واعتماد وتنفيذ وتبليغ اجراءات اقتناء النظم لدي المؤسسات الماليه. 2. | يجب قياس وتقييم مدي فعاليه اجراءات اقتناء النظم بشكل دوري. 3. | يجب تحديد واعتماد متطلبات النظام (اي الوظيفيه وغير الوظيفيه) رسميا كجزء من اجراءات اقتناء النظم. 4. | ينبغي اجراء دراسه جدوي لتقييم المتطلبات الوظيفيه وغير الوظيفيه للنظام الجديد وخاصه بما يتوافق مع متطلبات البنك المركزي التنظيميه، والمتطلبات التنظيميه اللازمه الاخري. 5. | يجب ادراج تقييم الموردين في اجراءات اقتناء النظم لتقييم الموردين فيما يتعلق بعروضهم وقدراتهم علي دعم النظام اثناء التنفيذ وبعده. 6. | يجب دعم اجراءات اقتناء النظم بخطه تنفيذ مفصله تصف ما يلي علي سبيل المثال لا الحصر: | ا. | الاهداف الرييسيه لتنفيذ النظام (بما في ذلك جمع المتطلبات، والتطوير او التخصيص، والاختبار، وبدء التشغيل وما الي ذلك)؛ | ب. | الجدول الزمني لكل هدف رييسي وتوابعه؛ و | ج. | الموارد المخصصه للاهداف الرييسيه. 7. | يجب تقييم النظام الجاهز او الحزمه الجاهزه علي اساس ما يلي، علي سبيل المثال لا الحصر: | ا. | توافق النظام مع متطلبات المؤسسه الماليه؛ | ب. | مصداقيه النظام وتواجده في السوق، اذا لزم الامر؛ و | ج. | تقييم المورد ومستوي الخدمه. المبدا يجب توثيق واعتماد وتنفيذ منهجيه تطوير النظم لضمان ان تطوير نظم المؤسسه الماليه منفذه بطريقه خاضعه للرقابه الصارمه. متطلبات الرقابه 1. | يجب تحديد واعتماد وتنفيذ وتبليغ منهجيه تطوير النظم. 2. | يجب مراقبه وتقييم مدي فعاليه منهجيه تطوير النظم بشكل دوري. 3. | يجب ان تتناول منهجيه تطوير النظم ما يلي، علي سبيل المثال لا الحصر: | ا. | نهج تطوير النظام مثل التطوير التقليدي والسريع وما الي ذلك؛ | ب. | معايير التطوير البرمجي الامن؛ | ج. | ان

…(35,698 more chars)