الدليل الاسترشادي للأمن السيبراني لمؤسسات السوق المالية

cma_gov_sa · guide · processed · 96 chunks

الدليل الاسترشادي
لامن السيراني
لمؤسسات السوق
الماليه
هينه السوق الماليه
Capital Market Authority
[Non-Text]

اخلاء مسؤوليه
تود هييه السوق الماليه التنبيه الي ان هذه الوثيقه لا تعد بديلا عن اي انظمه او تشريعات معمول بها في
المملكه العربيه السعوديه، وعند وجود تEOARض بين ما ورد في هذه الوثيقه وبين اي مك تلك التشريعات،
فان المرجعيه تكون لها، ويقع علي مقسسات السوق المسؤوله في تطبيق واتباع التشريعات والانظمه
المعمول بها والتي تسهم في تعزيز الامن السيراني وتحقيق اثر التهديدات الامنيه الالكترونيه.
الملخص التنفيذي
تسعي هييه السوق الماليه من خلال برنامج "تطوير القطاع المالي" (احد برامج تحقيق رؤيه المملكه 2030
الاثني عشر المعتمده من مجلس الشؤون الاقتصاديه والتنميه) الي جعل السوق الماليه السعوديه السوق
الرييسيه في الشرق الاوسط، ومن اهم الاسواق الماليه في العالم، وان تكون سوقا متقدمه وجاذبه للاستثمار المحلي والاجني بما يمكنها من اداء دور محوري في تنميه الاقتصاد وتنوع مصادر دخله.
ويندرج تحت المحور الثالث من محاور الخطه الاستراتيجيه "تعزيز الثقه" الهدف الاستراتيجي الثامن وهو
تعزيز الاستقرار في السوق الماليه، الذي يرفع من ثقه المشاركين بالسوق يسهم في ايجاد بييه استثمار
جاذبه تدعم نمو الاقتصاد الوطني. و تعمل هييه السوق الماليه مع الجهات التنفيذيه المختلفه علي
التنسيق وتبادل المعلومات بما يعزز الاستقرار في السوق الماليه ويحد من المخاطر المرتبطه بمعاملات
الاوراق الماليه، وبما يعزز امن وسلامه المعلومات والبيانات الماليه، واستمراريه اعمال الجهات المشاركه
في السوق. كذلك تندرج ضمن الهدف المذكور بمبادره تعزيز الامن السيراني التي تهدف الي توفير بنيه
تحتيه امنه وشفافه ودعم الامن المعلوماتي لخصمان استقرار البنيه التحتيه وسلامتها.
ووفقا لنظام السوق الماليه الصادر بالمرسوم الملكي رقم (30/2) بتاريخ 1424/6/2 ه. تم تطوير هذه الوييقه لتحديد الديل الاسترشادي للامن السيراني لمؤسسات السوق الماليه، المبنيه علي افصل الممارسات والعنايه العالميه والمحليه: لتقليل مXTطر الهجمات والتهديدات الالكترونيه علي الاصول المعلوماتيه والتقنيه لمؤسسات السوق الماليه بما يزز الاستقرار الالكتروني الامني في السوق الماليه. ويحد من المخاطر ذات الصله.
1
تصنيف الوثيقه: عام

[Non-Text]
المعتويات
4 التمهيد 1
4 تعريف الامن السيراني 1.1
4 اهداف الامن السيراني 2.1
5 المقدمه 2
5 الهدف 1.2
5 نطاق العمل 2.2
5 قابليه التطبيق 3.2
5 المراجعه والTCDH 4.2
6 استعراض الدليل الاسترشادي للامن السيراني لمسسات السوق الماليه 3
6 المجالات الامنيه 1.3
8 التقييم الذي والمراجعه والتدقيق 2.3
8 المجالات الامنيه 4
7 حوكمه الامن السيراني 1.4
8 القياده والمسوليات 1.1.4
8 حوكمه وامن البيانات 2.1.4
11 الاستراتيجيه والسياست 3.1.4
12 التدريب والتوعيه 4.1.4
13 الامن السيراني المتعلق بالموارد البشريه 5.1.4
14 اداره مخاطر الامن السيراني والمراجعه والتدقيق 2.4
14 اداره مخاطر الامن السيراني 1.2.4
15 مراجعه الامن السيراني والتدقيق 2.2.4
16 ضوابط الامن السيراني المتعلق بالعمليات التشغيله 3.4
16 هيكليه الامن السيراني 1.3.4
17 امن البنيه التحتيه 2.3.4
19 اداره التغيير واداره المشاريع 3.3.4
20 اداره هويات الدخول والصلاحيات 4.3.4
22 اداره الاصول المعلوماتيه والتقنيه 5.34
22
23
25
26
27
2
تصنيف الوثيقه: عام

[Non-Text]
المعتويات
28 ...... 11.3.4
28 12.3.4
29 13.3.4
30 14.3.4
31 15.3.4
32 "BYOD" استخدام الاجهزه الشخصيه 16.3.4
33 4.4
33 1.4.4
34 2.4.4
35 3.4.4
36 ملحق المصطلحات والتعريفات
جدول الاشكال
6 الشكل 1. نظام الترفيم.
7 2. الدليل الاسترشادي للامن السيراني لمؤسسات السوق الماليه

3
تصريف الوثيقه: عام

[Non-Text]
التعريف
.1
تعريف الامن السيراني
1.1
يعرف المعهد الوطني للمعايير والتنميه (NIST) (Alm السيراني بانه "عمليه جماله المعلومات عن طريق منع الهجمات من خلال كشفها والتصدي لها". وعلي غرار الم满头ر الماليه والمناظر ذات الصله
بالسمعه، يمكن لمخاطر الامن السيراني ان تودي الي ارتفاع التكاليف والتاثير في العبادات. كذلك من
شانها الاضرار بقدره المؤسسه علي الابتكار واكتساب عمليه وال محافظه عليه.
اما المنظمه الدوليه للمعايب (ISO) فتري ان الامن السيراني او الفضاء السيراني يتمثل في الحفاظ
علي السريه والسلامه وتوافر المعلومات في الفضاء السيراني. ويعرف "الفضاء السيراني" بدوره بانه
"البييه الناتجه عن تفاعل الافراد مع البرمجيات والخدمات المتاحه عبر الانترنت عن طريق الاجهزه
التقنيه والشبكات المتصله به، والتي ليس لها وجود مادي".
وقد قامت الهييه الوطنيه للامن السيراني (NCA) ابصدار الضوابط الاساسيه للامن السيراني
باعتبارها الحد الادني من متطلبات الامن السيراني التي يجب علي الجهات الوطنيه الانترام بها. وتهدف
الضوابط الاساسيه للامن السيراني الي تقليل المخاطر السيرانيه من التهديدات الحدديه والخارجيه
المختلفه التي تؤثر في الجهات الوطنيه. ان الضوابط الاساسيه للامن السيراني هي ضوابط ازاميه
ويتعين علي جميع الجهات الوطنيه - الداخله ضمن نطاق اطباقها - ان تنفذ المتطلبات اللازمه لتحقيق
الالتزام المستمر بها.
وفي حاله اعتماد الاتفاقيات او الالتزامات الدوليه التي تثممن متطلبات ذات صله بالامن السيراني علي
الصعيد المحلي، فيجب ان تلتزم الجهه بهذه المتطلبات.
اهداف الامن السيراني
• تثممن الاهداف العامه للامن السيراني التالي:
السريه: اتخاذ التدابير اللازمه لمنع اطلاق غير المصرح لهم علي المعلومات الحساسه والساريه.
سلامه المعلومات: الحمايه ضد تعديل المعلومات او تخريبها بشكل غير مصرح به، واتثممن ضمان
(Non-Repudiation) عدم الانكار للمعلومات
 توافر المعلومات: ضمان الوصول الي البيانات وال المعلومات والانظمه والتبيقات واستخدامها في الوقت
المناسب.
4
تصنيف الوثيقه: عام

[Non-Text]
.2
المقدمه
اعدت هذه الوثيقه بالاستثناع والاسترشاد بعد من الاطر التنظيميه والمعابير القياسيه المحليه
والدوليه والتي كان من ضمنا ضوابط الهييه الوطنيه للامن السيراني (NCA) واطار الامن السيراني
المؤسسه النقد العربي السعودي (SAMA) وضوابط المعهد الوطني للمعابير والثقنيه
(ISO) والمنظمه الدوليه للمعابير
الهدف 1.2
يهدف الدليل الاسترشادي للامن لسيراني لمؤسسات السوق الماليه (ويشار اليها لحقا بالدليل الاسترشادي) الي تحديد الضوابط المتعلقه بالامن السيراني لمؤسسات السوق التي تساعد علي تحسين اداره مخاطر الامن السيراني من خلال تبني افضل الممارسات العالميه وتشريعات الامن السيراني المحليه.
نطاق العمل 2.2
يوضح الدليل الاسترشادي الضوابط المتعلقه بالامن السيراني لمؤسسات السوق السعوديه الخاصه
لمتابعه واشراف هييه السوق الماليه.
قابليه التطبيق 3.2
تعد هذه الوثيقه الاسترشاديه علي جميع مؤسسات السوق الماليه. ولهييه السوق الماليه. هذه الوثيقه علي اي جهه خاضعه لمتابعه واشراف هييه السوق الماليه.
المراجعه والتدريب 4.2
تخطع هييه السوق الماليه بالمراجعه الدوليه لدليل الاسترشادي وفقا للمستجدات والمتطلبات
التنظيميه ذات العلاقه، وتحديثها متي تطلب الامر ذلك.
5
تصنيف الوثيقه: عام
[Non-Text]

[Non-Text]
[Non-Text]
.3
الستعراض الديل الاسترشادي للامن
السيبراني لموسسات السوق الماليه
المجالات الامنيه
يتمحور الدليل الاسترشادي حول اربعه مجالات رييسه:
حوكمه الامن السيراني.
اداره مختار الامن السيراني والمراجعه والتدقيق.
ضوابط الامن السيراني المتعلق بالعمليات التشغيله.
امن الطرف الخارجي المتعلق بالاطراف الخارجيه.
• سيتم التطرق للعديد من المجالات الفرعيه لكل مجال رييس، حيث سيتم تحديد الهدف الامني لكل
مجال فرعي وضوابطه الاساسيه.
يصف "الهدف" الناتج المتوقع من تحقيق ضوابط الامن السيراني.
وënتوي "الضوابط الاساسيه" علي ضوابط الامن السيراني التي يجب الالتزام بها.

المجال الرييسي

المجال الفرعي
الشكل 1 نظام الترقيم
6
تصنيف الوثيقه: عام

[Non-Text]
استعراض الديل الاسترشادي للامن
السيبراني لمؤسسات السوق الماليه
ويوضح الشكل ادناه الهيكل العام للديل الاسترشادي للامن السيراني لمؤسسات السوق
الماليه، ويشير الي كل من المجالات الاساسيه والفرعيه للامن السيراني.
حوكمه الامن السيراني 1.4
التدريب والتوعيه
الاستراتيجيه والسياسات
حوكمه وامن البيانات
القياده والمسؤوليات
الامن السيراني المتعلق بالموارد البشريه
اداره مخاطر الامن السيراني والمراجعه والتدقيق 2.4
مراجعه الامن السيراني والتدقيق
اداره مخاطر الامن السيراني
3.4 ضوابط الامن السيراني المتعلق بالعمليات التشغيله
اداره هويات الدخول
والصالحيات
اداره سجلات احدات
الامن السيراني
اداره التغيرات
استخدام الاجهزه الشخصيه (BYOD)
اداره التغيير واداره المشاريع
اداره حوادث الامن السيراني
التشغير
اداره استمراريه الاعمال
امن البنيه التحتيه
الاتلاف الامن
حمايه التطبيقات
الامن المادي
هيكله الامن السيراني
اداره الاصول المعلومات
والتقنيه
اداره تهديدات الامن
السبيراني
خدمات التداول الالكتروني
4.4 الامن السيراني المتعلق بالاطر الخارجيه
الحوسبه السحابيه
الاسناد الخارجي
اداره العقود والموردين
الشكل 2 الديل الاسترشادي للامن السيراني لمؤسسات السوق الماليه
7
تصنيف الوثيقه: عام

[Non-Text]
الستعراض الدليل الاسترشادي للامن
السبيراني لموسميات السوق الماليه
التقييم الذاتي والمراجعه والتدقيق 2.3
يënض تنفيذ الدليل الاسترشادي في مؤسسه السوق لتقييم ذاتي دوري بناء علي الاستبيانات ونماذج
التقييم الذاتي وفق الاليه التي تراها الهييه مناسبه.
المجالات المنيه
.4
حوكمه الامن السيراني 1.4
تقع كامل المسؤوليه عن الامن السيراني علي عاتق مجلس اداره مؤسسه البود، ويمكن لهذا
المجلس تفويض صلاحيات الامن السيراني الي لجنه معنيه بالامن السيراني او لجنه اشرافيه. وTNNص
مسؤوليات لجنه الامن السيراني تحديد حوكمه الامن السيراني ووضع استراتيجيه الامن السيراني
لمؤسسه السوق بالاضافه الي تحديد سياسات الامن السيراني وضمان تنفيذ تلك السياسات.
القياده والمسؤوليات 1.1.4
الهدف: تحديد الهيكل التنظيمي للامن السيراني والادوار والمسؤوليات وتوثيغها واتعتمدها
من قبل مجلس اداره مؤسسه السوق.
8
تصنيف الوثيقه: عام

[Non-Text]
المجالات الامنيه
الخطباط الاساسيه:
اشاء اداره معنيه بالامن السيراني مستقله عن اداره تقنيه المعلومات مع الاخذ بالعتبار عدم تEOARح
المصالح.
ان يراس الاداره المعنيه بالامن السيراني موظف سعودي "موفل" بدوام كامل، وشدار اليه باسم مدير اداره الامن السيراني.
تحصيص واعتماد ميزانيه كافيه لتنفيذ مهام واعمال الامن السيراني من قبل مجلس اداره مؤسسه
السوق.
مراجعه الادوار والمسؤوليات المتعلقه بالامن السيراني بصفه دوريه او في حاله حدوث تغييرات.
اشاء لجنه معنيه بالامن السيراني علي ان ترتبط بالرييس التنفيذي للجهه او من ينبيه مع الاخد
بالاعتبار عدم تEOARض المصالح.
تضم لجنه الامن السيراني مدير اداره الامن السيراني ومديري الادارات ذات العلاقه.
اعداد لانجه عمل لجنه الامن السيراني وتوثيغها واعتمادها من صاحب الطابكه، مع توضيح الاهداف
والادوار والمسؤليات.
تضمن مسؤليات لجنه الامن السيراني التالي:
مراقبه درجه تقيل مخاطر الامن السيراني لمؤسسه السوق ومراجعتها والابلاغ عنها بشكل دوري او
عند حدوث تغيير جوهري بخصوص معدل تقبل المخاطر:
المراجعه الدوليه لاستراتيجيه الامن السيراني لضمان دعمها لاهداف مؤسسه السوق:
اعتماد ونشر وتوغير الدعم اللازم والمراقبه بشان:
حوكمه الامن السيراني:
استراتيجيه الامن السيراني:
سياسات الامن السيراني:
برامج الامن السيراني (مثل برامج التوعيه، وبرنامج تصنيف البيانات، وخصوصيه البيانات، ومنع تسريب
البيانات) :
اداره مخاطر الامن السيراني:
مؤشرات المخاطر الرييسه ومؤشرات الاداء الرييسه للامن السيراني.
تتضمن مسؤوليات مجلس اداره مؤسسه السوق - بالاضافه لما تقدم - التالي:
التاكد من ان المعايير والاجراءات تعكس متطلبات الامن السيراني:
التاكد من قبول العاملين لسياسات الامن السيراني والالتزام بها، ودعم المعايير والاجراءات عند
اصدارها وتحديثها:
التاكد من ادراج مسؤوليات الامن السيراني في الاوصاف الوظيفه للمناصب ذات العلاقه ووضايف الامن
السيبراني.
9
تصنيف الوثيقه: عام

[Non-Text]
المجالات المنيه
ت th x m m m m m m m m m m m m m m m m m m m m m m m m m m m m m m m m m m m
الرفع الي لجنه الام السيراني حول اي تطوير وتحديث لما يلي
استراتيجيه الامن السيراني
* سياست الامن السيراني
* بنيه الامن السيراني
اداره مخاطر الامن السيراني;
* ضمان تحديد معاير واجراءات الامن السيراني وتوثيها واعتمادها وتنفيذها;
* ضمان تطوير وتدريب موظفي الامن السيراني;
مراقبه انشطه الامن السيراني (مراقبه مركز العمليات الامنيه) ٤
مراقبه الالتزام باخطه وسياسات ومعاير واجراءات الامن السيراني;
الاشراف علي التحقيق في حوادث الامن السيراني;
الحصول علي المعلومات الاستباقيه (Threat Intelligence) ٦
مراجعه وتحقيق برنامج الامن السيراني;
الدعم الفعال للوظايف الاخري المتعلقه بالامن السيراني، بما فيها:
تصنيف المعلومات والنظم;
تحديد ضوابط الامن السيراني للمشاريع المهمه:
مراجعه ضوابط الامن السيراني.
تصميم برامج التوعيه بالامن السيراني وتنفيذها:
القياس والابلاغ عن مؤشرات المحاط الرييسه ومؤشرات الاداء الرييسه بشان:
استراتيجيه الامن السيراني:
الالتزام بسياسات الامن السيراني:
معابير واجراءات الامن السيراني:
برامج الامن السيراني (مثل برامج التوعيه، وبرنامج تصنيف البيانات).
تتمثل مسؤوليه التدقيق الداخلي في مؤسسه السوق في اجراء مراجعه وتدقيق لضوابط الامن السيراني
علي ان تتم بشكل دوري وان يراعي فيها مبدا عدم تEOARض المصالح.
يناط بجميع موظفي مؤسسه السوق مسؤوليه الالتزام بسياسات الامن السيراني ومعاييرها
واجراءها.
10
تصنيف الوثيقه: عام

[Non-Text]
المجالات الامنيه
حوكمه وامن البيانات
الهدف:
ضمان حمايه البيانات والمحافظه علي سريتها وتوافرها وسلامتها.
الضوابط الاساسيه:
تطوير وتصميم برنامج حوكمه البيانات
تحديد مجالات البيانات:
مالكو البيانات
مديور البيانات
امناء الحفظ
• مستخدم البيانات
قواميس البيانات
تحديد عناصر البيانات الحساسه داخل مجالات البيانات.
تحديد تصنيف البيانات واليه ترميزها بحسب الاهميه.
تحديد حصوصيه البيانات وال المعلومات.
اشناع منصه مركيزه لاداره التغييرات والتحكم فيها واتحه الوصول الي اصول البيانات الحساسه.
تحديد اليه لقياس مستوي حمايه البيانات.
تحديد وتنفيذ خط سير العمل بهيكل الحوكمه واهم عناصر ومجالات البيانات.
رصد اجراءات سير العمل ومراقبتها والابلاغ عنها.
الاستراتيجيه والسياسات
الهدف:
تحديد سياسات واستراتيجيه الامن السيراني وتوثيغها واعتمادها وتنفيذها ونشرها لذوي العلاقه
وضمان الالتزام بها.
الضوابط الاساسيه:
تحديد استراتيجيه الامن السيراني، وتوثيغها، واعتمادها، وتنفيذها، وتحديثها بشكل دوري.
توافق استراتيجيه الامن السيراني مع الاهداف العامه لموصسه السوق واي متطلبات تنظيميه ذات
العلاقه.
تتضمن استراتيجيه الامن السيراني التالي:
اهميه الامن السيراني بالنسبه الي مؤسسه السوق:
حاله الامن السيراني المستقبليه المتوقعه لموتعه المسسه السوق الي ان تصبح قادره علي مجابعه التهديات
الامن السيراني:
وضع خطه زمنيه لتنفيذ مبادرات ومشاريع واستراتيجيه الامن السيراني.
11
تصنيف الوثيقه: عام

[Non-Text]
المجالات الامنيه
تحديد سياست الامن السيراني، وتوثيقهها، واعتمادها، ونشرها لذوي العلاقه والاطراف المعنيه، وضمان
الالتزام بها.
مراجعه سياست الامن السيراني بشكل دوري وفقا لخطه مراجعه محده مسبا.
دعم سياست الامن السيراني بماعره ان تكون مبنيه علي افضل الممارسات والمعايير المحليه والدوليه:
تتضمن سياست الامن السيراني التالي:
تعريف الامن السيراني
نطاق واهداف الامن السيراني لمؤسسه السوق:
دعم الاداره العليا لبرنامج الامن السيراني واهدافه:
تعريف المسؤوليات والادوار للامن السيراني:
الاشاره الي مرجعيه معاير الامن السيراني المطابقه:
تضمن ضوابط الامن السيراني التالي:
تصريف المعلومات بطريقه لوضح اهميه لمسسه السوق:
تحديد الملكيه لاصول المعلومات كافه:
تقييم مخاطر الامن السيراني لاصول المعلومات:
توعيه العاملين في الجهه بالامن السيراني:
الالتزام بالاتفاقيات والالتزامات التخطييه والتعاقده:
الابلاغ عن اختصارات الامن السيراني والشرات الامنيه المشتبه فيها:
تطبيق متطلبات الامن السيراني علي اداره استمراريه الاعمال.
التدريب والتوعيه
الهدف:
تحديد برنامج خاص بالامن السيراني لتدريب وتوعيه موظفي مؤسسه السوق وعملايها والطراف
الخارجيه ذات العلاقه: لحمايه الاصول المعلوماتيه والتنقيه لمؤسسه السوق.
الضوابط الاساسيه:
تطوير برنامج توعيه بالامن السيراني، واعتماد، وتوثيقه، وTNFIHA: لتعزيز الوعي بالامن السيراني.
يستهدف برنامج التوعيه بالامن السيراني الحمايه من اهم المخاطر والتهديدات السيرانيه، وان
يخاطب مختلف الفيات باستخدام قنوات متعدده.
تنفيذ برنامج التوعيه بالامن السيراني بشكل دوري.
12
تصنيف الوثيقه: عام

[Non-Text]
المجالات الامنيه
يتضمن برنامج التدريب والتعويه الخاص بالامن السيراني الحمايه من التهديدات السيرانيه شمالا:
الادوار والمسؤوليات المتعلقه بالامن السيراني; 1
معلومات عن حوادث الامن السيراني والتهديدات السيرانيه، علي سبيل المثال: التصيد الالكتروني;
التعامل الامن مع الاجهزه المحموله ووسطا التخريزين;
التعامل الامن م Woاقع التواصل الاجتماعي.
تقييم برنامج التدريب والتوعيه بالامن السيراني لقياس مدي فعاليته وتقدمي توصيات التحسين 5
اللازمه.
توفير التدريب المتخصص واللازم لموظفي الامن السيراني في الوظايف ذات العلاقه 6
الامن السيراني المتعلق بالموارد البشريه 5.1.4
الهدف :
ضمان ادراج مسؤوليات الامن السيراني المتعلقه بموظفي مؤسسه السوق في عقود الموظفين.
الضوابط الاساسيه :
تحديد ضوابط الامن السيراني المتعلقه بعمليه MOARع التشرييه وتوثيقهها واعتمادها واتنفيذها.
مراقبه مدي فعاليه ضوابط الامن السيراني ضمن عمليه MOARع التشرييه وقيامها بشكل
دوري.
تخصص ضوابط الامن السيراني المتعلقه بعمليه MOARع التشرييه الثاني:
Non-Disclosure" مسؤوليات الامن السيراني، وبنود عدم الافرصاح، والمحافظه علي سريه المعلومات
في عقود الموظفين (انتاع العلاقه الوظيفيه وبعد انتهاها) : Clauses
التوعيه بالامن السيراني في بدايه عمل الموظفين وخلاله:
قابليه تطبيق الاجراءات التاذيبيه:
اجراء المسح الامني "Screening" للموظفين وذلك من خلال جهات مخوله اجراء المسح الامني:
متطلبات ضوابط الامن السيراني بعد انتهاها اناها ع alه الوظيفيه للموظف، مثل:
اغاء صلاحيات الدخول:
اعاده اصول المعلومات المخصصه (علي سبيل المثال: بطاقه الدخول، والاجهزه المحموله، وجميع
المعلومات الالكترونيه والمدنيه).
13
تصنيف الوثيقه: عام

[Non-Text]
2.4
اداره مختطر الامن السيراني
والمراجعه والتدقيق
تتمثل اداره المخاطر في تحديد المخاطر، وتحليلها، والاستجابه لها، ومراقبتها، واستعراضها
باستمرار. والاداره مخاطر الامن السيراني، يجب علي مؤسسه السوق القيام بما يلي:
تحديد مخاطر الامن السيراني;
• تحليل احتماليه وفوع مخاطر الامن السيراني والتاثير المترتب عليها:
الاستجابه لمخاطر الامن السيراني;
• مراقبه معالجه مخاطر الامن السيراني، واستعراض فعاليه المراقبه.
ويجب ان يخضع الانترام بضوابط الامن السيراني الي اجراءات المراجعه والتدقيق الدوري.
اداره مختار الامن السيراني
الهدف :
تحديد منحبيه اداره مختار الامن السيراني وتوثيقهها واعتمادها و تنفيذها بهدف حمايه سريعه وسلامه
وتوافر الاصول المعلوماتيه والثقنيه لموقعه السوق، وضمان توافق منحبيه اداره مختار الامن
السييراني مع منحبيه اداره مختار مؤسسه السوق.
الضوابط الاساسيه :
تحديد منحبيه اداره مختار الامن السيراني، وتوثيقهها، واعتمادها، وTNFHEHA، ومراجعتها بشكل دوري.
تهدف منحبيه اداره مختار الامن السيراني الي حمايه سريعه وسلامه وتوافر الصل المعلومات.
يجب ان تتوافق منحبيه اداره مختار الامن السيراني مع منحبيه اداره مختار مؤسسه السوق
المعتده.
توثيق منحبيه اداره مختار الامن السيراني، وتحديد المخاطر، وتحليلها، والاستجابه لها، ومراقبتها، ومراجعتها.
تضمن منحبيه اداره مختار الامن السيراني الاصل المعلوماتيه والTقنيه مؤسسه السوق، بما في
- ذلك - علي سبيل المثال لا الحصر-
اجراءات العمل:
• تطبيقات الاعمال:
• مكونات البنيه التحتيه:
. الموظفون.
14
تصنيف الوثيقه: عام

[Non-Text]
اداره مخاطر الامن السيراني
والمراجعه والتدقيق
تنفيذ اجراءات تقييم مخاطر الامن السيراني في المراحل التاليه:
في مرحله مبكره من المشروع:
قبل اجراء اي تغيير جوهري في البنيه التقنيه:
قبل الحصول علي خدمات طرف خارجي:
قبل اطلاق منتجات وتقنيات جديده.
تحديد مخاطر الامين السيراني وتوثيقهها في سجل موحد يحتوي علي جميع الاصل المعلوماتيه والتقنيه
لمؤسسه السوق.
توثيق قايمه خيارات معالجه المخاطر (اي قبول المخاطر او تجنبها او نقلها او الحده منها بتطبيق ضوابط
الامن السيراني).
اعتطاء الاولويه الفصول لمخاطر الامن السيراني عاليه الخطوره، ورصدها عن كثب، واعداد تقارير دوريه
بالاجراءات المتخنه للحد من اثارها.
مراجعه الامن السيراني والتدقيق
الهدف :
تحديد اليه المراجعه والتدقيق والتقييم الدوري لضوابط الامن السيراني المتعلقه باصول مؤسسه
السوق المعلوماتيه والتقنيه: للتاكد من ان ضوابط الامن السيراني لدي الجهه مطقه وفقا للسياسات
والاجراءات التنظيميه للجهه، والمتطلبات التشريعيه والتنظيميه ذات العلاقه.
الخطواب الاساسيه :
اجراء مراجعه وتطبيق ضوابط الامن السيراني بشكل دوري.
توثيق نتايج المراجعه والملاحظات المكتشفه والاجراءات الموصي بها، ومن ثم ابلغ صاحب الصلاحيه
بها.
مراجعه الامن السيراني من قبل اطراف مستقله عن اداره الامن السيراني وفقا للمعايير العامه
المقبوله للمراجعه والتدقيق وبما يتماشي مع الدليل الاسترشادي للامن السيراني لمؤسسات السوق
الماليه.
مراجعه تطبيق ضوابط الامن السيراني وفقا لديل وخطه المراجعه والتدقيق الداخلي المعمول بها في
مؤسسه السوق.
15
تصنيف الوثيقه: عام

[Non-Text]
3.4
ضوابط الامن السيراني المتعلق
بالعمليات التشغيله
يجب علي مقسسه السوق ضمان تحديد ضوابط الامن السيراني المتعلق بالعمليات التشغيليه
والاجراءات الداعه لاصول المعلومات الخاصه بها، وتوثيقهها، واعتمادها، ونتفيذها، من اجل
حمايه عمليات وتقنيات اصول معلومات مقدسه السوق موظفيها وعملثها واي اطراف
خارجيه تابعه لها.
- كذلك يجب مراقبه الالتزام بضوابط الامن السيراني المتعلق بالعمليات التشغيليه وتقييم
فعاليتها بشكل دوري لتحديد المراجعات المحتمله للضوابط.
هيكليه الامن السيراني
الهدف:
تحديد هيكليه الامن السيراني وتوثيقه واعتماده ومتابعه ومراجعه حيث تقو مؤسسه السوق
بتوضيح متطلبات الامن السيراني داخل المؤسسه وعلاجه مبادي تصميم الشبكه والتنطبيقات من
اجل تعزيز الامن السيراني.
الخطاب الاسبيه:
"الخطاب الاسبيه" "Cyber security Architecture" "الخطاب الاسبيه" "الخطاب الاسبيه" "الخطاب الاسبيه" "الخطاب الاسبيه" "الخطاب الاسبيه" "المطلوب للامن السيراني
"الخطاب الاسبيه" "الخطاب الاسبيه" "الخطاب الاسبيه" "الخطاب الاسبيه" "الخطаб
"الخطاب الاسبيه" "الخطاب الاسبيه" "الخطاب الاسبيه" "الخطاب الاسبيه" (1) "Security-by-design" "الخطاب الاسبيه" "الخطاب الاسبيه" "الخطاب الاسبيه" "الخطاب الاسبيه" "الخطاب الاسبيه" "المراجعه الدوليه لدهيكليه الامن السيراني.
"السبيه" "الخطاب الاسبيه" "الخطاب الاسبيه" "الخطاب الاسبيه" "الخطاب الاسبيه"
"السبيه" "الخطاب الاسبيه" "الخطاب الاسبيه" "الخطاب الاسبيه" "الخطا"
"السبيه" "الخطاب الاسبيه" "الخطاب الاسبيه" "الخطاب الاسبيه" "الخطاب الاسبيه" "الخطاب الاسبيه"
16
تصنيف الوثيقه: عام

[Non-Text]
ضوابط الامن السيراني المتعلق
بالعمليات التشغيله
امن البنيه التحتيه
2.3.4
: الهدف
تحديد ضوابط الامن السيراني للبنيه التحتيه وتوثيقهها واعتمادها وتنفيذها; ومراقبه الالتزام بهذه
ضوابط وتقييم مدي فعاليتها داخل مقسسه السوق بشكل دوري.
الضوابط الاساسيه:
تحديد ضوابط الامن السيراني للبنيه التحتيه، ووثيقهها، واعتمادها، وTNFيها، ومراقبتها. كذلك يجب 1
تقييم هذه المعايير بشكل الدوري.
تغطي ضوابط الامن السيراني للبنيه التحتيه ماركز البيانات الرييسيه ومواقع بيانات التعافي من 2
الكوارث.
تغطي ضوابط الامن السيراني للبنيه التحتيه جميع مكونات البنيه التحتيه (مثل انظمه التشغيل،
والخودام، والاجهزه الافتراضيه، وجدران الحمايه، واجهزه الشبكه، ونظام الحمايه المتقدمه للاكتشاف
"الاختراقات "IDS، ونظام الحمايه المتقدمه لاكتشاف ومنع الاختراعات "IPS"، والشبكه اللاسلكيه،
والاتصالات الخارجيه، وقواعد البيانات، وملفات المشاركه واجهزه الحاسوب المكتبيه وال المحوله
والاجهزه اللوجيه.
تتضمن ضوابط الامن السيراني للبريد الالكتروني الثاني:
:“Anti-spam Filtering” نظام التحقيه الخاصه بمواكفه الرسايل الالكترونيه التطفليه
التحقق من الهويه متعدد العناصر "Multi-Factor Authentication" للدخول للبريد الالكتروني
والدخول عن بعد:
النشخ الاحتياطي وارشفه البريد الالكتروني:
Sender Policy" "مثل طريقه اطار سياسه المرسل " توثيق مجال البريد الالكتروني بالطرق التقنيه
."Framework

17
تصنيف الوثيقه: عام

[Non-Text]
ضوابط الامن السيراني المتعلق
بالعمليات التشغيله
امن البنيه التحتيه
2.3.4
تënضم ضوابط الامن السيراني للبنيه التحتيه التالي:
تطبيق ضوابط الامن السيراني (علي سبيل المثال: المراقبه والاحتفاظ بسجلات الاحدات، ومنع تسرب
البيانات، واداره هويات الدخول والصالحيات، والصيانه عن بعد) :
مبدا الفصل بين المهام (مدعوما بمصفوفه صلاحيات موثقه) : 2
حمايه البيانات والتعامل معها وفقا لنظام التصنيف المتفق عليه (بما في ذلك خصوصيه بيانات العميل،
وTENب الوصول غير المصرح به وتسرب البيانات المتعمد وغير المتعمد) :
استخدام البرامج المعتمده والمرخصه والبروتوكلات الامنه:
العزل والتقسيم المادي او المنطقي لاجزاء الشبكات بشكل امن:
الحمايه من البرمجات الضاره والغيروسات (السما بقايمه تطبيقات محدده "Whitelisting" والحمايه
:"(APT Protection" من التهديدات المتقدمه والوسطره
اداره حزم التحديثات والاصلاحات الامنيه لمعالجه التغيرات:
الحمايه من هجمات حجب الخدمه الموزعه "DODS"، وان يشمل:
"Scrubbing Services" استخدم خدمات التنقيه
مواصفات عرض المناطق "Bandwidth" المتفق عليه:
المراقبه علي مدار الساعه طوال ايام الاسبوع ٢٤٧ بوسطه مركز العمليات الامنيه "SOC" ومزود
"Scrubbing Provider" الخدمه، ومزود خدمات التنقيه
اختبار تنقيه حجم الخدمه الموجعه "DDOS" مرتين في السنه بحد ادني
تنفيذ خدمات الحمايه من حجم الخدمه الموجعه "DDOS" لمراكز البيانات الرييسه وكذلك مراكز
"Disaster Recovery" البيانات الاحتياطيه في حاله الكوارث
تامين الاتصال بالاترنت والتصفح بما في ذلك تقييد الوصول للمواقع المشتبه فيها وходادم التخزين
ومواقع الوصول عن بعد:
:"DNS" امن نظام اسماع النطاقات
مصدر دقيق وموثوق به: "Clock Synchronization" مزامنه التوقيت
اجراءات النسخth diatساعه البيانات:
التقييد الحزام لاستخدام وسايل التخزين الخارجيه:
المراجعه الدوليه لمدي الالتزام بضوابط الامن السيراني.
18
تصنيف الوثيقه: عام

[Non-Text]
ضوابط الامن السيراني المتعلق
بالعمليات التشغيله
اداره التغيير واداره المشاريع
3.3.4
: الهدف
تحديد منهجيه واجراءات اداره التغيير واداره المشاريع وتوثيقهها واعتمادها وتنفيذها: لضمان اتباع نهج
موحد موثق ومعتمد لاداره المشاريع وعند اجراء اي تغييرات علي الاصول المعلوماتيه والتنقيه.
الضوابط الاساسيه :
تحديد منهجيه اداره التغيير، وتوثيقهها، واعتمادها وتنفيذها، ومراقبتها، بالاضافه الي تقييمها 1
ومراجعتها بشكل دوري.
تضمن منهجيه واجراءات اداره التغيير التالي:
ضوابط الامن السيراني للتحكم في التغييرات الطاريه علي الاصول المعلوماتيه والتنقيه، مثل تقييم اثر
التغيير وفرز وتنيف التغييرات ومراجعتها:
الاختبار الامني، ويجب ان يënضمن:
:"Penetration Testing" اختبار الاختتراق
مراجعه امنيه للغود المصدري "Security Source Code Review" مراجعه
خارجيا اذا تعذر توفير الكود المصدري "Source Code" للتطبيقات الخارجيه، فان تقرير مراجعه الكود
"المصدري "Source Code"
اعتماد صاحب الصلاحيه للتغييرات المعنيه
الحصول علي موافقه اداره الامن السيراني في الجهه قبل تقديم التغييرات المعنيه الي المجلس
الاستشاريي للتقيس "Change-Advisory Board"
مراجعه مدي القبول للتغيير بعد تنفيذ ضوابط الامن السيراني ذات الصله:
"Segregation of Duties" مبدا فصل المهام
فصل بييه الانتاج عن بييات التطوير والاختبار
اجراءات التغييرات والاصلاحات الطاريه:
"Failure" و "Rollback" "السابقه" "الانظمه للحاله
تحديد منحيه اداره المشاريع، وتوثيقهها، واعتمادها، وتنفيذها، ومراقبتها. كذلك يجب تقييمها
ومراجعتها بشكل دوري
تضمن منحيه اداره المشاريع متطلبات الامن السيراني: لضمان تحديد مخاطره و معالجتها كجزء من
المشروع.
19
تصنيف الوثيقه: عام

[Non-Text]
ضوابط الامن السيراني المتعلق
بالعمليات التشغيله
تضمن منهجيه اداره المشاريع التالي : 5
ادراج اهداف الامن السيراني ضمن اهداف المشروع
اعتبار اداره الامن السيراني جزءا من جميع مراحل المشروع:
تقييم المخاطر في بدايه المشروع لتحديد مخاطر الامن السيراني ولضمان معالجتها:
توثيق مخاطر الامن السيراني في سجل مخاطر المشروع ومتابعتها:
تحديد مسؤوليات الامن السيراني وتعيينها:
مراجعه الامن السيراني من قبل طرف داخلي او خارجي مستقل.
تضمن منهجيه اداره المشاريع واداره التغيير تقييم الاشراث ومعالجتها، ومراجعه الاعدادات والتصين
وحزم التحديثات.
اداره هويات الدخول والصلاحيات
الهدف:
تقييد الوصول الي اصول المعلومات وفقا لمتطلبات العمل المعنيه وبما يتماشي مع مبادره الحاجه الي
المعرفه والاستخدام " Need-to-Have or Need-to-Know" وذلك لضمان توافر امتيازات وصول
كافيه ومصر بها الاعتماد المستخدمين.
الضوابط الاساسيه:
تحديد سياسه اداره هويات الدخول والصلاحيات، واتقيها، واعتمادها، واتنفيذها، ومراقبتها.
قياس مدي فعاليه ضوابط الامن السيراني ضمن سياسه اداره هويات الدخول والصلاحيات وتقييمها 2
بشكل دولي.
تتضمن سياسه اداره هويات الدخول والصلاحيات التالي:
Need-to-Have and "متطلبات العمل للتحكم في الوصول (كمبدا الحاجه الي المعرفه والاستخدام) 1
("Least Privilege" ومبدا الحد الادني من الصلاحيات والامتيازات)
اداره وصول المستخدمين:
ان تغطي جميع العاملين (الموظفين والاطراف الخارجيه):
التحقق من هويه المستخدم؟
تتحمل اداره الموارد البشريه مسؤوليه اجراء اي تغييرات علي الحاله الوظيفه او المنصب الوظيفي
للموظفين:
20
تصنيف الوثيقه: عام

[Non-Text]
ضوابط الامن السيراني المتعلق
بالعمليات التشغيله
الحصول علي موافقه اداره الامن السيراني في حال اجراء اي تغييرات متعلقه بالموظفين الخارجيين او
الاطراف الخارجيه:
الحصول علي الموافقه علي صلاحيات دخول المستخدم بشكل رسمي وموثق وبما يتوافق مع متطلبات 5
العمل (كمبدا الحاجه الي المعرفه والاستخدام " Need-to-Have and Need-to-Know"
الوصول غير المصرح به وتسرب البيانات المتعمد (وغير المتعمد) :
معالجه اي تغييرات طاريه علي صلاحيات الدخول في الوقت المناسب:
مراجعه صلاحيات دخول المستخدم والملفات الشخصيه بشكل دوري:
مراجعه طبيات دخول المستخدم المقدمه والمعتاده والمعالجه، واعداد طبيات الاغاء ذات الصله.
ان تكون اداره دخول المستخدم مزوده بانظمه الاتمه:
توحيد انظمه اداره هويات الدخول والصالحيات:
التحقق من الهويه متعدد العناصر للدخول الي الانظمه والحسابات الحساسه:
تënضم ضوابط اداره الصلاحيات المهمه والحسابات واداره الدخول عن بعد التالي:
التخصيص والاستخدام المقيد للدخول عن بعد وللحسابات ذات الصلاحيات المهمه والحسابه.
وTCDEIA:
استخدام اليه التحق من الهويه متعدد العناصر لجميع عمليات الدخول عن بعد:
استخدام اليه التحق من الهويه متعدد العناصر للحسابات ذات الصلاحيات المهمه والحسابه علي
الانظمه الحسابه بناء علي تقييم المخاطر:
المراحهeleva للبستخدمين، ذوي الحسابات المهمه والحسابات وحسابات الدخول عن بعد:
المساعده في حال المخالفات:
استخدام حسابات الانظمه المهمه والحسابه يشمل:
التقيد والمراقبه:
المحافظه علي سريه كلمات المروز:
تغيير كلمات المروز بشكل دوري.
21
تصنيف الوثيقه: عام

[Non-Text]
ضوابط الامن السيراني المتعلق
بالعمليات التشغيله
اداره الاصول المعلوماتيه والتقنيه
5.3.4
الهدف:
تحديد عمليه اداره الاصول المعلوماتيه والتقنيه وتوثيقه واعتمادها وتنفيذها و نشرها ومراقبتها
بهدف الحصول علي سجل دقيق موحد ومحدث للاصول; وذلك لدعم مؤسسه السوق في الحصول علي
فايمه جرد دقيقه وحديثه.
الضوابط الاساسيه:
تحديد عمليه اداره الاصول المعلومات والتنقيه، وتوثيقهها، واعتمادها، وTNFيها، ومراقبتها، وTNFيها
بشكل دوري.
تتضمن عمليه اداره الاصول المعلومات والتنقيه – علي سبيل المثال لا الحصر – التالي:
سجل موحد بشمل الاصول المعلومات والتنقيه خلال دوره حياتها كامله:
ملكيه الاصول المعلومات والتنقيه:
تصنيف الاصول المعلومات والتنقيه، وترميزها والتعامل معها:
الاحتفاظ بنسخ احتياطيه من سجلات الاصل بشكل صحيح وتخزينها في مكان امن.
تحديد سياسه الاستخدام المقبول، وتوثيقهها، واعتمادها، وتنفيذها، ونشرها، وتقييمها بشكل دوري.
الالتلاف الامن
6.3.4
الهدف :
التخلص من اصول المعلومات الخاصه بمسسه السوق بشكل امن اذا لم تعد هناك حاجه اليها; وذلك
لضمان حمايه عمل مقسسه السوق وعملايها وعملاماتها الحساسه من التسبر او الافصاح غير
المصرح به عند التخلص منها.
الضوابط الاساسيه:
تحديد معاير واجراءات الاتلاف الامن، وتوثيقهها، واعتمادها، وTNFيها.
تشمل معاير الاتلاف اليمن النسخ الرقميه والورقيه واعاده استخدام الاصول.
مراقبه الالتزام بعاير واجراءات الاتلاف الامن.
قياس مدي فعاليه ضوابط الامن السيراني للااتلاف الامن، وتقييمها بشكل دوري.
التخلص من اصول المعلومات اذا لم تعد هناك حاجه اليها وفقا للمتطلبات التشريعيه والتنظيميه ذات
العلاقه، وبما يتماشي مع لوايح خصوصيه البيانات: لتجنب الوصول غير المصرح به وتسرب البيانات
المتعمد وغير المتعمد.
اتلاف المعلومات الحساسه باستخدام تقنيات معينه لجعل المعلومات غير قابله للاسترداد (علي سبيل
المثال: المسح المين "Secure Wiping" المغطيه "Degaussing".
ضمان التزام مقدمي خدمات الاطراف الخارجيه بمعاير واجراءات الاتلاف الامن، كذلك قياس مدي
الفعاليه وتقييمها بشكل دوري.
22
تصنيف الوثيقه: عام

[Non-Text]
ضوابط الامن السيراني المتعلق
بالعمليات التشغيله
اداره حوادث الامن السيراني
7.3.4
الهدف:
تحديد عمليه اداره حوادث الامن السيراني التي تتوافق مع اداره حوادث مؤسسه السوق وتوثيقهها واعتمادها وتنفيذها لتحديد حوادث الامن السيراني والاستجابه لها والثغلب عليها. كذلك قياس مدي فعاليه هذه العمليه وتقييمها بشكل دوري; وذلك لضمان تحديد حوادث الامن السيراني ومعالجتها في الوقت المناسب للحد من التاثير السلبي المحتمل في مؤسسه السوق.
الضوابط الاساسيه :
تطوير عمليه اداره حوادث الامن السيراني، وتوثيقهها، واعتمادها، وتنفيذها، ومواعها مع عمليه اداره 1
حوادث مؤسسه السوق.
تضمين خطه التعافي من الكوارث سينارها حظتقه لحوادث الامن السيراني.
قياس مدي فعاليه ضوابط الامن السيراني في عمليه اداره حوادث الامن السيراني، وتقييمها بشكل
دوري.
تضمين ضوابط عمليه اداره حوادث الامن السيراني التالي:
تاسيس فريق مسؤول عن اداره حوادث الامن السيراني:
توافر موظفين مؤهلين ومدربين بشكل جيد:
منطقه محطوره مخصصه لاماكن عمل فريق الاستجابه للطوارج لوحادث الامن السيراني "CERT"
وضع خطط الاستجابه للحوادث الامنيه واليات التصعيد:
تصنيف حوادث الامن السيراني:
معالجه حوادث الامن السيراني في الوقت المناسب و متابعه التقدم ومقابته:
حمايه الادله والسجلات ذات الصله:
التحليل الجنايي للحوادث السيرانيه:
الاحتفاظ بسجل حوادث الامن السيراني.
23
تصنيف الوثيقه: عام

[Non-Text]
ضوابط المن السيراني المتعلق
بالعمليات التشغيله
التنسيق مع هييه السوق الماليه قبل اي تفاعل اعلامي يتعلق بالحادثه الامنيه.
ابلاغ الهييه الوطنيه للامن السيراني واداره امن المعلومات في هييه السوق الماليه فور وقوع اي حادثه
امنيه وتحديدها.
تقديم تقرير رسمي عن الحاده الامنيه الي هييه السوق الماليه بعد استيناف العمليات، بما في ذلك
تفاصيل الحادث التاليه:
عنوان الحادثه الالمنيه الالكترونيه:
تصنيف حاله الحاده الامنيه الالكترونيه (متوسط او مرتفع):
تاريخ ووقت وقع الحاده الامنيه الالكترونيه:
تاريخ ووقت اكتشاف الحاده الامنيه الالكترونيه:
اصول المعلومات المعنيه:
التفاصيل الفنيه للحاده الامنيه الالكترونيه:
تحليل للاساب و الدوافع:
الاجراءات التحصيه المنفذه والمخططه:
وصف الضرر (علي سبيل المثال: فقد البيانات، واتصل الخدمات، والتعدي غير المصرح به للبيانات.
وTSER البيانات المتعمد وغير المتعمد، بالاضافه الي عدد العملاء المتضرين (١)
التكلفه الاجماليه المقدره للحادثه الامنيه الالكترونيه:
التكلفه التقديريه للاجراءات التصحييه:
Cyber.Incidents@cma.org.sa : يرسل التقرير الي البريد الالكتروني التالي
24
تصنيف الوثيقه: عام

[Non-Text]
ضوابط الامن السيراني المتعلق
بالعمليات التشغيله
الامنا احداث سجلات اداره
الهدف:
تحديد عمليه اداره سجلات احداث الامن السيراني وتوثيقهها واعتمادها وتنفيذها لتحليل التسجيل الامني
والتشغيلي والتعامل مع احداث الامن السيراني. كذلك يجب قياس مدي فعاليه هذه عمليه وتقييمها
بشكل دوري: لضمان التغرف علي الاحدث المشتبه فيها المتعلقه باصول المعلومات، والاستجابه لها
في الوقت المناسب.
الضوابط الاساسيه :
 تحديد عمليه اداره سجلات احداث الامن السيراني، وتوثيقهها، واعتمادها، وTNFIHEHA.
قياس مدي فعاليه ضوابط الامن السيراني في عمليه اداره سجلات احداث الامن السيراني، وتقييمها
بشكل دوري.
تحديد معاير مراقبه سجلات احداث الامن السيراني، وتوثيقهها، واعتمادها، وتNFIHEHA لدعم هذه
العميله.
تحدد معاير الاحدث الواجب مراقبتها بناء علي تصنيف اصول المعلومات او ملف المظطر.
مراقبه سجلات احداث الامن السيراني للحسابات ذات الصلاحيات المحESه والحسابات الدخول 5
عن بعد.
الاكتظاط بسجلات احداث الامن السيراني مده ١٢ اشهرا علي الاقل.
تتضمن عمليه اداره سجلات احداث الامن السيراني التالي:
تاسبس فريق مسؤول عن المراقبه الامنيه (SOC) "SOC"
موظفون موظفون ومدرين بشكل جيد:
منطقه محظوره مخصصه لاماكن عمل مركز العملات الامنيه والانشطه ذات الصله:
الموارد اللازمه لانشطه المراقبه المستمره للاحداث الامنيه علي مدار ٢٤ ساعه طوال ايام الاسبوع:
الكشف عن الشفره المصدره "Code" والبرمجيات الخبييه ومعالجتها:
الكشف عن الاحداث الامنيه المشتبه فيها ومعالجتها:
استخدام حلول لتطليل حزم التشبكات:
حمايه سجلات احد الامن السيراني:
المراقبه الدوريه للالتزام بمعايير الامن السيراني لل تطبيقات والبنيه التحتيه:
استخدم التحليل الالي والمركزي للسجلات الامنيه وربط الاحداث او الانماط (مثل نظام اداره سجلات
"الحداث ومراقباء الامن السيراني" (SIEM)
الابلاغ عن حوادث الامن السيراني:
اختبار دوري مستقل للتحقق من فعاليه مركز العمليات الامنيه "SOCI" (علي سبيل المثال)
."(Red Team"
25
تصنيف الوثيقه: عام

[Non-Text]
ضوابط الامن السيراني المتعلق
بالعمليات التشغيله
وفي حاله حدوث حوادث امن سيراني كبري:
يشكل فريق لادار الزمات يكتون من مسول من مجلس اداره موسسه السوق وممتلين عن الاداره
التنفيذيه وافراد مؤهلين للتعامل مع الحوادث.
يخضع الافصاح عن حوادث الامن السبيراني لمعايير محدده، وان يشمل الاطراف ذات العلاقه.
وضع خطه تحسين وتطوير بعد انتهاه الازمه، واتخاذ التدابير اللازمه، وتنفيذ التوصيات المعنيه بناء علي
التقرير.
التاكد من انتهاه الحادث مزودا بجميع الوثايق اللازمه فيما يتعلق بكيفيه انتهاه، والدروس المستفاده
منه، ومدي الحاجه الي اجراء تحقيقات اضافيه ومراعات وتقارير ما بعد الازمه.
اداره تهديدات الامن السيراني
الهدف:
تحديد عمليه اداره التهديدات الامن السيراني وتنفيها واعتمادها وتنفيذها لتحديد وتقييم وفهم
الاخطار التي تهدد الاصول المعلوماتيه والTقنيه لمسسه السوق، وذلك باستخدام متعدده
موثوق بها، وقياس مدي فعاليه هذه العمليه، وتقييمها بشكل دوري.
الضوابط الاساسيه:
تحديد عمليه اداره التهديات الامن السيراني، واتمها، واتمها، واتمها، واتمها، واتمها، واتمها، واتمها، واتمما، واتمما، واتمما، واتمما، واتمما، واتمما، واتمما، واتم ما، واتم ما، واتم ما، واتم ما، واتم ما، واتم ما، واتم ما، واتمما، واتم ما، واتم ما، واتم ما، واتم ما، واتم ما، واتمما، واتمما، واتم ما، واتم ما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتم ما، واتم ما، واتم ما، واتمما، واتمما، واتمما، واتمما، واتمما، واتمما، واتمما، واتم ما، واتمما، واتمما، واتمما، واتمما، واتمما، واتم ما، واتم ما، واتمما، واتمما، واتمما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتمما، واتمما، واتم ما، واتم ما، واتم ما، واتم ما، واتم ما، واتم ما، واتم ما، واتمما، واتم ما، واتم ما، واتم ما، واتم ما، واتم ما، واتمما، واتمما، واتم ما، واتم ما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتم ما، واتم ما، واتم ما، واتمما، واتمما، واتمما، واتمما، واتمما، واتمما، واتمما، واتم ما، واتمما، واتمما، واتمما، واتمما، واتمما، واتم ما، واتم ما، واتمما، واتمما، واتمما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتمما، واتمما، واتم ما، واتم ما، واتم ما، واتم ما، واتم ما، واتم ما، واتم ما، واتمما، واتم ما، واتم ما، واتم ما، واتم ما، واتم ما، واتمما، واتمما، واتم ما، واتم ما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتم ما، واتم ما، واتم ما، واتمما، واتمما، واتمما، واتمما، واتمما، واتمما، واتمما، واتم ما، واتمما، واتمما، واتمما، واتمما، واتمما، واتم ما، واتم ما، واتمما، واتمما، واتمما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتمما، واتمما، واتم ما، واتم ما، واتم ما، واتم ما، واتم ما، واتم ما، واتم ما، واتمما، واتم ما، واتم ما، واتم ما، واتم ما، واتم ما، واتمما، واتمما، واتم ما، واتم ما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتم ما، واتم ما، واتم ما، واتمما، واتمما، واتمما، واتمما، واتمما، واتمما، واتمما، واتم ما، واتمما، واتمما، واتمما، واتمما، واتمما، واتم ما، واتم ما، واتمما، واتمما، واتمما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتمما، واتمما، واتم ما، واتم ما، واتم ما، واتمما، واتم ما، واتم ما، واتم ما، واتم ما، واتم ما، واتم ما، واتم ما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتم ما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتمما، واتمما، واتمما، واتمما، واتمما، واتمما، واتمما، واتم ما، واتمما، واتمما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتمما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتمما، واتمما، واتمما، واتمما، واتمما، واتم ما، واتمما، واتمما، واتمما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتمما، واتمما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتمما، واتم ما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتمما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتم ما، واتمما، واتم ما، واتم ما، واتم ما، واتم ما، واتم ما، واتم ما، واتم ما، واتم م
الخطاب التي تهددات العام
الخطاب الميويه
الخطاب الميويه
الخطاب الميويه
الخطاب الميويه
الخطاب الميويه
الخطاب الميويه
الخطاب الميويه
الخطاب الميويه
الخطاب الميويه
الخطاب الميويه
الخطاب الميويه
الخطاب الميويه
26
تصنيف الوثيقه: عام
26

[Non-Text]
ضوابط الامن السيراني المتعلق
بالعمليات التشغيله
حمايه التطبيقات
10.3.4
الهدف:
تحديد ضوابط الامن السيراني للتطبيقات وتوثيغها واعتمادها وتنفيذها ومراقبه الالتزام بهذه المعايير
وقياس مدي فعاليه هذه الضوابط وتقييمها بشكل دوري.
الضوابط الاساسيه :
تحديد ضوابط الامن السيراني للتطبيقات، وتوثيغها، واعتمادها، وTNFي. 1
مراقبه الالتزام ضوابط الامن السيراني لحمايه التطبيقات. 2
قياس مدي فعاليه ضوابط الامن السيراني للتطبيقات، وتقييمها بشكل دوري. 3
اتبع المنيحيه المعتمده الخاصه بدوره حياه تطويرالنظام الامن "SDLC" عند تطوير التطبيقات. 4
تتضمن ضوابط الامن السيراني لحمايه التطبيقات التي 5
"Secure Coding Standards" استخدام معاير التطوير الامن للاتطبيقات
ضوابط الامن السيراني المطابقه (مثل "Configuration Parameters" 2
والالاكتظاط بها اجما في ذلك الوصول اليالنظام والبيانات، واداره الهويات، وصلاحيات الدخول) 3
استخدام مصادر ومكتبات مWTوق بها ومعتمده: 3
استخدام مبدا المعاريه متعدده المستويات "Multi-tier Architecture" ونظام التحقق من الهويه
متعدد العناصر "Multi-Factor Authentication" ، وجدار الحمايه لتنبيقيات الويب
"Web Application Firewall" "الختراق لجميع الخدمات المقدمه خارجيا" (عن طريق الانتترنت) سنويا بحد ادني.
امن التكامل بين التطبيقات:
سياسه الاستخدام المقبول:
"معدوعما بصفوفه صالحيات موثقه: "Segregation of Duties" مبدا فصل المهام
حمايه البيانات والتعامل معها وفقا لنظام التصنيفه المعمول به في الجمه (بما في ذلك خصوصيه بيانات
"العميل، وتجنب الصول غير المصرح به وتسريب البيانات المتعمد او غير المتعمد) : 10
اداره التغرات وحزم التحديات والاصلاحات الامنيه:
اجراءات النسخowania الحتياطي واستعاده البيانات:
مراجعه الالتزام بالامن السيراني بشكل دوري.
27
تصنيف الوثيقه: عام

[Non-Text]
ضوابط الامن السيراني المتعلق
بالعمليات التشغيله
التشفر
11.3.4
الهدف:
 تحديد استخدام حلول التشغير داخل مؤسسه السوق وتوثيقهها واعتمادها وتنفيذها: لضمان حمايه
الوصول الي المعلومات الحساسه وسلامتها.
الضوابط الاساسيه:
تحديد معاير التشغير، وتوثيقهها، واعتمادها، وتنفيذها.
مراقبه الالتزام بعاير التشغير.
قياس مدي فعاليه ضوابط الامن السيراني الخاصه بالتشغير، وتقييمها بشكل دوري.
ان يënضم معيار التشغير التي:
استعرض علم لحلول التشغير المعتمده والقيود المطريقه عليها اتفينا وتحييميا:
الحالات التي ينبغي بموجبها تطبيق حلول التشغير المعتمده:
اداره مفاتيح التشغير، بما في ذلك اداره دوره حياتها وارشفتها واستعادتها.
تشغير البيانات اثناء النقل والتخزين بناء علي تصنيفها وبحسب افضل الممارسات والمعايير
والمتطلبات التشريعيه والتنظيميه ذات الصله.
اداره التغراث
12.3.4
الهدف:
تحديد عمليه اداره الثالثه الامنيه وتوثيقهها واعتمادها و تنفيذها لتحديد الثالثه الامنيه في التطبيقات
والبنيه التحتيه والاتخيف من اثارها، وقياس مدي فعاليه هذه العمليه، وتقييم تاثيرها بشكل دوري.
الضوابط الاساسيه:
تحديد عمليه اداره الثالث، وتوثيقهها، واعتمادها، واتنفيذها.
قياس فعاليه عمليه اداره الثالث، وتقييمها بشكل دوري.
تضمن عمليه اداره الثالث الثاني:
جميع الاصول المعلوماتيه والثقنيه:
اجراء فحص الثالث بشكل دوري:
تصنيف الثالث امنيه:
تحديد جداول زمنيه لمعالجه الثالث بناء علي تصنيفها:
تحديد الاولويات للاصول المعلوماتيه والثقنيه المضنيه:
اداره خزم التحديات الامنيه واساليب تطبيقها.
التواصل والاشتراك مع مصادر موثوقه فيما يتعلق بالتنبييات المتعلقه بالشرات الجديده والالمدشه.
28
تصنيف الوثيقه: عام

[Non-Text]
ضوابط الامن السيراني المتعلق
بالعمليات التشغيله
خدمات التداخل الالكتروني
13.3.4
الهدف:
تحديد ضوابط الامن السيراني لخدمات التداول الالكتروني وتوثيقهها واعتمادها واتنفيذها ومراقبتها.
وقياس فعاليه هذه الضوابط وتقييمها بشكل دوري: لضمان سريه معلومات العملاء.
الضوابط الاساسيه :
تحديد ضوابط الامن السيراني لخدمات التداول الالكتروني، وتوثيقهها، واعتمادها، واتنفيذها.
مراقبه الالتزام ضوابط الامن السيراني لخدمات التداول الالكتروني.
قياس مدي فعاليه ضوابط الامن السيراني لخدمات التداول الالكتروني، وتقييمها بشكل دوري.
تënضمن ضوابط الامن السيراني لخدمات التداول الالكتروني التالي:
حمايه الخدمات الالكرتينيه، بما في ذلك وسايل التواصل الاجتماعي.
حمايه التداولات عبر الانترنت والجوال والهاتف من خلال:
استخدم متاجر ومواقع التطبيقات الرسميه والموثوق بها:
استخدم التدابير الوقاييه للكشف عن التطبيقات ومواقع الانترنت المزيفه واغلاقها:
"Sandboxing" الاستخدام اليات
"Non-Caching" استخدام تقنيات التخزين غير الموقت
"Man-in-the-Middle" استخدام تقنيات الاتصال لاتفادي هجمات
استخدام اليات التحقق من الهويه متعدد العناصر: يجب استخدام الايه التحقق من الهويه متعدد العناصر اثناء عمليه تسجيل العمل من اجل الاستفاده
من خدمات التداخل الالكتروني:
يجب تطبيق اليه التحقق من الهويه متعدد العناصر علي جميع خدمات التداخل الالكتروني المتاحه
للمعلاء:
حمايه رموز الامان بكلمه مورور:
"PIN" حجب خيار وصول العملاء بعد ادخال ٢ كلمات مرور غير صحيحه متاليه او ارقام تعريف شخصي
غير صالحه:
اجراء عمليات طلب التحقق من الهويه متعدد العناصر وتفعيلها من خلال قنوات اتصال مختلفه:
تطبيق اليه التحقق من الهويه متعدد العناصر علي العمليات التاليه:
تسجيل الدخول:
اعاده تعيين كلمه المرور.
*ضمان استمراريه وتوافر لخدمات التداول الالكتروني:
يجب ان تنطوي اتفاقيه التعاقد بين مؤسسه السوق والعميل علي توضيح الدوار والمسؤوليات
والالتزامات لكل من مؤسسه السوق والعمالء فيما يخص متطلبات الامن السيراني;
اشعار هييه السوق الماليه عند بدء خدمه تداول الكتروني جديده.
29
تصنيف الوثيقه: عام

[Non-Text]
ضوابط الامن السيراني المتعلق
بالعمليات التشغيله
خدمات الاشعار الفوري عبر الرسايل النصيه القصيره: "SMS" علي بيانات حساسه (مثل رقم الهويه الوطنيه الخاصه
باجب ان لا تحتوي الرسايل النصيه القصيره "SMS" علي بيانات حساسه
بالعميل، ورقم المحفظه الاستثماريه) :
يجب ارسال الاشعار عبر الرسايل النصيه القصيره "SMS" الي رقم هاتف العميل عند طلب اليه جديده
للتحقق من الهويه متعدد العناصر;
يجب ارسال الاشعار عبر الرسايل النصيه القصيره "SMS" الي رقم هاتف العميل عند تنفيذ جميع عمليات
التداول والاكتتاب والاسترداد.
الامن المادي
14.3.4
الهدف:
الحمايه الماديه لجميع مرافق مؤسسه السوق لمنع الوصول المادي غير المصرح به وضمان حمايه
مؤسسه السوق.
الضوابط الاساسيه:
 تحديد ضوابط الامن المادي، وتوثيقهها، واعتمادها، واتنفيذها.
مراقبه مدي فعاليه ضوابط الامن المادي، وقياسها، وتقييمها بشكل دوري.
ضمان حمايه خدمات التداخل من التعطل الناتم عن القطاع التيار الكهربايي.
مراقبه اجهزه الانذار من الحريق علي نحو مستمر، واتخبارها بصفه منتظمه، وصيانها وفقا لمواقفات
الشركه المصنعه.
العمل علي تحفيظ اثر مخاطر الكوارث الطبيعيه.
تتضمن عمليه الامامي - علي سبيل المثال لا الحصر - التالي:
ضوابط الدخول المادي (بما في ذلك امن الزوار) 1
المراقبه والرصد (علي سبيل المثال: انظمه المراقبه "CCTV" ، واجهزه الاستثمارات)
حمايه مراكز البيانات وغرف البيانات وامدادات الطاقه للمراقق المهمه:
الحمايه ضد المخاطر البيييه:
حمايه اصول المعلومات اثناء دوره حياتها (بما في ذلك النقل، والاتلاف الامن، واتجنب الوصول غير
المصرح به، وتسريب البيانات المتعمد او غير الميمده:
تدريب الموظفين علي استخدام طفايات الحريق وغيرها من معدات السلامه.
30
تصنيف الوثيقه: عام

[Non-Text]
ضوابط الامن السيراني المتعلق
بالعمليات التشغيله
اداره استمراريه الاعمال
15.3.4
الهدف:
تحديد سياسه واستراتيجيه وخطط استمراريه الاعمال وتوثيقهها واعتمادها وتنفيذها بناء علي تقييم
مخاطر الامن السيراني وتحليل التاثير في الاعمال "BIA" ومراقبه الالتزام بهذه الضوابط المحدده،
وقياس مدي فاعليه تاثيرها، وتقييمها بشكل دوري؛ لضمان فعاليه وجاهزيه خطط التعافي من الكوارث
وفرق العمل في حال وقوع حادث، ومراجعتها بشكل دوري.
الضوابط الاساسيه :
 تحديد سياسه استمراريه الاعمال، وتوثيقهها، واعتمادها، وتحديثها، ونشرها للجهات ذات العلاقه داخل
مؤسسه السوق واخراچهها.
مراجعه سياسه استمراريه الاعمال سنويا واعد حدوث تغييرات مهمه.
تحديد المعاイير والتشريعات واللوايح التنظيميه التي تجب مراعاتها اثناء اعداد سياسه استمراريه
الاعمال.
اجراء تحليل التاثير في الاعمال "BIA" الذي يمكن من خلاله تحديد جميع العمليات والخدمات المهمه
الخاصه بالعمل مسبوله السوق.
اجراء تحليل التاثير في الاعمال "BIA" سنويا لاتصدار نظام اداره استمراريه الاعمال ولتاكيد
اولويات الاعمال ومواردها.
اعداد استراتيجيه اداره استمراريه الاعمال التي توضح متطلبات استعاده الاعمال، و تتوافق مع الوقت
المطلوب والمتوقع لاستعاده القدره علي العمل ومتقدم في تحليل التاثير في الاعمال "BIA".
اشناع فريق اداره الزامات، مكون من مثل عن مجلس الاداره وممثلين عن الاداره التنفيذيه وافراد
مهلين للتعامل مع الحوادث التي تؤثر في استمراريه الاعمال.
تتضمن خطه استمراريه الاعمال خطوات واضحه ومحدده يجب اتخاذها في حال وقوع ازمات او حالات
طواريه وتفاصيل الاتصال الخاصه بجميع الافراد المسؤولين، واختبارها بصفه منظمه، ومعرفه مدي
محاکاتها للواقع.
اختبار خطط اداره استمراريه الاعمال وخطط التعافي من الكوارث بشكل دوري او بعد كل تغيير جوهري
لضمان ملاعته وتدهها وتوافها مع اهداف استمراريه الاعمال.
التاكد من ان الموظفين العاملين علي اعداد برامج اداره استمراريه الاعمال مدربون ومؤهلون ويمتلكون
الخبره اللازمه للتعلم مع اداره مثل هذه الخطط والبرامج.
توفير التدريب العام والتوعيه اللازمه لجميع الموظفين فيما يتعلق باداره استمراريه الاعمال.
31
تصنيف الوثيقه: عام

[Non-Text]
ضوابط الامن السيراني المتعلق
بالعمليات التشغيله
"BYOD" استخدام الاجهزه الشخصيه
16.3.4
الهدف:
تحديد معاير وضوابط الامن السيراني لاستخدام الاجهزه الذكيه (مثل الهواتف الذكيه والاجهزه
اللوجيه واجهزه الحاسوب المحموله) لاغراض العمل: بهدف ضمان سريه معلومات مؤسسه السوق
وحمايتها.
الضوابط الاساسيه :
 تحديد سياسه الامن المتعلقه باستخدام الاجهزه الشخصيه، وتوثيقهها، واعتمادها، وTNFيها.
مراقبه الالتزام بسياسه الامن السيراني المتعلقه باستخدام الاجهزه الشخصيه.
قياس مدي فعاليه ضوابط الامن السيراني المتعلقه باستخدام الاجهزه الشخصيه، وتقييمها بشكل
دوري.
ان تتضمن سياسه استخدام الاجهزه الشخصيه التي:
مسؤوليات المستخدم (بما في ذلك التدريب والتي عينه) 1
المعلومات المتعلقه بالقيود المفرضه، والعواقب التي يتعرض لها الموظفون عند تطبيق ضوابط الامن 2
السبيراني علي اجهزتهم الشخصيه: ومن ذلك علي سبيل المثال: عند استخدام الاجهزه المعدله
(ب رنامج كسر الحمايه "Jailbreaking" ) , او انهاء العمل، او في حاله فقدان الجهاز Spiحي او سرقته:
فصل البيانات وال المعلومات الخاصه بمؤسسه السوق عن المعلومات الشخصيه 3
("Containerization" مثل)
قوانين استخدام تطبيقات الهواتف المحوله بمسسه السوق او تطبيقات الهواتف المحوله
العامه المتعدده:
استخدام اداره الاجهزه المحوله (MDM) "الجهزه المحوله" : لطبيق ضوابط
التحكم في الوصول علي الجهاز عن بعد، واليات التشغير و周三 فيات البانات والمعلمات المMzره علي الجهاز
الشخصي عن بعد:
32
تصنيف الوثيقه: عام

[Non-Text]
4.4
الامن السيراني المتعلق بالاطراف
الخارجيه والموردين
• عند الاستعاثه بخدمات الاطراف الخارجيه، يجب علي مؤسسه السوق ضمان تطبيق نفس
المستوي من حمايه الامن السيراني علي ذلك الطرف الخارجي، كما هو الحال داخل مؤسسه
السوق.
• تحديد وتنظيم متطلبات الامن السيراني بين مؤسسه السوق والاطراف الخارجيه وتوثيقهها
واعتمادها وتنفيذها ومراقبتها. وثعرف الاطراف الخارجيه في الدليل الاسترشادي بانهم مفرو
خدمات الاسناد ومقدمو الخدمات الخارجيه ومزودو الحوسبه السحابيه والبايعون والموردون
والجهات الحكوميه وما الي ذلك.
اداره العقود والموردين
الهدف:
 تحديد ضوابط الامن السيراني ضمن عمليات اداره العقود والمواردين وتوثيغها واعتمادها وتنفيذها
ومراقبتها.
الضوابط الاساسيه:
 تحديد ضوابط الامن السيراني، وتوثيغها، واعتمادها، ونتفيذها، ونشرها ضمن اطار عمليه اداره العقود 1
والموردين.
مراقبه الالتزام بعمليه اداره العقود والمواردين.
قياس مدي عاليه ضوابط الامن السيراني ضمن اطار عمليه اداره العقود والمواردين، وتقييمها بشكل
دوري.
تضمن عمليه اداره العقود والمواردين التالي:
تضمين الحد الادني من ضوابط الامن السيراني التي يجب تطبيقها في جميع الحالات:
التحقيه في اجراء مراجعه وتدقيق للامن السيراني بشكل دوري.
تضمن عمليه اداره العقود التالي:
اجراء تقييم لمضطر الامن السيراني كجزء من عمليه توقيع العقود مع طرف خارجي (مثل خدمات
"Managed Services" والخدمات المداره "Outsourcing" (المعلومات
تحديد ضوابط الامن السيراني كجزء من عمليه الطرح والمناقصه:
تقييم استجابات الموردين المحتملين بناء علي ضوابط الامن السيراني المحدده:
اختبار ضوابط الامن السيراني المتفق عليها (القايمه علي المخاطر)
تحديد اجراءات الاتصال والتصعيد في حاله وقوع حادثه امن سيراني:
"Non-Disclosure Clauses" تحديد اتفاقيه المحافظه علي سريه البيانات
الحذف الامن من قبل الطرف الخارجي لبيانات الجهه عند انتهاع الخدمه.
تتضمن عمليه اداره الموردين اعداد تقارير دوريه لمتطلبات ضوابط الامن السيراني المتفق عليها في
."Service Level Agreement" العقد ومراجعتنا وتقييمها في اتفاقيه مستوي الخدمه
33
تصنيف الوثيقه: عام

[Non-Text]
الامن السيراني المتعلق بالاطراف
الخارجيه والموردين
الاسناد الخارجي
2.4.4
الهدف:
تحديد ضوابط الامن السيراني المنصوص عليها في سياسه وعمليه الاسناد الخارجي وتوثيقهها
واعتمادها وتنفيذها ومراقبتها، وقياس مدي فعاليه ضوابط الامن السيراني المحدده وتقييمها.
الضوابط الاساسيه :
تحديد ضوابط الامن السيراني في سياسه وعمليه الاسناد الخارجي، وتوثيقهها، واعتمادها، وTNFIHEA
ونشرها داخل مؤسسه السوق.
قياس ضوابط الامن السيراني المتعلقه بسياسه وعمليه الاسناد الخارجي، وتقييمها بشكل دوري.
ان تشمل عمليه الاسناد الخارجي مشاركه اداره الامن السيراني وتقييم مخاطر الامن السيراني;
الالتزام بالانظمه والتشريعات الوctinée ذات العاقه.
يقتصر الاسناد الخارجي لتوفير خدمات مراقبه العمليات الامنيه علي مقدمي الخدمه الموجودين
بالملكه العربيه السعوديه.

34
تصنيف الوثيقه: عام

[Non-Text]
الامن السيراني المتعلق بالاطراف
الخارجيه والموردين
الحوسبه السحابيه
3.4.4
الهدف:
تحديد ضوابط الامن السيراني في استخدام الحوسبه السحابيه وعمليه الخدمات الحسابيه والاستضافه
وTUNIFQA واعتمادها وTUNIFQA ومراقبتها، وقياس مدي فعاليه ضوابط الامن السيراني المحدده
وTUNIFQA واعتمادها وTUNIFQA ومراقبتها، وقياس مدي فعاليه ضوابط الامن السیراني المحدده
الضوابط الاساسيه:
تحديد ضوابط الامن السيراني ضمن سياسه الحوسبه السحابيه للخدمات الحسابيه والاستضافه.
وتوثيقهها، واعتمادها، وTNFHها، ونشرها داخل مؤسسه السوق.
مراقبه الالتزام بسياسه الحوسبه السحابيه.
قياس ضوابط الامن السيراني المتعلقه بسياسه الحوسبه السحابيه وعمليه الخدمات السحابيه
والاستضافه، وتقييمها بشكل دوري.
تضمن ضوابط الامن السيراني لسياسه الحوسبه السحابيه للخدمات السحابيه التي:
عمليه اعتماد الخدمات السحابيه، وتشمل:
اجراء تقييم لمحاط الامن السيراني تجاه مزود الخدمه السحابيه والخدمات السحابيه:
ابرام عقد يشمل ضوابط الامن السيراني، وذلك قبل استخدام الخدمات السحابيه:
اجراء تصنيف البيانات قبل استضافتها:
موقع البيانات، ويشمل الالتزام باستخدام الخدمات السحابيه الموجوده في المملكه العربيه السعوديه:
فيود استخدام البيانات، وتشمل عدم استخدام مزود الخدمه السحابيه بيانات مؤسسه السوق لاغراض
اخري:
الحمايه، ويجب علي مزود الخدمه السحابيه تطبيق ضوابط الامن السيراني ومراقبتها علي النحو المحدد
في تقييم المخاطر؛ وذلك من اجل حمايه سريه بيانات مؤسسه السوق وسلامتها وضمان توافرها:
فصل البيانات، ويشمل فصل بيانات مؤسسه السوق عن البيانات الاخري التي ي contextual بها مزود الحدمه
السحابيه بشكل ملايهم، بحيث يكون مزود الحدمه السحابيه قادر علي تحديد بيانات مؤسسه السوق في
جميع الاوقات وتمييزها عن البيانات الاخري.
استمراريه الاعمال، ويتضمن ذلك تلبيه متطلبات استمراريه الاعمال وفقا لسياسه استمراريه الاعمال
المعتمده لدي مؤسسه السوق:
احقيه مؤسسه السوق في اجراء مراجعه وتدقيق وفحص للامن السيراني لدي مزود الخدمه السحابيه:
الانهام، ويشمل:
حقوق مؤسسه السوق في الانهام:
حقوق مؤسسه السوق باستعاده بياناتها من قبل مزود الخدمه السحابيه عند الانهام في صيغه مناسبه
يمكن استخدامها:
حقوق مؤسسه السوق بالمطالبه بحذف بياناتها من قبل مزود الخدمه السحابيه عند الانهام بشكل غير
قابل للاستعاده.
35
تصنيف الوثيقه: عام

[Non-Text]
الملاقات
[Non-Text]
المصلحات والتعريفات
يوضح الجدول ادناه بعض المصطلبات وتعريفاتها الوارده في هذه الوثيقه
اداره صلاحيات الوصول
Access management
اداره الوصول في عمليه من المستخدمين المصرح لمج التي استخدام الخدمه، ومنع وصل المستخدمين غير
المصرح لمج.
اداره الهويه
Identity management
عمليه التحكم في المعلومات المتعلقه بمستخدمي اجهزه الحاسوب، بما في ذلك كيفيه التفقق من الهويه والاثناحيه
المصرح لمج بلاوصال اليها والاجراءات المصرح لمج باتخاذها. وتشمل ايضا اداره المعلومات المتعلقه بالاستخدم
وكيفيه الوصول الي تلك المعلومات وتعديلها ومن يمكنه ذلك.
الاصل
Asset
اي شيء ملموس او غير ملموس له قيمه بالنسبه الي الجهه. وهناك انواع كثيره من الاصول; بعض هذه الاصول
تنضم اشياء واضحه، مثل: الاشخاص، والالات، والمرافق، وبراءات الاختراع، والبرامجيات، والخدمات. ويمكن ان يشمل
المصطلح ايضا اshaa اقص وضوحا، مثل: المعلومات والخصايص ( كسمعه الجهه وصورتها العامه، او المهاره
والمعرفه).
هجوم
Attack
اي نوع من الانشطه الخييه التي تحاول الوصول بشكل غير مشروع او جمع موارد النظم المعلوماتيه او المعلومات
نفسها او تعطيلها او منعها او تحطيمها او تدميرها.
تدقيق
Audit
المراجعه المستقله ودراسه السجلات والانشطه لتقيم مدي فعاليه ضوابط الامن السيراني ولضمان الالتزام
بالسياسات والاجراعات التشغيله والمعايير والمتطلبات التشريعه والتنظيميه ذات العلاقه.
التوافر
Availability
ضمان الوصول الي البيانات والمعلومات والانظمه والتطبيقات واستخدامها في الوقت المناسب.
36
تصنيف الوثيقه: عام

[Non-Text]
الملاقات
المصلحات والتعريفات
يوضح الحصول ادناه بعض المصطلحات وتعريفاتها الوارده في هذه الوثيقه
السريه
Confidentiality
ال-actaفاط بقبود مصرح بها علي الوصول الي المعلومات والافضاح عنها، بما في ذلك وسايل حمايه معلومات الخوصيه.
سلامه المعلومات
Integrity
الحياءه ضد تعديل او تخريب المعلومات بشكل غير مصرح به، واتضمن ضمان عدم الانكار للمعلومات (1-ation
المؤسوقيه (1-ation)
التاكيد
Assurance
التاكد من تحقيق الاهداف الامنيه الاربعه (السلامه والتوافر والسريه والمساعده) من خلال تنفيذ محمد. ويشمل التحقق
(1) و (2) حمايه كافيه بشكل صحيح، و (3) حمايه كافيه من الاخطاء غير المقصوده (من قبل المستخدمين او البرامج) ، و (4)
مقاومه كافيه للاكتراق المتعمد او الالتفاف.
الرييس التنفيذي
المسؤول التنفيذي الذي يتمل بسلطه اتحاد القرارات الرييسيه داخل المنظمه.
لجنه الامن السيراني
تهدف الي مساعده مؤسسه السوق الماليه للحصول علي ممارسات الامن السيراني الجيده، الموضوعه من جانب هييه
السوق الماليه.
مؤسسات السوق
الجهات الماليه التي تënضغ الشراف ورقابه وترخيص هييه السوق الماليه.
اداره التغيير
تتمثل في تحديد واجراء التغييرات المطلوبه فيما يتعلق بالرقابه علي نظم الاعمال/المعلومات.
37
تصنيف الوثيقه: عام

[Non-Text]
الملاقات
المصلحات والتعريفات
يوضح الجدول ادناه بعض المصطلحات وتعريفاتها الوارده في هذه الوثيقه
المجلس الاستشاري للتغيير
Change-Advisory Board
هو المجلس الذي يقدم الدعم الي فريق اداره التغيير من خلال تقديم التغييرات اللازمه والمساعده في تقييم التغييرات
وتحديد اولوياتها.
الحوسبه السحابيه
نموذج للتمكين من الوصول عند الطلب الي مجموعه مشتركه من موارد تقنيه المعلومات (مثل: الشبكات
والخطود والتخزين والتطبيبات والمطامدات التي يمكن توفيرها بسرعه واطلاقها بالحد الذي من الجهد الاداري
التشغيل. وتسمح الحسبه السحابيه للمستخدم بالوصول الي الخدمات القايمه علي التقنيه من خلال شبكه
الحوسبه السحابيه دون الحاجه الي وجود معرفه لديهم او تحكم في البنيه التحتيه التقنيه التي تدههم.
استمراريه الاعمال
قدره المؤسسه علي مواصله تقديم خدمات تقنيه المعلومات وخدمات الاعمال بمستويات محدده ومقبوله مسبا بعد
وقوع حادث تخريب.
اداره مخاطر المؤسسه
الاساليب والعمليات التي تستخدمها المؤسسه اداره المخاطر التي تتعرض لها مهمتها وايراسه اللغه اللازمه
للمؤسسه لدعم المهام المشركه. ونتطوي علي تحديد تعيبات المهام القايمه علي قدرات المؤسسه، وتجديد
المخاطر وترتيب اولوياتها بسبب التهديدات المحدده وتنفيذ التدابير المضاده ل TIOFFIR موقف ثابت للمخاطر واستجابه
ديناميكيه فعاله للتهديدات النشطه; وتقييم اداء المؤسسات ضد التهديدات وتعديل التدابير المضاده بحسب
الاقتصاع.
المخاطر السيرانيه
المخاطر التي تمس عمليات اعمال المنظمه (بما في ذلك رساله المنظمه او مهمتها او صورتها او اصول
المنظمه او الافراد او المنظمات الاخري او الدوليه، بسبب امكانيه الوصول غير المصرح به او الاستخدام او الاقصاح او
التعطيل او التعديل او اتلاف المعلومات واو نظم المعلومات.
مؤشرات الاداء الرييسه
KPI
نوع من ادوات قياس مستوي الاداء يقيم مدي نجاح نشاط ما او جهه تجاه تحقيق اهداف محدده.
38
تصنيف الوثيقه: عام

[Non-Text]
الملاقات
المصلحات والتعريفات
يوضح الجدول ادناه بعض المصطلحات وتعريفاتها الوارده في هذه الوثيفه
الاحتماليه
Likelihood
احد العوامل المرجحه القايمه علي تحليل احتماليه استغلال احد التهديدات لثغره امنيه معينه.
سجل المخاطر
Risk register
يتمثل سجل المخاطر في جدول يستخدم مرجعا لجميع المخاطر المحدده، ويتضمن معلومات اضافيه حول كل خطر
علي حده، علي سبيبل المثال: فيه المخاطر، والجهه المسووله عن ادارتها، واجراءات الحد من اثارها.
الامن السيراني
Cybersecurity
يعرف الامن السيراني بانه مجموعه من الادوات والسياسات والمفاهيم الامنيه والخدمات الامنيه والموادح الصحييه
ونعج لاداره المحاط والجراءات ودورات التدريب وافضل الممارسات والخدمان والتقنيات التي يمكن استخدامها لحمايه
اصول معلومات مقسسه السوق من التهديدات الداخليه والخريقه.
صمود الامن السيراني
Cybersecurity Resilience
القدره الشامله للجهه علي الصمود امام الاحداث السيرانيه، ومسبيات الضرر، والاتعافي منها.
ضوابط الامن السيراني
الضوابط الاداريه والتشغيله والفنيه (اي الضمانات او التدابير المضاده) المنصوص عليها في نظام المعلومات لحمايه
سربيه وسلامه وتوافر النظام ومعلومات.
فعاليه ضوابط الامن السيراني
قياس مدي صحه التنفيذ (اي مدي توافق تنفيذ الرقابه مع الخطه الامنيه) ومدي استيفاء الخطه الامنيه للاحتياجات
التنظيميه وفقا للقدره علي تحمل المخاطر الحاليه.
برنامج التوعيه بالامن السيراني
برنامج يشعر قواعد السلوك المناسبه للاستخدام الامن لانظمه تقنيه المعلومات. ويحتوي البرنامج علي سياسات
واجراءات الامن السيراني المطلوب اتباعها.
39
تصنيف الوثيقه: عام

[Non-Text]
الملاقات
المصلحات والتعريفات
يوضح الجدول ادناه بعض المصلحات وتعريفاتها الاداره في هذه الوثيفه
حومعه المن المسؤوليات والممارسات التي يقوم بها مجلس الاداره والاداره التنفيذيه بهدف توفير التوجيه
الاستراتيجي للامن السيراني، وضمان تحقيق اهدافه، والتاكد من اداره المخاطر السيرانيه بشكل مناسب، والتحقق من
استخدام موارد المؤسسه علي نحو مسؤول.
سياسه الامن السيراني
مجموعه من المعاير الموضوعه لتوفير الخدمات الامنيه. وتحدد هذه المعاير الاشرطه الخاصه بمرافق معالجه
البيانات التي يتم اجراها لhfاظ علي الحاله الامنيه لنظام والبيانات.
التوثيق الرسمي
الوثايق المكتوبه الموافق عليها من القياده العليا والمعممه علي الاطراف المعنيه.
حادثه
Incident
انتهاك امني بمخافه سياسات الامن السيراني او سياسات الاستخدام المقبول او ممارسات او ضوابط او متطلبات
الامن ا

…(8,419 more chars)