🔐 المسرد السيبراني

وثيقة تحدد القواعد والإرشادات لاستخدام موارد تقنية المعلومات في المؤسسة.

خوارزمية تشفير متماثلة أنشأها المعهد الوطني الأمريكي للمعايير والتقنية عام 2001، وتم اعتمادها على نطاق واسع كمعيار عالمي لتشفير البيانات الحساسة. يدعم AES أحجام مفاتيح 128 و192 و256 بت وهو مطلوب من قبل إطار الأمن السيبراني لمؤسسة النقد العربي السعودي لحماية البيانات المالية ومن الضوابط الأساسية للأمن السيبراني للهيئة الوطنية للأمن السيبراني لتأمين المعلومات الحكومية المصنفة.

نهج أمني استراتيجي يجمع بين الضوابط التقنية والتدريب على التوعية للمستخدمين وسياسات الحوكمة لمنع هجمات الاحتيال المتطورة عبر البريد الإلكتروني التي تستهدف المؤسسات. يشمل ذلك تنفيذ إجراءات التحقق للمعاملات المالية واكتشاف انتحال شخصية المسؤولين التنفيذيين وبروتوكولات الاستجابة للحوادث.

التاريخ الزمني الموثق لمناولة ونقل الأدلة الرقمية.

نهج آلي للحفاظ على الامتثال للأنظمة والمعايير من خلال المراقبة والتقييم المستمرين.

بيان بالنتيجة المرجوة أو الغرض المراد تحقيقه من خلال تنفيذ ضابط أمني.

إجراء يُتخذ للقضاء على سبب عدم المطابقة المكتشف لمنع تكراره.

واحد من خمسة فئات تنظيمية رئيسية ضمن إطار الضوابط الأساسية للأمن السيبراني تجمع الضوابط السيبرانية ذات الصلة: حوكمة الأمن السيبراني، والدفاع السيبراني، والمرونة السيبرانية، والأمن السيبراني للأطراف الثالثة والحوسبة السحابية، والأمن السيبراني لأنظمة التحكم الصناعي. يتناول كل مجال جوانب محددة من برنامج الأمن السيبراني للمؤسسة ويحتوي على فئات رقابية متعددة مع متطلبات تنفيذ تفصيلية.

إطار تقييم منظم ضمن الضوابط الأساسية للأمن السيبراني يقيس قدرات المنظمة في الأمن السيبراني عبر خمسة مستويات نضج: مبدئي، نامي، محدد، مُدار، ومُحسّن. يجب على المنظمات الخاضعة للضوابط الأساسية تقييم مستوى نضجها وتحسين وضعها الأمني السيبراني تدريجياً وفقاً للجداول الزمنية ومتطلبات الهيئة الوطنية للأمن السيبراني.

نهج قائم على السياسات لإدارة تدفق البيانات خلال دورة حياتها من الإنشاء والتخزين إلى الحذف.

عملية إخفاء بيانات محددة داخل قاعدة بيانات لضمان عدم كشف البيانات الحساسة لأشخاص غير مصرح لهم.

عملية لتحديد وتقليل مخاطر حماية البيانات لمشروع أو نظام.

نظام رياضي للتحقق من صحة وسلامة الرسائل أو المستندات الرقمية.

بروتوكول مصادقة البريد الإلكتروني الذي يبني على إطار سياسة المرسل ومفاتيح تحديد هوية البريد لتوفير حماية لأصحاب النطاقات ضد الاستخدام غير المصرح به لنطاقهم في هجمات البريد الإلكتروني. يمكّن أصحاب النطاقات من تحديد كيفية تعامل خوادم البريد المستقبلة مع الرسائل التي تفشل في فحوصات المصادقة ويوفر آليات إعداد التقارير للمراقبة.

استراتيجية وتقنية أمنية تراقب وتكتشف وتمنع نقل المعلومات الحساسة عبر البريد الإلكتروني بما يخالف سياسات المؤسسة أو المتطلبات التنظيمية. يساعد منع فقدان البيانات عبر البريد الإلكتروني في منع خروقات البيانات العرضية أو المتعمدة من خلال فرض فحص المحتوى والضوابط القائمة على السياسات.

إطار حوكمة يحدد المتطلبات والإجراءات لتشفير اتصالات البريد الإلكتروني لحماية المعلومات الحساسة أثناء النقل وفي حالة السكون. تحدد هذه السياسة معايير طرق التشفير وإدارة المفاتيح والامتثال للوائح حماية البيانات مثل نظام حماية البيانات الشخصية.

حل أمني يقوم بتصفية ومراقبة حركة البريد الإلكتروني الواردة والصادرة للكشف عن المحتوى الضار والبريد العشوائي ومحاولات التصيد الاحتيالي وحظرها. يعمل كحاجز وقائي بين البنية التحتية للبريد الإلكتروني للمؤسسة والتهديدات الخارجية، مع فرض سياسات الأمن ومتطلبات الامتثال.

وثيقة حوكمة تحدد المدة التي يجب الاحتفاظ فيها برسائل البريد الإلكتروني وأرشفتها وحذفها في النهاية بناءً على المتطلبات التنظيمية والالتزامات القانونية واحتياجات العمل. تضمن هذه السياسة الامتثال لقوانين حماية البيانات مع إدارة موارد التخزين بفعالية.

برنامج منظم مصمم لتثقيف الموظفين حول التهديدات القائمة على البريد الإلكتروني مثل التصيد الاحتيالي والبرامج الضارة وهجمات الهندسة الاجتماعية. يعد هذا التدريب عنصراً حاسماً في حوكمة الأمن، مما يساعد المؤسسات على بناء جدار حماية بشري وتقليل مخاطر نجاح هجمات البريد الإلكتروني.

الجمع المنهجي للأدلة على أن الضوابط الأمنية منفذة وفعالة لتلبية متطلبات الامتثال.

تقييم يقارن الوضع الأمني الحالي للمؤسسة مقابل معيار أو إطار مرغوب لتحديد المجالات التي تحتاج تحسين.

شكل من أشكال التشفير يسمح بإجراء الحسابات على البيانات المشفرة دون فك تشفيرها أولاً.

نظام ينشئ ويحتفظ ويدير معلومات الهوية للمستخدمين مع توفير خدمات المصادقة.

تقنية تتحكم في الوصول إلى المستندات والبريد الإلكتروني والملفات خارج حدود شبكة المؤسسة.

مستوى المخاطر الموجودة قبل تطبيق أي ضوابط. يستخدم في تقييمات المخاطر لتحديد مستوى المخاطر الأساسي قبل تقييم فاعلية الضوابط الحالية.

تقييم مستقل يُجرى داخل المؤسسة لتقييم وتحسين فعالية إدارة المخاطر والرقابة والحوكمة.

مبدأ أنه يجب منح المستخدمين الحد الأدنى من مستويات الوصول اللازمة لأداء وظائفهم.

مؤشر أداء رئيسي يقيس متوسط الوقت الذي يستغرقه فريق مركز العمليات الأمنية لاكتشاف حادث أمني أو اختراق من لحظة حدوثه. يعتبر متوسط الوقت للكشف أمراً بالغ الأهمية لتقييم فعالية قدرات المراقبة الأمنية وضوابط الكشف، حيث تشير القيم المنخفضة إلى عمليات أمنية أكثر نضجاً.

تقنية أمنية للثقة المعدومة تقسم الشبكات إلى أجزاء صغيرة ومعزولة لاحتواء الاختراقات والحد من الحركة الجانبية. كل جزء له ضوابط الوصول وسياسات الأمان الخاصة به، مما يسمح للمؤسسات بتحديد محيطات أمنية دقيقة حول الأصول الحرجة وفرض فحص صارم لحركة المرور بين الأجزاء.

إطار تفويض يمكّن التطبيقات من الحصول على وصول محدود لحسابات المستخدمين عبر رموز التفويض.

أي عملية أو مجموعة عمليات تُجرى على البيانات الشخصية، بما في ذلك الجمع والتسجيل والتنظيم والهيكلة والتخزين والتكييف والاسترجاع والاستشارة والاستخدام والإفصاح والنقل والمحو أو الإتلاف، سواء كانت آلية أو يدوية.

النظام الشامل لحماية البيانات في المملكة العربية السعودية الصادر عام 2021 والذي يحكم جمع ومعالجة وتخزين ونقل البيانات الشخصية. يحدد حقوق أصحاب البيانات والتزامات مراقبي ومعالجي البيانات، مع عقوبات لعدم الامتثال تصل إلى 3 ملايين ريال سعودي.

مجموعة فرعية من إدارة الهوية والوصول تركز على إدارة ومراقبة الحسابات ذات الصلاحيات المرتفعة، مثل مسؤولي الأنظمة ومسؤولي قواعد البيانات. توفر حلول إدارة الوصول المميز التحكم والمراقبة وتأمين بيانات الاعتماد المميزة لمنع الوصول غير المصرح به إلى الأنظمة الحساسة والبيانات الحساسة.

إطار من التشفير والأمن السيبراني يحمي الاتصالات بين الخوادم والعملاء باستخدام الشهادات الرقمية.

إطار عمل من السياسات والإجراءات والأجهزة والبرامج والأفراد المستخدمة لإنشاء وإدارة وتوزيع واستخدام وتخزين وإلغاء الشهادات الرقمية وإدارة تشفير المفتاح العام. تتيح البنية التحتية للمفتاح العام الاتصالات الإلكترونية الآمنة وهي مطلوبة من الضوابط الأساسية للأمن السيبراني للجهات الحكومية وإطار الأمن السيبراني لساما للمؤسسات المالية للمصادقة على المستخدمين وتشفير البيانات وضمان عدم إنكار المعاملات الرقمية.

مصفوفة تعيين المسؤوليات تحدد من هو المسؤول والمحاسب والمستشار والمُبلَّغ لكل مهمة.

المخاطر التي تبقى بعد تطبيق ضوابط الأمن.

مستودع موثق للمخاطر المحددة وتحليلها وإجراءات الاستجابة المخطط لها.

عملية اختيار وتنفيذ التدابير لتعديل المخاطر، بما في ذلك التجنب والتخفيف والنقل والقبول.

طريقة لتقييد وصول النظام للمستخدمين المصرح لهم بناءً على دورهم في المؤسسة.

لغة توكيد الأمان القائمة على XML — معيار لتبادل بيانات المصادقة والتفويض بين الأطراف.

حدود تقييم الامتثال التي تحدد الأنظمة والعمليات والمواقع المشمولة في التقييم.

تصميم أمني موحد يعالج الضرورات والمخاطر المحتملة في سيناريو معين ويحدد متى وأين يتم تطبيق ضوابط الأمن.

هيكل شامل من السياسات والإجراءات والضوابط التي تؤسس المساءلة والإشراف على أنشطة الأمن السيبراني في جميع أنحاء المؤسسة. يحدد الأدوار والمسؤوليات وعمليات اتخاذ القرار لضمان توافق أهداف الأمن مع أهداف العمل والمتطلبات التنظيمية.

حل أمني شامل يوفر تحليلاً فورياً للتنبيهات والأحداث الأمنية الناتجة عن أجهزة الشبكة والتطبيقات. يجمع ويدمج ويربط ويحلل بيانات السجلات لاكتشاف التهديدات ودعم تقارير الامتثال وتمكين الاستجابة السريعة للحوادث.

وثيقة رسمية تحدد القواعد والإرشادات والممارسات لإدارة وحماية أصول المعلومات في المؤسسة.

بروتوكول مصادقة البريد الإلكتروني يسمح لأصحاب النطاقات بتحديد خوادم البريد المصرح لها بإرسال رسائل البريد الإلكتروني نيابة عن نطاقهم. يساعد إطار سياسة المرسل في منع انتحال البريد الإلكتروني من خلال تمكين الخوادم المستقبلة من التحقق من أن البريد الوارد من نطاق معين يأتي من عنوان IP مصرح به.

نظام مصادقة يسمح للمستخدم بتسجيل الدخول بمعرف واحد للوصول إلى أنظمة متعددة مرتبطة ولكنها مستقلة.

وثيقة تسرد جميع ضوابط ملحق أ لمعيار ISO 27001 وتشير إلى ما إذا كان كل منها قابلاً للتطبيق أو منفذًا أو مستبعدًا مع التبرير.

تقييم مستقل يجريه مدقق خارجي مؤهل للتحقق من الامتثال للمعايير أو الأنظمة.