سياسية الاستخدام الامن للاصول:-
الغرض
الغرض من هذه السياسة هو توفير متطلبات الأمن السيبراني؛ لتقليل المخاطر السيبرانية، المتعلقة باستخدام أنظمة دارة الملك عبدالعزيز وأصولها، وحمايتها من التهديدات الداخلية والخارجية، والعناية بالأهداف الأساسية للحماية؛ وهي المحافظة على سرية المعلومة، وسلامتها، وتوافرها.
وتهدف هذه السياسة إلى الالتزام بمتطلبات الأمن السيبراني والمتطلبات التشريعية والتنظيمية ذات العلاقة، وهي مطلب تشريعي في الضابط رقم ٢-١-٣ من الضوابط الأساسية للأمن السيبراني (ECC-1:2018) الصادرة من الهيئة الوطنية للأمن السيبراني.
النطاق
تنطبق هذه السياسة على جميع البيانات والأنظمة والمعدات والموظفين والموظفين الخارجيين الذين تستعين بهم الدارة، سواء بشكل مباشر أو غير مباشر، أو الزائرين الذين يستخدمون أنظمة الدارة أو بياناتها أو معداتها.
بنود السياسة
يجب التعامل مع المعلومات حسب التصنيف المحدد، وبما يتوافق مع سياسة تصنيف البيانات وسياسة حماية البيانات والمعلومات الخاصة بدارة الملك عبدالعزيز، بشكل يضمن حماية سرية المعلومات وسلامتها وتوافرها
حماية أجهزة الحاسب
- لا يُسمح باستخدام أجهزة الوسائط القابلة للإزالة لأغراض تخزين و/أو نقل بيانات الدارة، إلا إذا صرحت بذلك إدارة الأمن السيبراني بالدارة ووافقت عليه.
- يجب حماية جميع الأصول التي تتضمن بيانات حيوية أو حساسة بالشكل المناسب وفق سياسة حماية البيانات والمعلومات.
- تُستخدم أجهزة سطح المكتب الخاصة بالموظفين وأنظمة البيانات الأخرى بطريقة تحافظ على السرية وتحمي البيانات الموجودة على الأنظمة.
- يجب ألا يُسمح للمستخدمين بتعطيل أي خدمات أمنية أو أجهزة أو برامج لمكافحة الفيروسات على أي من موارد تقنية المعلومات بالدارة، ما لم يُصرح بذلك كتابيًا وصراحة من قِبل إدارة الأمن السيبراني.
- يتعين الإبلاغ الفوري عن أي فقدان أو تلف أو سرقة للمعدات المملوكة للدارة.
- يتأكد المستخدمون من تسجيل الخروج من أصول البيانات وتقنية المعلومات بالدارة قبل مغادرة المكتب في نهاية ساعات العمل. يجب أن يقفل المستخدمون الأنظمة، خلال الاستراحات القصيرة، قبل ترك أجهزة الحاسب المُخصصة لهم.
- يجب ألا يترك المستخدمون بيانات سرية أو حساسة على مكاتبهم بحيث يمكن قراءتها أو نسخها أو تغييرها دون عِلمهم. ويجب تأمين هذه المواد وحفظها في خزانات الحفظ، أو تدميرها بفرَّامة ورق عند انتفاء الحاجة إليها.
- يجب ألا يركب المستخدمون أجهزة جديدة بأجهزة سطح المكتب الخاصة بهم دون الحصول على التصريح المناسب من إدارة الأمن السيبراني.
· حماية البرامج والإنترنت
- يجب على مسؤولي الأنظمة والمستخدمين المُصرح لهم عدم الإفصاح عن أي تفاصيل مرتبطة بالأنظمة والشبكات، بما في ذلك الاتصال عن بُعد، والوصول إلى موارد تقنية المعلومات بالدارة، لأي موظف غير مُصرح له.
- يجب على الموظفين عدم تثبيت البرامج غير القياسية، مثل البرامج التجريبية والبرامج المجانية، دون الحصول على الموافقات اللازمة من إدارة الأمن السيبراني بالدارة.
- عند الاقتضاء، على الموظفين والمتعاقدين الخارجيين توصيل أجهزتهم الشخصية المحمولة/الجوالة بشبكة الدارة وفقًا لمتطلبات سياسة استخدام الأجهزة الشخصية في العمل (سياسة "أحضر الجهاز الخاص بك").
- يُسمح بالوصول إلى الإنترنت لأغراض العمل فقط. يجب عدم استخدام شبكة الإنترنت في الدارة للانتفاع الشخصي والترفيه على مواقع التواصل الاجتماعي (مثل: يوتيوب وفيسبوك وتويتر وغيرها)، ما لم يَستخدام شبكة منفصلة (مثل شبكة الضيف).
- يجب على الموظفين عدم تنزيل أو تثبيت أو استخدام أي أدوات أو برامج أمنية (مثل الشبكات الخاصة الظاهرية أو برامج اختراق كلمات المرور أو أدوات مراقبة الحزم أو برامج فحص المنافذ وما إلى ذلك) ما لم تؤخذ الموافقة على ذلك من إدارة الأمن السيبراني.
- يُتاح الوصول إلى الإنترنت عبر متصفح إنترنت ذي مستوى أمني ملائم ومناسب.
- يجب على الموظفين عدم تخزين أو معالجة أي معلومات أو وثائق حساسة أو سرية أو خاصة على الأنظمة المتصلة بالإنترنت ما لم يكن لدى المستخدم موافقة مُوثقة من إدارة الأمن السيبراني بالدارة.
- يجب على الموظفين عدم إعاقة أو منع الفحص التلقائي لجميع الملفات المُنزلة عبر الإنترنت للتأكد من خلوها من الفيروسات، وذلك باستخدام البرنامج المُعتمد للكشف عن الفيروسات.
- يجب على الموظفين عدم إجراء أي نوع من أنواع الاختبار أو الفحص الأمني أو امتلاك أو استخدام أدوات لاختراق ترخيص البرامج وكلمات المرور والأنشطة المماثلة.
- يجب على الموظفين الاهتمام بالتحذيرات الأمنية التي قد تظهر في أثناء التصفح، والتعامل مع أي رسالة بحذر.
· حماية خدمات الاتصال والبريد الإلكتروني
- يبلغ المستخدمون على الفور عن جميع رسائل البريد الإلكتروني الخبيثة أو البريد العشوائي المُشتبه بها إلى إدارة الأمن السيبراني.
- تحتفظ إدارة الأمن السيبراني بالحق في اعتراض أي رسالة بريد إلكتروني مُشتبه بها.
- يجب على المستخدمين عدم فتح أي رسالة بريد إلكتروني مُشتبه بها أو مرفق أو رابط بهذه الرسالة، وأي رسالة بريد لا يُتوقع تلقيها حتى إذا كانت من مصدر موثوق.
· حماية كلمات المرور
- يُنشئ المستخدمون كلمات المرور وفقًا لسياسة إدارة هويات الدخول والصلاحيات.
- يجب على المستخدمين عدم كتابة كلمات مرورهم على أي نوع وسائط، سواء كان ماديًا أو إلكترونيًا.
- يجب على المستخدمين عدم مشاركة تفاصيل حساباتهم (كلمات المرور) مع الآخرين. يتحمل المستخدمون المسؤولية عن الإفصاح عن بيانات الاعتماد الخاصة بهم، ويمكن اتخاذ الإجراءات التأديبية اللازمة ضدهم في تلك الحالة.
· البرمجيات الضارة لأجهزة الكمبيوتر
- يجب على المستخدمين عدم فتح مرفقات من مصادر غير مُحددة الهوية أو مُشتبه بها.
- يجب على المستخدمين عدم تغيير أو تعطيل إعدادات أو فحوصات مكافحة الفيروسات.
- يتعامل المستخدم مع رسائل البريد الإلكتروني من مصادر غير معروفة على أنها مُشتبه بها، ويبلغ بها إدارة الأمن السيبراني. وبالمثل، في ما يتعلق برسائل البريد الإلكتروني الواردة من مصادر معروفة، لكنها تحتوي على طلبات غير عادية وغير قياسية.
- يتصل المستخدم على الفور بإدارة الأمن السيبراني إذا اشتبه أو أصبح على دراية بوجود فيروس أو برنامج ضار بالكمبيوتر.