مصطلحات
| الأمن السيبراني | Cybersecurity | حماية الشبكات وأنظمة تقنية المعلومات وأنظمة التقنيات التشغيلية، ومكوناتها من عتاد وبرمجيات وما تقدمه من خدمات، وما تحويه من بيانات من أي اختراق أو تعطيل أو تعديل أو دخول أو استخدام، أو استغلال غير مشروع، ويشمل مفهوم الأمن السيبراني أمن المعلومات، والأمن الإلكتروني والأمن الرقمي ونحو ذلك. |
| المسؤولية | Accountability | القدرة على تتبع مسار نشاط أو حدث معين حتى الوصول إلى الطرف المسؤول؛ منشئ النشاط. ويدعم ذلك عدم الإنكار تشخيص الخطأ، اكتشاف ومنع التسللات وإجراءات ما بعد الاكتشاف كالتعافي والإجراءات القانونية. |
| أصل | Asset | الموارد الملموسة أو غير الملموسة ذات قيمة للجهة بما في ذلك الموظفين، والتقنيات والمرافق، وبراءات الاختراع، والبرمجيات والخدمات والمعلومات والخصائص (مثل: سمعة الجهة وهويتها وقدراتها المعرفية أو المهنية). |
| التشفير | Cryptography | القواعد التي تشتمل على مبادئ ووسائل وطرق تخزين ونقل البيانات أو المعلومات في شكل معين وذلك من أجل إخفاء محتواها الدلالي، ومنع الاستخدام غير المصرح به والتعديل غير المكتشف، بحيث لا يمكن للأشخاص غير المعنيين قراءتها ومعالجتها. |
| البرمجيات الضارة | Malware | برنامج يصيب الأنظمة بطريقة خفية (في الغالب) بغاية انتهاك سرية أو سلامة أو توافر بيانات الضحية أو تطبيقاته أو نظم التشغيل الخاصة به. |
| جدار الحماية | Firewall | عتاد أو برمجيات تحد من حركة مرور بيانات الشبكة، وفقًا لمجموعة من قواعد تمكين الوصول التي تحكم ما هو مسموح ومصرح به من عدمه. |
الأهداف
الغرض من هذه السياسة هو توفير متطلبات الأمن السيبراني؛ لتقليل المخاطر السيبرانية، المتعلقة باستخدام أنظمة جامعة الحدود الشمالية وأصولها، وحمايتها من التهديدات الداخلية والخارجية، والعناية بالأهداف الأساسية للحماية؛ وهي المحافظة على سرية المعلومة، وسلامتها، وتوافرها.
وتهدف هذه السياسة إلى الالتزام بمتطلبات الأمن السيبراني والمتطلبات التشريعية والتنظيمية ذات العلاقة، وهي مطلب تشريعي في الضابط رقم ٢-١-٣ من الضوابط الأساسية للأمن السيبراني (ECC-1:2018) الصادرة من الهيئة الوطنية للأمن السيبراني.
نطاق العمل وقابلية التطبيق
تغطي هذه السياسة جميع الأصول المعلوماتية والتقنية الخاصة بـجامعة الحدود الشمالية وتنطبق على جميع العاملين في جامعة الحدود الشمالية.
بنود السياسة
1.البنود العامة
1-1 يجب التعامل مع المعلومات حسب التصنيف المحدد، وبما يتوافق مع سياسة تصنيف البيانات وسياسة حماية البيانات والمعلومات الخاصة بـجامعة الحدود الشمالية بشكل يضمن حماية سرية المعلومات وسلامتها وتوافرها.
2-1 يحظر انتهاك حقوق أي شخص، أو شركة محمية بحقوق النشر، أو براءة الاختراع، أو أي ملكية فكرية أخرى، أو قوانين أو لوائح مماثلة؛ بما في ذلك، على سبيل المثال لا الحصر، تثبيت برامج غير مصرح بها أو غير قانونية.
3-1 يجب عدم ترك المطبوعات على الطابعة المشتركة دون رقابة.
4-1 يجب حفظ وسائط التخزين الخارجية بشكل آمن وملائم، مثل التأكد من ضبط درجة الحرارة بدرجة معينة، وحفظها في مكان معزول وآمن.
5-1 يمنع استخدام كلمة المرور الخاصة بمستخدمين آخرين، بما في ذلك كلمة المرور الخاصة بمدير المستخدم أو مرؤوسيه.
6-1 يجب الالتزام بسياسة المكتب الآمن والنظيف، والتأكد من خلو سطح المكتب، وكذلك شاشة العرض من المعلومات المصنفة.
7-1 يمنع الإفصاح عن أي معلومات تخص جامعة الحدود الشمالية، بما في ذلك المعلومات المتعلقة بالأنظمة والشبكات لأي جهة أو طرف غير مصرح له سواءً كان ذلك داخلياً أو خارجياً.
8-1 يُمنع نشر معلومات تخص جامعة الحدود الشمالية عبر وسائل الإعلام، وشبكات التواصل الاجتماعي دون تصريح مسبق.
9-1 يُمنع استخدام أنظمة جامعة الحدود الشمالية وأصولها بغرض تحقيق منفعة وأعمال شخصية، أو تحقيق أي غرض لا يتعلق بنشاط وأعمال جامعة الحدود الشمالية.
10-1 يكون ربط الأجهزة الشخصية بالشبكات، والأنظمة الخاصة بـجامعة الحدود الشمالية بما يتوافق مع سياسة أمن الأجهزة المحمولة (BYOD).
11-1 يُمنع القيام بأي أنشطة تهدف إلى تجاوز أنظمة الحماية الخاصة بـجامعة الحدود الشمالية، بما في ذلك برامج مكافحة الفيروسات، وجدار الحماية، والبرمجيات الضارة دون الحصول على تصريح مسبق، وبما يتوافق مع الإجراءات المعتمدة لدى جامعة الحدود الشمالية.
12-1 تحتفظ إدارة الأمن السيبراني بحقها في مراقبة الأنظمة والشبكات والحسابات الشخصية المتعلقة بالعمل، ومراجعتها دورياً لمراقبة الالتزام بسياسات الأمن السيبراني ومعاييره.
13-1 يُمنع استضافة أشخاص غير مصرح لهم بالدخول للأماكن الحساسة دون الحصول على تصريح مسبق من إدارة الأمن السيبراني.
14-1 يجب على جميع موظفي الجامعة ارتداء البطاقة التعريفية في جميع مرافق جامعة الحدود الشمالية.
15-1 يجب تبليغ إدارة الأمن السيبراني في حال فقدان المعلومات أو سرقتها أو تسريبها.
2.حماية أجهزة الحاسب الآلي
1-2 يمنع استخدام وسائط التخزين الخارجية دون الحصول على تصريح مسبق من إدارة الأمن السيبراني.
2-2 يُمنع القيام بأي نشاط من شأنه التأثير على كفاءة الأنظمة والأصول وسلامتها دون الحصول على إذن مسبق من إدارة الأمن السيبراني، بما في ذلك الأنشطة التي تُمكّن المستخدم من الحصول على صلاحيات وامتيازات أعلى.
3-2 يجب تأمين الجهاز قبل مغادرة المكتب وذلك بقفل الشاشة، أو تسجيل الخروج (Sign out or Lock)، سواء كانت المغادرة لفترة قصيرة أو عند انتهاء ساعات العمل.
4-2 يُمنع ترك أي معلومات مصنفة في أماكن يسهل الوصول إليها، أو الاطلاع عليها من قبل أشخاص غير مصرح لهم.
5-2 يُمنع تثبيت أدوات خارجية على جهاز الحاسب الآلي دون الحصول على إذن مسبق من إدارة تقنية المعلومات.
6-2 يجب تبليغ إدارة الأمن السيبراني عند الاشتباه بأي نشاط قد يتسبب بضرر على أجهزة الحاسب الآلي الخاصة بـ جامعة الحدود الشمالية أو أصولها من خلال قنوات التواصل الخاصة بإدارة الأمن السيبراني (البريد، الهاتف ...الخ).
3.الاستخدام المقبول للإنترنت والبرمجيات
1-3يجب إبلاغ إدارة الأمن السيبراني في حال وجود مواقع مشبوهة ينبغي حجبها؛ أو العكس.
2-3 يجب ضمان عدم انتهاك حقوق الملكية الفكرية أثناء تنزيل معلومات أو مستندات لأغراض العمل.
3-3 يُمنع استخدام البرمجيات غير المرخصة أو غيرها من الممتلكات الفكرية.
4-3 يجب استخدام متصفح آمن ومصرح به للوصول إلى الشبكة الداخلية أو شبكة الإنترنت.
5-3 يُمنع استخدام التقنيات التي تسمح بتجاوز الوسيط (Proxy) أو جدار الحماية (Firewall) للوصول إلى شبكة الإنترنت.
6-3 يُمنع تنزيل البرمجيات والأدوات أو تثبيتها على أصول جامعة الحدود الشمالية دون الحصول على تصريح مسبق من إدارة تقنية المعلومات.
7-3 يُمنع استخدام شبكة الإنترنت في غير أغراض العمل، بما في ذلك تنزيل الوسائط والملفات واستخدام برمجيات مشاركة الملفات.
8-3 يجب تبليغ إدارة الأمن السيبراني عند الاشتباه بوجود مخاطر سيبرانية من خلال قنوات التواصل (البريد، الهاتف ...الخ)، كما يجب التعامل بحذر مع الرسائل الأمنية التي قد تظهر خلال تصفح شبكة الإنترنت أو الشبكات الداخلية.
9-3 يُمنع إجراء فحص أمني لغرض اكتشاف الثغرات الأمنية، ويشمل ذلك إجراء اختبار الاختراقات، أو مراقبة شبكات جامعة الحدود الشمالية وأنظمتها، أو الشبكات والأنظمة الخاصة بالجهات الخارجية دون الحصول على تصريح مسبق من إدارة الأمن السيبراني.
10-3 يُمنع استخدام مواقع مشاركة الملفات دون الحصول على تصريح مسبق من إدارة الأمن السيبراني.
11-3 يُمنع زيارة المواقع المشبوهة بما في ذلك مواقع تعليم الاختراق.
4.الاستخدام المقبول للبريد الإلكتروني ونظام الاتصالات
1-4 يُمنع استخدام البريد الإلكتروني أو الهاتف أو الفاكس أو الفاكس الإلكتروني في غير أغراض العمل، وبما يتوافق مع سياسات الأمن السيبراني ومعاييره.
2-4 يُمنع تداول رسائل تتضمن محتوى غير لائق أو غير مقبول، بما في ذلك الرسائل المتداولة مع الأطراف الداخلية والخارجية.
3-4 يجب استخدام تقنيات التشفير عند إرسال معلومات حساسة عن طريق البريد الإلكتروني أو أنظمة الاتصالات.
4-4يجب عدم تسجيل عنوان البريد الإلكتروني الخاص بـجامعة الحدود الشمالية في أي موقع ليس له علاقة بالعمل.
5-4 يجب تبليغ إدارة الأمن السيبراني عند الاشتباه بوجود رسائل بريد إلكتروني تتضمن محتوى قد يتسبب بأضرار لأنظمة جامعة الحدود الشمالية أو أصولها.
6-4 تحتفظ جامعة الحدود الشمالية بحقها في كشف محتويات رسائل البريد الإلكتروني بعد الحصول على التصاريح اللازمة من صاحب الصلاحية وإدارة الأمن السيبراني وفقاً للإجراءات والتنظيمات ذات العلاقة.
7-4 يُمنع فتح رسائل البريد الإلكتروني والمرفقات المشبوهة أو غير المتوقعة حتى وإن كانت تبدو من مصادر موثوقة.
5.الاجتماعات المرئية والاتصالات القائمة على شبكة الإنترنت
1-5 يُمنع استخدام أدوات أو برمجيات غير مصرح بها لإجراء اتصالات أو عقد اجتماعات مرئية.
2-5 يُمنع إجراء اتصالات أو عقد اجتماعات مرئية لا تتعلق بالعمل دون الحصول على تصريح مسبق.
1-6 يجب اختيار كلمات مرور آمنة، والمحافظة على كلمات المرور الخاصة بأنظمة جامعة الحدود الشمالية وأصولها. كما يجب اختيار كلمات مرور مختلفة عن كلمات مرور الحسابات الشخصية، مثل حسابات البريد الشخصي ومواقع التواصل الاجتماعي.
2-6 يُمنع مشاركة كلمة المرور عبر أي وسيلة كانت، بما في ذلك المراسلات الإلكترونية، والاتصالات الصوتية، والكتابة الورقية. كما يجب على جميع المستخدمين عدم الكشف عن كلمة المرور لأي طرف آخر بما في ذلك زملاء العمل وموظفو إدارة تقنية المعلومات.
3-6 يجب تغيير كلمة المرور، عند تزويدك بكلمة مرور جديدة من قبل مسؤول النظام.
الأدوار والمسؤوليات
راعي ومالك وثيقة السياسة: رئيس إدارة الأمن السيبراني.
مراجعة السياسة وتحديثها: إدارة الأمن السيبراني.
تنفيذ السياسة وتطبيقها: الإدارة العامة للموارد البشرية و إدارة تقنية المعلومات والموظفين وجميع العاملين والطلاب.
الالتزام بالسياسة
يجب على رئيس إدارة الأمن السيبراني ضمان التزام جامعة الحدود الشمالية بهذه السياسة بشكل دوري.
يجب على جميع العاملين في جامعة الحدود الشمالية الالتزام بهذه السياسة.
قد يعرض أي انتهاك لهذه السياسة صاحب المخالفة، إلى المسائلة القانونية او إجراء تأديبي؛ حسب الإجراءات المتبعة في جامعة الحدود الشمالية.