السياسة العامة للأمن السيبراني
الأهداف
الغرض من هذه السياسة هو توفير متطلبات الأمن السيبراني المبنية على أفضل الممارسات والمعايير المتعلقة بتوثيق متطلبات الأمن السيبراني والتزام جامعة الباحة بها، لتقليل المخاطر السيبرانية وحمايتها من التهديدات الداخلية والخارجية،
ويتم ذلك من خلال التركيز على الأهداف الأساسية للحماية وهي: سرية المعلومات، وسلامتها، وتوافرها. وتهدف هذه السياسة إلى الالتزام بمتطلبات الأعمال التنظيمية الخاصة بجامعة الباحة، والمتطلبات التشريعية والتنظيمية ذات العلاقة، وهي مطلب تشريعي في الضابط رقم ١-٣-١من الضوابط الأساسية للأمن السيبراني ) (ECC-2:2024
الصادرة من الهيئة الوطنية للأمن السيبراني.
نطاق العمل وقابلية التطبيق
تغطي هذه السياسة جميع الأصول المعلوماتية والتقنية لجامعة الباحة وتنطبق على جميع العاملين في جامعة الباحة.
وتعتبر هذه السياسة هي المحرك الرئيس ي لجميع سياسات الأمن السيبراني وإجراءاته ومعاييره ذات المواضيع المختلفة، وكذلك أحد المدخلات لعمليات جامعة الباحة الداخلية، مثل عمليات الموارد البشرية وعمليات إدارة الموردين
وعمليات إدارة المشاريع وإدارة التغيير وغيرها.
عناصر السياسة
1- يجب على وحدة الامن السيبراني تحديد معايير الأمن السيبراني وتوثيق سياساته وبرامجه، بناءً على نتائج تقييم المخاطر، ً
وبشكل يضمن نشر متطلبات الأمن السيبراني، والتزام جامعة الباحة بها، وذلك وفقا لمتطلبات الأعمال التنظيمية لجامعة
الباحة، والمتطلبات التشريعية والتنظيمية ذات العلاقة. واعتمادها من قبل وحدة الامن السيبراني . كما يجب إطلاع العاملين المعنيين في جامعة الباحة والأطراف ذات العلاقة عليها.
2- يجب على وحدة الامن السيبراني تطوير سياسات الأمن السيبراني وبرامجه ومعاييره وتطبيقها، والمتمثلة في:
1-2برنامج استراتيجية الأمن السيبراني ) )Cybersecurity Strategy لضمان خطط العمل للأمن السيبراني والأهداف والمبادرات والمشاريع وفعاليتها داخل جامعة الباحة في تحقيق المتطلبات التشريعية والتنظيمية ذات
العلاقة.
2-2أدوارومسؤوليات الأمن السيبراني ) )Responsibilities Cybersecurity Roles and لضمان تحديد مهمات ومسؤوليات واضحة لجميع الأطراف المشاركة في تطبيق ضوابط الأمن السيبراني في جامعة الباحة.
3-2برنامج إدارة مخاطر الأمن السيبراني ) )Cybersecurity Risk Management لضمان إدارة المخاطر ً
السيبرانية على نحو ممنهج يهدف إلى حماية الأصول المعلوماتية والتقنية لجامعة الباحة، وذلك وفقا للسياسات والإجراءات التنظيمية لجامعة الباحة والمتطلبات التشريعية والتنظيمية ذات العلاقة.
4-2سياسة الأمن السيبراني ضمن إدارة المشاريع المعلوماتية والتقنية )in Information Cybersecurity )Technology Projects للتأكد من أن متطلبات الأمن السيبراني مضمنة في منهجية إدارة مشاريع جامعة الباحة وإجراءاتها لحماية السرية، وسلامة الأصول المعلوماتية والتقنية لجامعة الباحة وضمان دقتها وتوافرها، وكذلك
ً التأكد من تطبيق معايير الأمن السيبراني في أنشطة تطوير التطبيقات والبرامج، وفقا للسياسات والإجراءات
التنظيمية لجامعة الباحة والمتطلبات التشريعية والتنظيمية ذات العلاقة.
5-2سياسة الالتزام بتشريعات وتنظيمات ومعايير الأمن السيبراني )Regulatory Cybersecurity )Compliance للتأكد من أن برنامج الأمن السيبراني لدى جامعة الباحة متوافق مع المتطلبات التشريعية
والتنظيمية ذات العلاقة.
6-2سياسة المراجعة والتدقيق الدوري للأمن السيبراني )Assessment and Cybersecurity Periodical ً
)Audit للتأكد من أن ضوابط الأمن السيبراني لدى جامعة الباحة مطبقة، وتعمل وفقا للسياسات والإجراءات التنظيمية لجامعة الباحة، والمتطلبات التشريعية التنظيمية الوطنية ذات العلاقة، والمتطلبات الدولية المُقرة
ً تنظيميا على جامعة الباحة.
7-2سياسة الأمن السيبراني المتعلق بالموارد البشرية ) )Resources Cybersecurity in Human للتأكد من أن مخاطر الأمن السيبراني ومتطلباته المتعلقة بالعاملين )الموظفين والمتعاقدين( في جامعة الباحة تعالج بفعالية
ً قبل إنهاء عملهم، وأثنائه وعند انتهائه، وذلك وفقا للسياسات والإجراءات التنظيمية لجامعة الباحة، والمتطلبات
8-2برنامج التوعية والتدريب بالأمن السيبراني ) )Training Program Cybersecurity Awareness and للتأكد من أن العاملين بجامعة الباحة لديهم الوعي الأمني اللازم، وعلى دراية بمسؤولياتهم في مجال الأمن السيبراني، مع التأكد من تزويد العاملين بجامعة الباحة بالمهارات والمؤهلات والدورات التدريبية المطلوبة في مجال الأمن
السيبراني؛ لحماية الأصول المعلوماتية والتقنية لجامعة الباحة والقيام بمسؤولياتهم تجاه الأمن السيبراني.
9-2سياسة إدارة الأصول ) )Asset Management للتأكد من أن جامعة الباحة لديها قائمة جرد دقيقة وحديثة للأصول تشمل التفاصيل ذات العلاقة لجميع الأصول المعلوماتية والتقنية المتاحة لجامعة الباحة، من أجل دعم العمليات التشغيلية لجامعة الباحة ومتطلبات الأمن السيبراني، لتحقيق سرية الأصول المعلوماتية والتقنية
وسلامتها لجامعة الباحةودقتها وتوافرها.
10-2سياسة إدارة هويات الدخول والصلاحيات ) )Management Identity and Access لضمان حماية الأمن السيبراني للوصول المنطقي ) )Access Logical إلى الأصول المعلوماتية والتقنية لجامعة الباحة من أجل منع
الوصول غير المصرح به، وتقييد الوصول إلى ماهو مطلوب لإنجاز الأعمال المتعلقة بجامعة الباحة.
11-2سياسة حماية الأنظمة وأجهزة معالجة المعلومات )Processing Facilities Information System and )Protection لضمان حماية الأنظمة، وأجهزة معالجة المعلومات؛ بما في ذلك أجهزة المستخدمين، والبنى
التحتية لجامعة الباحة من المخاطر السيبرانية.
12-2سياسة حماية البريد الإلكتروني ) )Email Protection لضمان حماية البريد الإلكتروني لجامعة الباحة من المخاطر السيبرانية.
13-2سياسة إدارة أمن الشبكات ) )Networks Security Management لضمان حماية شبكات جامعة الباحة من المخاطر السيبرانية.
14-2سياسة أمن الأجهزة المحمولة ) )Mobile Devices Security لضمان حماية أجهزة جامعة الباحة المحمولة )بما في ذلك أجهزة الحاسب المحمول، والهواتف الذكية، والأجهزة الذكية اللوحية( من المخاطر السيبرانية. ولضمان التعامل بشكل آمن مع المعلومات الحساسة، والمعلومات الخاصة بأعمال جامعة الباحة وحمايتها، أثناء
النقل والتخزين، وعند استخدام الأجهزة الشخصية للعاملين في جامعة الباحة )مبدأ ".)"BYOD
15-2سياسة حماية البيانات والمعلومات ) )Data and Information Protection لضمان حماية السرية، وسلامة ً
بيانات ومعلومات جامعة الباحة ودقتها وتوافرها، وذلك وفقا للسياسات والإجراءات التنظيمية لجامعة الباحة، والمتطلبات التشريعية والتنظيمية ذات العلاقة.
16-2سياسة التشفير ومعياره ) )Cryptography لضمان تطبيقات السليم والفعال للتشفير؛ لحماية الأصول ً
المعلوماتية الإلكترونية لجامعة الباحة، وذلك وفقا للسياسات، والإجراءات التنظيمية لجامعة الباحة، والمتطلبات التشريعية والتنظيمية ذات العلاقة.
17-2سياسة إدارة النسخ الاحتياطية ) )Backup and Recovery Management لضمان حماية بيانات جامعة الباحة ومعلوماتها، وكذلك حماية الإعدادات التقنية للأنظمة والتطبيقات الخاصة بجامعة الباحة من الأضرار
ً الناجمة عن المخاطر السيبرانية، وذلك وفقا للسياسات والإجراءات التنظيمية لجامعة الباحة، والمتطلبات
18-2سياسة إدارة الثغرات ومعياره ) )Vulnerabilities Management لضمان اكتشاف الثغرات التقنية في الوقت المناسب، ومعالجتها بشكل فعال، وذلك لمنع احتمالية استغلال هذه الثغرات من قبل الهجمات السيبرانية
وتقليل ذلك، وكذلك تقليل الآثار المترتبة على أعمال جامعة الباحة.
19-2سياسة اختبارالاختراق ومعياره ) )Penetration Testing لتقييم مدى فعالية قدرات تعزيز الأمن السيبراني واختباره في جامعة الباحة، وذلك من خلال محاكاة تقنيات الهجوم السيبراني الفعلية وأساليبه، ولاكتشاف نقاط
ً الضعف الأمنية غير المعروفة، والتي قد تؤدي إلى الاختراق السيبراني لجامعة الباحة؛ وذلك وفقا للمتطلبات
20-2سياسة إدارة سجلات الأحداث ومر اقبة الأمن السيبراني )Logs and Monitoring Cybersecurity Event )Management لضمان جمع سجلات أحداث الأمن السيبراني، وتحليلها، ومراقبتها في الوقت المناسب؛ من أجل الاكتشاف الاستباقي للهجمات السيبرانية، وإدارة مخاطرها بفعالية؛ لمنع الآثار السلبية المحتملة على أعمال
جامعة الباحة أو تقليلها.
21-2سياسة إدارة حوادث وتهديدات الأمن السيبراني ))Threat Management Cybersecurity Incident and لضمان اكتشاف حوادث الأمن السيبراني وتحديدها في الوقت المناسب، وإدارتها بشكل فعّال، والتعامل مع
ً تهديدات الأمن السيبراني استباقيا، من أجل منع الآثار السلبية المحتملة أو تقليلها على أعمال جامعة الباحة،
مع مراعاة ما ورد في الأمر السامي الكريم ذو الرقم 37140والتاريخ 1438\8\14ه.
22-2سياسة الأمن المادي ) )Physical Security لضمان حماية الأصول المعلوماتية والتقنية لجامعة الباحة من الوصول المادي غير المصرح به، والفقدان والسرقة والتخريب.
23-2سياسة حماية تطبيقات الويب ومعياره ) )Web Application Security لضمان حماية تطبيقات الويب الداخلية والخارجية لجامعة الباحة من المخاطر السيبرانية.
24-2جوانب صمود الأمن السيبراني في إدارة استمرارية الأعمال ) )Resilience Cybersecurity لضمان توافر متطلبات صمود الأمن السيبراني في إدارة استمرارية أعمال جامعة الباحة، ولضمان معالجة الآثار المترتبة على الاضطرابات في الخدمات الإلكترونية الحرجة وتقليلها لجامعة الباحة وأنظمة معالجة معلوماتها وأجهزتها جراء
الكوارث الناتجة عن المخاطر السيبرانية.
25-2سياسة الأمن السيبراني المتعلقة بالأطراف الخارجية )Computing Third-Party and Cloud )Cybersecurity لضمان حماية أصول جامعة الباحة من مخاطر الأمن السيبراني المتعلقة بالأطراف الخارجية ً )بما في ذلك خدمات الإسناد لتقنية المعلومات " "Outsourcing والخدمات المدارة " )"Managed Services وفقا
للسياسات والإجراءات التنظيمية لجامعة الباحة، والمتطلبات التشريعية والتنظيمية ذات العلاقة.
26-2سياسة الأمن السيبراني المتعلقة بالحوسبة السحابية والاستضافة )Computing and Hosting Cloud
)Cybersecurity لضمان معالجة المخاطر السيبرانية، وتنفيذ متطلبات الأمن السيبراني للحوسبة السحابية،
والمتطلبات
الباحة،
لجامعة
التنظيمية
والإجراءات
للسياسات
ً وفقا
وذلك
وفعّال،
ملائم
بشكل
والاستضافة
التشريعية والتنظيمية، والأوامر والقرارات ذات العلاقة. وضمان حماية الأصول المعلوماتية والتقنية لجامعة
الباحة على خدمات الحوسبة السحابية، التي تتم استضافتها أو معالجتها، أو إدارتها بواسطة أطراف خارجية.
3- يحق ل وحدة الامن السيبراني الاطلاع على المعلومات، وجمع الأدلة اللازمة؛ للتأكد من الالتزام بالمتطلبات التشريعية والتنظيمية ذات العلاقة المتعلقة بالأمن السيبراني.
الأدوار والمسؤوليات
ُ
1- تمثل القائمة الآتية مجموعة الأدوار والمسؤوليات اللازمة لإقرار سياسات الأمن السيبراني وإجراءاته، ومعاييره وبرامجه، وتنفيذها واتباعها:
1-1مسؤوليات صاحب الصلاحية وحدة الامن السيبراني ، على سبيل المثال: 1-1-1إنشاء لجنة إشرافية للأمن السيبراني ويكون عمادة التعلم الإلكتروني وتقنية المعلومات أحد أعضائها.
2-1مسؤوليات إدارة الشؤون القانونية، على سبيل المثال: 1-2-1التأكد من أن شروط ومتطلبات الامن السيبراني والمحافظة على سرية المعلومات ) Non-disclosure
ُ )Clauses ملزمة قانونياً في عقود العاملين في جامعة الباحة، والأطراف الخارجية. 3-1مسؤوليات إدارة المراجعة الداخلية، على سبيل المثال:
ً 1-3-1مراجعة ضوابط الأمن السيبراني وتدقيق تطبيقها وفقا للمعايير العامة المقبولة للمراجعة والتدقيق،
والمتطلبات التشريعية والتنظيمية ذات العلاقة. 4-1مسؤوليات الإدارة العامة للموارد البشرية، على سبيل المثال:
1-4-1تطبيق متطلبات الأمن السيبراني المتعلقة بالعاملين في جامعة الباحة. 5-1مسؤوليات وحدة الامن السيبراني ، على سبيل المثال:
1-5-1الحصول على موافقة وحدة الامن السيبراني على سياسات الأمن السيبراني، والتأكد من إطلاع الأطراف المعنية عليها وتطبيقها، ومراجعتها وتحديثها بشكل دوري. 6-1مسؤوليات رؤساء الإدارات الأخرى، على سبيل المثال:
1-6-1دعم سياسات الأمن السيبراني وإجراءاته ومعاييره وبرامجه، وتوفير جميع الموارد المطلوبة، لتحقيق الأهداف المنشودة، بما يخدم المصلحة العامة لجامعة الباحة. 7-1مسؤوليات العاملين، على سبيل المثال:
1-7-1المعرفة بمتطلبات الأمن السيبراني المتعلقة بالعاملين في جامعة الباحة، والالتزام بها.
الالتزام بالسياسة
1- يجب على صاحب الصلاحية وحدة الامن السيبراني ضمان الالتزام بسياسة الأمن السيبراني ومعاييره.
2- يجب على وحدة الامن السيبراني التأكد من التزام جامعة الباحة بسياسات الأمن السيبراني ومعاييره بشكل دوري.
3- يجب على جميع منسوبي جامعة الباحة من موظفين وطلاب وطالبات وأعضاء هيئة تدريس ومن في حكمهم في الإلتزام بهذه السياسة.
4- قد يُعرّض أي انتهاك للسياسات المتعلقة بالأمن السيبراني صاحب المخالفة إلى إجراءٍ تأديبي حسب الإجراءات المتبعة في جامعة الباحة.
الاستثناءاتيُمنع تجاوز سياسات الأمن السيبراني ومعاييره، دون الحصول على تصريح رسمي مسبق من وحدة الامن السيبراني أو اللجنة الإشرافية للأمن السيبراني، ما لم يتعارض مع المتطلبات التشريعية والتنظيمية ذات العلاقة.