RESTRICTED
أبيض عام VM.PD - CSD – 001 - CPP نهائي 5.0 2024 /03 /06 12 الإدارة العامة للأمن السيبراني سياسة الأمن السيبراني للاستخدام المقبول
المشاركة التصنيف
الرقم الحالة النسخة التاريخ عدد الصفحات الجهة المسؤولة اسم الملف
المشاركة والتصنيف
أبيض: لا يوجد قيود على مشاركة المعلومات ويمكن نشر المعلومات عبر القنوات العامة. عام: البيانات التي لا يوجد أثر من الإفصاح عنها أو الوصول غير المصرح به إليها.
المشاركة التصنيف
تاريخ المراجعة
ملخص التعديلات
إعداد الهيكل التنظيمي والبنود التفصيلية للسياسة .1تعديل صياغة السياسة الأولية
.2تطبيق ملاحظات المدير العام للأمن السيبراني تحديث تفاصيل البريد الإلكتروني المذكورة في القسم 9
النسخة النهائية )يونيو )2020 المراجعة السنوية وإضافة بعض البنود حسب متطلبات الهيئة الوطنية
للأمن السيبراني تطبيق ملاحظات الجهات المعنية المراجعة السنوية وإضافة بعض البنود حسب متطلبات الهيئة الوطنية للأمن السيبراني وبرقية الديوان
لم يتم تعديل أي جزء
المؤلف
التاريخ
2020/03/03 2020/03/18 2020/03/25 2020/06/25 2021/12/29 2022/01/27 2023/02/08 2024/01/30
النسخة
1.0 1.1 1.2 2.0 3.0 3.1 4.0 5.0
النشر
القناة
البريد الإلكتروني البريد الإلكتروني البريد الإلكتروني / الشبكة الداخلية
البريد الإلكتروني
الاسم والعنوان
وكالة الوزارة للصحة الإلكترونية والتحول الرقمي الإدارة العامة للشؤون القانونية وكالة الوزارة للموارد البشرية
وكالة الوزارة للتخطيط والتحول
سجل السياسة
رقم الاصدار
ملاحظات التعديل
تاريخ آخر تعديل
بديل للسياسة رقم
جهة اصدار السياسة
رقم السياسة
عنوان السياسة
تاريخ المراجعة القادمة
الإدارة العامة للأمن السيبراني تاريخ التطبيق
تاريخ الاعتماد
سياسة الأمن السيبراني للاستخدام المقبول مستوى السياسة )نوع السياسة(
12- فبراير- 2025
3- نوفمبر2020-
10- أغسطس 2020-
سياسة عامة
.1الغرض
إن الأنظمة المتصلة بشبكة الإنترنت والشبكة الداخلية )الإنترانت( والشبكة الخارجية )الإكسترانت( مملوكة لوزارة الصحة، وتشمل على سبيل المثال لا الحصر: المعدات والبرمجيات وأنظمة التشغيل، ووسائط التخزين، وحسابات الشبكة التي تتيح الدخول إلى البريد الإلكتروني وتصفح شبكة الإنترنت العالمية وبروتوكول نقل الملفات. وبالتالي، تُحدد هذه السياسة الاستخدام المقبول لموارد و/أو أصول معلومات وزارة الصحة. هذه القواعد موجودة لحماية جميع أنواع المستخدمين المعرفين بوزارة الصحة. يمكن أن يُعِّرض الاستخدام الغير مناسب وزارة الصحة للمخاطر، مثل هجمات الفيروسات وانتهاك امني
للأنظمة والخدمات الشبكية وإلى تحمل تبعات قانونية.
.2نطاق التطبيق يغطي نطاق هذه السياسة جميع موارد و/أو أصول معلومات وزارة الصحة وينطبق على جميع أنواع المستخدمين المعرفين.
.3التعاريف تتماشى تعريفات المصطلحات المستخدمة في هذه الوثيقة مع الهيئة الوطنية للأمن السيبراني والمنظمة الدولية للمعايير ) ،)ISO ما لم يتم تعريفها على
وجه التحديد أدناه. • مالك الخدمة: موظف بوزارة الصحة أو الوحدة التنظيمية التي تتحمل المسؤولية الأساسية عن المعلومات الخاصة بنظام معين.
• المشغل التقني: أخصائي تقني في وزارة الصحة أو وحدة تنظيمية مسؤولة عن التطوير التقني لنظام معين وصيانته. • المستخدم أو الموظفون: يشمل جميع منسوبي وزارة الصحة المدراء المباشرين ووكلاء الوزارة والفروع التابعة للوزارة والأطراف الخارجية والمتعاقدين والشركاء ومقدمي الخدمات الذين يمكن لهم الوصول إلى معلومات وزارة الصحة والمرافق الخاصة بمعالجة
المعلومات.
.4نص السياسة
4.1الأدوار والمسؤوليات فيما يلي الأدوار والمسؤوليات ذات الصلة بهذه السياسة:
• اللجنة الاشرافية للأمن السيبراني o الجهة المسؤولة عن اتخاذ القرارات النهائية المتعلقة بتوضيح هذه السياسة.
o مراجعة واعتماد السياسة. o مراجعة المخالفات الرئيسية لهذه السياسة.
• الإدارة العامة للأمن السيبراني
o تحمل مسؤولية السياسة وتحديثها وتوزيعها على العموم. o إدارة الاستثناءات والمخالفات ذات الصلة بالسياسة. o ضمان الالتزام بالسياسة داخل وزارة الصحة. • المستخدمون أو الموظفون o الالتزام بالسياسة. 4.2الاستخدام المقبول
يهدف هذا القسم إلى إبراز المسؤوليات التي تقع على عاتق المستخدم عند استخدام موارد معلومات وزارة الصحة وأصولها.
تم تزويد المستخدم بأصول معلومات وزارة الصحة لأغراض متعلقة بالوظيفة ويتم منح الامتيازات الضرورية المتعلقة بالنظام عندما يكون هناك احتياجات مشروعة متعلقة بالعمل.
لا تسمح وزارة الصحة باستخدام معلوماتها المتعلقة بالعمل وأصولها التقنية لأغراض شخصية، بما في ذلك تخزين البيانات الشخصية. ينبغي على المستخدم عدم الكشف عن معلومات حسابه لأي شخص.
يتحمل المستخدم مسؤولية الحفاظ على سرية معلومات وزارة الصحة وأصولها التقنية وفق السياسات والمتطلبات الحالية للأمن السيبراني. سيقتصر وصول واستخدام المستخدم على الأنظمة المصرَّح له باستخدامها.
يتعين على المستخدم عدم تعطيل أي خدمات أو أجهزة أو برامج مضادة للفيروسات أو جدران حماية مستخدمة في الحماية ومثبتة على مختلف الأصول التقنية المملوكة لوزارة الصحة وأجهزة المستخدمين المخصصة له.
يتعين على المستخدم عدم تخزين أو معالجة أو نقل المواد الإباحية على أي من أنظمة معلومات وزارة الصحة. يتعين على المستخدم عدم نسخ أو تبادل أي معلومات سرية بأي وسيلة، بما في ذلك على سبيل المثال لا الحصر: الأقراص المدمجة ووحدات
التخزين المتنقلة ومرفقات رسائل البريد الإلكتروني وغيرها إلاَّ إذا حصل على تصريح بذلك لأغراض رسمية. ينبغي على المستخدم عدم التقاط صور للمعلومات التي خضعت للمعالجة، مثل: السجلات الصحية، باستخدام أجهزة الكاميرا أو كاميرات الهواتف
المحمولة دون الحصول على الموافقة المناسبة. تظل أي برمجيات حاسوبية طورها موظفو وزارة الصحة ضمن نطاق وظيفتهم "ملكية فكرية" للوزارة.
تحتفظ وزارة الصحة بالحق في إجراء المراجعة بصفة دورية لضمان الالتزام بهذه السياسة. يجب على المستخدمين استخدام أجهزة تمزيق الوثائق الورقية ) ،)Cross Shredding لإتلاف الوثائق المصنفة على أنها "سري" و "سري
للغاية" في حال الانتهاء من استخدامها نهائيًا. 4.3استخدام الإنترنت
يهدف هذا القسم إلى إبراز مسؤوليات المستخدم عند تصفح أصول معلومات وزارة الصحة على شبكة الإنترنت.
يجب على المستخدم استخدام شبكة الإنترنت لتنفيذ أنشطة العمل في وزارة الصحة بطريقة مريحة ومتسمة بالكفاءة. يتعين على المستخدم عدم ربط أي جهاز أو أصل معلومات خاص بوزارة الصحة بشبكة الإنترنت إلاَّ بعد الحصول على الموافقة اللازمة من الإدارة
العامة للأمن السيبراني. تعود ملكية جميع مصادر المعلومات والمعدات إلى وزارة الصحة. وعليه، يمكن أن تثبت وزارة الصحة برمجية أو تركيب معدات لمراقبة جميع المعلومات والأصول التقنية وحفظ سجل يتعلق بها وحمايتها عندما يستخدمها المستخدم، بما في ذلك: زيارات البريد الإلكتروني والموقع الإلكتروني
وتحتفظ وزارة الصحة بحق حفظ سجل بالملفات المخزَّنة على أنظمتها وأصولها وتفتيشها.
يتعين على المستخدم احترام العملاء وعدم استخدام أو تحميل أو نشر أو مشاركة أو إرسال أو تصفح أو تحميل أي محتوى يضم إهانات عرقية أو ملاحظات تمييزية أو إهانات شخصية أو محتوى يخدش الحياء أو يمثل اهتمامات سياسية أو دينية معينة. كما لا يُسمح لهم بالمشاركة في أي
سلوك غير مقبول أو غير مناسب وفق مبادئ وزارة الصحة. تحتفظ وزارة الصحة بحق تهيئة متصفحات الويب لحفظ ملفات تعريف الارتباط لتوفير قائمة بجميع المواقع الإلكترونية التي زارها المستخدمون.
تحتفظ وزارة الصحة بالحق في فحص ما يلي: • ملفات التخزين المؤقت في متصفح الويب. • قائمة المواقع المفضلة وملفات تعريف الارتباط على متصفح الويب.
• الملفات المؤقتة. • ملفات التنزيلات. • سجلات مواقع الويب التي زارها المستخدم. تحتفظ وزارة الصحة بحق فحص سجلات المراسلات ذات الصلة للتحقق من التزام المستخدم بالسياسات الداخلية ومساعدة وزارة الصحة في إجراء التحقيقات الداخلية إذا لَزمَ الأمر في مرحلة لاحقة. يتعين على المستخدم استخدام البرمجيات المعتمدة والمحددة للدخول إلى شبكة الإنترنت العالمية لضمان تنفيذ كافة المعالجات الأمنية المعتمدة. يتعين على المستخدم عدم تحميل أو تثبيت أي برامج أو أنظمة ملحقة، مثل: ActiveX control أو ،Java scripts مطلوبة لتصفح أي مواقع يزورها المستخدم. وفي حال كان عمله يتطلب تثبيت هذه البرامج أو الأنظمة الملحقة، فيجب على المستخدم طلب المساعدة من مكتب دعم تكنولوجيا المعلومات. يتعين على المستخدم عدم تخزين أو معالجة المعلومات أو الوثائق الحساسة أو السرية أو الخاصة على الأنظمة المرتبطة بشبكة الإنترنت إلاَّ بعد الحصول على موافقة خطية الإدارة العامة للأمن السيبراني في الوزارة. بالإضافة إلى ذلك، تحتفظ وزارة الصحة بحق حماية حقوقها في الوصول
إلى المعلومات. يتعين على المستخدمين التعهد بعدم استخدام تطبيقات التراسل أو التواصل الاجتماعي أو خدمات التخزين السحابية الشخصية لإنشاء أو تخزين أو مشاركة بيانات وزارة الصحة المصنفة على أنها "مقيد" و "سري" و "سري للغاية" في أول مراحل ارتباط المستخدم الوظيفي مع الوزارة وحتى
نهاية العلاقة الوظيفية، باستثناء تطبيقات التراسل الآمنة المعتمدة من الجهات ذات العلاقة. يتعين على المستخدم الحصول على الموافقة اللازمة من إدارة العلاقات العامة في الوزارة )الناطق الرسمي المُعيَّن( قبل نشر أي معلومات أو
وثائق حول الوزارة لم يسبق نشرها على شبكة الإنترنت أو شبكات التواصل الاجتماعي. يتعين على المستخدم عدم نشر المعلومات المتعلقة بأعمال الوزارة، وتشمل على سبيل المثال لا الحصر: المعلومات الصحية المحمية إلكترونيًا،
والعقود، وأوامر الشراء إلاَّ بعد التحقق من هوية ومصداقية الشخص أو المؤسسة التي طلبتها. يتعين على المستخدم تحديد مصدر المعلومات التي حصل عليها من شبكة الإنترنت بعناية لضمان موثوقيتها. يتعين على المستخدم عدم تعطيل أو منع المسح التلقائي للملفات التي تم تحميلها من شبكة الإنترنت للكشف عن الفيروسات باستخدام البرمجية
المعتمدة للكشف عن الفيروسات. تطبق وتتقيد وزارة الصحة بشكل تام باتفاقيات الترخيص المبرمة مع موردي البرمجيات على النحو المحدد في سياسة الأمن السيبراني لأمن البرمجيات في وزارة الصحة. وعليه، يتعين على المستخدم عدم تنزيل البرامج غير المصرَّح بها من شبكة الإنترنت، مثل: البرمجيات التجريبية
والبرمجيات المجانية، بصورة تتوافق مع رخصة المورد أو إلاَّ بعد حصوله على موافقة خطية من الإدارة العامة للأمن السيبراني. يتعين على المستخدم الإبلاغ فورًا من خلال القناة المعتمدة للإبلاغ عن الحوادث إذا كان يشتبه بفقدان معلومات حساسة أو سرية و/أو خاصة أو
الإفصاح عنها لأطراف غير مصرَّح لهم. يتعين على المستخدم عدم تنفيذ أي فحص أمني أو اختبار أو حيازة أو استخدام أدوات لقرصنة رخص البرمجيات وكلمات المرور والأعمال
المشابهة.
يتعين على المستخدم الاهتمام بالتحذيرات الأمنية التي يمكن أن تظهر عند تصفح المواقع على شبكة الإنترنت والتعامل مع كل رسالة بحذر.
4.4استخدام مواقع التواصل الاجتماعي
يهدف هذا القسم إلى تسليط الضوء على مسؤوليات المستخدم عند تصفح مواقع التواصل الاجتماعي.
إنَّ موظفي وزارة الصحة هم سفراء التجارية للوزارة ويتحملون مسؤولية المحتوى الذي ينشرونه على مواقع التواصل الاجتماعي. يمكن أن يعتقد البعض أنِّ المحتوى الذي ينشره موظفو وزارة الصحة بصفتهم الشخصية يمثل وجهة نظر الوزارة. لذلك، يجب على المستخدم ممارسة التقدير
السليم عند استخدام مواقع التواصل الاجتماعي. ينبغي على المستخدم ضمان توافق ملفاتهم التعريفية والمحتوى المرتبط بها مع مدونة قواعد السلوك وسياسات وزارة الصحة عند التطرق إلى
مواضيع متصلة بوزارة الصحة على مواقع التواصل الاجتماعي. تعتبر مواقع التواصل الاجتماعي منتديات عامة. وعليه، يتعين على المستخدم عدم القيام بما يلي:
• الإفصاح عن أي معلومات سرية أو شخصية أو خاصة. • نشر مواضيع تُعتبر أو قد تُعتبر نوعًا من أنواع التهديد أو المضايقة أو التنمر أو التمييز ضد أي موظف أو متعاقد أو مقدم طلب أو مستفيد
من وزارة الصحة، أو غير ذلك. • نشر مقاطع فيديو و/أو صور للموظفين والمتعاقدين ومقدمي الطلبات والمستفيدين من وزارة الصحة وغيرهم، ما لم يصرح لهم بذلك رسميًا.
• نشر أي موضوع قد يتسبب بإلحاق الضرر بوزارة الصحة أو سمعة الدولة. لا يُسمح بربط المنشورات الشخصية على مواقع التواصل الاجتماعي بأي شكل من الأشكال )على سبيل المثال، بشكل مباشر أو غير مباشر أو قابل
للربط أو مرتبط( مع المعلومات غير العامة المكتسبة من العمل لدى وزارة الصحة أو من الخدمات التي تقدمها. يجب على موظفي الوزارة مراعات آداب النشر في شبكات التواصل الاجتماعي وعدم نشر ما يشير الى تعصب أو اتهام أو انطباع سلبي حول ما
ينشر أو حول كتاب المحتوى الآخرين والابتعاد عن التلميح بسلبية حول المهام الوظيفية في الوزارة. يجب على جميع الموظفين العاملين على الوظائف أو الأنظمة الحساسة عدم الإفصاح عن وظائفهم ومهام عملهم في وسائل التواصل الاجتماعي. يُحظر تمامًا نشر أي نوع من المحتوى )مثل التسجيلات الصوتية ومقاطع الفيديو والموقع وأي نوع آخر من المواد( التي يتم التقاطها في مرافق
وفعاليات وزارة الصحة على الحسابات الشخصية للموظفين. يُمنع منعًا باتًا استخدام الحسابات الرسمية لوزارة الصحة لأغراض شخصية تتمثل في تصفح مواقع التواصل الاجتماعي أو حضور المؤتمرات
العامة أو الاستفادة من خدمات الإنترنت إلاَّ بعد الحصول على موافقة خطية من ممثلي الوزارة.
4.5أمن الأصول المادية
يهدف هذا القسم إلى تسليط الضوء على مسؤوليات المستخدم بالالتزام في تطبيق ضوابط أمن الأصول المادية الخاصة بوزارة الصحة.
يتعين على المستخدم إظهار بطاقته التعريفية داخل مباني وزارة الصحة بصورة واضحة. يتعين على المستخدم الالتزام بمسافة الأمان في مباني وزارة الصحة والاهتمام بذلك.
من مصلحة الجميع ضمان التطبيق الفعال لضوابط الوصول الفعلي إلى مباني وزارة الصحة. يجب أن يتعاون المستخدم ويلتزم بتدابير أمن الأصول المادية الخاصة بوزارة الصحة.
يجب مراقبة الوصول إلى غرفة الحواسيب والمناطق المحظورة ويتعين على المستخدم التقيد بهذه الضوابط طوال الوقت. لا يُسمح للموظفين غير المُصرَّح لهم بالدخول إلى مباني وزارة الصحة ولا باستخدام أصولها التقنية. وعليه، يتعين على المستخدم التقيد بتطبيق
تدابير مراقبة الوصول وعدم تسهيل أو المساعدة في ارتكاب المخالفات. يجب عدم نقل معلومات وزارة الصحة وأصولها التقنية خارج مبانيها إلاَّ بعد الحصول على الموافقة المطلوبة من المستوى القيادي المناسب و/أو
الجهة المسؤولة.
يتعين على المستخدم عدم إدخال أجهزة معالجة المعلومات، مثل: أنظمة الحاسب الآلي أو المضمان )مودم( الإنترنت، غير مأذون بها داخل مباني وزارة الصحة أو ربطها مع شبكة الوزارة إلاَّ بعد تبرير حاجة الأعمال إليها والحصول على الموافقة الخطية من الإدارة العامة للأمن السيبراني.
4.6أمن المكاتب والحواسيب المحمولة والأجهزة المحمولة
يهدف هذا القسم إلى تسليط الضوء على مسؤوليات المستخدم عند استخدام مكاتب وزارة الصحة وحواسيبها المحمولة وأجهزتها المحمولة.
يُسمح للمستخدم فقط بالوصول إلى المكاتب والحواسيب المحمولة في المواقع المخصصة. يتعين على المستخدم عدم الوصول إلى المكاتب والحواسيب المحمولة الأخرى داخل مباني وزارة الصحة دون الحصول على موافقة مسبقة.
يتعين على المستخدم إقفال حاسوبه خلال الاستراحات القصيرة أو إطفاء حاسوبه قبل مغادرة المكتب و/أو في نهاية كل يوم. يتعين على المستخدم حماية المعلومات الحساسة وتخزينها وحذفها وعدم تركها على مكتبه بمكان يتيح قراءتها أو نسخها أو تغييرها دون علم
المستخدم. ينبغي نبغي على المستخدم عدم تثبيت أي أجهزة جديدة على الحواسيب المكتبية دون الحصول على التصريح المطلوب من المشغل التقني.
يتعين على المستخدم عدم تثبيت أو استخدام البرمجيات غير القانونية و/أو المقرصنة على الجهاز الذي قدمته وزارة الصحة. يجب على المستخدم استخدام المعدات التي اشترتها ووافقت عليها وزارة الصحة لتسيير الأعمال والعمليات.
لا يُسمح باستخدام برامج الألعاب على أنظمة وشبكات وزارة الصحة. يتعين على المستخدم عدم محاولة تثبيت برامج الألعاب أو نقلها أو استخدامها ضمن شبكة وزارة الصحة.
يتعين على المستخدم الإبلاغ فورًا في حال فقدان حاسوبه المحمول أو حاسوبه الدفتري أو الحواسيب اليدوية الشخصية لضمان أمن هذه الأصول المادية.
يتعين على المستخدم عند استخدام الحاسوب المحمول المُقدَّم من وزارة الصحة ضمان نسخ البيانات المخزَّنة على قرص محلي على خادم ملفات مركزي بصفة دورية من أجل الحصول على نسخة احتياطية ويجب عليه إبلاغ مكتب دعم تقنية المعلومات في حال وجود أي خطأ. يجب حمل الحواسيب المحمولة باستخدام حقيبة اليد لتجنب إلحاق الضرر بها أو الدخول إليها بشكل غير مصرَّح به خلال السفر.
يتعين على المستخدم حماية أجهزته التي تحتوي على معلومات سرية متعلقة بالعمل أو عدم تركها في أماكن بارزة )مثل: كرسي السيارة.) يتعين على المستخدم خلال العمل عن بعد ضمان حماية المعلومات الخاضعة للمعالجة من الوصول إليها بواسطة الأشخاص غير المُصرَّح لهم.
يتعين على المستخدم تثبيت فلتر الحجب لضمان الخصوصية وتجنب استراق النظر من فوق أكتاف الأشخاص.
4.7الهواتف المحمولة الشخصية
يهدف هذا القسم إلى تسليط الضوء على مسؤوليات المستخدم فيما يتعلق باستخدام الهواتف المحمولة الشخصية التي تعالج وتخزن معلومات متعلقة بعمل وزارة الصحة.
يتعين على المستخدم تفعيل خاصية القفل التلقائي على هاتفه المحمول. )يمكن أن تكون هذه الخاصية مماثلة لإعدادات قفل الشاشة بعد فترة انتظار.) يتعين على المستخدم تجنب استخدام خصائص الإكمال التلقائي التي تتذكر أسماء المستخدمين أو كلمات المرور.
يجب تحديد وتقييد استخدام الموظفين لأجهزتهم الشخصية عند استخدامها لأهداف عملية، ويتم تقييدها وفقًا للمتطلبات الوظيفية ذات العلاقة. إذا تطلب الأمر، تحتفظ وزارة الصحة بحق مسح الهاتف المحمول المقدم من الوزارة عن بعد، أو مسح بيانات الوزارة الموجودة على هواتف
المستخدمين الشخصية. يتعين على المستخدم إلغاء تنشيط تقنية البلوتوث في حال لم يكن بحاجة إليها. )سيساعد ذلك في إطالة زمن تشغيل البطارية وتوفير مستوى أفضل
من الأمن.) يتعين على المستخدم مواصلة تثبيت التحديثات على هاتفه المحمول والتطبيقات المثبتة عليه. يتعين على المستخدم تطبيق خيار تثبيت التحديثات
تلقائيًا إن كان متاحًا.
يتعين على المستخدم تثبيت برنامج مضاد الفيروسات أو برنامج أمن الحاسوب وتهيئته لمسح الجهاز وتحديثه بصورة تلقائية. يتعين على المستخدم تطبيق إجراءات أمن الأصول المادية الملائمة لمنع سرقة هاتفه المحمول. يتعين على المستخدم عدم ترك هاتفه المحمول في الأماكن العامة.
ينبغي على جميع المستخدمين التأكد من أن بيانات وزارة الصحة والمعلومات المخزنة على هواتفهم المتنقلة مفصولة )منطقيًا( عن الملفات الشخصية، ويتم تشفيرها وفقًالسياسة الأمن السيبراني للتشفير الخاصة بوزارة الصحة.
يتعين على المستخدم تغيير كلمة مرور هاتفه المحمول فورًا في حال فقدانه. يتعين على المستخدم إبلاغ الإدارة العامة للأمن السيبراني بشأن فقدان الهاتف المحمول.
ينبغي أن يكون المستخدم على علم بالسياسات التي تطبقها شركات اتصالات الهواتف المحمولة وسياسات الأمن السيبراني التي تطبقها وزارة الصحة في حال فقدان الهواتف المحمولة أو سرقتها.
ينبغي أن يكون المستخدم ملمًا بالخطوات المطلوب تنفيذها في حال فقدان هاتفه المحمول وبالخطوات المطلوب تنفيذها لإبلاغ موظفي وزارة الصحة المعنيين عن الحادث.
ينبغي على المستخدم الإبلاغ عن الحالة لناقل شبكة الاتصالات في أقرب وقت ممكن حتى يتسنى لهم تعطيل الهاتف المحمول إذا لَزمَ الأمر. 4.8البرامج الحاسوبية الضارة
يهدف هذا القسم إلى تسليط الضوء على مسؤوليات المستخدم المتعلقة بالتخفيف من حدة مخاطر البرامج الحاسوبية الضارة ضمن شبكة وزارة الصحة.
ينبغي على المستخدم عدم فتح المرفقات المرسلة بواسطة مصادر غير محددة أو مشبوهة. يتعين على المستخدم عدم تغيير إعدادات أو تعطيل مسح الملفات بواسطة مضاد الفيروسات والإعدادات الأخرى. يتعين على المستخدم اعتبار رسائل البريد الإلكتروني المستلمة من مصادر غير معروفة بأنَّها مشبوهة والإبلاغ عنها للإدارة العامة للأمن السيبراني. كما يتعين على المستخدم إبلاغ الإدارة العامة للأمن السيبراني بخصوص رسائل البريد الإلكتروني المستلمة من مصادر معروفة والمحتوية على
طلبات غير اعتيادية أو غير مألوفة. يتعين على المستخدم الاتصال فورًا بالإدارة العامة للأمن السيبراني إذا اشتبه أو أصبح على علم بفيروسات حاسوبية أو برامج حاسوبية ضارة.
4.9أمن كلمات المرور
يهدف هذا القسم إلى تسليط الضوء على مسؤوليات المستخدم المتعلقة بإدارة كلمات المرور الخاصة به المستخدمة للدخول إلى حسابات وزارة الصحة.
يتعين على المستخدم عدم مشاركة كلمات المرور الخاصة به مع أي شخص. ينبغي على المستخدم عدم كتابة كلمات المرور الخاصة به أو أي نوع من وسائط التخزين المادية أو الإلكترونية. يتعين على المستخدم وضع كلمات مرور معقدة بشكل معقول وأن يلتزم بالضوابط المتعلقة بكلمات المرور بما يتوافق مع سياسة الأمن السيبراني
للتحكم بالوصول.
4.10أنشطة البريد الإلكتروني والاتصالات
يهدف هذا القسم إلى تسليط الضوء على مسؤوليات المستخدم المتعلقة بأنشطة استخدام البريد الإلكتروني والاتصالات في وزارة الصحة.
تم توفير نظام البريد الإلكتروني الخاص بوزارة الصحة للاستخدامات ذات الصلة بالعمل بشكل رئيسي. يتعين على المستخدم استخدام البريد الإلكتروني بطريقة مسؤولة ووفق سياسة الأمن السيبراني لأمن الشبكات في وزارة الصحة.
يتعين على المستخدم عدم مشاركة أو تبادل المعلومات والبيانات على شكل ملفات ووثائق مما يؤدي إلى تعريض وزارة الصحة للمسؤولية القانونية أو الضرر.
يتعين على المستخدم عدم استخدام حسابات البريد الإلكتروني الشخصية لتنفيذ أنشطة متعلقة بالعمل.
ينبغي على المستخدم ألا يستغل البريد الإلكتروني لوزارة الصحة لتحقيق أي أغراض شخصية، بما في ذلك على سبيل المثال لا الحصر: التسجيل في المواقع العامة، والحصول على الخدمات عبر الإنترنت، والتسجيل في مواقع التواصل الاجتماعي، وغير ذلك.
يتعين على المستخدم الامتناع عن إرسال رسائل البريد الإلكتروني التي تتضمن محتوى مهين )مثل التعليقات المهينة حول النوع الاجتماعي والتوجه الجنسي والإباحية وغيرها.)
يتعين على المستخدم اتخاذ الترتيبات اللازمة عند ذهابه في إجازة، بما في ذلك: تكليف شخص باستلام رسائل البريد الإلكتروني الواردة واتخاذ الإجراءات المطلوبة وفق قواعد العمل ذات الصلة.
يجب على المستخدم تهيئة رسالة بريد إلكتروني تلقائية مفادها بأنَّه "خارج المكتب" عند ذهابه في مغادرة أو إجازة. مع ذلك، يتعين أن يمارس المستخدم ذلك بحذر. يمكن أن يسيء الأشخاص من خارج الوزارة استخدام المعلومات الكبيرة حول الغياب عن العمل. يجب إرسال معلومات كاملة )مثل: تاريخ العودة من الإجازة ورقم الهاتف، وغيرها( باستخدام اسم النطاق الداخلي الخاص بوزارة الصحة. مع ذلك، يمكن إرسال اسم
جهة الاتصال وعنوان بريده الإلكتروني إلى خارج نطاق الوزارة. ينبغي على جميع المستخدمين إبلاغ الإدارة العامة للأمن السيبراني بواسطة البريد الإلكتروني وبشكل فوري عن جميع الثغرات أو الحوادث
الأمنية المشبوهة. يجب على المستخدم الإبلاغ عن جميع الثغرات أو المشاكل الأمنية المشتبه بها إذا لاحظتها في نظام البريد الإلكتروني. يجب على المستخدم الالتزام بالترميز المتبع لتصنيف المعلومات عند مشاركة المعلومات والبيانات المتعلقة بأعمال وزارة الصحة مع أطراف
داخلية أو خارجية. تمتلك إدارة وزارة الصحة صلاحية اعتراض مراسلات البريد الإلكتروني أو الكشف عنها أو المساعدة في اعتراضها.
يتعين على المستخدم عدم استخدام أنظمة وزارة الصحة لإعداد أو توزيع رسائل بريد إلكتروني متسلسلة. يتعين على المستخدم عدم إعادة إرسال أو تحويل رسائل البريد الإلكتروني من حساب البريد الإلكتروني الخاص بالوزارة إلى حسابات البريد
الإلكتروني الشخصية التي تعود للمستخدمين.
4.11أمن الوثائق
يهدف هذا القسم إلى تسليط الضوء على المسؤوليات التي تقع على عاتق المستخدم فيما يتعلق باستخدام وثائق وزارة الصحة بطريقة آمنة.
سيتولى المستخدم تنفيذ جميع الإجراءات حسب دوره الوظيفي وصفته لحماية الوثائق من الإفصاح عنها بشكل غير مصرَّح به. يتعين على المستخدم جمع وتمزيق النشرات أو النسخ التي لم تعد هناك حاجة إليها من الطابعات وآلات النسخ.
يتعين على المستخدم تطبيق سياسة الأمن السيبراني لتأمين المكاتب والشاشات فيما يتعلق بالأوراق والوثائق السرية من أجل تقليل مخاطر الوصول إليها بشكل غير مصرح به وفقدان المعلومات أو إتلافها بعد انتهاء ساعات العمل.
يتعين على المستخدم توسيم وترميز والتعامل مع كافة الوثائق التي تحتوي على معلومات حساسة وفق سياسة الأمن السيبراني لإدارة الأصول. يتعين على المستخدم تطبيق العملية المتبعة في وزارة الصحة لإتلاف أو التخلص من الوثائق المحتوية على معلومات سرية والتي انتهت مدة
الاحتفاظ بها. يتعين على المستخدم اعتبار إخطارات التحذير على صفحات أغلفة جهاز الفاكس بأنَّها رسالة للمستلم فقط كلما أمكن ذلك وبأنَّ استخدام الرسالة
بواسطة أي طرف آخر سيكون غير مصرَّح به أو غير قانوني. 4.12الإبلاغ عن الحوادث
يهدف هذا القسم إلى تسليط الضوء على مسؤوليات المستخدم المتعلقة بالإبلاغ عن الحوادث داخل وزارة الصحة.
يقع على عاتق جميع مستخدمي وزارة الصحة، بما في ذلك: الموظفين والأطراف الخارجية والمتعاقدين، مسؤولية إبلاغ الإدارة العامة للأمن السيبراني في الوزارة فورًا بأي دليل أو اشتباه بوجود مخالفة أمنية فيما يتعلق بما يلي:
• الوصول غير المصرَّح به إلى شبكات الاتصالات أو الأنظمة الحاسوبية. • ظهور الفيروسات على أحد الحواسيب بشكل واضح.
• التلاعب الواضح بأي ملف قام المستخدم بتحديد ضوابط تقديرية وتقييدية للتحكم بالوصول إليه. • مخالفة هذه السياسة أو أي سياسة أو إجراء متعلق بالأمن السيبراني بواسطة أي موظف أو متعاقد أو مقدم خدمات خارجي. • يجب على مستخدمي وزارة الصحة الإبلاغ عن الحادث باستخدام القنوات المناسبة في أقرب وقت ممكن. يمكن أن يؤدي عدم الإبلاغ عن
الحوادث إلى ترك آثار سلبية على أنظمة معلومات وزارة الصحة وبياناتها. • يجب توثيق جميع الحوادث الأمنية عند الإمكان. يجب على المستخدمين جمع أكبر قدر ممكن من المعلومات وتضمينها في تقريرهم.
• يمكن التواصل مع إدارة مخاطر الأمن السيبراني بخصوص الحوادث المتعلقة بهذه السياسة عبر أي من القنوات التالية: • يمكن الإبلاغ عن الحوادث عبر البريد الإلكتروني إلى CS-IR@moh.gov.sa
4.13الاستثناءات إذا كانت هناك حاجة ملحة للإعفاء من مسؤوليات هذه السياسة مع عدم وجود بديل قابل للتطبيق وآمن، يتعين على مقدم الطلب تعبئة نموذج طلب
استثناء السياسة حسب الأصول وتوقيعه وإرساله إلى الإدارة العامة للأمن السيبراني. يقوم مقدم الطلب بإرفاق وصف تفصيلي لنطاق العمل ومبررات الأعمال والفترة الزمنية مع نموذج طلب استثناء السياسة. تتولى الإدارة العامة للأمن السيبراني مسؤولية مراجعة الطلب وتحديد المخاطر والضوابط الإضافية وفقًا لإطار إدارة المخاطر الخاص بوزارة الصحة، وقد تطلب من مقدم الطلب الموافقة على المخاطر المحددة والضوابط الإضافية. علاوة على ذلك، يجوز للإدارة العامة للأمن السيبراني
استشارة جهات داخلية معنية بالمسائل القانونية وجهات داخلية وخارجية معنية بالمسائل التنظيمية. يجب على مقدم الطلب عدم تنفيذ الاستثناء إلا عند الحصول على الموافقة من مدير عام الإدارة العامة للأمن السيبراني.. تتولى الإدارة العامة للأمن السيبراني مسؤولية متابعة الاستثناءات المعتمدة وإلغائها بعد زوال الأسباب التي تستدعي وجودها.
4.14الالتزام الالتزام بسياسات الأمن السيبراني الخاصة بوزارة الصحة والضوابط المرتبطة بها يعد أمراً إلزامياً في مهام وزارة الصحة، وعلى موظفيها،
ومتعاقديها، وشركائها، ومقدمي الخدمات الذين يمكنهم الوصول إلى المعلومات ومرافق معالجة المعلومات بوزارة الصحة. يتعين على المدراء المباشرين في وزارة الصحة تطبيق العناية الواجبة لضمان الالتزام عن طريق الإنفاذ المستمر والتقييم الذاتي ضمن نطاق
مسؤولياتهم. تتولى الإدارة العامة للأمن السيبراني مسؤولية إجراء تقييمات الالتزام بشكل منتظم ومستقل من أجل قياس وتحليل وتقييم مدى التزام وزارة الصحة بسياسات الأمن السيبراني والضوابط الأمنية المرتبطة بها. تتولى الإدارة العامة للأمن السيبراني مسؤولية متابعة التزام وزارة الصحة والإشراف
على تنفيذ الأطراف المعنية للإجراءات التصحيحية.
4.15المخالفات تتولى الإدارة العامة للأمن السيبراني مسؤولية التحقق التقني من المخالفات وتتولى الإدارة العامة للشؤون القانونية مسؤولية استكمال الإجراءات
التأديبية والقانونية على الجهة المخالفة. ينبغي أن تتوافق الإجراءات التأديبية مع درجة خطورة المخالفات، بحسب ما تُظهره التحقيقات، وما تنص عليها الأنظمة والقوانين ذات العلاقة.
4.16مراجعة السياسة تتولى الإدارة العامة للأمن السيبراني مسؤولية مراجعة وتحديث هذه الوثيقة سنويًا، بالإضافة إلى ضمان التوافق المستمر مع التعديلات على
المتطلبات وأفضل الممارسات واللوائح التنظيمية والالتزامات. إذا كانت هناك حاجة ملحة لتعديل هذه السياسة، يتعين على مقدم الطلب تعبئة نموذج طلب تعديل وثيقة السياسة الأمنية حسب الأصول وتوقيعه
وإرساله إلى الإدارة العامة للأمن السيبراني.
4.17التواصل يمكن التواصل مع الإدارة العامة للأمن السيبراني بخصوص الاستفسارات والملاحظات والحوادث المتعلقة بهذه السياسة عبر أي من القنوات
التالية: • يمكن إرسال الاستفسارات والملاحظات عبر البريد الإلكتروني إلى CS-Policies@moh.gov.sa
• يمكن الإبلاغ عن الحوادث عبر البريد الإلكتروني إلى CS-IR@moh.gov.sa
4.18الاجراءات غير مطلوب.
4.19مقياس الأداء )المؤشرات( مراجعة جميع إصدارات الهيئة الوطنية للأمن السيبراني ) )NCA والتأكد من تضمينها في السياسة.
.5المراجع 7.1المراجع التنظيمية الحكومية: • الضوابط الأساسية للأمن السيبراني. • ضوابط استخدام تقنيات المعلومات والاتصالات. )قرار رقم: ,555تاريخ: 1440/9/23ه( • ضوابط الأمن السيبراني للأنظمة الحساسة ).)CSCC • نظام مكافحة الجرائم الإلكترونية.
7.2المراجع الدولية: • آيزو/آي إي سي .27001 • آيزو/آي إي سي .27002
7.3المراجع الداخلية: • سياسة الأمن السيبراني للتحكم بالوصول. • سياسة الأمن السيبراني للأمن المادي والبيئي. • سياسة الأمن السيبراني للاستجابة الحوادث.
• إدارة دورة حياة الأصول التقنية. • معيار طرق تسمية الأصول. • معيار تصنيف المعلومات. • قائمة جرد أصول المعلومات. • معيار التعامل مع الأصول.
• معيار إدارة الوسائط القابلة للنقل. • القائمة المرجعية لإنهاء خدمات الموظف أو تغيير الوظيفة
.6المرفقات 8.1المراجع التنظيمية الحكومية: • ضوابط استخدام تقنيات المعلومات والاتصالات( 2.قرار رقم: ,555تاريخ: 1440/9/23ه( • الضوابط الأساسية للأمن السيبراني;
• ضوابط الأمن السيبراني للأنظمة الحساسة ).)CSCC • نظام مكافحة الجرائم الإلكترونية.
بديل للسياسة رقم
تاريخ المراجعة القادمة
12- فبراير- 2025
جهة اصدار السياسة الإدارة العامة للأمن السيبراني
تاريخ التطبيق
3- نوفمبر2020-
رقم السياسة
VM.PD - CSD001- CPP تاريخ الاعتماد
10- أغسطس 2020-
عنوان السياسة سياسة الأمن السيبراني للاستخدام المقبول
مستوى السياسة
سياسة عامة
التاريخ
11- فبراير 2024-
التاريخ
11- فبراير 2024-
12- فبراير 2024-
التاريخ
05- مارس 2024-
التوقيع التوقيع التوقيع
المنصب
مدير عام الإدارة العامة للأمن السيبراني
المنصب
مدير عام الإدارة العامة للتميز المؤسسي
مدير عام الإدارة العامة للشؤون القانونية
المنصب
اللجنة الإشرافية للأمن السيبراني
الإعداد الاسم
باسم عبدالله العنقري
مراجعة
سوزان أسعد راشد
فهد الغوينم
الاعتماد الاسم
اللجنة الإشرافية للأمن السيبراني