سياسة أمن المعلومات

1. الأهداف

تُدرك شركة هاش موف (ويُشار إليها فيما يلي بـ "هاش موف") أن أمن المعلومات وأنظمة التكنولوجيا يمثل عنصرًا أساسيًا لضمان تقديم خدمات موثوقة عبر منصة SaaS ERP التابعة لها. وتلتزم هاش موف بحماية سرية المعلومات وسلامتها وتوافرها (CIA)، بما يشمل أصول المعلومات التي تدعم خدماتها السحابية وعملياتها الداخلية وبيئات عملائها. وتهدف هذه السياسة إلى تحقيق ما يلي:

• حماية بيانات العملاء، ومعلومات الأعمال، وموارد الأنظمة المستضافة ضمن منصة SaaS ERP التابعة لهاش موف.
• ضمان سرية المعلومات وسلامتها وتوافرها (CIA) التي تتم معالجتها أو تخزينها أو نقلها عبر أنظمة هاش موف.
• إنشاء بيئة تشغيل سحابية آمنة تدعم تقديم خدمات البرمجيات كخدمة (SaaS) بصورة موثوقة وقابلة للتوسع وقادرة على الصمود أمام الاضطرابات.
• الحد من المخاطر الناشئة عن التهديدات السيبرانية، أو الوصول غير المصرح به، أو أعطال الأنظمة، أو الاضطرابات التشغيلية.
• ضمان الامتثال للمتطلبات التنظيمية المعمول بها، والالتزامات التعاقدية، ومعايير أمن المعلومات المعترف بها في القطاع.
• تعزيز ثقافة الوعي بأمن المعلومات وترسيخ المسؤولية عن حمايتها لدى جميع الموظفين وأصحاب المصلحة.
  ‍

2. النطاق

تنطبق هذه السياسة على:

• البنية التحتية لمنصة SaaS ERP، والبيئات المستضافة سحابيًا، والخوادم، والشبكات، وقواعد البيانات، وأنظمة التخزين.
• تطوير التطبيقات وإدارة دورة حياة البرمجيات.
• عمليات المنصة، والمراقبة، وإدارة الحوادث، وإدارة الأنظمة، وخدمات الدعم.
• معالجة بيانات العملاء وخدمات التكامل.
• وظائف الأعمال الداعمة (الموارد البشرية، المالية، الشؤون القانونية، الامتثال، المرافق، وتقنية المعلومات الداخلية).
• لموردون والشركاء من الجهات الخارجية الذين يتعاملون مع أنظمة هاش موف.
  ‍

3. نطاق التطبيق

تُعد هذه السياسة ملزمة لجميع الفئات التالية:

• الموظفون، والمتعاقدون، والاستشاريون، والموظفون المؤقتون، والمتدربون.
• مزودو الخدمات من الجهات الخارجية، والموردون، والشركاء، والشركات التابعة.
• الزوار أو أي فرد يُمنح صلاحية الوصول إلى أنظمة هاش موف أو مرافقها.

يجب على جميع العاملين الالتزام بهذه السياسة، بالإضافة إلى الإجراءات والمعايير والإرشادات الداعمة لها.

‍

4. المراجع

• ISO/IEC 27001:2022 – أنظمة إدارة أمن المعلومات (ISMS).
• ISO/IEC 27001:2013 – أنظمة إدارة أمن المعلومات (الضوابط السابقة).
• فضل الممارسات المعمول بها في مجال أمن الخدمات السحابية والعمليات التشغيلية لـ SaaS.
  ‍

5. معايير التشفير وإدارة دورة حياة المفاتيح

• يجب تشفير جميع البيانات الحساسة أثناء النقل باستخدام TLS 1.2+ أو ما يعادله، وأثناء التخزين باستخدام خوارزمية AES-256 أو خوارزميات معتمدة.
• يجب إنشاء مفاتيح التشفير وتخزينها وتدويرها وإيقاف العمل بها وفقًا لسياسة رسمية لإدارة المفاتيح.
• يجب تقييد الوصول إلى المفاتيح واقتصاره على الأشخاص والأنظمة المصرح لهم فقط، وتسجيل جميع عمليات إدارة المفاتيح لتكون قابلة للتدقيق.
• يجب مراجعة معايير التشفير وممارسات إدارة المفاتيح دوريًا لضمان توافقها مع أفضل الممارسات المعتمدة في القطاع والمتطلبات التنظيمية ذات الصلة.
  ‍

6. نموذج المسؤولية المشتركة ومعايير التهيئة الآمنة

• المسؤولية المشتركة:
  • مزود الخدمات السحابية (CSP): أمن السحابة (البنية التحتية، المرافق، وتقنيات المحاكاة الافتراضية).
  • هاش موف: أمن ما داخل السحابة (التهيئات والإعدادات، إدارة الهوية والوصول IAM، أمن التطبيقات، حماية البيانات، وأمن الشبكات).
    ‍
• الأدوار والمسؤوليات:
  • وظيفة أمن المعلومات (ISF): وضع السياسات، ومراقبة الامتثال، ومراجعة المخاطر.
  • فرق الهندسة وعمليات التطوير (DevOps): تنفيذ التهيئات الآمنة والحفاظ عليها.
  • فرق تقنية المعلومات ومالكو الأنظمة: الحفاظ على الأمن التشغيلي.
  • مالكو البيانات: تصنيف البيانات الحساسة وحمايتها.
    ‍
• التهيئات الآمنة:
  • يجب أن تلتزم الأنظمة والموارد السحابية بالمعايير الأمنية المعترف بها (مثل CIS أو ما يعادلها).
  • تشمل عملية تقوية الأنظمة تعطيل الخدمات غير الضرورية، وتطبيق إعدادات آمنة لأنظمة التشغيل والتطبيقات، وتفعيل المصادقة متعددة العوامل (MFA)، وتطبيق مبدأ أقل قدر من الصلاحيات عند منح صلاحيات الوصول.
  • يجب أن تتضمن مسارات البنية التحتية كرمز (IaC) عمليات للتحقق من متطلبات الأمان.
    ‍
• المراقبة والامتثال:
  • المراقبة المستمرة لتهيئات الأنظمة.
  • استخدام أدوات آلية للتحقق من الامتثال حيثما أمكن ذلك.
  • إجراء عمليات تدقيق دورية ومعالجة أي انحرافات عن التهيئات المعتمدة.
    ‍
• إدارة التغيير:
  • تخضع جميع التغييرات لعملية رسمية لإدارة التغيير قائمة على تقييم المخاطر.
  • يجب توثيق جميع الاستثناءات واعتمادها ومراجعتها بشكل دوري.
    ‍

7. إدارة الثغرات الأمنية واختبارات الاختراق وإدارة التحديثات الأمنية

• فحص الثغرات الأمنية:
  • إجراء فحص شهري للثغرات الأمنية، وعند إجراء أي تغييرات جوهرية على الأنظمة.
  • تصنيف الثغرات الأمنية حسب مستوى الخطورة، وتحديد أولويات المعالجة استنادًا إلى تقييم المخاطر.
    ‍
• اختبارات الاختراق:
  • تُجرى اختبارات الاختراق مرة واحدة سنويًا على الأقل، وبعد التحديثات الجوهرية، أو وفقًا للمتطلبات التعاقدية أو التنظيمية.
  • تشمل الاختبارات: الشبكات، وتطبيقات الويب، وواجهات برمجة التطبيقات (APIs)، والتهيئات السحابية.
  • يُقيَّم مستوى خطورة النتائج والملاحظات المكتشفة، وتُعالَج، ثم يُعاد اختبارها للتحقق من معالجتها بنجاح.
    ‍
• إدارة التحديثات الأمنية:
  • تُطبَّق التحديثات والتصحيحات الأمنية وفقاً لمستوى الخطورة:
    • حرج (Critical): خلال 7–15 يومًا.
    • عالي (High): خلال 30 يومًا.
    • متوسط (Medium): خلال 60–90 يومًا.
    • منخفض (Low): خلال دورات الصيانة الدورية.
  • تتوفر إجراءات للتحديثات الطارئة للتعامل مع الثغرات الأمنية التي يتم استغلالها بشكل نشط
  • خضع جميع عمليات التحديث لإجراءات إدارة التغيير المعتمدة.
    ‍
• المراقبة وإعداد التقارير:
  • المراقبة المستمرة لحالة التحديثات والثغرات الأمنية.
  • تبّع المؤشرات المتعلقة بالجداول الزمنية للمعالجة، والامتثال لاتفاقيات مستوى الخدمة (SLA)، والمشكلات المتكررة.
    ‍
• الاستثناءات: توثيق الاستثناءات، وتقييم المخاطر المرتبطة بها، واعتمادها، ومراجعتها بشكل دوري.
  ‍

8. الاحتفاظ بالبيانات والتخلص الآمن منها والامتثال

• الاحتفاظ بالبيانات:
  • يُحتفظ بالبيانات وفقاً للمتطلبات القانونية والتنظيمية والتعاقدية ومتطلبات الأعمال.
  • تُعتمد جداول زمنية للاحتفاظ بالبيانات وتُراجع بشكل دوري.
  • تُطبَّق أنظمة لأتمتة عمليات الاحتفاظ بالبيانات وحذفها حيثما أمكن ذلك.
• التخلص الآمن:
  • مسح البيانات الرقمية أو الكتابة فوقها بصورة آمنة.
  • إتلاف وسائط التخزين المادية عند انتهاء الحاجة إليها.
  • توثيق كافة عمليات التخلص والتحقق من إتمامها.
    ‍
• الامتثال:
  • معالجة البيانات بما يتوافق مع اللائحة العامة لحماية البيانات (GDPR)، والقوانين الإقليمية المعمول بها، والالتزامات التعاقدية.
  • دعم حقوق أصحاب البيانات، وتوفير الضمانات اللازمة لنقل البيانات عبر الحدود، والالتزام بمسؤولية المساءلة عن عمليات المعالجة.
• الأدوار:
  • مالكو البيانات: تحديد فترات الاحتفاظ بالبيانات.
  • فرق تقنية المعلومات والهندسة: تطبيق الضوابط والآليات التنفيذية.
  • وظيفة أمن المعلومات (ISF): الإشراف على عمليات المراقبة والمراجعة.

9. حماية الأجهزة الطرفية واختبار أمن التطبيقات

• حماية الأجهزة الطرفية:
  • نشر حلول مكافحة البرمجيات الضارة (Anti-Malware) وحلول الكشف والاستجابة للأجهزة الطرفية (EDR) على كافة الخوادم والأجهزة الطرفية.
  • تطبيق إعدادات آمنة للأجهزة، والتشفير الكامل للأقراص، ومبدأ الحد الأدنى من الصلاحيات، والمصادقة متعددة العوامل (MFA)، وميزة المسح عن بُعد.
  • لمراقبة المستمرة للكشف عن الأنشطة المشبوهة أو غير المصرح بها.
    ‍
• اختبار أمن التطبيقات:
  
  • إجراء الاختبار الأمني الساكن للتطبيقات (SAST) أثناء مرحلة التطوير.
  • إجراء الاختبار الأمني الديناميكي للتطبيقات (DAST) خلال مرحلتي الاختبار والتهيئة (Staging).
  • فحص التبعيات المفتوحة المصدر (Open-Source Dependencies) لكشف أي ثغرات مُضمّنة.
  • إجراء مراجعات آمنة للشفرة البرمجية ودمج الفحوصات الأمنية ضمن مسارات التكامل والتسليم المستمر (CI/CD).
  • يجب معالجة جميع الثغرات الأمنية الحرجة والمرتفعة الخطورة قبل النشر في بيئة الإنتاج.
    ‍
• معالجة الثغرات الأمنية:
  • تم تسجيل الثغرات الأمنية، وتقييمها وفقًا لمستوى المخاطر، وتتبعها حتى إتمام معالجتها.
    ‍
• الأدوار:
  • فرق تقنية المعلومات وDevOps: إدارة الأجهزة الطرفية وحمايتها.
  • فرق الهندسة: إدارة الجوانب الأمنية في دورة حياة تطوير البرمجيات (SDLC).
  • وظيفة أمن المعلومات (ISF): مراقبة الامتثال والالتزام.

10. الأدوار والمسؤوليات

• وظيفة أمن المعلومات (ISF): الحوكمة، والامتثال، وإدارة السياسات، ومراقبة المخاطر.
• فرق تقنية المعلومات وDevOps: إدارة البنية التحتية، والأجهزة الطرفية، والشبكات، والتحديثات الأمنية، وتهيئة الأنظمة.
• فرق الهندسة والتطوير: ضمان أمن دورة حياة تطوير البرمجيات (SDLC)، وأمن التطبيقات، ومعالجة الثغرات الأمنية.
• مالكو البيانات ورؤساء الإدارات: تصنيف البيانات، واعتماد صلاحيات الوصول، والإشراف على سياسات الاحتفاظ بالبيانات.
• الموارد البشرية والإدارة: أمن الموظفين، والأمن المادي، وضمان الوصول الآمن.
• جميع المستخدمين: الالتزام بالاستخدام المقبول للأنظمة، والإبلاغ الفوري عن الحوادث الأمنية، وحماية البيانات.
  ‍

11. إدارة الهوية والوصول

• يجب التحكم في الوصول إلى أنظمة شركة هاش موف وتطبيقاتها وبياناتها من خلال ضوابط رسمية لإدارة الهوية والوصول (IAM).
  • يجب تطبيق ضوابط التحكم في الوصول القائم على الأدوار (RBAC) عبر جميع الأنظمة.
  • يُمنح حق الوصول استنادًا إلى:
    • مبدأ الحد الأدنى من الصلاحيات (Least Privilege).
    • مبدأ الحاجة إلى المعرفة (Need-to-Know).
  • المصادقة متعددة العوامل (MFA):
    • يجب تطبيق المصادقة متعددة العوامل بشكل إلزامي في الحالات التالية:
    • الوصول الإداري.
    • الوصول عن بُعد.
    • الوصول إلى الأنظمة والبيانات الحساسة.
  • تخضع صلاحيات وصول المستخدمين للإجراءات التالية:
    • مراجعتها دوريًا.
    • وإلغاؤها فورًا عند تغيير الدور الوظيفي أو انتهاء الخدمة.
  • يجب تقييد صلاحيات الوصول المتميزة (Privileged Access)، ومراقبتها بشكل مستمر، وتسجيل كافة أنشطتها (Logging).
    ‍

12. . إدارة الحوادث والاستجابة للاختراقات الأمنية

تلتزم شركة هاش موف بتطبيق منهجية رسمية ومعتمدة لإدارة حوادث أمن المعلومات.

تخضع كافة الحوادث الأمنية للإجراءات التالية:

• الإبلاغ عنها عبر القنوات المحددة.
• صنيفها بناءً على مستوى الخطورة.
• تتبعها ومتابعتها حتى معالجتها نهائيًا.

• تشمل إجراءات الاستجابة للحوادث الأمنية ما يلي:
  • لكشف والإبلاغ.
  • الاحتواء والتخفيف من الآثار.
  • الاستئصال (القضاء على المسببات) والتعافي.
    ‍
• تخضع الحوادث الأمنية التي تتضمن بيانات شخصية للإجراءات التالية:
  • إدارتها وفقًا لقوانين حماية البيانات المعمول بها.
  • الامتثال لمتطلبات الإخطار بانتهاك البيانات المنصوص عليها في اللائحة العامة لحماية البيانات (GDPR).
    ‍
• Rيجب إجراء تحليل السبب الجذري (RCA) للحوادث الجوهرية.
• يجب إجراء تحليل السبب الجذري (RCA) للحوادث الجوهرية.

13. مواءمة استمرارية الأعمال والتعافي من الكوارث

يجب أن تدعم ضوابط أمن المعلومات خطة استمرارية الأعمال (BCP) وإطار التعافي من الكوارث لدى شركة هاش موف.

• يجب أن تضمن التدابير الأمنية ما يلي::
  • توافر الأنظمة الحيوية.
  • حماية البيانات في حالات الانقطاع والاضطرابات.
    ‍
• يجب أن تتوافق الضوابط الأمنية مع المستهدفات المحددة لكل من:
  • أهداف زمن الاستعادة (RTO).
  • أهداف نقطة الاستعادة (RPO).
    ‍
• يجب الحفاظ على التنسيق الفعّال والتعاون المستمر بين فرق الأمن وفرق استمرارية الأعمال أثناء التعامل مع الحوادث.
  ‍

14. التدقيق والامتثال والمراقبة المستمرة

• يجب إجراء عمليات التدقيق الداخلي بشكل دوري.
  ‍
• يجب أن تكون أدلة الامتثال:
  • موثقة.
  • ومحفوظة
    ‍
• يجب أن تكون نتائج وملاحظات التدقيق:
  • خاضعة للمتابعة والتتبع المستمر.
  • مُعالجة ومُصححة ضمن الأطر والجداول الزمنية المحددة.
    ‍
• تلتزم الإدارة بالتالي:
  • مراجعة وتقييم أداء أمن المعلومات.
  • الإشراف المباشر على التحسين المستمر لنظام إدارة أمن المعلومات (ISMS).
    ‍

15. أمن الموردين والجهات الخارجية

• يجب أن يخضع الموردون لما يلي قبل بدء التعامل معهم::
  • إجراءات العناية الأمنية الواجبة (Security Due Diligence).
  • تقييم المخاطر الأمنية.
    ‍
• يجب أن تكون المتطلبات الأمنية:
  • محددة تعاقديًا؛ و
  • مطبقة طوال فترة العلاقة.
    ‍
• يجب أن يخضع الموردون ذوو المخاطر العالية لما يلي:
  • المراقبة؛ و
  • عادة التقييم الدوري.
• يجب أن تكون صلاحيات وصول الأطراف الخارجية إلى الأنظمة:
  • مقيّدة؛
  • خاضعة للرقابة؛ و
  • مسجّلة.
    ‍

16. إنفاذ السياسة والاستثناءات

• قد تؤدي مخالفة أو انتهاك هذه السياسة إلى اتخاذ إجراءات تأديبية، بما في ذلك إنهاء علاقة العمل أو التعاقد.
• يجب أن تستوفي الاستثناءات من هذه السياسة المتطلبات التالية:
  • أن تكون موثقة.
  • أن تخضع لتقييم المخاطر.
  • أن تُعتمد من قِبل الأشخاص أو الجهات المُخوّلة.

• تخضع الاستثناءات المعتمدة لما يلي:
  • المراجعة الدورية.
  • الإلغاء عند انتفاء الحاجة أو المبرر لها.
    ‍

17. مراجعة السياسة وسجل الإصدارات

‍