كيف نحمي المعلومات وفق نظام ISMS لدينا.

النطاق

تسري هذه السياسة على جميع المعلومات التي تُنشئها IT Security C&T أو تتلقّاها، بأي شكل كانت، وعلى الأشخاص والأنظمة والمعدات التي تتعامل معها. وهي الأساس الذي يقوم عليه نظام إدارة أمن المعلومات (ISMS) لدينا، وكل ما يرتبط به من سياسات وإجراءات.

الغرض

تحدد هذه السياسة متطلبات أمن المعلومات لدينا، استناداً إلى أفضل الممارسات والمعايير ذات الصلة، لإدارة تهديدات أمن المعلومات وحوادثه. وتهدف إلى الحد من المخاطر وحماية IT Security C&T من التهديدات الداخلية والخارجية من خلال الحفاظ على سرية المعلومات وسلامتها وتوافرها، بما يتوافق مع ISO/IEC 27001، وإلى دعم عملياتنا ورسالتنا وأهدافنا الاستراتيجية.

بيان السياسة

تحمي IT Security C&T أصولها المعلوماتية وموظفيها وملكيتها الفكرية وأنظمتها الحاسوبية وبياناتها ومعداتها من جميع التهديدات، داخليةً كانت أم خارجية، متعمّدةً أم عرضية، وبطريقة فعّالة من حيث التكلفة. ونحمي الأصول المعلوماتية من الوصول غير المصرّح به، ونمتثل للمتطلبات التنظيمية والتشريعية، ونحافظ على مستوى عالٍ من الكفاءة لدى موظفينا.

الوصول: الحاجة إلى المعرفة وأقل الصلاحيات

يخضع الوصول إلى الأصول المعلوماتية للضبط والتقييد وفق مبدأي الحاجة إلى المعرفة ومنح أقل الصلاحيات. فلا يُمنح الأشخاص حق الوصول إلا إلى المعلومات والأنظمة التي يتطلبها دورهم، وبالمستوى اللازم فقط لأداء ذلك الدور.

إدارة المخاطر

تُحدَّد مخاطر أمن المعلومات وتُقيَّم وتُعالَج وفقاً لمنهجية إدارة المخاطر المعتمدة في IT Security C&T. وتستند قرارات المخاطر إلى قيمة المعلومات والأصول المعنية، وإلى احتمالية التهديدات التي تواجهها وأثرها.

الحوادث والثغرات

يُبلَّغ عن الحوادث الأمنية والثغرات المشتبه بها، وتُعالَج وتُحلّ وفقاً لطبيعتها. وتنعكس الدروس المستفادة من كل حادثة على ضوابطنا وإجراءاتنا وتقييمات المخاطر لدينا.

الأدوار والمسؤوليات

يتحمّل جميع المديرين مسؤولية مباشرة عن تطبيق هذه السياسة ضمن نطاق عملهم، وعن متابعة التزام موظفيهم بها. وكل موظف وكل طرف ثالث لديه صلاحية الوصول إلى معلوماتنا مسؤول عن الالتزام بهذه السياسة وما يدعمها من سياسات ومعايير وإجراءات.

الامتثال لهذه السياسة

الامتثال لهذه السياسة ولجميع السياسات والمعايير والإجراءات الداعمة لها إلزامي على الموظفين والأطراف الثالثة. وتترتب على المخالفات إجراءات تصحيحية تتخذها الإدارة، ويتناسب أي إجراء تأديبي مع جسامة المخالفة وفق ما يحدده التحقيق.

الامتثال لمعيار ISO/IEC 27001

صُمّم نظام إدارة أمن المعلومات لدينا ويُشغَّل ويُحافَظ عليه بما يستوفي متطلبات ISO/IEC 27001. وتوفّر هذه السياسة، إلى جانب سياساتنا وإجراءاتنا الداعمة، الإطار اللازم لوضع أهداف أمن المعلومات ومراجعتها.

التحسين المستمر والمراجعة

تلتزم IT Security C&T بالتحسين المستمر لنظام إدارة أمن المعلومات لديها ولوضعها في مجال أمن المعلومات. ونقيس أداء النظام، ونحدد الإجراءات اللازمة للحفاظ على فعاليته، ونراجع هذه السياسة على فترات مخططة وكلما طرأت تغييرات جوهرية.