أمن المعلومات وإدارة مخاطر تقنية المعلومات

السياسات والمعايير والمبادئ التوجيهية 673 القراصنة والبرمجيات الخبيثة والمحتالين هو�وهجمات الش تطبي الملفات بإمكانك تطبيق نظام تس واحداً من هذه الأنظمة الحيوية، وجدار ناري، وحماية نقطة النهاية، والتشفير، على أمل أن سيكتشف أي نشاط يهدد المنظمة. كما أن فهم مواقف المنظمة الأخرى يس البرمجيات مفتوحة المصدر أم البرمجيات التجارية؟ الخيارات المختلفة قد تؤدي إلى اختلاف في متطلبات السياسات. وهل تعتمد المنظمة على معايير صناعة واحدة في جميع الحالات، هل تُوظف المنظمة مستشارين على أم أن المنظمة انتقائية في المعايير التي تعتمد عليها؟ و أساس مؤقت، أم أنها تسعى للحفاظ على المعرفة داخل المنظمة؟ السياسات: (، 1((COBIT( (وفقاً لنموذج (أه « والتركيز هنا ع مُكلف جداً، لذا عالي يبذل هؤلاء المُديرون جهدهم في عدم إعادة النظر مرة أخرى في القضية نفسها. وبناء على ذلك تكون السياسات مكتوبة بلغة عامة للتعامل مع التطورات الروتينية في مجال الأعمال والتقنية. أما الآليات الإدارية الأخرى: المعايير، والمبادئ التوجيهية، والإجراءات؛ فإنها تنبع من السياس المعايير، والمبادئ التوجيهية، والإجراءات بواس وفق�أن تتغ على المنظمة اتباع التوجيهية، والإجراءات تركز على كيفية الوصول للاتجاه الذي ترغب فيه السياسات. 1( COBIT 5 Glossary, http://www.isaca.org/Knowledge-Center/Documents/Glossary/glossary.pdf

الفصل الثالث ع 674 على س في جامعة جنوب فلوريدا على ما يلي: (( رقم2((SSN Appropriate Use Policy( يتم التخلص من الملفات الورقية والإلكترونية التي تحتوي على أرقام الضمان الاجتماعي بطريقة آمنة وفقاً لسياسات الاحتفاظ والتخلص التابعة للولاية والدولة. ولا يوج ن الاجتماع�الض السياس على التكنولوجيا المتاحة، والتكلفة، وغيرها، كما س التوجيهية، والإجراءات. المعايير: المعي المنظمات. ويش والقياسات المقبولة من جميع المنظمات في صناعة معينة، ويبغي أن ينظر إليها بأنها مبادئ العمليات. National Institute for Standards والتكنولوجي�ويُع ، أحد مص(NIST( �، وال(and Technology المعلومات، على الأقل بالنس جيا تُصنف بأنه م ت في الولايات المتحدة الأمريكية. �توجيهي وقد استعرضنا بعض الأمثلة في هذا الكتاب ومن ذلك International Organization for ( ير� تُع �ك منظم(ISO والمعروف(Standardization (2( SSN Appropriate Use Policy, University of South Florida, http://generalcounsel.usf.edu/policies- and-procedures/pdfs/policy-0-516.pdf

السياسات والمعايير والمبادئ التوجيهية 675 الأكثر اس(ISO( ير�الع على (ISO وهو المعيار التابع لأم(رق الإنترنت، فإن هذا المعيار المعلوم عموماً في إدارة أم تقدم إرش أفضل الممارس(معي المجالات التالية من إدارة أمن المعلومات: •السياسات الأمنية. •تنظيم أمن المعلومات. •إدارة الأصول. •أمن الموارد البشرية. •الأمن المادي والأمن البيئي. •إدارة العمليات والتواصل. •التحكم في الوصول. •اقتناء نظم المعلومات وتطويرها وصيانتها. •إدارة حوادث أمن المعلومات. •إدارة استمرارية العمل. •إدارة الامتثال. وبمجرد قبول المعايير في المنظمة فإنها تكون الزامية. على سبيل المثال، من أجل أن تعلن يتعين عليها الالتزام بجميع اللوائح المرتبطة (المنظمة بأنها متوافقة مع معيار « �بهذا المعيار حيث لا يوجد شيء يسمى ب

الفصل الثالث ع 676 ف متطلب أوجه التش على هذا الرابط: http://net.educause.edu/ir/library/pdf/CSD5876.pdf علاقة مباشرة بالسياس � أن للمعاي�ك المطروحة من قبل إدارة تقنية (EPPرح بأنه يجب تثبيت حلول حماية نقطة النهاية�ت المعلوم في المنظمة. وبعد ذلك يقوم المعيار بتحديد حلول حماية نقطة النهاية التي يجب تثبيتها. والميزة في هذه الحالة واضحة. وكما سنرى أن السياسات عادة تكون أصعب في التعديل من ح لإدارة تقنية المعلومات بالاحتفاظ بمعيار حماية نقطة النهاية �المعيار. فمن خلال الس فإن السياسات تسمح لإدارة تقنية المعلومات باتخاذ القرارات ذات العلاقة بحماية (EPP( دون الحاجة لتحمل عبء المرور بالدورة الكاملة لحياة السياس(نقط والموافقة عليها. اً فإن المعايير تجعل السياس�وأخ تكون غامضة بدون معيار. حماية نقطة (الفقرة الس النهاية هي عبارة عن مجموعة من التطبيقات التي تحمي الجهاز، وتحتوي عادة على حلول لمكافحة الفيروسات، كما تحتوي على الحلول الاختيارية التالية: •اكتشاف التسلل المعتمد على المضيف. •الجدُر النارية. •جدولة مسح الفيروسات أو مسح المنافذ في الوقت الفعلي. •تقييم الثغرات. •سمعة الموقع الإلكتروني.

السياسات والمعايير والمبادئ التوجيهية 677 ب الخيارات مهمة للمنظمة ومن ثم تُجبر جميع الوحدات على تنفيذ تلك الحلول. المبادئ التوجيهية: المب بطريقة معينة، لكن تلك الإجراءات ليس�الأمور تس ، وهذا التطبيق (لنفترض أن هناك تطبيقاً جديداً لمكافحة الفيروسات يعمل على نظام يعمل بش تثبي المعلومات القدرة على القيام بذلك، فإن هذا الاقتراح يكون خيارياً ولا يكون إلزامياً. وقد تتطور بعض المبادئ التوجيهية لتصبح معايير في وقت لاحق. وبدون إدارة مركزية لتقني إقناع جميع الوحدات على التخلي عن �موحدة لمكافحة فيروس حقها في تش والأسباب التي (المعلومات قد تضطر لوضع مبادئ توجيهية تحدد فيها التعامل مع المورد (أ أدت إلى ذلك. وعندما تكون الأس مقابل العصا مجاناً لجميع الوحدات في الحرم الجامعي فإن الكثير ( البرمجيات من خلال المورد (أ �توف من الوحدات ستجد الفكرة جذابة وستقوم باستخدام البرنامج. وهذا هو منهج الجزرة. والنقطة الأساسية في هذا القسم أن المبادئ التوجيهية يتم اعتمادها في حدود ضيقة وعلى أس .(يكون هناك سلطة كافية ممنوحة من الإدارة لجعل الوثيقة من ضمن المعايير (الشكل

الفصل الثالث ع 678 ): السياسات والمعايير والمبادئ التوجيهية1-13 الشكل لماذا نحتاج إلى الكثير من العمل المكتبي؟ شكوى تقليدية تصدر من الموظفين الفنيين وهي و ومن ثم فإن التوثيق ليس نقطة من نقاط قوتهم. لكن الحاجة إلى الحفاظ على السياسات تتجاوز الامتثال. إن توثيق هذه العمليات بالش والبيروقراطية، بل يمكن أن يساعد في تحسين أداء المنظمة. على س مثلاً، تتضمن السياسة الأمنية لمدينة تامبا بأن المنظمة تتعامل مع الأمن على محمل الجد. بولاية فلوريدا ما يلي: الاس المعلومات له أهمية قصوى بالنسبة لك، لذا خصصنا الكثير من الجهد لضمان الحفاظ على . (3معلوماتك الشخصية هذه السياس�وتش أن تكون مطمئنة للمس والمستخدمين الجدد. http://www.tampagov.net/about_us/tampagov/internet_policies/سياس (3( security_policy.asp

السياسات والمعايير والمبادئ التوجيهية 679 اها في الأجزاء القليلة المقبلة تُعرف باسم�وأحد السياس . وتصف هذه السياسة (AUP أو اختصاراً(الاستخدام المقبول للمستخدمين أوامر ونواهي النظام، أو الأشياء المقبول القيام بها والأشياء التي من شأنها أن تنهي الخدمات أو تُنهي العمل. ونذكر هنا عينة من سياس :(بروتوكول الإنترنت لشركة المواد والمحتوى المُهدِد: لا يجوز اس (نشر أو إعادة نشر أي محتوى أو مادة (أو إنش تنتهك أو تهدد صحة أو سلامة الآخرين. وأيضاً بالنسبة إلى خدمات بروتوكول الإنترنت التي بحقها (AT&Ts، تحتفظ شركة (تس في رفض تقديم مثل هذه الخدمات إذا تم تحديد المحتوى على أنه فاحش، أو غير لائق، أو ي، أو افترائي، أو مخادع، أو تشرمكروه، أو شرير، أو عن (. 4مفرط أو مُروج لاستخدام العنف، أو ضار للآخرين والسياس الأصول الفعلية. وأحياناً قد يكون ذلك التحديد وتوثيقه مفيداً في حال التقاضي. على سبيل الفقرة التالية من أجل (المثال، تتضمن سياس .(الاحتفاظ بسجل بروتوكول التكوين الديناميكي للمضيف مُهي(إن خ المتغيرة آلياً حس »Information Systems & Technology« (IS&Tالمعلومات والتقنية تاريخ الانش (. 5إنشائها ليس المنظمة الوحيدة التي لديها سياسات (ومعهد ماساتشوس . فالعديد من(مكتوبة تتعلق بس AT&Ts(http://www.corp.att.com/aup/سياسة الاستخدام المقبول لشركة (4( في معهد ماساتشوستس للتكنولوجيا( DHCPسجل استخدام بروتوكول التكوين الديناميكي للمضيف (5( (MIT(http://ist.mit.edu/about/policies/dhcp-usage-logs

الفصل الثالث ع 680 الجامع حق من اكتشاف الحادث.(معهد ماساتشوستس للتكنولوجيا أن السياس� ك فالمنظمات الأكاديمية، على س مجموع يضمن أن الأفراد الذي يعملون على محطة العمل يستجيبون للشخص نفسه على أنه مالك محط له القدرة على إنش الهندس أي منها. في حين أن كلية الهندس ثمناً باهظاً للحصول الج على الترخيص اللازم لأنها لا تملك العدد الكافي من أجهزة الحاس التف للعمل معاً لتحقيق المعايير، مس والحصول على نماذج أس المستمر في الحرم الجامعي. لاحظ أن ما س تُعد (أفض الخط الأساس. ويمكن تحقيق ذلك عادة من خلال وضع حد أدنى من القواسم المشتركة. على س 8 منر في كلمات المرور بحيث لا تكون أق(Standard إنشاء سياسة داخلية خاصة بها بحيث لا تقل كلمة المرور عن وأخيراً فإن السبب الجوهري لموظفي تقنية المعلومات لمساندة تطوير السياسات الأمنية هو دعم الإدارة. وإذا تم تطوير السياس

السياسات والمعايير والمبادئ التوجيهية 681 الوح السياس للقانون، فإن ادعاء الجهل بالسياسات لا يعفي الأفراد من العواقب، وذلك بمجرد إقرار تلك السياس يومياً يتم س لا يقوم بتحديث تعريفات مكافحة الفيروس جهاز حاس التقدم بالشكوى. دورة حياة السياسات: بشكل مشابه لدورة الاستجابة للحوادث الأمنية فإن السياسات تعمل أيضاً في دورات. وفي الواقع فإن الحوادث الأمنية تكون غالباً القوة الدافعة وراء إنش (النظر في السياسات القائمة. ففي أواخر التسعينيات، أدى الانتشار الكبير لفيروس إلى وضع السياس(وفيروس في (كما أدى إلى تس الجامعات. ويمكن تقس السياسات تُكتب استجابة لقوانين الدولة والولاية. السياس ومن الناحية المثالية فإن مسؤول الأمن يستخدم السياسات في التعامل مع كلا المجموعتين. في بعض الأحيان قد تكون هناك حاجة محددة إلى الرسمية في كتابة السياسات. ولقد رأينا مثل هذه السياس السياسات. وكقاعدة عامة لا تستخدم اللغة القانونية إلا إذا كان يتوجب عليك القيام بذلك. فالسياسات تحتاج أن تكون مكتوبة بوضوح وبطريقة يسهل فهم مضمونها من قبل الموظفين والعملاء. والسياس ثم فإنها تصبح ويجب أن تستهدف السياسات قضايا محددة كلما أمكن ذلك. وتحتوي سياسات بعض من الصفحات، وتتوق�ت على الكث�المنظ

الفصل الثالث ع 682 كاملة ويفهمها. ومن خلال تقسيم السياسات إلى قطاعات مستهدفة يمكن تحقيق الامتثال التنظيمي، ويمكن كذلك للمس يمكن أن يكون لديك سياس وثالثة تتحدث عن النسخ الاحتياطي للبيانات. وقد ذكرنا س يكون الحدث كبيراً لجلب اهتمام الإدارة، من الش في الأجزاء (من أش القادم توضع كرد فعل متهور لحدث من الأحداث الس وتحليل قبل اعتمادها من المنظمة، وهذا ينطبق بشكل خاص على السياسات الأمنية. والسياسات الأمنية يجب أن تكون قوية لحماية خصوصية الأصول وتكاملها وجاهزيتها. من المنظمات في هذا الجانب. ومع ذلك لا يمكن �ونظ إعاق احة والانفتاح بمسرإلى ال تحاول تأدية أعمالها وتحقيق أهدافها بأس أو س للالتفاف حول ذلك. وعندما تضع المنظمات سياساتها، عليها التأكد من أن المستخدم قادر على الالتزام بها. وفيما يلي سنناقش مراحل دورة حياة السياسات التالية: •كتابة السياسات. •تقييم الأثر والإصدار. •المراجعة.

السياسات والمعايير والمبادئ التوجيهية 683 كتابة السياسات الآن حان الوقت لوضع القلم على الورقة وبدء الكتابة الفعلية. وقد يكون لدى المنظمة صيغة محددة لكتابة السياس الإنترنت عن السياسات المماثلة لمنظمات في الصناعة نفسها، فإذا كنت تعمل في أحد المدارس عليك البحث في المدارس الأخرى والمناطق التعليمية. ومن المفيد أن تبحث في الولاية التي ولاً لأن في الولاية قضايا امتثال تنظيمية ق أن تواجهه. وبعد ذلك انظر في السياس أكبر عدد ممكن من الموضوعات الفرعية. ونس الرغم من أن الأسماء قد تختلف قليلاً، على سبيل المثال البعض يُطلق ع عامة جميع الأمثلة التي نستعرضها في هذا الجزء ستكون من التعليم العالي. لمحة عامة: وهذا هو الجزء الأول من السياس المنظمة لمثل هذه السياسة. وفيما يلي نستعرض مثالاً من السياسة الأمنية العامة :(( لجامعة أريزونا6((Policy موارد الجامعة، والمعلومات والتقنية أصبحت ذات أهمية متزايدة لأعضاء هيئة التدريس والموظفين والطلاب وذلك للأهداف الأكاديمية والإدارية. وفي الوقت ذاته، زادت التهديدات الداخلي مرغوباً فيه لتلك الهجمات. موارد الأمنية أصبحت منتشرة، وتستمر الجامعات لتكون هدفاً الجامع الخاصة للموظف والطالب، يجب أن تكون محمية من الهجمات ومحمية من الاس ن مُعدة ومصانة ومحدثة بشكل دوري، وذلك أو الاطلاع غير الملائم. فالأجهزة يجب أن تكو لمنع التسلل والأنشطة الضارة الأخرى. http://security.arizona.edu/is100 السياسة الأمنية لجامعة أريزونا، (6(

الفصل الثالث ع 684 في الفقرة الأولى أعلاه وضحت الجامعة أنها تهتم ببياناتها، كما أعطت الفقرة الأولى لمحة عن الموضوعات التي س الجامعة الهدف من وراء كتابة هذه السياسة. الهدف من هذه السياسة هو التأكد من أن جميع الأفراد الموجودين في نطاقها يفهمون مس يعني أن هناك �م مسؤوليات على المستخدم. وهذا الوصول يخضع لأعضاء مجلس جامعة أريزونا وسياسات الجامعة ومعاييرها ومبادئها التوجيهية، كما يخضع للقوانين الاتحادية والفيدرالية. وذكرت هذه الفقرة بعض المبادئ التوجيهية التي ناقشناها سابقاً. فالأمن ليس وظيفة إدارة تقني وضح ليس حقاً بسبب دفع الرسوم الدراسية بل هو امتياز، وإذا أساء المستخدم إلى هذا الطلاب، الامتياز فإن هناك عواقب لذلك. النطاق: قس ( 7دائماً ترتبط بنطاق معين. وهنا نذكر على س :(Emory College في كلية إيموري(Workstation Security Policy( السياس والتي تقع ( (بما في ذلك الأجهزة المكتبية والمحمولة والأجهزة الافتراضية(إس أك ضمن النطاق الإداري للكلية. وهذا النطاق واضح المعالم، وفي لمحة واحدة يس مش كان جهازه https://wiki.as.emory.edu/display/ecitprocedures/السياس (7( Workstation+Security+Policy

السياسات والمعايير والمبادئ التوجيهية 685 الدقيق للمستهدف من السياسات ما لم يكن هناك حاجة لذلك. وعند ذكر ويندوز، وماك أو إس أك وأنظمة التش والتي (للسياس يعمل عليها أحد أعضاء هيئة التدريس. وفي مثال آخر على نطاق السياس ( في جامعة ولاية كنس8((الحوادث : (University تطبق هذه الإجراءات على جميع موظفي الجامعة، والوحدات، والمنتس عن الاستجابة للحوادث الأمنية التي تشمل موارد تقنية المعلومات أو بيانات الجامعة. وتُعد سياس ��بم (Management Policy والأم المس والمنتسبين للجامعة في كل مرة تكون بيانات الجامعة معنية بالأمر. التعريفات: ً منفصلاً للتعريفات في الأقسام التي تسبق السياسات والتي تُهيء الوضع �قد نرى قس للسياس للمستفيدين، أو إذا كان النطاق في المنظمة يحتاج إلى مزيد من التوضيح. ذلك نس�ً ع ومث م( ePHI أو اختص(Electronic Protected Health Information ( :(جورجتون http://www.k-state.edu/its/security/procedures/incidentmgt.html إدارة الحوادث في جامعة ولاية كانساس، (8(

الفصل الثالث ع 686 المعلومات الصحية الإلكترونية المحمية: وتش ج والرعاية الصحية، أو �والمس دفع تكاليف الرعاية الصحية. وتش ورقم الضمان الاجتماعي، والعنوان، وتاريخ الميلاد، والتاريخ الطبي أو رقم الس وتش الطلاب وس الطالب الدراسية، بما في ذلك السجلات الطبية (والمحمية بموجب قانون ، والس((والخصوصية للأسرة بصفتها صاحب العمل، وسجلات تعويضات الموظفين. وعلى الرغم من أن هذه السجلات أو قواعد الأمن (لا ينطب والخصوصية، لكن سياس هناك أحكاماً خاصة في القانون تتعلق بنشر سجلات العلاج النفسي. المحاس هذا التعريف مهم للغاية لسياس (( في جامع9((HIPAA( . وهذا التعريف لا يح(تُع مثل س(ePHI بل يحدد أيضاً بعض الأمثلة الواضحة عما لا يُعد جزءاً من(ePHI( الطلاب ويُع المعلوم للموظف؟ وهل تشمل جهاز الحاسب الآلي المحمول للطالب؟ وهل تشمل جهاز الفاكس التابع للإدارة؟ وهل تش : (10((« لأهداف هذه السياسة، يُقصد بموارد المعلومات ما ي http://policies. في جامعة جورجتون، (HIPAAسياسة قانون التأمين الصحي وإمكانية الحمل والمحاسبة (9( georgetown.edu/hipaa/sections/security/62953.html ( سياسة أمن المعلومات في كلية ماريست،10(

السياسات والمعايير والمبادئ التوجيهية 687 1 .جميع ما تملكه كلية ماريس وأجه والوحدات الطرفية. 2 .الأجه التخزي كلية ماريست. 3 .الأجه التخزين المرتبطة والوحدات الطرفي ماريست. 4 . أي مورد من موارد�جمي المعلومات في كلية ماريست أو تُحفظ فيه. 5 .، والكتب،(التقاري م، وأي وس�والأف ملكيتها لكلية ماريست. وهذا تعريف دقيق جداً لموارد المعلومات. وبعد ورود هذا التعريف في السياسة، يجب ألا يكون هناك أي سؤال حول ما يُقصد بموارد المعلومات. بيان السياسة: وأخيراً نأتي إلى الجزء الذي يشرح للقارئ السياس الجزء يذكر جميع المفاهيم التي عُرضت في الأقس للمنظمة، وأهداف السياس تتعامل المنظمة مع قضية معينة. الفقرة التالية جزء من (University of Massachusetts في جامعة ماساتشوستس في بوسطن(and Procedures

الفصل الثالث ع 688 ، وهي النقاط(وهذه الفقرة تناقش نقاط الوصول اللاس التي تربط بين الجهاز المحمول وبقية الشبكة: نق التقنية ومتوافقة مع مصطلحات �تقني التسمية المحددة من قبل تقنية المعلومات. وعملية التسجيل تتطلب معلومات عن الوحدة الجامعي عن نقاط الوصول اللاس الموقع الإلكتروني لتقنية المعلومات. ويهدف هذا التس�الموجود ع الوصول اللاسلكية، بهدف تسهيل الاتصالات بين جميع الأطراف المسؤولة عن دعم الشبكة اللاس أيضاً ضمان الامتثال للقواعد واللوائح المحلية والتابعة للولاية والدولة. و المنتشرة في (وهذا هو النوع الش الحرم الجامعي بلا مبالاة قد تس صحيح، فإن الفرد الذي يتجول في الحرم الجامعي قد يرتبط بنقاط الوصول اللاسلكية بالخطأ . وكذلك فإن تتبع الاتصال لمس(sniffing attack يعرضه لهجمات التحس�م معين يصبح غير ممكن بس وتبعاً لاختيار المنظمة، فهناك منظمات تختار تجميع بيان السياسة في طوله تبعاً للموضوع القضايا الأمنية المتعددة في سياسة واحدة في حين أن منظمات تختار تقسيمها إلى سياسات كان ممكناً فإن بيان السياس متعددة. وكلما السياسة. عند اس للتقري(Response يتبع لتقنية المعلومات، ومس إجراءات التعامل مع الحادث.