أمن المعلومات وإدارة مخاطر تقنية المعلومات

السياسات والمعايير والمبادئ التوجيهية 689 العب . وهي واحدة (Purdue University في جامع(Incident Response Policy من العديد من العبارات التي تحدد مسؤوليات منسق الاستجابة للحوادث الأمنية إلزام التنفيذ: جزء أخ الجزء عادة مجموعة من التدابير الممكنة مثل عبارة بدلاً من المناس ً على قسم يلي مثالا أجزاء السياس (:11((ميلون انتهاك هذه السياسة قد يؤدي إلى تعليق أو فقدان المُخالف لامتيازات الاستخدام، وذلك فيما يتعلق ببيانات المنظمة ونظم المعلومات المملوكة للجامعة. وقد يتم تطبيق عقوبات إداري المورد. كما قد يتم تطبيق الإصلاحات الجنائية والمدنية العادلة. قس تتيح للمستخدم التقدم للحصول على استثناء للسياسة. السياسة السابقة نفسها من جامعة تضيف ما يلي:(كارنيجي ميلون استثناءات هذه السياسة يجب الموافقة عليها من مكتب أمن المعلومات وذلك بتوجيه من ، وتوثيق ذلك رسمياً. وسيتم مراجعة استثناءات هذه السياسة بشكل دوري (Computing للتأكد من ملاءمتها ومكتب أمن المعلومات لا يقوم فقط بقبول أو رفض طلبات الحصول على اس يق ( سياس11( information-security.html

الفصل الثالث ع 690 ك�التكنولوجية الحالية ومن ثم لا تُصبح الجامعة في خطر. وتجدر أيضاً ملاحظة أمر مش في السياس المراجعة ليس مكت محدد. فعملية المراجعة يمكن تأجيلها عند ظهور مسائل أخرى أكثر أهمية. وعند اعتماد السياسات من قبل المنظمة فإن الامتثال أمر إلزامي. وفيما يلي مثال آخر . وذكرت هذه السياسة ما ذكرناه (من السياس آنفاً وهو أن كل من يتعامل مع بيانات وزارة الزراعة يجب أن يمتثل للسياسة الأمنية. وفي ام التنفيذ. الفقرة الأخيرة تناقش السياسة موضوع إلز جميع مستخدمي المعلومات ومستخدمي نظم المعلومات الآلية، متضمناً ذلك الموردين الذي الامتثال للإجراءات والممارسات التي طورت لدعم هذه السياسة. ويخضع أي مورد يتعامل مع بيانات حساس . (Departmental Regulation( ويتحمل أي ش محاولة إس . (مدير برنامج أمن نظم المعلومات وس اء المناس المس (. 12تشمل الفصل من الوظيفة وهذه الفقرة توضح أمراً ش أن أي ش بهذه م ( السياس12( htm.001-DR3140

السياسات والمعايير والمبادئ التوجيهية 691 الطريقة تس لفص العقوبة المُخففة قد تكون كافية وفقاً للنوايا والمقاصد. هذه ولا نه السياس « .(COBIT( � وال(Information and Related Technologies ويوجد طُرق لتطوير هذه السياس هو النص على فصل الجاني من وظيفته، ثم السماح (السياسة متوافقة مع نموذج بطلب الاستئناف في حال وجود ظروف خاصة. تقييم الأثر والتدقيق: عند الانتهاء من كتابة السياسة فإنه يُنصح بشدة أن يتم مراجعة السياسة من قبل جميع المس التي تُطرح على المستفيدين هو ما على المس إذا كانت السياس لا. وعلى المنظمة أن تكون مدركة لأثر فش تمرير السياسة. يأتي على (وعند مناقش الفور، فالحوكمة ترتبط بالتسلس ف : (13((تصبح رسمية. وفيما يلي مثال من جامعة ميشغن فيما يلي المس صيغت مبدئياً من قبل مجموعات العمل الخاصة بتطوير سياسات تقنية التوجيهية (والتي : (المعلومات ( نموذج تطوير السياسات في جامعة ميشيغن،13(

الفصل الثالث ع 692 : المراجعة المبدئية(IIA /التدقيق الداخ(المدي للسياسات والمعايير والمبادئ التوجيهية. : المس(مجلس التدقيق الداخ والمبادئ التوجيهية التابعة لتقنية المعلومات. : المس(مدي المعلوم الحرم الجامعي. مجلس تقنية المعلومات: المس المعلومات، السياس موافقة المجلس. اللجنة التنفيذية لتقنية المعلومات: المستوى الأخير لحوكمة مراجعة السياسات التابعة « �لتقنية المعلومات، السياس تتطلب موافقة اللجنة التنفيذية لتقنية المعلومات. (الموحد وق عموم و مجموعات أخرى. فأعضاء هيئة التدريس وربما حتى المنظمات الطلابية قد يكون لهم رأي في السياسة. وبعض الجامعات لديها تمثيل في الحرم الجامعي، وتكون مسؤولة عن مراجعة السياسات والموافقة عليها أو رفضها. وتتعامل جامعات أخرى مع السياس : (14((من جامعة كورنيل (بعد موافقة الس (بتوزيع وثيقة مسودة السياسة على أعضاء الفريق الاستشاري قبل اجتماع أعضاء الفريق. وتقوم الس ( صياغ14( policies/volumes/governance/upload/vol4_1.pdf

السياسات والمعايير والمبادئ التوجيهية 693 مس اجتماع أعضاء الفريق الاستش بمراجعة السياس وبعد ذلك يقترح أعضاء الفريق الاستشاري أن تقوم مجموعة مراجعة السياسات التنفيذية بالموافقة على الوثيقة التي تم مراجعتها. (EPRG( (وبعد موافقة الس (بتوزيع مس قبل اجتماع أعضاء المجموعة. وتقوم الس النهائي النهائية على السياس وفقاً لتوجيهات مجموعة مراجعة السياسات التنفيذية والمكتب المس .(EPRG( والس(وبمجرد موافقة مجموعة مراجعة السياس بكتابة تاريخ الموافقة (المس النهائي بنشر السياسة إلى المجتمع الجامعي من خلال إعلان رسمي. بمعالجة عملية إصدار السياس(ويقوم مكتب السياس أعضاء الفريق الاستش وفي جامعة كورنيل يجتمع أعضاء الفريق الاستش تتعلق بالسياس مع تحديد موعد نهائي للإنجاز. وكما ترى قد يس وجعلها إلزامية التنفيذ. وهذا أحد الأسباب التي من أجلها يجب أن تترك التفاصيل التقنية خارج السياسات قدر الإمكان. وبإضافة إشارة إلى المعيار الموجود في السياسة، وجعل إدارة تقنية المعلومات المس

الفصل الثالث ع 694 الأدنى لطول كلمات المرور، وأنظمة التشغيل المعتمدة، وغيرها من عناصر تقنية المعلومات المتغيرة والتي يمكن تعديلها بسهولة أكبر من خلال المراجعة الداخلية. وبينما تبدو هذه المراجعة الواس المنظم غير مقصودة بين المس من المس الإدارة العليا لطلب موافقتها، وذلك حتى لا تؤثر في مصداقيتك لدى إدارة المنظمة. مراجعة السياسة: عند إنش شيوعاً هو المراجعة الدورية للسياسات. المؤشرات التي ينبغي أخذها في الحسبان لكن أكثرها وع منظم . وفي كل خم(SACS أو اختص(of Colleges and Schools إلى الجامعة، وذل� بإرس(SACS( العلمية التي تقدمها الجامعة والسياس هو ما إذا كانت الجامعة تراجع السياس(التي تنظر فيها رابطة متضمن يكن مراجعته الحال كذلك، فهل يعكس ذلك إهمال منظم من جانب تقنية المعلومات؟ والقاعدة العامة ه واحدة على الأقل في كل عام. وعادة ما يكون الأشخاص في تقنية المعلومات والمسؤولون عن إدارة النظام، هم المس الوقت الذي يتم فيه النظر في جميع المؤشرات لتحديد ما إذا كانت السياسة تحتاج لمراجعة. وأح التغيرات التكنولوجية. ومن الناحية المثالية، تُكتب السياس

السياسات والمعايير والمبادئ التوجيهية 695 ل المعايير بدلاً من الاضط�التكنولوجي السياسات كاملة. كما أن المشروعات الجديدة التي تنشر تطبيقات جديدة أو مُحدثة قد تتطلب مراجعة. على سبيل المثال، تغيير بوابة الموظفين إلى تطبيق جديد يمكن أن يكون تجربة كبيرة تحتاج في الوقت ذاته إلى تغيير في السياسات والمعايير والمبادئ التوجيهية. أم (المثال، يُجبر قان ، الجامع(لع المش تعال((، ف15((EDUCAUSE( ح به على شبكات الجامعات مما أدى إلى فرض ثلاثة شروط عامة على جميع الكلياترالم والجامعات الأمريكية: •كش المتعلقة بانتهاك حقوق النشر. •ح به للمواد المحمية الحقوقر« �خط قبل مس التكنولوجية •« �خطة ل ووفق أغس الجامعة، وذلك من جانب �. وع2010 المساعدات المالية التي تقدمها الحكومية. وقد أدى التغيير في الامتثال إلى تغيير في العمليات، والذي يجب أن ينعكس على شكل تغييرات في السياسات الحالية. 15( HEOA of 2008, EDUCAUSE, http://www.educause.edu/library/higher-education-opportunity- act-heoa

الفصل الثالث ع 696 الامتثال قبل أن نناقش بعض الأمثلة وبعض القضايا الرئيس موضوع عادة ما يُس البيئة الآمنة والبيئة المُمتثلة. التي الامتثال، والذي يش معايير الصناعة (وضعتها السياسات والمتطلبات القانونية. وغالباً ما تنشأ السياسات من: (أ الأحداث ذات الآثار السلبية على المنظمة. وهذه (المنطلقة من الامتثال التنظيمي، أو (ب المواصفات القانونية غالباً م قبل قانون الولاية وقانون الدولة. على سبيل المثال، تسرب أرقام الضمان الاجتماعي في السنوات الماضية أدى إلى تأسيس العديد من قوانين الولاية التي (Security Numbers تفرض حماية أرقام الضمان الاجتماعي، لكن تلك القوانين لم تعالج الأسباب الذي يتعين من أجلها قيام المنظمات بجمع أرقام الضمان الاجتماعي. لك على س للمنظم 20 ء. كما أنك قم�ن الخاصة بالعم �بطاق أمن النظام، ومن تلك الضوابط: حس�الضواب والمصادق البيانات، فإنه إذا لم يتم تش . (الامتثال وفقاً لسياسة وه م(Internal Audit and Compliance( والسياس مجال تقنية المعلومات، فإن غياب إدارة التدقيق والامتثال الداخلية، التي تشترك مع تقنية المعلومات في بعض المش ترج(2-13(

السياسات والمعايير والمبادئ التوجيهية أمن المعلومات وإدارة مخاطر تقنية المعلومات 697 الأم الأمر إضاعة للجهد بسبب عدم تحقيق النتائج المرجوة. في مراحل ً ا إن الامتثال جانب أس وع والامتثال التنظيمي في الاعتبار، أس � ا التخطي للمتطلبات بعد الانتهاء من المشروع. ً التعديل والتكييف وفقا ): الامتثال 2 - 13 الشكل وكل ولاي Breach موجه ، ( datagovernance.com لموق ً التاب ( Notification Law California Security فإن قانون معلوم ه ( SB 1386 رق ( Breach Information Act كات التي تجمع معلومات ش � ال بياناته ف الآلي، أو الرموز ر ال الاجتماعي، وأرقام الحس الأمنية أو كلمات المرور المرتبطة بالوصول لحساباتهم المالية. الأخرى تؤثر بش � والقوان عد هذه القوانين مجموعة معقدة ُ في ولاية فلوريدا. وت ( Record Retention بالس

الفصل الثالث ع 698 م ات الزمنية اللازمة للاحتفاظ بالس�الأدنى للف (. 16والقانونية والتاريخية للسجلات وبالإضاف م الت موجه بش يلي بعضاً من اللوائح الفيدرالية الأكثر ش في تقنية المعلومات. ونس تعقيداً، وكلٌّ من هذه اللوائح يس نستعرض هذه اللوائح بإيجاز. قانون التأمين الصحي وإمكانية الحمل والمحاسبة تُقدم حماية فيدرالية للمعلومات الصحية (لائحة الخصوصية التابعة لقانون الشخصية المحفوظة في المنظمات المشمولة، كما تُعطي تلك اللائحة المرضى تنظيماً للحقوق المتعلقة بتلك المعلومات. وفي الوقت نفس بالكش الهامة الأخرى. كما تحدد لائحة الخصوصية سلس . (17المنظمات المشمولة لضمان خصوصية المعلومات الصحية الإلكترونية وتكاملها وجاهزيتها ):Financial Modernization Act( )GLBقانون التجديد المالي ويتطل عة المعلومات الش ب وأولياء أمورهم، فإنها مس�متنوع http://dlis.dos.state.fl( جدولة الاحتفاظ بالسجلات وترتيبها،16( ( فهم خصوصية المعلومات الصحية،17(

السياسات والمعايير والمبادئ التوجيهية 699 ت التي تخضع له�الس سرة القروض، وبعض المستش �الإقراض والرهن غير البنكية، وس الاس الوقت ذاته فإن لوائح هذا القانون تنطبق فقط على المنظمات التي في الأنشطة المالية. ، (ويتك . ووفقاً للموقع الإلكتروني لهذا القانون، فإن قاعدة (وقاعدة الخصوصي ت تطوير خطة مكتوبة لأمن المعلوم�الحماي لحماي الموجود فيها، وطبيعة ونطاق أنشطتها، وأهمية معلومات العملاء التي تعالجها. وكجزء من هذه الخطة يجب على المنظمة ما يلي: •تعيين موظف واحد أو أكثر لتنسيق برنامج أمن المعلومات لديها. •ء وتقييمها في كل مرحل�تحدي عمليات المنظمة، وتقييم فاعلية الحماية الحالية لضبط تلك المخاطر. •تصميم وتطبيق برنامج الحماية، ومراقبة واختبار ذلك البرنامج بشكل منتظم. •اختي أن العقد يتطلب منه الحفاظ على تلك الحماية، والإشراف على تعامله مع العملاء. •تقييم وضب المنظمة أو عملياتها، أو تغير نتائج الاختبارات والمراقبة الأمنية. قانون U.S.C, 20 رقم(قانون ه(1232g, 34 CFR وينطب . (وزارة التعليم الأمريكية

الفصل الثالث ع 700 وقد تكش اس عن دليل �الحض المعلوم دلي . أما آلية الإبلاغ (رس(FERPAب المؤهلين بحقوقهم بموجب قانون�والط ، أو في كتيب دليل الطالب، أو في (PTA( ين�إدراجها في نشرة جمعية أولياء الأمور والمدرس (. 18( فمتروك أمرها لاختيار كل مدرسة (مقال صحفي قانون ساربينز أوكسلي لعام (SOX أو اختص(Sarbanes–Oxley Act( لي�ق 2002 أعق ل هذا القانون ّى في الشركات من أجل تحقيق الامتثال في منظماته �ات ك �تغي كبار المسؤولين التنفيذين المسؤولية الشخصية عن دقة وحداثة المعلومات المالية للمنظمة، وذل للشركات المتداولة ذات الملكية العمومية. ووفق أصبحت ضوابط تقنية المعلومات (SOXوموثوقي أكثر انتشاراً. ونذكر هنا بعضاً من عمليات تقنية المعلومات التي من المرجح أن يتم فحصها عند التحقق من الامتثال: •إدارة الأمن. •النسخ الاحتياطي للبيانات. •التحكم في التغيير. •التحكم في الوصول. ( الموقع الإلكتروني لوزارة التعليم الأمريكية،18(

السياسات والمعايير والمبادئ التوجيهية 701 قوانين الرقابة على التصدير يُع أنحاء البلاد. فالقوانين تمنع التصدير غير المرخص لمواد أو معلومات معينة، وذلك لأس ترج لأحد الأسباب التالية: •إذا كان بقضايا الحماية الاقتصادية. •إذا كان هناك مخاوف للحكومة بشأن المرسل إليه سواء كان دولة أم منظمة أو فرداً. • إذا كان هناك مخاوف للحكومة بش (. 19مخاوف الحكومة بشأن المستخدم النهائي في عملية التصدير وتخضع الجامعات البحثية لقوانين التصدير بما في ذلك . وق(lTAR والمعروف(International Traffic in Arms Regulations( التصدير المؤقت للأجهزة المملوكة�يت للجامعة متضمناً ذلك أجهزة الحاس فنية مُراقبة، وكذلك على شحن المواد البحثية للمتعاونين الأجانب. موضوعات رئيسية ذات علاقة بالسياسات: يلي ملخص سريع لبعض الموضوعات الرئيس�وفي تكون مستعدة للتعامل معها سواء على مستوى السياسات أو على مستوى المعايير. سياسة الاستخدام المقبول هي واحدة من أهم السياسات الرئيسية الاستخدام المقبول: في المنظمة. وتوضح هذه السياس به باس السياس 19( UC Berkeley, Export Controls, http://www.spo.berkeley.edu/policy/exportcontrol.html

الفصل الثالث ع 702 الاس تكون هذين السياستين متشابهة في البيئة الجامعية. وإذا كان هناك أي استثناءات لتغطية هذه السياس . (الطب قد تكون أكثر صرامة نتيجة لضرورة للامتثال لقانون وتقوم هذه السياسة بتحديد تعريفات أهمية الأصول وحساسيتها، تصنيف المعلومات: والأمثل عليها جزءاً مهماً من هذه السياسة. ل وهذه السياسة تحدد أنواع المستخدمين الذين يسمح لهم بالوصوالوصول للش إلى موارد الش للشبكات الفرعية لمركز البيانات. وقد يضطر أعضاء هيئة التدريس الزائرين للمرور بعملية خاصة من أجل الحصول على امتيازات الش اللاسلكية الخاصة بالضيوف إذا استخدموا أرقام هواتفهم الجوالة في عملية التسجيل. التي يُس وتحدد هذه السياسالوصول عن بعد: خلالها بالوصول إلى الموارد من خارج ش الوصول للبيانات من خلال الهواتف الذكية والأجهزة الش (تحدد أيضاً ما إذا كان اس .(خياراً مقبولاً أم على الموظف استخدام م التش ؟ وهل تحتاج بيئة الاختبار والتطوير إلى تشفير؟ وهل (استخدام طبقة المنافذ الآمنة بالإمكان أن يتم التوقيع ذاتياً على التصديقات؟ وهل من المقبول أن يتم إرسال المعلومات المقيدة عبر البريد الإلكتروني وهي غير مشفرة؟ وتحدد هذه السياسة خطط التعافي من الكوارث. وينبغي أن تضع التخطيط للطوارئ: السياس أيضاً التسلسل الوظيفي وبدائل ذلك التسلسل في حال عدم إمكانية الوصول إلى شخص ما. يحات رً عن الت تنفيذياً باعتباره الش كما تحدد الخطة مديراً

السياسات والمعايير والمبادئ التوجيهية 703 السياس�المرتبطة بالكارثة. وتش حول ما يجب فعله مع كل نظام في حال وقوع الكارثة. وتصف هذه السياسالاس حوادث أمنية ذات تأثير س أن يرأس فريق الاس الداخلية والخارجية. كما تحدد السياسة الوقت المناسب لتصعيد الحادث، وكيفية التعامل (م المدى المناسب لاتخاذ قرارات سريعة من جانب واحد من أجل حماية أصول المنظمة. ما الطرق المقبولة للمصادقة؟ وما الأدوار التي يمكن أن يأخذها المصادق المس يُس على النظام؟ نموذج حالة - شركة HB Gary ه(شرك يوحي اس�. وك(Federal المعلوم ، وغيرها. وبس(FBI، ومكتب التحقيقات الفيدرا(المركزية الشرك ، (Anonymous مع مجموع�وني للشرك �الإلك 2011 وكان ذلك تقريباً في ش(ومجموعة الحادث وش للحصول على أعمال أمن المعلومات من منظمات تتطلب أعلى مس وفي الثاني من شهر مايو من عام كما اتهمهم بجرائم أخرى مرتبطة بها.

الفصل الثالث ع 704 ه(وق content-management بتطوير نظام مخصص لإدارة المحتوى(قامت شركة بمس(system . ومن(SQالبرمجي خلال استغلال هذه الثغرة، قام المهاجمون بتحميل كامل معلومات المستخدمين من الموقع. وعلى الرغم من أن كلمات السر كانت مش - لم يلتزما (Ted Vera، ومدير العمليات(Aaron Barr الرئيس التنفيذي للشركة �وه أنهما اس(بالتوصي أنهما اس(2( . وهذه المعلومات عن اثنين من كبار(LinkedIn، وينكدإن(Twitterوني، وتوي�الإلك التنفيذين والذين لديهم صلاحيات عالية، بالإضافة إلى شيء من الهندسة الاجتماعية الذكية، قد س الموقع الإلكتروني للشركة. م و به(Technica .(20((Lulzsec( المراجع http://arstechnica.com/tech-policy/2011/02/anonymous-speaks-the-inside-story-of- the-hbgary-hack/ http://www.wired.com/images_blogs/threatlevel/2012/03/Ackroydet-al.-Indictment. pdf http://en.wikipedia.org/wiki/LulzSec (20( Stephen Colbert had his take on the incident, »Corporate hacker tries to take down Wikileaks,« http://www.colbertnation.com/the-colbert-report-videos/375428/february-24-2011/corporate- hacker-tries-to-take-down-wikileaks (accessed 07/23/2013(. Warning: NSFW (not safe for work(