‫هذا المربع مخّص ص ألغراض توجيهية‪ .

‬احذف جميع المربعات التوجيهية‬

‫بع‪0‬د تعبئ‪0‬ة النم‪0‬وذج‪ .‬يجب تحري‪0‬ر البن‪0‬ود الملّو ن‪0‬ة ب‪0‬اللون األزرق بص‪0‬ورة‬
‫مناسبة‪ .‬ويجب إزالة التظليل الملون بعد إجراء التعديالت‪.‬‬

‫أدخل شعار الجهة بالضغط على الصورة الموضحة‪.‬‬

‫نموذج سياسة اإلعدادات والتحصين‬

‫استبدل <اسم الجهة> باسم الجهة في مجمل صفحات الوثيقة‪.‬‬

‫وللقيام بذلك‪ ،‬اتبع الخطوات التالية‪:‬‬ ‫اختر التصنيف‬
‫اض‪00‬غط على مفت‪00‬احي "‪ "Ctrl‬و"‪ "H‬في ال‪00‬وقت‬ ‫‪‬‬
‫نفسه‪.‬‬ ‫اضغط هنا إلضافة تاريخ‬ ‫التاريخ‪:‬‬
‫أضف "<الجهة>" في مربع البحث عن النص‪.‬‬ ‫‪‬‬
‫أدخل االسم الكامل لجهتك في مرب‪00‬ع "اس‪00‬تبدال"‬ ‫‪‬‬ ‫اضغط هنا إلضافة نص‬ ‫اإلصدار‪:‬‬
‫النص‪.‬‬ ‫اضغط هنا إلضافة نص‬ ‫المرجع‪:‬‬
‫اض‪000‬غط على "المزي‪000‬د" وتأّك د من اختي‪000‬ار "‬ ‫‪‬‬
‫‪."Match case‬‬
‫اضغط على "استبدل الكل"‪.‬‬ ‫‪‬‬
‫أغلق مربع الحوار‪.‬‬ ‫‪‬‬
 ‫نموذج سياسة اإلعدادات والتحصين‬

‫إخالء المسؤولية‬
‫ُط ور هذا النموذج عن طريق الهيئة الوطنية لألمن الس‪00‬يبراني كمث‪00‬ال توض‪00‬يحي يمكن اس‪00‬تخدامه ك‪00‬دليل‬
‫ومرجع للجهات‪ .‬يجب أن يتم تعديل ه‪0‬ذا النم‪0‬وذج ومواءمت‪0‬ه م‪0‬ع أعم‪0‬ال <اس‪0‬م الجه‪0‬ة> والمتطلب‪0‬ات التش‪0‬ريعية‬
‫والتنظيمية ذات العالقة‪ .‬كما يجب أن ُيعتمد هذا النموذج من قبل رئيس الجهة أو من يقوم‪/‬تقوم بتفويض‪00‬ه‪ .‬وتخلي‬
‫الهيئة مسؤوليتها من استخدام هذا النموذج كما هو‪ ،‬وتؤكد على أن هذا النموذج ما هو إال مثال توضيحي‪.‬‬

‫اختر التصنيف‬

‫اإلصدار <‪>1.0‬‬

‫‪1‬‬
 ‫نموذج سياسة اإلعدادات والتحصين‬

‫اعتماد الوثيقة‬

‫التوقيع‬ ‫التاريخ‬ ‫االسم‬ ‫المسمى الوظيفي‬ ‫الدور‬

‫اضغط هنا إلضافة‬

‫<أدخل التوقيع>‬ ‫<أدخل االسم الكامل للموظف>‬ ‫<أدخل المسمى الوظيفي>‬
‫تاريخ‬

‫نسخ الوثيقة‬

‫أسباب التعديل‬ ‫ٌعدَل بواسطة‬ ‫التاريخ‬ ‫النسخة‬

‫اضغط هنا إلضافة‬

‫<أدخل وصف التعديل>‬ ‫<أدخل االسم الكامل للموظف>‬ ‫<أدخل رقم النسخة>‬
‫تاريخ‬

‫جدول المراجعة‬

‫تاريخ المراجعة القادمة‬ ‫التاريخ ألخر مراجعة‬ ‫معدل المراجعة‬

‫اضغط هنا إلضافة تاريخ‬ ‫اضغط هنا إلضافة تاريخ‬ ‫مره واحدة كل سنة‬

‫اختر التصنيف‬

‫اإلصدار <‪>1.0‬‬

‫‪2‬‬
 ‫نموذج سياسة اإلعدادات والتحصين‬

‫قائمة المحتويات‬
‫الغرض ‪4............................................................................................................................‬‬
‫نطاق العمل ‪4.......................................................................................................................‬‬
‫بنود السياسة ‪4......................................................................................................................‬‬
‫األدوار والمسؤوليات ‪6.............................................................................................................‬‬
‫التحديث والمراجعة ‪6...............................................................................................................‬‬
‫االلتزام بالسياسة ‪6..................................................................................................................‬‬

‫اختر التصنيف‬

‫اإلصدار <‪>1.0‬‬

‫‪3‬‬
 ‫نموذج سياسة اإلعدادات والتحصين‬

‫الغرض‬
‫الغرض من هذه السياسة هو تحديد متطلبات األمن السيبراني المتعلقة بحماية وتحصين وضبط إعدادات‬
‫األصول المعلوماتية والتقني‪0‬ة والتطبيق‪00‬ات الخاص‪00‬ة ب<اس‪00‬م الجه‪00‬ة> للح‪0‬د من المخ‪0‬اطر الس‪00‬يبرانية الناتج‪0‬ة عن‬
‫التهديدات الداخلية والخارجية في <اسم الجهة> للمحافظة على سرية المعلومات‪ ،‬وسالمتها‪ ،‬وتوافرها‪.‬‬
‫تمت موائم‪00‬ة ه‪00‬ذه السياس‪00‬ة م‪00‬ع الض‪00‬وابط والمع‪00‬ايير الص‪00‬ادرة من الهيئ‪00‬ة الوطني‪00‬ة لألمن الس‪00‬يبراني‬
‫والمتطلبات التنظيمية والتشريعية ذات العالقة‪.‬‬

‫نطاق العمل‬
‫تغطي هذه السياسة جميع األصول المعلوماتية والتقنية والتطبيقات الخاص‪00‬ة ب<اس‪00‬م الجه‪00‬ة>‪ ،‬وتنطب‪00‬ق‬
‫على جميع العاملين (الموظفين والمتعاقدين) في <اسم الجهة>‪.‬‬

‫بنود السياسة‬
‫البنود العامة‬ ‫‪-1‬‬
‫يجب تحديد وتوثيق جميع األصول المعلوماتي‪00‬ة والتقني‪00‬ة المس‪00‬تخدمة داخ‪00‬ل <اس‪00‬م الجه‪00‬ة> وك‪00‬ذلك‬ ‫‪1-1‬‬
‫التطبيقات والبرمجيات المعتمدة‪.‬‬
‫يجب تحصين وضبط إعدادات أجهزة الحاسب اآللي‪ ،‬واألنظم‪00‬ة‪ ،‬والتطبيق‪00‬ات‪ ،‬وأجه‪00‬زة الش‪00‬بكات‪،‬‬ ‫‪1-2‬‬
‫والخوادم واألجهزة األمنية الخاصة ب<اسم الجهة> بما يتوافق مع المعايير التقنية األمنية المعتمدة‬
‫من قب‪0‬ل الم‪0‬ورد وفًق ا للمتطلب‪0‬ات التش‪0‬ريعية والتنظيمي‪0‬ة ذات العالق‪0‬ة وأفض‪0‬ل الممارس‪0‬ات الدولي‪0‬ة‬
‫لتصدي الهجمات السيبرانية‪.‬‬
‫يجب تعطيل خاصية التصوير ( ‪ )Print Screen or Screen Capture‬لألجهزة التي تنشئ‬ ‫‪1-3‬‬
‫أو تعالج المعلومات بناًء على تصنيف تلك المعلومات‪.‬‬
‫يجب استخدام مؤشر قياس األداء (‪ )KPI‬لضمان التطوير المس‪00‬تمر واالس‪00‬تخدام الص‪00‬حيح والفع‪00‬ال‬ ‫‪1-4‬‬
‫لمتطلبات حماية أمن اإلعدادات والتحصين‪.‬‬
‫تطوير المعايير األمنية التقنية‪:‬‬ ‫‪-2‬‬
‫يجب اس‪00‬تخدام دلي‪00‬ل اإلع‪00‬دادات والتحص‪00‬ين (‪)Security Configuration Guidance‬‬ ‫‪2-1‬‬
‫الخاص بالُمورد وذلك وفًق ا للسياسات واإلجراءات التنظيمية الخاصة ب<اسم الجهة>‪ ،‬والمتطلبات‬
‫التشريعية والتنظيمية ذات العالقة وأفضل الممارسات الدولية‪.‬‬
‫يجب استخدام دليل اإلعدادات والتحص‪0‬ين من مص‪0‬ادر موثوق‪0‬ة ومتوافق‪0‬ة م‪0‬ع المع‪0‬ايير المص‪0‬نعية‪،‬‬ ‫‪2-2‬‬
‫مث‪00‬ل‪ :‬مرك‪00‬ز أمن اإلن‪00‬ترنت (‪ ،)CIS‬ومعه‪00‬د األمن والش‪00‬بكات وإدارة النظم (‪ ،)SANS‬والمعه‪00‬د‬
‫الوطني للمعايير والتقنية (‪.)NIST‬‬

‫اختر التصنيف‬

‫اإلصدار <‪>1.0‬‬

‫‪4‬‬
 ‫نموذج سياسة اإلعدادات والتحصين‬

‫يجب تطوير معايير أمنية تقنية خاصة ب<اسم الجهة> بما يتناسب مع طبيعة األعمال وبما يتوافق‬ ‫‪2-3‬‬
‫مع دليل اإلعدادات والتحصين الخاص ب‪0‬المورد والمع‪0‬ايير المص‪0‬نعية ووفًق ا للمتطلب‪0‬ات التش‪0‬ريعية‬
‫والتنظيمية ذات العالقة‪.‬‬
‫يجب تط‪00‬وير وتوثي‪00‬ق واعتم‪00‬اد ومراجع‪00‬ة المع‪00‬ايير التقني‪00‬ة األمني‪00‬ة (‪Technical Security‬‬ ‫‪2-4‬‬
‫‪ )Standards‬الخاصة بجميع األص‪0‬ول المعلوماتي‪0‬ة والتقني‪0‬ة والتطبيق‪0‬ات والبرمجي‪0‬ات المص‪0‬رح‬
‫باستخدامها لدى <اسم الجهة>‪ ،‬وفًق ا ألفضل الممارسات الدولية والسياسات واإلجراءات التنظيمي‪00‬ة‬
‫المعتمدة لدى <اسم الجهة>‪ ،‬والمتطلبات التشريعية والتنظيمية ذات العالقة‪.‬‬
‫مراجعة اإلعدادات والتحصين والتأكد من تطبيقها في الحاالت التالية‪:‬‬ ‫‪-3‬‬
‫يجب مراجعة اإلعدادات والتحصين لجميع األنظمة لألصول المعلوماتية والتقني‪0‬ة والتطبيق‪00‬ات م‪00‬رة‬ ‫‪3-1‬‬
‫واحدة كل سنة على األقل أو عند وج‪0‬ود تغي‪0‬يرات‪ ،‬والتأك‪0‬د من تطبيقه‪0‬ا بم‪0‬ا يتواف‪0‬ق م‪0‬ع إرش‪0‬ادات‬
‫األمن الس‪00‬يبراني‪ ،‬وأفض‪00‬ل الممارس‪00‬ات‪ ،‬والتوص‪00‬يات الخاص‪00‬ة ب‪00‬الموردين (‪ ،)Vendors‬وبم‪00‬ا‬
‫يتوافق مع آليات إدارة التغيير المتبعة في <اسم الجهة>‪.‬‬
‫يجب مراجعة اإلعدادات والتحصين قبل إطالق وتدشين التطبيق‪00‬ات والمش‪00‬اريع التقني‪00‬ة والتغي‪00‬يرات‬ ‫‪3-2‬‬
‫المتعلقة باألصول المعلوماتية والتقنية‪.‬‬
‫يجب مراجعة وتحص‪00‬ين اإلع‪00‬دادات المص‪00‬نعية (‪ )Default Configuration‬لجمي‪00‬ع األص‪00‬ول‬ ‫‪3-3‬‬
‫التقنية ولألصول التقنية ألنظمة العمل عن بعد‪ ،‬ومنها التأكد من ع‪00‬دم وج‪00‬ود كلم‪00‬ات م‪00‬رور ثابت‪00‬ة‪،‬‬
‫وخلفية افتراضية‪.‬‬
‫يجب تقييد تفعيل الخصائص والخدمات في أنظمة العمل عن بع‪00‬د حس‪00‬ب الحاج‪00‬ة على أن يتم تق‪00‬ييم‬ ‫‪3-4‬‬
‫المخاطر السيبرانية المحتملة في حال الحاج‪0‬ة لتفعيله‪0‬ا وفًق ا للمتطلب‪0‬ات التش‪0‬ريعية والتنظيمي‪0‬ة ذات‬
‫العالقة‪.‬‬
‫يجب اعتماد نسخة (‪ )Image‬إلعدادات وتحصين األصول المعلوماتية والتقنية الخاص‪00‬ة ب<اس‪00‬م‬ ‫‪3-5‬‬
‫الجهة> وفًق ا للمعايير التقنية األمنية المعتمدة‪ ،‬وحفظها في مكان آمن‪.‬‬
‫يجب استخدام نسخة (‪ )Image‬معتمدة في تثبيت أو تحديث األصول المعلوماتية والتقنية‪.‬‬ ‫‪3-6‬‬
‫يجب توفير التقنيات الالزمة إلدارة اإلعدادات والتحصين مركزًي ا‪ ،‬والتأك‪00‬د من إمكاني‪00‬ة تط‪00‬بيق أو‬ ‫‪3-7‬‬
‫تحديث اإلعدادات والتحصين تلقائًيا لكافة األصول المعلوماتي‪00‬ة والتقني‪00‬ة في مواعي‪00‬د زمني‪00‬ة مح‪00‬ددة‬
‫ومخطط لها‪ ،‬بعد إجراء االختبارات الالزمة‪.‬‬
‫يجب توفير نظام مراقبة اإلعدادات المتوافقة م‪00‬ع بروتوك‪00‬ول أتمت‪00‬ة المحت‪00‬وى األم‪00‬ني (‪Security‬‬ ‫‪3-8‬‬
‫‪ )”Content Automation Protocol “SCAP‬للتأك‪00‬د من أن اإلع‪00‬دادات متوافق‪00‬ة م‪00‬ع‬
‫المعايير التقني‪00‬ة األمني‪00‬ة المعتم‪00‬دة ومطبق‪00‬ة بش‪00‬كل كام‪00‬ل‪ ،‬كم‪00‬ا يجب اإلبالغ عن أي تغي‪00‬يرات غ‪00‬ير‬
‫مصّرح بها‪.‬‬
‫مزامنة التوقيت (‪ )Clock Synchronization‬مركزًيا ومن مص‪0‬در دقي‪0‬ق وموث‪0‬وق (مث‪0‬ل م‪0‬ا‬ ‫‪3-9‬‬
‫توفره الهيئة السعودية للمواصفات والمقاييس والجودة من مصادر ذات عالقة)‪.‬‬

‫اختر التصنيف‬

‫اإلصدار <‪>1.0‬‬

‫‪5‬‬
 ‫نموذج سياسة اإلعدادات والتحصين‬

‫األدوار والمسؤوليات‬
‫مالك السياسة‪< :‬رئيس اإلدارة المعنية باألمن السيبراني>‪.‬‬ ‫‪-1‬‬
‫مراجعة السياسة وتحديثها‪< :‬اإلدارة المعنية باألمن السيبراني>‪.‬‬ ‫‪-2‬‬
‫تنفيذ السياسة وتطبيقها‪< :‬اإلدارة المعنية بتقنية المعلومات>‪.‬‬ ‫‪-3‬‬
‫قياس االلتزام بالسياسة‪< :‬اإلدارة المعنية باألمن السيبراني>‪.‬‬ ‫‪-4‬‬

‫التحديث والمراجعة‬
‫يجب على <اإلدارة المعنية باألمن السيبراني> مراجع‪00‬ة السياس‪00‬ة س‪00‬نوًيا على األق‪0‬ل أو في ح‪0‬ال ح‪0‬دوث‬
‫تغي‪00‬يرات في السياس‪00‬ات أو اإلج‪00‬راءات التنظيمي‪00‬ة في <اس‪00‬م الجه‪00‬ة> أو المتطلب‪00‬ات التش‪00‬ريعية والتنظيمي‪00‬ة ذات‬
‫العالقة‪.‬‬

‫االلتزام بالسياسة‬
‫يجب على <رئيس اإلدارة المعنية باألمن السيبراني> التأكد من التزام <اسم الجهة> بهذه السياسة دورًيا‪.‬‬ ‫‪-1‬‬
‫يجب على كافة العاملين في <اسم الجهة> االلتزام بهذه السياسة‪.‬‬ ‫‪-2‬‬
‫قد يعرض أي انتهاك لهذه السياسة صاحب المخالفة إلى إجراء تأديبي حسب اإلج‪00‬راءات المتبع‪00‬ة في <اس‪00‬م‬ ‫‪-3‬‬
‫الجهة>‪.‬‬

‫اختر التصنيف‬

‫اإلصدار <‪>1.0‬‬

‫‪6‬‬