Skip to main content
رجوع طباعة مخصصة Text Only Rich Text PDFطباعة / حفظ بصيغة
تحميل الوثيقة الأصلية

  • 1.2.3 إدارة مخاطر الأمن السيبراني

    المبدأ

    يجب تحديد عملية إدارة مخاطر الأمن السيبراني واعتمادها وتنفيذها، ويجب أن تتماشى مع عملية إدارة المخاطر المؤسسية في المؤسسة المالية.

    الهدف

    ضمان إدارة مخاطر الأمن السيبراني على نحو صحيح لحماية سرية وسلامة وتوافر أصول المعلومات الخاصة بالمؤسسة المالية، وضمان توافق عملية إدارة مخاطر الأمن السيبراني مع عملية إدارة المخاطر المؤسسية للمؤسسة المالية.

    اعتبارات التحكم

    1.يجب تحديد عملية إدارة مخاطر الأمن السيبراني واعتمادها وتنفيذها.
     
    2.يجب أن تركز عملية إدارة مخاطر الأمن السيبراني على حماية سرية وسلامة وتوافر أصول المعلومات.
     
    3.يجب أن تتماشى عملية إدارة مخاطر الأمن السيبراني مع عملية إدارة المخاطر المؤسسية الحالية.
     
    4.يجب توثيق عملية إدارة مخاطر الأمن السيبراني ويجب أن تشمل:
     
     أ. تحديد المخاطر؛
     
     ب. تحليل المخاطر؛
     
     ج. الاستجابة للمخاطر؛
     
     د. مراقبة المخاطر ومراجعتها.
     
    5. يجب أن تتناول عملية إدارة مخاطر الأمن السيبراني أصول المعلومات الخاصة بالمؤسسة المالية، بما في ذلك (على سبيل المثال لا الحصر):
     
     أ. العمليات التجارية؛
     
     ب. تطبيقات الأعمال؛
     
     ج. مكونات البنية التحتية.
     
    6.يجب البدء في عملية إدارة مخاطر الأمن السيبراني:
     
     أ. في مرحلة مبكرة من المشروع؛
     
     ب. قبل التغيير الحرج؛
     
     ج. عند النظر في اسناد المهام إلى طرف ثالث؛
     
     د. عند إطلاق منتجات وتقنيات جديدة.
     
    7.يجب أن تخضع أصول المعلومات الموجودة بشكل دوري لتقييم مخاطر الأمن السيبراني بناءً على تصنيفها أو على طبيعة المخاطر الخاصة بها.
     
    8.يجب أن تتضمن أنشطة إدارة مخاطر الأمن السيبراني ما يلي:
     
     أ. مالكي الأعمال؛
     
     ب. متخصصي تقنية المعلومات؛
     
     ج. متخصصي الأمن السيبراني؛
     
     د. ممثلي المستخدمين الرئيسيين.
     
    9.يجب إبلاغ مالك العمل المعني (أي مالك المخاطر) بنتيجة تقييم المخاطر داخل المؤسسة المالية؛
     
    10.يجب على مالك العمل المعني (أي مالك المخاطر) داخل المؤسسة المالية قبول نتائج تقييم المخاطر واعتمادها.
     
    11.يجب تحديد مدى قابلية المؤسسة المالية لمخاطر الأمن السيبراني وتحملها للمخاطر بشكل واضح واعتمادها رسميًا.
     

    • 1.1.2.3 تحديد مخاطر الأمن السيبراني

      المبدأ

      يجب تحديد مخاطر الأمن السيبراني وأن يشمل التحديد الأصول والتهديدات والضوابط الحالية والثغرات الأمنية الخاصة بالمؤسسة المالية.

      الهدف

      العثور على مخاطر الأمن السيبراني التي تواجهها المؤسسة المالية والتعرف عليها ووصفها.

      اعتبارات التحكم

      1. يجب تحديد مخاطر الأمن السيبراني.
      2. يجب توثيق مخاطر الأمن السيبراني المحددة (في سجل مركزي).
      3. يجب أن يتناول تحديد مخاطر الأمن السيبراني أصول المعلومات ذات الصلة، والتهديدات، والثغرات الأمنية، وضوابط الأمن السيبراني الرئيسية الحالية.

    • 2.1.2.3 تحليل مخاطر الأمن السيبراني

      المبدأ

      يجب إجراء تحليل لمخاطر الأمن السيبراني بناءً على احتمالية حدوث مخاطر الأمن السيبراني المحددة والتأثير الناتج عنها.

      الهدف

      تحليل وتحديد طبيعة ومستوى مخاطر الأمن السيبراني المحددة.

      اعتبارات التحكم

      1. يجب إجراء تحليل لمخاطر الأمن السيبراني.
      2. يجب أن يتناول تحليل مخاطر الأمن السيبراني مستوى التأثير المحتمل على الأعمال واحتمالية وقوع أحداث تهديد للأمن السيبراني.

    • 3.1.2.3 الاستجابة لمخاطر الأمن السيبراني

      المبدأ

      تجب معالجة مخاطر الأمن السيبراني لأي من المؤسسات المالية.

      الهدف

      ضمان معالجة مخاطر الأمن السيبراني (أي قبولها، أو تجنبها، أو نقلها، أو تخفيفها).

      اعتبارات التحكم

      1.تجب معالجة مخاطر الأمن السيبراني المحددة ذات الصلة حسب قابلية المؤسسة المالية للمخاطر وحسب متطلبات الأمن السيبراني.
             		 
      2.يجب أن تضمن الاستجابة لمخاطر الأمن السيبراني توثيق قائمة خيارات معالجة المخاطر (أي قبول المخاطر، أو تجنبها، أو نقلها، أو تخفيفها من خلال تطبيق ضوابط الأمن السيبراني).
             		 
      3.يجب أن يشمل قبول مخاطر الأمن السيبراني ما يلي:
             		 
       أ. النظر في الحدود المحددة مسبقًا لمستويات مخاطر الأمن السيبراني؛
       
       ب. اعتماد مالك العمل وتوقيعه مما يضمن ما يلي:
       
        1.أن يكون خطر الأمن السيبراني المقبول ضمن حدود القدرة على تحمل المخاطر ويتم إبلاغه إلى لجنة الأمن السيبراني؛
             		 
        2.ألا يتعارض خطر الأمن السيبراني المقبول مع لوائح البنك المركزي.
             		 
      4.يجب أن يتضمن تجنب مخاطر الأمن السيبراني قرارًا من مالك العمل بإلغاء أو تأجيل نشاط أو مشروع معين يمثل خطرًا غير مقبول على الأمن السيبراني.
             		 
      5.لنقل مخاطر الأمن السيبراني أو مشاركتها يجب أن:
             		 
       أ. تشتمل على مشاركة مخاطر الأمن السيبراني مع مقدمي الخدمات ذوي الصلة (الداخليين أو الخارجيين)؛
       
       ب. يقبلها مقدم (مقدمو) الخدمات (الداخليون أو الخارجيون) المتلقون لها؛
       
       ج.تؤدي في نهاية المطاف إلى النقل الفعلي أو المشاركة لمخاطر الأمن السيبراني.
       
      6.يجب أن يشمل تطبيق ضوابط الأمن السيبراني للتخفيف من مخاطر الأمن السيبراني ما يلي:
             		 
       أ. تحديد ضوابط الأمن السيبراني المناسبة؛
       
       ب. تقييم نقاط القوة والضعف في ضوابط الأمن السيبراني؛
       
        1.تقييم تكلفة تطبيق ضوابط الأمن السيبراني؛
             		 
        2.تقييم مدى جدوى تطبيق ضوابط الأمن السيبراني؛
             		 
        3.مراجعة متطلبات الامتثال ذات الصلة بضوابط الأمن السيبراني؛
             		 
       ج.اختيار ضوابط الأمن السيبراني؛
       
       د.تحديد أي مخاطر متبقية وتوثيقها والحصول على توقيع مالك العمل عليها.
       
      7.يجب توثيق إجراءات معالجة مخاطر الأمن السيبراني في خطة معالجة المخاطر.
             		 

    • 4.1.2.3 مراقبة المخاطر السيبرانية ومراجعتها

      المبدأ

      تجب مراقبة التقدم المحرز في معالجة مخاطر الأمن السيبراني وتجب مراجعة فعالية ضوابط الأمن السيبراني المنقحة أو المطبقة حديثًا.

      الهدف

      التأكد من تنفيذ معالجة مخاطر الأمن السيبراني وفقًا لخطط المعالجة. التأكد من فعالية ضوابط الأمن السيبراني المنقحة أو المطبقة حديثًا. 

      اعتبارات التحكم

      1.تجب مراقبة معالجة الأمن السيبراني، بما في ذلك:
       
       أ. تتبع التقدم وفقًا لخطة المعالجة؛
       
       ب. يجري تنفيذ ضوابط الأمن السيبراني المختارة والمتفق عليها.
       
      2.تجب مراجعة تصميم وفعالية ضوابط الأمن السيبراني المنقحة أو المطبقة حديثًا.