CORF 1.0 · إطار المرونة السيبرانية والتشغيلية — النص الكامل

لضمان حوكمة رصينة وتفعيل فعّال لمبادرات الأمن السيبراني لدى الجهات الخاضعة للرقابة، على الجهات الخاضعة للرقابة إنشاء نموذج حوكمة شامل يرسّخ الأمن السيبراني في هيكلها التنظيمي. وينبغي أن يحدد هذا النموذج الأدوار والمسؤوليات المتعلقة بالأمن السيبراني بوضوح، وأن يدعم تطوير إستراتيجية للأمن السيبراني تتواءم مع أهداف أعمال الجهة ومتطلبات القطاع، وأن يرسي سياسة للمرونة السيبرانية تعبّر عن توجه الإدارة ونهجها في إدارة المخاطر السيبرانية، بما يتماشى مع المبادئ الواردة في إطار CORF الصادر عن بنك الكويت المركزي.

4.1.1.1

يكون مجلس إدارة الجهات الخاضعة للرقابة (ويشار إليه فيما يلي بالمجلس) هو جهة الاعتماد لإستراتيجية الأمن السيبراني، ويمنح التفويض لسياسة المرونة السيبرانية.

4.1.1.2

يجوز للمجلس تفويض بعض المسؤوليات إلى اللجان المختصة أو الوظائف المستقلة، على أن يحتفظ المجلس بالمسؤولية النهائية عن المرونة السيبرانية العامة للجهة، وأن تُراجع سنويًا على الأقل ضمن اجتماعاته الرسمية.

4.1.1.3

يكون المجلس مسؤولًا مساءلةً كاملة، بما يشمل اعتماد شهية المخاطر السيبرانية ومستويات التحمل، وضمان الإشراف الإستراتيجي على اتجاهات وتهديدات الأمن السيبراني المتطورة.

4.1.1.4

يضمن المجلس تخصيص ميزانية وموارد كافية للأمن السيبراني.

4.1.1.5

يتلقى المجلس تحديثات منتظمة من لجنة توجيه الأمن السيبراني عن الحالة العامة لبرنامج الأمن السيبراني، إضافة إلى تحديثات عند الحاجة عن التهديدات الناشئة أو التغيرات الجوهرية في مشهد المخاطر. كما يجب إبلاغ المجلس وإبقاؤه على اطلاع بأي تبعات قانونية أو تنظيمية للمخاطر السيبرانية.

4.1.2.1

تُنشأ لجنة توجيه الأمن السيبراني بمشاركة: أ) رئيس وظيفة أمن المعلومات؛ ب) التنفيذيين وكبار المديرين من جميع الإدارات والوظائف ذات العلاقة (أي التنفيذيين من فئة CxO ووظائف الأعمال ذات العلاقة والالتزام).

4.1.2.2

يرأس لجنة توجيه الأمن السيبراني شخص معيّن يمتلك الخبرة ذات العلاقة والمعرفة الكافية بالأمن السيبراني.

4.1.2.3

تضع اللجنة ميثاقًا يعتمده المجلس، على أن يتضمن الميثاق بحد أدنى: أ) هدف اللجنة؛ ب) أعضاء اللجنة؛ ج) تواتر الاجتماعات ونصابها، على أن تُعقد الاجتماعات 4 مرات في السنة على الأقل.

4.1.2.4

يجوز للمجلس تفويض مسؤوليات محددة متعلقة بالأمن السيبراني إلى لجنة توجيه الأمن السيبراني التي يُنشئها المجلس ويكلفها. وتقتصر هذه المسؤوليات على المهام الاستشارية والإشرافية وبعض مهام التنسيق التشغيلي، ولا تملك اللجنة صلاحية اعتماد القرارات الإستراتيجية مثل إستراتيجية الأمن السيبراني أو شهية المخاطر.

4.1.2.5

تتولى لجنة توجيه الأمن السيبراني: أ) مراجعة وتأييد إستراتيجية وسياسة الأمن السيبراني؛ ب) التوصية بشهية المخاطر السيبرانية للجهة والإشراف على مواءمة برنامج الأمن السيبراني وإستراتيجيته وسياسته مع أهداف الأعمال العامة؛ ج) مراجعة مواءمة مستويات تحمل المخاطر السيبرانية مع شهية المخاطر السيبرانية المعتمدة؛ د) مراقبة فعالية برنامج الأمن السيبراني، بما يشمل مؤشرات المخاطر الرئيسية (KRIs) ومؤشرات الأداء الرئيسية (KPIs) وتخصيص الموارد؛ هـ) الإشراف على جاهزية الاستجابة للحوادث السيبرانية والمراجعات اللاحقة للحوادث وفعالية برنامج التوعية؛ و) البقاء على اطلاع بالتهديدات السيبرانية الناشئة والتغيرات التنظيمية وضمان الالتزام.

4.1.3.1

تكون الإدارة التنفيذية العليا جهة الاعتماد لسياسة المرونة السيبرانية ومبادرات الأمن السيبراني الداعمة للإستراتيجية المعتمدة من المجلس.

4.1.3.2

تدعم الإدارة التنفيذية العليا، بما يشمل الرئيس التنفيذي وسائر التنفيذيين من المستوى الأعلى، التنفيذ الفعّال لإستراتيجية الأمن السيبراني.

4.1.3.3

تتولى الإدارة التنفيذية العليا مسؤولية تنفيذ إستراتيجيات إدارة المخاطر، وضمان المواءمة الفاعلة مع شهية المخاطر السيبرانية ومستويات التحمل المعتمدة، والتكييف المستمر لوضع الأمن السيبراني للجهة مع الاتجاهات والتهديدات المتطورة.

4.1.3.4

تخصص الإدارة التنفيذية العليا ميزانية ملائمة للأمن السيبراني، وتحدد الأدوار والمسؤوليات وتسندها إلى أصحاب الخبرة ذات العلاقة وبما يتواءم مع متطلبات إطار CORF، وتعزز باستمرار ثقافة الأمن السيبراني في أنحاء الجهة الخاضعة للرقابة.

4.1.3.5

تعتمد الإدارة التنفيذية العليا حجم وظيفة أمن المعلومات ومواردها.

4.1.3.6

تضمن الإدارة التنفيذية العليا مواءمة سياسات ومعايير الأمن السيبراني التي تطورها وظيفة أمن المعلومات وتطبيقها عبر جميع وظائف الأعمال.

4.1.3.7

تضمن الإدارة التنفيذية العليا أيضًا الفصل السليم بين أمن المعلومات وعمليات تقنية المعلومات عبر إسناد صلاحية إشراف ملائمة لوظيفة أمن المعلومات.

4.1.4.1

على الجهات الخاضعة للرقابة إنشاء وظيفة لأمن المعلومات مستقلة عن عمليات تقنية المعلومات، ممكّنة من المجلس، تحت إشراف لجنة توجيه الأمن السيبراني وبدعم من الإدارة التنفيذية العليا. ويرأس هذه الوظيفة المستقلة مختص معيّن في أمن المعلومات، وتمتلك المهارات والمعرفة والكفاءة اللازمة.

4.1.4.2

يُحدد حجم وظيفة أمن المعلومات بناءً على درجة التعقيد وطبيعة الأعمال والأصول التقنية وتعقيد العمليات.

4.1.4.3

تمتلك وظيفة أمن المعلومات صلاحية الإشراف وتقديم تأكيد مستقل على إدارة وفعالية أنشطة الأمن التشغيلية الرئيسية، بما يشمل مركز عمليات الأمن (SOC) والاستخبارات السيبرانية وإدارة الثغرات وعمليات إدارة الحوادث.

4.1.4.4

يتولى رئيس وظيفة أمن المعلومات مسؤولية تحديد إستراتيجية الأمن السيبراني ومراجعتها.

4.1.4.5

تحدد وظيفة أمن المعلومات مستويات تحمل المخاطر السيبرانية بناءً على شهية المخاطر المعتمدة، بما يضمن المواءمة مع أهداف الجهة والمتطلبات التنظيمية والقدرات التشغيلية.

4.1.4.6

تضع وظيفة أمن المعلومات السياسات والمعايير لحوكمة ضوابط الأمن السيبراني وتطبيقها وتشغيلها ومراقبتها والاستجابة لها، بما يتواءم مع إستراتيجية الجهة الخاضعة للرقابة وشهيتها للمخاطر ومستويات تحملها.

4.1.4.7

تقيّم وظيفة أمن المعلومات كفاية الضوابط الأمنية لمعالجة المخاطر السيبرانية، وتعتمد أو تضمن اعتماد أي استثناءات مع مراعاة الالتزام بالإرشادات التنظيمية المنطبقة وشهية المخاطر لدى الجهة. وتضمن وظيفة أمن المعلومات تقديم برامج التوعية والتدريب على الأمن السيبراني بفعالية لجميع الموظفين والمتعاقدين وموردي الأطراف الخارجية ذوي العلاقة.

4.1.4.8

تقدم وظيفة أمن المعلومات تحديثات إلى لجنة توجيه الأمن السيبراني، كل ربع سنة على الأقل وكلما طرأت تغييرات أو مخاطر ناشئة تتطلب الانتباه، عن الحالة العامة لبرنامج الأمن السيبراني لديها.

4.1.5.1

تُحدد إستراتيجية الأمن السيبراني وتُعتمد وتُطبق وتُراجع سنويًا على الأقل، بحيث: أ) تخضع إستراتيجية الأمن السيبراني لمراجعة رسمية موثقة سنويًا؛ ب) تخضع الإستراتيجية أيضًا لمراجعات تدفعها التغييرات عند وقوع عوامل داخلية أو خارجية جوهرية تستوجب التعديل، ومنها على سبيل المثال لا الحصر: 1) التغييرات الكبرى في بيئة التشغيل (مثل التوسع في الأعمال والاندماج والاستحواذ والتقدم التقني)؛ 2) المتطلبات التنظيمية أو القانونية أو القطاعية الجديدة أو المحدثة؛ 3) التحولات الجوهرية في مشهد التهديدات السيبرانية أو المخاطر المحددة حديثًا؛ ج) يعرض رئيس وظيفة أمن المعلومات لدى الجهة الخاضعة للرقابة إستراتيجية الأمن السيبراني وخارطة الطريق المحددة ويحصل على اعتمادها من المجلس أو الوظيفة أو اللجنة المناظرة حسب الهيكل التنظيمي، سنويًا أو عقب أي مراجعات تدفعها التغييرات.

4.1.5.2

تتولى إستراتيجية الأمن السيبراني للجهة الخاضعة للرقابة: أ) تحديد مستوى النضج المستهدف للأمن السيبراني وتضمين أهداف واضحة للأمن السيبراني متوائمة مع أهداف الجهة وأعمالها؛ ب) المواءمة مع بيئة التقنية المنشورة حاليًا والمبادرات التقنية المستقبلية؛ ج) التفصيل في المبادرات والبرامج والمشاريع السيبرانية التي تمكّن من التحقيق الناجح للقدرات السيبرانية المستهدفة؛ د) إيجاب الالتزام بالمتطلبات التنظيمية والقانونية ومتطلبات الأعمال المنطبقة؛ هـ) تحديد عتبات مؤشرات الأداء والمخاطر السيبرانية الرئيسية مع تسلسل رفع التقارير.

4.1.5.3

على الجهات الخاضعة للرقابة تحديد المسؤولية والمساءلة عن تنفيذ الإستراتيجية ومراقبتها.

4.1.6.1

تُحدد سياسة المرونة السيبرانية وتُعتمد وتُطبق ويُبلّغ بها وتُنفّذ وتُتاح لجميع الموظفين والمتعاقدين وموردي الأطراف الخارجية ذوي العلاقة.

4.1.6.2

تُراجع سياسة المرونة السيبرانية سنويًا على الأقل أو عندما تقتضيها التغييرات على عمليات الأعمال الحالية أو الأصول التقنية أو بيئة التشغيل أو المتطلبات التنظيمية الجديدة.

4.1.6.3

تتولى سياسة المرونة السيبرانية: أ) تحديد أهداف الأمن السيبراني ونطاقه والتزام الإدارة التنفيذية العليا وأدوار الأمن السيبراني ومسؤولياته وآليات الإنفاذ وروادع عدم الالتزام؛ ب) تضمين أفضل الممارسات والأطر والمعايير الدولية ذات العلاقة؛ ج) تضمين مجالات متوائمة مع أهداف أعمال الجهة الخاضعة للرقابة وأصولها التقنية والسياسات المؤسسية والتنظيمية ذات العلاقة؛ د) مراعاة المتطلبات القانونية والتنظيمية ومتطلبات الأعمال المنطبقة.

4.1.6.4

تتواءم السياسات الإدارية للوظائف الأخرى (مثل الموارد البشرية وتقنية المعلومات وإدارة المخاطر والمشتريات) مع سياسة المرونة السيبرانية، وتضمن الإدارة التنفيذية العليا هذه المواءمة.

4.1.6.5

على الجهات الخاضعة للرقابة ضمان إرساء الإجراءات والعمليات والأدلة الإرشادية الداعمة لتمكين تطبيق السياسة.

4.1.6.6

على الجهات الخاضعة للرقابة ضمان مسؤولية جميع الموظفين والمتعاقدين وموردي الأطراف الخارجية ذوي العلاقة عن الالتزام بسياسة المرونة السيبرانية المؤسسية والمعايير والإجراءات المرتبطة بها.

4.1.6.7

تُعتمد سياسة المرونة السيبرانية من الإدارة التنفيذية العليا ويفوّض بها المجلس لضمان المواءمة مع الأهداف العامة للجهة والإدارة السليمة للمخاطر السيبرانية.

4.2 إدارة مخاطر الأمن السيبراني

لضمان تحديد المخاطر السيبرانية وتحليلها وتقييمها وتتبعها والإبلاغ عنها ومعالجتها على النحو الملائم، على الجهات الخاضعة للرقابة تطبيق عملية شاملة لإدارة مخاطر الأمن السيبراني مدمجة ضمن إطار إدارة المخاطر على مستوى المنشأة.

4.2.1.1

تُحدد منهجية إدارة مخاطر الأمن السيبراني وتُطبق من وظيفة أمن المعلومات بالتعاون مع الفرق ذات العلاقة مثل تقنية المعلومات وإدارة المخاطر والالتزام والتدقيق الداخلي، وتُعتمد المنهجية من الإدارة التنفيذية العليا.

4.2.1.2

تراجع وظيفة أمن المعلومات منهجية إدارة مخاطر الأمن السيبراني سنويًا لضمان استمرار ملاءمتها وفعاليتها.

4.2.1.3

تبلّغ وظيفة أمن المعلومات منهجية إدارة مخاطر الأمن السيبراني بانتظام، سنويًا على الأقل، إلى جميع مالكي الأعمال والتقنية ذوي العلاقة، وتنفذ سنويًا برامج توعية لضمان الفهم والتنفيذ السليمين لتقييمات المخاطر وإدارتها في أنحاء الجهة.

4.2.1.4

تُدمج إدارة مخاطر الأمن السيبراني وتُضمَّن في إستراتيجية إدارة المخاطر الأشمل على مستوى المنشأة، عبر ضمان مواءمة شهية المخاطر السيبرانية وتدابير الاستجابة مع المحدد والمرسى منها على مستوى المنشأة.

4.2.1.5

على الجهات الخاضعة للرقابة ضمان: أ) استناد منهجية إدارة مخاطر الأمن السيبراني إلى أفضل الممارسات والأطر وأحدث المعايير الدولية مثل ISO 31000 وISO 27005 وISO 27001 وNIST 800-39 ومعيار الممارسات الجيدة الصادر عن منتدى أمن المعلومات (ISF)؛ ب) تحديد نطاق تقييمات المخاطر وإدارتها ودوريتها ومسؤولية تنفيذها؛ ج) تحديد شهية المخاطر ومستويات التحمل بناءً على أولويات الجهة وأهدافها؛ د) تحديد وتوثيق عمليات ونماذج تحديد المخاطر وتقييمها ومعالجتها ومراقبتها والإبلاغ عنها الشاملين ضمن سجل مخاطر مركزي لضمان نهج موحد وشامل.

4.2.2.1

تراعي عملية تحديد المخاطر التهديدات والثغرات الداخلية والخارجية معًا، إضافة إلى المخاطر المؤثرة على المبادئ الأساسية المبينة في خطوط الأساس.

4.2.2.2

على الجهة الخاضعة للرقابة مراعاة ما يلي أثناء تقييم المخاطر: أ) المتطلبات التنظيمية والقانونية حسب الانطباق؛ ب) الأصول التقنية وحرجيتها؛ ج) الاتصالات بالشبكات الخارجية؛ د) قنوات تقديم الخدمات للعملاء؛ هـ) واجهات التطبيقات؛ و) سيناريوهات التهديد وأطرافه (الداخلية والخارجية)؛ ز) الثغرات الناشئة عن الحوكمة أو العمليات أو التصميم أو البنية التحتية أو العوامل البشرية؛ ح) مصادر الاستخبارات النشطة للتهديدات.

4.2.2.3

توثق مخاطر الأمن السيبراني المحددة، بما يشمل التهديدات والثغرات والضوابط، في سجل مخاطر مركزي.

4.2.2.4

تُقيّم المخاطر بناءً على شدتها وأثرها على الأعمال والعمليات واحتمالية وقوعها، وتُحتسب قيمة المخاطر المتبقية الفعلية لكل خطر محدد وتُدرج في سجل المخاطر.

4.2.2.5

تُرفع نتائج تقييم المخاطر إلى مالكي مخاطر الأعمال والتقنية المعنيين داخل الجهة الخاضعة للرقابة وتُناقش معهم ويُتفق عليها. ويقبل مالكو الأعمال المعنيون (أي مالكو المخاطر) داخل الجهة نتائج تقييم المخاطر ويؤيدونها، بما يتواءم مع شهية المخاطر لدى الجهة ومستويات تحملها.

4.2.2.6

يُجرى تقييم المخاطر سنويًا، أو كلما: أ) طُرحت منتجات وتقنيات جديدة؛ ب) وقع تغيير جوهري في العمليات المتعلقة بالتقنية أو الأعمال أو التشغيل؛ ج) اكتشفت الجهة مخاطر جوهرية جديدة أو أبلغت الاستخبارات السيبرانية عنها بما يشير إلى مخاطر جديدة أو ناشئة؛ د) وُقعت اتفاقيات جديدة مع أطراف خارجية، مع مراعاة طبيعة وحرجية الخدمة المسندة، وبغض النظر عن اعتبار الخدمات حرجة أم لا. وتخضع جميع اتفاقيات الأطراف الخارجية، بما فيها غير الحرجة، لتقييم مخاطر أمن سيبراني لضمان المواءمة مع متطلبات الأمن السيبراني لدى الجهة.

4.2.3.1

على الجهات الخاضعة للرقابة ضمان تحويل المخاطر الموثقة في سجل المخاطر إلى خطط معالجة تقابل المخاطر المحددة في السجل وتعالجها.

4.2.3.2

تُصنّف معالجة المخاطر (مثل قبول المخاطر وتجنبها ومعالجتها ونقلها) وتُتتبع وتُدار. وفي حالات قبول المخاطر أو تجنبها أو نقلها، يوثق مبرر المعالجة المختارة ويُعتمد بما يتماشى مع منهجية إدارة المخاطر لدى الجهة الخاضعة للرقابة. وينبغي أن يضمن التوثيق الشفافية والوضوح لصانعي القرار، بحيث يُبيَّن منطق كل قرار معالجة ويُرسى رسميًا.

4.2.3.3

تُطبق عملية لمراقبة المخاطر من أجل: أ) تتبع الالتزام بخطط معالجة المخاطر المحددة؛ ب) ضمان فعالية ضوابط معالجة المخاطر؛ ج) ضمان ترتيب أولويات المخاطر الرئيسية وإدارتها ومراقبتها بفعالية بناءً على أثرها المحتمل واحتماليتها.

4.2.3.4

يقدم رئيس وظيفة أمن المعلومات تحديثات ربع سنوية إلى لجنة توجيه الأمن السيبراني عن الحالة الراهنة للمخاطر المحددة وخطط المعالجة وأي تغييرات في الملف المخاطري. كما تُميَّز المخاطر المستجدة ويُبلغ عنها فورًا، بما يتيح تعديل خطط المعالجة عند اللزوم.

4.2.4.1

على الجهات الخاضعة للرقابة توثيق تقييم لحاجتها إلى تغطية تأمين سيبراني، متضمنًا مبررات تبني هذه التغطية أو عدمه بناءً على شهية المخاطر المؤسسية، كآلية لنقل المخاطر لأنواع معينة من المخاطر السيبرانية.

4.2.4.2

على الجهات الخاضعة للرقابة، عند تبني التأمين السيبراني، ضمان أن توفر أي وثيقة تأمين سيبراني معتمدة تغطية لطيف واسع من الخسائر، بما يشمل على سبيل المثال لا الحصر حوادث برامج الفدية وتكاليف اختراقات البيانات ومسؤوليات الأطراف الخارجية.

4.2.4.3

على الجهات الخاضعة للرقابة إجراء العناية الواجبة على وثائق التأمين السيبراني المختارة، للوقوف على الاستثناءات والقيود التي قد تؤثر على صرف التعويضات.

4.2.5.1

تُضمَّن متطلبات الأمن السيبراني في منهجية إدارة المشاريع لدى الجهات الخاضعة للرقابة، لضمان تحديد المخاطر السيبرانية ومعالجتها.

4.2.5.2

تراعي منهجية إدارة المشاريع لدى الجهات الخاضعة للرقابة: أ) تضمين أهداف الأمن السيبراني في أهداف المشروع؛ ب) إشراك وظيفة الأمن السيبراني في جميع مراحل المشروع؛ ج) إجراء تقييم مخاطر عند انطلاق المشروع لتحديد المخاطر السيبرانية وضمان معالجة متطلبات الأمن السيبراني الملائمة إما بضوابط قائمة أو بضوابط تُطوَّر لمعالجة المخاطر المحددة؛ د) توثيق المخاطر السيبرانية وتتبعها في سجل مركزي لمخاطر المشاريع؛ هـ) تحديد مسؤوليات الأمن السيبراني وتحديد أصحاب المصلحة المسؤولين؛ و) إجراء مراجعة أمن سيبراني من جهة داخلية مستقلة أو طرف خارجي.

4.3 الالتزام

لضمان الالتزام بالقوانين الوطنية والدولية والمتطلبات التنظيمية والسياسات الصادرة عن كبار مزودي الخدمات (ويشار إليها مجتمعة فيما يلي بمتطلبات الالتزام)، على الجهات الخاضعة للرقابة تطبيق التدابير اللازمة للأمن السيبراني.

4.3.1.1

على الجهات الخاضعة للرقابة تحديد وتوثيق وإثبات الالتزام بالمتطلبات القانونية والتنظيمية ومتطلبات الالتزام المنطبقة، مثل: أ) متطلبات بنك الكويت المركزي وتعليماته وقوانينه ولوائحه، ومنها على سبيل المثال لا الحصر: 1) قانون بنك الكويت المركزي رقم 32؛ 2) قانون المعاملات الإلكترونية رقم 20 لسنة 2014؛ 3) قانون كاميرات المراقبة الأمنية رقم 61 لسنة 2015؛ 4) قانون مكافحة جرائم تقنية المعلومات رقم 60 لسنة 2015؛ 5) تعليمات تنظيم الدفع الإلكتروني للأموال؛ 6) تعليمات مكافحة غسل الأموال وتمويل الإرهاب؛ 7) إطار الخدمات المصرفية المفتوحة؛ 8) إطار المرونة السيبرانية والتشغيلية لجميع البنوك والمؤسسات المالية المحلية؛ 9) وسائر المتطلبات والتعليمات واللوائح ذات العلاقة الصادرة عن بنك الكويت المركزي. ب) قوانين ولوائح الهيئة العامة للاتصالات وتقنية المعلومات (CITRA)؛ ج) قرارات المركز الوطني للأمن السيبراني (NCSC).

4.3.1.2

على الجهات الخاضعة للرقابة الالتزام بأحدث إصدارات أفضل الممارسات والمعايير المنطبقة مثل: أ) معيار أمن بيانات قطاع بطاقات الدفع (PCI DSS)؛ ب) معيار PCI لأمن معاملات الرقم السري (PCI PTS)؛ ج) إطار PCI لأمن البرمجيات (PCI SSF)؛ د) المعيار التقني EMV (يوروباي وماستركارد وفيزا)؛ هـ) برنامج SWIFT لأمن العملاء (SWIFT CSP)؛ و) معايير المنظمة الدولية للتوحيد القياسي (مثل ISO 27001 وISO 22301 وISO 31000).

4.3.1.3

على الجهات الخاضعة للرقابة الحصول على شهادات ISO 27001 وISO 22301 وPCI DSS والمحافظة عليها، وإكمال الإفادة الخاصة بإطار SWIFT لضوابط أمن العملاء (SWIFT CSCF)، وتقديم إفادة بالالتزام إلى بنك الكويت المركزي عند الطلب أو على فترات منتظمة بما يتماشى مع المتطلبات الخاصة بالمعايير ذات العلاقة.

4.3.1.4

على الجهات الخاضعة للرقابة المحافظة على سجل التزام يوثق جميع متطلبات الالتزام المنطبقة. ويجب تحديد أي تغييرات على هذه المتطلبات وتقييمها وتطبيقها وعكسها في السجل على النحو الملائم، مع مراجعة السجل وتحديثه بانتظام، سنويًا على الأقل.

4.4 التدقيق المستقل

لضمان كفاية وفعالية ضوابط الأمن السيبراني المطبقة، على الجهات الخاضعة للرقابة إجراء عمليات تدقيق مستقلة.

4.4.1.1

تضمن وظيفة التدقيق إجراء عمليات تدقيق مستقلة لتقييم تطبيق نظام إدارة أمن المعلومات وضوابط الأمن السيبراني وفعاليتها.

4.4.2.1

يُحدد ميثاق للتدقيق مبني على معايير التدقيق المتعارف عليها وإطار المرونة السيبرانية والتشغيلية، ويُعتمد ويُطبق ويُراجع سنويًا. ويحدد ميثاق التدقيق غرض التدقيق وتكليفه ومسؤولية الإدارة ومساءلتها تجاهه.

4.4.2.2

تُحدد خطة للتدقيق ويعتمدها المجلس.

4.4.2.3

على الجهات الخاضعة للرقابة ضمان تدقيق مجالات المخاطر المحددة في هذا الإطار بانتظام، باستخدام نهج مبني على المخاطر لتصنيف مجالات المخاطر وفقًا لمتطلبات الأعمال الداخلية والمنهجيات المحددة. ويمكن أن يراعي تصنيف مجالات المخاطر حرجية الأصول واحتمالية وقوع التهديد والأثر المحتمل للاختراق أو الفشل: أ) مجالات المخاطر العالية تتضمن أصولًا أو عمليات حرجة وتواجه تهديدات متكررة أو جسيمة وتترتب على اختراقها عواقب شديدة، وتُدقق سنويًا على الأقل؛ ب) مجالات المخاطر المتوسطة والمنخفضة قد تقل حرجيتها وتهديداتها وشدة أثرها، وتُدقق مرة كل سنتين على الأقل.

4.4.3.1

تُنفَّذ عمليات تدقيق الأمن السيبراني لتقييم الالتزام بإطار CORF الصادر عن بنك الكويت المركزي من مدقق طرف خارجي مستقل وكفء معتمد من البنك.

4.4.3.2

على مدققي الأطراف الخارجية: أ) امتلاك الشهادات ذات العلاقة مثل مدقق نظم المعلومات المعتمد (CISA) أو كبير مدققي ISO 27001 أو مدير أمن المعلومات المعتمد (CISM) أو محترف أمن نظم المعلومات المعتمد (CISSP) أو ما يكافئها؛ ب) امتلاك خبرة لا تقل عن 5 سنوات في تدقيق أمن المعلومات أو الأمن السيبراني أو المرونة السيبرانية أو استمرارية الأعمال في المصارف والمؤسسات المالية (لعضو واحد على الأقل من فريق التدقيق). وتُستبدل الأطراف الخارجية المعهود إليها بالتدقيق المستقل مرة كل سنتين على الأقل.

4.4.4.1

يُزوَّد المجلس بتغذية راجعة دورية عن شمولية سياسة المرونة السيبرانية وفعالية تطبيقها. وتُرفع نتائج التدقيق، مع التركيز على مجالات المخاطر العالية والإجراءات التصحيحية، كل ربع سنة.

4.4.4.2

على الجهات الخاضعة للرقابة تتبع نتائج التدقيق المستقل ومتابعتها ونشر لوحة تقييم والتزام إلى المجلس كل ربع سنة.

4.5 إدارة القوى العاملة

لضمان قوى عاملة آمنة وواعية سيبرانيًا، على الجهات الخاضعة للرقابة دمج اعتبارات أمن المعلومات والأمن السيبراني والمرونة السيبرانية في سياسات وإجراءات الموارد البشرية لديها، وترسيخ ثقافة التوعية بالأمن السيبراني من خلال التدريب المستمر وتنمية المهارات. ويهدف هذا النهج إلى الحماية من التصرفات غير اللائقة للموظفين والمتعاقدين وموظفي الأطراف الخارجية، مع ضمان احتفاظ الجهة بالموارد والخبرات اللازمة والكافية في أمن المعلومات والأمن السيبراني والمرونة السيبرانية.

4.5.1.1

إجراء فحوصات خلفية كافية بما يتماشى مع القوانين واللوائح ومتطلبات الجهة ذات العلاقة قبل ضم الموظفين أو توظيفهم.

4.5.1.2

ضمان توقيع الموظفين والمتعاقدين وموردي الأطراف الخارجية اتفاقيات سرية أو عدم إفصاح (NDAs) ملائمة قبل الضم أو مباشرة أي أنشطة للجهة.

4.5.1.3

ضمان الإقرار الرسمي من جميع الموظفين والمتعاقدين وموردي الأطراف الخارجية بالتزامهم بسياسات وإجراءات وأدلة أمن المعلومات.

4.5.1.4

ضمان تحديد عملية تأديبية رسمية وتوثيقها وتطبيقها لتغطية مخالفات مدونة السلوك أو السياسات والمعايير الداخلية.

4.5.1.5

ضمان إعادة جميع الأصول التقنية والبياناتية المخصصة للموظفين والمتعاقدين وموردي الأطراف الخارجية عند انتهاء الخدمة، وإلغاء جميع صلاحيات الوصول الممنوحة فورًا.

4.5.2.1

يُنشأ برنامج للتوعية والتدريب الأمني لجميع الموظفين والمتعاقدين وموظفي موردي الأطراف الخارجية ذوي العلاقة.

4.5.2.2

يُنفَّذ برنامج التوعية والتدريب الأمني عند التوظيف وسنويًا على الأقل، مغطيًا موضوعات مثل سياسات أمن المعلومات وأدوار أمن المعلومات ومسؤولياته والإجراءات ذات العلاقة وأحدث التهديدات السيبرانية في القطاع المصرفي والمالي.

4.5.2.3

تُنفَّذ تدريبات أمنية مخصصة بحسب الأدوار سنويًا على الأقل، بما يضمن ملاءمتها للوظائف والمسؤوليات المحددة.

4.5.2.4

تُقدَّم برامج توعية متخصصة للمجلس والإدارة التنفيذية العليا سنويًا على الأقل، لضمان فهمهم لأدوارهم في بناء ثقافة الأمن السيبراني.

4.5.2.5

يقر جميع الموظفين والمتعاقدين وموظفي الأطراف الخارجية ذوي العلاقة رسميًا بوعيهم وفهمهم والتزامهم بسياسات الأمن السيبراني، سنويًا على الأقل.

4.5.2.6

على الجهات الخاضعة للرقابة تنفيذ حملات توعية أمنية للعملاء، كل ربع سنة على الأقل، تتناول التهديدات والمخاطر السيبرانية المحتملة، بما يشمل التصيد الاحتيالي وإساءة استخدام العلامة التجارية والاحتيال، وتعزز ممارسات الاستخدام الآمن والمأمون للخدمات المالية. وتُقدَّم هذه الحملات عبر قنوات تواصل فعّالة متعددة، مثل منصات التواصل الاجتماعي والرسائل داخل التطبيقات والرسائل النصية والبريد الإلكتروني وغيرها من القنوات الفعّالة.

4.5.2.7

يُشجَّع العملاء على الإبلاغ عن رسائل التصيد الاحتيالي أو مواقعه أو أي سلوك غير معتاد يلاحظونه عبر القنوات الملائمة التي تحددها الجهة الخاضعة للرقابة.

4.5.2.8

على الجهات الخاضعة للرقابة تقييم فعالية برامج التوعية والتدريب الأمني ومتابعتها من خلال اختبارات المعرفة وهجمات الهندسة الاجتماعية المحاكاة (مثل هجمات التصيد الوهمية ومحاكيات التصيد).

4.5.2.9

على الجهات الخاضعة للرقابة الاحتفاظ بالمعلومات الموثقة ذات العلاقة كدليل على جميع برامج التوعية والتدريب الأمني المنفذة، بما يشمل سجلات الحضور ونتائج التقييم.

4.5.2.10

على الجهات الخاضعة للرقابة المراجعة المستمرة لمحتوى برامج التوعية والتدريب الأمني، مع تضمين التغذية الراجعة من المشاركين والتعديلات بناءً على مشهد التهديدات المتطور.

4.5.3.1

تُحدد خطة شاملة للتدريب المهني السيبراني والشهادات الاحترافية وتُعتمد وتُطبق وتُراجع سنويًا. وتحدد هذه الخطة الشهادات الاحترافية والدورات التدريبية التي يسعى إليها موظفو الجهات الخاضعة للرقابة لتطوير مهاراتهم وقدراتهم السيبرانية باستمرار.

4.5.3.2

على الجهات الخاضعة للرقابة توفير تدريب متخصص على المهارات لموظفي وظائف الأعمال ذات العلاقة بما يتماشى مع توصيفاتهم الوظيفية، مثل: أ) الأدوار الرئيسية والحرجة داخل الجهة؛ ب) موظفي أمن المعلومات والأمن السيبراني والمرونة السيبرانية وعمليات الأمن السيبراني وإدارة المخاطر السيبرانية والتدقيق الداخلي؛ ج) الموظفين المشاركين في تطوير الأصول المعلوماتية والتقنية وصيانتها؛ د) الموظفين المشاركين في تنفيذ تقييمات المخاطر.

4.5.3.3

على الجهات الخاضعة للرقابة تنفيذ تخطيط منهجي للقوى العاملة لتحديد وتوثيق احتياجات التوظيف السيبراني الحالية والمستقبلية وفجوات المهارات وتخصيص الموارد لتحقيق أهداف الجهة.

4.5.3.4

على الجهات الخاضعة للرقابة تحديد مسارات مهنية واضحة لأدوار أمن المعلومات والأمن السيبراني والمرونة السيبرانية والعمليات السيبرانية وإدارة المخاطر السيبرانية والتدقيق الداخلي، بما يشمل التدرج الوظيفي وفرص تطوير القيادات ومبادرات الإرشاد المهني، تشجيعًا للاستبقاء والنمو المهني.

4.5.3.5

على الجهات الخاضعة للرقابة تطبيق إستراتيجيات استبقاء، مثل التعويضات التنافسية وترتيبات العمل المرنة وفرص التقدم الوظيفي وبرامج تقدير الموظفين، للمحافظة على القوى العاملة الماهرة.

4.5.3.6

يُطبَّق التدريب التبادلي والتكليفات التناوبية لتوسيع خبرات الموظفين وضمان مرونة القوى العاملة.

4.5.3.7

تُطوَّر خطط طوارئ للأدوار الحرجة المتعلقة بتطبيق هذا الإطار ومتابعته، بما يشمل آليات نقل المعرفة والموظفين الاحتياطيين للاستمرارية.

4.5.3.8

تُرسى مؤشرات وتُتابع لتقييم فعالية برامج إدارة المواهب، بما يشمل معدلات إكمال التدريب والشهادات المحققة ودرجات رضا الموظفين وإحصاءات الاستبقاء. وتُرفع هذه المؤشرات كل ربع سنة إلى الإدارة التنفيذية العليا لضمان التحسين المستمر.

4.5.3.9

تُجرى مراجعة سنوية شاملة لبرامج إدارة المواهب، تشمل تحليل الاتجاهات وتوصيات تخطيط القوى العاملة وتقييم فعالية البرامج. وتُعرض نتائج هذه المراجعة وتوصياتها على المجلس للإشراف الإستراتيجي وتحسين إستراتيجيات القوى العاملة.

4.5.3.10

على الجهات الخاضعة للرقابة ترسيخ ثقافة التعلم المستمر والابتكار عبر إتاحة منصات التعلم والمؤتمرات القطاعية ومنتديات تبادل المعرفة، لضمان بقاء موظفي الأمن السيبراني مواكبين لتطور مجال الأمن السيبراني والمرونة السيبرانية ومشهد التهديدات والتقنيات وغيرها.

5.1 تصميم البنية الأمنية

لضمان التطبيق المتسق لمبادئ الأمن السيبراني، على الجهات الخاضعة للرقابة اعتماد تصميم آمن يتماشى مع الأهداف الإستراتيجية العامة للجهة والمتطلبات التنظيمية ذات العلاقة.

5.1.1.1

يُحدد تصميم البنية الأمنية ويُعتمد من أصحاب المصلحة المعنيين (مثل تقنية المعلومات وأمن المعلومات وإدارة المخاطر ووحدات الأعمال ذات العلاقة) ويُطبق.

5.1.1.2

تُجرى مراجعات تصميم البنية الأمنية سنويًا على الأقل، وكلما طرأت تغييرات على البيئة أو متطلبات الأعمال، مع مراعاة مدخلات وظيفتي تقنية المعلومات وأمن المعلومات والاستخبارات السيبرانية ودروس الحوادث وتقييمات الثغرات.

5.1.2.1

تحمي البنية الأمنية سرية معلومات الجهات الخاضعة للرقابة وسلامتها وتوافرها، وتُصمم من أجل: أ) تجنب انقطاع الخدمة والمحافظة على الاستمرارية التشغيلية؛ ب) تقليل سطح الهجوم لخفض التعرض للتهديدات المحتملة؛ ج) تطبيق مبادئ انعدام الثقة (Zero-Trust) للحد من الثقة الضمنية بين الأنظمة والمستخدمين؛ د) تقليل أثر حوادث الأمن السيبراني على الجهة عبر التمكين من الاكتشاف الفعّال للمهاجمين والتحديد المبكر للتهديدات وآليات الاستجابة الاستباقية للحوادث.

5.1.3.1

تُبنى البنية الأمنية عبر جميع البيئات (مثل البيئات المحلية والسحابية والهجينة وغيرها) على مبدأي انعدام الثقة والأمان بالتصميم، وتراعي: أ) افتراض انعدام الثقة الضمنية والتحقق من جميع الإجراءات بناءً على الهوية والسياق والمخاطر المحددة والمرتبطة؛ ب) تطبيق التحقق المستمر من هوية المستخدم ووصوله عبر تقييم سلوكه وأنماط وصوله وسائر السمات المرتبطة في مختلف البيئات، مثل البيئات السحابية الاتحادية والشبكات المحلية وغيرها؛ ج) التجزئة الدقيقة للشبكات (مثل الموثوقة وغير الموثوقة والسلكية واللاسلكية والإنتاج والاختبار وأنظمة الدفع وأنظمة تقنية المعلومات العامة والويب والتطبيقات وقواعد البيانات والإدارة وغيرها) بناءً على الحرجية ومتطلبات الوصول والتكامل؛ د) حماية البيانات الحساسة أثناء التخزين والاستخدام والنقل من الإفصاح غير المصرح به والتعديل والهجمات الخبيثة؛ هـ) مبادئ الدفاع الأمني متعدد الطبقات والحد الأدنى من الامتيازات والفصل بين المهام لضمان اقتصار وصول المستخدمين على الموارد اللازمة؛ و) متطلبات تسجيل الأحداث والمراقبة والإبلاغ لإرساء التحقق المستمر؛ ز) تقييد الوصول إلى الإنترنت من المستخدمين والأنظمة والأجهزة ما لم يوجد مبرر أو حاجة عمل صحيحة؛ ح) ترتيبات استمرارية الأعمال والتعافي من الكوارث؛ ط) الاعتبارات الأمنية الخاصة ذات العلاقة والأهمية لتحقيق أهداف الأعمال.

5.2 إدارة الأصول

لضمان تحديد الأصول المعلوماتية للجهة وتصنيفها وحمايتها وإدارتها بأمان طوال دورة حياتها، على الجهات الخاضعة للرقابة تطبيق عملية رصينة لإدارة الأصول وتصنيفها تتواءم مع أهداف الجهة والمتطلبات التنظيمية.

5.2.1.1

تُحدد عملية إدارة الأصول وتصنيفها وتُعتمد وتُطبق وتُراقب وتُراجع دوريًا وتُحدث، سنويًا على الأقل، لتأمين الأصول طوال دورة حياتها.

5.2.1.2

تُحفَّز المراجعات أيضًا كلما وقعت تغييرات في الأعمال أو المشهد التقني أو اللوائح أو جرد الأصول.

5.2.1.3

تحدد العملية أدوار مالك الأصل وأمينه والمستخدمين المستهدفين، وتتضمن ضوابط تحديد الأصول المعلوماتية وحمايتها ومراقبتها.

5.2.1.4

يكون لجميع الأصول مالك أعمال معيّن (مالك الأصل أو المعلومات) مسؤول عن إنشاء الجرد والمحافظة عليه.

5.2.1.5

يكون لكل أصل من أصول تقنية المعلومات مالك نظام معيّن، يعمل بصفة أمين البيانات، مسؤول عن صيانة الأصول الواقعة تحت مسؤوليته ودعمها.

5.2.2.1

تُحدد جميع الأصول المعلوماتية وأصول تقنية المعلومات وتوثق وتُصان في قائمة جرد أصول شاملة تتضمن سجلًا كاملًا لجميع الأصول، بما يشمل المملوكة والمستأجرة والواقعة في مواقع الأطراف الخارجية والعاملة في مباني الجهة.

5.2.2.2

تتضمن قائمة جرد الأصول بحد أدنى اسم الأصل ووصفه ومالكه وأمينه وتصنيفه وبيانات نهاية العمر ونهاية الدعم.

5.2.2.3

تُدرج الأجهزة الطرفية (مثل الحواسيب المكتبية والمحمولة) في قائمة جرد الأصول، على أن يُحدد تصنيفها وحرجيتها ويُداران ديناميكيًا بناءً على أنشطة المستخدمين والبيانات التي تتعامل معها.

5.2.2.4

يتتبع الجرد أحداث دورة الحياة الرئيسية، مثل الاقتناء والنقل والتعديل والإيقاف، للمحافظة على دقته.

5.2.2.5

تُراجع قائمة جرد الأصول وتُحدث كل ربع سنة على الأقل، أو عند الحاجة عقب تغيير في الأعمال أو التقنية أو اللوائح، لضمان الدقة وعكس أي تغيير في الوقت المناسب.

5.2.2.6

على الجهات الخاضعة للرقابة تحديد وظائف الأعمال والأصول المعلوماتية والعمليات الداعمة لها وإجراء تقييم مخاطر لفهم قيمتها وأهميتها للجهة.

5.2.3.1

تُصنّف الأصول باستخدام نهج مبني على المخاطر وفقًا لقيمتها وأهميتها وحرجيتها والمتطلبات القانونية أو التنظيمية.

5.2.3.2

تُحدد أدلة وسم الأصول المعلوماتية والتعامل معها لكل مستوى من مستويات التصنيف، وتُراجع هذه الأدلة وتُحدث سنويًا على الأقل لتعكس أي تغييرات في لوائح التصنيف.

5.2.3.3

توسم جميع الأصول المعلوماتية وفقًا لأدلة الوسم.

5.2.4.1

يكون اقتناء الأصول المعلوماتية متسقًا مع عملية المشتريات لدى الجهة الخاضعة للرقابة واتفاقيات الترخيص، وملتزمًا بالبنية الأمنية والسياسات.

5.2.4.2

تُحدد سياسة للاستخدام المقبول للأصول المعلوماتية وتُعتمد وتُطبق وتُراجع سنويًا، على أن تراعي المراجعات أي تغييرات في الأعمال أو اللوائح أو التقنية.

5.2.4.3

يُتخلص من جميع الأصول بأمان عند انتفاء الحاجة إليها، وفقًا للوائح ذات العلاقة ومتطلبات القطاع ومعاييره والاتفاقيات التعاقدية والسياسات الداخلية للجهات الخاضعة للرقابة.

5.2.4.4

تُحدد إجراءات تطهير الأصول المعلوماتية وإتلافها وتُعتمد وتُطبق وتُراجع سنويًا، بما يتماشى مع متطلبات تصنيف المعلومات وأمنها.

5.2.4.5

يُنفَّذ التخلص من المعلومات الحساسة المقيمة على الأصول المعلوماتية بأساليب ملائمة تجعل المعلومات غير قابلة للاسترجاع (مثل المحو الآمن والمسح الآمن والتقطيع المتقاطع المزدوج والتمزيق والإتلاف التشفيري وغيرها).

5.2.4.6

توثق أنشطة التخلص لأغراض الالتزام والتدقيق.

5.2.5.1

تُحدد عملية وتُطبق لاكتشاف استخدام الأصول غير المصرح بها أو غير المدارة أو الدخيلة ومنعه وإدارته. وتُراجع العملية سنويًا وتُضمَّن تحسينات بناءً على نتائج المراقبة والمخاطر الناشئة.

5.2.5.2

تُستخدم أدوات وعمليات المراقبة لتحديد الأجهزة أو الأصول غير المعتمدة المتصلة ببيئة الجهة.

5.3 أمن البنية التحتية والشبكات

لضمان تركيب مكونات التقنية وقنوات الشبكات وضبط إعداداتها بشكل آمن، على الجهات الخاضعة للرقابة تطبيق ضوابط ملائمة لأمن البنية التحتية والشبكات.

5.3.1.1

تُحدد معايير الإعدادات الأمنية وتُعتمد وتُطبق وتُراقب وتُراجع وتُحدث سنويًا على الأقل لضمان بقائها فعّالة وملائمة ومتوائمة مع التهديدات المتطورة، مغطية جميع الأصول التقنية المستخدمة في المنشأة.

5.3.1.2

تُبنى معايير الإعدادات الأمنية على أفضل الممارسات العالمية (مثل NIST ومعايير مركز أمن الإنترنت CIS) والأدلة الصادرة عن الشركات المصنعة الأصلية (OEMs) والسياسات الداخلية وأفضل ممارسات الجهة الخاضعة للرقابة.

5.3.1.3

تتضمن معايير الإعدادات الأمنية بحد أدنى: أ) تثبيت الإصدارات المعتمدة والمدعومة فقط من البرمجيات؛ ب) تثبيت الحد الأدنى من المكونات أو الخدمات اللازمة لتلبية المتطلبات؛ ج) تطبيق التحديثات الأمنية المحدثة، بما يشمل حزم تحديثات البرامج الثابتة للأجهزة؛ د) حماية البيانات بما يتماشى مع متطلبات إدارة الأصول وتصنيف المعلومات؛ هـ) تعطيل الخدمات والمنافذ الضعيفة أو غير الضرورية أو تقييد الوصول إليها؛ و) تغيير كلمات المرور الافتراضية وإزالة الحسابات غير اللازمة أو تعطيلها؛ ز) ضبط التحكم بالوصول بناءً على مبدأي الحاجة إلى المعرفة والحاجة إلى الامتلاك؛ ح) إزالة امتيازات المسؤول المحلي من أجهزة المستخدمين النهائيين؛ ط) تعطيل البروتوكولات والخوارزميات الضعيفة أو غير الآمنة وضمان استخدام أحدث الخوارزميات المدعومة قطاعيًا فقط؛ ي) ضبط تدابير أمنية لقفل الجلسات أو إنهائها (مثل تسجيل الخروج أو إغلاق صفحة التطبيق أو مهلة التطبيق) بعد مدة خمول وشروط محددة مسبقًا؛ ك) تدابير استباقية للحماية من البرمجيات الخبيثة وبرامج الفدية وفقدان البيانات وهجمات حجب الخدمة (DoS) والتهديدات المتقدمة وغيرها؛ ل) مزامنة ساعات الأنظمة مع الساعة المركزية؛ م) تفعيل تسجيل الأحداث والمراقبة.

5.3.1.4

تُجرى فحوصات دورية ربع سنوية للتحقق من الالتزام بمعايير الإعدادات الأمنية، ضمانًا للمراقبة المستمرة.

5.3.1.5

تُهيأ عمليات نشر التقنيات الجديدة وفقًا لمعايير الإعدادات، ويُجرى الاختبار قبل الإطلاق للتأكد من الالتزام.

5.3.2.1

توثق بنية الشبكة وتُعتمد وتُطبق وتُراجع دوريًا سنويًا على الأقل حتى مع عدم وقوع تغييرات، وتُحدث كلما طرأت تغييرات جوهرية على البنية، مثل عمليات النشر أو الترقية الكبرى.

5.3.2.2

تُحمى الشبكات عبر الإعداد والتطبيق الملائمين للحلول الأمنية (مثل الموجهات والجدران النارية وأنظمة منع الاختراق IPS وأنظمة اكتشاف الاختراق IDS والوسطاء وحمايات التهديدات المتقدمة المستمرة APT وترشيح البريد الإلكتروني والإنترنت والشبكات الخاصة الافتراضية VPNs وغيرها) للحماية من التهديدات السيبرانية واكتشافها.

5.3.2.3

تُفصل الشبكة إلى نطاقات إنتاج واختبار وتطوير بسياسات أمن شبكات متمايزة لكل نطاق، بناءً على حرجيته وغرضه وتعرضه للمخاطر.

5.3.2.4

تُطبق المناطق منزوعة السلاح (DMZs) لاستضافة الخدمات المتاحة للعموم، مع قصر الحركة الواردة على عناوين وبروتوكولات ومنافذ محددة.

5.3.2.5

يجري التحقق من هوية جميع الاتصالات الخارجية بالشبكة الداخلية للمنشأة وتشفيرها.

5.3.2.6

يُفعَّل تسجيل الأحداث في أجهزة الشبكة لالتقاط التغييرات على إعدادات الشبكة والأحداث الأمنية.

5.3.2.7

تُسجل جميع نقاط الوصول اللاسلكية أو المحطات القاعدية المتصلة بشبكة المنشأة وتُعتمد وتُهيأ بأمان.

5.3.2.8

تُراقب الشبكة باستمرار لاكتشاف الأجهزة غير المصرح بها أو الدخيلة المتصلة بها، وتُعزل هذه الأجهزة أو تُعطل فور اكتشافها.

5.3.3.1

تُحدد معايير الأمن لاتصالات الشبكات وواجهات التطبيقات وتُعتمد وتُطبق وتُراجع سنويًا على الأقل وتُحدث.

5.3.3.2

توثق اتصالات الشبكات وواجهات التطبيقات وتدفقات البيانات وتُصان للاتصالات الداخلية والخارجية بشبكة المنشأة، سواء محليًا أو على السحابة.

5.3.3.3

تتضمن معايير الإعدادات الأمنية متطلبات تتعلق بتشفير الشبكات والتحقق من الهوية وإدارة الجلسات ومهلها وحوكمة الوصول وأمن البيانات وغيرها.

5.3.3.4

تُختبر اتصالات الشبكات وواجهات التطبيقات سنويًا أو عقب أي تغيير جوهري، للتحقق الدوري من الالتزام بمعايير الإعدادات الأمنية.

5.4 أمن الأجهزة الطرفية

لضمان معالجة المخاطر الناشئة عن استخدام أجهزة الحوسبة المحمولة غير المصرح بها أو غير المحمية، على الجهات الخاضعة للرقابة اعتماد التدابير اللازمة لأمن الأجهزة المحمولة.

5.4.1.1

تُحدد سياسة لأمن الأجهزة المحمولة وتُعتمد وتُطبق وتُراقب وتُراجع دوريًا سنويًا وتُحدث.

5.4.1.2

لا يُسمح باتصال الأجهزة المحمولة بشبكة المنشأة إلا بعد التصريح اللازم والتحقق الأمني.

5.4.1.3

تتضمن سياسة الأجهزة المحمولة لدى الجهات الخاضعة للرقابة سياسة استخدام مقبول (AUP) تحدد قواعد الاستخدام الشخصي والمتعلق بالعمل.

5.4.1.4

تُطبق معايير الإعدادات الأمنية على الجهاز المحمول قبل تخصيصه للمستخدمين أو السماح باتصاله بشبكة المنشأة.

5.4.1.5

توسم جميع الأجهزة المحمولة وتُسند إلى موظف أو متعاقد أو موظف مورد طرف خارجي واحد بعينه، وتُسجل هويتها وتُتتبع في جرد مركزي.

5.4.1.6

تُراقب باستمرار جميع الأجهزة المحمولة المتصلة بشبكة المنشأة، لاكتشاف الوصول غير المصرح به أو السلوك الخبيث.

5.4.1.7

تُحظر الأجهزة المفقودة والمكسورة الحماية (rooted/jailbroken) من الوصول إلى موارد المنشأة.

5.4.1.8

للأجهزة المملوكة للجهة الخاضعة للرقابة، تُعاد أجهزة الحوسبة المحمولة للموظفين والمتعاقدين وموظفي موردي الأطراف الخارجية المنتهية خدمتهم أو المغادرين، وتُمحى جميع البيانات المقيمة عليها بأمان أو تُنسخ احتياطيًا حسب الحاجة.

5.4.1.9

للأجهزة المملوكة للموظف (BYOD)، تُنسخ بيانات الجهة الخاضعة للرقابة المقيمة على هذه الأجهزة احتياطيًا بأمان وتُخزن في أنظمة الجهة أو مستودعاتها الآمنة، ثم تُزال من جهاز الموظف عند انتفاء الحاجة إليها (مثل انتهاء الخدمة أو زوال ضرورة التخزين على جهاز الموظف).

5.4.1.10

عند تخصيص الأجهزة أو إعادة تخصيصها لمستخدمين جدد، يُعاد تثبيت معايير الإعدادات الأمنية قبل التسليم.

5.4.1.11

على الجهات الخاضعة للرقابة تأمين السجلات المهمة المخزنة على الأجهزة المحمولة عبر ضمان: أ) اعتماد الجهة المسبق للتطبيقات المثبتة؛ ب) تثبيت البرمجيات المصرح بها فقط؛ ج) تطبيق تشفير الأجهزة الطرفية أو العزل الحاوي (Containerization) لحماية البيانات.

5.4.1.12

على الجهات الخاضعة للرقابة تحديد حد أقصى لعدد الأجهزة المتصلة بشبكة الجهة لكل موظف بناءً على حاجة العمل، للتحكم بالوصول وإدارة المخاطر.

5.4.1.13

تدعم جميع الأجهزة المحمولة المتصلة بشبكة المنشأة تشفير القرص الكامل (مثل BitLocker لويندوز وFileVault لماك) والتحقق من الهوية قبل الإقلاع، لمنع الوصول غير المصرح به.

5.4.1.14

تدعم الأجهزة المحمولة خاصية المسح عن بعد لإتاحة المحو الآمن للبيانات عند الفقدان أو السرقة.

5.4.1.15

تُهيأ الأجهزة المحمولة بالقفل التلقائي ومهل الخمول بعد مدة محددة مسبقًا لمنع الوصول غير المصرح به.

5.4.1.16

تُنشر منصة مركزية لإدارة الأجهزة المحمولة (MDM) لمتابعة وتتبع استخدام جميع الأجهزة المحمولة المتصلة بشبكة المنشأة وإعداداتها والتزامها.

5.4.1.17

للأجهزة المملوكة للموظفين، على الجهة الخاضعة للرقابة تطبيق ضوابط أمنية، بما يشمل أدوات إدارة الأجهزة المحمولة (MDM)، لإنفاذ السياسات ومنع تسرب البيانات. وتُعزل بيانات الجهة عن البيانات الشخصية باستخدام العزل الحاوي أو وسائل آمنة أخرى.

5.4.1.18

تُثبَّت أدوات حماية الأجهزة الطرفية (مثل مضادات الفيروسات والبرمجيات الخبيثة) على جميع الأجهزة المحمولة لاكتشاف البرمجيات الخبيثة ومنعها.

5.4.1.19

تُنشر الجدران النارية الشخصية على جميع منصات المستخدمين النهائيين (مثل ويندوز وماك والأجهزة المحمولة)، بقواعد متوائمة مع سياسات الشبكة وحماية البيانات لدى الجهة.

5.4.2.1

تُطبق إجراءات لإدارة وسائط التخزين القابلة للإزالة وفقًا لمخطط تصنيف الأصول المعلوماتية.

5.4.2.2

يُحظر افتراضيًا استخدام وسائط التخزين القابلة للإزالة، ما لم يوجد مبرر عمل قوي وتُحصَّل الاعتمادات اللازمة لهذا الاستخدام من وظيفة أمن المعلومات. وتُسجل جميع الاستثناءات الممنوحة وتُراقب.

5.4.2.3

تُمسح وسائط التخزين القابلة للإزالة وتُطهر بأمان بعد الاستخدام لضمان عدم قابلية البيانات للاسترجاع.

5.4.2.4

تُفحص وسائط التخزين القابلة للإزالة في بيئة معزولة وتُمسح ضد البرمجيات الخبيثة قبل معالجة أي من محتواها في بيئة الجهة.

5.4.2.5

تُحمى الوسائط المحتوية على معلومات حساسة أثناء النقل لمنع الوصول غير المصرح به أو العبث أو سوء الاستخدام أو التلف.

5.4.2.6

تُشفَّر وسائط النسخ الاحتياطي والوسائط القابلة للإزالة المخزنة للبيانات المصنفة ويُتعامل معها على النحو السليم وفقًا لأدلة التعامل مع الأصول المحددة.

5.4.2.7

يُتخلص من وسائط التخزين القابلة للإزالة التي لم تعد لازمة وتُتلف بأمان وفقًا لسياسات وإجراءات الجهة الخاضعة للرقابة ذات العلاقة.

5.5 أمن البريد الإلكتروني

لضمان قناة اتصال إلكتروني آمنة وموثوقة، على الجهات الخاضعة للرقابة اعتماد التدابير الأمنية الملائمة لحماية البريد الإلكتروني.

5.5.1.1

توثق أدلة استخدام البريد الإلكتروني وتُعتمد وتُطبق وتُراجع سنويًا على الأقل، وتتضمن: أ) منح الوصول إلى البريد وفقًا لسياسة وإجراءات إدارة الوصول؛ ب) الممارسات الآمنة لإرسال الرسائل واستقبالها؛ ج) الاستخدام المقبول للبريد الإلكتروني ونظامه؛ د) التعامل مع المرفقات والروابط داخل الرسائل والرسائل المزعجة وغيرها؛ هـ) حماية المحتوى المتداول عبر البريد واكتشافه ومراقبته؛ و) الاحتفاظ ببيانات البريد وفقًا لسياسة وإجراءات حماية البيانات والخصوصية.

5.5.1.2

تُطبق ضوابط لحماية أنظمة البريد الإلكتروني والمراسلة وتأمينها من المخاطر الأمنية (مثل الرسائل المزعجة والروابط والمرفقات الخبيثة والتصيد عبر البريد).

5.5.1.3

يستخدم الموظفون والمتعاقدون وموظفو موردي الأطراف الخارجية البريد الإلكتروني التزامًا بمتطلبات خصوصية البيانات وأمنها لدى الجهة الخاضعة للرقابة.

5.5.2.1

تُطبق تدابير أمنية ملائمة (مثل التوقيعات الرقمية والتشفير) لحماية سرية المعلومات المتداولة عبر البريد الإلكتروني وسلامتها.

5.5.2.2

تُنشر أدوات ترشيح البريد ومكافحة التصيد لاكتشاف الرسائل الخبيثة ومنعها.

5.5.2.3

تُطبق آليات للتحقق من هوية مراسلات البريد الإلكتروني وضمان سلامتها، بما يقلل مخاطر التصيد ويمنع انتحال البريد (مثل بروتوكولات DMARC وSPF وDKIM وغيرها).

5.5.2.4

على الجهات الخاضعة للرقابة تطبيق حلول لمراقبة النقل غير المصرح به للبيانات الحساسة عبر البريد الإلكتروني واكتشافه ومنعه، مثل حلول منع تسرب البيانات (DLP).

5.6 إدارة الهوية والصلاحيات

لتيسير الوصول الآمن والملائم إلى الأنظمة والخدمات والمباني والمعلومات ومرافق معالجة المعلومات، على الجهات الخاضعة للرقابة تطبيق تدابير أمنية رصينة ضمن برنامج إدارة الوصول لديها، مع اعتماد مبادئ انعدام الثقة (Zero-Trust).

5.6.1.1

تُحدد سياسة إدارة الوصول وتُعتمد وتُطبق وتُراجع سنويًا على الأقل. وتُبنى السياسة على متطلبات الأعمال وأمن المعلومات وتستند إلى مبادئ الأمن السيبراني الأساسية المحددة في هذه الوثيقة. وتعكس السياسة صراحةً مبادئ انعدام الثقة، بما يشمل ضوابط الوصول المبنية على الهوية والتحقق المستمر وإنفاذ الحد الأدنى من الامتيازات والتحقق القوي من الهوية.

5.6.1.2

تتضمن سياسة إدارة الوصول بحد أدنى: أ) تسجيل المستخدمين وتعديلهم وإلغاءهم للوصول الاعتيادي وذي الامتيازات؛ ب) تسجيل أنشطة إدارة الوصول ومراقبتها؛ ج) مراجعة الوصول؛ د) ضوابط وصول ديناميكية واعية بالسياق مبنية على آليات لحظية ومبنية على المخاطر؛ هـ) الاستخدام والإدارة والحماية والتخلص الآمن والمأمون لبيانات الاعتماد.

5.6.1.3

تُرسى عملية تصريح ويُحتفظ بسجل لجميع الامتيازات الممنوحة.

5.6.1.4

تُمنح الصلاحيات والامتيازات لجميع المستخدمين حصرًا على أساس الحاجة إلى المعرفة والحد الأدنى من الامتيازات بما يتماشى مع سياسة إدارة الوصول، وبعد اكتمال عملية التصريح.

5.6.1.5

يُمنح الوصول ذو الامتيازات ويُدار عبر نهج المنح الآني (Just-In-Time)، بما يضمن توفير الحقوق ذات الامتيازات عند الحاجة فقط ولأقصر مدة لازمة، بعد اكتمال عملية التصريح.

5.6.1.6

تُدمج ضوابط الفصل بين المهام في عمليات تسجيل المستخدمين وتعديلهم وإلغائهم.

5.6.1.7

تُسند معرّفات فريدة لكل مستخدم ونظام وخدمة وتطبيق، وفقًا لاصطلاح تسمية معياري.

5.6.1.8

يُسمح بالمعرّفات العامة أو الجماعية بناءً على مراجعة وتحقق من الأسباب العملية أو التشغيلية، ويلزم اعتماد مسبق لإنشائها واستخدامها. وتُراجع هذه المعرّفات مرتين في السنة على الأقل للتحقق من الضرورة وسلامة الاستخدام، وتُحدد ملكية المعرّفات الجماعية والمساءلة عنها رسميًا.

5.6.1.9

تُخزن بيانات التحقق من هوية المستخدمين وتُنقل بطريقة آمنة، بالاستفادة من آليات التشفير الملائمة.

5.6.1.10

تُعطى الأولوية لآليات التحقق القوي من الهوية، مثل التحقق دون كلمة مرور (كالتحقق المبني على الجهاز) والقياسات الحيوية، للأنظمة الحرجة بما يتماشى مع مبادئ انعدام الثقة، مع التحقق المستمر من مستويات ثقة المستخدم والجهاز.

5.6.1.11

تُراقب عمليات الدخول المتزامنة وتُمنع للأنظمة والتطبيقات الحرجة، ما لم تكن مطلوبة صراحةً للاستمرارية التشغيلية أو بسبب قيود تقنية يفرضها المورد. وتُعالج هذه الاستثناءات وفقًا لسياسة وإجراءات إدارة الاستثناءات لدى الجهة الخاضعة للرقابة.

5.6.1.12

تُسجل سجلات تدقيق ملائمة لجميع أنشطة إدارة الوصول ووصول المستخدمين وتُراقب وتُراجع شهريًا على الأقل للوصول ذي الامتيازات والأنظمة الحرجة، مع تنبيهات آلية لاكتشاف الأنشطة المشبوهة في الوقت المناسب. وتُجرى مراجعات أوسع كل ربع سنة لجميع سجلات الوصول.

5.6.1.13

على الجهات الخاضعة للرقابة إجراء مراجعة ضوابط الوصول سنويًا على الأقل لحسابات المستخدمين الاعتيادية وربع سنويًا للحسابات ذات الامتيازات وحسابات موردي الأطراف الخارجية، أو فورًا عقب أي تغيير في الموظفين أو الأدوار أو المسؤوليات. وتُحدد جميع الحسابات الخاملة وصلاحيات الوصول الزائدة وتُعطل أو تُحذف.

5.6.1.14

تُحدد الحسابات الخاملة آليًا بعد 30 يومًا وتُعطل بعد 90 يومًا من الخمول، ما لم تُبرَّر وتُعتمد عبر العمليات الموثقة لدى الجهات الخاضعة للرقابة.

5.6.1.15

يفعّل المستخدمون شاشة توقف محمية بكلمة مرور أو يسجلون الخروج من التطبيق عند مغادرة محطة العمل دون رقابة.

5.6.1.16

تُطبق حلول ملائمة لأمن الهوية، مثل حلول إدارة الوصول ذي الامتيازات (PAM)، لإدارة الوصول ذي الامتيازات إلى الأنظمة ومتابعته والتحكم به. ويتضمن الحل المراقبة اللحظية وضوابط إدارة الجلسات، بما يضمن الحد الأدنى من الامتيازات والتحقق المستمر.

5.6.1.17

تُوظَّف أدوات التحليلات السلوكية (مثل تحليلات سلوك المستخدمين والكيانات UEBA) لمتابعة أنشطة المستخدمين رصدًا للشذوذ وإطلاق استجابات آلية للحوادث الأمنية المحتملة، مثل قيود الوصول التكيفية أو متطلبات التحقق المشددة أو مهل إنهاء الجلسات.

5.6.2.1

على الجهات الخاضعة للرقابة إرساء سياسة للوصول عن بعد وتطبيقها والمحافظة عليها، تحدد كيفية منح الوصول عن بعد وإدارته ومراقبته وتأمينه.

5.6.2.2

يخضع كل وصول عن بعد يُمنح للمستخدمين للتحقق من الأسباب العملية أو التشغيلية، ويُعتمد من أصحاب المصلحة المعنيين بعد تقييم المخاطر الواجب، ويُقيَّد بمدة زمنية محددة. وتُطبق مبادئ انعدام الثقة عند منح الوصول عن بعد.

5.6.2.3

يُطبق التحقق متعدد العناصر لجميع مستخدمي الوصول عن بعد، بمن فيهم المتعاقدون وموردو الأطراف الخارجية. وتُطلب خطوات تحقق إضافية (مثل إعادة التحقق والتحقق التصعيدي) كضوابط وصول مبنية على المخاطر، بناءً على معايير ديناميكية (مثل موقع المستخدم وصحة الجهاز والسلوك غير المعتاد)، للتحقق المستمر من الوصول.

5.6.2.4

تُستثمر الضوابط الواعية بالسياق (مثل بيانات الجهاز وتحليل السلوك والموقع الجغرافي) لحوكمة الوصول ديناميكيًا بناءً على المخاطر.

5.6.2.5

تُعطى الأولوية للأجهزة المملوكة للجهة في الوصول عن بعد، مع التطبيق المتسق لمبادئ انعدام الثقة على أجهزة الجهة والأجهزة الشخصية (BYOD) معًا.

5.6.2.6

تكون الأجهزة المستخدمة للوصول عن بعد محدّثة بحزم التحديثات، وتُعزل الأجهزة غير المحدثة أو تُعالج.

5.6.2.7

تُقيَّد الجلسات البعيدة لموردي الأطراف الخارجية زمنيًا بحسب احتياجات الأعمال، وتُسجل وتُراقب.

5.6.2.8

تُسجل جميع عمليات الوصول والأنشطة المنفذة عبر الوصول عن بعد وتُراقب.

5.6.2.9

لا يُسمح بالوصول البعيد المباشر إلى أنظمة الإنتاج الداخلية، ولا يُتاح الوصول إلى بيئات الإنتاج إلا عبر الآليات والضوابط المعتمدة.

5.6.2.10

تُشفَّر جميع اتصالات وجلسات الوصول عن بعد من الطرف إلى الطرف باستخدام أحدث البروتوكولات الأمنية (مثل VPN وmTLS).

5.6.2.11

تُنهى الجلسات البعيدة الخاملة آليًا بعد مدة محددة، تُحدد بناءً على حرجية النظام والبيانات المتبادلة.

5.6.3.1

توثق سياسة شاملة لإدارة كلمات المرور وتُعتمد وتُطبق وتُراجع سنويًا على الأقل أو عقب حادثة أمنية جوهرية.

5.6.3.2

تتضمن سياسة كلمات المرور متطلبات تاريخ كلمات المرور وقفل الحسابات والعمر الأقصى لكلمة المرور والطول الأدنى لها وقوائم كلمات المرور المحظورة، وتشمل إجراءات دخول آمنة.

5.6.3.3

تكون كلمات المرور: أ) بطول 12 حرفًا أو أكثر؛ ب) متضمنة أحرفًا وأرقامًا ورموزًا خاصة؛ ج) خالية من المعلومات سهلة التخمين مثل أسماء المستخدمين أو تواريخ الميلاد؛ د) مفحوصة عند الإنشاء مقابل قاعدة بيانات لكلمات المرور المخترقة أو الضعيفة أو شائعة الاستخدام.

5.6.3.4

يُطلب التحقق متعدد العناصر (MFA)، مثل كلمة المرور لمرة واحدة (OTP) أو التحقق المبني على الرموز أو الشهادات أو القياسات الحيوية (كبصمة الإصبع أو التعرف على الوجه)، لجميع المستخدمين. وتعطي الجهات الخاضعة للرقابة الأولوية لآليات التحقق دون كلمة مرور.

5.6.3.5

تُغيَّر كلمات مرور جميع الحسابات الافتراضية والمزودة من الموردين والموثقة علنًا في الأنظمة (بما يشمل حسابات الخدمات) قبل النشر، وتُهيأ لتلبية سياسة كلمات المرور لدى الجهة.

5.6.3.6

تُبلَّغ كلمات المرور وتُعاد تهيئتها بطريقة آمنة تضمن وصولها للمستخدم المقصود، مع استبدال كلمات المرور الافتراضية فورًا من المستخدم عند أول استخدام.

5.6.3.7

تُخزن كلمات المرور بأمان باستخدام خوارزميات البصم التشفيري (مثل PBKDF2) مع إضافة قيم عشوائية (Salting).

5.7 التشفير

للحماية من الإفصاح غير المقصود عن المعلومات والاختراقات والمساس بسلامتها، على الجهات الخاضعة للرقابة تطبيق تدابير ملائمة لحماية المعلومات باستخدام تقنيات التشفير.

5.7.1.1

توثق سياسة للتشفير وتُعتمد وتُطبق وتُراجع سنويًا وتُحدث. وتتضمن السياسة المبادئ الخاصة بالجهة والاستخدام المقبول لضوابط التشفير، وتراعي معايير القطاع وأفضل الممارسات وأي متطلبات قانونية وتنظيمية.

5.7.1.2

تُرسى إجراءات لحماية منظومة تقنيات التشفير، تراعي: أ) اختيار متطلبات ضوابط التشفير وتطبيقها (مثل القوة والطول والأسلوب) وفقًا لسياسات خصوصية البيانات وحمايتها والالتزامات التنظيمية وأفضل ممارسات القطاع؛ ب) إدارة مفاتيح التشفير، مثل التوليد الآمن والتدوير والتوزيع والتخزين والأرشفة والاسترجاع والاستخدام والنسخ الاحتياطي والاستعادة والإتلاف ومحو المفاتيح الملغاة وغيرها؛ ج) استخدام التحقق متعدد العناصر ومتطلبات المفاتيح المركبة والمعرفة المجزأة والسيطرة الثنائية للدخول إلى مخزن المفاتيح.

5.7.1.3

يكون طول المفاتيح المستخدمة للتشفير وفقًا لأحدث أفضل الممارسات القطاعية المقبولة عالميًا، ويُراجع سنويًا على الأقل للتحقق من كفايته أو كلما حُددت ثغرات أو توصيات جديدة.

5.7.1.4

على الجهات الخاضعة للرقابة استخدام تقنيات تشفير ملائمة لتأمين البيانات الحساسة ضمن سجلات الأنظمة وملفات الإعدادات وقواعد البيانات والشبكات والتطبيقات والنسخ الاحتياطية وسائر الأصول المعلوماتية حسب الانطباق، مع التطبيق المتسق لهذه التقنيات عبر المنشآت المحلية والسحابية.

5.7.1.5

تُخزن مفاتيح تشفير المفاتيح منفصلة عن مفاتيح تشفير البيانات، ولا تتشارك مجموعات البيانات المشفرة موقع التخزين ذاته مع مفاتيح تشفيرها.

5.7.1.6

تُراجع مفاتيح التشفير دوريًا وتُدوَّر عند الاشتباه باختراقها للحد من تعرض البيانات.

5.8 أمن التطبيقات ودورة التطوير الآمنة

لضمان تصميم ضوابط الأمن السيبراني وتطبيقها وإدارتها طوال دورة حياة تطوير التطبيقات أو عند اقتناء تطبيقات جديدة، على الجهات الخاضعة للرقابة إرساء عملية لإدارة دورة حياة البرمجيات الآمنة.

5.8.1.1

تُحدد عملية إدارة دورة حياة البرمجيات الآمنة وتُعتمد وتُطبق وتُراقب وتُراجع سنويًا وتُحدث.

5.8.1.2

تُضمَّن مبادئ تصميم الأمن والخصوصية ومتطلبات التصنيف وتُراعى أثناء تصميم التطبيقات الجديدة، أو تُبيَّن في الاتفاقية مع الجهة الموردة للتطبيقات التجارية الجاهزة (COTS). وتتبع جميع التحسينات على التطبيقات المطورة داخليًا أو التجارية الجاهزة العملية ذاتها.

5.8.1.3

على الجهة الخاضعة للرقابة ضمان أن ترافق جميع البرمجيات، سواء المطورة داخليًا أو المقتناة خارجيًا، قائمة مكونات برمجيات (SBOM) محدثة، بما يشمل المقدمة من موردي الأطراف الخارجية.

5.8.1.4

تُجرى مراجعات التصميم الآمن في مرحلتي البنية والتصميم.

5.8.1.5

يُشرَك فريق أمن المعلومات لضمان معالجة المتطلبات الأمنية خلال جميع مراحل إدارة دورة حياة البرمجيات (التصميم والتطوير والاختبار والتطبيق والصيانة والتخلص وغيرها).

5.8.1.6

يُتبع نهج DevSecOps لدمج الأمن في مسارات عمل التطوير والتشغيل.

5.8.1.7

تُتبنى ممارسات الترميز الآمن وفقًا لمتطلبات الجهة وأفضل الممارسات العالمية (مثل ممارسات الترميز الآمن لمشروع OWASP)، لضمان معالجة ثغرات الترميز الشائعة (مثل قائمة CWE لأخطر 25 ضعفًا برمجيًا) أثناء التطوير وتطبيق تدابير الحماية والاكتشاف والتصحيح والاستعادة الملائمة.

5.8.1.8

يُطبق الفصل بين المهام عبر تقييد الوصول إلى بيئات الإنتاج والاختبار والتطوير.

5.8.1.9

يُقيَّد الوصول إلى الشيفرة المصدرية للتطبيقات المطورة داخليًا ويُراقب ويُسجل. وللتطبيقات التجارية الجاهزة، يُحكم الوصول إلى الشيفرة المصدرية بتخزينها محليًا أو ببنود تعاقدية صارمة أو بترتيبات الإيداع الائتماني.

5.8.1.10

للتطبيقات الحرجة، يُدار الوصول إلى الشيفرة المصدرية عبر: أ) تخزينها محليًا؛ ب) أو من خلال ترتيب إيداع ائتماني؛ ج) أو ببنود تعاقدية صارمة مع مزود التطبيق أو الخدمة.

5.8.1.11

تُوظَّف آليات التحكم بالإصدارات لتتبع تغييرات الشيفرة وضمان سلامتها.

5.8.2.1

يُحصَّل إما شهادة تقييم أمني أو دليل مكافئ، أو يُجرى تقييم ثغرات أو اختبار مكافئ للمنتجات التجارية الجاهزة، لضمان اختبار التطبيقات ومعالجة الثغرات المحددة.

5.8.2.2

تخضع جميع التطبيقات، بغض النظر عن نوعها، لتقييمات أمنية شاملة دوريًا، تشمل تقييمات الثغرات واختبارات الاختراق.

5.8.2.3

تعرض التطبيقات أو الأنظمة رسائل خطأ عامة مع مراعاة المبادئ التالية بحد أدنى: أ) استخدام صفحات خطأ مخصصة؛ ب) ألا تشير استجابات فشل التحقق من الهوية إلى الجزء الخاطئ من بيانات التحقق؛ ج) عدم الإفصاح عن المعلومات الحساسة أو عرضها في استجابات الخطأ، بما يشمل تفاصيل الأنظمة ومعرّفات الجلسات ومعلومات الحسابات وغيرها.

5.8.2.4

تُراجع سجلات الأخطاء يوميًا للأنظمة الحرجة وشهريًا على الأقل لسائر الأنظمة، لاكتشاف أي سلوك شاذ وهجمات محتملة.

5.8.3.1

تُصمم واجهات برمجة التطبيقات وتُطور وفقًا لممارسات الترميز الآمن (مثل قائمة OWASP لأبرز 10 مخاطر لأمن واجهات API)، لمنع ثغرات مثل كسر التحقق من الهوية وانكشاف البيانات وغياب تقييد المعدل. كما تُعطل أساليب HTTP غير المستخدمة وتُوقف الإصدارات المتقادمة.

5.8.3.2

على الجهات الخاضعة للرقابة المحافظة على جرد استخدام واجهات برمجة التطبيقات.

5.8.3.3

تُنفذ واجهات برمجة التطبيقات آليات تحقق قوي من الهوية (مثل OAuth 2.0 ومفاتيح API وmTLS) وتطبق التحكم بالوصول المبني على الأدوار (RBAC)، بما يضمن اقتصار الوصول إليها على المستخدمين والتطبيقات المخولين.

5.8.3.4

يُتحقق من جميع مدخلات واجهات برمجة التطبيقات لمنع هجمات الحقن، وتُرمَّز بيانات المخرجات على النحو السليم لمعالجة المخاطر المحتملة.

5.8.3.5

تُطبق آليات تقييد المعدل والتقنين لحماية واجهات برمجة التطبيقات من هجمات حجب الخدمة (DoS) وإساءة الاستخدام.

5.8.3.6

تُشفَّر حركة واجهات برمجة التطبيقات باستخدام خوارزميات قياسية قطاعيًا لضمان سرية البيانات المنقولة وسلامتها.

5.8.3.7

تُوظَّف بوابات واجهات برمجة التطبيقات لإنفاذ السياسات الأمنية وإدارة الحركة ومراقبة الاستخدام. وتُسجل الواجهات وتُدار عبر البوابة لمركزة الإنفاذ الأمني.

5.8.3.8

تخضع واجهات برمجة التطبيقات لتقييمات أمنية دوريًا وبعد التغييرات الكبرى، ومنها على سبيل المثال لا الحصر الاختبار الوظيفي واختبار الاختراق واختبار التشويش (Fuzzing) واختبار أمن التطبيقات الديناميكي والساكن (DAST/SAST) واختبار وقت التشغيل واختبار الإعدادات الأمنية الخاطئة.

5.8.3.9

تُسجل جميع أنشطة واجهات برمجة التطبيقات وتُراقب، بما يشمل محاولات التحقق من الهوية والوصول إلى البيانات والأخطاء، رصدًا للشذوذ والأنشطة المشبوهة.

5.8.3.10

على الجهات الخاضعة للرقابة تحديد وتوثيق عملية لإدارة دورة حياة واجهات برمجة التطبيقات، تشمل ممارسات الإهمال والإيقاف الآمنين، لمنع الثغرات في الواجهات غير المستخدمة أو القديمة.

5.8.3.11

تتعامل واجهات برمجة التطبيقات مع الأخطاء بأمان لتجنب كشف المعلومات الحساسة (مثل تتبعات المكدس وأخطاء قواعد البيانات) في استجابات الخطأ أو رسائله.

5.8.3.12

لواجهات برمجة التطبيقات الخاصة بالأطراف الخارجية، على الجهات تقييم وضعها الأمني وضمان التزامها بالالتزامات التعاقدية ومعايير القطاع.

5.9 إدارة التغيير والإطلاق

لضمان وجود المتطلبات الأمنية اللازمة وفعاليتها ضمن التغييرات، على الجهات الخاضعة للرقابة تضمين الاعتبارات الأمنية في عملية إدارة التغيير والإطلاق.

5.9.1.1

تُحدد عملية إدارة التغيير والإطلاق وتُعتمد وتُطبق وتُراقب وتُراجع سنويًا وتُحدث.

5.9.1.2

تضمن عملية إدارة التغيير والإطلاق المراعاة الملائمة للضوابط الأمنية المحددة في الدورة الكاملة لإدارة التغيير والإعدادات والإطلاق.

5.9.1.3

على الجهات الخاضعة للرقابة تصنيف التغييرات بحسب الأولوية ودرجة التعقيد وطبيعة التغيير، وضمان تحديد المخاطر وتقييمها ومعالجتها.

5.9.1.4

يلزم توافر التوثيق والاختبار والاعتمادات الملائمة قبل تطبيق التغيير في الإنتاج. ويتضمن توثيق التغييرات الكبرى بحد أدنى: أ) وصفًا تفصيليًا للتغيير المقترح؛ ب) تقييم الأثر على خدمات الأعمال الأساسية والعملاء؛ ج) تحليل المخاطر؛ د) إستراتيجيات المعالجة.

5.9.1.5

تُراجع جميع التغييرات وتُعتمد لضمان الالتزام المتسق بالسياسات والإجراءات المنطبقة.

5.9.1.6

يُخطط الاختبار ويُنفذ ويوثق للتحقق من النتيجة المتوقعة، مع مراعاة: أ) اختبار قبول المستخدم للتحقق من الوظائف؛ ب) اختبار الإجهاد ومعالجة الاستثناءات وسلامة واجهات التطبيقات؛ ج) الاختبار الأمني لإدارة المستخدمين وأمن التطبيقات والبنية التحتية ومراجعات الشيفرة المصدرية (حسب الانطباق) واختبار الاختراق وتقييم الثغرات؛ د) سجلات التدقيق.

5.9.1.7

تُرسى إجراءات تراجع ملائمة للاستعادة من التغييرات غير الناجحة والأحداث غير المتوقعة.

5.9.1.8

على الجهات الخاضعة للرقابة طلب موافقة بنك الكويت المركزي على التغييرات ذات الأثر الكبير على خدمات الأعمال الأساسية للجهة أو المؤثرة على العملاء.

5.9.1.9

على الجهات الخاضعة للرقابة تقديم طلب اعتماد رسمي إلى بنك الكويت المركزي لأي تغيير كبير قبل تاريخ التطبيق المزمع، وفقًا للمهل والتعليمات المحددة من البنك في هذا الشأن. ويتضمن طلب الاعتماد وصفًا تفصيليًا للتغيير المقترح وتقييم الأثر على خدمات الأعمال الأساسية والعملاء وتحليل المخاطر وإستراتيجيات المعالجة. وفي حال طلب البنك معلومات إضافية، تستجيب الجهة فورًا لضمان معالجة الطلب في الوقت المناسب.

5.10 إدارة السعة

لضمان توافر مكونات التقنية وكفاية أدائها، على الجهات الخاضعة للرقابة تطبيق عملية لمراقبة الأنظمة وإدارة السعة.

5.10.1.1

توثق عملية لإدارة السعة وتُعتمد وتُطبق وتُراجع سنويًا على الأقل.

5.10.1.2

على الجهات الخاضعة للرقابة تحديد عتبات ملائمة لمراقبة السعة بناءً على حرجية الأنظمة، مع مراعاة الاستغلال الحالي والمتطلبات المستقبلية وأداء الأنظمة الحالي وعدم توافر الخدمات وغيرها، وتطبيق تدابير لمعالجتها.

5.10.1.3

تُراجع العتبات المحددة كل ربع سنة أو عقب الحوادث أو الترقيات أو التغييرات الكبرى، لضمان استمرار ملاءمتها ومواءمتها مع احتياجات الأعمال.

5.10.1.4

تُنفَّذ المراقبة والقياس والتحليل المستمرة لتتبع الأداء على مستوى الأصول، بما يشمل استخدام المعالج وأزمنة الاستجابة والكمون واستغلال التخزين ومعدلات المعالجة، إضافة إلى فترات التوقف وأسباب عدم التوافر. وتُستخدم التنبيهات اللحظية ولوحات المتابعة للإنذار المبكر بمشكلات السعة.

5.10.1.5

على الجهات الخاضعة للرقابة تطبيق تدابير استباقية لمعالجة مخاطر السعة والاختناقات، عبر تخطيط سعة سليم يضمن كفاية الموارد المطلوبة لتلبية احتياجات الأعمال الحالية والمستقبلية بطريقة فعّالة التكلفة وقابلة للتوسع وآمنة. ويُجرى تخطيط السعة سنويًا ويُراجع ربع سنويًا وعند الحاجة بناءً على تغيرات توقعات الأعمال أو البنية التحتية أو المخاطر الناشئة.

5.10.1.6

تُنفَّذ اختبارات السعة، مثل اختبار الإجهاد، أثناء عمليات نشر الأنظمة أو ترقيتها أو التغييرات الجوهرية، للتحقق من كفاية الموارد.

5.11 حماية البيانات والخصوصية

لضمان الحماية من اختراقات البيانات والمعلومات وبناء الثقة عبر الاستخدام المسؤول للبيانات، على الجهات الخاضعة للرقابة إرساء تدابير ملائمة لحماية البيانات والخصوصية.

5.11.1.1

توثق سياسة لحماية البيانات وإجراءات داعمة لتحديد السجلات المهمة وحمايتها، وتُعتمد وتُطبق وتُراجع سنويًا.

5.11.1.2

تتضمن السياسة والإجراءات مواصفات معالجة البيانات والمعلومات المصنفة وتخزينها والاحتفاظ بها والتخلص منها وفقًا لـ: أ) المتطلبات التنظيمية والقانونية؛ ب) متطلبات الأعمال المحلية والعابرة للحدود.

5.11.1.3

تُطبق ضوابط أمنية لحماية سرية البيانات والمعلومات المصنفة وسلامتها وتوافرها أثناء التخزين والنقل والمعالجة أو الاستخدام.

5.11.1.4

تكون تقنيات التشفير المستخدمة لحماية البيانات والمعلومات المصنفة وفقًا لسياسة التشفير المعتمدة لدى الجهات الخاضعة للرقابة، المتماشية مع أفضل ممارسات القطاع.

5.11.1.5

تُطبق تدابير أمن البيانات وخصوصيتها، ومنها على سبيل المثال لا الحصر ضوابط الوصول والتشفير والمراقبة، على البيانات المشاركة مع موردي سلسلة الإمداد.

5.11.1.6

تُبلَّغ متطلبات خصوصية البيانات وحمايتها إلى موردي الأطراف الخارجية ويلتزمون بها التزامًا صارمًا، وتُحدد ضمن اتفاقية الإسناد.

5.11.2.1

توثق سياسة لخصوصية البيانات وتُعتمد وتُطبق وتُراجع سنويًا لتتواءم مع المتطلبات القانونية والتنظيمية والقطاعية.

5.11.2.2

على الجهات الخاضعة للرقابة تضمين الخصوصية بالتصميم مكوّنًا أساسيًا في إستراتيجية حماية البيانات، لضمان دمج متطلبات خصوصية البيانات في جميع الأنظمة والتقنيات منذ بداية دورة حياتها. وينبغي مراعاة مبادئ الخصوصية بالتصميم التالية: أ) استباقي لا تفاعلي، وقائي لا علاجي: تُدمج الخصوصية في التصميم من البداية لمنع انتهاكاتها استباقيًا؛ ب) الخصوصية إعدادًا افتراضيًا: تُحمى البيانات الشخصية تلقائيًا في أي نظام دون حاجة المستخدمين المعنيين لإجراءات إضافية لحماية خصوصيتهم؛ ج) الخصوصية مضمّنة في التصميم: تكون الخصوصية اعتبارًا أساسيًا في تصميم الأنظمة وبنيتها؛ د) الوظائف الكاملة، مجموع موجب لا صفري: تستوعب الخصوصية جميع المصالح والأهداف المشروعة دون التضحية بعناصر مثل سهولة الاستخدام أو الكفاءة أو الوظائف؛ هـ) الأمن من الطرف إلى الطرف، حماية دورة الحياة: تُحمى البيانات في جميع مراحل دورة الحياة من الجمع حتى الحذف، بما يشمل التخزين والنقل الآمنين والإتلاف النهائي؛ و) الرؤية والشفافية، أبقها مفتوحة: تكون الأنظمة والعمليات شفافة بما يتيح للمستخدمين المخولين الاطلاع على كيفية التعامل مع بياناتهم؛ ز) احترام خصوصية المستخدم، أبقها متمحورة حول المستخدم: يعطي النظام الأولوية لمصالح خصوصية المستخدمين، بما يشمل توفير خيارات سهلة لاختيار تفضيلات الخصوصية وإدارتها.

5.11.2.3

تُضمَّن في السياسة مبادئ الخصوصية التالية المتعلقة بالبيانات الشخصية: أ) المشروعية والعدالة والشفافية: تُعالج البيانات الشخصية بمشروعية وعدالة وشفافية تجاه صاحب البيانات؛ ب) تحديد الغرض: تُجمع البيانات الشخصية لأغراض محددة وصريحة ومشروعة ولا تُعالج لاحقًا بما يتنافى معها، ولا تُعد المعالجة اللاحقة لأغراض الأرشفة منافية للأغراض الأصلية؛ ج) تقليل البيانات: تكون البيانات الشخصية المجموعة كافية وذات علاقة ومقتصرة على اللازم للأغراض التي تُعالج من أجلها؛ د) الدقة: تكون البيانات الشخصية دقيقة ومحدثة عند اللزوم، وتُتخذ خطوات لضمان محو أو تصحيح البيانات غير الدقيقة، بالنظر إلى أغراض معالجتها، دون تأخير؛ هـ) تحديد مدة التخزين: تُحفظ البيانات الشخصية بصيغة تتيح تحديد هوية أصحابها لمدة لا تتجاوز اللازم لأغراض المعالجة، ويجوز تخزينها لمدد أطول إذا اقتصرت معالجتها على أغراض الأرشفة صونًا لحقوق صاحب البيانات وحرياته، وتلتزم مدد الاحتفاظ بتعليمات بنك الكويت المركزي وقوانينه ولوائحه ذات العلاقة؛ و) الموافقة: تُجمع البيانات الشخصية بموافقة صريحة من صاحبها، على أن تكون حرة ومحددة ومستنيرة ولا لبس فيها وإيجابية، ومنفصلة عن سائر الشروط والأحكام، وألا تُستخدم شرطًا مسبقًا للاشتراك في الخدمات أو الوصول إليها ما لم تكن ضرورية للخدمة ذاتها، ولصاحب البيانات سحب موافقته في أي وقت؛ ز) الحق في النسيان: لصاحب البيانات طلب محو بياناته الشخصية عند توقف معالجتها أو انتفاء الحاجة إليها للأغراض الأصلية التي جُمعت أو عولجت من أجلها أو سحب الموافقة أو عدم التزام البيانات بالمتطلبات القانونية والتنظيمية؛ ح) السلامة والسرية: تُعالج البيانات الشخصية بطريقة تضمن أمنها الملائم، بما يشمل الحماية من المعالجة غير المصرح بها أو غير المشروعة ومن الفقدان أو الإتلاف أو التلف العرضي، باستخدام تدابير تقنية أو تنظيمية ملائمة.

5.11.2.4

على الجهات الخاضعة للرقابة إشعار بنك الكويت المركزي فور اكتشاف اختراق للبيانات الشخصية، دون تأخير ووفقًا للمهل المحددة في خطوط الأساس للمرونة التشغيلية الصادرة عن البنك.

5.11.2.5

على الجهات الخاضعة للرقابة إشعار صاحب البيانات عند اختراق بياناته الشخصية، دون تأخير غير مبرر، إذا كان الاختراق مرجحًا أن يشكل خطرًا عاليًا على حقوقه وحرياته، بما يمكّنه من اتخاذ الاحتياطات اللازمة.

5.11.2.6

يُجرى تقييم أثر الخصوصية (PIA) كل سنتين أو كلما وقعت تغييرات جوهرية في البيئة، لتحديد البيانات الشخصية المحتملة المعرضة للخطر والتأكد من توافر التدابير التقنية الملائمة لحمايتها. وتُراجع تقييمات أثر الخصوصية سنويًا.

5.11.2.7

تُبلَّغ متطلبات حماية البيانات وتُنفَّذ ضمن اتفاقيات الإسناد. وتضمن الجهات الخاضعة للرقابة التزام الأطراف الخارجية التزامًا صارمًا بمتطلبات وسياسات خصوصية البيانات وحمايتها.

5.12 تسجيل الأحداث والمراقبة وإدارة الحوادث الأمنية

لضمان جمع الأحداث الصادرة عن مختلف الأصول التقنية ومراقبتها وتحليلها وتتبعها باستمرار من أجل الاكتشاف المبكر والمعالجة، على الجهات الخاضعة للرقابة تطبيق برنامج ملائم لإدارة معلومات وأحداث الأمن والمحافظة عليه.

5.12.1.1

تُحدد سياسة لتسجيل الأحداث والمراقبة وتُعتمد وتُطبق وتُراجع سنويًا. وتتضمن السياسة متطلبات أنواع السجلات ومحتواها وحمايتها والاحتفاظ بها وأرشفتها ومراقبتها وإتلافها الآمن.

5.12.1.2

يُفعَّل تسجيل الأحداث على جميع الأصول التقنية الحرجة محليًا وفي السحابة.

5.12.1.3

يُبنى مستوى تفصيل التسجيل على تصنيف البيانات وتقييم المخاطر. وتتضمن السجلات بحد أدنى: أ) معرّف المستخدم (من)؛ ب) الطابع الزمني بالتاريخ والوقت (متى)؛ ج) مصدر النشاط مثل الموقع وعنوان IP والخدمة (من أين)؛ د) تفاصيل الحدث مثل الدخول والخروج (ماذا)؛ هـ) تفاصيل محاولات الوصول للأنظمة الناجحة والفاشلة؛ و) تفاصيل محاولات الوصول للموارد الناجحة والفاشلة؛ ز) تفاصيل محاولات تغيير الإعدادات أو الضبط الناجحة والفاشلة.

5.12.1.4

تُراقب مصادر السجلات ذات العلاقة والسجلات الواردة ويُربط بينها وتُحمى من العبث غير المصرح به.

5.12.1.5

على الجهات الخاضعة للرقابة تطبيق تقنيات ملائمة، أي أدوات إدارة معلومات وأحداث الأمن (SIEM)، لمراقبة الأحداث الأمنية وتسجيلها، بما يشمل الربط بين الأحداث وتحديد الشذوذ والحوادث الأمنية لمزيد من التحقيق.

5.12.1.6

ينبغي استخدام أنظمة آلية لتصنيف الحوادث وترتيب أولوياتها بحسب شدة التهديد المحدد، باستخدام خوارزميات تقييم مخاطر مبنية على الذكاء الاصطناعي.

5.12.2.1

توثق عملية لإدارة معلومات وأحداث الأمن لتحديد الأحداث والمشكلات والحوادث وتتبعها ومراقبتها، وتُعتمد وتُطبق وتُراجع سنويًا. وتتضمن العملية معايير: أ) تصنيف الأحداث والحوادث وتبويبها؛ ب) إسناد الملكية؛ ج) تقييم ما إذا كانت تشكل اختراقًا أمنيًا؛ د) تقييم شدة الحادثة وحرجيتها؛ هـ) مشاركة معلومات الحوادث والاستخبارات المرتبطة بالتهديدات.

5.12.2.2

على الجهات الخاضعة للرقابة إرساء عملية منظمة لاصطياد التهديدات والمحافظة عليها، للتحديد الاستباقي للتهديدات المجهولة أو الناشئة أو القائمة غير المحلولة داخل البيئة.

5.12.2.3

تُراقب مؤشرات الاختراق (IoCs) باستمرار باستخدام تقنيات اكتشاف آلية ويُبلغ عنها سريعًا للتحقيق.

5.12.2.4

يُتحقق من الحوادث عبر الربط بين الأدلة المحصلة من مصادر وسجلات مختلفة (مثل سجلات الجدار الناري وعناوين IP المصدرية وسجلات التطبيقات وأسماء المستخدمين).

5.12.3.1

تشكّل الجهات الخاضعة للرقابة فريقًا للاستجابة للحوادث (IRT) أو مجموعة مكافئة للاستجابة للحوادث الأمنية، على أن يكون الفريق متاحًا على مدار الساعة طوال أيام الأسبوع للاستجابة لحوادث وأحداث أمن المعلومات.

5.12.3.2

تُعد خطة موثقة للاستجابة للحوادث الأمنية وتُتاح بيسر للحد من أثر الحوادث الأمنية أو معالجته.

5.12.3.3

تُؤتمت كتيبات تشغيل الاستجابة للحوادث لتمكين الإدارة والاحتواء في الوقت المناسب للحوادث الأمنية بأدنى تدخل بشري.

5.12.3.4

يُرفع ملخص للحوادث إلى المجلس والإدارة التنفيذية العليا كل ربع سنة أو بتواتر أعلى بحسب شدة الحادثة وأثرها.

5.12.3.5

تُتتبع جميع الحوادث الأمنية المبلغ عنها وتُسجل وتُحلل وتُعالج. وتُطبق إستراتيجية المعالجة بما يتسق مع طبيعة الحادثة وشدتها.

5.12.4.1

تُرسى إجراءات التحقيق الجنائي الرقمي وتُصان وتُراجع سنويًا لضمان الجاهزية لجمع الأدلة وحفظها وتحليلها.

5.12.4.2

تحدد إجراءات التحقيق الجنائي الرقمي الأدوار والمسؤوليات ومسارات التصعيد لضمان التنسيق الفعّال لأنشطة التحقيق.

5.12.4.3

توجب الإجراءات وتحدد الاستخدام الملائم لأدوات وتقنيات التحقيق الجنائي الرقمي لجمع الأدلة والاحتفاظ بها وأرشفتها بطريقة تحافظ على سلامتها للأغراض القانونية أو التحقيقية.

5.12.4.4

تحدد الإجراءات متى وكيف يلزم التصريح والاعتماد من الإدارة أو جهات إنفاذ القانون أو الجهة التنظيمية لبدء أنشطة التحقيق الجنائي الرقمي، ضمانًا للالتزام بالمتطلبات التشغيلية والقانونية والتنظيمية.

5.12.4.5

توثق بروتوكولات التواصل مع جهات إنفاذ القانون والجهات التنظيمية رسميًا في إجراءات التحقيق الجنائي الرقمي، بما يشمل نقطة اتصال محددة بوضوح، لضمان التنسيق والإبلاغ عن الحوادث في الوقت المناسب، التزامًا بمتطلبات السرية والخصوصية والتنظيم.

5.12.4.6

على الجهات الخاضعة للرقابة ضمان تدريب العاملين في التحقيقات الجنائية الرقمية وحصولهم على شهادات في الأدوات والتقنيات ذات العلاقة.

5.12.4.7

تُصان سلسلة العهدة لجميع الأدلة المجموعة، مع توثيق عمليات النقل والتواريخ والأشخاص المعنيين.

5.12.4.8

تُحمى الأدلة بدوال البصم التشفيري (مثل SHA-256 وSHA-512) لضمان عدم العبث بها. ويُتحقق من السلامة قبل كل مهمة تحقيق جنائي رقمي وبعدها.

5.12.4.9

تُسجل كل مهمة تحقيق جنائي رقمي وتوثق، بما يشمل بحد أدنى: أ) الأدوات والتقنيات المستخدمة بأرقام إصداراتها وإعداداتها؛ ب) الأنشطة الموقوتة زمنيًا من بداية كل مهمة حتى ختامها؛ ج) الملاحظات أو الشذوذ المكتشف أثناء التحقيق.

5.12.4.10

على الجهات الخاضعة للرقابة إرساء قدرات التحقيق الجنائي الرقمي والاستجابة للحوادث (DFIR)، إما بمستجيبين داخليين للحوادث السيبرانية على مدار الساعة أو بعقود احتفاظ خارجية للاستجابة مثل خبراء التحقيق الجنائي أو مزودي خدماته، لتمكين التعاون السلس أثناء التحقيقات. وتشمل هذه القدرات: أ) تحديد الأدوار والمسؤوليات ونطاق التعاون والتزامات السرية وبروتوكولات مشاركة البيانات والجداول الزمنية للأنشطة المشتركة؛ ب) ضمان الالتزام بالمتطلبات القانونية والتنظيمية ومتطلبات الخصوصية، لا سيما في التحقيقات العابرة للحدود؛ ج) اتفاقيات مستوى الخدمة (SLAs).

5.13 الاختبارات السيبرانية وإدارة التهديدات

لضمان تحديد الثغرات التقنية وترتيب أولوياتها ومعالجتها في الوقت المناسب، على الجهات الخاضعة للرقابة تطبيق عمليتي إدارة الثغرات وإدارة حزم التحديثات.

5.13.1.1

تُحدد عملية لإدارة الثغرات وتُعتمد وتُطبق وتُراقب وتُقاس وتُراجع سنويًا وتُحدث. وتتضمن العملية اكتشاف الثغرات وتصنيفها وترتيب أولوياتها ومعالجتها.

5.13.1.2

تُجرى تقييمات الثغرات (مثل التحديثات الأمنية المفقودة وإعدادات خط الأساس المفقودة واختبار أمن التطبيقات واختبار الاختراق ومراجعات الشيفرة) للشبكات والأنظمة والتطبيقات دوريًا أو كلما وقعت تغييرات جوهرية على البيئة، لتحديد وجود الثغرات وتصنيفها بحسب أثرها.

5.13.1.3

تُحدد الجداول الزمنية أو المصفوفات لمعالجة الثغرات بناءً على نوع الاختبار المنفذ وحرجية الأصل وشدة الثغرة ومستوى المخاطر المرتبط.

5.13.1.4

تتلقى الجهات الخاضعة للرقابة إشعارات من تغذيات استخبارات التهديدات الخارجية وسائر مصادر المعلومات الموثوقة عن أحدث الثغرات. وتتبع الجهات نهجًا رسميًا مبنيًا على المخاطر لترتيب أولويات الثغرات المحددة والإشعارات الواردة ومعالجتها بما يتماشى مع عملية إدارة المخاطر.

5.13.1.5

على الجهات الخاضعة للرقابة إجراء التحقق بعد معالجة الثغرات لتقييم وتأكيد أن الفجوات المعالجة متوافقة مع قرارات معالجة المخاطر الموثقة.

5.13.1.6

على الجهات الخاضعة للرقابة استخدام إدارة سطح الهجوم الخارجي لاكتشاف الثغرات في الأصول المواجهة للعموم ومراقبتها ومعالجتها.

5.13.1.7

توثق نتائج تقييمات الثغرات ويُبلغ عنها لبدء أنشطة المعالجة وتُتتبع حتى الإغلاق.

5.13.1.8

تقدم وظيفة أمن المعلومات تحديثات إلى المجلس والإدارة التنفيذية العليا كل ربع سنة أو بتواتر أعلى حسب الحاجة، عن فعالية عملية إدارة الثغرات، بما يشمل المؤشرات الرئيسية والمشكلات غير المحلولة.

5.13.2.1

تُحدد عملية إدارة حزم التحديثات الأمنية وتُعتمد وتُطبق وتُراجع سنويًا. وتُراقب فعالية العملية وتُقاس باستمرار باستخدام مؤشرات ذات علاقة (مثل مهل التحديث والتغطية).

5.13.2.2

على الجهات الخاضعة للرقابة تحديد جدول تحديثات مبني على المخاطر (شهري أو ربع سنوي مثلًا) بناءً على حرجية الأصل وشدة الثغرة معًا.

5.13.2.3

تُنشر حزم التحديثات الطارئة فورًا ضمن إطار زمني مصعّد لمعالجة الثغرات المستغلة فعليًا.

5.13.2.4

تُبرَّر الاستثناءات أو التأخيرات في نشر حزم التحديثات رسميًا وتوثق وتُعتمد من أصحاب المصلحة المعنيين وتُرفع إلى الإدارة التنفيذية العليا. (يلي هذا الضابط في الوثيقة الرسمية عنوان قسم: تمارين الفريق الأحمر والمحاكاة العدائية. ملاحظة مترجم سايبرز.بز)

5.13.2.5

تحاكي تمارين الفريق الأحمر التكتيكات والتقنيات والإجراءات العدائية الواقعية (TTPs) لتقييم مرونة الأنظمة والتطبيقات والعمليات والأفراد الحرجين في مواجهة التهديدات السيبرانية.

5.13.2.6

تُضمَّن استخبارات التهديدات في تمارين الفريق الأحمر لضمان أن تعكس السيناريوهات التكتيكات والتقنيات والإجراءات العدائية الواقعية والتهديدات الناشئة.

5.13.2.7

تُجرى تمارين الفريق الأحمر مرة سنويًا على الأقل أو حسب الحاجة بناءً على تغيرات مشهد التهديدات أو الأنظمة الحرجة أو المتطلبات التنظيمية. وتُحدد أهداف ونطاق ومعايير نجاح واضحة لكل تمرين.

5.13.2.8

على الجهات الخاضعة للرقابة الاستعانة بفريق مؤهل مخصص بخبرة متخصصة لتنفيذ تمارين الفريق الأحمر.

5.13.2.9

تُنفَّذ تمارين الفريق الأحمر دون علم مسبق للفرق الأخرى مثل المراقبة السيبرانية والاستجابة للحوادث ومالكي الأصول، حفاظًا على واقعية السيناريو.

5.13.2.10

توثق نتائج تمارين الفريق الأحمر، بما يشمل الثغرات والفجوات ومجالات التحسين المحددة، وتُرفع إلى الإدارة التنفيذية العليا وأصحاب المصلحة المعنيين للمراجعة واتخاذ الإجراء.

5.13.2.11

على الجهات الخاضعة للرقابة تحديد خطة معالجة بجداول زمنية واضحة وتطبيقها لمعالجة النتائج المحددة، مع تتبع تقدم إجراءات المعالجة حتى الإغلاق.

5.14 الأمن المادي والبيئي

لتأمين المواقع والمباني من الوصول المادي غير المصرح به والاختراقات الأمنية والمخاطر الطبيعية والبيئية، على الجهات الخاضعة للرقابة اعتماد التدابير الملائمة للأمن المادي والبيئي.

5.14.1.1

توثق سياسة الأمن المادي والبيئي وتُعتمد وتُطبق وتُراجع سنويًا وتُحدث.

5.14.1.2

تُحدد المحيطات أو النطاقات الأمنية المادية وتُحمى بضوابط أمنية مادية ومنطقية ملائمة وتُراقب بما يتماشى مع سياسة الأمن المادي والبيئي.

5.14.1.3

يُحتفظ بقائمة معتمدة بالأشخاص المخولين بالوصول المادي إلى المناطق المقيدة وتُراجع كل ربع سنة.

5.14.1.4

تُضبط جميع نقاط الوصول لمنع الدخول غير المصرح به إلى المناطق المقيدة أو الآمنة (مثل مركز البيانات الأساسي حيث توجد الخوادم ومعدات الشبكة). كما تراعي الجهات الخاضعة للرقابة عزل مناطق التحميل والتخزين والتسليم عن المناطق الآمنة.

5.14.1.5

على الجهات الخاضعة للرقابة الالتزام بأدلة الصحة والسلامة الخاصة بالمرافق.

5.14.1.6

تُطبق التدابير والسياسات الأمنية باتساق على المعدات داخل المواقع وخارجها.

5.14.1.7

يُراقب الوصول إلى المناطق المقيدة أو الآمنة باستخدام كاميرات المراقبة (CCTV) وفقًا لقانون كاميرات المراقبة الأمنية رقم 61 لسنة 2015.

5.14.1.8

تُضمَّن الاعتبارات البيئية في تصميم المرافق وإنشائها. وتلتزم جميع الحلول البيئية المدارة بالتقنية (مثل أنظمة التكييف والتهوية وحلول إدارة المباني وغيرها) بالضوابط المنطبقة في هذه الوثيقة.

5.14.1.9

تُزوَّد المناطق المقيدة أو الآمنة بتدابير (مثل ضوابط الحرارة والرطوبة وطفايات الحريق وكواشف الدخان والمرشات وآليات اكتشاف تسرب المياه وغيرها) لاكتشاف المخاطر البيئية والحماية منها.

5.14.1.10

تُزوَّد المناطق المقيدة أو الآمنة بأنظمة طاقة احتياطية عاملة لمعالجة الانقطاع الكهربائي الجزئي أو الكامل.

5.14.1.11

تُختبر الضوابط المادية والبيئية المطبقة على النحو الملائم ودوريًا، كل ربع سنة على الأقل. وتُنفَّذ الصيانة الوقائية لضمان الأداء وفق الغرض والمواصفات المقصودة.

5.14.1.12

تُرسى خطط الإخلاء ويُبلَّغ بها جميع الموظفين وموردي الأطراف الخارجية، وتُنفَّذ تدريبات إخلاء دورية، كل نصف سنة على الأقل. ويُحتفظ بسجلات تدريبات الإخلاء وتُتخذ المبادرات التصحيحية والتحسينية اللازمة.

5.14.2.1

تُفصل شبكات إنترنت الأشياء والتقنيات التشغيلية (IoT/OT) (مثل أنظمة كاميرات المراقبة وأنظمة إدارة المباني BMS) عن شبكات تقنية المعلومات باستخدام تجزئة الشبكات والجدران النارية الملائمة، لمنع الوصول غير المصرح به أو الحركة الجانبية.

5.14.2.2

تُحدد جميع أجهزة إنترنت الأشياء والتقنيات التشغيلية المتصلة بالشبكة وتُجرد وتُصنف بحسب حرجيتها. ويُراجع هذا الجرد ويُحدث كل نصف سنة أو عند وقوع تغييرات على الشبكة.

5.14.2.3

تخضع أجهزة إنترنت الأشياء والتقنيات التشغيلية وشبكاتها المرتبطة لتقييمات أمنية، تشمل تقييمات ثغرات ربع سنوية واختبارات اختراق سنوية. وتُراعى تقييمات أكثر تواترًا للأنظمة الحرجة بناءً على مشهد التهديدات المتطور أو المتطلبات التنظيمية.

5.14.2.4

يُقصر الوصول إلى أجهزة إنترنت الأشياء والتقنيات التشغيلية على المخولين، وتُطبق ضوابط الوصول المنطقية (مثل كلمات المرور القوية والتحقق متعدد العناصر). وتُراقب سجلات الوصول وتُراجع شهريًا على الأقل لتحديد أي سلوك مشبوه.

5.15 الاستخبارات السيبرانية

لضمان التطبيق الاستباقي للضمانات اللازمة للحماية من التهديدات السيبرانية الناشئة التي تستهدف الجهة أو القطاع عمومًا، على الجهات الخاضعة للرقابة اعتماد برنامج لإدارة الاستخبارات المتعلقة بالتهديدات السيبرانية.

5.15.1.1

توثق عملية لتحديد التهديدات السيبرانية وتحليلها وترتيب أولوياتها ومشاركتها وإدارتها، وتُعتمد وتُطبق وتُراجع سنويًا.

5.15.1.2

تُجمع الاستخبارات من مصادر داخلية وخارجية موثوقة ومحددة، وتُنشر فورًا لأصحاب المصلحة المعنيين، وتُعالج باتساق وفي الوقت المناسب.

5.15.1.3

تغطي الاستخبارات المستويات التكتيكية والتشغيلية والإستراتيجية لضمان الإجراءات الملائمة عبر مختلف الوظائف داخل الجهات الخاضعة للرقابة.

5.15.1.4

على الجهات الخاضعة للرقابة تطبيق منصة لاستخبارات التهديدات (TIP) لتجميع تغذيات الاستخبارات من مصادر متعددة وتحليلها، على أن: أ) تمركز المنصة تغذيات الاستخبارات لإدارتها وإثرائها باتساق؛ ب) توفر تسجيل درجات وترتيب أولويات مخصصين بحسب صلة التهديدات بالجهة. وتُدمج المنصة مع أدوات الاكتشاف والاستجابة السيبرانية ذات العلاقة (مثل SIEM وSOAR وEDR) لتفعيل الاستخبارات بفعالية، على أن يتيح هذا التكامل: أ) الإثراء الآلي للأحداث الأمنية بالاستخبارات؛ ب) إطلاق تنبيهات لحظية واستجابات موجهة بكتيبات التشغيل للحوادث عالية التصنيف؛ ج) الربط بين الاستخبارات والتنبيهات الداخلية لاكتشاف واستجابة أدق وأكثر فعالية.

5.15.2.1

توجّه استخبارات التهديدات أنشطة المعالجة الاستباقية للمخاطر، مثل إدارة الثغرات وإدارة حزم التحديثات وتحصين الأنظمة.

5.15.2.2

تُبلَّغ التهديدات والرؤى السيبرانية إلى الإدارة التنفيذية العليا وأصحاب المصلحة المعنيين في الوقت المناسب وعلى أساس الحاجة إلى المعرفة.

5.15.2.3

على الجهات الخاضعة للرقابة تحديد التهديدات المنطبقة واتخاذ الإجراءات اللازمة لحماية أصولها التقنية وفقًا لعملية إدارة الحوادث. وتوثق جميع هذه الإجراءات وتُراقب وتُتتبع.

5.15.2.4

على الجهات الخاضعة للرقابة مراجعة قدرات إدارة استخبارات التهديدات لديها وتحسينها باستمرار، مع التركيز على الدروس المستفادة من الحوادث والتغذية الراجعة من تمارين الفريق الأحمر وسائر تمارين الاختبار ومشاهد التهديدات المتطورة ومصادر الاستخبارات الجديدة.

5.15.2.5

على الجهات الخاضعة للرقابة أن تحدد ضمن عملية الاستخبارات السيبرانية متطلبات التعاون المستمر مع بنك الكويت المركزي من أجل: أ) استهلاك الاستخبارات المقدمة من البنك؛ ب) مشاركة الاستخبارات المحددة (الداخلية والخارجية) مع مجتمع القطاع المصرفي والمالي وإدارته؛ ج) المشاركة الاستباقية في التعاون القطاعي لمعالجة التهديدات.

5.16 الحماية من المخاطر الرقمية

لضمان حماية الجهات الخاضعة للرقابة من التهديدات الرقمية وإساءة استخدام علامتها التجارية وسمعتها في الفضاء السيبراني، على الجهات الخاضعة للرقابة اعتماد مبادرات للحماية من المخاطر الرقمية.

5.16.1.1

تُحدد سياسة لحماية الحضور الرقمي للجهة وتُعتمد وتُطبق وتُراجع سنويًا. وتتواءم هذه السياسة مع سياسة وإجراءات إدارة الحوادث لدى الجهة الخاضعة للرقابة.

5.16.1.2

تتضمن السياسة بحد أدنى ضوابط مراقبة إساءة استخدام العلامة التجارية وأسماء النطاقات والشعارات والمنتجات المرتبطة بالمبادرات وهوية الشخصيات المؤثرة الرئيسية لدى الجهة. كما تتضمن السياسة تدابير ملائمة لتصعيد إساءة استخدام العلامة المكتشفة ومعالجتها.

5.16.1.3

على الجهات الخاضعة للرقابة إرساء عمليات وتدابير لمراقبة حوادث إساءة استخدام العلامة التجارية الرقمية وتحديدها وتصعيدها ومعالجتها عبر مختلف القنوات، بما يشمل المواقع الإلكترونية ومنصات التواصل الاجتماعي ومتاجر تطبيقات الجوال والشبكة العميقة والمظلمة. وتكتشف العملية وتستجيب لما يلي: أ) إساءة استخدام العلامة وانتحالها والأنشطة الاحتيالية (مثل النطاقات الخبيثة وحسابات التواصل الاجتماعي المزيفة المنتحلة للجهة أو شخصياتها الرئيسية والتطبيقات المزيفة ومواقع التصيد)؛ ب) حملات الهندسة الاجتماعية أو التصيد الموجهة؛ ج) تشويه المواقع أو نشر محتوى غير مصرح به على الأنظمة المواجهة للعموم؛ د) المعلومات المزيفة أو المضللة عن الجهة المتداولة على الإنترنت؛ هـ) تسريبات البيانات أو الإفصاحات غير المصرح بها عن المعلومات الحساسة.

5.16.1.4

تستخدم الجهات الخاضعة للرقابة حلًا ملائمًا لحماية العلامة التجارية يتيح المراقبة المستمرة والاكتشاف اللحظي لإساءة استخدام العلامة والأنشطة الاحتيالية عبر القنوات الرقمية، بما ييسّر الاستجابة السريعة ويضمن المعالجة الاستباقية.

5.16.1.5

يُرسى التعاون مع الأطراف الخارجية، مثل منصات التواصل الاجتماعي ومتاجر التطبيقات ومسجلي النطاقات، للإزالة الفورية لأي حساب أو محتوى أو موقع أو تطبيق احتيالي.

5.16.1.6

يُراجع كل محتوى الأنظمة المواجهة للعموم ويُعتمد من الوظائف الداخلية المعنية قبل نشره، لضمان الاتساق مع سياسات العلامة وأدلتها.

5.16.1.7

يُقدَّم تدريب للموظفين المعنيين لمساعدتهم على فهم المخاطر السيبرانية المتعلقة بالسمعة والاستخدام الآمن لوسائل التواصل الاجتماعي.

6.1 إدارة مخاطر الأطراف الخارجية

لضمان التقييم الكافي للمخاطر الناشئة عن الإسناد إلى موردي الأطراف الخارجية وحوكمتها وتنظيمها وتتبعها، على الجهات الخاضعة للرقابة إرساء عملية رصينة لإدارة المخاطر وإلزام تضمين الضوابط الأمنية ذات العلاقة ضمن اتفاقيات الإسناد.

6.1.1.1

يُحدد إطار لإدارة مخاطر الأطراف الخارجية (TPRM) ويُعتمد ويُبلَّغ به ويُطبق. ويتواءم الإطار وسياساته وعملياته المرتبطة مع متطلبات بنك الكويت المركزي المبينة في خطوط الأساس لإدارة مخاطر الأطراف الخارجية الصادرة عنه. وتراجع الإطار وظائف إدارة المخاطر وأمن المعلومات والتدقيق لدى الجهات الخاضعة للرقابة دوريًا، سنويًا على الأقل.

6.1.1.2

على الجهات الخاضعة للرقابة طلب موافقة بنك الكويت المركزي قبل الدخول في أي اتفاقيات جوهرية مع أطراف خارجية متعلقة بتقنية المعلومات.

6.1.1.4

تُجرى تقييمات المخاطر لجميع خدمات الأطراف الخارجية التقنية كجزء من إطار إدارة مخاطر الأطراف الخارجية لدى الجهة ووفقًا لعملية إدارة المخاطر، قبل الارتباط.

6.1.1.5

على الجهات الخاضعة للرقابة امتلاك اتفاقيات مكتوبة لجميع ترتيبات الأطراف الخارجية المتعلقة بتقنية المعلومات، تتضمن الحد الأدنى من متطلبات الأمن السيبراني وتحدد نطاق خدمة الطرف الخارجي وحوكمتها. وتتضمن الاتفاقيات: أ) نطاق الخدمات ومتطلبات مستوى الخدمة؛ ب) الأدوار والمسؤوليات المتعلقة بتطبيق المتطلبات الأمنية؛ ج) سرية المعلومات المشاركة وأمنها ومتطلبات عدم الإفصاح؛ د) متطلبات العمليات وإدارة المخاطر؛ هـ) متطلبات استمرارية الأعمال وإدارة الأزمات؛ و) التعاقد من الباطن ومواصلة إسناد الخدمات؛ ز) حق التدقيق والتفتيش؛ ح) بند الإنهاء؛ ط) متطلبات الإشعار والإفصاح عن الحوادث السيبرانية واختراقات البيانات وسائر الأحداث الأمنية.

6.1.1.6

على الجهات الخاضعة للرقابة المحافظة على سجل دقيق ومحدث لجميع اتفاقيات الأطراف الخارجية.

6.1.1.7

على الجهات الخاضعة للرقابة إجراء تقييم لموردي الأطراف الخارجية للتحقق من كفاية الضوابط المطبقة والمزمع تطبيقها لتلبية المتطلبات الأمنية اللازمة وفقًا لاتفاقية الطرف الخارجي. وتُجرى هذه التقييمات سنويًا لترتيبات الإسناد الجوهرية، وبتواتر مماثل أو أقل لسائر الترتيبات، أو كلما وقع تغيير، لضمان الالتزام المستمر.

6.1.1.8

تخضع اتفاقيات الأطراف الخارجية القائمة أيضًا لتقييمات المخاطر، وتُعالج أي فجوات محددة فورًا عبر تحديث الضوابط أو تحسين العمليات أو التعديلات التعاقدية.

6.1.1.9

على الجهات الخاضعة للرقابة تطبيق عمليات للمراقبة المستمرة لأنشطة موردي الأطراف الخارجية. وتُراجع المجالات التالية ضمن عملية المراقبة: أ) الالتزام المستمر بمتطلبات الأمن وحماية البيانات؛ ب) سرية المعلومات المشاركة وأمنها؛ ج) ترتيبات استمرارية الأعمال والتعافي من الكوارث.

6.1.1.10

على الجهات الخاضعة للرقابة تسجيل المخاطر والمشكلات المحددة أثناء عملية المراقبة وتتبعها حتى المعالجة والإغلاق.

6.1.1.11

تُراجع المتطلبات الأمنية ضمن اتفاقيات الأطراف الخارجية وتُحدث سنويًا أو عند التغييرات الجوهرية في الخدمات المقدمة من الموردين.

6.1.1.12

على الجهات الخاضعة للرقابة ضمان التخلص الآمن من الأصول المعلوماتية المتبادلة أثناء تنفيذ اتفاقية الطرف الخارجي، التزامًا بقوانين خصوصية البيانات والمتطلبات التنظيمية والسياسات الداخلية.

6.2 إدارة سلسلة الإمداد

لضمان تحديد المخاطر الناشئة عبر سلسلة إمداد الجهة وتقييمها وإدارتها على نحو كافٍ، على الجهات الخاضعة للرقابة إرساء عملية رصينة لإدارة المخاطر وإلزام تضمين الضوابط الأمنية ذات العلاقة ضمن عملية إدارة سلسلة الإمداد لديها.

6.2.1.1

على الجهات الخاضعة للرقابة تحديد الموردين والاعتماديات لتحديد نقاط الفشل ودمج مخاطر سلسلة الإمداد في إطار إدارة المخاطر.

6.2.1.2

على الجهات الخاضعة للرقابة تقليل الاعتماد على الموردين وحيدي المصدر عبر تطوير إستراتيجيات توريد بديلة وإرساء ترتيبات احتياطية لضمان استمرارية الخدمات والأعمال.

6.2.1.3

على الجهات الخاضعة للرقابة تطبيق أدوات مراقبة لحظية والاستفادة من استخبارات التهديدات لاكتشاف المشكلات وإدارة المخاطر الناشئة عبر سلسلة الإمداد في الوقت المناسب.

6.2.1.4

على الجهات الخاضعة للرقابة تقسيم الموردين بحسب مستوى مخاطرهم وحرجيتهم، لتطبيق ضوابط معززة على موردي الأطراف الخارجية والموردين عاليي المخاطر.

6.2.1.5

على الجهات الخاضعة للرقابة ضمان تمرير الموردين المتطلبات والالتزامات الأمنية إلى المقاولين من الباطن والأطراف من الدرجة الرابعة، للمحافظة على أمن متسق عبر جميع مستويات سلسلة الإمداد.

7.1 أمن التقنيات المتقدمة

لضمان تبنّي التقنيات المتقدمة والناشئة واستخدامها بشكل آمن وموثوق، على الجهات الخاضعة للرقابة تطبيق السياسات والضوابط الأمنية ذات العلاقة أثناء تبني التقنية. وتشمل التقنيات الناشئة، على سبيل المثال لا الحصر، تقنيات وقدرات مثل الذكاء الاصطناعي (AI) وتعلم الآلة (ML) وسلسلة الكتل (Blockchain) وتقنيات السجلات الموزعة (DLTs) والحوسبة السحابية.

7.1.1.1

تُحدد سياسة لتبني التقنيات المتقدمة والناشئة الجديدة وتُعتمد وتُطبق وتُراجع دوريًا.

7.1.1.2

على الجهات الخاضعة للرقابة طلب موافقة بنك الكويت المركزي عند تبني تقنيات جديدة وناشئة. وتقدم الجهة طلب اعتماد إلى البنك قبل شهر على الأقل من الإطلاق، يبين التقنيات محل النظر وتطبيقها ونتائج تقييم المخاطر مع تفاصيل الاستجابة المقابلة، وأي معلومات ذات علاقة تدعم تبني هذه التقنيات.

7.1.1.3

على الجهات الخاضعة للرقابة دمج اعتبارات التقنيات الناشئة في أطر إدارة المخاطر القائمة لديها، باستخدام نمذجة التهديدات لتحديد الثغرات المحتملة المرتبطة بهذه التقنيات (مثل اختراقات البيانات وثغرات تقنيات السجلات الموزعة وهجمات الذكاء الاصطناعي العدائية وغيرها).

7.1.1.4

على الجهات الخاضعة للرقابة إجراء تقييم مخاطر لتبني التقنيات الجديدة وتحديد الضوابط المطلوبة لتأمين التقنيات الجديدة والناشئة ومعالجة المخاطر المحددة وفقًا لعملية إدارة المخاطر لدى الجهة.

7.1.1.5

على الجهات الخاضعة للرقابة إرساء ممارسات ترميز آمن تُتبنى عند تطوير أو تطبيق الأنظمة المستفيدة من قدرات التقنيات الناشئة (مثل الذكاء الاصطناعي وتعلم الآلة وسلسلة الكتل وغيرها)، لضمان تضمين مبادئ الأمن.

7.1.1.6

على الجهات الخاضعة للرقابة ضمان تنفيذ اختبارات كافية للتحقق من تلبية التقنية الجديدة للمتطلبات ومعالجتها للمخاطر المحددة، ومنها على سبيل المثال لا الحصر: أ) اختبار البيئة المعزولة لمحاكاة الهجمات المحتملة على التطبيقات قبل النشر؛ ب) الاختبارات الأمنية الداخلية الدورية وتقييمات الثغرات للأنظمة المبنية على التقنيات الناشئة؛ ج) عمليات التدقيق الأمني المنتظمة ومراجعات الأطراف الخارجية للتطبيقات المبنية على التقنيات الناشئة.

7.1.1.7

على الجهات الخاضعة للرقابة توفير التوعية الملائمة للعملاء بشأن استخدام التقنيات الناشئة ضمن المنتجات والخدمات ذات العلاقة المقدمة منها.

7.1.2.1

على الجهات الخاضعة للرقابة ضمان حماية نماذج الذكاء الاصطناعي وتعلم الآلة من العبث أو التسميم أو التلاعب خلال مراحل تدريبها والتحقق منها ونشرها.

7.1.2.2

على الجهات الخاضعة للرقابة تطبيق دفاعات كافية ضد الهجمات العدائية (مثل هجمات التهرب وتسميم البيانات وهجمات الاستدلال) المستهدفة لنماذج الذكاء الاصطناعي. وينبغي الاستفادة من أفضل ممارسات القطاع مثل قائمة OWASP لأبرز 10 مخاطر لتطبيقات نماذج اللغة الكبيرة لمعالجة القضايا الأمنية في تطبيقات الذكاء الاصطناعي.

7.1.2.3

على الجهات الخاضعة للرقابة ضمان حماية البيانات المستخدمة في تدريب نماذج الذكاء الاصطناعي والاستدلال بها، التزامًا بلوائح خصوصية البيانات وأطر الحوكمة المنطبقة.

7.1.2.4

على الجهات الخاضعة للرقابة ضمان قابلية نماذج الذكاء الاصطناعي وتعلم الآلة للتفسير والتدقيق، لا سيما عند مشاركتها في اتخاذ قرارات عالية الأثر (مثل اكتشاف الاحتيال وتسجيل درجات مخاطر الائتمان وغيرها).

7.1.2.5

على الجهات الخاضعة للرقابة المراقبة المستمرة لنماذج الذكاء الاصطناعي وتعلم الآلة رصدًا للانحراف والموثوقية وقابلية التتبع وتقييم الأداء، إضافة إلى عمليات تدقيق منتظمة لضمان الالتزام بالمتطلبات الأمنية.

7.1.3.1

على الجهات الخاضعة للرقابة ضمان أمن شبكة سلسلة الكتل، بما يشمل آليات الإجماع واتصال العقد وتنفيذ العقود الذكية، عبر استخدام تشفير كافٍ وخوارزميات آمنة.

7.1.3.2

على الجهات الخاضعة للرقابة ضمان خضوع العقود الذكية المنشورة على شبكات سلسلة الكتل لعمليات تدقيق أمني صارمة لتحديد الثغرات والعيوب المنطقية المحتملة.

7.1.3.3

على الجهات الخاضعة للرقابة تطبيق ممارسات آمنة لإدارة المفاتيح العامة والخاصة المستخدمة في أنظمة سلسلة الكتل والسجلات الموزعة.

7.1.3.4

على الجهات الخاضعة للرقابة ضمان سلامة البيانات عبر السجلات الموزعة، بالاستفادة من وسائل مثل البصم التشفيري والتوقيعات الرقمية.

7.1.3.5

على الجهات الخاضعة للرقابة إرساء أطر حوكمة كافية تحدد الأدوار والمسؤوليات للمحافظة على شبكات سلسلة الكتل.

7.1.4.1

على الجهات الخاضعة للرقابة البدء بالنظر في تبعات التهديدات التي ستفرضها الحوسبة الكمومية في نهاية المطاف، عبر الشروع في تبني خوارزميات تشفير مقاومة للحوسبة الكمومية.

7.1.4.2

على الجهات الخاضعة للرقابة التقييم الدوري لممارسات التشفير لضمان مقاومتها لقدرات الحوسبة الكمومية.

7.1.4.3

على الجهات الخاضعة للرقابة تطوير إستراتيجية للجاهزية الكمومية، تعطي الأولوية للانتقال إلى خوارزميات التشفير المقاومة للحوسبة الكمومية عبر جميع الأنظمة والعمليات، مع معالجة المخاطر الأوسع التي تفرضها الحوسبة الكمومية. وتتضمن الإستراتيجية الجداول الزمنية والمحطات للهجرة التشفيرية وتقييم الأنظمة والبيانات الحرجة المعرضة للخطر واعتماديات الأطراف الخارجية والجاهزية التشغيلية.

7.1.4.4

على الجهات الخاضعة للرقابة اختبار خوارزميات التشفير المقاومة للحوسبة الكمومية والتحقق منها في بيئات الاختبار، لضمان التوافق والأداء قبل النشر.

7.1.4.5

على الجهات الخاضعة للرقابة تقييم المخاطر المرتبطة بشبكات الجيل الخامس، مع التركيز على الثغرات الناشئة عن النطاق الترددي الموسع وقدرات الحوسبة الطرفية والاتصالات منخفضة الكمون.

7.1.4.6

على الجهات الخاضعة للرقابة ضمان تشفير البيانات المنقولة عبر شبكات الجيل الخامس باستخدام بروتوكولات التشفير من الطرف إلى الطرف، بما يركز على سرية المعلومات وسلامتها.

7.2 أمن الحوسبة السحابية

لضمان تقييم مخاطر الأمن السيبراني ومعالجتها بشكل كافٍ للخدمات السحابية (للاطلاع على نماذج الحوسبة السحابية، يُرجع إلى ملحق المصطلحات والتعريفات)، على الجهات الخاضعة للرقابة إرساء تدابير أمن الحوسبة السحابية. وتنطبق الضوابط ضمن هذا المكون الفرعي على السحابة العامة والمجتمعية والهجينة، وهي إضافة إلى الضوابط الأخرى المنطبقة الواردة في خطوط الأساس.

7.2.1.1

تُحدد سياسة تغطي الاعتبارات الأمنية للخدمات السحابية وتُعتمد وتُطبق ويُبلَّغ بها وتُراجع دوريًا وتُحدث.

7.2.1.2

تتضمن سياسة أمن الحوسبة السحابية: أ) الضوابط من نطاق التقنية والعمليات (حسب الانطباق) لكل نوع خدمة سحابية؛ ب) الإشراف الإداري والمسؤولية التشغيلية اليومية والفصل بين الأدوار؛ ج) متطلبات أمن البيانات مع مراعاة خصائص مثل تعدد المستأجرين واختلاط البيانات ومعالجتها في مواقع متعددة؛ د) الالتزام بمتطلبات إقامة البيانات.

7.2.1.3

على الجهات الخاضعة للرقابة طلب موافقة بنك الكويت المركزي قبل شهر على الأقل من توقيع أي اتفاقيات إسناد سحابية، بشأن استخدام منتجات البنية التحتية كخدمة (IaaS) والمنصة كخدمة (PaaS) والبرمجيات كخدمة (SaaS) التي تتفاعل مباشرة أو غير مباشرة مع أنظمة تتضمن بيانات حساسة (مثل بيانات العملاء والبيانات المالية وبيانات المعاملات والبيانات القانونية وغيرها). وتقدم الجهة بحد أدنى المعلومات التالية عند طلب الموافقة: أ) نطاق الخدمات المزمع إسنادها؛ ب) تفاصيل تقييم المخاطر المنفذ ونتائجه؛ ج) التاريخ المقترح لبدء الارتباط ومدته الإجمالية؛ د) اسم مقدم الخدمة السحابية وعنوانه الكامل مع بيانات الاتصال الرئيسية؛ هـ) موقع تخزين البيانات؛ و) الدعم التشغيلي المقدم من مقدم الخدمة؛ ز) الضوابط الأمنية الأساسية المرساة لديه؛ ح) تقارير تدقيق الأطراف الخارجية الخاصة به؛ ط) اتفاقيات مستوى الخدمة والمستوى التشغيلي المقترحة.

7.2.1.4

على فروع البنوك الأجنبية أيضًا الحصول على موافقة بنك الكويت المركزي إذا كان استخدامها للخدمات السحابية، سواء بالتعاقد المباشر للفرع المحلي أو غير المباشر عبر اتفاقيات على مستوى المجموعة، يتضمن معالجة أو تخزين بيانات حساسة تخص الفرع وعملاءه.

7.2.2.1

قبل الارتباط بمقدمي الخدمات السحابية، على الجهات الخاضعة للرقابة تحديد ما إذا كان استخدام الخدمات السحابية متسقًا مع شهيتها للمخاطر وإستراتيجية أعمالها، وإجراء تصنيف للمعلومات الخاصة بالوظيفة أو الخدمة المزمع إسنادها لتحديد البيانات الحساسة المعرضة للخطر.

7.2.2.2

على الجهات الخاضعة للرقابة إجراء تقييم مخاطر يراعي منافع استخدام الخدمات السحابية ومخاطره، وإرساء تدابير المعالجة حسب الحاجة. ويراعي التقييم بحد أدنى: أ) الأثر المحتمل لأي انقطاع في الخدمة السحابية بما يشمل الأثر على توافر البيانات؛ ب) ترتيبات استمرارية الأعمال والتعافي من الكوارث؛ ج) إدارة الوصول والفصل بين المسؤوليات المتعلقة بالخدمات السحابية؛ د) الموقع وإقامة البيانات؛ هـ) الجدوى التجارية وإدارة النزاعات والتحكيم والسمعة والخبرة وإستراتيجيات الخروج وتضارب المصالح؛ و) المقاولون من الباطن (سلسلة المتعاقدين) لدى مقدمي الخدمات السحابية؛ ز) القيود على حق التدقيق وحق إجراء التقييمات الأمنية وحق التفتيش (داخل الموقع وخارجه)؛ ح) مخاطر مقدمي الخدمات الوحيدين (اتفاقيات متعددة مع المقدم ذاته).

7.2.3.1

على الجهات الخاضعة للرقابة مراجعة الشهادات وتقارير التدقيق المستقلة (مثل ISO 27001 وISO 22301 وتقارير SSAE16 وشهادة مراكز البيانات ANSI/TIA-942 من الفئة 3 أو 4 وتقارير SOC1 وSOC2 وغيرها) للممارسات الأمنية المطبقة لدى مقدم الخدمة السحابية.

7.2.3.2

على الجهات الخاضعة للرقابة ضمان الإشراف الكافي على مقدمي الخدمات السحابية لإدارة مخاطر أمن الحوسبة السحابية بفعالية، كجزء من عملية الحوكمة وإدارة المخاطر الشاملة.

7.2.3.3

على الجهات الخاضعة للرقابة ضمان استخدام مقدمي الخدمات السحابية أحدث أفضل ممارسات القطاع (ISO 27001:2022 وISO 27017:2015 وISO 27018:2019 ودليل NIST لتطهير الوسائط NIST 800-88) للمحو الدائم للبيانات المنقولة أو التي لم تعد لازمة. وتُتلف مفاتيح التشفير بأمان أيضًا. وللتخزين غير القابل للمسح، تضمن الجهات استخدام مقدم الخدمة عملية إتلاف تدمر المعلومات وتجعل استرجاعها مستحيلًا. وتطلب الجهات من مقدمي الخدمات تقديم شهادة إتلاف (CoD) إثباتًا للإكمال والالتزام.

7.2.3.4

على الجهات الخاضعة للرقابة ضمان وجود اتفاقية مكتوبة مع مقدمي الخدمات السحابية تتضمن المتطلبات التالية: أ) نطاق الخدمات واتفاقيات المستوى التشغيلي والأدوار والمسؤوليات المحددة بوضوح؛ ب) الالتزام التنظيمي والقانوني في الأمن السيبراني؛ ج) مواقع تخزين البيانات واستمرارية الأعمال والتعافي من الكوارث وخصوصية البيانات والسرية ومشاركة المعلومات والوصول إلى البيانات والتشفير وقابلية نقل البيانات والاحتفاظ بها؛ د) حق التدقيق والتفتيش بما يشمل حقوق التدقيق لبنك الكويت المركزي، أو بدلًا من ذلك حق الوصول إلى تقارير التقييم المستقلة من أطراف خارجية (مثل تقارير SOC1 وSOC2 وSOC3 وغيرها)؛ هـ) مدونة السلوك وإدارة النزاعات؛ و) إدارة الحوادث وإدارة الأزمات وإستراتيجيات الإشعار بالاختراقات؛ ز) الإنهاء الآمن للاتفاقية.

7.2.4.1

على الجهات الخاضعة للرقابة ضمان اتباع البيئات السحابية نهج البنية التي تقدّم الأمن أولًا، بتضمين مبادئ أمنية مثل الحد الأدنى من الامتيازات والدفاع في العمق وانعدام الثقة: أ) تُصمم جميع الخدمات والبنى التحتية السحابية لعزل البيانات الحساسة ومنع الوصول غير المصرح به عبر تجزئة الشبكات والتشفير والتحقق متعدد العناصر (MFA)؛ ب) تلتزم بنية أمن الحوسبة السحابية بأفضل ممارسات القطاع وباللوائح والمعايير ذات العلاقة، مثل ISO 27001:2022 وNIST 800-53 واللائحة العامة لحماية البيانات (GDPR)؛ ج) يخضع أي تغيير على بنية أمن الحوسبة السحابية لتقييم مخاطر رسمي وعملية إدارة تغيير قبل النشر.

8.1 الضوابط الأمنية المشتركة لأنظمة الدفع الإلكتروني

لتأمين أنظمة الدفع الإلكتروني من المخاطر السيبرانية، على الجهات الخاضعة للرقابة تطبيق الضوابط الأمنية اللازمة.

8.1.1.1

تُحدد سياسة لتأمين أنظمة الدفع الإلكتروني وتُعتمد من المجلس أو الإدارة التنفيذية العليا وتُطبق وتُراجع سنويًا على الأقل وتُحدث.

8.1.1.2

تتضمن سياسة أنظمة الدفع الإلكتروني: أ) آليات حماية السجلات المهمة والبنية التحتية للمدفوعات من الوصول والإفصاح غير المصرح بهما وسوء الاستخدام والإضرار والإتلاف والفقدان والسرقة والتلاعب؛ ب) ضوابط مراقبة وتقييم المخاطر من الأطراف الخارجية المشاركة في أنظمة الدفع والتسوية.

8.1.1.3

على الجهات الخاضعة للرقابة إجراء عمليات تدقيق أمني مستقلة سنوية وطارئة لأنظمة الدفع الإلكتروني وفقًا لـ: أ) إجراءات التقييم المبينة في المكون الفرعي للاختبارات السيبرانية وإدارة التهديدات؛ ب) متطلبات معايير القطاع (مثل PCI-DSS وEMV) وأفضل الممارسات.

8.1.2.1

على الجهات الخاضعة للرقابة تطبيق آليات رصينة للتحقق من الهوية للتثبت من هويات العملاء، بما يشمل الوثائق الحكومية والتحقق بالقياسات الحيوية وأنظمة الهوية الرقمية.

8.1.2.2

تتضمن عمليات الضم الرقمي آليات للتحقق من وثائق الهوية عبر: أ) التحقق من التدابير الأمنية المادية (مثل العلامات المائية والصور المجسمة)؛ ب) مقارنة البيانات المستخرجة من الرموز الشريطية ومنطقة القراءة الآلية (MRZ) مع البيانات المستخرجة بالتعرف الضوئي على الحروف (OCR)؛ ج) التحقق المتقاطع من البيانات الشخصية مع المصادر الموثوقة (مثل قواعد البيانات الحكومية).

8.1.2.3

على الجهات الخاضعة للرقابة نشر تقنية ضم رقمي تدعم آليات اكتشاف الحيوية للتحقق من وجود شخص حي أثناء الضم. ولضمان موثوقية البيانات الحيوية، تُنفَّذ المطابقة (مثل التعرف على الوجه وبصمة الإصبع ومطابقة الصورة الذاتية الحية) بما يتماشى مع معايير القطاع وأفضل الممارسات (مثل اختبار NIST لموردي التعرف على الوجوه FRVT).

8.1.2.4

تُطبق آليات منع الازدواجية بالقياسات الحيوية لضمان تسجيل العميل مرة واحدة فقط ومنع التسجيلات المكررة.

8.1.2.5

يُوظَّف التحقق متعدد العناصر (MFA) أثناء عملية الضم لتأمين إنشاء الحسابات ومنع الوصول غير المصرح به، بما يشمل أساليب آمنة مثل القياسات الحيوية والتحقق المبني على الجهاز وFIDO2.

8.1.2.6

تتحقق أنظمة التحقق الآلي من الوثائق المرفوعة (مثل البطاقة المدنية وجواز السفر وإثبات العنوان)، بما يضمن سلامة البيانات ودقتها. وتُخزن الوثائق المتحقق منها بأمان وتُشفَّر ويُحتفظ بها التزامًا بالمتطلبات القانونية والتنظيمية.

8.1.2.7

تُطبق أنظمة اكتشاف الاحتيال ومنعه المستفيدة من التقنيات المتقدمة (مثل نماذج الذكاء الاصطناعي وتعلم الآلة) لاكتشاف الشذوذ (مثل الهويات المصطنعة والانتحال) وتقليل معدلات القبول الخاطئ (FAR) والإيجابيات الخاطئة (FPR).

8.1.2.8

يُلتقط الموقع أثناء الضم لاستخدامه في اكتشاف الاحتيال والتحقق من العنوان.

8.1.2.9

تُستخدم الإحداثيات الجغرافية للجهاز وعناصر البيانات الوصفية وفحوصات صحته أثناء عملية الضم، مع تطبيق سياسات مبنية على المخاطر (مثل التزام الجهاز وشذوذ الموقع ومعرّف العنصر الآمن SEID ونوع الجهاز وعنوان IP المصدري ومؤشرات الاحتيال السابقة) لتحديد التسجيلات أو الإجراءات المحتملة عالية المخاطر.

8.1.2.10

تُرسى آليات إنذار للسيناريوهات عالية المخاطر (مثل تقديم وثائق مكررة وعدم تطابق المواقع الجغرافية لعناوين IP).

8.1.2.11

تُرسل الإشعارات عن أنشطة الضم (مثل تقديم الوثائق وإنشاء الحساب) للعملاء في الوقت المناسب لتأكيد المشروعية.

8.1.3.1

على الجهات الخاضعة للرقابة تحديد حد أقصى قدره ثلاث محاولات دخول أو تحقق فاشلة يُحظر بعدها الوصول إلى أنظمة الدفع الإلكتروني (مؤقتًا أو دائمًا). وتضع الجهات إجراءً لإعادة تفعيل الوصول المحظور، على أن تُنفَّذ إعادة التفعيل بعناية واجبة معززة وبعد التحقق من هوية المستخدم.

8.1.3.2

على الجهات الخاضعة للرقابة ضمان التسليم الآمن لبيانات اعتماد العملاء (معرّف المستخدم وكلمة المرور والرقم السري)، والتحقق من هوية أجهزة العملاء، وضمان أمن بيانات الاعتماد وبرمجيات الدفع (تطبيقات الويب والجوال والإضافات وغيرها).

8.1.3.3

يجري التحقق المستمر من التزام جميع الأجهزة المستخدمة للوصول إلى الخدمات المصرفية الرقمية وأنظمة الدفع الإلكتروني بالسياسات الأمنية، بما يشمل إصدار نظام التشغيل ومستويات التحديثات وسلامة الجهاز (كخلوه من كسر الحماية). وتُقيَّد صلاحيات الأجهزة غير الملتزمة ديناميكيًا أو تُلغى حتى اكتمال المعالجة واستعادة الالتزام.

8.1.3.4

على الجهات الخاضعة للرقابة ضمان ألا تكون تدابير التحقق من الهوية الشخصية، مثل الأسئلة الشخصية المستخدمة في مراكز خدمة العملاء للتحقق من هوية العميل، عامة ولا سهلة الحصول عليها ولا مكررة (مثل العلاقات المصرفية والرصيد الحالي ومعلومات غير مدونة على البطاقة وأسئلة مخصصة وآخر المعاملات). وقد تشمل أساليب التحقق التثبت من رقم جوال مسجل مقترنًا برقم سري آمن، أو القياسات الحيوية الصوتية.

8.1.3.5

لا تُنفَّذ التغييرات على معلومات العملاء الحساسة (مثل رقم الجوال والبريد الإلكتروني) عبر أجهزة الصراف الآلي وتطبيقات الجوال والرد الصوتي التفاعلي (IVR) والخدمات المصرفية عبر الإنترنت إلا بعد التثبت من هوية العميل باستخدام التحقق متعدد العناصر (MFA). وعند تغيير رقم الجوال، يُرسل العنصر الثاني للتحقق إلى الرقم القديم، وإذا كان الرقم القديم غير نشط أو غير متاح، تُوظَّف أساليب تحقق بديلة مثل القياسات الحيوية أو التحقق من الهوية بالوثائق الحكومية (كالبطاقة المدنية أو جواز السفر) حضوريًا أو في فرع أو جهاز خدمة ذاتية معتمد (مثل الكشك أو الصراف التفاعلي).

8.1.3.6

على الجهات الخاضعة للرقابة فرض إعادة التحقق الواعية بالسياق من الجهاز أثناء تغييرات معلومات العملاء الحساسة، للتثبت من أن الجهاز الطالب مخول وغير مخترق. وتشمل إعادة التحقق من الجهاز التثبت من صحته وموقعه الجغرافي وسلوكه لاكتشاف أي شذوذ أو محاولات غير مصرح بها.

8.1.4.1

على الجهات الخاضعة للرقابة ضمان تطبيق ضمانات فعّالة لتقليل مخاطر التحويلات المالية غير المصرح بها، بحسب القناة والملف المخاطري للتقنية أو ملف العميل أو شريحته.

8.1.4.2

تحمل جميع المدفوعات الإلكترونية أرقام مراجع معاملات فريدة لإتاحة التتبع.

8.1.4.3

لا تكشف الرسائل والإشعارات المتعلقة بالمعاملات (مثل رسائل التحقق من المعاملات وتأكيدات الدفع أو رفضه ورسائل التحقق متعدد العناصر ورسائل الأخطاء وتنبيهات الأنشطة المشبوهة والتذكيرات أو تحديثات حدود المعاملات وغيرها) تفاصيل أو معلومات حساسة عن أنظمة الدفع، بنيتها التحتية أو تطبيقاتها.

8.1.4.4

على الجهات الخاضعة للرقابة تطبيق تدابير فعّالة لإشعار العملاء بالتغييرات الجوهرية على ملف الدفع، ومنها: أ) تغييرات القيم المعدة مسبقًا مثل كلمة المرور والحدود؛ ب) إنشاء روابط حسابات جديدة؛ ج) تسجيل مستفيدين جدد؛ د) التحويلات الإلكترونية إلى المستفيدين.

8.1.4.5

على الجهات الخاضعة للرقابة تبني خوارزميات تشفير قوية آمنة ومعترف بها دوليًا لحماية المعلومات الحساسة (مثل بيانات الدخول ومعلومات البطاقات) أثناء التخزين والنقل.

8.1.4.6

تُطبق ضوابط فعّالة للتحقق من سلامة المعلومات المعالجة في أنظمة الدفع الإلكتروني ومطابقتها (مثل مطابقة أرصدة الحسابات بعد تحديثات المعاملات بين الأنظمة المختلفة).

8.1.4.7

تُطبق ضوابط فعّالة لضمان معالجة مخاطر الترابط والاتصالات (ومن أمثلتها هجمات الوسيط MitM وتجاوز التحقق من الهوية والتنصت على الشبكة وهجمات طبقة التطبيقات والإعدادات الخاطئة والوصول غير المصرح به وغيرها).

8.1.4.8

على الجهات الخاضعة للرقابة توفير وسائل ملائمة للعملاء لحظر بطاقات الدفع الخاصة بهم عبر خيارات الخدمة الذاتية أو من خلال مراكز خدمة العملاء.

8.2 مراقبة عمليات الدفع الإلكتروني

لاكتشاف عمليات الدفع الإلكتروني الاحتيالية ومنعها، على الجهات الخاضعة للرقابة تطبيق آليات مراقبة العمليات والتفويض بها.

8.2.1.1

على الجهات الخاضعة للرقابة ترسيخ ثقافة التعلم المستمر عبر إتاحة منصات التعلم والمؤتمرات القطاعية ومنتديات تبادل المعرفة، لضمان بقاء موظفي الأمن السيبراني مواكبين للتهديدات والتقنيات المتطورة.

8.2.1.2

تراعي عملية مراقبة معاملات الدفع الإلكتروني عوامل المخاطر التالية: أ) حدود المعاملات (مثل حدود المبالغ وعدد المعاملات في اليوم أو الجلسة)؛ ب) سيناريوهات الاحتيال المعروفة والناشئة؛ ج) أنماط الدفع الشاذة قياسًا بتاريخ معاملات العميل؛ د) تفضيلات العميل في المعاملات وأنماطه السلوكية؛ هـ) المخاطر المبنية على الموقع الجغرافي للدافع والمستفيد وقت المعاملة؛ و) التحولات الجغرافية غير المعتادة لعناوين IP بين معاملات أو عمليات دخول متتالية تكون غير واقعية نظرًا للفاصل الزمني بينها (أي تقع خلال مدة قصيرة تجعل السفر الفعلي المشروع مستحيلًا بالنظر إلى المسافة الجغرافية)؛ ز) محاولات التفويض الفاشلة المتعددة؛ ح) فحوصات السرعة (أي تواتر المعاملات وحجمها في مدة قصيرة)؛ ط) التغييرات على معلومات العملاء الحساسة (مثل بيانات الاتصال والحسابات المرتبطة)؛ ي) التغييرات في بيانات الجهاز، بما يشمل ملفات الشريحة الإلكترونية (eSIM)، المكتشفة قبيل المعاملات عالية المخاطر أو المشبوهة؛ ك) عناصر البيانات الحرجة المقدمة من مزودي المحافظ الخارجيين (مثل Apple Pay وGoogle Pay)، بما يشمل بيانات الدفع المرمزة والمعرّفات الفريدة للمحافظ ودرجات الأجهزة والحسابات وأرقام الهواتف وبيانات الموقع الجغرافي وبيانات التزويد والضم الوصفية (مثل معرّف العنصر الآمن SEID ونوع الجهاز وعنوان IP المصدري ونمط الالتقاط)؛ ل) تقنيات بصمة الجهاز أو التعرف عليه لاكتشاف الأجهزة المشبوهة؛ م) المراقبة عبر القنوات (مثل الربط بين الأنشطة عبر الخدمات المصرفية عبر الإنترنت والجوال ومعاملات البطاقات)؛ ن) مراقبة الشبكة العميقة والمظلمة رصدًا لبيانات البطاقات المسربة الصادرة عن الجهة.

8.2.1.3

تُحظر المعاملات غير المعتادة أو المشبوهة آليًا أو تُميَّز لتحقق إضافي قبل المعالجة. ويُحقق في هذه المعاملات ويُبلغ العملاء بها عند اللزوم.

8.2.1.4

على الجهات الخاضعة للرقابة إشعار العملاء عبر قنوات تواصل فعّالة بجميع المعاملات المنفذة على حساباتهم، بما يشمل المعاملات المرفوضة. وتتضمن الإشعارات آليات تسليم خارج التطبيق (مثل الرسائل النصية والمكالمات الهاتفية)، مع إعطاء الأولوية للمعاملات أو الأنشطة عالية المخاطر أو الحساسة زمنيًا (مثل المعاملات غير المعتادة بمبالغ كبيرة أو أنماط شاذة والتغييرات على معلومات العملاء الحساسة ومحاولات الدخول أو تفويض المعاملات الفاشلة المتعددة).

8.2.1.5

تُعالج التنبيهات وسجلات الحوادث المتعلقة بالمعاملات المشبوهة وتُدار وفقًا للسياسات الداخلية للجهات الخاضعة للرقابة.

8.2.2.1

على الجهات الخاضعة للرقابة إرساء إطار لإدارة الاحتيال مبني على المخاطر وتطبيقه، يرتب أولويات تدابير الاكتشاف والمعالجة بحسب نوع المعاملة والملف المخاطري للعميل وقناة الدفع.

8.2.2.2

على الجهات الخاضعة للرقابة نشر أنظمة اكتشاف احتيال قادرة على تحليل المعاملات لحظيًا لتحديد الأنشطة الاحتيالية وحظرها قبل الإتمام.

8.2.2.3

على الجهات الخاضعة للرقابة تطبيق أدوات اكتشاف آلية تستخدم نماذج الذكاء الاصطناعي أو تعلم الآلة لتحسين اكتشاف محاولات الاحتيال المحتملة والتكيف المستمر مع المخاطر المتطورة.

8.2.2.4

يُطوَّر كتيب تشغيل للاستجابة للاحتيال، يتضمن إجراءات محددة لإدارة حوادث الاحتيال ومعالجتها. وتغطي هذه الكتيبات أمثلة لسيناريوهات الاحتيال مثل الاستيلاء على الحسابات عبر التصيد أو تبديل شريحة الاتصال أو الاحتيال المرتبط بالشريحة الإلكترونية (مثل استنساخها أو تفعيلها دون تصريح)؛ ومعاملات الدفع غير المصرح بها؛ ومخططات الهندسة الاجتماعية باستخدام روبوتات المحادثة بالذكاء الاصطناعي أو التطبيقات المصرفية المنتحلة؛ واحتيال الدفع الرقمي عبر التلاعب برموز الاستجابة السريعة (QR) أو حسابات التجار الوهمية؛ واحتيال الهويات المصطنعة باستخدام هويات مولدة بالذكاء الاصطناعي؛ والاحتيال الممكّن بالتزييف العميق.

8.2.2.5

يُراجع كتيب الاحتيال ويُحدث سنويًا على الأقل، أو بتواتر أعلى مع ظهور اتجاهات احتيال أو متطلبات تنظيمية جديدة، لضمان بقائه فعّالًا وملتزمًا.

8.2.2.6

تُقيَّم مخاطر الاحتيال الناشئة عن مزودي الخدمات من الأطراف الخارجية المشاركين في معالجة المدفوعات، مثل البوابات أو المجمعات، وتُعالج، على أن يكون ذلك جزءًا من عملية تقييم المخاطر لدى الجهة.

8.2.2.7

على الجهات الخاضعة للرقابة المشاركة في مبادرات تبادل استخبارات تهديدات الاحتيال على مستوى القطاع، للبقاء على اطلاع بتكتيكات الاحتيال الناشئة وتعزيز الدفاعات التعاونية وتحسين مرونة القطاع.

8.3 أمن الخدمات المصرفية الرقمية

لضمان سرية الخدمات المصرفية الرقمية وسلامتها وتوافرها، على الجهات الخاضعة للرقابة تطبيق ضوابط أمنية رصينة لحماية هذه الخدمات وضمان أمان المعاملات.

8.3.1.1

تُهيأ أنظمة الخدمات المصرفية عبر الإنترنت وتطبيقات الجوال المصرفية بما يضمن: أ) إنهاء جلسات المستخدمين آليًا بعد خمس دقائق كحد أقصى من الخمول، مع تعتيم أي معلومات حساسة معروضة متعلقة بحساب العميل أو مسحها؛ ب) منع الجلسات المتزامنة.

8.3.1.2

تُقيَّد صلاحية كلمات المرور لمرة واحدة (OTP) بدقيقتين كحد أقصى. وتنفذ الجهات الخاضعة للرقابة آليات إعادة التحقق من الجلسات لضمان استمرار صلاحيتها، على أن تُطلق إعادة التحقق بناءً على فترات محددة مسبقًا أو تغيرات سياق الجلسة (مثل شذوذ عنوان IP أو الموقع الجغرافي أو نشاط غير معتاد) أو الخمول المطول. وتتضمن إعادة التحقق تثبتًا آمنًا من الهوية عبر التحقق متعدد العناصر أو القياسات الحيوية أو تدابير أخرى واعية بالسياق.

8.3.1.3

على الجهات الخاضعة للرقابة إرساء تدابير تحقق موثوقة وفعّالة عبر تطبيق ضوابط قوية للتحقق متعدد العناصر (MFA) لتأمين الوصول، وأساليب تحقق خارج النطاق لتفويض الإجراءات الحرجة مثل تفعيل الحسابات والمعاملات المالية (كالتحويلات ودفع الفواتير) وإضافة المستفيدين، باستخدام: أ) كلمة مرور لمرة واحدة مولدة من تطبيقات مصادقة خارجية؛ ب) إشعار فوري داخل التطبيق بموافقة بالقياسات الحيوية أو الرقم السري (لتطبيقات الجوال فقط)؛ ج) التفويض المبني على الجهاز (مثل FIDO2) المرتبط بجهاز جوال مسجل (لتطبيقات الجوال فقط).

8.3.1.4

يجوز للجهات الخاضعة للرقابة تبني تقنيات آمنة ومبتكرة أخرى لتسليم كلمات المرور لمرة واحدة مع تطورها وظهورها، شريطة التقييم المسبق وموافقة بنك الكويت المركزي.

8.3.1.5

على الجهات الخاضعة للرقابة الحصول على موافقة العميل على أسلوب تسليم كلمة المرور لمرة واحدة المفضل لديه وتوثيقها أثناء عملية الضم أو ضمن تحديثات الملف. ويُتاح للعملاء خيار مراجعة تفضيلاتهم وتحديثها في أي وقت.

8.3.1.6

تُطبق منصات الخدمات المصرفية عبر الإنترنت ضوابط مكافحة التصيد لتحديد المستخدم والتثبت منه (مثل اسم المستخدم)، والتحقق من موثوقية التطبيق (مثل أسئلة تحدٍ قبل الدخول ومفتاح الموقع والتحقق متعدد الشاشات وغيرها)، والتحقق من هوية المستخدم بكلمة مرور كجزء من عملية التحقق.

8.3.1.7

على الجهات الخاضعة للرقابة تطبيق ضوابط لمنع تثبيت تطبيقات الجوال المصرفية على الأجهزة المكسورة الحماية وحظر استخدامها عليها.

8.3.1.8

على الجهات الخاضعة للرقابة ضمان تشفير تطبيق الجوال المصرفي لجميع البيانات المخزنة محليًا، إن وجدت، على أجهزة العملاء.

8.3.1.9

على الجهات الخاضعة للرقابة ضمان تحقق تطبيق الجوال المصرفي من رقم جوال العميل واستخدامه آليات التحقق من هوية الجهاز، مثل بصمة الجهاز أو التحقق المبني على الشهادات أو غيرها من الأساليب المتقدمة، عند أول استخدام للتطبيق.

8.3.1.10

يجوز السماح للعملاء بالوصول إلى تطبيق الجوال المصرفي من عدد محدود من الأجهزة المتحقق منها، حتى ثلاثة أجهزة. ويجوز للجهات الخاضعة للرقابة السماح بزيادة عدد الأجهزة المسموح بها حتى ستة، شريطة توافر ضوابط معالجة مخاطر قوية (مثل آليات التحقق القوي: التحقق متعدد العناصر والتحقق بالقياسات الحيوية) وإثبات موثوقية الأجهزة والمراقبة المستمرة والتحليل السلوكي وإعادة التحقق الدورية من جميع الأجهزة المسجلة.

8.3.1.11

على الجهات الخاضعة للرقابة فرض إعادة تحقق دورية من جميع الأجهزة المسجلة كل 6 أشهر على الأقل للحسابات عالية المخاطر وسنويًا لسائر الحسابات. وتتضمن عملية إعادة التحقق: أ) تأكيد العميل لكل جهاز مسجل عبر قنوات آمنة، مثل الإشعارات داخل التطبيق أو التحقق بكلمة مرور لمرة واحدة أو القياسات الحيوية؛ ب) فحوصات إثبات موثوقية الجهاز للتحقق من وضعه الأمني (كخلوه من كسر الحماية وتحديث نظام التشغيل وتفعيل التشفير)؛ ج) إلغاء التسجيل الآلي للأجهزة التي تفشل في إعادة التحقق أو تبقى دون تحقق بعد 30 يومًا، أو تُعد خاملة لأكثر من 6 أشهر. وتُرسل الإشعارات للعملاء بأي إجراءات متخذة على الأجهزة غير المتحقق منها.

8.3.1.12

يُتاح للعملاء خيار تعطيل أي من الأجهزة المسجلة عن بعد عبر تطبيق الجوال المصرفي أو منصة الخدمات المصرفية عبر الإنترنت. وتُرسل الإشعارات للعملاء بجميع الأنشطة المتعلقة بالأجهزة (أي تسجيلات الأجهزة الجديدة وعمليات التحقق والتعطيل).

8.3.1.13

يوفر تطبيق الجوال المصرفي التحقق بالقياسات الحيوية (مثل بصمة الإصبع أو التعرف على الوجه) خيارًا لدخول المستخدم، حيثما كان مدعومًا.

8.3.1.14

على الجهات الخاضعة للرقابة إجراء تقييمات أمنية دورية لتحديد ومعالجة الثغرات المرتبطة بمنصاتها المصرفية عبر الإنترنت وتطبيقات الجوال المصرفية، بما يشمل تقييمات الثغرات واختبارات الاختراق.

8.3.1.15

على الجهات الخاضعة للرقابة ضمان توافر الإجراءات والتدابير الأمنية الملائمة للتحقق من هوية جميع المستخدمين المسجلين عن بعد أو عبر القنوات غير الحضورية.

8.3.2.1

على الجهات الخاضعة للرقابة إرساء آليات رصينة للتحكم بالوصول تضمن اقتصار الوصول إلى بيانات العملاء على مقدمي الخدمات الخارجيين (TPPs) المخولين، وامتلاك العملاء تحكمًا كافيًا بالصلاحيات الممنوحة لهم، بما يتماشى مع إطار الخدمات المصرفية المفتوحة لبنك الكويت المركزي.

8.3.2.2

على الجهات الخاضعة للرقابة ضمان مشاركة البيانات الأساسية فقط للعملاء مع مقدمي الخدمات الخارجيين، والحصول على موافقة صريحة من العملاء على مشاركة البيانات.

8.3.2.3

على الجهات الخاضعة للرقابة إجراء تقييمات مخاطر شاملة لمقدمي الخدمات الخارجيين قبل منحهم الوصول إلى بيانات العملاء، لضمان تلبيتهم المعايير الأمنية المطلوبة.

8.3.2.4

على الجهات الخاضعة للرقابة ضمان تطوير واجهات برمجة التطبيقات للخدمات المصرفية المفتوحة ونشرها وصيانتها بتدابير أمنية كافية تركز على التحقق من المدخلات والاتصالات الآمنة وتقييد المعدل، بما يتماشى مع إطار الخدمات المصرفية المفتوحة لبنك الكويت المركزي.

8.3.2.5

على الجهات الخاضعة للرقابة ضمان تطبيق المراقبة اللحظية لواجهات الخدمات المصرفية المفتوحة، لاكتشاف أي وصول غير مصرح به أو نشاط غير معتاد والاستجابة له.

8.3.2.6

على الجهات الخاضعة للرقابة ضمان مرونة واجهات الخدمات المصرفية المفتوحة وبنيتها التحتية المرتبطة في مواجهة الإخفاقات التشغيلية، مع تطبيق تدابير تكرار كافية للمحافظة على توافر الخدمة.

8.3.2.7

على الجهات الخاضعة للرقابة التقييم الدوري لأمن واجهات الخدمات المصرفية المفتوحة، بإجراء اختبارات الاختراق وتقييمات الثغرات، لتحديد أي مخاطر أمنية محتملة ومعالجتها.

8.3.2.8

على الجهات الخاضعة للرقابة الاحتفاظ بسجلات تفصيلية لجميع عمليات الوصول للواجهات ومعاملات الموافقة وأحداث مشاركة البيانات المتعلقة بأنظمة الخدمات المصرفية المفتوحة. وينبغي حماية هذه السجلات بما يكفي ومراجعتها دوريًا ضمن عمليات التدقيق الداخلي والفحوصات التنظيمية.

8.3.2.9

على الجهات الخاضعة للرقابة تزويد العملاء بالتوعية الكافية بشأن الخدمات المصرفية المفتوحة، بما يشمل إرشادات إدارة الصلاحيات والوصول والتعرف على الاحتيال المحتمل.

8.3.3.1

تفرض المحافظ الرقمية التحقق متعدد العناصر للتسجيل وأول دخول والإجراءات الحرجة، مثل إضافة وسيلة دفع أو تعديلها وتغيير إعدادات الحساب وإدارة الأجهزة المخولة المرتبطة بالمحفظة أو تنفيذ معاملات عالية المخاطر.

8.3.3.2

على الجهات الخاضعة للرقابة التحقق من الأجهزة وتسجيلها للوصول إلى المحافظ الرقمية عبر ربط الجهاز، بما يضمن قصر الوصول إلى المحفظة ومعاملاتها على جهاز مسجل مصرح به مسبقًا.

8.3.3.3

تحظر المحافظ الرقمية الاستخدام على الأجهزة المكسورة الحماية.

8.3.3.4

يُستخدم الترميز البديل (Tokenization) لمعالجة بيانات الدفع وتخزينها.

8.3.3.5

تلتزم واجهات برمجة التطبيقات وبوابات الدفع المستخدمة في المحافظ الرقمية التزامًا صارمًا بممارسات التطوير الآمن، وتخضع لتقييمات ثغرات واختبارات اختراق دورية وفق الفترات المحددة.

8.3.3.6

على الجهات الخاضعة للرقابة ضمان قدرة العملاء على تعطيل المحافظ الرقمية أو فك ارتباط الأجهزة بها عن بعد في حالات سرقة الجهاز أو فقدانه أو اختراقه.

8.4 أمن بيانات بطاقات الدفع

لضمان حماية بيانات بطاقات الدفع بشكل كافٍ، على الجهات الخاضعة للرقابة تطبيق ضوابط أمن بيانات البطاقات.

8.4.1.1

على الجهات الخاضعة للرقابة ضمان الالتزام باللوائح المنطبقة ومعايير القطاع وأفضل الممارسات (مثل PCI-DSS وPCI PTS وPCI SSF وEMV) لحماية معلومات بطاقات الدفع والأنظمة المرتبطة بها.

8.4.1.2

لا يكون رقم البطاقة الكامل أبدًا جزءًا من أي مراسلات مع العملاء ولا مضمنًا فيها.

8.4.1.3

يؤمَّن توليد الرقم السري للبطاقة بعمليات تشفير قوية بما يقصر الوصول إليه على المستلم المقصود وحده.

8.4.1.4

تُرمَّز بيانات حامل البطاقة ترميزًا بديلًا أو تُشفَّر أثناء التخزين والنقل.

8.5 أمن أجهزة الخدمة الذاتية للعملاء

لمنع اختراق معلومات العملاء أو تسريبها عبر أجهزة الخدمة الذاتية (أجهزة الصراف الآلي ATMs وأجهزة الصراف التفاعلي ITMs وأكشاك الخدمة KIOSKs ونقاط البيع POSs وأجهزة XTMs وغيرها)، على الجهات الخاضعة للرقابة تطبيق تدابير أمنية شاملة مادية وبيئية ومنطقية.

8.5.1.1

على الجهات الخاضعة للرقابة تطبيق تدابير أمن مادي لحماية أجهزة الخدمة الذاتية للعملاء من السرقة والإضرار والعبث وغيرها.

8.5.1.2

على الجهات الخاضعة للرقابة تطبيق تدابير مكافحة نسخ البطاقات (Anti-Skimming) واكتشاف العبث وسائر التدابير الأمنية على أجهزة الخدمة الذاتية للعملاء.

8.5.1.3

على الجهات الخاضعة للرقابة إجراء فحص مادي لأجهزة الخدمة الذاتية للعملاء ومواقعها كل ربع سنة على الأقل، للتحقق من فعالية التدابير الأمنية المطبقة وتحديد الفجوات الأمنية وضمان الالتزام.

8.5.2.1

تتحقق أجهزة الخدمة الذاتية من هوية معاملات العملاء باستخدام مزيج من البطاقة (مثل بطاقة السحب أو الائتمان أو البطاقة المرمزة أو البطاقة المدنية) والرقم السري (الثابت أو لمرة واحدة) حسب الانطباق.

8.5.2.2

تُطبق ضوابط الفصل بين المهام في معالجة البطاقات وتوليد الرقم السري وتسليم البطاقة والرقم السري للعميل. وتضمن الجهات إصدار البطاقة بحالة غير مفعلة مع إرساء عملية للتفعيل.

8.5.2.3

تحظر الجهات الخاضعة للرقابة البطاقة بعد ثلاث محاولات فاشلة لاستخدام الرقم السري وتشعر العميل فورًا لمنع سوء الاستخدام المحتمل. وتُنفَّذ طلبات تفعيل هذه البطاقات بإجراءات تحقق وتثبت معززة، مع بذل العناية عبر قنوات آمنة.

8.6 أمن تقنيات الدفع اللاتلامسي

لحماية المعلومات الحساسة من النشل الإلكتروني أو التنصت على الاتصالات اللاتلامسية واللاسلكية بين جهاز العميل المحمول والمستفيد، على الجهات الخاضعة للرقابة تطبيق ضوابط لتأمين التقنيات اللاتلامسية.

8.6.1.1

على الجهات الخاضعة للرقابة إجراء تقييم مخاطر لتحديد المخاطر الناشئة عن استخدام البطاقات الممكّنة بالاتصال قريب المدى (NFC) والمدفوعات برمز الاستجابة السريعة (QR) وسائر التقنيات اللاتلامسية، وتطبيق الضوابط الملائمة لمعالجة المخاطر المحددة.

8.6.1.2

على الجهات الخاضعة للرقابة تحديد وإنفاذ حدود ملائمة لعدد معاملات الاتصال قريب المدى وقيمتها. ويُطلب تحقق إضافي (مثل الرقم السري أو القياسات الحيوية) للمعاملات المتجاوزة للحدود المحددة.

8.6.1.3

على الجهات الخاضعة للرقابة إشعار العملاء لحظيًا عبر قنوات تواصل فعّالة بالمعاملات المنفذة باستخدام التقنيات اللاتلامسية.

9.1 استمرارية الأعمال والتعافي من الكوارث

لضمان توافر الأنظمة والبيانات أثناء الظروف المعاكسة والأحداث المسببة للانقطاع، على الجهات الخاضعة للرقابة اعتماد برنامج ملائم لاستمرارية الأعمال والتعافي من الكوارث.

9.1.1.1

توثق عمليات وخطط استمرارية الأعمال والتعافي من الكوارث وتحليل الأثر على الأعمال وتقييمات مخاطر التهديدات (TRAs) والتعافي، وتُعتمد وتُطبق وتُراجع وتُحدث سنويًا أو عند التغييرات الجوهرية.

9.1.1.2

تُرسى خطط استمرارية الأعمال وخطط التعافي من الكوارث لوحدات الأعمال منفردة، وتُدمج في الخطط الشاملة على مستوى الجهة.

9.1.1.3

على الجهات الخاضعة للرقابة تحديد أهداف وقت التعافي (RTOs) وأهداف نقطة التعافي (RPOs) والحد الأقصى للتوقف المقبول (MTD) للأنظمة والوظائف الحرجة.

9.1.1.4

يُحدد موقع تعافٍ بديل لاستعادة الأنظمة الحرجة وعمليات الأعمال، على أن يكون منفصلًا جغرافيًا عن الموقع الرئيسي.

9.1.1.5

تكون إجراءات التعافي المطلوبة وكتيبات التعافي وقوائم الاتصال (بأسماء وأرقام مزودي الخدمات الخارجيين والموظفين المعنيين) محدثة ومتاحة في موقع التعافي. وتُراجع هذه القوائم وتُحدث سنويًا على الأقل أو بتواتر أعلى حسب الحاجة.

9.1.1.6

تُحدد إستراتيجيات التعافي وتُعتمد، متضمنة: أ) الأنشطة الواجب تنفيذها خلال مختلف سيناريوهات الأزمات، بما يشمل الهجمات السيبرانية؛ ب) الحلول التقنية أو اليدوية البديلة؛ ج) الأدوار والمسؤوليات؛ د) قنوات وبروتوكولات التواصل لتحديث أصحاب المصلحة المعنيين باستمرار.

9.1.2.1

تُحدد إستراتيجية للنسخ الاحتياطي وتُعتمد وتُطبق وتُراجع وتُحدث سنويًا أو عند التغييرات الجوهرية. وتتضمن الإستراتيجية: أ) دورية النسخ الاحتياطي؛ ب) آليات التخزين والتخلص الآمنة؛ ج) التدابير الأمنية لحماية المعلومات ووسائط النسخ الاحتياطي، بما يشمل الحماية من الحوادث السيبرانية.

9.1.2.2

يُنسخ احتياطي المعلومات وفقًا لإستراتيجية النسخ المعتمدة، وتُخزن ويُحتفظ بها وفقًا للمتطلبات التنظيمية والقوانين المنطبقة.

9.1.2.3

تُختبر النسخ الاحتياطية دوريًا، كل ربع سنة على الأقل لأنظمة حرجة مختارة بما يفضي إلى اختبار نسخ جميع الأنظمة الحرجة خلال سنة واحدة، للتحقق من قابلية الاستعادة وضمان سلامة البيانات المنسوخة واكتمالها.

9.1.3.1

على الجهات الخاضعة للرقابة تحديد وتوثيق جميع الخدمات الحرجة واعتمادياتها، بما يشمل الأنظمة الداخلية وموردي الأطراف الخارجية ومكونات سلسلة الإمداد.

9.1.3.2

تُقيَّم الاعتماديات المتبادلة بين الخدمات الحرجة، سنويًا على الأقل، لتحديد نقاط الفشل الفردية ومعالجة المخاطر.

9.1.3.3

يخضع مزودو الخدمات من الأطراف الخارجية الداعمون للخدمات الحرجة لتقييمات مخاطر سنوية.

9.1.3.4

تتضمن اتفاقيات مستوى الخدمة مع مزودي الخدمات الحرجة متطلبات المرونة التشغيلية وأهداف وقت التعافي والإشعار بالاختراقات.

9.1.3.5

تُرسى خطط طوارئ لإخفاقات الخدمات الحرجة، تتضمن آليات التكرار أو المزودين البدلاء.

9.1.4.1

تُجرى اختبارات استعادة دورية، سنويًا على الأقل، على المعلومات المنسوخة احتياطيًا للتحقق من فعالية النسخ واكتمالها.

9.1.4.2

على الجهات الخاضعة للرقابة إجراء تمارين واختبارات سنوية لاستمرارية الأعمال والتعافي من الكوارث (مثل تدريبات خطة الاستمرارية والتجاوز التلقائي)، لضمان فعالية إستراتيجيات التعافي والاستمرارية التشغيلية. وتُشمل في هذه الاختبارات جميع الأنظمة الحرجة والأنشطة الأساسية ودعم الأنظمة ومستخدمو الأعمال المعنيون بهذه العمليات.

9.1.4.3

توثق نتائج اختبارات استمرارية الأعمال والتعافي من الكوارث وانحرافاتها، إن وجدت، مع خطط الإجراءات والمعالجة الملائمة. وتعتمد الإدارة التنفيذية العليا النتائج وخطط الإجراءات الموثقة.

9.1.4.4

تُجرى تمارين المحاكاة النظرية سنويًا لتقييم فعالية أساليب التعافي والتحقق من جاهزية السيناريوهات وضمان عملية خطط الإجراءات.

9.1.4.5

يُزوَّد موقع التعافي البديل بضوابط الأمن المادي والوصول وفقًا لعملية إدارة المخاطر لدى الجهة الخاضعة للرقابة.

9.1.4.6

إضافة إلى اختبارات استمرارية الأعمال والتعافي من الكوارث، ينبغي للجهات الخاضعة للرقابة النظر في إرساء برنامج شامل لاختبار المرونة التشغيلية يركز على قدرة الجهة على الصمود أمام الحوادث السيبرانية والانقطاعات التشغيلية وإخفاقات الأطراف الخارجية والتعافي منها.

9.1.4.7

على الجهات الخاضعة للرقابة ضمان تغطية برنامج اختبار المرونة التشغيلية الشامل جميع خدمات وعمليات الأعمال الحرجة، مع تحديد أي اعتماديات متبادلة وإدارتها على النحو الملائم.

9.1.4.8

على الجهات الخاضعة للرقابة ضمان تنفيذ اختبارات مبنية على السيناريوهات لمحاكاة طيف واسع من سيناريوهات الانقطاع، بما يشمل الحوادث السيبرانية، مع توثيق نتائج هذه الاختبارات للتقييم والتحسين المستمر.

9.1.4.9

على الجهات الخاضعة للرقابة تنفيذ اختبار المرونة التشغيلية سنويًا بحد أدنى، أو عند وقوع تغييرات جوهرية في بيئة التشغيل تستوجب إعادة تقييم قدرات التعافي التشغيلي.

9.1.4.10

على الجهات الخاضعة للرقابة ضمان مراعاة أي أطراف خارجية أو موردين حرجين في برنامج اختبار المرونة التشغيلية، لتقييم قدرات التعافي وأثر إخفاقات الأطراف الخارجية.

9.2 إدارة الأزمات السيبرانية

لضمان الاتساق في الفهم والاستعداد والاستجابة والتعافي طوال دورة حياة الأزمة، على الجهات الخاضعة للرقابة اعتماد برنامج فعّال وملائم لإدارة الأزمات.

9.2.1.1

على الجهات الخاضعة للرقابة المحافظة على خطط محدثة لإدارة الأزمات تدعم مرونتها المؤسسية، بما يشمل تخطيط إدارة الأزمات السيبرانية كمكوّن متكامل. وتكون هذه الخطط: أ) معتمدة من المجلس أو الإدارة التنفيذية العليا؛ ب) مطبقة على مستوى المنشأة بما يضمن تغطية الوظائف والصلاحيات والمسؤوليات المؤسسية الرئيسية؛ ج) متوائمة مع المتطلبات القانونية والتنظيمية ومتطلبات الجهة؛ د) متوائمة مع اعتبارات إدارة المخاطر التشغيلية (مثل سياسات وخطط وإجراءات ونماذج التعافي من الكوارث واستمرارية الأعمال والتواصل الداخلي والخارجي).

9.2.1.2

على الجهات الخاضعة للرقابة تحديد فريق لإدارة الأزمات يدمج الوظائف التقنية والأعمالية والإدارية للجهة.

9.2.1.3

يقود فريقَ إدارة الأزمات قائدُ الاستجابة للأزمات، ويضم ممثلين مخولين تحديدًا من العمليات وتقنية المعلومات وأمن المعلومات والقانونية والاتصال المؤسسي. ويتولى الفريق: أ) تطوير تخطيط إدارة الأزمات وصيانته وتعزيزه والتمرن عليه؛ ب) مساعدة قائد الاستجابة على تقييم ما إذا كانت هناك حادثة بأثر بمستوى الأزمة وما إذا كانت الاستجابة الرسمية مطلوبة؛ ج) حشد الموارد الداخلية والخارجية اللازمة ونشرها لتنفيذ الاستجابة؛ د) الإشراف على تنفيذ أنشطة الاستجابة؛ هـ) إدارة التواصل مع أصحاب المصلحة الداخليين والخارجيين طوال دورة حياة إدارة الأزمة.

9.2.1.4

على الجهات الخاضعة للرقابة ضمان أن قائد الاستجابة للأزمات: أ) يشغل منصبًا تنفيذيًا رفيعًا يخوله اتخاذ القرارات الإستراتيجية؛ ب) يمتلك المهارات والخبرة لفهم عمليات الجهة والقدرة على إدارة الأزمة؛ ج) له نائب معيّن يحل محله عند غيابه.

9.2.1.5

توثق عملية لإدارة الأزمات السيبرانية وتُعتمد وتُختبر وتُراجع وتُحدث سنويًا أو عند التغييرات الجوهرية. وتتولى العملية: أ) معالجة اعتبارات إدارة المخاطر التشغيلية (مثل سياسات وخطط وإجراءات ونماذج التعافي من الكوارث واستمرارية الأعمال والتواصل الداخلي والخارجي)؛ ب) تغطية المنشأة كاملة بما يضمن شمول الوظائف والصلاحيات والمسؤوليات المؤسسية الرئيسية.

9.2.1.6

على الجهات الخاضعة للرقابة تحديد مصفوفة لشدة الأثر يعتمدها المجلس أو الإدارة التنفيذية العليا، بحيث: أ) تراعي المصفوفة نتائج تحليلات الأثر على الأعمال الخاصة بالجهة والتقييمات الداخلية وتحليلات المخاطر؛ ب) تدرّج الأثر على الجهة (مثل منخفض ومتوسط وعالٍ، أو طفيف ومعتدل وشديد، وغيرها) عبر فئات الاعتبار الجوهرية بما يتواءم مع مصفوفة شدة الأثر القطاعية المحددة في خطوط الأساس للمرونة التشغيلية لبنك الكويت المركزي وشهية المخاطر المحددة للجهة؛ ج) تحدد إجراءات المعالجة الملائمة لكل درجة أثر.

9.2.2.1

على الجهات الخاضعة للرقابة تطبيق أدوات وتغذيات استخبارات تهديدات ملائمة والمحافظة عليها من الأنظمة الداخلية ومزودي الأطراف الخارجية، لمساعدة الجهة في بدء جهود الاستجابة للمخاطر على مستوى المنشأة كلما لزم.

9.2.2.2

على الجهات الخاضعة للرقابة تطبيق آليات إشعار طارئ تدعم الاتصال في الوقت المناسب بالمستجيبين والموظفين عند وقوع حادثة بأثر بمستوى الأزمة.

9.2.2.3

على الجهات الخاضعة للرقابة تطبيق أدوات الاستجابة لإدارة الأزمات (مثل قدرة تسجيل القرارات والإجراءات) لإنشاء أثر قابل للتدقيق لاعتبارات الاستجابة والمساعدة في التحسين بناءً على الدروس المستفادة.

9.2.2.4

على الجهات الخاضعة للرقابة الإبلاغ عن الحوادث المؤثرة على السرية أو السلامة أو التوافر، بغض النظر عن كون السبب الجذري سيبرانيًا أم لا، إلى بنك الكويت المركزي وفقًا للمهل المحددة في خطوط الأساس للمرونة التشغيلية الصادرة عنه، بحسب تصنيف شدة الحادثة.

9.2.2.5

على الجهات الخاضعة للرقابة تحديث بنك الكويت المركزي عن وضع الحوادث المبلغ عنها وتقدمها وفقًا للمهل المحددة في خطوط الأساس للمرونة التشغيلية الصادرة عنه.

9.2.2.6

على الجهات الخاضعة للرقابة الإبلاغ عن الحوادث وفقًا للنماذج المحددة مسبقًا وقنوات التواصل المبينة في خطوط الأساس للمرونة التشغيلية لبنك الكويت المركزي.

9.2.2.7

على الجهات الخاضعة للرقابة تحديد الحوادث المستوفية لمعايير الحدث بمستوى الأزمة وتصعيدها ضمن الإطار الزمني المحدد والمقرر في خطوط الأساس للمرونة التشغيلية لبنك الكويت المركزي.

9.2.2.8

على الجهات الخاضعة للرقابة المشاركة والتعاون في الاستجابات القطاعية للأزمات بناءً على الشدة المقيّمة والإجراءات التي يبادر بها بنك الكويت المركزي.

9.2.3.1

على الجهات الخاضعة للرقابة تبني نموذج تعلم مستمر لتعزيز التحسينات المتواصلة في الجاهزية المستقبلية للحوادث السيبرانية.

9.2.3.2

على الجهات الخاضعة للرقابة توفير: أ) تدريب منتظم، سنويًا على الأقل، ملائم لأدوار المستجيبين في الاستجابة للأزمات؛ ب) تدريب طارئ عند أي تغيير في عملية الاستجابة لدى الجهة.

9.2.3.3

على الجهات الخاضعة للرقابة إجراء تمارين للأزمات السيبرانية سنويًا لضمان ملاءمة وفعالية خطط إدارة الأزمات السيبرانية وإجراءاتها وبنية الاستجابة التحتية.

9.2.3.4

على الجهات الخاضعة للرقابة المشاركة في تمارين الأزمات على مستوى القطاع التي ينظمها بنك الكويت المركزي والمركزة على السيناريوهات السيبرانية وسائر سيناريوهات الأزمات ذات العلاقة.

2. خطوط الأساس للمرونة التشغيلية

3.1 هيكل حوكمة المرونة التشغيلية والإشراف عليها

لضمان هيكل حوكمة واضح للمرونة التشغيلية، على الجهات الخاضعة للرقابة تحديد الأدوار والمسؤوليات وآليات الإشراف بما يضمن المساءلة والتنفيذ الفعّال لأنشطة المرونة.

3.1.1.1

يكون مجلس إدارة الجهات الخاضعة للرقابة (ويشار إليه فيما يلي بالمجلس) هو جهة الاعتماد لإستراتيجية المرونة التشغيلية، ويمنح التفويض لسياسة المرونة التشغيلية.

3.1.1.2

يجوز للمجلس تفويض بعض المسؤوليات إلى اللجان المختصة أو الوظائف المستقلة، على أن يحتفظ المجلس بالمسؤولية النهائية عن المرونة التشغيلية العامة للجهة، وأن تُراجع سنويًا على الأقل ضمن اجتماعاته الرسمية.

3.1.1.3

يكون المجلس مسؤولًا مساءلةً كاملة، بما يشمل اعتماد شهية المخاطر ومستويات التحمل، وضمان الإشراف الإستراتيجي على اتجاهات وتهديدات المرونة التشغيلية المتطورة.

3.1.1.4

يضمن المجلس تخصيص الميزانية والموارد الكافية لتنفيذ أنشطة المرونة التشغيلية المطلوبة.

3.1.1.5

يتلقى المجلس تحديثات منتظمة من لجنة توجيه المرونة التشغيلية عن الحالة العامة لخط الأساس، إضافة إلى تحديثات عند الحاجة عن التهديدات الناشئة أو التغيرات الجوهرية في مشهد التهديدات. كما يجب إبلاغ المجلس وإبقاؤه على اطلاع بأي تبعات قانونية أو تنظيمية للمخاطر التشغيلية.

3.1.2.1

تُنشأ لجنة توجيه المرونة التشغيلية بمشاركة: أ) رئيس وظيفة المرونة التشغيلية؛ ب) التنفيذيين وكبار المديرين من جميع الإدارات والوظائف ذات العلاقة (أي التنفيذيين من فئة CxO ووظائف الأعمال ذات العلاقة والالتزام).

3.1.2.2

يرأس لجنة توجيه المرونة التشغيلية تنفيذي رفيع معيّن يمتلك الخبرة ذات العلاقة والمعرفة الكافية بالمرونة التشغيلية.

3.1.2.3

3.1.2.4

يجوز للمجلس تفويض مسؤوليات محددة متعلقة بالمرونة التشغيلية إلى لجنة توجيه المرونة التشغيلية التي يُنشئها المجلس ويكلفها. وتقتصر هذه المسؤوليات على المهام الاستشارية والإشرافية وبعض مهام التنسيق التشغيلي، ولا تملك اللجنة صلاحية اعتماد القرارات الإستراتيجية مثل إستراتيجية المرونة التشغيلية أو شهية المخاطر.

3.1.2.5

تتولى لجنة توجيه المرونة التشغيلية: أ) مراجعة وتأييد إستراتيجية المرونة التشغيلية وسياسة المرونة التشغيلية وتحليل الأثر على الأعمال وتقرير تجميع تقييم المخاطر وخطة إدارة الأزمات وتقرير إستراتيجية التعافي؛ ب) مراقبة فعالية أنشطة المرونة التشغيلية من خلال مؤشرات المخاطر الرئيسية (KRIs) ومؤشرات الأداء الرئيسية (KPIs) وحالة تخصيص الموارد؛ ج) التوصية بمستويات تحمل الأثر لدى الجهة الخاضعة للرقابة والتأكد من مواءمتها مع أهداف الأعمال العامة وشهية المخاطر؛ د) الإشراف على جاهزية الاستجابة للحوادث والأزمات، بما يشمل المراجعات اللاحقة للحوادث والدروس المستفادة وإغلاق إجراءات المعالجة؛ هـ) الإشراف على خطط الاختبار والتمارين والتدريب لضمان تغطيتها لانقطاعات التقنية والسيبرانية وسلسلة الإمداد والأفراد، مع استخدام النتائج لدفع التحسين المستمر؛ و) البقاء على اطلاع بالتهديدات الناشئة والتغيرات التنظيمية وضمان الالتزام.

3.1.3.1

تكون الإدارة التنفيذية العليا جهة الاعتماد لسياسة المرونة التشغيلية ومبادرات المرونة التشغيلية الداعمة للإستراتيجية المعتمدة من المجلس ومستويات تحمل المرونة.

3.1.3.2

تدعم الإدارة التنفيذية العليا، بما يشمل الرئيس التنفيذي وسائر التنفيذيين من المستوى الأعلى، التنفيذ الفعّال لإستراتيجية المرونة التشغيلية.

3.1.3.3

تتولى الإدارة التنفيذية العليا مسؤولية تنفيذ إستراتيجيات المرونة التشغيلية، وضمان المواءمة الفاعلة مع شهية المخاطر ومستويات التحمل المعتمدة، والتكييف المستمر لوضع المرونة التشغيلية للجهة مع الاتجاهات والتهديدات المتطورة.

3.1.3.4

تخصص الإدارة التنفيذية العليا ميزانية ملائمة للمرونة التشغيلية، وتحدد الأدوار والمسؤوليات وتسندها إلى أصحاب الخبرة ذات العلاقة وبما يتواءم مع متطلبات خطوط الأساس للمرونة التشغيلية، وتعزز باستمرار ثقافة المرونة في أنحاء الجهة الخاضعة للرقابة.

3.1.3.5

تعتمد الإدارة التنفيذية العليا حجم وظيفة المرونة التشغيلية ومواردها.

3.1.3.6

تضمن الإدارة التنفيذية العليا مواءمة سياسات ومعايير المرونة التشغيلية التي تطورها وظيفة المرونة التشغيلية وتطبيقها عبر جميع وظائف الأعمال.

3.1.4.1

على الجهات الخاضعة للرقابة إنشاء وظيفة للمرونة التشغيلية مستقلة عن عمليات الأعمال، ممكّنة من المجلس، تحت إشراف لجنة توجيه المرونة التشغيلية وبما يتواءم مع وظيفة المرونة السيبرانية. ويرأس الوظيفة رئيس معيّن للمرونة التشغيلية يمتلك خبرة مثبتة في تخصصات المرونة.

3.1.4.2

يُحدد حجم وظيفة المرونة التشغيلية بناءً على درجة التعقيد وطبيعة الأعمال والأصول التقنية وتعقيد العمليات.

3.1.4.3

يتولى رئيس وظيفة المرونة التشغيلية مسؤولية تحديد إستراتيجية المرونة التشغيلية ومراجعتها.

3.1.4.4

على الجهات الخاضعة للرقابة مساءلة وظيفة المرونة التشغيلية عن تطبيق خط الأساس للمرونة التشغيلية والمحافظة عليه وتنسيقه عبر جميع النطاقات ذات العلاقة.

3.1.4.5

توفر وظيفة المرونة التشغيلية إشرافًا شاملًا على جميع الوظائف الداعمة لاستمرارية خدمات الأعمال الحرجة وتعافيها.

3.1.4.6

تتولى وظيفة المرونة التشغيلية مسؤولية إدارة أنشطة استمرارية الأعمال في أنحاء الجهة الخاضعة للرقابة.

3.1.4.7

تضمن وظيفة المرونة التشغيلية تقديم برامج التوعية والتدريب على المرونة التشغيلية بفعالية لجميع الموظفين والمتعاقدين وموردي الأطراف الخارجية ذوي العلاقة.

3.1.4.8

تقدم وظيفة المرونة التشغيلية تحديثات إلى لجنة توجيه المرونة التشغيلية كل ربع سنة على الأقل، أو عند الحاجة كلما طرأت تغييرات أو مخاطر ناشئة تتطلب الانتباه، عن الحالة العامة لبرنامجها.

3.1.4.9

تجمّع وظيفة المرونة التشغيلية نتائج تحليل الأثر على الأعمال وتحليل الأثر التقني وتقييم المخاطر وخطة استمرارية الأعمال وخطة التعافي من الكوارث لتقنية المعلومات وخطط إدارة الحوادث والأزمات وتقرير إستراتيجيات التعافي، وترفعها إلى الإدارة التنفيذية العليا للاعتماد.

3.2 سياسة وإستراتيجية المرونة التشغيلية

لضمان نهج منظم لحوكمة المرونة التشغيلية، على الجهات الخاضعة للرقابة تحديد سياسة وإستراتيجية للمرونة التشغيلية والمحافظة عليهما بما يتواءم مع أهداف الأعمال والتوقعات التنظيمية.

3.2.1.1

تُحدد إستراتيجية المرونة التشغيلية وتُعتمد وتُطبق وتُصان سنويًا على الأقل، بحيث: أ) تخضع إستراتيجية المرونة التشغيلية لمراجعة رسمية موثقة سنويًا؛ ب) تخضع الإستراتيجية أيضًا لمراجعات تدفعها التغييرات عند وقوع عوامل داخلية أو خارجية جوهرية تستوجب التعديل، ومنها على سبيل المثال لا الحصر: 1) التغييرات الكبرى في بيئة التشغيل (مثل التوسع في الأعمال أو الاندماج أو التقدم التقني)؛ 2) المتطلبات التنظيمية أو القانونية أو القطاعية الجديدة أو المحدثة؛ 3) التحولات الجوهرية في مشهد تهديدات المرونة التشغيلية أو المخاطر المحددة حديثًا؛ ج) يعرض رئيس وظيفة المرونة التشغيلية لدى الجهة الخاضعة للرقابة إستراتيجية المرونة التشغيلية وخارطة الطريق المحددة ويحصل على اعتمادها من المجلس أو الوظيفة أو اللجنة المناظرة حسب الهيكل التنظيمي، سنويًا أو عقب أي مراجعات تدفعها التغييرات.

3.2.1.2

تحدد إستراتيجية المرونة التشغيلية للجهات الخاضعة للرقابة بحد أدنى: أ) مستوى النضج المستهدف للمرونة التشغيلية مع أهداف واضحة متوائمة مع أهداف أعمال الجهة؛ ب) خارطة طريق بجداول زمنية لتحقيق الأهداف الإستراتيجية؛ ج) متطلبات المراجعة المستمرة والتحقق من مواءمة الأهداف الإستراتيجية مع خطوط الأساس للمرونة التشغيلية.

3.2.1.3

على الجهات الخاضعة للرقابة تحديد المسؤولية والمساءلة عن تنفيذ الإستراتيجية ومراقبة سياسة المرونة التشغيلية.

3.2.1.4

تُحدد سياسة المرونة التشغيلية وتُعتمد وتُطبق ويُبلّغ بها وتُنفّذ وتُتاح لجميع الموظفين والمتعاقدين وموردي الأطراف الخارجية ذوي العلاقة.

3.2.1.5

تُراجع سياسة المرونة التشغيلية وتُحدث سنويًا أو عند التغييرات الجوهرية على عمليات الأعمال الحالية أو الأصول التقنية أو بيئة التشغيل أو عند صدور متطلبات تنظيمية جديدة.

3.2.1.6

على الجهات الخاضعة للرقابة تطوير سياسة للمرونة التشغيلية والمحافظة عليها بحيث: أ) تحدد أهداف المرونة التشغيلية ونطاقها والتزام الإدارة التنفيذية العليا والأدوار والمسؤوليات التشغيلية والمتعلقة بالمرونة (يُرجع للقسم 3.2.1) وآليات الإنفاذ وروادع عدم الالتزام؛ ب) تتضمن أفضل الممارسات والأطر والمعايير الدولية ذات العلاقة؛ ج) تتواءم مع أهداف الجهة الخاضعة للرقابة ومتطلباتها؛ د) تراعي المتطلبات القانونية والتنظيمية المنطبقة.

3.2.1.7

على الجهات الخاضعة للرقابة ضمان إرساء الإجراءات والعمليات والأدلة الإرشادية الداعمة لتمكين تطبيق السياسة.

3.2.1.8

تُعتمد سياسة المرونة التشغيلية من الإدارة التنفيذية العليا ويفوّض بها المجلس، لضمان المواءمة مع الأهداف العامة للجهة والإدارة السليمة لمخاطر المرونة.

3.3 الالتزام

3.3.1.1

على الجهات الخاضعة للرقابة تحديد وتوثيق وصيانة سجل التزام يوثق جميع المتطلبات القانونية والتنظيمية ومتطلبات الالتزام المنطبقة. ويجب تحديد أي تغييرات على هذه المتطلبات وتقييمها وتطبيقها وعكسها في السجل على النحو الملائم، مع مراجعة السجل وتحديثه بانتظام، سنويًا على الأقل.

3.3.1.2

يغطي سجل الالتزام: أ) متطلبات بنك الكويت المركزي وتعليماته وقوانينه ولوائحه، ومنها على سبيل المثال لا الحصر: خطوط الأساس للمرونة التشغيلية للقطاع المصرفي والمالي الكويتي؛ خطوط الأساس للمرونة السيبرانية للقطاع المصرفي والمالي الكويتي؛ وسائر المتطلبات والتعليمات واللوائح الصادرة عن بنك الكويت المركزي. ب) المعايير الدولية وأفضل ممارسات القطاع ذات العلاقة بالمرونة التشغيلية، مثل: معايير المنظمة الدولية للتوحيد القياسي (مثل ISO 22301 وISO 31000 وISO 22361)، ودليل الممارسات الجيدة لمعهد استمرارية الأعمال (BCI)، ومبادئ لجنة بازل للمرونة التشغيلية.

3.3.1.3

على الجهات الخاضعة للرقابة الحصول على شهادة ISO 22301 والمحافظة عليها، وتقديم إفادة بالالتزام إلى بنك الكويت المركزي عند الطلب أو على فترات منتظمة بما يتماشى مع المتطلبات الخاصة بالمعايير ذات العلاقة.

4.1 منهجية تقييم المخاطر

لضمان منهجية منظمة لتقييم مخاطر انقطاع الأعمال، على الجهات الخاضعة للرقابة تحديد ممارسات تقييم المخاطر وتطبيقها بما يدعم الاتساق في تحديد المخاطر وتحليلها ومعالجتها عبر جميع العمليات الحرجة والمواقع الداعمة لها.

4.1.1.1

تحدد وظيفة المرونة التشغيلية منهجية لتقييم المخاطر وتطبقها وتصونها سنويًا أو عند التغييرات الجوهرية على عمليات الأعمال الحالية أو الأصول التقنية أو بيئة التشغيل أو عند صدور متطلبات تنظيمية جديدة.

4.1.1.2

يكون تقييم المخاطر جزءًا من إدارة المخاطر الشاملة للجهة الخاضعة للرقابة ومتوائمًا مع شهيتها للمخاطر، ويركز على تحديد مخاطر انقطاع الأعمال التي قد تعطل عمليات الجهة.

4.1.1.3

على الجهات الخاضعة للرقابة ضمان استناد منهجية تقييم المخاطر إلى أفضل الممارسات والأطر والمعايير الدولية مثل ISO 31000.

4.1.1.4

تجري وظيفة المرونة التشغيلية تقييم المخاطر لجميع المواقع المستخدمة لدعم عمليات الجهات الخاضعة للرقابة، بما فيها المواقع المستأجرة والمسندة للغير.

4.2 عملية تقييم المخاطر

لضمان تحديد وتقييم التهديدات الداخلية والخارجية التي قد تعطل العمليات، على الجهات الخاضعة للرقابة إجراء تقييمات مخاطر منظمة لتحديد المخاطر ذات العلاقة وتقييم أثرها المحتمل.

4.2.1.1

على الجهات الخاضعة للرقابة ضمان أن تراعي عملية تحديد المخاطر التهديدات الداخلية والخارجية التي قد تعطل عمليات الجهة.

4.2.1.2

على الجهات الخاضعة للرقابة مراعاة ما يلي أثناء تحديد المخاطر: أ) المتطلبات التنظيمية والقانونية حسب الانطباق؛ ب) التهديدات البيئية؛ ج) التهديدات التقنية؛ د) التهديدات الجيوسياسية؛ هـ) التهديدات المجتمعية؛ و) تهديدات الأطراف الخارجية؛ ز) التهديدات الاقتصادية.

4.2.1.3

توثق مخاطر انقطاع الأعمال المحددة، بما يشمل التهديدات والثغرات والضوابط، في سجل مخاطر مركزي.

4.2.1.4

تُقيّم المخاطر بناءً على شدتها وأثرها على الأعمال والعمليات واحتمالية وقوعها والضوابط المطبقة.

4.3 معالجة المخاطر والإبلاغ عنها

لضمان المعالجة الفعّالة للمخاطر المحددة في الوقت المناسب، على الجهات الخاضعة للرقابة تحديد خطط معالجة المخاطر الملائمة وتطبيقها ومراقبة تنفيذها والإبلاغ عن حالة المعالجات وفعاليتها بما يدعم اتخاذ القرار المستنير.

4.3.1.1

4.3.1.2

تُرفع خطط معالجة المخاطر إلى مالكي المخاطر المعنيين داخل الجهة الخاضعة للرقابة وتُناقش معهم ويُتفق عليها لتقديم استجابة معالجة المخاطر.

4.3.1.3

تُصنّف استجابة معالجة المخاطر (مثل قبول المخاطر وتجنبها ومعالجتها ونقلها) وتُتتبع وتُدار.

4.3.1.4

على الجهات الخاضعة للرقابة توثيق واعتماد مبررات قبول المخاطر أو تجنبها أو نقلها وفقًا لمنهجية إدارة المخاطر لديها.

4.3.1.5

على الجهات الخاضعة للرقابة تطبيق عملية لمراقبة المخاطر لتتبع الالتزام بخطط المعالجة.

4.3.2.1

تجمّع وظيفة المرونة التشغيلية نتائج تقييم المخاطر وترفعها إلى الإدارة التنفيذية العليا للاعتماد.

4.3.2.2

تقدم وظيفة المرونة التشغيلية تحديثات ربع سنوية إلى لجنة توجيه المرونة التشغيلية عن حالة المخاطر المحددة وخطط المعالجة وأي تغييرات في الملف المخاطري.

4.3.2.3

يُجرى تقييم المخاطر سنويًا أو عند التغييرات الجوهرية على عمليات الأعمال الحالية أو الأصول التقنية أو بيئة التشغيل أو عند صدور متطلبات تنظيمية جديدة.

5.1 تحليل الأثر على الأعمال

لضمان تحديد الخدمات الحرجة والعمليات الداعمة لها ونقاط الفشل الفردية (SPOF) عبر متطلبات التعافي التي قد تؤثر عليه، على الجهات الخاضعة للرقابة إجراء تحليل الأثر على الأعمال (BIA) لتقييم آثار الانقطاع عبر الزمن، وتحديد أهداف التعافي، وتحديد موارد التعافي المطلوبة، وتجميع الاعتماديات المتبادلة من أجل تخطيط فعّال للمرونة.

5.1.1.1

تحدد وظيفة المرونة التشغيلية منهجية لتحليل الأثر على الأعمال (BIA) وتطبقها وتصونها سنويًا أو عند التغييرات الجوهرية على عمليات الأعمال الحالية أو الأصول التقنية أو بيئة التشغيل أو عند صدور متطلبات تنظيمية جديدة.

5.1.1.2

على الجهات الخاضعة للرقابة ضمان استناد منهجية تحليل الأثر على الأعمال إلى أفضل الممارسات والأطر والمعايير الدولية مثل ISO 22301 ودليل الممارسات الجيدة لمعهد استمرارية الأعمال (BCI).

5.1.2.1

على الجهات الخاضعة للرقابة إنشاء قائمة بالخدمات مع مستوى حرجيتها والمحافظة عليها.

5.1.2.2

يكون لكل خدمة مالك خدمة أعمال مسؤول عن مخرجات الخدمة وتقديمها، وتكون له مساءلة شاملة من البداية للنهاية عن ضمان مرونة الخدمة واستمراريتها بغض النظر عن الحدود الوظيفية أو الجغرافية داخل الجهة الخاضعة للرقابة.

5.1.2.3

على الجهات الخاضعة للرقابة إجراء تحليل الأثر على الأعمال لتحديد قائمة الخدمات وربطها بعمليات الأعمال الداعمة لها مع متطلبات موارد التعافي.

5.1.3.1

على الجهات الخاضعة للرقابة تحديد متطلبات موارد التعافي اللازمة لاستدامة الخدمات الحرجة أثناء الانقطاعات، على أن تغطي فئات الموارد المحددة بحد أدنى المباني والمعدات والتقنية والموارد البشرية وخدمات الأطراف الخارجية والسجلات الحيوية.

5.1.3.2

على الجهات الخاضعة للرقابة تحديد أهداف وقت التعافي (RTO) وأهداف نقطة التعافي (RPO) للأنظمة الحرجة.

5.1.3.3

على الجهات الخاضعة للرقابة تحديد الاعتماديات الداخلية بين إدارات الجهة وربطها ببعضها.

5.1.4.1

على الجهات الخاضعة للرقابة تحديد نقاط الفشل الفردية (SPOF) عبر متطلبات موارد التعافي.

5.1.4.2

تجمّع وظيفة المرونة التشغيلية نتائج تحليل الأثر على الأعمال وترفعها إلى الإدارة التنفيذية العليا للاعتماد.

5.1.4.3

يُجرى تحليل الأثر على الأعمال سنويًا أو عند التغييرات الجوهرية على عمليات الأعمال الحالية أو الأصول التقنية أو بيئة التشغيل أو عند صدور متطلبات تنظيمية جديدة.

5.2 إستراتيجيات التعافي

لضمان تحديد إستراتيجيات تعافٍ قابلة للتطبيق للخدمات الحرجة واختيارها وتنفيذها، على الجهات الخاضعة للرقابة تحديد خيارات إستراتيجيات التعافي الملائمة وتخصيص الموارد اللازمة والمحافظة على الجاهزية لاستعادة الخدمات.

5.2.1.1

على الجهات الخاضعة للرقابة استخدام نتائج تحليل الأثر على الأعمال وتقييم المخاطر لصياغة خيارات إستراتيجيات التعافي وتخصيص الموارد الداعمة لها.

5.2.1.2

تُصاغ إستراتيجيات التعافي بناءً على قيم الحد الأقصى للانقطاع المقبول (MAO/MTPD) وأهداف وقت التعافي وأهداف نقطة التعافي المحددة للخدمات والعمليات والأنظمة الحرجة.

5.2.1.3

تغطي إستراتيجيات التعافي متطلبات موارد التعافي (المباني والمعدات والتقنية والموارد البشرية والأطراف الخارجية والسجلات الحيوية) وتراعي سيناريوهات انقطاع متعددة (مثل عدم توافر المبنى أو عدم توافر الأنظمة الحرجة).

5.2.1.4

يُحدد موقع تعافٍ بديل لاستعادة الأنظمة الحرجة، على أن يكون منفصلًا جغرافيًا عن الموقع الرئيسي وغير معرّض لحدث الكارثة ذاته.

5.2.1.5

على الجهات الخاضعة للرقابة تحديد إستراتيجية تعافٍ لعمليات الأعمال في حال عدم توافر المبنى، وقد تشمل هذه الإستراتيجية استخدام موقع بديل أو ترتيبات عمل عن بعد آمنة، وفقًا لما تحدده الجهة.

5.2.2.1

على الجهات الخاضعة للرقابة ضمان تولي الإدارة التنفيذية العليا اختيار إستراتيجيات التعافي مع مراعاة التكاليف والمنافع لكل إستراتيجية محددة.

5.2.2.2

على الجهات الخاضعة للرقابة وضع خطة عمل لتنفيذ إستراتيجيات التعافي المختارة تتضمن أنشطة ومسؤوليات وجداول زمنية مستهدفة محددة.

5.2.2.3

على الجهات الخاضعة للرقابة تتبع حالة تنفيذ إستراتيجيات التعافي وحلولها.

5.2.2.4

توثق إستراتيجيات التعافي المختارة وتُعتمد وتُراجع وتُحدث سنويًا أو عند التغييرات الجوهرية.

5.3 خطط استمرارية الأعمال

لضمان تطوير خطط رسمية لاستمرارية الأعمال لجميع وظائف الأعمال الحرجة والمحافظة عليها، على الجهات الخاضعة للرقابة تحديد خطط استمرارية الأعمال وتوثيقها وتحديثها بانتظام بما يدعم الاستجابة في الوقت المناسب وتنسيق الموارد واستعادة العمليات الأساسية أثناء الانقطاعات وبعدها.

5.3.1.1

على الجهات الخاضعة للرقابة تحديد خطة استمرارية أعمال لكل وظيفة أعمال وتطبيقها وصيانتها سنويًا أو عند التغييرات الجوهرية على عمليات الأعمال الحالية أو الأصول التقنية أو بيئة التشغيل أو عند صدور متطلبات تنظيمية جديدة.

5.3.1.2

تتضمن الخطة بحد أدنى تحديد: أ) أنشطة الإدارة مرتبة بحسب الأولوية؛ ب) الموارد الرئيسية (مثل المباني والمعدات والتقنية والموارد البشرية والأطراف الخارجية والسجلات الحيوية) والاعتماديات الداخلية؛ ج) أدوار ومسؤوليات مختلف أصحاب المصلحة؛ د) إجراءات الاستجابة الأولية والتفعيل وإنهاء الحالة؛ هـ) إجراءات تنفيذ الإستراتيجيات لخيارات التعافي المختارة؛ و) عملية الانتقال إلى موقع تعافٍ بديل وتفعيله لاستعادة الأنظمة الحرجة وعمليات الأعمال؛ ز) دليل إرشادي للتعامل مع وسائل الإعلام؛ ح) عملية إعادة عمليات الجهة إلى الوضع الاعتيادي بعد حل الحادثة.

5.3.1.3

تجمّع وظيفة المرونة التشغيلية خطط استمرارية الأعمال وترفعها إلى الإدارة التنفيذية العليا للاعتماد.

6.1 إدارة الخدمات

لضمان استمرارية خدمات التقنية ومرونتها طوال دورة حياتها عبر تضمين قدرات التعافي والدعم في عمليات الخدمة، على الجهات الخاضعة للرقابة دمج المرونة في تخطيط السعة وأهداف مستوى الخدمة وإجراءات التصعيد للمحافظة على أداء الخدمات الحرجة في الظروف الاعتيادية وظروف الانقطاع.

6.1.1.1

على الجهات الخاضعة للرقابة المحافظة على فهرس خدمات يغطي جميع الخدمات الداخلية والمسندة للغير ضمن نطاق المرونة التشغيلية، مع توثيق الاعتماديات المتبادلة وتحديد مؤشرات الأداء الرئيسية.

6.1.1.2

على الجهات الخاضعة للرقابة تضمين مبدأ المرونة بالتصميم في دورة حياة الخدمات ونماذج الدعم، بما يضمن دمج المرونة من التخطيط والتطوير وحتى التشغيل والإيقاف.

6.1.1.3

على الجهات الخاضعة للرقابة إجراء مراجعات دورية للخدمات لتقييم الأداء والمرونة مقابل مؤشرات الأداء الرئيسية المحددة.

6.1.1.4

على الجهات الخاضعة للرقابة تحديد أهداف مستوى الخدمة للتعافي والتوافر ومراقبتها.

6.2 إدارة النسخ الاحتياطية والاستعادة

لضمان نسخ احتياطي آمن وقابل للاستعادة للبيانات الحرجة، على الجهات الخاضعة للرقابة تطبيق ضوابط لحماية سلامة البيانات والاحتفاظ بها وتوافرها بما يتواءم مع متطلبات التعافي.

6.2.1.1

تُحدد خطة للنسخ الاحتياطي وتُعتمد وتُطبق وتُراجع وتُحدث سنويًا أو عند التغييرات الجوهرية على عمليات الأعمال الحالية أو الأصول التقنية أو بيئة التشغيل أو عند صدور متطلبات تنظيمية جديدة.

6.2.1.2

تتضمن خطة النسخ الاحتياطي بحد أدنى: أ) تواتر النسخ الاحتياطي مع مراعاة حرجية البيانات وهدف نقطة التعافي؛ ب) آليات التخزين والتخلص الآمنة؛ ج) التدابير الأمنية لحماية المعلومات ووسائط النسخ الاحتياطي من مختلف أنواع الحوادث التقنية بما فيها الحوادث السيبرانية؛ د) تخزين النسخ الاحتياطية في موقع بديل آمن ومأمون منفصل جغرافيًا عن الموقع الرئيسي وغير معرّض لحدث الكارثة ذاته.

6.2.1.3

على الجهات الخاضعة للرقابة تطبيق حلول تخزين غير قابلة للتغيير أو نسخ احتياطي معزولة عن الشبكة للأنظمة الحرجة لمنع اختراق النسخ الاحتياطية أثناء الحوادث السيبرانية.

6.2.1.4

يُنسخ احتياطي المعلومات وفقًا لخطة النسخ الاحتياطي المعتمدة، وتُخزن ويُحتفظ بها بما يتواءم مع متطلبات الجهة والمتطلبات التنظيمية والقوانين المنطبقة.

6.2.1.5

6.3 قدرات المرونة التقنية

لضمان استمرارية العمليات الحرجة وتوافرها أثناء الانقطاعات التقنية، على الجهات الخاضعة للرقابة تصميم وتطبيق بنى للتكرار والتوافر العالي وضوابط السلامة بما يدعم استمرار العمليات دون انقطاع.

6.3.1.1

على الجهات الخاضعة للرقابة تطبيق إعدادات التوافر العالي للأنظمة الحرجة المحددة من خلال تحليل الأثر التقني لضمان استمرارية الوصول وقابلية الاستعادة.

6.3.1.2

على الجهات الخاضعة للرقابة اعتماد بنية تقنية قابلة للتوسع ومزودة بالتكرار لمنع نقاط الفشل الفردية.

6.3.1.3

على الجهات الخاضعة للرقابة مراقبة توافر أنظمة تقنية المعلومات وأدائها دوريًا.

6.3.1.4

على الجهات الخاضعة للرقابة ضمان آليات التحقق من توافر البيانات وسلامتها.

6.4 خطط التعافي التقني

لضمان استعادة خدمات التقنية وبنيتها التحتية في الوقت المناسب أثناء الانقطاعات وتقليل الأثر على العمليات الحرجة، على الجهات الخاضعة للرقابة إجراء تحليل الأثر التقني (TIA) وإرساء خطة موثقة للتعافي من الكوارث (DRP) لاستعادة أنظمة وتطبيقات تقنية المعلومات ضمن أطر التعافي الزمنية المحددة.

6.4.1.1

على الجهات الخاضعة للرقابة تحديد منهجية لتحليل الأثر التقني (TIA) وتطبيقها وصيانتها سنويًا أو عند التغييرات الجوهرية على عمليات الأعمال الحالية أو الأصول التقنية أو بيئة التشغيل أو عند صدور متطلبات تنظيمية جديدة.

6.4.1.2

على الجهات الخاضعة للرقابة تحديد الموارد التقنية اللازمة لتلبية أهداف وقت التعافي وأهداف نقطة التعافي المحددة في تحليل الأثر على الأعمال.

6.4.1.3

على الجهات الخاضعة للرقابة ترتيب أولوية أنظمة تقنية المعلومات بحسب حرجيتها لدعم تخطيط التعافي.

6.4.1.4

على الجهات الخاضعة للرقابة ربط كل نظام من أنظمة تقنية المعلومات ببنيته التحتية الأساسية، بما يشمل الخوادم المادية والافتراضية ونظام التشغيل ومواصفات العتاد (مثل المعالج والذاكرة والتخزين).

6.4.1.5

تجمّع وظيفة المرونة التشغيلية نتائج تحليل الأثر التقني وترفعها إلى الإدارة التنفيذية العليا للاعتماد.

6.4.1.6

يُجرى تحليل الأثر التقني سنويًا أو عند التغييرات الجوهرية على عمليات الأعمال الحالية أو الأصول التقنية أو بيئة التشغيل أو عند صدور متطلبات تنظيمية جديدة.

6.4.2.1

على الجهات الخاضعة للرقابة تحديد خطة للتعافي من الكوارث لتقنية المعلومات (IT DRP) وتطبيقها وصيانتها لاستعادة خدمات التقنية ومكونات البنية التحتية (مثل البيانات والأنظمة والشبكات والخدمات والتطبيقات)، بما يتواءم مع تحليلي الأثر التقني والأثر على الأعمال.

6.4.2.2

تتضمن خطة التعافي من الكوارث لتقنية المعلومات بحد أدنى تحديد: أ) هيكل فريق الاستجابة؛ ب) توصيف أدوار فريق الاستجابة؛ ج) بروتوكولات تفعيل الخطة والتصعيد؛ د) خطوات التعافي؛ هـ) ربط اعتماديات تعافي التطبيقات؛ و) إستراتيجيات تعافي تقنية المعلومات (بما يشمل التعافي من الهجمات السيبرانية)؛ ز) بنية بيئة تقنية المعلومات؛ ح) إجراءات تعافي التطبيقات (بما يشمل التعافي من الهجمات السيبرانية).

6.4.2.3

على الجهات الخاضعة للرقابة إنشاء موقع للتعافي من الكوارث يمكّن من استعادة خدمات التقنية الحرجة عند وقوع انقطاع، على أن يكون منفصلًا جغرافيًا عن الموقع الرئيسي ومجهزًا بالبنية التحتية اللازمة لتلبية أهداف التعافي وغير معرّض للكارثة ذاتها.

6.4.2.4

ترفع وظيفة المرونة التشغيلية خطة التعافي من الكوارث لتقنية المعلومات إلى الإدارة التنفيذية العليا للاعتماد.

6.4.2.5

على الجهات الخاضعة للرقابة مراجعة خطة التعافي من الكوارث لتقنية المعلومات سنويًا أو عند التغييرات الجوهرية على عمليات الأعمال الحالية أو الأصول التقنية أو بيئة التشغيل أو عند صدور متطلبات تنظيمية جديدة.

6.5 خطط التعافي السيبراني

لضمان استعادة خدمات التقنية وسلامة البيانات في الوقت المناسب عقب الحوادث السيبرانية، على الجهات الخاضعة للرقابة إرساء قدرات موثقة للتعافي السيبراني من الأحداث السيبرانية التدميرية، بما في ذلك هجمات برامج الفدية والبرمجيات الضارة، مع حماية سرية الأنظمة والمعلومات الحرجة وسلامتها وتوافرها.

6.5.1.1

على الجهات الخاضعة للرقابة تحديد جميع خدمات التقنية الحرجة أو مجموعة فرعية منها (يُرجع إلى 6.4.1 تحليل الأثر التقني) التي تُعد الأكثر حرجية بناءً على متطلبات الأعمال.

6.5.1.2

على الجهات الخاضعة للرقابة إنشاء قدرات تعافٍ معزولة منطقيًا وماديًا لخدمات التقنية المحددة في البند 6.5.1.1، لضمان التعافي من الحوادث السيبرانية المؤثرة على الموقعين الرئيسي والتعافي من الكوارث.

6.5.1.3

على الجهات الخاضعة للرقابة التحقق من صور التعافي وسلامة النسخ الاحتياطية وخطوط الأساس للإعدادات قبل الاستعادة لضمان خلو الأنظمة المستعادة من الاختراق.

6.5.2.1

على الجهات الخاضعة للرقابة تحديد خطة للتعافي السيبراني (CRP) وتطبيقها وصيانتها لاستعادة خدمات التقنية والتطبيقات والبيانات عقب الحوادث السيبرانية.

6.5.2.2

تتضمن خطة التعافي السيبراني بحد أدنى: أ) الحوكمة والنطاق: تحديد النطاق والأهداف والأدوار والمسؤوليات والافتراضات ومسارات التصعيد؛ ب) أولويات التعافي: تحديد الخدمات الحرجة والاعتماديات وأهداف التعافي وأولوياته؛ ج) إستراتيجيات التعافي: تحديد إستراتيجيات مصممة للهجمات السيبرانية (مثل التعافي من برامج الفدية واستئصال البرمجيات الضارة)؛ د) بيئة التعافي: تحديد بيئة التعافي مثل النسخ الاحتياطي غير القابل للتغيير والخزنة السيبرانية أو بيئة التعافي المعزولة (IRE) والوصول الشبكي المعزول وغيرها؛ هـ) المحفزات: تحديد محفزات تفعيل خطة التعافي السيبراني (مثل ما بعد الاحتواء)؛ و) إجراءات التعافي: تحديد إجراءات تفصيلية وكتيبات تشغيل تقنية للتحقق من نظافة الأنظمة والتطبيقات واستعادتها؛ ز) الاختبار والتحقق: تحديد الاختبارات وتواتر التحقق وخطته؛ ح) التحسين المستمر: تحديد عملية التحسين المستمر بما يشمل، على سبيل المثال لا الحصر، تحديث الخطة بعد الحوادث وبعد التغييرات الكبرى والتهديدات المحددة حديثًا.

6.5.2.3

على الجهات الخاضعة للرقابة مواءمة خطة التعافي السيبراني مع خطة التعافي من الكوارث لتقنية المعلومات وخطة استمرارية الأعمال لضمان تعافٍ منسق.

6.5.2.4

ترفع وظيفة المرونة التشغيلية خطة التعافي السيبراني إلى الإدارة التنفيذية العليا للاعتماد.

6.5.2.5

تُراجع خطة التعافي السيبراني سنويًا أو عند التغييرات الجوهرية على الأصول التقنية أو مشهد التهديدات السيبرانية أو بيئة التشغيل.

6.5.3.1

على الجهات الخاضعة للرقابة إجراء اختبارات التعافي السيبراني سنويًا على الأقل، بما يشمل تمارين مبنية على السيناريوهات مثل تدريبات التعافي من برامج الفدية والتحقق من سلامة البيانات وإعادة بناء البيئات المخترقة.

6.5.3.2

توثق نتائج الاختبارات وتُحلل وتُرفع إلى الإدارة التنفيذية العليا، مع معالجة الفجوات المحددة ضمن جداول زمنية محددة.

6.5.3.3

على الجهات الخاضعة للرقابة دمج الدروس المستفادة من اختبارات التعافي السيبراني في التحسين المستمر لخطة التعافي السيبراني.

8.1 حوكمة إدارة الحوادث والأزمات والتخطيط لها

لضمان استعداد منظم ومنسق لسيناريوهات الحوادث والأزمات، على الجهة الخاضعة للرقابة تحديد هياكل الحوكمة والأدوار ومتطلبات التخطيط بما يدعم الاستجابة والتصعيد والتعافي في الوقت المناسب مع تقليل الانقطاع والمخاطر التنظيمية.

8.1.1.1

على الجهات الخاضعة للرقابة تحديد هيكل استجابة يتألف من فرق مختلفة للتعامل مع حالات الحوادث والأزمات (مثل الفرق الإستراتيجية والتكتيكية والتشغيلية) يدمج الوظائف التقنية والأعمالية والإدارية للجهة.

8.1.1.2

على الجهات الخاضعة للرقابة إنشاء هيكل استجابة من ثلاث طبقات يشمل: أ) فريق إدارة الأزمات (المستوى الإستراتيجي)؛ ب) فريق إدارة الحوادث (المستوى التكتيكي)؛ ج) فريق الاستجابة للحوادث (المستوى التشغيلي).

8.1.1.3

على الجهات الخاضعة للرقابة اعتماد مصفوفة شدة الأثر المبينة في الوثيقة الرسمية كمصفوفة الأثر الداخلية لديها. (يتضمن هذا الضابط جدولًا تفصيليًا لمستويات الشدة والفرق المفعّلة عبر فئات الأثر التشغيلي والسمعي وسرقة البيانات واختراقها والقانوني والتنظيمي؛ يُرجع للجدول في النص الإنجليزي الرسمي. ملاحظة مترجم سايبرز.بز)

8.1.1.4

على الجهات الخاضعة للرقابة إنشاء فريق لإدارة الحوادث (IMT) يُفعَّل ويُشكَّل بحسب طبيعة الحادثة ونطاقها وأثرها، على أن يضم مستجيبين للحوادث من الوظائف المتأثرة.

8.1.1.5

يُعيَّن قائد لفريق إدارة الحوادث لقيادة أنشطة الاستجابة والإشراف على توثيق الإجراءات المتخذة وبدء المراجعة اللاحقة للحادثة عند حلها. (يتصل هذا الضابط بجدول مصفوفة الشدة المشار إليه في 8.1.1.3 بمستوييه المتوسط والعالي والحرج؛ يُرجع للجدول في النص الإنجليزي الرسمي. ملاحظة مترجم سايبرز.بز)

8.1.1.6

على الجهات الخاضعة للرقابة المحافظة على فريق لإدارة الأزمات متمايز عن فريقي إدارة الحوادث والاستجابة للحوادث.

8.1.1.7

يقود فريقَ إدارة الأزمات قائدُ الاستجابة للأزمات، ويمكن أن يضم ممثلين مخولين من الموارد البشرية والعمليات وتقنية المعلومات وأمن المعلومات والقانونية والمالية والاتصال المؤسسي ومدوّن السجلات واستمرارية الأعمال. ويتولى الفريق: أ) تقييم آثار الأزمة؛ ب) المحافظة على إشراف مركزي وإستراتيجي على الأزمة؛ ج) حشد الموارد الداخلية والخارجية اللازمة ونشرها لتنفيذ الاستجابة؛ د) الإشراف على تنفيذ أنشطة الاستجابة؛ هـ) تقديم مدخلات إستراتيجية بشأن التواصل في الأزمات مع أصحاب المصلحة الداخليين والخارجيين طوال دورة حياة إدارة الأزمة؛ و) مراقبة أثر الأزمة واتخاذ الإجراءات اللازمة لتقليل الأضرار المالية والتشغيلية والسمعية والقانونية.

8.1.1.8

8.1.1.9

على الجهات الخاضعة للرقابة امتلاك حقيبة أدوات للاستجابة للحوادث والأزمات (مثل سجل القرارات والإجراءات) لإنشاء أثر قابل للتدقيق لاعتبارات الاستجابة والمساعدة في التحسين بناءً على الدروس المستفادة.

8.1.1.10

على الجهات الخاضعة للرقابة إنشاء مركز قيادة للأزمات.

8.1.2.1

على الجهات الخاضعة للرقابة توثيق خطط إدارة الحوادث والأزمات الداعمة لاستجابتها ومراجعتها وصيانتها سنويًا، بما يشمل تخطيط إدارة الحوادث والأزمات كمكوّن متكامل. وتكون الخطة: أ) معتمدة من الإدارة التنفيذية العليا؛ ب) مطبقة على مستوى الجهة كاملة بما يضمن تغطية الوظائف والصلاحيات والمسؤوليات الرئيسية؛ ج) متوائمة مع المتطلبات القانونية والتنظيمية ومتطلبات الجهة؛ د) متوائمة مع اعتبارات إدارة المخاطر التشغيلية (مثل سياسات وخطط وإجراءات ونماذج التعافي من الكوارث واستمرارية الأعمال والتواصل الداخلي والخارجي).

8.1.2.2

على الجهات الخاضعة للرقابة تطوير خطط لإدارة الحوادث والمحافظة عليها بما يتناسب مع طبيعة عملياتها وحجمها وتعقيدها، على أن تتضمن بحد أدنى: أ) هيكل الفريق؛ ب) توصيف أدوار فريق الاستجابة؛ ج) معايير تصنيف الحوادث ومستويات الشدة؛ د) بروتوكولات التفعيل والتصعيد؛ هـ) دورة حياة الحادثة؛ و) إجراءات التواصل مع أصحاب المصلحة الداخليين والخارجيين.

8.1.2.3

على الجهات الخاضعة للرقابة تطوير خطة لإدارة الأزمات والمحافظة عليها تتضمن بحد أدنى: أ) معايير إعلان الأزمة؛ ب) آلية تفعيل الاستجابة للأزمة والتصعيد؛ ج) هيكل فريق إدارة الأزمات؛ د) بيانات الاتصال بأعضاء فريق إدارة الأزمات واحتياطييهم؛ هـ) دورة حياة الاستجابة للأزمة والتعافي منها؛ و) مجموعة المسؤوليات قبل الأزمة أو الكارثة وأثناءها وبعدها؛ ز) بروتوكولات التواصل مع أصحاب المصلحة الداخليين والخارجيين أثناء الأزمة.

8.2 التواصل والتصعيد

لضمان تواصل دقيق ومنسق وفي الوقت المناسب أثناء الحوادث والأزمات، على الجهة الخاضعة للرقابة إرساء بروتوكولات تصعيد وإجراءات تواصل منظمة تدعم فعالية اتخاذ القرار وإشراك أصحاب المصلحة والإبلاغ التنظيمي.

8.2.1.1

على الجهات الخاضعة للرقابة امتلاك بروتوكولات تواصل موثقة تحدد مسبقًا بيانات التواصل للحوادث والأزمات لمختلف السيناريوهات وقنوات التواصل وتواتره والمسؤوليات، بما يضمن نشر معلومات دقيقة وفي الوقت المناسب لجميع أصحاب المصلحة الداخليين والخارجيين.

8.2.1.2

على الجهات الخاضعة للرقابة تطبيق آليات تواصل فعّالة تدعم الاتصال في الوقت المناسب بالمستجيبين والموظفين عند وقوع أزمة.

8.2.1.3

على الجهات الخاضعة للرقابة إسناد فريق للتواصل في الأزمات يتولى إدارة جميع أنشطة التواصل أثناء الأزمة.

8.2.1.4

على الجهات الخاضعة للرقابة تعيين متحدث رسمي مسؤول عن التواصل مع أصحاب المصلحة الخارجيين أثناء الأزمة.

8.2.2.1

على الجهات الخاضعة للرقابة الإبلاغ الأولي عن الحوادث إلى بنك الكويت المركزي وفقًا للجداول الزمنية التالية بحسب تصنيف شدة الحادثة: أ) الحوادث متوسطة الشدة يُبلغ عنها خلال 4 ساعات من الاكتشاف؛ ب) الحوادث عالية الشدة يُبلغ عنها خلال ساعة واحدة من الاكتشاف.

8.2.2.2

على الجهات الخاضعة للرقابة تحديث بنك الكويت المركزي عن وضع الحوادث المبلغ عنها وتقدمها وفقًا للجداول الزمنية التالية: أ) الحوادث متوسطة الشدة تُحدَّث يوميًا أو عند طلب البنك؛ ب) الحوادث عالية الشدة تُحدَّث كل 4 ساعات من الإشعار السابق أو عند طلب البنك.

8.2.2.3

على الجهات الخاضعة للرقابة تقديم تقرير إغلاق الحادثة إلى بنك الكويت المركزي وفقًا للجداول الزمنية التالية بحسب تصنيف شدة الحادثة: أ) الحوادث منخفضة الشدة تُجمَّع ويُبلغ عنها شهريًا؛ ب) الحوادث متوسطة وعالية الشدة يُقدَّم تقرير إغلاقها فور حل الحادثة.

8.2.2.4

على الجهات الخاضعة للرقابة تقدير الخسارة المالية المتوقعة في تقرير الوضع والتقدم الأولي وتأكيد مبلغ الخسارة النهائي في تقرير الإغلاق.

8.2.2.5

على الجهات الخاضعة للرقابة الإبلاغ عن الحوادث وفقًا للنماذج المحددة مسبقًا (المبينة في الملحق قسم 12.1) وقنوات التواصل المحددة. (يتضمن هذا الضابط جدول متطلبات الإشعار لبنك الكويت المركزي بحسب الشدة: العالية إبلاغ أولي خلال ساعة وتحديث كل 4 ساعات وتقرير عند الإغلاق؛ المتوسطة إبلاغ أولي خلال 4 ساعات وتحديث يومي وتقرير عند الإغلاق؛ المنخفضة تقرير شهري. يُرجع للجدول في النص الإنجليزي الرسمي. ملاحظة مترجم سايبرز.بز)

10.1 التدريب والاختبار والتمارين

لضمان فعالية خطط المرونة التشغيلية وقدرات اتخاذ القرار في سيناريوهات الانقطاع، على الجهات الخاضعة للرقابة إجراء أنشطة تدريب واختبار منتظمة للتحقق من إجراءات الاستجابة وتقييم قدرات المرونة وتضمين الدروس المستفادة في مبادرات التحسين.

10.1.1.1

تُجرى تمارين المحاكاة النظرية سنويًا على الأقل لاختبار فعالية خطط المرونة التشغيلية وعمليات اتخاذ القرار في سيناريوهات انقطاع محاكاة مع أصحاب المصلحة المعنيين داخل الجهة الخاضعة للرقابة.

10.1.1.2

تكون السيناريوهات واقعية وذات علاقة بسياق تشغيل الجهة ومحددة الأهداف بوضوح. ومن الأمثلة: سيناريوهات خاصة بوظيفة معينة أو مبنية على الموقع أو على مستوى العملية أو المخاطر العالية المحددة في تقييم المخاطر.

10.1.1.3

تغطي سيناريوهات الاختبار المحددة تفعيل خطط المرونة التشغيلية (خطة استمرارية الأعمال وخطة التعافي من الكوارث لتقنية المعلومات).

10.1.2.1

تُجرى اختبارات استمرارية الأعمال والتعافي من الكوارث سنويًا على الأقل، على أن يغطي الاختبار استمرارية عمليات الأعمال وتعافي أنظمة تقنية المعلومات معًا.

10.1.2.2

تُصمم الاختبارات للتحقق من: أ) الالتزام بأهداف وقت التعافي وأهداف نقطة التعافي للأنظمة والبيانات الحرجة؛ ب) جاهزية مواقع العمل البديلة؛ ج) التعافي من البداية للنهاية عبر وحدة الأعمال والأنظمة.

10.1.3.1

تُجرى محاكاة أزمات كاملة أو جزئية سنويًا على الأقل لاختبار فعالية خطط المرونة التشغيلية وعمليات اتخاذ القرار في سيناريوهات انقطاع محاكاة.

10.1.3.2

تُطوَّر السيناريوهات لتعكس أحداث انقطاع واقعية عالية الأثر تختبر قدرة الجهة على إدارة أزمات معقدة ومتطورة. وقد تشمل السيناريوهات حوادث متعددة الطبقات مثل الهجمات السيبرانية وفشل البنية التحتية وانقطاع طرف خارجي حرج أو تزامن مخاطر تشغيلية وسمعية.

10.1.3.3

ينبغي أن تغطي سيناريوهات الاختبار المحددة تفعيل فريق إدارة الأزمات وسائر فرق الاستجابة ومشاركتها حسب الانطباق.

10.1.4.1

على الجهات الخاضعة للرقابة المشاركة في تمارين المحاكاة على مستوى القطاع التي ينسقها بنك الكويت المركزي حيثما ينطبق. وتُصمم هذه التمارين لتقييم جاهزية الجهات للاستجابة للانقطاعات النظامية واسعة النطاق المؤثرة على المنظومة المصرفية الأوسع.

10.1.5.1

على الجهات الخاضعة للرقابة ضمان توثيق النتائج التفصيلية لجميع التمارين والاختبارات للرجوع إليها مستقبلًا والتحسين المستمر، على أن يتضمن التوثيق بحد أدنى: أ) توثيق أهداف الخطة المُختبرة ونطاقها؛ ب) توثيق المشاركين؛ ج) نتائج التمرين أو الاختبار؛ د) توثيق الدروس المستفادة والتحسينات المطلوبة؛ هـ) في حال الإخفاق، تسجيل السبب الجذري للإخفاق مع تتبع إجراءات المعالجة حتى الإغلاق الناجح.

10.1.5.2

على الجهات الخاضعة للرقابة رفع نتائج الاختبارات إلى الإدارة التنفيذية العليا.

10.1.6.1

على الجهات الخاضعة للرقابة ضمان أن جميع الموظفين الداخليين والمتعاقدين وموظفي الأطراف الخارجية ذوي العلاقة داخل الجهة: أ) على دراية بالأجزاء ذات العلاقة من سياسات وخطط المرونة التشغيلية؛ ب) على دراية بأدوارهم ومسؤولياتهم أثناء الحوادث المسببة للانقطاع.

10.1.6.2

يُقدَّم تدريب توعوي متخصص مرة سنويًا للموظفين العاملين في تخصصات المرونة لتحقيق المستوى المطلوب من الخبرة والمهارات والكفاءات.

10.1.6.3

يُقدَّم تدريب توعوي متخصص للإدارة العليا سنويًا على الأقل، لضمان فهمهم لأدوارهم في بناء ثقافة المرونة التشغيلية.

10.1.6.4

على الجهات الخاضعة للرقابة الاحتفاظ بالمعلومات الموثقة ذات العلاقة كدليل على جميع برامج التوعية والتدريب المنفذة، بما يشمل سجلات الحضور ونتائج التقييم.

10.1.6.5

على الجهات الخاضعة للرقابة قياس فعالية برنامج التدريب والتوعية.

3. خطوط الأساس لإدارة مخاطر الأطراف الخارجية

3.1 سياسة وإستراتيجية إدارة مخاطر الأطراف الخارجية

لضمان إرساء سياسة وإستراتيجية شاملتين لإدارة مخاطر الأطراف الخارجية والمحافظة عليهما بما يحدد أهدافًا واضحة ويتواءم مع أهداف الجهة ويتبنى أفضل الممارسات، بما ييسّر فعالية الحوكمة والمساءلة والتكيف المستمر مع تغيرات مشهد مخاطر الأطراف الخارجية.

3.1.1.1

على الجهات الخاضعة للرقابة تطوير سياسة لإدارة مخاطر الأطراف الخارجية والمحافظة عليها بحيث: أ) تحدد نطاق إدارة مخاطر الأطراف الخارجية والأنشطة التي يجوز إسنادها للغير والتي لا يجوز، والتزام الإدارة التنفيذية العليا، والأدوار والمسؤوليات، وآليات الإنفاذ، وروادع عدم الالتزام؛ ب) تتضمن أفضل الممارسات والأطر والمعايير الدولية ذات العلاقة؛ ج) تتواءم مع أهداف الأعمال والسياسات التنظيمية ذات العلاقة والمتطلبات القانونية والتنظيمية والتعاقدية.

3.1.1.2

تُحدد سياسة إدارة مخاطر الأطراف الخارجية وتُعتمد وتُطبق ويُبلّغ بها وتُنفّذ وتُتاح لجميع الموظفين.

3.1.1.3

تُراجع سياسة إدارة مخاطر الأطراف الخارجية وتُحدث سنويًا أو عند التغييرات الجوهرية في منظومة الأطراف الخارجية.

3.1.1.4

على الجهات الخاضعة للرقابة ضمان إرساء الإجراءات والعمليات والأدلة الإرشادية الداعمة لتمكين تطبيق السياسة.

3.1.1.5

تُعتمد سياسة إدارة مخاطر الأطراف الخارجية من الإدارة التنفيذية العليا ويفوّض بها المجلس، لضمان المواءمة مع الأهداف العامة للجهة والإدارة السليمة لمخاطر الأطراف الخارجية.

3.1.2.1

تتضمن إستراتيجية إدارة مخاطر الأطراف الخارجية لدى الجهات الخاضعة للرقابة: أ) تحديد مستوى النضج المستهدف لإدارة مخاطر الأطراف الخارجية مع أهداف واضحة متوائمة مع أهداف الجهة وأعمالها؛ ب) خارطة طريق بجداول زمنية لتحقيق الأهداف الإستراتيجية؛ ج) متطلبات المراجعة المستمرة والتحقق من مواءمة برنامج إدارة مخاطر الأطراف الخارجية مع الأهداف الإستراتيجية؛ د) تحديد المسؤولية والمساءلة عن تنفيذ الإستراتيجية ومراقبتها.

3.1.2.2

تُحدد إستراتيجية إدارة مخاطر الأطراف الخارجية وتُعتمد وتُطبق، بحيث: أ) تخضع الإستراتيجية لمراجعة رسمية موثقة سنويًا؛ ب) تخضع الإستراتيجية أيضًا لمراجعات تدفعها التغييرات عند وقوع عوامل داخلية أو خارجية جوهرية، ومنها: 1) التحولات الجوهرية في مشهد تهديدات الأطراف الخارجية (مثل ضم موردين حرجين أو إسناد خدمات رئيسية أو مخاطر محددة حديثًا)؛ 2) المتطلبات التنظيمية أو القانونية أو القطاعية الجديدة أو المحدثة.

3.2 الأدوار والمسؤوليات

لضمان وضوح تحديد وإسناد الأدوار والمسؤوليات عبر جميع الوظائف المعنية بإدارة مخاطر الأطراف الخارجية، بما يعزز المساءلة والتعاون والإشراف الإستراتيجي في إدارة مخاطر الأطراف الخارجية.

3.2.1.1

على الجهات الخاضعة للرقابة إسناد ملكية صريحة لمخاطر الأطراف الخارجية إلى وظائف معينة مثل إدارة المخاطر والمشتريات والقانونية والأعمال والمالية وأمن المعلومات وغيرها، على أن تكون كل وظيفة مسؤولة عن إدارة المخاطر ضمن نطاقها، بما يضمن تقييم ارتباطات الأطراف الخارجية ومراقبتها وحوكمتها على النحو الملائم.

3.2.2.1

على الجهات الخاضعة للرقابة تطبيق نهج منظم لحوكمة المخاطر باستخدام نموذج خطوط الدفاع الثلاثة: 1) الخط الأول: وحدات الأعمال والفرق التشغيلية التي تتعامل مباشرة مع الأطراف الخارجية، وتتولى تحديد المخاطر وتقييمها وإدارتها أثناء الضم وطوال دورة حياة العلاقة؛ 2) الخط الثاني: وظائف المخاطر والالتزام والقانونية التي توفر الإشراف وتطور السياسات والأطر وتدعم الخط الأول في تطبيق ضوابط فعّالة؛ 3) الخط الثالث: التدقيق الداخلي الذي يقدم تأكيدًا مستقلًا على كفاية إطار إدارة مخاطر الأطراف الخارجية وفعالية تطبيقه.

3.2.3.1

على الجهات الخاضعة للرقابة توثيق الأدوار والمسؤوليات بوضوح في سياسات وإجراءات ومواثيق إدارة مخاطر الأطراف الخارجية، وضمان إبلاغ جميع أصحاب المصلحة بواجباتهم وتدريبهم على أدائها بفعالية.

3.3 إشراف مجلس الإدارة والإدارة التنفيذية العليا

لضمان فعالية الإشراف والتوجيه الإستراتيجي من مجلس الإدارة والإدارة التنفيذية العليا، بما ييسّر مواءمة إدارة مخاطر الأطراف الخارجية مع أهداف الجهة والمتطلبات التنظيمية. ويشمل ذلك تمكين وظائف ولجان مخصصة لإدارة مخاطر الأطراف الخارجية استباقيًا وضمان تخصيص الموارد لتطبيق مستدام.

3.3.1.1

يكون مجلس الإدارة (ويشار إليه فيما يلي بالمجلس) جهة الاعتماد النهائية لإستراتيجية إدارة مخاطر الأطراف الخارجية، ويمنح التفويض لسياستها، بما يضمن المواءمة مع شهية المخاطر العامة للجهة والتزاماتها التنظيمية.

3.3.1.2

يضمن المجلس تخصيص الموارد المالية والتقنية والبشرية الكافية لدعم التطبيق الفعّال والمستدام لإطار إدارة مخاطر الأطراف الخارجية.

3.3.1.3

يكلّف المجلس بإنشاء لجنة مخصصة للإشراف على مخاطر الأطراف الخارجية بمسؤوليات وصلاحيات محددة بوضوح للإشراف على أنشطة مخاطر الأطراف الخارجية.

3.3.1.4

يتلقى المجلس تقارير دورية (ربع سنوية على الأقل) من لجنة الإشراف على مخاطر الأطراف الخارجية أو الوظائف التنفيذية المعنية، تتضمن: تحديثات عن وضع مخاطر الأطراف الخارجية؛ التهديدات والثغرات الناشئة؛ المستجدات التنظيمية وحالة الالتزام؛ حالة إجراءات المعالجة والاستجابات للحوادث.

3.3.2.1

يرأس لجنة الإشراف على مخاطر الأطراف الخارجية تنفيذي رفيع معيّن، وتتألف من ممثلين رفيعين عن الوظائف الرئيسية، بما يشمل: رئيس وظيفة إدارة مخاطر الأطراف الخارجية؛ المشتريات وإدارة الموردين؛ القانونية والالتزام؛ أمن المعلومات والتقنية؛ وحدات الأعمال ذات الاعتماديات الحرجة على أطراف خارجية؛ وظيفتي استمرارية الأعمال وإدارة المخاطر؛ التدقيق الداخلي بصفة مراقب.

3.3.2.2

يرأس اللجنة تنفيذي رفيع يمتلك خبرة في مخاطر الأطراف الخارجية والحوكمة والالتزام التنظيمي.

3.3.2.3

تضع اللجنة ميثاقًا رسميًا يعتمده المجلس وتحافظ عليه، ويتضمن: تكليف اللجنة وأهدافها؛ تشكيل العضوية والأدوار؛ تواتر الاجتماعات (ربع سنوي بحد أدنى) ومتطلبات النصاب؛ خطوط رفع التقارير وبروتوكولات التصعيد.

3.3.2.4

تتولى اللجنة: مراجعة وتأييد إستراتيجية وسياسة إدارة مخاطر الأطراف الخارجية؛ مراقبة فعالية البرنامج من خلال مؤشرات المخاطر الرئيسية (KRIs) ومؤشرات الأداء الرئيسية (KPIs) واستغلال الموارد؛ مراجعة تقييمات المخاطر وتصنيفات مزودي الخدمات الحرجين من الأطراف الخارجية؛ الإشراف على الاستجابة للحوادث والمراجعات اللاحقة لها وإغلاق إجراءات المعالجة المتعلقة بإخفاقات الأطراف الخارجية؛ ضمان تنفيذ برامج التدريب والتوعية في أنحاء الجهة؛ البقاء على اطلاع بالتغيرات التنظيمية ومستجدات القطاع وضمان الالتزام المستمر بالقوانين والمعايير المنطبقة.

3.3.3.1

تضمن الإدارة التنفيذية والعليا التنفيذ الفعّال لإطار إدارة مخاطر الأطراف الخارجية، بما يشمل التكامل مع برامج إدارة المخاطر المؤسسية واستمرارية الأعمال والمرونة التشغيلية.

3.3.3.2

تخصص الإدارة العليا الموارد الكافية، المالية والتقنية والبشرية، لدعم دورة حياة إدارة مخاطر الأطراف الخارجية، بما يشمل ضم علاقات الأطراف الخارجية ومراقبتها وإنهاءها.

3.3.3.3

ترسّخ الإدارة ثقافة الوعي بالمخاطر والسلوك الأخلاقي والتحسين المستمر في ارتباطات الأطراف الخارجية عبر جميع مستويات الجهة.

3.3.3.4

تتولى الإدارة التنفيذية مسؤولية مراجعة الإجراءات الناتجة عن التقييمات وعمليات التدقيق وتنفيذها، وتُستخدم هذه التقييمات لتوجيه القرارات الإستراتيجية ودفع تحسينات البرنامج.

3.3.4.1

يتولى رئيس وظيفة إدارة مخاطر الأطراف الخارجية مسؤولية تحديد إستراتيجية إدارة مخاطر الأطراف الخارجية ومراجعتها.

3.3.4.2

على الجهات الخاضعة للرقابة إنشاء وظيفة لإدارة مخاطر الأطراف الخارجية بأدوار ومسؤوليات محددة بوضوح، ممكّنة من الإدارة التنفيذية العليا وتحت إشراف لجنة المخاطر بالمجلس أو الجهة المكافئة.

3.3.4.3

تُزوّد وظيفة إدارة مخاطر الأطراف الخارجية بالكوادر الملائمة من ذوي المعرفة بمخاطر الموردين والالتزام والقانونية وأمن المعلومات، بما يتناسب مع حجم ارتباطات الأطراف الخارجية وتعقيدها.

3.3.4.4

تكون وظيفة إدارة مخاطر الأطراف الخارجية مسؤولة ومساءلة عن إرساء السياسات والإجراءات والأدوات لتحديد المخاطر المرتبطة بعلاقات الأطراف الخارجية وتقييمها ومعالجتها ومراقبتها والمحافظة عليها.

3.3.4.5

تنسق الوظيفة مع وحدات الأعمال والمشتريات والقانونية والالتزام والمالية (أو ما يكافئها) وتقنية المعلومات وأمن المعلومات لضمان نهج شامل لإدارة مخاطر الأطراف الخارجية في أنحاء الجهة.

3.3.4.6

يضمن رئيس وظيفة إدارة مخاطر الأطراف الخارجية إجراء تقييمات المخاطر والعناية الواجبة وأنشطة المراقبة المستمرة للأطراف الخارجية باتساق، وتصعيد النتائج المخاطرية ومعالجتها في الوقت المناسب.

3.3.4.7

تُرفع تقارير دورية عن وضع مخاطر الأطراف الخارجية والمخاطر الناشئة وحالة المعالجات إلى لجنة الإشراف على مخاطر الأطراف الخارجية، كل ربع سنة على الأقل أو حسبما تقتضيه التغييرات الجوهرية في مشهد الأطراف الخارجية.

3.3.4.8

3.4 الاعتمادات والمراجعات الدورية

لضمان اعتمادات ومراجعات دورية دقيقة ومنهجية لسياسة وإستراتيجية إدارة مخاطر الأطراف الخارجية وتقييمات المخاطر، بما يحافظ على المواءمة مع المتطلبات التنظيمية ومعايير القطاع.

3.4.1.1

تُراجع سياسة إدارة مخاطر الأطراف الخارجية وإستراتيجيتها الشاملة وتُعتمد رسميًا من الإدارة العليا أو لجنة الحوكمة المعينة سنويًا على الأقل، وتُجرى مراجعات إضافية عند وقوع تغييرات جوهرية في المشهد التنظيمي أو عمليات الأعمال أو بيئة المخاطر.

3.4.2.1

تُراجع تقييمات مخاطر الأطراف الخارجية، بما يشمل نتائج العناية الواجبة وفعالية الضوابط وتصنيفات المخاطر المتبقية، دوريًا بناءً على حرجية الطرف الخارجي وملفه المخاطري: الأطراف عالية المخاطر سنويًا، والمتوسطة كل سنتين، والمنخفضة كل ثلاث سنوات.

3.4.2.2

تُقيَّم الضوابط المطبقة لمعالجة مخاطر الأطراف الخارجية بانتظام لضمان بقائها فعّالة ومتوائمة مع التهديدات والثغرات الحالية ومتطلبات الالتزام.

3.4.2.3

توثق جميع الاعتمادات والمراجعات والتحديثات على سياسة وإستراتيجية إدارة مخاطر الأطراف الخارجية وتقييمات المخاطر، على أن تضمن عملية المراجعة استمرار المواءمة مع الأدلة التنظيمية المنطبقة والمعايير الرائدة في القطاع.

4.1 تحديد خدمات الأطراف الخارجية الحرجة

لضمان تحديد خدمات الأطراف الخارجية وتصنيفها عبر تقييم أثرها على وظائف الأعمال الأساسية وحساسية البيانات والاعتماديات التنظيمية، والمحافظة على سجل مركزي لفعالية إدارة المخاطر وتخطيط الاستمرارية.

4.1.1.1

على الجهات الخاضعة للرقابة تقييم مدى دعم الطرف الخارجي لوظائف أو خدمات الأعمال الأساسية التي قد يؤثر انقطاعها تأثيرًا جوهريًا على العمليات أو مخرجات العملاء.

4.1.2.1

على الجهات الخاضعة للرقابة تقييم طبيعة وحجم البيانات المشاركة مع الأطراف الخارجية أو المعالجة لديها، بناءً على تصنيفها.

4.1.3.1

على الجهات الخاضعة للرقابة مراعاة الاعتماديات الناشئة عن الالتزامات التنظيمية أو متطلبات الترخيص أو الترابطات التشغيلية التي قد ترفع حرجية الطرف الخارجي.

4.1.4.1

على الجهات الخاضعة للرقابة المحافظة على سجل مركزي محدث دوريًا لجميع علاقات الأطراف الخارجية، مع تمييز واضح للمصنفة منها كحرجة، على أن يتكامل هذا السجل مع سجلات المخاطر وخطط استمرارية الأعمال.

4.1.4.2

تتولى وظيفة إدارة مخاطر الأطراف الخارجية المعينة صيانة السجل المركزي وتحديثه كل ربع سنة على الأقل أو عند أي تغيير جوهري في علاقات الأطراف الخارجية.

4.2 منهجية تحديد المخاطر وتقييمها

لضمان تحديد مخاطر الأطراف الخارجية وتقييمها عبر أبعاد متعددة، بما يمكّن من إشراف مرتب بالأولويات ومعالجة فعّالة من خلال تسجيل درجات المخاطر والعناية الواجبة والمراقبة المستمرة.

4.2.1.1

على الجهات الخاضعة للرقابة تقييم مخاطر الأطراف الخارجية عبر الأبعاد الرئيسية، بما يشمل: أ) المخاطر المالية؛ ب) المخاطر التشغيلية؛ ج) مخاطر الأمن السيبراني وأمن المعلومات؛ د) المخاطر القانونية والتعاقدية؛ هـ) المخاطر السمعية؛ و) المخاطر التنظيمية ومخاطر الالتزام.

4.2.2.1

على الجهات الخاضعة للرقابة تطبيق تسجيل درجات مخاطر كمي ونوعي لتصنيف علاقات الأطراف الخارجية في فئات بناءً على حرجية الخدمة وحساسية البيانات والأثر على العملاء، بما يمكّن من إشراف ومعالجة مرتبين بالأولويات.

4.2.3.1

على الجهات الخاضعة للرقابة إجراء عناية واجبة شاملة أثناء الضم وتطبيق إعادة تقييم دورية بناءً على فئات المخاطر ومؤشرات الأداء.

4.3 ربط الاعتماديات بالعمليات الحرجة

لضمان تحديد وتوثيق نقاط الفشل الفردية والاعتماديات المتبادلة ومخاطر التركّز، ودمج هذه الرؤى في تخطيط استمرارية الأعمال لمعالجة المخاطر المتسلسلة وتعزيز المرونة التشغيلية.

4.3.1.1

على الجهات الخاضعة للرقابة إبراز المواضع التي قد يؤدي فيها الاعتماد على طرف خارجي واحد أو خدمة واحدة إلى انقطاع تشغيلي.

4.3.1.2

على الجهات الخاضعة للرقابة تحديد التعرض لمخاطر تركّز الأطراف الخارجية حيثما كان الاعتماد على مورد واحد في خدمات حرجة متعددة.

4.3.2.1

على الجهات الخاضعة للرقابة توثيق الترابطات بين الأطراف الخارجية وعملياتها وأنظمتها الداخلية أو اعتمادياتها اللاحقة على موردين آخرين لتقييم آثار المخاطر المتسلسلة.

4.3.2.2

على الجهات الخاضعة للرقابة ضمان أن يوجّه ربط الاعتماديات إستراتيجيات استمرارية الأعمال والتعافي من الكوارث، بما يمكّن من الاستجابة والتعافي في الوقت المناسب عند إخفاق طرف خارجي.

5.1 الضمانات التعاقدية

لضمان احتواء جميع العقود مع الأطراف الخارجية على بنود واضحة وقابلة للإنفاذ تعالج متطلبات الجهات الخاضعة للرقابة في إدارة المخاطر والمرونة والالتزام التنظيمي. ويشمل ذلك تحديد الالتزامات المتعلقة بحماية البيانات واستمرارية الأعمال والإبلاغ عن الحوادث والالتزام التنظيمي ومستويات الخدمة، وتحديد الخدمات الحرجة ونقاط الفشل الفردية، وإرساء حقوق التدقيق والمراقبة والإنهاء. وتمكّن هذه الضمانات الجهات الخاضعة للرقابة من إدارة مخاطر الأطراف الخارجية بفعالية والمحافظة على المرونة التشغيلية وضمان الالتزام بالقوانين واللوائح المعمول بها.

5.1.1.1

على الجهات الخاضعة للرقابة ضمان حصول الأطراف الخارجية على جميع الموافقات والتراخيص والتصاريح والتفويضات اللازمة بموجب القوانين واللوائح المنطبقة لأداء الخدمات المتعاقد عليها، والمحافظة عليها وتقديم ما يثبتها.

5.2 الاتفاقيات الملزمة قانونًا

لضمان خضوع جميع ارتباطات الأطراف الخارجية لاتفاقيات قابلة للإنفاذ قانونًا يوقعها المفوضون بالتوقيع وتراجعها الإدارة القانونية. وتحدد هذه الاتفاقيات بوضوح نطاق الخدمة والأدوار والمسؤوليات، وتتضمن بنودًا للسرية والمسؤولية وتسوية النزاعات والإنهاء، بما يصون مصالح الجهات الخاضعة للرقابة.

5.2.1.1

على الجهات الخاضعة للرقابة المحافظة على مستودع موحد لجميع عقود وترتيبات الأطراف الخارجية، بما يشمل أوامر الشراء والارتباطات غير المرتبطة بأوامر شراء واتفاقيات الموردين لمرة واحدة، حيثما تصل الأطراف الخارجية إلى بيانات الجهة أو تعالجها أو تخزنها. ويُحدَّث هذا المستودع بانتظام ويكون متاحًا مركزيًا للمخولين ومنظمًا بما يدعم متطلبات الإشراف والالتزام والتدقيق.

5.2.1.2

على الجهات الخاضعة للرقابة ضمان خضوع جميع ارتباطات الأطراف الخارجية لاتفاقيات ملزمة قانونًا موقعة حسب الأصول من المفوضين بالتوقيع، قابلة للإنفاذ بموجب القوانين المنطبقة ومراجعة من الإدارة القانونية قبل التوقيع، مع حفظ نسخ العقود الموقعة بأمان وإتاحتها للتدقيق أو المراجعة التنظيمية عند الطلب. وتحدد العقود بوضوح نطاق الخدمات والأدوار والمسؤوليات وتتضمن بنود حماية شاملة، ومنها على سبيل المثال لا الحصر: أ) حق تدقيق الطرف الخارجي ومقاوليه من الباطن؛ ب) إستراتيجيات الخروج بما يشمل حقوق الإنهاء لعدم الالتزام والتسليم الإلزامي للأصول والبيانات والوثائق؛ ج) التزامات السرية وخصوصية البيانات وقابلية نقلها ومحوها؛ د) الالتزام بسياسات المعلومات والأمن السيبراني لدى الجهة؛ هـ) الوصول إلى جميع السجلات والمعلومات ذات العلاقة بالنشاط المسند؛ و) المسؤولية عن الاختراقات الأمنية وتسرب البيانات مدعومة بتأمين سيبراني أو تغطية مكافئة؛ ز) ترتيبات الإيداع الائتماني للشيفرة المصدرية حيثما ينطبق؛ ح) حق منع وصول غير المخولين؛ ط) مؤشرات أداء محددة (مثل اتفاقية مستوى الخدمة وزمن الإنجاز وجودة الخدمة) وسبل المعالجة عند الإخلال بها؛ ي) الاطلاع على مشاركة المقاولين من الباطن والتحكم بها؛ ك) آليات تسوية النزاعات وشروط الإنهاء.

5.2.2.1

على الجهات الخاضعة للرقابة ضمان خضوع جميع الترتيبات التعاقدية مع الأطراف الخارجية لاتفاقيات ملزمة قانونًا موقعة حسب الأصول من المفوضين بالتوقيع لدى الطرفين، تحدد بوضوح نطاق الخدمات والأدوار والمسؤوليات والتزامات السرية وبنود المسؤولية وآليات تسوية النزاعات وشروط الإنهاء.

5.2.2.2

على الجهات الخاضعة للرقابة التحقق من قابلية هذه الاتفاقيات للإنفاذ بموجب القوانين المنطبقة ومراجعتها من الإدارة القانونية قبل التوقيع، مع حفظ نسخ العقود الموقعة بأمان وإتاحتها للتدقيق أو المراجعة التنظيمية عند الطلب.

5.3 المراقبة والتقييم المنتظمان

لإرساء آلية منظمة للإشراف المستمر على التزام الأطراف الخارجية بالتزاماتها التعاقدية. ويشمل ذلك مراقبة تقديم الخدمة مقابل مؤشرات أداء محددة، والتحقق من الالتزام بالبنود القانونية والتشغيلية، وضمان فعالية ترتيبات المقاولين من الباطن. وتعالج الانحرافات عبر إجراءات تصحيحية وإشراف معزز.

5.3.1.1

على الجهات الخاضعة للرقابة إرساء وتطبيق عملية منظمة للمراقبة والتقييم المنتظمين لالتزام الأطراف الخارجية بالتزاماتها التعاقدية، بما يشمل: أ) تقييم تقديم الخدمة مقابل مؤشرات الأداء المتفق عليها؛ ب) التحقق من الالتزام بالبنود القانونية والتشغيلية (مثل نطاق الخدمات وحقوق الإنهاء وأحكام التدقيق)؛ ج) ضمان فعالية الترتيبات المتقابلة مع المقاولين من الباطن.

5.3.1.2

توثق أنشطة المراقبة، ويُصعَّد أي انحرافات أو مخاطر محددة وتُعالج عبر إجراءات تصحيحية أو تعديلات تعاقدية أو تدابير إشراف معززة.

5.4 الصحة والسلامة والبيئة

لضمان تضمين عقود الأطراف الخارجية التزامات شاملة للبيئة والصحة والسلامة (EHS) متوائمة مع المعايير التنظيمية المعمول بها. ويشمل ذلك برامج سلامة موثقة وخطط طوارئ وتصاريح سارية وتقييمات دورية للتحقق من الالتزام، بما يحمي الأفراد والأصول والبيئة.

5.4.1.1

على الجهات الخاضعة للرقابة ضمان تضمين جميع الاتفاقيات التعاقدية مع الأطراف الخارجية صراحةً التزامات شاملة للبيئة والصحة والسلامة (EHS)، بحيث: أ) تتواءم هذه البنود مع المعايير التنظيمية المنطبقة وتغطي سلامة مكان العمل وحماية البيئة والاستعداد للطوارئ؛ ب) تُلزم الأطراف الخارجية بالمحافظة على سياسة موثقة رسميًا للبيئة والصحة والسلامة معتمدة من الإدارة العليا ومبلّغة لأصحاب المصلحة ومراجعة دوريًا للملاءمة والفعالية؛ ج) توجب تطبيق برنامج سلامة يعالج مجالات التشغيل عالية الخطورة مثل الأماكن المحصورة والتحكم بالطاقة الخطرة (العزل والوسم) والأعمال الساخنة والعمل على المرتفعات وإدارة سلامة المتعاقدين؛ د) تتضمن متطلبات خطط طوارئ موثقة لإدارة انبعاثات الملوثات (مثل الانسكابات والانبعاثات في الهواء أو الماء أو النفايات) مع إجراءات للاستجابة الفورية والمعالجة والإبلاغ التنظيمي؛ هـ) تضمن محافظة الأطراف الخارجية على تصاريح سارية وخلوها من مخالفات تنظيمية غير محلولة في السنة المالية الجارية وتنفيذها تدريبًا موثقًا على السلامة لقواها العاملة؛ و) تتيح تقييمات دورية من الجهات الخاضعة للرقابة للتحقق من استمرار الالتزام بهذه الالتزامات.

5.5 الملاءة المالية

لضمان إثبات الأطراف الخارجية لصحتها المالية والمحافظة عليها طوال فترة الارتباط، على الجهات الخاضعة للرقابة اعتماد نهج مبني على المخاطر لتقييمات الملاءة المالية، بإجراء مراجعات تفصيلية للموردين الحرجين وفحوصات أساسية للموردين غير الحرجين لمعالجة المخاطر الناشئة عن عدم الاستقرار المالي.

5.5.1.1

على الجهات الخاضعة للرقابة إرساء نهج مبني على المخاطر لتقييم الملاءة المالية للأطراف الخارجية طوال دورة حياة الارتباط، بما يشمل تضمين بنود تعاقدية توجب إثبات الصحة المالية والمحافظة عليها: أ) يتناسب عمق التقييمات المالية وتواترها مع حرجية الطرف الخارجي؛ ب) للموردين الحرجين، تجري الجهات تقييمات مالية شاملة تشمل تحليل المؤشرات المالية الرئيسية مثل التصنيفات الائتمانية ونسب التداول ونسب الدين إلى حقوق الملكية واتجاهات الربحية ونمو الإيرادات؛ ج) للموردين غير الحرجين، قد تُعد الفحوصات المالية الأساسية كافية، مثل التحقق من صلاحية الرخص التجارية وتأكيد الملاءة وخلو السجل من إجراءات الإفلاس؛ د) يدعم هذا الضابط المراقبة المستمرة ويمكّن من التعرف المبكر على مخاطر عدم الاستقرار المالي التي قد تؤثر على تقديم الخدمة أو الالتزام التنظيمي.

5.6 الالتزام (الجيوسياسي والتنظيمي والمؤسسي والقُطري والقانوني)

لضمان عمل الأطراف الخارجية بالتزام كامل بالمتطلبات الجيوسياسية والتنظيمية والمؤسسية والقُطرية والقانونية المعمول بها. ويشمل ذلك المحافظة على سياسات مكافحة الرشوة والفساد (ABAC)، وتتبع التشريعات ذات العلاقة، والإفصاح عن مخاطر التقاضي، وتطبيق أطر التزام منظمة تدعم الشفافية والمساءلة.

5.6.1.1

على الجهات الخاضعة للرقابة امتلاك سياسة موثقة ومعتمدة لمكافحة الرشوة والفساد تتناسب مع حجم علاقة الطرف الخارجي ومخاطرها وحرجيتها، وضمان محافظة الأطراف الخارجية على سياسة موثقة ومعتمدة رسميًا لمكافحة الرشوة والفساد (ABAC).

5.6.1.2

يُبلَّغ بسياسة مكافحة الرشوة والفساد جميع الموظفين والمتعاقدين والوكلاء ذوي العلاقة، وتُضمَّن حيثما كان ملائمًا في مدونة سلوك الطرف الخارجي.

5.6.1.3

تُراجع سياسة مكافحة الرشوة والفساد وتُحدث على فترات منتظمة، سنويًا على الأقل أو عند التغييرات التنظيمية أو التشغيلية الجوهرية. وحيثما كان ممكنًا ومتناسبًا مع المخاطر، تحتفظ الجهات الخاضعة للرقابة بسجلات التحقيقات أو الإجراءات القانونية المتعلقة بالرشوة أو الفساد.

5.6.2.1

على الجهات الخاضعة للرقابة ضمان قيام الأطراف الخارجية بتحديد وتوثيق وتتبع جميع المتطلبات الأمنية التشريعية والنظامية والتنظيمية والتعاقدية ذات العلاقة المنطبقة على عملياتها، مع المحافظة على الالتزام عبر إطار حوكمة منظم يشمل: أ) المحافظة على سجل أو متتبع للالتزام؛ ب) المراجعات والتحديثات المنتظمة بناءً على تغيرات القوانين أو العقود؛ ج) إسناد ملكية كل متطلب؛ د) عمليات تدقيق وتقييم دورية للتحقق من الالتزام؛ هـ) توثيق الأدلة الداعمة للالتزام.

5.6.3.1

على الجهات الخاضعة للرقابة ضمان إفصاح الأطراف الخارجية عن أي تقاضٍ يتضمن ادعاءات بانتهاك الملكية الفكرية أو الاستيلاء عليها أو مطالبات ذات علاقة، بما يشمل القضايا المتعلقة بالطرف الخارجي نفسه أو أعضاء مجلس إدارته أو مسؤوليه أو ملاكه أو المساهمين الرئيسيين فيه، وكذلك أي منتجات أو خدمات يقدمها. وتوثق هذه الإفصاحات وتُضمَّن في إطار الالتزام القانوني وتقييم مخاطر الأطراف الخارجية لدى الجهة.

5.7 حوكمة الشركات

لضمان تمسك الأطراف الخارجية بممارسات سليمة لحوكمة الشركات، بما في ذلك الإفصاح عن التحقيقات أو عمليات التدقيق من الجهات التنظيمية. ويعزز ذلك السلوك الأخلاقي والشفافية والمساءلة، ويمكّن الجهات الخاضعة للرقابة من تضمين مخاطر الحوكمة في تقييمات مخاطر الأطراف الخارجية وآليات الإشراف عليها.

5.7.1.1

على الجهات الخاضعة للرقابة ضمان إفصاح الأطراف الخارجية عن أي تحقيقات أو عمليات تدقيق تجريها الجهات التنظيمية أو الحكومية بشأن مزاعم عدم الالتزام بالقوانين المنطبقة، بما يشمل على سبيل المثال لا الحصر المخالفات المتعلقة بالرشوة أو العمولات غير المشروعة أو المدفوعات غير السليمة للمسؤولين الحكوميين. وتغطي الإفصاحات الطرف الخارجي نفسه وأعضاء مجلس إدارته ومسؤوليه والمساهمين الرئيسيين والكيانات التابعة له وموظفيه، وتوثق هذه المعلومات وتُضمَّن في عمليات تقييم مخاطر الأطراف الخارجية والإشراف على الالتزام لدى الجهة.

6.1 التحديد والتقييم والمعالجة

لتمكين الجهات الخاضعة للرقابة من التحديد والتقييم والمعالجة المنهجية للمخاطر المرتبطة بارتباطات الأطراف الخارجية. ويشمل ذلك إجراء إعادة تقييم دورية، ومراقبة التهديدات الناشئة، وتطبيق خطط معالجة موجهة بملكية وجداول زمنية وبروتوكولات إبلاغ محددة لتقليل التعرض للمخاطر وضمان الاستمرارية.

6.1.1.1

على الجهات الخاضعة للرقابة إعادة تقييم مخاطر الأطراف الخارجية على فترات محددة بناءً على فئة مخاطرها وحرجية الخدمة وسجل الأداء، مع تحفيز إعادة التقييم عند التغييرات الجوهرية في الخدمات أو اللوائح أو مشهد التهديدات أو عند التجديد والإخلالات.

6.1.2.1

على الجهات الخاضعة للرقابة المراقبة المستمرة لمتجهات المخاطر الجديدة، بما يشمل التغيرات في الأطر القانونية ومشاهد التهديدات والاعتماديات التشغيلية.

6.1.3.1

على الجهات الخاضعة للرقابة تطوير خطط معالجة موجهة للمخاطر المحددة وتنفيذها، على أن تتضمن كل خطة: أ) مالكًا محددًا للمخاطر؛ ب) إجراءات معالجة محددة؛ ج) جداول زمنية ومحطات؛ د) آليات المراقبة والإبلاغ.

6.2 تصنيف المخاطر

لدعم الإشراف المتمايز وتخصيص الموارد بناءً على الملف المخاطري لارتباطات الأطراف الخارجية، على الجهات الخاضعة للرقابة تصنيف الأطراف الخارجية باستخدام معايير المخاطر الكامنة والمتبقية، ومواءمة كثافة المراقبة وتواتر التدقيق وممارسات الحوكمة مع التوقعات التنظيمية والمعايير الدولية.

6.2.1.1

على الجهات الخاضعة للرقابة تقييم الأطراف الخارجية بناءً على طبيعة الخدمة (المخاطر الكامنة) وفعالية الضوابط المطبقة (المخاطر المتبقية).

6.2.2.1

على الجهات الخاضعة للرقابة استخدام نتائج التصنيف لتحديد تواتر وعمق أنشطة العناية الواجبة والمراقبة والتدقيق، على أن تخضع الأطراف عالية المخاطر لتدقيق معزز ومراجعات أكثر تواترًا.

6.2.3.1

على الجهات الخاضعة للرقابة ضمان اتساق منهجيات التصنيف وممارسات الإشراف مع الإرشادات التنظيمية والمعايير الدولية الرائدة.

6.3 المراقبة المستمرة للأطراف الخارجية الحرجة

لضمان الإشراف المستمر على علاقات الأطراف الخارجية الحرجة عبر مراقبة أداء الخدمة والالتزام والمخاطر الناشئة، على الجهات الخاضعة للرقابة تطبيق آليات منظمة تشمل تتبع اتفاقيات مستوى الخدمة ورصد المخاطر وأدوات الاستخبارات الآلية للتعرف الاستباقي على الانحرافات والمحافظة على المرونة التشغيلية.

6.3.1.1

على الجهات الخاضعة للرقابة التتبع المنتظم لتقديم الخدمة مقابل اتفاقيات مستوى الخدمة (SLAs) ومؤشرات الأداء الرئيسية (KPIs) المتفق عليها لضمان الموثوقية التشغيلية.

6.3.2.1

على الجهات الخاضعة للرقابة مراقبة الالتزام بالالتزامات التعاقدية والمتطلبات التنظيمية والسياسات الداخلية، وتحديد المخاطر الناشئة مثل التحولات الجيوسياسية والتهديدات السيبرانية وعدم الاستقرار المالي.

6.3.3.1

يجوز للجهات الخاضعة للرقابة الاستفادة من منصات تقنية توفر تنبيهات لحظية وإشارات مخاطر خارجية وتحديثات آلية لملفات مخاطر الأطراف الخارجية، ويمكن أن تتكامل هذه الأدوات مع الأنظمة الداخلية لدعم اتخاذ القرار الاستباقي.

7.1 خطط استمرارية الأعمال

لضمان كفاية خطط استمرارية الأعمال والتعافي من الكوارث لدى الأطراف الخارجية واعتمادها رسميًا وتنفيذها بفعالية.

7.1.1.1

على الجهات الخاضعة للرقابة ضمان محافظة الأطراف الخارجية على خطة شاملة لاستمرارية الأعمال وخطة للتعافي من الكوارث موثقتين رسميًا ومعتمدتين من الجهات المختصة ومطبقتين بفعالية.

7.2 النسخ الاحتياطي للبيانات وتناسخها

لضمان محافظة الأطراف الخارجية على سياسات وإجراءات نسخ احتياطي فعّالة، ومراجعتها وتحديثها بانتظام لمواكبة التغيرات في العمليات والتقنية واللوائح، مع ضمان اتساق التناسخ عبر البيئات الرئيسية والاحتياطية.

7.2.1.1

على الجهات الخاضعة للرقابة ضمان مراجعة الأطراف الخارجية وتحديثها الدوريين لسياسات وإجراءات ووثائق خطط النسخ الاحتياطي للمحافظة على ملاءمتها وكفايتها وفعاليتها، مع مراعاة التغيرات في عمليات الأعمال والتقنية والمتطلبات التنظيمية، وشمول المراجعات التحقق من عمليات النسخ والاستعادة، وتوثيق جميع التحديثات واعتمادها عبر آليات الحوكمة الملائمة.

7.2.2.1

على الجهات الخاضعة للرقابة ضمان امتلاك الأطراف الخارجية سياسة وإجراءً معتمدين للنسخ الاحتياطي يحكمان إدارة أنشطة النسخ وتنفيذها والإشراف عليها، إضافة إلى محافظتها على خطة نسخ احتياطي موثقة رسميًا ومصرح بها تتضمن: أ) المعلومات المشمولة بالنسخ بما يشمل أنواع البيانات وحرجيتها؛ ب) تحديد الأنظمة المستضيفة للمعلومات (مثل أسماء الخوادم أو التطبيقات)؛ ج) تفاصيل البنية التحتية الداعمة (مثل مواصفات العتاد وإعدادات التخزين)؛ د) دورية النسخ المحددة (يومية أو أسبوعية أو شهرية أو سنوية) بناءً على متطلبات الأعمال وحساسية البيانات؛ هـ) جداول الاحتفاظ بالبيانات المتوائمة مع الالتزامات القانونية والتعاقدية والتنظيمية المنطبقة.

7.2.3.1

على الجهات الخاضعة للرقابة ضمان امتلاك مزودي الخدمات من الأطراف الخارجية عملية رسمية لإدارة التغيير تضمن التناسخ المتسق لجميع التغييرات عبر البيئتين الرئيسية والاحتياطية.

7.3 الاختبار الدوري لقدرات التعافي من الكوارث

لضمان محافظة مزودي الخدمات من الأطراف الخارجية على البنية التحتية الرئيسية بنمط التوافر العالي وإجراء اختبارات مرونة منتظمة، تشمل خطط استمرارية الأعمال والتعافي من الكوارث، للتحقق من أهداف التعافي ومواءمتها مع متطلبات الأعمال.

7.3.1.1

على الجهات الخاضعة للرقابة ضمان محافظة مزودي الخدمات من الأطراف الخارجية على مركز للتعافي من الكوارث يدعم استمرارية العمليات أثناء الانقطاعات الكبرى، على أن يكون منفصلًا جغرافيًا عن مركز البيانات الرئيسي، ويفضل أن يقع في نطاق زلزالي مختلف، لمعالجة المخاطر الإقليمية وتعزيز التكرار.

7.3.1.2

ضمان نشر جميع مكونات البنية التحتية الرئيسية بنمط التوافر العالي (HA) لضمان تقديم الخدمة دون انقطاع.

7.3.2.1

على الجهات الخاضعة للرقابة ضمان إجراء الأطراف الخارجية اختبارات دورية لخطط استمرارية الأعمال للتحقق من فعاليتها وجاهزيتها للاستجابة للأحداث المسببة للانقطاع.

7.3.2.2

على الجهات الخاضعة للرقابة ضمان تحديد الأطراف الخارجية وتوثيقها أهداف وقت التعافي (RTO) وأهداف نقطة التعافي (RPO) لجميع الخدمات الحرجة المقدمة.

7.3.2.3

على الجهات الخاضعة للرقابة ضمان مراجعة هذه المعايير دوريًا ومواءمتها مع تقييمات الأثر على الأعمال وتوقعات مستوى الخدمة المتفق عليها.

7.4 إجراءات الاستعادة والاسترجاع

لضمان إجراء الأطراف الخارجية اختبارات استعادة منتظمة لبيانات النسخ الاحتياطي، والتحقق من سلامتها وقابليتها للاسترجاع، والمعالجة الفورية لأي فروقات للمحافظة على موثوقية الأنظمة.

7.4.1.1

على الجهات الخاضعة للرقابة ضمان تنفيذ الأطراف الخارجية اختبارات استعادة دورية لبيانات النسخ الاحتياطي للتحقق من سلامتها ودقتها وقابليتها للاسترجاع، مع توثيق كل اختبار في سجل استعادة النسخ الاحتياطية متضمنًا التاريخ والنطاق والنتائج وأي مشكلات ظهرت.

7.4.1.2

يُبلَّغ أصحاب المصلحة المعنيون فورًا بالفروقات أو الأخطاء المكتشفة أثناء الاختبار وتُعالج عبر إجراءات تصحيحية لضمان موثوقية أنظمة النسخ الاحتياطي.

7.5 إدارة استمرارية الأعمال والتعافي

لضمان تقديم الأطراف الخارجية ضمانات تعاقدية عبر اتفاقيات مستوى الخدمة (SLAs) وتحديد مؤشرات أداء قابلة للقياس.

7.5.1.1

على الجهات الخاضعة للرقابة ضمان تقديم الأطراف الخارجية ضمانات تعاقدية، مثل اتفاقيات مستوى الخدمة (SLAs)، لضمان الموثوقية والمساءلة في تقديم المنتجات والخدمات. وينبغي أن تحدد الاتفاقيات مؤشرات أداء قابلة للقياس تشمل التزامات نسب التشغيل وأزمنة الاستجابة والحل والجزاءات أو سبل المعالجة المنطبقة عند انقطاع الخدمة. وتضمن الجهات المحافظة على توثيق جميع الاتفاقيات السارية وإبلاغها بوضوح لأصحاب المصلحة المعنيين.

8.1 اكتشاف الحوادث ومراقبتها

لضمان تطبيق مزودي الخدمات من الأطراف الخارجية قدرات شاملة لاكتشاف التهديدات ومراقبتها بما يعزز الاستجابة للحوادث ويحمي الأصول من الأنشطة غير المصرح بها والتهديدات الناشئة.

8.1.1.1

تُقيَّم جميع الضوابط المنطبقة المتعلقة باكتشاف الحوادث ومراقبتها، المحددة في خطوط الأساس للمرونة السيبرانية، كجزء من عملية التقييم.

8.1.1.2

على الجهات الخاضعة للرقابة ضمان تطبيق الأطراف الخارجية أدوات مراقبة أمنية لحظية تتتبع النشاط غير المصرح به أو الشاذ باستمرار وتنبّه عليه ضمن البنية التحتية والأجهزة الطرفية والأنظمة السحابية.

8.1.1.3

على الجهات الخاضعة للرقابة ضمان تهيئة الأطراف الخارجية أنظمتها لاكتشاف أنماط السلوك الشاذة التي قد تشير إلى حسابات مخترقة أو نشاط داخلي خبيث من خلال تحليلات سلوك المستخدمين والكيانات (UEBA).

8.1.1.4

على الجهات الخاضعة للرقابة ضمان اشتراك الأطراف الخارجية في تغذيات استخبارات تهديدات قابلة للتفعيل ودمجها لتعزيز قدرات الاكتشاف ضد مؤشرات الاختراق المعروفة (IOCs) والتهديدات العالمية الناشئة.

8.1.2.1

على الجهات الخاضعة للرقابة ضمان إرساء الأطراف الخارجية تسجيلًا مركزيًا مقاومًا للعبث لأحداث الأنظمة الحرجة، مع جداول احتفاظ ومراجعة سجلات محددة وربط بينها لدعم اكتشاف الحوادث وتحليلها.

8.1.2.2

على الجهات الخاضعة للرقابة ضمان فرض الأطراف الخارجية ضوابط مراقبة وتنبيه مشددة حول الأنظمة بالغة الحرجية، مثل الأنظمة المالية وأنظمة التحقق من الهوية ومخازن بيانات العملاء.

8.1.2.3

على الجهات الخاضعة للرقابة ضمان إرساء الأطراف الخارجية عمليات لفرز التنبيهات وترتيب أولوياتها بناءً على الشدة والأثر وحرجية الأصل وحساسية البيانات، لتقليل إجهاد التنبيهات وضمان سرعة الاستجابة للحوادث.

8.1.2.4

على الجهات الخاضعة للرقابة ضمان تحديد الأطراف الخارجية نطاق الأنظمة المشمولة بالتسجيل لأغراض اكتشاف الحوادث وإجراء مراجعات دورية لضمان الاكتمال والالتزام بسياسات الاحتفاظ.

8.1.2.5

على الجهات الخاضعة للرقابة ضمان تطبيق الأطراف الخارجية أدوات وبروتوكولات لاكتشاف الإجراءات غير المصرح بها أو السلوكيات غير المعتادة للمستخدمين الداخليين، مع وعي سياقي بمستويات الوصول والأدوار الوظيفية وحركة البيانات.

8.1.2.6

على الجهات الخاضعة للرقابة ضمان تهيئة الأطراف الخارجية المنصات السحابية (مثل AWS CloudTrail وAzure Monitor) لالتقاط الإجراءات الإدارية ونشاط المستخدمين وأحداث واجهات برمجة التطبيقات، مع ضمان التزام إعدادات التنبيه والاحتفاظ.

8.1.2.7

على الجهات الخاضعة للرقابة ضمان دمج الأطراف الخارجية منصات البرمجيات كخدمة مع أدوات إدارة معلومات وأحداث الأمن (SIEM) أو وسيط أمن الوصول السحابي (CASB)، وتفعيل إشعارات مبنية على الأحداث للأنشطة الحرجة مثل الاستيلاء على الحسابات ومشاركة البيانات.

8.1.2.8

على الجهات الخاضعة للرقابة توفير قنوات آمنة ومجهولة الهوية للموظفين أو الأطراف الخارجية للإبلاغ عن حوادث الأمن السيبراني أو الخصوصية المشتبه بها، مع إجراءات واضحة للتحقيق.

8.2 بروتوكولات تصعيد الحوادث والتواصل

لضمان إرساء مزودي الخدمات من الأطراف الخارجية بروتوكولات تواصل رصينة تيسّر استجابات منسقة وفي الوقت المناسب لمعالجة المخاطر وحماية سمعة الجهة.

8.2.1.1

على الجهات الخاضعة للرقابة وأطرافها الخارجية تحديد مصفوفة تصعيد للحوادث والمحافظة عليها تبين مستويات الشدة والأشخاص المسؤولين وجداول التواصل الزمنية وعتبات الاستجابة لمختلف أنواع الحوادث.

8.2.1.2

على الجهات الخاضعة للرقابة ضمان توثيق الأطراف الخارجية بروتوكولات الإشعار الداخلي لإبلاغ القيادة العليا وأصحاب المصلحة القانونيين والالتزام فورًا أثناء الحوادث الكبرى أو عالية المخاطر.

8.2.1.3

على الجهات الخاضعة للرقابة تحديد العتبات القانونية والتنظيمية للإبلاغ عن الحوادث (بما يتماشى مع الجداول الزمنية المحددة في خطوط الأساس للمرونة التشغيلية) وإرساء مسارات عمل تضمن الإشعارات في الوقت المناسب من الأطراف الخارجية.

8.2.1.4

على الجهات الخاضعة للرقابة إرساء معايير وقنوات ونماذج محتوى لإشعار العملاء المتأثرين بالاختراقات الأمنية، بما يشمل قنوات الدعم ونصائح التخفيف، بالتنسيق مع الأطراف الخارجية.

8.2.1.5

على الجهات الخاضعة للرقابة تحديد إجراءات التعامل مع استفسارات وسائل الإعلام والإفصاحات العامة ورسائل وسائل التواصل الاجتماعي أثناء حوادث الأطراف الخارجية النشطة، لتجنب الضرر السمعي والمعلومات المضللة.

8.2.1.6

على الجهات الخاضعة للرقابة إبرام اتفاقيات مع موردي الأطراف الخارجية ومزودي الخدمات السحابية للإشعار المتبادل وتقييم الأثر والاستجابة التعاونية للحوادث المتعلقة بالأنظمة أو البيانات المشتركة.

8.2.2.1

على الجهات الخاضعة للرقابة ضمان توافر أدوات تواصل آمنة ومتكررة لدى الأطراف الخارجية (مثل البريد الإلكتروني المشفر) للاستخدام أثناء الاستجابة للحوادث لمنع التنصت.

8.2.2.2

على الجهات الخاضعة للرقابة ضمان اختبار الأطراف الخارجية دوريًا لشجرات التواصل ومسارات التصعيد وسلاسل الاعتماد للاستجابة للحوادث، للتحقق من جاهزية الاستجابة وتقليل تأخر اتخاذ القرار.

8.2.2.3

على الجهات الخاضعة للرقابة ضمان احتفاظ الأطراف الخارجية بسجلات تفصيلية لجميع الاتصالات الداخلية والخارجية أثناء الحوادث، بما يشمل الطوابع الزمنية والمستلمين وتأكيد التسليم.

8.3 تحليل الأسباب الجذرية

لضمان تحديد الأطراف الخارجية للأسباب الجذرية للحوادث الجسيمة ومعالجتها، بما يعزز التدابير الأمنية ويمنع تكرارها مستقبلًا.

8.3.1.1

على الجهات الخاضعة للرقابة ضمان تنفيذ الأطراف الخارجية تحليلًا رسميًا للأسباب الجذرية (RCA) وتوثيقه، مع اشتراط التحليل للحوادث عالية ومتوسطة الشدة (كما هي محددة في خطوط الأساس للمرونة التشغيلية).

8.3.1.2

على الجهات الخاضعة للرقابة ضمان إعداد الأطراف الخارجية تقارير تحليل الأسباب الجذرية متضمنة الخلفية والأسباب الجذرية والإجراءات التصحيحية والتوصيات الوقائية، ومشاركتها مع القيادة العليا للمراجعة والاعتماد.

8.3.1.3

على الجهات الخاضعة للرقابة ضمان إسناد الأطراف الخارجية أدوارًا محددة لأصحاب المصلحة من الأمن وتقنية المعلومات والقانونية والأعمال في عملية تحليل الأسباب الجذرية، بما يضمن المشاركة عبر الوظائف والاتفاق على النتائج.

8.3.2.1

على الجهات الخاضعة للرقابة ضمان جمع الأطراف الخارجية الأدلة الجنائية الرقمية ذات العلاقة (مثل السجلات وصور الأنظمة) أثناء الاستجابة للحوادث، وحفظها بسلسلة عهدة موثقة لأغراض التحليل والأغراض القانونية، وتمكين الجهات من الوصول إليها.

8.3.2.2

على الجهات الخاضعة للرقابة ضمان إعادة بناء الأطراف الخارجية الجداول الزمنية للحوادث من الاكتشاف إلى التعافي باستخدام السجلات والتنبيهات والاتصالات، لتحديد فجوات الاكتشاف وتأخيرات الاستجابة.

8.3.2.3

على الجهات الخاضعة للرقابة ضمان توثيق الأطراف الخارجية إخفاقات الضوابط أو مواطن ضعف العمليات التي أدت إلى الحادثة، وتقييم فعاليتها أثناء الاكتشاف والتصعيد والاحتواء.

8.3.3.1

على الجهات الخاضعة للرقابة ضمان مراجعة الأطراف الخارجية الحوادث السابقة لتحديد الاتجاهات أو الثغرات المتكررة أو المشكلات النظامية المساهمة في الاختراقات أو الانقطاعات المتكررة.

8.3.3.2

على الجهات الخاضعة للرقابة ضمان محافظة الأطراف الخارجية على مستودع مركزي للدروس المستفادة من جميع الحوادث الأمنية واستخدام هذه الرؤى لدفع تحسينات العمليات والضوابط مستقبلًا.

8.3.3.3

على الجهات الخاضعة للرقابة ضمان تضمين الأطراف الخارجية أي تغييرات محددة أثناء تحليل الأسباب الجذرية في كتيبات التشغيل وإجراءات التشغيل المعيارية وقواعد الاكتشاف والإعدادات التقنية المحدثة ضمن جداول زمنية متفق عليها.

8.3.3.4

على الجهات الخاضعة للرقابة ضمان تحديد الأطراف الخارجية مؤشرات أداء رئيسية لإغلاق بنود إجراءات تحليل الأسباب الجذرية وتتبعها عبر لوحات متابعة والإبلاغ الدوري عن التقدم لأصحاب المصلحة.

9.1 تشفير البيانات وإخفاؤها

لضمان تطبيق الأطراف الخارجية سياسات وإجراءات تشفير رصينة تحمي البيانات والاتصالات وتمنع الوصول غير المصرح به وتضمن سرية البيانات وسلامتها.

9.1.1.1

على الجهات الخاضعة للرقابة ضمان إرساء الأطراف الخارجية سياسة تشفير شاملة توجب حماية البيانات الحساسة بالتشفير أثناء النقل وأثناء التخزين. وقد تشمل البيانات الحساسة البيانات الشخصية والبيانات المؤسسية السرية الداخلية. وتحدد هذه السياسة معايير الخوارزميات وممارسات إدارة المفاتيح ونطاق الأصول المشمولة.

9.1.1.2

على الجهات الخاضعة للرقابة ضمان تطبيق الأطراف الخارجية نظامًا مركزيًا لإدارة المفاتيح يضمن التوليد والتدوير والتخزين والإلغاء والتخلص الآمن لمفاتيح التشفير المستخدمة في تشفير البيانات الشخصية.

9.1.1.3

على الجهات الخاضعة للرقابة ضمان تشفير جميع البيانات الشخصية المنقولة عبر الشبكات العامة أو غير الموثوقة من قبل الأطراف الخارجية باستخدام بروتوكولات تشفير قوية (مثل TLS 1.2 فأعلى) لمنع الاعتراض أو العبث.

9.1.1.4

على الجهات الخاضعة للرقابة ضمان تشفير جميع البيانات الشخصية المخزنة في قواعد البيانات والملفات والأجهزة المحمولة والوسائط لدى الأطراف الخارجية باستخدام خوارزميات معتمدة (مثل AES-256)، مع فرض التشفير عبر ضوابط تقنية.

9.1.1.5

على الجهات الخاضعة للرقابة ضمان فرض الأطراف الخارجية سياسات التشفير على جميع أجهزة المستخدمين النهائيين (الحواسيب المحمولة والهواتف والأجهزة اللوحية) التي تُخزن فيها البيانات الشخصية أو يُوصل إليها من خلالها، بما يشمل إدارة الأجهزة المحمولة (MDM) للإنفاذ.

9.1.1.6

على الجهات الخاضعة للرقابة ضمان إخفاء البيانات الحساسة أو إغفال هويتها من قبل الأطراف الخارجية قبل استخدامها في بيئات التطوير أو الاختبار أو التجربة لمنع الوصول غير المصرح به أو سوء الاستخدام. وقد تشمل البيانات الحساسة البيانات الشخصية والبيانات المؤسسية السرية الداخلية.

9.1.1.7

على الجهات الخاضعة للرقابة ضمان تقييم الأطراف الخارجية وتطبيقها تقنيات الترميز البديل أو الأسماء المستعارة لتقليل قابلية تحديد هوية أصحاب البيانات الشخصية، لا سيما في بيئات التحليلات أو البيئات متعددة المستأجرين.

9.1.1.8

على الجهات الخاضعة للرقابة ضمان نشر الأطراف الخارجية أدوات إخفاء بيانات معتمدة لفرض حجب أو استبدال متسقين للحقول الحساسة في مصادر البيانات المهيكلة وغير المهيكلة.

9.1.1.9

على الجهات الخاضعة للرقابة ضمان تشفير جميع وسائط النسخ الاحتياطي أو اللقطات المحتوية على بيانات شخصية في منظومة الأطراف الخارجية أثناء التخزين باستخدام خوارزميات تشفير معيارية، وتخزينها بأمان مع ضوابط وصول.

9.1.1.10

على الجهات الخاضعة للرقابة ضمان تحديد الأطراف الخارجية وتطبيقها خوارزميات تشفير معيارية معتمدة من هيئات معترف بها (مثل AES-256 وRSA 2048) وحظر الخوارزميات الضعيفة أو المتقادمة.

9.1.1.11

على الجهات الخاضعة للرقابة ضمان قصر الوصول إلى البيانات الشخصية المشفرة على المخولين بناءً على حاجة العمل، مع مراقبة نشاط فك التشفير وتسجيله ضمن منظومة الأطراف الخارجية.

9.1.1.12

على الجهات الخاضعة للرقابة ضمان مراجعة الأطراف الخارجية المنتظمة لتطبيق التشفير عبر الأنظمة للتحقق من الالتزام بالسياسة واكتشاف أي انحرافات أو أصول غير محمية.

9.2 الاحتفاظ بالبيانات والتخلص منها

لضمان إرساء الأطراف الخارجية ممارسات سليمة للاحتفاظ بالبيانات والتخلص منها وتطبيقها بما يتواءم مع المتطلبات القانونية والتنظيمية وأغراض الأعمال.

9.2.1.1

على الجهات الخاضعة للرقابة ضمان إرساء الأطراف الخارجية وتطبيقها سياسة للاحتفاظ بالبيانات الشخصية تحدد مدد الاحتفاظ القصوى لكل فئة بيانات، بما يتواءم مع غرض الأعمال والمتطلبات القانونية.

9.2.1.2

على الجهات الخاضعة للرقابة ضمان تحديد الأطراف الخارجية مدد الاحتفاظ لكل نشاط معالجة وربطها به، بما يضمن المواءمة مع الغرض الأصلي لجمع البيانات وصلتها بالأعمال.

9.2.1.3

على الجهات الخاضعة للرقابة ضمان تحديد الأطراف الخارجية المتطلبات القانونية والتنظيمية المنطبقة على الاحتفاظ بالبيانات الشخصية ودمجها في سياسة الاحتفاظ المؤسسية.

9.2.1.4

على الجهات الخاضعة للرقابة ضمان مراجعة الأطراف الخارجية للبيانات الشخصية المحتفظ بها على فترات منتظمة لتحديد السجلات المتجاوزة للحدود المقررة وتمييزها للحذف الآمن أو الأرشفة.

9.2.1.5

على الجهات الخاضعة للرقابة ضمان تطبيق الأطراف الخارجية ضمانات تقنية وإجرائية تكفل الإتلاف الدائم للبيانات الشخصية عند بلوغها نهاية عمرها، باستخدام أساليب مثل التمزيق أو المسح الآمن أو إزالة المغنطة.

9.2.1.6

على الجهات الخاضعة للرقابة ضمان تسجيل الأطراف الخارجية أنشطة التخلص من البيانات الشخصية، بما يشمل الطابع الزمني والشخص المسؤول وأسلوب الإتلاف وتأكيد نجاح الحذف.

9.2.1.7

على الجهات الخاضعة للرقابة ضمان تهيئة الأطراف الخارجية الأنظمة والتطبيقات الآلية لحذف البيانات الشخصية أو إغفال هويتها بناءً على محفزات وجداول احتفاظ محددة مسبقًا.

9.2.1.8

على الجهات الخاضعة للرقابة ضمان تنفيذ الأطراف الخارجية مراجعات دورية للبيانات الشخصية المؤرشفة للتحقق من استمرار الحاجة إليها والالتزام القانوني والإزالة الفورية لمجموعات البيانات الزائدة.

9.2.1.9

على الجهات الخاضعة للرقابة ضمان تضمين عقود الأطراف الخارجية بنودًا قابلة للإنفاذ للتخلص الآمن من البيانات أو إعادتها عند انتهاء العقد.

9.2.1.10

على الجهات الخاضعة للرقابة ضمان توثيق الأطراف الخارجية الاستثناءات من جداول الاحتفاظ بالبيانات، مدعومة بمبررات قانونية أو تشغيلية وخاضعة لاعتماد مسؤول حماية البيانات (DPO) أو الجهة المعينة.

9.2.1.11

على الجهات الخاضعة للرقابة التحقق من دعم مزودي الخدمات السحابية للحذف الكامل والقابل للتدقيق وفي الوقت المناسب للبيانات الشخصية من جميع طبقات التخزين عند الطلب.

9.2.2.1

على الجهات الخاضعة للرقابة ضمان تضمين الأطراف الخارجية ممارسات الاحتفاظ بالبيانات والتخلص الآمن منها في برامج تدريب الموظفين على الخصوصية، ومتابعة الاستيعاب من خلال التقييمات.

9.3 سياسات تصنيف البيانات والتعامل معها

لضمان الإدارة والتصنيف الشاملين للبيانات لدى الأطراف الخارجية، بما يحمي أمن البيانات والالتزام طوال دورة حياتها.

9.3.1.1

على الجهات الخاضعة للرقابة ضمان محافظة الأطراف الخارجية على جرد مركزي لحظي لجميع أصول البيانات الحساسة، بما يشمل المصدر ومستوى التصنيف وموقع التخزين والصيغة ومالك البيانات المعين. وقد تشمل البيانات الحساسة البيانات الشخصية والبيانات المؤسسية السرية الداخلية.

9.3.1.2

على الجهات الخاضعة للرقابة ضمان تطبيق الأطراف الخارجية وإنفاذها سياسة تصنيف لتصنيف البيانات الشخصية بناءً على الحساسية ومخاطر المعالجة، مع تحديد قواعد تعامل واضحة لكل تصنيف.

9.3.1.3

على الجهات الخاضعة للرقابة ضمان وسم جميع البيانات الشخصية أو تمييزها على النحو السليم داخل أنظمة التخزين والتطبيقات لدى الأطراف الخارجية للدلالة على تصنيفها ومتطلبات التعامل معها.

9.3.1.4

على الجهات الخاضعة للرقابة ضمان تعيين الأطراف الخارجية مالكي بيانات مسؤولين لكل فئة بيانات شخصية لإدارة دورة الحياة والوصول والجودة وصيانة التصنيف.

9.3.1.5

على الجهات الخاضعة للرقابة ضمان ربط الأطراف الخارجية مواقع تخزين البيانات الشخصية عبر البيئات (مثل الداخلية والسحابية والمحمولة) وضمان إمكانية التتبع والالتزام بوسوم التصنيف.

9.3.1.6

على الجهات الخاضعة للرقابة ضمان تطبيق الأطراف الخارجية آليات تحكم بالوصول مبنية على الأدوار تقصر الوصول إلى البيانات الشخصية بحسب تصنيفها، مع إجراء مراجعات دورية للصلاحيات.

9.3.1.7

على الجهات الخاضعة للرقابة ضمان مراجعة الأطراف الخارجية جرود البيانات الشخصية وملكيتها ووسوم تصنيفها سنويًا على الأقل أو عند التغييرات التشغيلية الجوهرية.

9.3.2.1

على الجهات الخاضعة للرقابة ضمان توثيق الأطراف الخارجية إجراءات تعامل تفصيلية لكل مستوى تصنيف، تغطي التخزين والنقل والتشفير والتخلص وخطوات تصعيد الاختراقات.

9.3.2.2

على الجهات الخاضعة للرقابة ضمان تحديد الأطراف الخارجية جميع عمليات نقل البيانات الشخصية العابرة للحدود وربطها، مع تحديد آليات النقل (مثل البنود التعاقدية القياسية SCCs والقواعد المؤسسية الملزمة BCRs) والدول المقصودة لكل تصنيف.

9.3.2.3

على الجهات الخاضعة للرقابة ضمان نشر الأطراف الخارجية أدوات آلية للاكتشاف والتصنيف قادرة على مسح المستودعات واكتشاف البيانات الشخصية ووسمها وفق السياسة.

9.3.2.4

على الجهات الخاضعة للرقابة ضمان اقتران كل عنصر بيانات شخصية مصنف بأساس قانوني موثق للمعالجة، وتسجيل ذلك ضمن جرد البيانات لدى الأطراف الخارجية.

9.3.3.1

على الجهات الخاضعة للرقابة ضمان تقديم الأطراف الخارجية تدريبًا للموظفين المعنيين على سياسة التصنيف وأساليب التعامل السليم مع مختلف فئات البيانات الشخصية، مع التركيز على معالجة المخاطر.

10.1 الإفصاح عن المقاولين من الباطن وموافقة الجهات الخاضعة للرقابة

لضمان إفصاح الأطراف الخارجية عن ترتيبات التعاقد من الباطن والحصول على الموافقة عليها، بما يحافظ على الإشراف والالتزام بسياسات إدارة مخاطر الموردين.

10.1.1.1

على الجهات الخاضعة للرقابة ضمان توافر ما يلي لدى الأطراف الخارجية: أ) تحديد التعاقد من الباطن والحصول على موافقة الجهات الخاضعة للرقابة قبل الاستعانة بمقاولين من الباطن لنطاق الخدمة القائم أو الجديد أو المتغير؛ ب) سياسة وإجراء لإدارة مخاطر الموردين؛ ج) تحديد الأطراف من الدرجات التالية (nth parties).

10.2 المراقبة والإشراف

لضمان توقيع اتفاقيات التعاقد من الباطن وإجراء تقييمات المخاطر لها، بما يحافظ على الإشراف والسيطرة على الموردين المتعاقد معهم من الباطن.

10.2.1.1

على الجهات الخاضعة للرقابة ضمان وجود اتفاقية تعاقد من الباطن موقعة بين الموردين المتعاقد معهم من الباطن والأطراف الخارجية، وإجراء تقييم مخاطر عليهم.

11.1 تخطيط إستراتيجية الخروج

لضمان إرساء الجهات الخاضعة للرقابة خطة وعملية شاملتين للخروج من ارتباطات الأطراف الخارجية مع المحافظة على استمرارية الخدمة.

11.1.1.1

على الجهات الخاضعة للرقابة امتلاك عملية لإنهاء ارتباطات الأطراف الخارجية أو تعطيلها أو إدراجها في القوائم المحظورة، تغطي مختلف السيناريوهات مع ضمان استمرارية الخدمة.

11.1.1.2

على الجهات الخاضعة للرقابة امتلاك قائمة تحقق رسمية لإنهاء ارتباط الأطراف الخارجية.

11.1.1.3

على الجهات الخاضعة للرقابة تضمين بنود الخروج وانتهاء الاتفاقية والإنهاء في جميع اتفاقيات الأطراف الخارجية.

11.1.1.4

على الجهات الخاضعة للرقابة عقد جلسة نقل معرفة مع الطرف الخارجي لضمان استلام جميع المعلومات وقاعدة المعرفة بما يشمل جميع وثائق العمليات.

11.1.1.5

على الجهات الخاضعة للرقابة الحصول على شهادة إتلاف من الطرف الخارجي بعد إزالة المعلومات اللازمة أو حذفها أو محوها من أنظمته، عقب اكتمال مدة الاحتفاظ بالبيانات، حيثما ينطبق.

12.1 أمن تخزين البيانات

لضمان تطبيق الأطراف الخارجية تدابير أمنية رصينة لحماية البيانات الحساسة ومنع الوصول غير المصرح به أو تسرب البيانات.

12.1.1.1

على الجهات الخاضعة للرقابة ضمان إنفاذ الأطراف الخارجية التحكم بالوصول المبني على الأدوار (RBAC) لجميع بيئات التخزين، بما يضمن قصر الوصول إلى البيانات أو تعديلها أو حذفها على المخولين بحسب مسؤولياتهم الوظيفية.

12.1.1.2

على الجهات الخاضعة للرقابة ضمان فصل الأطراف الخارجية مواقع التخزين منطقيًا أو ماديًا لمختلف تصنيفات البيانات (مثل العامة والداخلية والمقيدة) لمنع الوصول غير المصرح به أو تسرب البيانات.

12.1.1.3

على الجهات الخاضعة للرقابة ضمان محافظة الأطراف الخارجية على جرد شامل لجميع مواقع التخزين المادية والسحابية التي تقيم فيها البيانات الشخصية أو الحساسة أو الخاضعة للتنظيم، بما يشمل الموقع الجغرافي.

12.1.1.4

على الجهات الخاضعة للرقابة ضمان تقييد الأطراف الخارجية استخدام وسائط التخزين المحمولة (مثل محركات USB والأقراص الخارجية) وفرض التشفير وآليات التتبع للأجهزة المسموح بها.

12.1.2.1

على الجهات الخاضعة للرقابة ضمان تحديد الأطراف الخارجية إعدادات أساس لجميع أنظمة تخزين البيانات وتطبيقها، بما يشمل الصلاحيات ومستويات التحديثات وإعدادات التشفير.

12.1.2.2

على الجهات الخاضعة للرقابة ضمان تهيئة الأطراف الخارجية خدمات التخزين السحابي بالتشفير والتحكم بالوصول وتسجيل النشاط والالتزام بمتطلبات إقامة البيانات، بما يتماشى مع السياسات الأمنية للجهة.

12.1.2.3

على الجهات الخاضعة للرقابة ضمان تطبيق الأطراف الخارجية تجزئة الشبكات لعزل البنية التحتية الحرجة للتخزين عن الشبكات المؤسسية العامة وتقليل سطح الهجوم.

12.2 إدارة دورة حياة التخزين

لضمان التطبيق الفعّال لسياسات الاحتفاظ بالبيانات وحذفها لدى الأطراف الخارجية، التزامًا بالمتطلبات القانونية والتنظيمية والتشغيلية.

12.2.1.1

على الجهات الخاضعة للرقابة ضمان تطبيق الأطراف الخارجية آليات آلية ضمن منصات التخزين لإنفاذ مدد الاحتفاظ وتمييز البيانات المنتهية أو حذفها.

12.2.1.2

على الجهات الخاضعة للرقابة ضمان حذف الأطراف الخارجية البيانات بأمان باستخدام أساليب متوائمة مع أفضل الممارسات (مثل المحو التشفيري والمسح الآمن) بما يحول دون إمكانية إعادة بنائها.

12.2.1.3

على الجهات الخاضعة للرقابة ضمان خضوع البيانات المخزنة في مستودعات النسخ الاحتياطي لدى الأطراف الخارجية لسياسات الاحتفاظ والتحكم بالوصول والتشفير ذاتها المطبقة على مخازن البيانات الرئيسية.

12.2.2.1

على الجهات الخاضعة للرقابة ضمان تحديد الأطراف الخارجية سياسات أرشفة للبيانات الخاملة أو القديمة، بما يضمن الاحتفاظ بالضروري منها فقط مع بقائه متاحًا عند الحاجة.

12.2.2.2

على الجهات الخاضعة للرقابة ضمان تنفيذ الأطراف الخارجية مراجعات مجدولة للبيانات المخزنة ومحو السجلات غير الضرورية أو المتقادمة وفقًا لمبادئ تقليل البيانات.

12.2.2.3

على الجهات الخاضعة للرقابة ضمان تدقيق الأطراف الخارجية الدوري لمنصات تخزين البيانات للتحقق من الالتزام بسياسات الاحتفاظ والحذف المحددة.

12.2.2.4

على الجهات الخاضعة للرقابة ضمان تحديد الأطراف الخارجية إجراءات لنقل البيانات عبر منصات التخزين، بما يضمن التعامل الآمن والمحافظة على التصنيف والتحقق من السلامة.

12.2.2.5

على الجهات الخاضعة للرقابة ضمان تقييم الأطراف الخارجية الدوري لمجموعات البيانات المخزنة لإزالة البيانات الشخصية غير الضرورية أو المكررة وفقًا لالتزامات تقليل البيانات.

12.2.2.6

على الجهات الخاضعة للرقابة ضمان تطبيق الأطراف الخارجية تكرار التخزين الملائم (مثل RAID والتناسخ) بما يتواءم مع الحرجية واحتياجات التوافر، لضمان المرونة والاستمرارية.

12.3 سلامة البيانات وتوافرها

لضمان استمرارية توافر البيانات ومرونتها عبر تطبيق إجراءات نسخ احتياطي واستعادة كافية وموثوقة، وفحوصات سلامة، وآليات تحمل الأعطال، والتكامل مع التعافي من الكوارث، بما يحمي من الانقطاعات وفقدان البيانات.

12.3.1.1

على الجهات الخاضعة للرقابة ضمان إرساء الأطراف الخارجية إجراءات شاملة للنسخ الاحتياطي والاستعادة لجميع البيانات الحرجة واختبارها لضمان توافر البيانات ومرونتها.

12.3.1.2

على الجهات الخاضعة للرقابة ضمان تطبيق الأطراف الخارجية فحوصات سلامة آلية (مثل مجاميع التحقق والبصمات التجزيئية) على البيانات المخزنة لاكتشاف التلف أو التغييرات غير المصرح بها.

12.3.1.3

على الجهات الخاضعة للرقابة ضمان نشر الأطراف الخارجية أنظمة تخزين بخصائص تحمل الأعطال (مثل التجاوز التلقائي والتناسخ) لضمان الوصول المستمر إلى البيانات الحرجة حتى أثناء أعطال العتاد أو الانقطاعات.

12.3.1.4

على الجهات الخاضعة للرقابة ضمان تحديد الأطراف الخارجية أهدافًا زمنية (RTO/RPO) لاستعادة الوصول إلى البيانات عند الانقطاعات، ومتابعة الالتزام بها عبر المحاكاة والمراجعات.

12.3.1.5

على الجهات الخاضعة للرقابة ضمان استخدام الأطراف الخارجية إعدادات تخزين بالكتابة لمرة واحدة أو غير قابلة للتغيير لسجلات الأنظمة الحرجة وسجلات التدقيق ومستودعات الأدلة، لمنع العبث أو الحذف.

12.3.1.6

على الجهات الخاضعة للرقابة ضمان دمج الأطراف الخارجية البنية التحتية للتخزين مع خطة التعافي من الكوارث المؤسسية لضمان الاستعادة الآمنة وفي الوقت المناسب للبيانات المخزنة عقب الحوادث الكبرى.

13.1 الالتزام التنظيمي والقانوني

لضمان إجراء الجهات الخاضعة للرقابة المعاملات العابرة للحدود عبر القنوات المصرح بها، مع المحافظة على الالتزام بلوائح التجارة والعقوبات ومتطلبات الفحص والترخيص بما يصون المعايير القانونية والمالية.

13.1.1.1

على الجهات الخاضعة للرقابة توجيه المدفوعات العابرة للحدود حصريًا عبر أنظمة الدفع المرخصة المعترف بها من بنك الكويت المركزي، بما يضمن الالتزام الكامل باللوائح ومعايير التسوية العابرة للحدود (مثل مبادئ البنية التحتية للأسواق المالية الصادرة عن مجلس الاستقرار المالي FSB PFMIs).

13.1.1.2

على الجهات الخاضعة للرقابة الاحتفاظ بالوثائق الكاملة، بما يشمل الفواتير وبوالص الشحن والبيانات الجمركية، وفقًا للوائح التجارة والأعراف الدولية.

13.1.1.3

على الجهات الخاضعة للرقابة فحص الأطراف المقابلة والمعاملات لحظيًا مقابل قوائم العقوبات والحظر الصادرة عن مجموعة العمل المالي (FATF) والأمم المتحدة والولايات المتحدة والاتحاد الأوروبي وسائر القوائم المعترف بها دوليًا.

13.1.1.4

على الجهات الخاضعة للرقابة جمع معرّفات الكيانات القانونية (LEI) الصالحة للأطراف المقابلة في المعاملات المتجاوزة للعتبات المحددة والتحقق منها، التزامًا بالمعايير العالمية للمعرّف.

13.1.1.5

على الجهات الخاضعة للرقابة التحقق من حصول المعاملات العابرة للحدود على الموافقات اللازمة من بنك الكويت المركزي والتزامها بتفويضات ضوابط الصرف الأجنبي والترخيص المؤسسي والحدود القطاعية.

13.2 العناية الواجبة واعرف عميلك ومكافحة غسل الأموال

لضمان تنفيذ الجهات الخاضعة للرقابة عمليات شاملة لتحديد هوية العملاء والعناية الواجبة للمعاملات العابرة للحدود، التزامًا بالمعايير والقواعد المعمول بها لمعالجة المخاطر وضمان الالتزام.

13.2.1.1

على الجهات الخاضعة للرقابة تنفيذ عمليات شاملة لمبدأ اعرف عميلك، بما يشمل التحقق من الهوية وفحوصات المستفيد الحقيقي، قبل بدء المعاملات العابرة للحدود.

13.2.1.2

على الجهات الخاضعة للرقابة تطبيق العناية الواجبة المبنية على المخاطر، مع مراعاة مخاطر الاختصاص القضائي وحجم المعاملة وملف العميل، وتوثيق جميع النتائج تبعًا لذلك.

13.2.1.3

على الجهات الخاضعة للرقابة تنفيذ العناية الواجبة المعززة، بما يشمل التحقق من مصدر الأموال واعتماد الإدارة العليا، للأشخاص السياسيين ممثلي المخاطر (PEPs) والدول عالية المخاطر والمعاملات كبيرة القيمة.

13.2.1.4

على الجهات الخاضعة للرقابة إرسال البيانات الكاملة للمنشئ والمستفيد وفقًا للتوصية 16 لمجموعة العمل المالي (قاعدة الترحال) لجميع التحويلات العابرة للحدود المتجاوزة للعتبات المنطبقة.

13.2.1.5

على الجهات الخاضعة للرقابة تقييم وتوثيق ضوابط مكافحة غسل الأموال وتمويل الإرهاب لدى البنوك المراسلة وفقًا لإرشادات مجموعة العمل المالي وبنك التسويات الدولية، مع تحديثات دورية بحسب المخاطر.

13.3 النقل الآمن للبيانات والخصوصية

لضمان إدارة الجهات الخاضعة للرقابة المعاملات العابرة للحدود بأمان والتزام.

13.3.1.1

على الجهات الخاضعة للرقابة قصر البيانات العابرة للحدود على الضروري والمتناسب فقط، التزامًا بتوجيهات الخصوصية لبنك الكويت المركزي وأطر حماية البيانات الدولية.

13.3.1.2

على الجهات الخاضعة للرقابة ضمان نقل بيانات المدفوعات العابرة للحدود باستخدام أساليب مشفرة (مثل TLS 1.2 فأعلى وIPsec) وواجهات موثقة الهوية.

13.3.1.3

على الجهات الخاضعة للرقابة تطبيق آليات النقل القانونية (مثل البنود التعاقدية القياسية SCCs والقواعد المؤسسية الملزمة BCRs) أو الحصول على أذونات بنك الكويت المركزي لنقل البيانات.

13.3.1.4

على الجهات الخاضعة للرقابة إجراء تقييمات أثر الخصوصية أو تقييمات أثر حماية البيانات لعمليات نقل البيانات الجديدة أو عالية المخاطر العابرة للحدود، مع تسجيل تقييمات المخاطر وإجراءات المعالجة.

13.4 المراقبة والإبلاغ والتدقيق

لضمان تطبيق الجهات الخاضعة للرقابة أنظمة رصينة لمراقبة المعاملات وتسجيل سجلات التدقيق والإبلاغ عن الالتزام للأنشطة العابرة للحدود، التزامًا بمعايير مكافحة غسل الأموال وتمويل الإرهاب والمتطلبات التنظيمية.

13.4.1.1

على الجهات الخاضعة للرقابة تشغيل أنظمة لحظية لمكافحة غسل الأموال وتمويل الإرهاب لاكتشاف الأنماط غير المعتادة العابرة للحدود (مثل الحجم والتواتر والموقع)، مع توليد التنبيهات وفتح تحقيقات الحالات.

13.4.1.2

على الجهات الخاضعة للرقابة الاحتفاظ بسجلات مؤرخة كاشفة للعبث لجميع مسارات المعاملات، بما يشمل البدء والاعتماد والرسائل والتسوية، لمدة الاحتفاظ المحددة.

13.4.2.1

على الجهات الخاضعة للرقابة تقديم التقارير العابرة للحدود (مثل التحويلات الكبيرة وبلاغات المعاملات المشبوهة والإقرارات الإحصائية) إلى بنك الكويت المركزي والجهات المرتبطة ضمن المهل المقررة.

13.4.2.2

على الجهات الخاضعة للرقابة إجراء عمليات تدقيق داخلية أو خارجية لضوابط الالتزام العابرة للحدود وتقديم النتائج وخطط المعالجة الناتجة إلى بنك الكويت المركزي.

14.1 أمن الحوسبة السحابية

لضمان تطبيق الجهات الخاضعة للرقابة تدابير رصينة لأمن الحوسبة السحابية تحمي سرية البيانات وسلامتها وتوافرها والالتزام، مع إدارة المخاطر المرتبطة بمقدمي الخدمات السحابية (CSPs).

14.1.1.1

تُقيَّم جميع ضوابط أمن الحوسبة السحابية المنطبقة المحددة في خطوط الأساس للمرونة السيبرانية كجزء من عملية التقييم.

14.1.1.2

على الجهات الخاضعة للرقابة الاحتفاظ بسجل يتضمن بيانات مقدمي الخدمات السحابية (CSP) ومواقعهم ونوع الخدمات السحابية المستخدمة: أ) السحابة العامة؛ ب) السحابة الخاصة؛ ج) السحابة الهجينة؛ د) السحابة المجتمعية.

14.1.1.3

على الجهات الخاضعة للرقابة الاحتفاظ ببيانات نموذج الخدمة السحابية المستخدم لتقديم الخدمات: أ) البرمجيات كخدمة (SaaS)؛ ب) المنصة كخدمة (PaaS)؛ ج) البنية التحتية كخدمة (IaaS).

14.1.1.4

على الجهات الخاضعة للرقابة ضمان تحديد جميع المتطلبات القانونية والتنظيمية المنطبقة على تقديم الخدمات السحابية واستخدامها، لا سيما عندما تكون قدرات المعالجة والتخزين والاتصال موزعة جغرافيًا وتتعدد الاختصاصات القضائية المعنية.

14.1.1.5

على الجهات الخاضعة للرقابة ضمان أن يكون مقدم الخدمة السحابية معتمدًا في سجل الأمن والثقة والضمان (STAR) لتحالف أمن السحابة أو حاصلًا على شهادة سحابية (مثل ISO 27017 أو FedRAMP).

14.1.1.6

على الجهات الخاضعة للرقابة ضمان التحديد الواضح لملكية الضوابط الأمنية في نموذج المسؤولية الأمنية المشتركة بين مقدم الخدمة والجهة، مع توافر التوثيق.

14.1.1.7

على الجهات الخاضعة للرقابة امتلاك إستراتيجيات لمعالجة مخاطر الانحباس لدى موردي الخدمات السحابية، وتدابير تتعلق بقابلية نقل البيانات واستخدام المعايير المفتوحة وإستراتيجيات تعدد السحب وغيرها.

14.1.1.8

على الجهات الخاضعة للرقابة ضمان تقديم مقدم الخدمة السحابية تقرير تدقيق من طرف خارجي، مثل تقرير SOC 2 من النوع الثاني أو تقرير ISAE 3402 أو ما يكافئهما.

14.1.1.9

على الجهات الخاضعة للرقابة ضمان وجود إجراءات تكفل الإنهاء الآمن للخدمات واسترجاع البيانات عند انتهاء الاتفاقية.

14.1.1.10

على الجهات الخاضعة للرقابة التأكد من امتلاك مقدم الخدمة السحابية القدرات التي تمكّنها من مراقبة النشاط داخل بيئة الحوسبة السحابية.

15.1 العناية الواجبة والمراجعة الدورية

لضمان محافظة الجهات الخاضعة للرقابة على مراقبة وإشراف فعّالين على ارتباطات الشركات التابعة عبر عمليات عناية واجبة محددة.

15.1.1.1

على الجهات الخاضعة للرقابة تحديد نطاق العناية الواجبة على الشركات التابعة، وإبرام اتفاقيات مستوى خدمة، وإجراء مراجعات دورية، وامتلاك إستراتيجية خروج.

15.1.1.2

على الجهات الخاضعة للرقابة الحصول على موافقة مسبقة من بنك الكويت المركزي قبل الدخول في ترتيبات خدمات جوهرية أو عالية المخاطر مع الشركات التابعة، وضمان تقييم مخاطر وحوكمة والتزام تنظيمي رصينة لجميع خدمات الشركات التابعة، وطلب الموافقة حيثما أمكن أن تؤثر هذه الترتيبات على الملف المخاطري للجهة أو مرونتها التشغيلية.

15.2 موافقة العميل

لضمان تطبيق إجراء للحصول على موافقة العميل على مشاركة البيانات مع الشركات التابعة.

15.2.1.1

على الجهات الخاضعة للرقابة ضمان وجود إجراء للحصول على موافقة العميل في حال مشاركة البيانات مع الشركات التابعة.

15.3 الشركات التابعة الأجنبية

لضمان تطبيق ضوابط وحوكمة متسقة على الشركات التابعة الأجنبية، مع مراعاة العلاقات الجيوسياسية.

15.3.1.1

على الجهات الخاضعة للرقابة ضمان الالتزام بضوابط وحوكمة مماثلة في حالة الشركات التابعة الأجنبية، إضافة إلى مراعاة العلاقات الجيوسياسية بين الدول.

15.4 تخطيط الموارد

لضمان تخطيط الجهات الخاضعة للرقابة للموارد وتخصيصها بفعالية للمحافظة على جدوى الخدمات واستمراريتها.

15.4.1.1

على الجهات الخاضعة للرقابة ضمان تخطيط الموارد وتوافرها لضمان جدوى الخدمات.

إطار المرونة السيبرانية والتشغيلية (CORF 1.0)

1. خطوط الأساس للمرونة السيبرانية

4.1 حوكمة المرونة السيبرانية والإشراف عليها

4.2 إدارة مخاطر الأمن السيبراني

4.3 الالتزام

4.4 التدقيق المستقل

4.5 إدارة القوى العاملة

5.1 تصميم البنية الأمنية

5.2 إدارة الأصول

5.3 أمن البنية التحتية والشبكات

5.4 أمن الأجهزة الطرفية