معيار الحماية من فقدان البيانات:
- نوع البيانات والمعلومات وتعريف المتجهات (Data and information type and vector definition):
الهدف : تحديد أنواع البيانات والمعلومات المطلوب مراقبتها والاتجاهات التي يمكن أن تتسرب من خلالها هذه البيانات والمعلومات من الجهة.
المخاطر المحتملة : قد يعني ضعف تعريف، أو عدم تعريف، أنواع البيانات والمعلومات والاتجاهات المطلوب مراقبتها أن منهجيات فقدان البيانات غير مصممة ومنفذة بالشكل الصحيح، مما يسمح بتسرب البيانات والمعلومات من جامعة الإمام محمد بن سعود الإسلامية.
الإجراءات المطلوبة:
- تحديد أنواع البيانات والمعلومات المطلوب مراقبتها من قبل مالكي الأصول ومدير الإدارة العامة للأمن السيبراني مع مدخلات من الجهات المعنية الأخرى في جامعة الإمام محمد بن سعود الإسلامية.
- يجب أن يشمل نوع البيانات والمعلومات المطلوب مراقبتها ما يلي:
- جميع البيانات والمعلومات التي تجب مراقبتها بسبب الالتزامات القانونية والتنظيمية المطبقة على جامعة الإمام محمد بن سعود الإسلامية
- جميع البيانات والمعلومات المصنفة على أنها "مقيدة" أو أعلى (راجع سياسة تصنيف البيانات)
- جميع البيانات والمعلومات التي تعتبر شخصية
- جميع البيانات والمعلومات التي يجب مراقبتها للوفاء بالالتزامات التشغيلية والتجارية مع الأطراف الخارجية والموردين
- تحديد وتوثيق واعتماد سجل منع فقدان البيانات لأنواع البيانات والمعلومات المطلوب مراقبتها.
- مراجعة الالتزامات القانونية والتنظيمية والتشغيلية والتجارية المفروضة على جامعة الإمام محمد بن سعود الإسلامية مرة واحدة سنويًا على الأقل.
- تحديث سجل منع فقدان البيانات والمعلومات المطلوب مراقبتها عند الضرورة لتعكس التغييرات المحددة في المراجعة.
- التحقيق في المتجّهات التي يمكن من خلالها نقل/خروج البيانات والمعلومات من جامعة الإمام محمد بن سعود الإسلامية. يجب أن يحدد التحقيق أولويات البيانات والمعلومات المدرجة في سجل منع فقدان البيانات.
- إنشاء وتحديث قائمة بالمتجهات مثل الشبكة (عملاء البريد الإلكتروني وعملاء بروتوكول نقل الملفات وما شابه ذلك) والأنظمة (مسجلات البيانات والطابعات والتخزين القابل للإزالة وما شابه ذلك) والتطبيقات التي يمكن من خلالها تسرب/ نقل البيانات من جامعة الإمام محمد بن سعود الإسلامية.
- مراجعة قائمة المتجهات مرة واحدة سنويًا على الأقل.
- تحديث قائمة المتجهات عند الضرورة لتعكس التغييرات المحددة في المراجعة.
- أداة منع فقدان البيانات ((DLP) DLP tool):
الهدف : استخدام أداة منع فقدان البيانات لمراقبة وضبط حركة البيانات والمعلومات المدرجة في سجل منع فقدان البيانات.
المخاطر المحتملة : يؤدي عدم أتمتة مراقبة البيانات والمعلومات إلى ضرورة استخدام جامعة الإمام محمد بن سعود الإسلامية العمليات اليدوية (أو عدم استخدام أي عملية على الإطلاق) لتحديد تسرب البيانات والمعلومات وإيقافه، مما يقلل من فعالية وكفاءة منهجيات منع تسرب البيانات.
الإجراءات المطلوبة:
- إدارة أداة منع فقدان البيانات مركزيًا.
- أن يقتصر الوصول إلى أداة منع فقدان البيانات على الموظفين المصرح لهم، باستخدام ضوابط الوصول المادي والمنطقي وفقًا لسياسة الأمن المادي المعتمدة وسياسة إدارة هويات الدخول والصلاحيات الخاصة بـجامعة الإمام محمد بن سعود الإسلامية.
- تعيين مسؤول أداة منع فقدان البيانات وفقًا للسياسات ذات الصلة المعتمدة لدى جامعة الإمام محمد بن سعود الإسلامية.
-
ضبط إعدادات أداة منع فقدان البيانات (DLP tool configuration) :
الهدف : ضبط إعدادات أداة منع فقدان البيانات لمراقبة وضبط حركة البيانات والمعلومات المدرجة في سجل منع فقدان البيانات.
المخاطر المحتملة:قد يؤدي ضبط الإعدادات بشكل غير صحيح لأداة منع فقدان البيانات والمعلومات إلى تسرب البيانات والمعلومات من خارج جامعة الإمام محمد بن سعود الإسلامية
الإجراءات المطلوبة:
- ضبط إعدادات أداة منع فقدان البيانات لتحديد جميع البيانات والمعلومات المدرجة في سجل منع فقدان البيانات، حيثما كان ذلك ممكنًا من الناحية الفنية.
- ضبط إعدادات أداة منع فقدان البيانات لمراقبة وضبط حركة البيانات المدرجة في سجل منع فقدان البيانات باستخدام السياسات الفنية لمعالجة منع فقدان البيانات، مع تحديد مجموعة من قواعد أدوات الحماية من فقدان البيانات، بما في ذلك:
- تحديد البيانات التي لا يمكن إرسالها أو نشرها أو تحميلها أو نقلها أو نسخها أو لصقها.
- تحديد مكان نقل البيانات.
- طريقة مشاركة البيانات.
- ضبط إعدادات أداة منع فقدان البيانات لمسح متجهات فقدان البيانات المعروفة.
- ضبط إعدادات أداة منع فقدان البيانات لاستخدام أداة أو أكثر من تقنيات الكشف التالية:
- مطابقة المحتوى
- الفهرسة أو بصمات الأصابع
- التعرف الاختياري على الشخصية
- تقنيات الكشف الأخرى التي توفرها الأداة
- ضبط إعدادات أداة منع فقدان البيانات لتطبيق قواعد أدوات منع فقدان البيانات من خلال واحدة أو أكثر من الآليات التالية:
- حجب نقل البيانات والمعلومات المدرجة في سجل منع فقدان البيانات
- رسائل الحجر الصحي قبل الإرسال
- حجب النسخ واللصق على أجهزة التخزين الخارجية
- تسجيل جميع المخالفات
- ضبط إعدادات أداة منع فقدان البيانات لتوفير التنبيهات للموظفين المصرح لهم عند حدوث خرق لقواعد أداة منع فقدان البيانات.
- أن تكون الردود على التنبيهات الواردة من أداة منع فقدان البيانات خلال إطار زمني متفق عليه.
- ضبط إعدادات أداة منع فقدان البيانات لإبلاغ المستخدمين بخرق قواعد أدوات منع فقدان البيانات.
- مراجعة إعدادات أداة منع فقدان البيانات مرة واحدة على الأقل كل ستة أشهر.
- يجب تحديث أداة منع فقدان البيانات عند الضرورة لتعكس التغييرات المحددة في المراجعة.
- دمج أداة منع فقدان البيانات حيثما أمكن مع أداة إدارة المعلومات والأحداث الأمنية.
- تسجيل منع فقدان البيانات DLP Logging :
الهدف:جمع المعلومات حول أداء أداة منع فقدان البيانات وضمان عملها على النحو المطلوب.
المخاطر المحتملة:جمع المعلومات حول أداء أداة منع فقدان البيانات وضمان عملها على النحو المطلوب.
الإجراءات المطلوبة:
- أن تسجل أداة منع فقدان البيانات جميع الإجراءات والأنشطة.
- تخزين سجلات أدوات منع فقدان البيانات في مكان آمن، على أن يقتصر الوصول إليها على الموظفين المصرح لهم، باستخدام ضوابط الوصول المادية والمنطقية.
- الاحتفاظ بسجلات أدوات منع فقدان البيانات وفقًا لمتطلبات الاحتفاظ بما يتوافق مع السياسات ذات الصلة المعتمدة من قبل جامعة الإمام محمد بن سعود الإسلامية.
- حماية وسلامة سجلات أدوات منع فقدان البيانات (مثل: باستخدام التشفير أو الطوابع الزمنية الرقمية أو طرق أخرى يمكن إثبات التلاعب بها لحماية السلامة).
- مراجعة السجلات الصادرة عن أداة منع فقدان البيانات وتحليلها مرة واحدة شهريًا على الأقل.
- استخدام المعلومات من سجلات أداة منع فقدان البيانات عند الضرورة لتحسين أداء الأداة، وتقديم دليل على فقدان البيانات والمعلومات، وتقديم دليل على النجاح في إيقاف فقدان البيانات والمعلومات، أو لتسليط الضوء على متجهات جديدة لفقدان البيانات والمعلومات.
منع فقدان بيانات الأصول المعلوماتية (Information Asset Data Loss Prevention):
الهدف:تقليل احتمالية فقدان البيانات والمعلومات ذات الصيغة المادية.
المخاطر المحتملة:يمكن أن يؤدي فقدان المعلومات ذات الصيغة المادية إلى اختراقها أو انتهاكها أمنيًا، مما يؤدي إلى الإضرار بسمعة الجهة، وربما الخضوع إلى التحقيقات والغرامات القانونية والتنظيمية وذلك اعتمادًا على أصول المعلومات المفقودة.
الإجراءات المطلوبة:
- يُحظر على الأفراد إزالة أصول المعلومات ذات الصيغة المادية (الأوراق والنسخ المطبوعة والعقود وما إلى ذلك) والمصنفة على أنها "مقيدة" أو تصنيف أعلى من ذلك من مقرات جامعة الإمام محمد بن سعود الإسلامية.
- يُحظر على الأفراد إزالة المعلومات المصنفة ذات الصيغة المادية (الأوراق والنسخ المطبوعة والعقود وما إلى ذلك) التي تعتبر بيانات شخصية من مقرات جامعة الإمام محمد بن سعود الإسلامية
