1 الغرض والمسؤوليات
تحمي السياسة الأنظمة والأجهزة والحسابات والبيانات والخدمات الرقمية للجمعية. يعتمد المجلس مستوى المخاطر والموارد، ويتولى مسؤول التقنية الضوابط والاستجابة بالتنسيق مع الخصوصية والامتثال. تستخدم المعايير الحكومية الأمنية كمرجع فني ولا يدعى إلزام معيار قطاعي دون ثبوت انطباقه.(1)
2 الحسابات والأجهزة
يسجل كل نظام وأصل ومالك ومزود وموقع بيانات. تمنح حسابات فردية بأقل صلاحية مع مصادقة متعددة العوامل للحسابات الحساسة، وتفصل الإدارة التقنية عن الحساب اليومي. تلغى الصلاحيات فور انتهاء الدور، وتراجع دوريًا، ويمنع تبادل كلمات المرور ورموز التحقق.
تحمى الأجهزة بالتشفير والتحديث والحماية من البرمجيات الضارة وقفل الشاشة. تسجل الثغرات وتعالج حسب الخطر، ويمنع تثبيت البرامج غير المصرح بها. يفصل وصول الزائر والمتطوع عن الأنظمة المالية والصحية، وتختبر استعادة النسخ الاحتياطية.
3 التغيير والموردون
يفحص التغيير قبل الإنتاج من حيث الأمن والخصوصية والاعتمادية وخطة الرجوع، ويعتمد ويسجل منفذه. تقيم الخدمات السحابية ومواقع البيانات وعقود المزود وإخطار الحوادث والمقاولين الفرعيين. لا تنسخ بيانات حقيقية إلى بيئة اختبار غير مأذونة.(2)
4 الإبلاغ والاحتواء
على من يلاحظ تصيدًا أو فقد جهاز أو وصولًا غير مشروع أو تسريبًا إبلاغ التقنية فورًا بالقناة الداخلية المعلنة. يسجل وقت الاكتشاف والنظام والأثر والأدلة؛ ولا يحذف الرسائل أو يعيد تهيئة الجهاز قبل حفظ الأدلة. يعزل المتأثر ويوقف الوصول المشبوه ويؤمن الحسابات.
يصنف الحادث بحسب أثره على السلامة والمال والبيانات والاستمرارية. تخطر الإدارة والخصوصية والامتثال، ويحدد قائد للحادث. يطلب دعم الجهة المختصة والبنك والشرطة أو مزود الخدمة عند انطباق الحالة؛ ولا تحل المعالجة الداخلية محل إخطار قانوني واجب.
5 الاستعادة والاتصال
تستعاد الخدمة من مصدر نظيف بعد معالجة السبب والتحقق من سلامتها، وتراقب عودة النشاط غير الطبيعي. ينفذ متحدث مخول الاتصالات الخارجية بصياغة دقيقة متسقة مع الالتزامات، دون نشر بيانات الضحايا أو تفاصيل تساعد المهاجم.
توثق جميع القرارات والتوقيتات وإخطارات الجهات والأفراد، وتراجع فاعلية الاستجابة. لا يدفع ابتزاز أو تعقد تسوية بواسطة موظف؛ تحال المسألة للجهات المختصة والمراجعة القانونية وصاحب الاختصاص.
6 المراجعة والسجلات
تجرى توعية وتمارين دورية على التصيد وفقد البيانات وانقطاع الخدمة. تحفظ سجلات الأصول والوصول والتغيير والثغرات والحوادث والاستعادة بصلاحيات مقيدة، وتغلق الإجراءات التصحيحية بمسؤول وموعد ودليل تحقق مستقل.
المراجع الواردة في الوثيقة المعتمدة
-
النظام الأساسي المعتمد للجمعية لسنة 2026، المواد (20) و(63) و(74). تحدد هذه الوثيقة ضوابط التنفيذ الداخلية دون تعديل اختصاص أو اشتراط قانوني أعلى.
-
المرسوم بقانون اتحادي رقم (34) لسنة 2021 بشأن مكافحة الشائعات والجرائم الإلكترونية وتعديلاته؛ ومرسوم (45) لسنة 2021 في نطاقه. تحدد هذه الوثيقة ضوابط التنفيذ الداخلية دون تعديل اختصاص أو اشتراط قانوني أعلى.