المقدمة:

تهدف هذه السياسة إلى الالتزام بمتطلبات الأمن السيبراني والمتطلبات التشريعية والتنظيمية ذات العلاقة، وهي مطلب تشريعي في الضابط رقم 1-8-2 من الضوابط الأساسية للأمن السيبراني (ECC-1:2018) الصادرة من الهيئة الوطنية للأمن السيبراني

نطاق العمل وقابلية التطبيق :

تغطي هذه السياسة جميع الأنظمة الحساسة ومكوناتها التقنية، وجميع الخدمات المقدمة خارجياً (عن طريق الإنترنت) ومكوناتها التقنية، ومنها: البنية التحتية، والمواقع الإلكترونية، وتطبيقات الويب، وتطبيقات الهواتف الذكية واللوحية، والبريد الإلكتروني والدخول عن بعد في جامعة الملك سعود، وتنطبق هذه السياسة على جميع العاملين في جامعة الملك سعود سواءً العاملين الذين يعملون بشكل مباشر أو غير مباشر لدى جامعة الملك سعود ، وتنطبق كذلك على جميع موظفي الجهات الخارجية التي تحوز أو تستخدم المعلومات و/أو المرافق التي تمتلكها جامعة الملك سعود كما أن هذه السياسة تنطبق على أنظمة جامعة الملك سعود وكذلك المنصات السحابية.

بنود السياسة :

1- البنود العامة

• يجب على جامعة الملك سعود تطوير وتوثيق واعتماد إجراءات ومعايير خاصة بالتشفير بناءً على حاجة العمل وعلى تحليل المخاطر في جامعة الملك سعود وبحيث يتوافق المستوى الأمني مع المعايير الوطنية للتشفير الصادرة من قبل الهيئة الوطنية للأمن السيبراني. وتشمل هذه الإجراءات على حلول التشفير المعتمدة والقيود المطبقة عليها (تقنياً وتنظيمياً)، وطرق استخدامها وآلية إصدار المفاتيح ونشرها واستعادتها، بالإضافة إلى إدارة النسخ الاحتياطية للمفاتيح وإجراءات إتلاف مفاتيح التشفير.

• يجب تشفير البيانات أثناء النقل والتخزين بناء على تصنيفها وحسب السياسات والاجراءات التنظيمية بجامعة الملك سعود و المتطلبات التشريعية والتنظيمية ذات العلاقة.

• يجب استخدام طرق وخوارزميات ومفاتيح وأجهزة تشفير محدثة وفقاً لما تصدره الهيئة الوطنية للأمن السيبراني بهذا الشأن.

• يجب تشفير جميع بيانات الأنظمة الحساسة، أثناء النقل (Data-In-Transit).

• يجب تشفير جميع بيانات الأنظمة الحساسة، أثناء التخزين (Data-at-Rest) على مستوى الملفات، وقاعدة البيانات، أو على مستوى أعمدة محددة داخل قاعدة البيانات.

• يجب تحديد وتوثيق الأدوار والمسؤوليات المتعلقة بعمادة التعاملات الإلكترونية والاتصالات لمفاتيح التشفير (Key Management Infrastructure “KMI”)، للأدوار التالية على الأقل:

  - مسؤول مفاتيح وأنظمة التشفير (Keying Material Manager) باعتباره مدير الإدارة المعنية بالأمن السيبراني.

  - مشرفو التشفير المسؤولون عن حماية مفاتيح التشفير (Key Custodians).

  - الجهات المعنية بإصدار الشهادات (Certification Authorities “Cas”)، بحيث تكون موثوقة وآمنة.

  - الجهات المعنية بتسجيل الشهادات (Registration Authorities “Ras”)، بحيث تكون موثوقة وآمنة.

• استخدام مؤشر قياس الأداء (KPI) لضمان التطوير المستمر للاستخدام السليم والفعال للتشفير.