مركز الثقة

مراجعة الوصول إلى بيئة التشغيل

يراجع مسؤول أمن المعلومات لدينا مرة في السنة من يملك صلاحية الوصول إلى وحدة تحكم بيئة التشغيل، ويعتمد ذلك.

سجلات الحوادث

نوثّق كل حادثة أمنية والتحقيق فيها والاستجابة التي نفذناها وفق إجراءات التعامل مع الحوادث.

فحص الثغرات

نفحص المنصة بحثًا عن الثغرات وفق جدول زمني منتظم.

تتبع الثغرات مركزيًا

نتتبع كل ثغرة نكتشفها في مكان واحد ونعالجها خلال المدة التي تحددها سياسة الثغرات.

إشعارات التغييرات

يصل إشعار إلى المعنيين عند نشر أي تغيير في بيئة التشغيل، فلا يُطبَّق إلا ما جرى اعتماده.

اعتماد الوصول

لا يُمنح الوصول إلى الأنظمة الحساسة إلا بعد موافقة المخوّلين، سواء لحاجة فردية أو لدور محدد مسبقًا.

إلغاء الوصول عند المغادرة

عندما يغادر أحد الموظفين، تُلغى فورًا الصلاحيات التي لم يعد بحاجة إليها.

الوصول إلى قواعد بيانات التشغيل

لا يصل إلى قواعد بيانات التشغيل إلا من يحتاج إليها في عمله.

المصادقة متعددة العوامل

يسجّل كل موظف يملك صلاحية الوصول إلى نظام حساس دخوله بالمصادقة متعددة العوامل.

مراجعة الصلاحيات

تتحقق الإدارة العليا أو مسؤول أمن المعلومات بانتظام من أن الوصول إلى الأنظمة الحساسة مقتصر على من يحتاج إليه.

مراجعة صلاحيات المسؤولين

تُراجع صلاحيات الإدارة على الأنظمة الحساسة بانتظام بالطريقة نفسها.

التشفير أثناء التخزين

جميع قواعد بيانات التشغيل التي تحفظ بيانات العملاء مشفّرة أثناء التخزين.

جرد البنية التحتية

نحتفظ بجرد محدَّث لأنظمة البنية التحتية، وفيه البيانات اللازمة لمعرفة المسؤول عن كل نظام.

النسخ الاحتياطية

نأخذ نسخًا احتياطية لبيانات المستخدمين والأنظمة بانتظام لتحقيق أهداف زمن الاستعادة ونقطة الاستعادة لدينا، ونتحقق من سلامة كل نسخة.

اختبار استعادة النسخ

نختبر النسخ الاحتياطية دوريًا للتأكد من إمكانية استعادتها وسلامة بياناتها.

مراقبة الضوابط

تنتج أنظمتنا معلومات نراجعها لنعرف هل تعمل الضوابط الداخلية كما ينبغي.

لا وصول عامًا إلى قواعد البيانات

لا يمكن الوصول إلى قواعد بيانات التشغيل ولا إلى SSH الخاص ببنيتنا التحتية من الإنترنت العام.

جدار حماية يمنع كل شيء افتراضيًا

يقع كل خادم تشغيل خلف جدار حماية يحجب كل حركة البيانات ما لم يُسمح بها صراحةً.

التشفير أثناء النقل

تُشفَّر البيانات أثناء نقلها بطرق معيارية، منها HTTPS عبر TLS.

اكتشاف التهديدات

نحلل أحداث التدقيق لاكتشاف أي نشاط غير معتاد أو مشبوه.

مراقبة السعة

تُراقب الأنظمة الحساسة باستمرار مع تنبيهات بشأن السعة، للحفاظ على الأداء والحماية من هجمات حجب الخدمة.

حماية بيانات الاختبار

تحظى بيانات العملاء المستخدمة خارج بيئة التشغيل بالحماية نفسها المطبقة داخلها.

سجلات الأمن المركزية

تسجّل كل الأنظمة الحساسة أحداث التدقيق للإجراءات المتعلقة بالأمن، وتُجمع في مكان واحد.

إشعار الخصوصية المعلن

يعرض موقعنا معلومات محدَّثة عن خدماتنا، ورابطًا واضحًا إلى إشعار الخصوصية.

إدارة التغيير

تتبع التغييرات في بيئة التشغيل لدينا إجراءً موثقًا.

اعتماد التغييرات

تحتاج التغييرات في بيئة التشغيل إلى موافقة قبل تنفيذها.

تنبيهات تغيير الأدوار

عندما يتغير دور أحد الموظفين، تنبّه المراقبة المستمرة فريق الأمن لتعديل صلاحياته.

الحماية من البرمجيات الخبيثة

تعمل الحماية من البرمجيات الخبيثة على أجهزة الحاسوب المحمولة وغيرها من الأجهزة التي تصل إلى الخوادم أو البيانات الحساسة.

تشفير الأجهزة

تستخدم هذه الأجهزة تشفير القرص بالكامل أو تشفير الحاويات.

فحص الأجهزة

قبل اتصال أي جهاز بأنظمتنا الداخلية، نتحقق من إصدارات برامجه وتحديثاته.

قفل الشاشة

تُقفل الأجهزة التي تصل إلى الخوادم أو البيانات الحساسة تلقائيًا بعد 15 دقيقة من عدم الاستخدام.

تشفير الأجهزة الحساسة

كل جهاز حساس مشفّر لمنع الوصول غير المصرح به.

مدونة قواعد السلوك

تحدد مدونة مكتوبة لقواعد السلوك المهني المعيار الذي نلتزم به في تعاملاتنا.

الهيكل التنظيمي

يحدد هيكلنا من يملك أي صلاحية ومن يتحمل أي مسؤولية.

الأدوار والمسؤوليات

يعرف كل موظف دوره ومسؤولياته.

كوادر أمنية مؤهلة

يشغل الوظائف المتعلقة بالأمن أشخاص يملكون المهارات المناسبة.

التحقق من الخلفية

نفحص المخاطر الأمنية المرتبطة بكل شخص قبل منحه أي صلاحية.

السياسات عند التعيين

يقر الموظفون الجدد بأنهم قرأوا سياسات الشركة المنطبقة عليهم.

التدريب على الأمن والخصوصية

يتلقى الموظفون تدريبًا على الأمن والخصوصية يناسب طبيعة عملهم.

تقييم الأداء

يُقيَّم العاملون في أدوار التعامل مع العملاء وتقنية المعلومات والهندسة والأمن دوريًا بحسب مسؤولياتهم.

تأكيد السياسات دوريًا

يؤكد الموظفون السياسات المنطبقة عليهم من جديد على فترات منتظمة.

الإبلاغ الداخلي عن الحوادث

توضح سياساتنا للموظفين كيف يبلغون عن الأعطال والحوادث وأي مخاوف تتعلق بخدماتنا أو أنظمتنا.

إبلاغ العملاء عن الحوادث

يعرف العملاء كيف يبلغوننا عن الأعطال والحوادث وأي مخاوف لديهم.

تقييم المخاطر السنوي

نجري مرة في السنة تقييمًا رسميًا للمخاطر لرصد التهديدات التي قد تمس التزاماتنا الأمنية.

تصنيف المخاطر

نمنح كل خطر درجة بحسب احتمال وقوعه وأثره على الأمن والتوافر والسرية، ونربطه بالإجراءات التي تحد منه.

مخاطر الاحتيال

تدخل مخاطر الاحتيال ضمن مصفوفة المخاطر لدينا.

تقييم مخاطر الموردين

نحدد مرة في السنة الموردين الذين تعتمد عليهم التزاماتنا الأمنية.

مسؤول أمن المعلومات

عيّنت الإدارة العليا مسؤولًا لأمن المعلومات يدير برنامج الأمن والخصوصية.

التدقيق الداخلي المستمر

تتابع Sprinto سلامة برنامج الأمن وترفع تقريرًا عنها إلى مسؤول أمن المعلومات وسائر المعنيين.

مراجعة البرنامج

تراجع الإدارة العليا برنامج الأمن وسياساته وإجراءاته وتعتمدها في مواعيد مخططة وبعد أي تغيير جوهري.

مراجعة الهيكل التنظيمي

تراجع الإدارة العليا الهيكل التنظيمي وتعتمده كل عام.

مراجعة تقرير المخاطر

تراجع الإدارة العليا تقرير تقييم المخاطر وتعتمده كل عام.

مراجعة تقرير مخاطر الموردين

تراجع الإدارة العليا تقرير تقييم مخاطر الموردين وتعتمده كل عام.

تقييم المعالجين الفرعيين

نقيّم الجهات التي تقدم لنا خدمات فرعية دوريًا، لنتمكن من الوفاء بالتزاماتنا تجاه العملاء.

الفصل بين المهام

نوزع المسؤوليات والمهام على أكثر من شخص لتقليل المخاطر على الخدمات التي نقدمها.

اختبار خطة الطوارئ

نختبر خطة الطوارئ بانتظام للتأكد من جاهزيتنا لتنفيذها.

مسؤوليات PCI DSS

نحتفظ بقائمة توضح متطلبات PCI DSS التي يتولاها كل مزوّد خدمة والمتطلبات التي نتولاها بأنفسنا.

ملكية الأصول

لكل أصل مالك مسؤول عن حمايته.

المتطلبات القانونية والتنظيمية

نحتفظ بقائمة بالمتطلبات القانونية والتشريعية والتنظيمية المنطبقة على أمن المعلومات لدينا.

سجلات تدريب التعيين

يُكمل الموظفون الجدد تدريب الأمن والخصوصية عند التحاقهم بالعمل، ونحتفظ بسجلات ذلك.

سجلات التدريب

نوثّق أنشطة التدريب لكل شخص ونتابعها ونحتفظ بها.

تحديث الجرد

يُحدَّث جرد الأنظمة كلما جرى تركيب نظام أو إزالته أو تحديثه.

جرد الأجهزة

نحتفظ بجرد لجميع الأجهزة، وفيه البيانات اللازمة لمعرفة المسؤول عن كل جهاز.