سياسة أمن المعلومات العامة لـ INBULK

1. الغرض

1.1. تصف هذه السياسة المبادئ العامة لأمن المعلومات. ولا تكشف عن الإعدادات أو المفاتيح أو الضوابط التفصيلية أو أي معلومات أخرى يمكن أن تُضعف الحماية.

1.2. لا تُعدّ هذه السياسة شهادة اعتماد ولا ضمانًا للأمن المطلق ولا اتفاقية مستوى خدمة (SLA)، ولا تحدّ من التزامات المشغّل المقررة صراحةً في الاتفاقية أو في القانون الواجب التطبيق.

2. مبادئ أمن المعلومات

2.1. ينظّم المشغّل حماية المنصة والبيانات والعمليات على أساس المبادئ التالية:

• النهج القائم على المخاطر والحماية متعددة الطبقات — تُحدَّد التدابير الأمنية مع مراعاة طبيعة المخاطر المعنية واحتمال وقوعها وعواقبها المحتملة
• الحد الأدنى من الوصول اللازم — لا يُمنح المستخدمون والموظفون والمتعاقدون إلا حقوق الوصول اللازمة لأداء وظائفهم
• الفصل بين المهام — تُوزَّع الوظائف الحرجة والتصرفات ذات الأثر القانوني، عند الاقتضاء، بين أدوار مختلفة أو تتطلب تأكيدًا إضافيًا
• الأمن وحماية البيانات افتراضيًا — تُؤخذ متطلبات أمن المعلومات وتقليل البيانات إلى الحد الأدنى في الاعتبار عند تصميم المنصة وتطويرها وإعدادها
• الإدارة المضبوطة للتغييرات — يجري تطوير الوظائف واختبارها ونشرها وتعديلها باستخدام إجراءات رقابة مناسبة
• التسجيل والحفاظ على الأدلة — تُسجَّل الأحداث والتصرفات المهمة بالقدر اللازم للأمن والتحقيق في الحوادث وتأكيد العمليات المعنية
• الجاهزية للحوادث والتعافي منها — يحافظ المشغّل على إجراءات الكشف والاستجابة والتعافي واستمرارية الوظائف الحرجة
• إدارة مخاطر الغير — قبل إشراك مقدِّمي الخدمات الحرجين، تُقيَّم المخاطر المرتبطة بهم من حيث الأمن والوصول إلى البيانات والاستمرارية
• المراجعة والتحسين المنتظمان — تُراجَع التدابير الأمنية وتُحدَّث دوريًا في ضوء التغيرات في المخاطر والتكنولوجيا والتشريعات ووظائف المنصة.

3. إدارة الوصول

3.1. يُمنح الوصول إلى المنصة وخواصها وفقًا لأدوار محددة ولمبدأ الحد الأدنى من الحقوق اللازمة. وتُمنح صلاحيات القيام بالتصرفات ذات الأثر القانوني وتُضبط بصورة منفصلة عن حقوق الوصول العادية.

3.2. بالنسبة إلى المسؤولين (administrators) والتصرفات ذات مستوى المخاطر المرتفع، يجوز للمشغّل تطبيق تدابير معززة للمصادقة وتأكيد الصلاحيات، ولا سيما المصادقة متعددة العوامل (MFA)، وإعادة المصادقة، والتوقيع الإلكتروني المؤهَّل أو أي توقيع إلكتروني آخر يستوفي متطلبات القانون الواجب التطبيق في الاختصاص القضائي المعني، والموافقة الإضافية من شخص مفوَّض آخر، أو أي ضوابط أخرى، بحسب طبيعة التصرف المعني ومستوى مخاطره.

3.3. لا يُمنح الموظفون والمتعاقدون الوصول إلى المنصة وأنظمتها إلا بالقدر وللمدة اللازمين لأداء وظائفهم. ويخضع هذا الوصول لمراجعة دورية ويُلغى دون تأخير لا مبرر له بمجرد انتفاء الحاجة إليه.

4. حماية البيانات

4.1. يُطبَّق بقدر متناسب التشفير أثناء النقل، وضوابط التخزين، والتجزئة، والنسخ الاحتياطي، وقيود التصدير، وحماية الأسرار.

4.2. لا تُخزَّن كلمات المرور بنص صريح. وتُخزَّن المفاتيح التشفيرية والرموز (tokens) وغيرها من بيانات الوصول السرية وتُعالَج بمعزل عن الشفرة البرمجية وسجلات الأحداث العادية، مع تطبيق ضوابط الوصول المناسبة.

4.3. تُحمى الأدلة الإلكترونية والمستندات الموقَّعة وسجلات الأحداث من التعديل والحذف والوصول غير المصرح به. ويجب أن تتيح تدابير الحفظ إثبات سلامة الأحداث ذات الأثر القانوني ووقتها وتسلسلها بالقدر المنصوص عليه في الاتفاقية والسياسات ذات الصلة.

5. أمن التطوير وإدارة التغييرات

5.1. في سياق تطوير التغييرات واختبارها ونشرها، يطبّق المشغّل، على وجه الخصوص، التدابير التالية:

• مراعاة متطلبات أمن المعلومات وحماية البيانات الشخصية في مرحلتي التصميم والتطوير
• مراجعة الشفرة البرمجية، واختبار الوظائف، والرقابة الأمنية على مكونات البرمجيات والتبعيات المستخدمة
• الفصل بين بيئات التطوير والاختبار والإنتاج
• النشر المضبوط للنسخ والتغييرات الجديدة، مع إمكانية الرجوع إلى النسخة المستقرة السابقة في حال حدوث مشكلات حرجة
• كشف الثغرات الأمنية وتقييمها ومعالجتها في الوقت المناسب، بما في ذلك عن طريق تثبيت التحديثات الأمنية اللازمة
• كشف الوضع العرضي لكلمات المرور والمفاتيح والرموز وغيرها من البيانات السرية في الشفرة البرمجية أو الإعدادات، وتقييد الوصول إلى بيئة الإنتاج
• مراجعة أمنية إضافية للوظائف المتعلقة بالتصرفات ذات الأثر القانوني والمدفوعات والتوقيع الإلكتروني واستخدام الذكاء الاصطناعي.

6. المراقبة وتسجيل الأحداث

6.1. يسجّل المشغّل الأحداث اللازمة لضمان الأمن وضبط الوصول وتأكيد التصرفات ذات الأثر القانوني والتحقيق في الحوادث. وقد تشمل هذه الأحداث، على وجه الخصوص، عمليات تسجيل الدخول إلى الأنظمة، والوصول إلى البيانات، والتغييرات في الحقوق والإعدادات، وتنفيذ العمليات المهمة.

6.2. تُحمى سجلات الأحداث من الوصول أو التعديل أو الحذف غير المصرح به، وتتضمن أختامًا زمنية متسقة، ويُحتفظ بها للمدد المقررة في قواعد الاحتفاظ بالبيانات ذات الصلة.

6.3. تُستخدم المراقبة لضبط توافر المنصة واستقرارها، ولكشف الاحتيال والنشاط الشاذ أو المشبوه وإساءة الاستخدام ومحاولات الوصول غير المصرح به وغيرها من حوادث أمن المعلومات.

7. إدارة مقدِّمي الخدمات من الغير

7.1. قبل إشراك مقدِّم خدمة من الغير يكون له وصول إلى وظائف المنصة أو أنظمتها أو بياناتها الحرجة، يقيّم المشغّل المخاطر المرتبطة بذلك المقدِّم، ولا سيما مستوى أمن المعلومات، وشروط المعالجة وموقع تخزين البيانات، واستخدام المعالجين من الباطن، واستمرارية الخدمة، وترتيبات إنهاء التعاون، وتوزيع المسؤولية التعاقدية.

7.2. يقتصر وصول مقدِّم الخدمة من الغير إلى أنظمة المنصة وبياناتها على الحد الأدنى اللازم. وتُحدَّد ترتيبات الاستجابة للحوادث، وعمليات التدقيق، وإعادة البيانات أو حذفها، وإنهاء الوصول في الاتفاق المبرم مع المقدِّم المعني.

8. استمرارية الأعمال والتعافي

8.1. يطبّق المشغّل تدابير للحفاظ على استمرارية وظائف المنصة الحرجة، ولا سيما النسخ الاحتياطي للبيانات، وإجراءات التعافي بعد الأعطال، ومراقبة توافر الخدمة، وترتيبات التواصل أثناء الحوادث، وخطط التعافي للأنظمة الحرجة.

8.2. لا تنطبق أهداف وقت التعافي (RTO) وأهداف نقطة التعافي (RPO) ومستويات الخدمة (SLA) إلا حيثما تكون هذه المؤشرات معتمدة رسميًا ومنصوصًا عليها صراحةً في شروط الخدمة المعنية.

9. الحوادث

9.1. تشمل عملية الاستجابة للحوادث الكشف، والتقييم الأولي وتحديد الأولويات، والاحتواء، وإزالة الأسباب والعواقب، واستعادة الأنظمة، والحفاظ على الأدلة اللازمة، وإبلاغ الأطراف المعنية، وتحليل الأسباب الجذرية، وتنفيذ التدابير التصحيحية لمنع التكرار.

9.2. يُخطَر المستخدمون حيثما يقتضي ذلك القانون أو العقد أو المخاطر المعنية، وفي حدود المعلومات الموثوقة المتاحة.

9.3. تُنسَّق الاتصالات العامة بحيث لا تضر بالتحقيق أو بالأمن.

10. التزامات المستخدم

10.1. يجب على المستخدم:

• استخدام كلمات مرور فريدة وقوية بما يكفي، والمصادقة متعددة العوامل (MFA) حيثما كانت متاحة
• عدم مشاركة بيانات اعتماده أو رموز التأكيد لمرة واحدة (OTP) أو مفاتيح التوقيع الإلكتروني أو غيرها من وسائل المصادقة مع الغير
• الإنهاء أو التقييد الفوري لوصول الموظفين أو الممثلين أو غيرهم من الأشخاص المفوَّضين الذين لم يعودوا بحاجة إلى هذا الوصول، والمراجعة الدورية للحقوق الممنوحة لهم
• التحقق من بيانات الدفع والبيانات المصرفية وغيرها من البيانات الجوهرية، ومن محتوى التصرفات ذات المخاطر الأعلى، قبل تأكيدها
• عدم تحميل البرمجيات الخبيثة أو نشرها أو استخدامها، وعدم التحايل على آليات الأمن المقررة في المنصة
• إخطار المشغّل دون تأخير لا مبرر له بالاشتباه في التصيد الاحتيالي، أو اختراق الحساب أو وسائل الوصول، أو الدفع الخاطئ أو غير المصرح به، أو النشاط المشبوه، أو الثغرة الأمنية المكتشفة، أو أي حادث آخر من حوادث أمن المعلومات
• اتخاذ التدابير المعقولة لحماية أجهزته وشبكاته وحساباته ونسخ المستندات المستخدمة للعمل مع المنصة.

11. الإبلاغ عن الثغرات الأمنية

11.1. تُرسل البلاغات إلى [email protected] مع كتابة «Security» في سطر الموضوع. ولا يجوز لك الوصول إلى بيانات الآخرين، أو الإضرار بالتوافر، أو ممارسة الهندسة الاجتماعية، أو المطالبة بمكافأة كشرط لعدم الإفصاح.

11.2. يجوز للمشغّل نشر قواعد منفصلة للإفصاح المنسَّق تحدد النطاق المسموح به للبحث وترتيبات التواصل. ولا يحول عدم وجود برنامج لمكافآت اكتشاف الثغرات (bug bounty) دون الإبلاغ بحسن نية عن ثغرة أمنية، لكنه لا ينشئ التزامًا على المشغّل بدفع مكافأة.

12. الامتثال والمراجعة

12.1. تُراجَع تدابير أمن المعلومات وآلياته دوريًا، وتُحدَّث عند الاقتضاء في ضوء متطلبات القانون الواجب التطبيق، والمخاطر الراهنة، والتغييرات في وظائف المنصة، ونتائج الحوادث والمراجعات، وتطور المعايير الدولية والقطاعية ذات الصلة.

12.2. تُستخدم الإشارة في هذه السياسة إلى المعايير الدولية أو الوطنية أو القطاعية حصرًا بوصفها مرجعًا للممارسات الجيدة، ولا تعني وجود شهادة اعتماد أو اعتماد أو مطابقة رسمية لهذا المعيار، ما لم يؤكد المشغّل ذلك صراحةً.

سجل الإصدارات