1. الغرض
تحديد وتوثيق أصول التقنية الحيوية التي تدعم العمليات التجارية الأساسية، وربطها بالضوابط المطلوبة والمسؤوليات، مما يمكّن من إدارة المخاطر المُركزة على الأصول الأكثر أهمية للمؤسسة.
2. النطاق
يغطي هذا السجل جميع أصول التقنية المُصنفة على أنها حيوية بناءً على تحليل تأثير الأعمال ومنهجية تقييم المخاطر في [ORGANIZATION].
3. محتوى سجل
3.1 معايير تحديد الأصول
يُصنف الأصل التقني على أنه حيوي إذا كان تعطله أو اختراقه سيؤدي إلى: تأثير مادي على الإيرادات أو العمليات، أو اختراق لبيانات العملاء أو البيانات المنظمة، أو عدم الامتثال التنظيمي، أو ضرر كبير بالسمعة.
يستند التصنيف إلى نتائج تحليل تأثير الأعمال وتقييم المخاطر ويتم التحقق منه من قبل مالكي الأعمال والتقنية.
يتم مراجعة معايير التصنيف سنوياً أو عند حدوث تغييرات تجارية جوهرية.
3.2 هيكل السجل
يوثق السجل لكل أصل حيوي: اسم الأصل، والوصف، ومالك الأعمال، ومالك التقنية، والتصنيف، والعمليات التجارية المدعومة، وRTO/RPO، والضوابط المطبقة.
[CUSTOMIZE: Insert register template or reference to GRC tool]
3.3 ربط الضوابط
يتم ربط كل أصل حيوي بالضوابط المطلوبة بناءً على: تصنيف الأصل، والمتطلبات التنظيمية، وسياسات المؤسسة، ونتائج تقييم المخاطر.
يتم تتبع حالة تنفيذ الضوابط: مُنفذ بالكامل، أو مُنفذ جزئياً مع خطة، أو غير مُنفذ مع قبول المخاطر.
يتم اختبار فعالية الضوابط على الأقل [CUSTOMIZE: annually] لجميع الأصول الحيوية.
3.4 عملية المراجعة والتحديث
يتم مراجعة السجل [CUSTOMIZE: quarterly] من قبل [CUSTOMIZE: Cyber Risk team] مع مدخلات من مالكي التقنية والأعمال.
تتم إضافة الأصول الجديدة أو التغييرات خلال [CUSTOMIZE: 30 days] من التحديد.
يتم تتبع فجوات الضوابط في خطة المعالجة المؤسسية مع الأولوية للأصول الحيوية.
3.5 التكامل مع العمليات الأخرى
يُغذي السجل عمليات تقييم المخاطر وتخطيط اختبار الاختراق وتخطيط الاستجابة للحوادث وتخطيط استمرارية الأعمال.
تُعطى الأصول الحيوية الأولوية في عمليات مسح الثغرات وجداول التصحيح والمراقبة.
يتم تقديم ملخصات السجل إلى [CUSTOMIZE: Executive Committee / Board Risk Committee] كجزء من تقارير المخاطر ربع السنوية.
3.6 حوكمة وملكية السجل
يملك [CUSTOMIZE: CISO / Head of IT] السجل ويضمن دقته واكتماله.
يتم تقييم جودة السجل كجزء من برنامج مراجعة الخط الثاني.
4. الامتثال
الامتثال لهذا سجل إلزامي لجميع الموظفين والوظائف ضمن نطاقه. سيتم مراقبة الامتثال من خلال عمليات التدقيق الدورية ومراجعة الإدارة وإشراف خط الدفاع الثاني.
يجب توثيق الاستثناءات من هذا سجل مع مبرر عمل، والحصول على موافقة [CUSTOMIZE: CISO/لجنة المخاطر التنفيذية]، ومراجعتها سنوياً على الأقل.
5. المراجعة والتنقيح
يُراجع هذا سجل سنوياً على الأقل من قبل [CUSTOMIZE: CISO/مالك المستند] ويُحدث حسب الحاجة لتعكس التغييرات في مشهد التهديدات أو المتطلبات التنظيمية أو الهيكل التنظيمي أو مستوى تحمل المخاطر.
يجب توثيق جميع المراجعات برقم الإصدار والتاريخ والمؤلف ووصف التغييرات.
اعتماد المستند
اعتمد من قبل
المسمى الوظيفي
التاريخ
التحكم في المستند