1. الغرض
وضع متطلبات لتأمين أنظمة البريد الإلكتروني الخاصة بـ [ORGANIZATION] ضد التصيد الاحتيالي والبرمجيات الخبيثة وفقدان البيانات والتهديدات الأخرى المنقولة عبر البريد الإلكتروني.
2. النطاق
تنطبق هذه السياسة على جميع أنظمة وبوابات وخدمات البريد الإلكتروني المستخدمة من قبل [ORGANIZATION]، بما في ذلك البريد الإلكتروني المستضاف سحابياً (Microsoft 365، Google Workspace) والبنية التحتية للبريد الإلكتروني المحلية.
3. السياسة
3.1 مصادقة البريد الإلكتروني
يجب على [ORGANIZATION] تطبيق معايير مصادقة البريد الإلكتروني على جميع نطاقات البريد الإلكتروني: SPF (إطار سياسة المرسل) مع سياسة -all (الرفض القاطع)، وDKIM (البريد المحدد بمفاتيح النطاق) لجميع الرسائل الصادرة، وDMARC (مصادقة الرسائل المستندة إلى النطاق والإبلاغ والتوافق) مع سياسة الحجر أو الرفض.
يجب مراقبة تقارير DMARC المجمّعة والجنائية على الأقل [CUSTOMIZE: weekly/monthly] لتحديد الاستخدام غير المصرح به لنطاقات البريد الإلكتروني الخاصة بـ [ORGANIZATION].
يجب تضمين الخدمات الخارجية المصرح لها بإرسال البريد الإلكتروني نيابة عن [ORGANIZATION] في سجلات SPF وتكوينها لتوقيع DKIM.
3.2 تصفية وحماية البريد الإلكتروني
يجب تصفية جميع البريد الإلكتروني الوارد من خلال بوابة أمان البريد الإلكتروني الخاصة بـ [ORGANIZATION]، والتي يجب أن توفر: تصفية البريد العشوائي وفحص البرمجيات الخبيثة (بما في ذلك تفجير المرفقات في بيئة معزولة) وإعادة كتابة عناوين URL والحماية عند النقر واكتشاف انتحال الهوية وتصفية المرفقات.
يجب حظر أنواع الملفات التنفيذية (.exe و.bat و.cmd و.ps1 و.vbs و.js و.msi وما شابهها) كمرفقات بريد إلكتروني.
يجب فحص البريد الإلكتروني الذي يحتوي على أنماط بيانات حساسة (أرقام الضمان الاجتماعي وأرقام بطاقات الائتمان وما إلى ذلك) بضوابط DLP قبل التسليم أو الإرسال.
3.3 متطلبات استخدام البريد الإلكتروني
يُحظر على المستخدمين إعادة التوجيه التلقائي لبريد [ORGANIZATION] الإلكتروني إلى عناوين بريد إلكتروني خارجية دون موافقة من [CUSTOMIZE: management/IT Security].
يجب على المستخدمين الإبلاغ عن رسائل التصيد الاحتيالي المشتبه بها إلى [CUSTOMIZE: security team/phish reporting button] فوراً عند اكتشافها.
يجب استخدام تشفير البريد الإلكتروني عند إرسال بيانات سرية أو مقيدة خارجياً.
4. الامتثال
الامتثال لهذه السياسة إلزامي لجميع الموظفين ضمن نطاقها. سيتم مراقبة الامتثال من خلال عمليات التدقيق الدورية والضوابط الآلية ومراجعة الإدارة.
يجب توثيق الاستثناءات من هذه السياسة مع مبرر عمل، والحصول على موافقة [CUSTOMIZE: CISO/فريق الأمن]، ومراجعتها سنوياً على الأقل.
5. الإنفاذ
قد تؤدي مخالفات هذه السياسة إلى إجراء تأديبي يصل إلى إنهاء التوظيف أو العقد، وقد تؤدي إلى عقوبات مدنية أو جنائية في حال مخالفة القانون المعمول به.
تحتفظ [ORGANIZATION] بالحق في تدقيق الامتثال لهذه السياسة في أي وقت، بإشعار أو بدونه.
6. المراجعة والتنقيح
تُراجع هذه السياسة سنوياً على الأقل من قبل [CUSTOMIZE: CISO/مالك السياسة] وتُحدث حسب الحاجة لتعكس التغييرات في مشهد التهديدات أو المتطلبات التنظيمية أو الهيكل التنظيمي.
يجب توثيق جميع المراجعات برقم الإصدار والتاريخ والمؤلف ووصف التغييرات.
اعتماد السياسة
اعتمد من قبل
المسمى الوظيفي
التاريخ
التحكم في المستند