1. الغرض
وضع متطلبات للاتصالات الداخلية والخارجية أثناء وبعد حوادث الأمن السيبراني لضمان رسائل دقيقة وفي الوقت المناسب ومنسقة.
2. النطاق
تنطبق هذه السياسة على جميع الاتصالات المتعلقة بحوادث الأمن السيبراني في [ORGANIZATION]، بما في ذلك الإخطارات الداخلية والإفصاحات الخارجية والإخطارات التنظيمية واتصالات وسائل الإعلام.
3. السياسة
3.1 الاتصالات الداخلية
يجب أن تُنسق اتصالات الحوادث الداخلية من قبل قائد الحادث وقائد الاتصالات كما هو محدد في سياسة الاستجابة للحوادث.
يجب أن يتبع إخطار أصحاب المصلحة الداخليين مسار التصعيد التالي: حوادث P1 (الرئيس التنفيذي والفريق التنفيذي ومجلس الإدارة حسب الاقتضاء، جميعهم خلال [CUSTOMIZE: 1 hour] من التأكيد)، حوادث P2 (CISO وCIO ورؤساء الأقسام المتأثرة خلال [CUSTOMIZE: 4 hours])، حوادث P3/P4 (إدارة الأمن ضمن سير العمل القياسي).
يجب أن تستخدم جميع الاتصالات الداخلية قوالب معتمدة مسبقاً حيثما كانت متاحة ويجب أن تكون واقعية دون تخمين.
يجب أن تستخدم اتصالات الحوادث قنوات آمنة (بريد إلكتروني مشفر ورسائل آمنة) ويجب ألا تتضمن مؤشرات اختراق تقنية قد تساعد المهاجم.
3.2 الاتصالات الخارجية
يجب اعتماد جميع الاتصالات الخارجية المتعلقة بالحوادث الأمنية من قبل [CUSTOMIZE: Legal/CISO/CEO] قبل النشر.
لا يجوز إلا للمتحدثين الرسميين المعينين التواصل مع وسائل الإعلام بشأن الحوادث الأمنية. يجب توجيه جميع استفسارات وسائل الإعلام إلى [CUSTOMIZE: Communications/PR team].
يجب أن تكون إخطارات العملاء واضحة وقابلة للتنفيذ وتتضمن: وصف الحادث والبيانات أو الخدمات المتأثرة والخطوات التي تتخذها [ORGANIZATION] والخطوات التي يجب أن يتخذها العميل ومعلومات الاتصال للاستفسارات.
يجب تنسيق إخطار جهات إنفاذ القانون من قبل [CUSTOMIZE: Legal/CISO] عندما ينطوي الحادث على نشاط إجرامي.
3.3 الإخطارات التنظيمية
يجب على [ORGANIZATION] الحفاظ على سجل بجميع متطلبات الإخطار بالخرق المعمول بها حسب الاختصاص القضائي واللائحة.
يجب تقديم الإخطارات التنظيمية ضمن الأطر الزمنية المطلوبة ويجب أن تتضمن جميع المعلومات المطلوبة بموجب اللائحة المعمول بها.
يجب الاحتفاظ بنسخ من جميع الإخطارات التنظيمية من قبل [CUSTOMIZE: Legal Department] لمدة لا تقل عن [CUSTOMIZE: 7 years].
4. الامتثال
الامتثال لهذه السياسة إلزامي لجميع الموظفين ضمن نطاقها. سيتم مراقبة الامتثال من خلال عمليات التدقيق الدورية والضوابط الآلية ومراجعة الإدارة.
يجب توثيق الاستثناءات من هذه السياسة مع مبرر عمل، والحصول على موافقة [CUSTOMIZE: CISO/فريق الأمن]، ومراجعتها سنوياً على الأقل.
5. الإنفاذ
قد تؤدي مخالفات هذه السياسة إلى إجراء تأديبي يصل إلى إنهاء التوظيف أو العقد، وقد تؤدي إلى عقوبات مدنية أو جنائية في حال مخالفة القانون المعمول به.
تحتفظ [ORGANIZATION] بالحق في تدقيق الامتثال لهذه السياسة في أي وقت، بإشعار أو بدونه.
6. المراجعة والتنقيح
تُراجع هذه السياسة سنوياً على الأقل من قبل [CUSTOMIZE: CISO/مالك السياسة] وتُحدث حسب الحاجة لتعكس التغييرات في مشهد التهديدات أو المتطلبات التنظيمية أو الهيكل التنظيمي.
يجب توثيق جميع المراجعات برقم الإصدار والتاريخ والمؤلف ووصف التغييرات.
اعتماد السياسة
اعتمد من قبل
المسمى الوظيفي
التاريخ
التحكم في المستند