سياسة الوصول عن بُعد
1. الغرض
وضع متطلبات للوصول الآمن عن بُعد إلى أنظمة المعلومات وموارد الشبكة الخاصة بـ [ORGANIZATION] للحماية من الوصول غير المصرح به مع تمكين إنتاجية الأعمال.
2. النطاق
تنطبق هذه السياسة على جميع اتصالات الوصول عن بُعد إلى شبكة وأنظمة المعلومات الخاصة بـ [ORGANIZATION] من قبل الموظفين والمتعاقدين والأطراف الثالثة المصرح لهم.
3. السياسة
3.1 طرق الوصول عن بُعد المعتمدة
يجب أن يتم الوصول عن بُعد إلى شبكة [ORGANIZATION] فقط من خلال الطرق المعتمدة: عميل VPN المقدم من [ORGANIZATION] مع MFA أو حل الوصول إلى الشبكة القائم على مبدأ عدم الثقة (ZTNA) المعتمد أو البنية التحتية لسطح المكتب الافتراضي (VDI) المعتمدة أو بوابات التطبيقات السحابية المعتمدة مع MFA.
يُحظر الاتصال المباشر (RDP وSSH واتصالات قواعد البيانات) بالأنظمة الداخلية من الإنترنت بدون VPN أو بوابة آمنة معتمدة.
يكون النفق المقسم على اتصالات VPN [CUSTOMIZE: prohibited / allowed only with DNS and endpoint security controls active].
3.2 متطلبات الأجهزة
يجب أن تستوفي الأجهزة المستخدمة للوصول عن بُعد الحد الأدنى من متطلبات الأمان: نظام تشغيل حالي ومدعوم مع تحديثات تلقائية مفعلة وحماية نقطة نهاية نشطة (مكافحة فيروسات/EDR) وجدار ناري مستند إلى المضيف مفعل وتشفير القرص الكامل مفعل وقفل الشاشة مُكوّن بمهلة [CUSTOMIZE: 5/10] دقائق.
يجب تسجيل الأجهزة الشخصية (BYOD) المستخدمة للوصول عن بُعد في حل إدارة الأجهزة الخاص بـ [ORGANIZATION] ويجب أن تستوفي نفس متطلبات الأمان كالأجهزة المملوكة للمؤسسة.
لا يجوز استخدام أجهزة الكمبيوتر العامة أو المشتركة للوصول إلى الأنظمة الداخلية لـ [ORGANIZATION].
3.3 إدارة الجلسات
يجب أن تكون لجلسات الوصول عن بُعد مهلة عدم نشاط مقدارها [CUSTOMIZE: 30/60] دقيقة ومدة جلسة قصوى مقدارها [CUSTOMIZE: 10/12/24] ساعة.
يجب على المستخدمين قفل محطة العمل عند الابتعاد أثناء جلسة عن بُعد.
يجب تسجيل ومراقبة نشاط الوصول عن بُعد. يجب أن تُطلق أنماط الوصول عن بُعد غير الطبيعية تنبيهات.
3.4 الوصول عن بُعد للأطراف الثالثة
يجب أن يكون الوصول عن بُعد للأطراف الثالثة مصرحاً مسبقاً ومحدود المدة وموثقاً مع: المبرر التجاري والأنظمة المصرح بها ومدة الوصول وجهة اتصال مسؤولة في [ORGANIZATION].
يجب مراقبة الوصول عن بُعد للأطراف الثالثة في الوقت الفعلي أو تسجيله حيثما كان ذلك ممكناً تقنياً.
يُحظر اتصالات الوصول عن بُعد الدائمة (المستمرة) للأطراف الثالثة ما لم تتم الموافقة عليها تحديداً من [CUSTOMIZE: CISO] مع توثيق الضوابط التعويضية.
4. الامتثال
الامتثال لهذه السياسة إلزامي لجميع الموظفين ضمن نطاقها. سيتم مراقبة الامتثال من خلال عمليات التدقيق الدورية والضوابط الآلية ومراجعة الإدارة.
يجب توثيق الاستثناءات من هذه السياسة مع مبرر عمل، والحصول على موافقة [CUSTOMIZE: CISO/فريق الأمن]، ومراجعتها سنوياً على الأقل.
5. الإنفاذ
قد تؤدي مخالفات هذه السياسة إلى إجراء تأديبي يصل إلى إنهاء التوظيف أو العقد، وقد تؤدي إلى عقوبات مدنية أو جنائية في حال مخالفة القانون المعمول به.
تحتفظ [ORGANIZATION] بالحق في تدقيق الامتثال لهذه السياسة في أي وقت، بإشعار أو بدونه.
6. المراجعة والتنقيح
تُراجع هذه السياسة سنوياً على الأقل من قبل [CUSTOMIZE: CISO/مالك السياسة] وتُحدث حسب الحاجة لتعكس التغييرات في مشهد التهديدات أو المتطلبات التنظيمية أو الهيكل التنظيمي.
يجب توثيق جميع المراجعات برقم الإصدار والتاريخ والمؤلف ووصف التغييرات.
اعتماد السياسة
اعتمد من قبل
المسمى الوظيفي
التاريخ
التحكم في المستند