1. الغرض
تحديد متطلبات استخدام ضوابط التشفير لحماية سرية وسلامة أصول بيانات [ORGANIZATION].
2. النطاق
تنطبق هذه السياسة على جميع البيانات المصنفة كسرية أو مقيدة، وجميع البيانات المنقولة عبر شبكات غير موثوقة، وجميع أجهزة التخزين المحمولة ونقاط النهاية المحمولة المستخدمة من قبل [ORGANIZATION].
3. السياسة
3.1 معايير التشفير
يجب أن يستخدم كل التشفير خوارزميات وأطوال مفاتيح متوافقة مع المعايير الصناعية. تنطبق الحدود الدنيا التالية:
التشفير المتماثل: AES-256 للبيانات المخزنة والمنقولة.
التشفير غير المتماثل: RSA-2048 أو ECDSA P-256 كحد أدنى لتبادل المفاتيح والتوقيعات الرقمية.
التجزئة: SHA-256 أو أقوى للتحقق من السلامة.
TLS 1.2 أو أعلى لجميع الاتصالات الشبكية المشفرة. يُحظر استخدام TLS 1.0 و1.1.
يُحظر استخدام الخوارزميات المهملة أو المعروفة بضعفها (DES، 3DES، RC4، MD5، SHA-1 للتوقيعات) في التطبيقات الجديدة ويجب إزالتها تدريجياً من الأنظمة القائمة خلال [CUSTOMIZE: 6/12] شهراً.
3.2 التشفير أثناء التخزين
يجب تشفير جميع البيانات السرية والمقيدة المخزنة على الخوادم وقواعد البيانات وأنظمة التخزين أثناء التخزين باستخدام AES-256 أو ما يعادله.
يجب تفعيل تشفير القرص الكامل على جميع أجهزة الكمبيوتر المحمولة والأجهزة المحمولة ووسائط التخزين القابلة للإزالة المستخدمة لأعمال [ORGANIZATION].
يجب تفعيل التشفير على مستوى قاعدة البيانات (TDE أو ما يعادله) لقواعد البيانات التي تحتوي على بيانات سرية أو مقيدة.
يجب تشفير وسائط النسخ الاحتياطي التي تحتوي على بيانات سرية أو مقيدة.
3.3 التشفير أثناء النقل
يجب تشفير جميع البيانات المنقولة عبر شبكات غير موثوقة (بما في ذلك الإنترنت) باستخدام TLS 1.2 أو أعلى.
يجب تشفير النقل الداخلي للبيانات السرية والمقيدة، حتى داخل الشبكة الداخلية لـ [ORGANIZATION].
يجب تشفير البريد الإلكتروني الذي يحتوي على بيانات سرية أو مقيدة باستخدام S/MIME أو PGP أو بوابة تشفير بريد إلكتروني معتمدة.
يجب أن تستخدم عمليات نقل الملفات التي تحتوي على بيانات حساسة SFTP أو SCP أو HTTPS. يُحظر استخدام FTP للبيانات السرية أو المقيدة.
3.4 إدارة المفاتيح
يجب توليد مفاتيح التشفير وتخزينها وتوزيعها وإتلافها باستخدام إجراءات موثقة معتمدة من [CUSTOMIZE: CISO/Security Team].
يجب تخزين المفاتيح الخاصة والمفاتيح المتماثلة في وحدات أمان الأجهزة (HSMs) أو خزائن المفاتيح الآمنة أو ما يعادلها من وسائل التخزين المقاومة للعبث.
يجب تدوير المفاتيح على الأقل [CUSTOMIZE: annually/bi-annually] أو فوراً عند الاشتباه في اختراقها.
يجب أن يتبع الوصول إلى المفاتيح مبدأ الحد الأدنى من الصلاحيات مع فصل المهام (لا يجوز لفرد واحد الوصول إلى كل من البيانات المشفرة ومفاتيح فك التشفير لأعلى مستويات التصنيف).
يجب توثيق عملية استرداد المفاتيح واختبارها [CUSTOMIZE: annually/bi-annually] لضمان استمرارية الأعمال.
4. الامتثال
الامتثال لهذه السياسة إلزامي لجميع الموظفين ضمن نطاقها. سيتم مراقبة الامتثال من خلال عمليات التدقيق الدورية والضوابط الآلية ومراجعة الإدارة.
يجب توثيق الاستثناءات من هذه السياسة مع مبرر عمل، والحصول على موافقة [CUSTOMIZE: CISO/فريق الأمن]، ومراجعتها سنوياً على الأقل.
5. الإنفاذ
قد تؤدي مخالفات هذه السياسة إلى إجراء تأديبي يصل إلى إنهاء التوظيف أو العقد، وقد تؤدي إلى عقوبات مدنية أو جنائية في حال مخالفة القانون المعمول به.
تحتفظ [ORGANIZATION] بالحق في تدقيق الامتثال لهذه السياسة في أي وقت، بإشعار أو بدونه.
6. المراجعة والتنقيح
تُراجع هذه السياسة سنوياً على الأقل من قبل [CUSTOMIZE: CISO/مالك السياسة] وتُحدث حسب الحاجة لتعكس التغييرات في مشهد التهديدات أو المتطلبات التنظيمية أو الهيكل التنظيمي.
يجب توثيق جميع المراجعات برقم الإصدار والتاريخ والمؤلف ووصف التغييرات.
اعتماد السياسة
اعتمد من قبل
المسمى الوظيفي
التاريخ
التحكم في المستند