السياسة العامة للأمن السيبراني

1

البنود العامة

يجب على إدارة الأمن السيبراني تحديد وتطوير سياسات الأمن السيبراني، المعايير التقنية، الأطر التنظيمية، الإجراءات والمنهجيات، وذلك بناءً على نتائج تقييم المخاطر، وبشكل يضمن نشر متطلبات الأمن السيبراني والتزام الهيئة بها، وذلك وفقًا لمتطلبات الأعمال التنظيمية للهيئة، والمتطلبات التشريعية والتنظيمية ذات العلاقة. كما يجب اعتماد السياسة من قبل المحافظ ونشرها للعاملين المعنيين في الهيئة والأطراف ذات العلاقة ، والمتمثلة في الآتي:

1.1

استراتيجية الأمن السيبراني (Cybersecurity Strategy) لضمان خطط العمل للأمن السيبراني والأهــداف والمبادرات والبرامج والمشاريع وفعاليتها داخل الهيئة لتحقيق الأهداف الاستراتيجية والمتطلبات التشريعية والتنظيمية ذات العلاقة.

1.2

سياسات وإجراءات الأمن السيبراني (Cybersecurity Policies and Procedures) لضمان توثيق ونشر متطلبات الأمن السيبراني والتزام الهيئة بها، وذلك وفقًا لمتطلبات الأعمال التنظيمية للجهة، والمتطلبات التشريعية والتنظيمية ذات العلاقة.

1.3

أدوار ومسؤوليات الأمن السيبراني (Cybersecurity Roles and Responsibilities) لضمان تحديد أدوار ومسؤوليات واضحة لجميع الأطراف المشاركة في تطبيق ضوابط الأمن السيبراني في الهيئة.

1.4

منهجية إدارة مخاطر الأمن السيبراني (Cybersecurity Risk Management) لضمان إدارة المخاطر السيبرانية على نحو ممنهج يهدف إلى حماية الأصول المعلوماتية والتقنية للهيئة ، وذلك وفقًا للسياسات والإجراءات التنظيمية للهيئة والمتطلبات التشريعية والتنظيمية ذات العلاقة.

1.5

برنامج التوعية والتدريب بالأمن السيبراني (Cybersecurity Awareness and Training Program) للتأكد من أن العاملين بالهيئة لديهم الوعي الأمني اللازم، وعلى دراية بمسؤولياتهم في مجال الأمن السيبراني، مع التأكد من تزويد العاملين بالمهارات والمؤهلات والدورات التدريبية المتخصصة في مجال العاملين والمطلوبة في مجال الأمن السيبراني؛ لحماية الأصول المعلوماتية والتقنية للهيئة السعودية لتنظيم الكهرباء والقيام بمسؤولياتهم تجاه الأمن السيبراني.

1.6

يجب فصل أي تضارب بين المهام والمسؤوليات لتقليل فرص التعديل غير المصرح به أو غير المقصود أو إساءة استخدام أصول الهيئة.

1.7

يجب الفصل بين الجهة التي تطلب المبادرات والجهة التي تفوّض بها.

1.8

في حال صعوبة إجراء الفصل بين المهام، يجب النظر في استخدام ضوابط أخرى مثل مراقبة الأنشطة ومسارات المراجعة والإشراف الإداري.

2

متطلبات أخرى

2.1

يحق لإدارة الأمن السيبراني الاطلاع على المعلومات، وجمع الأدلة اللازمة؛ للتأكد من الالتزام بالمتطلبات التشريعية والتنظيمية ذات العلاقة.

2.2

يجب مراجعة السياسة العامة للأمن السيبراني سنوياً، وتوثيق التغييرات واعتمادها أو في حال حدوث تغييرات في المتطلبات التشريعية أو التنظيمية أو المعايير ذات العلاقة.