أولاً: تمهيد
أ. المقدمة
تعد سياسات وضوابط إدارة واستحداث الأنظمة الالكترونية وثيقة أساسية توضح أطر العمل، وتحدد الأدوار والمسؤوليات، وتبين الممارسات الصحيحة المطلوب مراعاتها والعمل بها من قبل مسؤولي الأنظمة الالكترونية التابعة لجامعة بغداد وعلى اختلاف صلاحياتهم من أجل تحقيق أمن وسلامة الأنظمة الالكترونية.
ملاحظة: تتوافق سياسة وضوابط جامعة بغداد مع وثيقة سياسات ومعايير أمن المعلومات والبيانات والصادرة عن الامانة العامة لمجلس الوزراء، مع مراعاة تحديث السياسة بشكل دوري كلما اقتضت الحاجة.
ب. الهدف
تهدف هذه السياسة الى فرض الإجراءات والضوابط لحماية الأنظمة الالكترونية وخوادمها والتقليل من خطر الوصول غير المصرح اليها وآليات التعامل معها.
ت. المجال
جميع الأنظمة وخوادمها والتي تقدم خدمة معينة الى جامعة بغداد ومسؤوليها والمصرح لهم بالدخول للنظام بمختلف صلاحياتهم
ثانياً: التعاريف
| مدير النظام | مختص في مجال تقنية المعلومات تكون مهامه إدارة ومراقبة النظام وخادمه وتطبيق السياسات والضوابط والتعليمات |
| مبرمج النظام | مختص في مجال البرمجة الالكترونية، مسؤول عن برمجة النظام وتحديثه |
| فنيي النظام | مجموعة من الموظفين يتولون المهام الإدارية المتعلقة بعمل النظام |
| الخوادم | جهاز حاسوب ذو مكونات عالية القدرة والكفاءة، مهمته إدارة الموارد المعلوماتية على الشبكة |
| سجلات جرد الاصول | السجلات التي يدون فيها ممتلكات الجامعة كافة |
| نظام التشغيل | النظام الذي يدير كل ما يتعلق بذاكرة الحاسوب والعمليات التي تتم به، والبرمجيات والمكونات المادية |
| اصدار نظام التشغيل | نسخة نظام التشغيل |
| النطاق | مجموعة مرنة من المكونات البرمجية التي تساعد المطورين في تسريع مرحلة تطوير البرامج وصولاً إلى مرحلة نشر الإنتاج |
| الربط البرمجي (API-Application Programming Interface) | ربط الأنظمة والخدمات التي تقدمها مع بعضها |
| سجلات الدخول (LOGS) | كافة المعلومات التي تخص تسجيل نشاط المستخدم ضمن الأنظمة والخوادم |
| مدير أمن المعلومات | موظف مسؤول عن أمن المعلومات في جامعة بغداد
|
| الجدار الناري (FIREWALL) | أجهزة امن وحماية بنوعيها البرمجي والمادي، تحدد وتقلل من القدرة على اختراق الأنظمة او الوصول اليها |
| الصلاحيات | هي الاذونات الممنوحة للمستخدمين للدخول واستخدام الموارد المعلوماتية أو الأنظمة وفقاً للحقوق والتراخيص الممنوحة للمستخدم |
| المستخدم | الموظف العامل في جامعة بغداد بمختلف الاصناف إضافة الى طلبة الدراسات الأولية والعليا |
| ملف المستخدم (USER PROFILE) | مجموعة من الإعدادات والمعلومات المرتبطة بالمستخدم، تحتوي على معلومات بالغة الأهمية تُستخدم لتحديد هوية الفرد، مثل اسمه وعمره وصورته الشخصية وخصائصه الفردية وغيرها من المعلومات |
| الوصول عن بعد (REMOTE ACCESS) | الوصول إلى جهاز أو شبكة من أي مكان |
| قنوات الوصول (ACCESS POINTS) | هو جهاز شبكات يستخدم لتوسيع التغطية لشبكة موجودة ولزيادة عدد المستخدمين الذين يمكنهم الاتصال بها |
| مشفر | تحويل البيانات من شكل مقروء صريح الى شكل غير صريح ومبهم لضمان السرية |
| النسخ الاحتياطي (BACKUP) | عملية نسخ المعلومات على وسائط تخزين من اجل ارجاعها عند التلف أو الضياع أو الحاجة |
| المزود الخارجي | جهة ليست ضمن هيكل جامعة بغداد توفر خدمة الكترونية معينة للجامعة |
| مبدأ الفصل بين المهام | مبدأ يتطلب وجود أكثر من شخص واحد لإكمال مهمة ما. وهو عبارة عن عنصر تحكم إداري يستخدم لمنع الاحتيال والتخريب والسرقة وإساءة استخدام المعلومات وغيرها من الاختراقات الأمنية |
| خاصية التحقق بخطوتين (2FA) | طريقة أمان لإدارة الهوية والوصول، حيث تتطلب شكلين من أشكال التعريف للوصول إلى الموارد والبيانات |
| لغات البرمجة | مجموعة من التعليمات والأوامر التي تكتب وفق قواعد محددة لهذه اللغات لكي يفهم جهاز الحاسوب ما هو الطلوب ويقوم بتنفيذه |
ثالثاً: الأدوار والمسؤوليات والواجبات العامة
- الجامعة والتشكيل:
- تطبيق سياسة وضوابط إدارة الأنظمة الالكترونية لجامعة بغداد والتي تعتبر الحدود الدنيا للممارسات المتعلقة بإدارة الأنظمة داخل الجامعة
- وضع التعليمات والاجراءات المناسبة لتطبيق السياسة
- تعميم السياسة على العاملين في الأنظمة
- مدير النظام:
- إدارة ومراقبة النظام وخادمه، وتحديد فنيي النظام (ان دعت الحاجة) واعطائهم الصلاحيات بناءً على مقتضيات عمل النظام
- مبرمج النظام:
- برمجة النظام وتحديثه
- فنيي النظام:
- المهام الإدارية المتعلقة بعمل النظام كإدخال المعلومات وتعديلها الخ (عادة تكون صلاحياتهم محددة في بيئة عملهم على الواجهة الأمامية للنظام (FRONT-END).
رابعاً: الضوابط العامة والاجراءات
- تسجيل الخوادم الموجودة داخل جامعة بغداد (LOCAL SERVER) ضمن سجلات جرد الاصول.
- تسجيل وتوثيق المعلومات التالية لكل خادم:
- نظام التشغيل / الإصدار
- الوظائف والتطبيقات الرئيسية
- الجهات المستفيدة من خدمات الخادم
- أن يكون نظام التشغيل على الخوادم معتمد ومرخص
- تثبيت النطاق (FRAMEWORK) لكل نظام الكتروني معتمد
- عدم رفع أي ملفات أو أنظمة لا تخص جامعة بغداد على خوادمها
- الأنظمة على خوادم جامعة بغداد هي ملك للجامعة ولا يجوز استغلالها او الاستفادة منها في غير مؤسسة حكومية أو أهلية الا بعد استحصال الموافقات الأصولية
- عند استحداث أي نظام الكتروني يجب أن يوفر الربط البرمجي (API-Application Programming Interface) مع قاعدة البيانات المركزية لجامعة بغداد وتجنب تكرار البيانات في قواعد بيانات متعددة
- تثبيت وتحديث الأمان على نظام التشغيل وباقي مكونات الخادم والنظام الالكتروني بصورة دورية.
- تشكيل لجنة فنية مختصة بفحص واستلام أي نظام جديد قبل اعتماده.
- المراقبة الدائمة لسجلات الخوادم والانظمة (LOGS) من قبل مدير النظام.
- اتباع أفضل المعايير العالمية عند بناء النظام لتجنب الثغرات الأمنية والأخطاء البرمجية.
- فحص كل الأنظمة والتطبيقات أمنياً باستخدام الطرق التقنية المتعارف عليها في اختبارات الاختراق والتحليل الأمني وبالتعاون مع مدير أمن المعلومات.
- من واجبات مدير النظام، ضبط الاعدادات الخاصة بالأجهزة المرتبطة بالنظام لتعمل بصورة آمنة، إضافة الى تنصيب ومتابعة تشغيل حماية النظام مثل الجدار الناري FIREWALL)) وأنظمة كشف ومنع التطفل والاختراق، وأنظمة مكافحة الفايروسات والبرامج الخبيثة الخ وتطبيق سياسة الأمن السيبراني.
- يجب ان يكون النظام متعدد الطبقات مع محددات للأوامر والصلاحيات حسب الأدوار والمسؤوليات، حيث يتم ذلك عن طريق مدير النظام.
- يتم إدارة ملف المستخدم (USER PROFILE) والمسجل في النظام عن طريق المستخدم صاحب الحساب فقط الا إذا تطلب تدخل مدير النظام بعد اخذ الموافقات المطلوبة من قبل الجهة المعنية بالأمر أو بطلب خطي او الكتروني من صاحب الحساب نفسه.
- يتم إيقاف أو تغيير جميع المهام والصلاحيات المسندة للعاملين عند انتقالهم من منصب او موقع وظيفي الى اخر او انهاء الخدمات.
- في حال الوصول عن بعد (REMOTE ACCESS) لهذه الخوادم من قبل الأشخاص المخول لهم يجب أن تكون قنوات الوصول (ACCESS POINTS) مشفرة وآمنة مع مراعاة توخي الحذر عند الاتصال بالشبكات في الأماكن العامة كالمقاهي والمطاعم والمطارات الخ
- اخذ نسخ احتياطية للخوادم (BACKUP) وبشكل دوري مع مراعاة موضوع العدد والتوزيع الجغرافي المحلي أو الإقليمي في الحفظ المكاني للنسخ الاحتياطية، مع وضع آلية واضحة لتخزين النسخ في أماكن خارجية عند الحاجة وحسب سياسة الأمن السيبراني / النسخ الاحتياطي للبيانات.
- الالتزام بضمان وجود الخوادم في بيئة يمكن الوصول اليها فقط من المستخدمين داخل جامعة بغداد والمصرح لهم بذلك.
- في حال تم الاستعانة بمزود خارجي لتوفير خدمة معينة لجامعة بغداد يجب توفر النقاط التالية:
- استحصال الموافقات الأصولية من مدير أمن المعلومات في جامعة بغداد
- ان تكون الاستعانة بمزود خارجي ناتجة عن اتفاقية او عقد مبرم بين جامعة بغداد (الجهة المستفيدة) والمزود الخارجي، على ان يتحلى الأخير بدرجة عالية من الكفاءة والأمان مع توقيع اتفاقية (عدم الإفصاح بشكل غير مرخص عن المعلومات) والمعنية بعدم الإفصاح المزود الخارجي عن أي معلومات هي ملك جامعة بغداد
- ان تكون الخدمات المعلوماتية التي يراد الاستعانة بمزود خارجي من أجلها جوهرية وحرجة
- تحديد وتوثيق المعايير اللازمة لقياس ومتابعة وتقييم فعالية الخدمات التي تم التعاقد الخارجي من أجلها
- التأكد من تطبيق مبدأ “الفصل بين المهام” بين كل من جامعة بغداد والمزود الخارجي وعدم إعطاء الصلاحيات الكاملة.
- ان تكون أسماء ومعلومات الأشخاص المخولين من قبل المزود الخارجي والمرخص لهم للدخول الى النظام موثقة ومثبتة لدى جامعة بغداد (الجهة المستفيدة) مع توفر وسائل التواصل الدائم معهم.
- تحديد وتوثيق المعايير اللازمة لقياس ومتابعة وتقييم فعالية الخدمات التي تم التعاقد الخارجي من اجلها، وخطوات مراقبة الحوادث الأمنية الممكن حدوثها ورفع التقارير بشأنها.
- قد تستوجب بعض الأنظمة تفعيل خاصية التحقق بخطوتين (2FA) وحسب المقتضيات وذلك بعد استحصال موافقة مدير النظام.
- يفضل اعداد النظام لإيقاف حساب الدخول مؤقتاً عند استخدام اسم دخول أو كلمة مرور خاطئة بشكل متتال لعدد معين من المرات.
- يسمح بالتغييرات الطارئة والتي تتعلق عادة بالتغييرات المفاجئة والغير مخطط لها بعد من قبل مدير النظام.
- الابتعاد عن استخدام لغات برمجية لا تمتلك تحديثات أمنية مستمرة.
- استخدام خوارزمية تشفير معتمدة عالمياً او خوارزمية تشفير محلية بعد الموافقة عليها من قبل رئاسة الجامعة وبالتعاون مع مدير أمن المعلومات.
- الالتزام التام بسياسة حماية بيانات المستخدمين والأمن السيبراني داخل الأنظمة.