مركز الثقة والأمان من CNTXT AI

الوعي الظرفي والإنذار المبكر للحوادث التهديدية

تحتفظ المؤسسة بسجلات تدقيق شاملة ومركزية لكافة حوادث أمن  المعلومات، مدعومة بنقاط نتائج التحقيقات الفنية، ومسارات خطط الاستجابة الفورية  التي تم إنفاذها بموجب السياسات والإجراءات الرسمية المعتمدة لإدارة وحصر  البلاغات والحوادث السيبرانية.

التحقق من الهوية وإدارة الوصول والامتيازات

تضمن المؤسسة أن عمليات منح أو ترقية صلاحيات الوصول المنطقي إلى  الأنظمة الحساسة والخوادم وقواعد البيانات تشترط حتماً الحصول على موافقة خطية  وفنية مسبقة من المسؤولين المخولين، استناداً بدقة إلى مبدأ حاجة العمل الفردية  (Need-to-Know) وتبعاً للتوصيف والدور الوظيفي المحدد للوكيل.

إجراءات إلغاء الامتيازات  وإنهاء التوظيف

تضمن المؤسسة إنفاذ بروتوكولات صارمة للإلغاء والتعطيل والإنهاء  الفوري والمطلق لكافة صلاحيات الوصول المنطقي والفيزيائي للأنظمة بمجرد انتهاء  دواعيها الوظيفية، كما في حالات استقالة أو إنهاء خدمات الموظفين.

تشفير البيانات المخزنة (Data at Rest)

تُطبق المؤسسة خوارزميات وآليات تشفير معيارية ومتقدمة للغاية (مثل  AES-256) على كافة قواعد بيانات بيئة الإنتاج الفعلي (Production Databases)  التي تحوي وتخزن بيانات ومعلومات العملاء الحساسة أثناء سكونها وتخزينها.

تُجري المؤسسة عمليات نسخ احتياطي مؤتمتة ودورية لبيانات المستخدمين والملفات والأنظمة الحيوية ذات الصلة، لضمان تحقيق وتلبية معايير أهداف وقت الاسترداد (RTO) ونقطة الاسترداد (RPO) المحددة للمؤسسات، مع إجراء فحص وتحقق فني مستمر للتأكد من سلامة وقابلية استرجاع تلك النسخ المجدولة.

اختبارات موثوقية النسخ واستمرارية الأعمال

تُجري المؤسسة تمارين ومحاكاة دورية لعمليات استعادة بيانات النسخ  الاحتياطي للتحقق الفني التام من مستويات موثوقية وسائط التخزين الرقمية وسلامة  وصحة المعلومات المسترجعة كلياً.

نقل ومعالجة معلومات التعريف الشخصية (PII)

تلتزم المؤسسة بإنفاذ التدابير الفنية والقانونية المناسبة لضمان  التوافق والامتثال المطلق مع اللوائح والوحدات التنظيمية (مثل قوانين PDPL  المحلية) عند نقل أو معالجة البيانات الشخصية خارج الحدود أو النطاقات الجغرافية  التي جُمعت منها في الأصل.

تقييد اتصالات الشبكات

تضمن المؤسسة حماية وتأمين قواعد بيانات بيئات الإنتاج، وفرض قيود  صارمة على عمليات الوصول عبر الـ Shell للبنية التحتية، مع الحظر التام والمطلق  لأي محاولات وصول مباشرة أو غير مصرح بها عبر شبكة الإنترنت العامة والمفتوحة.

تتم حماية وتأمين كافة خوادم ومضيفي بيئة الإنتاج الفعلي  (Production Hosts) بالاعتماد على جدران حماية برمجية متطورة تفرض قاعدة 'الرفض  الافتراضي العام' (Default Deny)، وهي الإعدادات الفنية والقياسية المعتمدة  بصرامة لدى مزود الخدمات السحابية السيادية والآمنة الخاص بالمؤسسة.

تعتمد المؤسسة أحدث بروتوكولات التشفير القياسية الموصى بها  دولياً، بما يغطي بروتوكول HTTPS المعزز بخوارزميات TLS 1.3 الحديثة، لضمان  السرية والحماية المطلقة لكافة البيانات والمعلومات الصوتية والنصية أثناء النقل  والتدفق عبر الشبكات.

رصد السلوكيات والأنشطة غير المعتادة والتهديدات المتقدمة

تمت تهيئة وإعداد طبقات البنية التحتية والأنظمة الرقمية للمؤسسة  لتقوم بمراجعة وتحليل سجلات التدقيق (Audit Events) بصورة مستمرة ومؤتمتة على  مدار الساعة، بهدف الاكتشاف والإنذار المبكر لأي أنشطة، سلوكيات، أو تهديدات  مشبوهة أو غير اعتيادية قد تشير لاختراق محتمل.

التجميع المركزي والآمن لسجلات الأحداث الأمنية (Centralized  Logging)

تمت هندسة البنية التحتية الرقمية لكافة خوادمنا لتوليد وحفظ سجلات  تدقيق تفصيلية (Audit Logs) ترصد وتوثق بدقة كافة الإجراءات الأمنية والعمليات  الحرجة وحركات الوصول عبر جميع الأنظمة الحساسة بالمنصة.

إشعار خصوصية واضح ويمكن الوصول إليه

تعرض المؤسسة أحدث التحليلات والبيانات الشفافة المتعلقة بحالة  تشغيل واستقرار خدماتها وأنظمتها بوضوح تام على موقعها الإلكتروني، لتكون متاحة  للجمهور والعملاء بصفة دائم ومباشرة.

الحماية من البرمجيات الخبيثة (مكافحة الفيروسات)

تضمن المؤسسة تزويد وإلزام كافة الأجهزة الطرفية ومحطات العمل  الخاصة بالموظفين التي تتصل بالخوادم الحيوية أو تعالج بيانات حساسة، بحزم  برمجية متطورة وفعالة لمكافحة البرمجيات الخبيثة والفيروسات والتهديدات  (Anti-malware / EDR)، مع التحقق من تحديثها دورياً.

مدونة قواعد السلوك المهني

تمتلك المؤسسة سياسة شاملة، موثقة، ومعتمدة رسمياً من مجلس الإدارة  تحدد بدقة معايير السلوك المهني والممارسات الأخلاقية المقبولة لكافة العاملين  والموردين.

التحقق من الكفاءة المهنية

تطبق المؤسسة إجراءات واضحة لضمان إسناد وتفويض كافة المهام  والوظائف والمسؤوليات الأمنية والسيبرانية الحيوية حصرياً لأفراد ومهندسين  مؤهلين يمتلكون أعلى الشهادات والمهارات والخبرات العملية اللازمة.

تعتمد المؤسسة على مسارات دقيقة ومشددة لإجراء الفحوصات الأمنية،  والتدقيق الجنائي، والتحقق من الخلفيات للأفراد قبل منحهم أي صلاحيات وصول  منطقية أو فيزيائية للأنظمة.

برامج التوعية المستمرة بالأمن السيبراني وحماية الخصوصية

توفر المؤسسة دورات وبرامج تدريبية تخصصية وإلزامية بصفة دورية حول  مفاهيم أمن المعلومات والخصوصية وحماية البيانات لجميع الموظفين والمقاولين، بما  يتناسب تماماً مع طبيعة مهامهم ومسؤولياتهم الوظيفية.

تقييم الأداء والالتزام بالضوابط والسياسات الأمنية

تشترط المؤسسة إجراء تقييمات ومراجعات دورية موثقة لكافة الموظفين  في أقسام تقنية المعلومات، الهندسة البرمجية، خدمة العملاء، وأمن المعلومات،  للتحقق المطلق من التزامهم التام بمسؤولياتهم الوظيفية والسياسات الأمنية  المعتمدة للشركة.

قنوات الإبلاغ الآلية والأنظمة التحذيرية

توفر المؤسسة أدلة، وثائق، وإرشادات واضحة للموظفين عبر سياسات  وإجراءات أمن المعلومات المختلفة، توضح آلية الإبلاغ السريع عن الأعطال،  الثغرات، أو أي مخاوف وشكوك أمنية مرتبطة بالخدمات والأنظمة والبيئات الداخلية.

المساعدة في الإبلاغ عن الحوادث والثغرات لشركائنا وعملائنا

توفر المؤسسة لجميع عملائها ومستخدميها قنوات رقمية رسمية ومباشرة،  وإرشادات واضحة للإبلاغ الفوري عن أي أعطال فنية، أو شبهات حوادث، أو ثغرات  أمنية، أو شكاوى تتعلق بالأنظمة والخدمات الصوتية المقدمة لسرعة حسمها.

تحديد وإدارة إطار المخاطر المؤسسية (Risk Framework)

تُجري المؤسسة تقييماً رسمياً وموثقاً شاملاً للمخاطر بصفة سنوية،  لتحديد وحصر كافة التهديدات والمخاطر الداخلية والخارجية التي قد تؤثر سلباً على  أمن وسلامة الأنظمة، توافرها، وسريتها المطلقة.

منهجية تقييم وإدارة المخاطر

يتم مراجعة وتقييم كل خطر أمني ورصد مستواه بدقة وتصنيفه بناءً على  احتمالية حدوثه وحجم تأثيره المالي والتشغيلي المتوقع على منصات وبنى الشركة،  وتُربط هذه المخاطر تلقائياً بإجراءات وخطط تخفيف وحسم (Mitigations) لمعالجتها  جذرياً أو تقليص أثرها.

الحماية من مخاطر الاحتيال والجرائم السيبرانية

تأخذ المؤسسة في الحسبان احتمالات ومخاطر الاحتيال والتواطؤ كجزء  أساسي ومدمج ضمن مصفوفة تقييم وإدارة المخاطر الشاملة للشركة.

تُجري المؤسسة تقييماً رسمياً سنوياً شاملاً لمخاطر الأطراف  الخارجية والموردين ومزودي الخدمات، لتحديد وتصنيف الشركاء ذوي التأثير المباشر  على التزامات ومتطلبات أمن أنظمتنا وبيانات عملائنا.

مسؤوليات الأمن السيبراني وحماية الخصوصية الموكلة

تُعين الإدارة العليا للمؤسسة مسؤولي أمن المعلومات (CISO) يتولون  الإشراف المركزي الكامل على تطوير، تنفيذ، إدارة، ومراجعة برامج الأمن السيبراني  والخصوصية والحوكمة الرقمية على مستوى المؤسسة بالكامل.

تعتمد المؤسسة على منصة Sprinto للمراقبة الفنية المستمرة  والمؤتمتة، وذلك لتتبع حالة وجاهزية برامج أمن المعلومات وتوليد ورفع تقارير  مراجعة دورية لمسؤول أمن المعلومات وأصحاب المصلحة ومجلس الإدارة المعنيين.

تقوم الإدارة العليا واللجان المختصة بمراجعة واعتماد حالة برنامج  أمن المعلومات، بما يشمل السياسات والمعايير والبروتوكولات التشغيلية، بصفة  دورية أو عند حدوث تغييرات جوهرية في بيئة العمل، لضمان استمرارية فاعليتها  وتحديثها.

مراجعة الإدارة للهيكل التنظيمي والصلاحيات

تقوم الإدارة العليا للمؤسسة بمراجعة واعتماد الهيكل التنظيمي  ومصفوفة الصلاحيات لكافة الإدارات والموظفين بشكل سنوي موثق.

تقوم الإدارة العليا للمؤسسة بمراجعة، تحديث، واعتماد 'تقرير تقييم  المخاطر السنوي الشامل' بصفة دورية منتظمة.

مراجعة الإدارة لمخاطر الموردين والأطراف الخارجية

تقوم الإدارة العليا للمؤسسة بمراجعة وتدقيق واعتماد 'تقرير تقييم  مخاطر الموردين والأطراف الخارجية ومزودي الخدمات' بصفة سنوية رسمية.

تقوم المؤسسة بمراجعة وتقييم وفحص جميع مزودي الخدمات الفرعيين  والتقنيين بصفة دورية، لضمان امتثالهم وقدرتهم الكاملة على الوفاء بالالتزامات  التعاقدية والأمنية والقانونية تجاه عملاء المؤسسة.

تضمن المؤسسة صياغة وإنفاذ تدابير حماية وضمانات قانونية وفنية  متقدمة للغاية عند مشاركة أو نقل البيانات الشخصية مع الموردين كجزء من عمليات  المعالجة المشتركة المعتمدة.

تقييم تأثير حماية البيانات (DPIA) وإدارة الخصوصية

تُجري المؤسسة تقييمات رسمية لتأثير حماية البيانات (DPIA) بشكل  دوري ومنظم لرصد، تحليل، وتقييم المخاطر التنظيمية والتشريعية المرتبطة بمعالجة  أو تخزين البيانات الشخصية الحساسة للعملاء.

تمتلك المؤسسة خططاً، سيناريوهات، وإجراءات مجدولة مسبقاً لإجراء  اختبارات ومحاكاة وتمارين دورية لقياس مدى فاعلية، جاهزية، وسرعة استجابة خطط  الطوارئ واستمرارية الأعمال والتعافي من الكوارث (BCP / DRP).

حوكمة الالتزامات التعاقدية للعملاء

تحتفظ المؤسسة بسجل حوكمي شامل ومركزي لكافة الالتزامات التعاقدية  والأمنية والتنظيمية المنصوص عليها في اتفاقيات وعقود العملاء والمؤسسات الشريكة  لضمان الوفاء بها.

تلتزم المؤسسة بالاحتفاظ بكافة وثائق السياسات الأمنية، والنسخ  التاريخية للقرارات، والتدابير السيبرانية لمدة لا تقل عن ست (6) سنوات كاملة من  تاريخ إصدارها أو تعديلها بموجب اللوائح التنظيمية.

تُعين المؤسسة مسؤولاً متخصصاً للخصوصية وحماية البيانات (CPO)  للإشراف المباشر على تقييم وتسهيل وضمان الامتثال التام لكافة المتطلبات  واللوائح التشريعية ذات الصلة بسيادة البيانات وحرية الخصوصية.

معايير وبيانات لوائح وقوانين الخصوصية

تُدرج المؤسسة بنود سياسة وإشعارات الخصوصية بوضوح تام ضمن كافة  النماذج والواجهات الرقمية التي تجمع معلومات أو مدخلات سيتم حفظها في سجلات  الخصوصية، أو توفرها في نماذج مستقلة وسهلة الوصول لكافة المستخدمين.

طبقت المؤسسة آليات وأنظمة واضحة لتحديد، تصنيف، وإدارة مسؤوليات  ملكية الأصول الرقمية والبرمجية والفيزيائية، وترسيخ فهم مشترك لمتطلبات حماية  تلك الأصول وحوكمتها.

حوكمة وإقامة وتوطين البيانات الصوتية

تحتفظ المؤسسة بسجل تشريعي ومحدّث باستمرار لكافة المتطلبات  القانونية، والتشريعية، والتنظيمية المرتبطة بأمن المعلومات، وحوكمة البيانات  وسيادتها الإقليمية.

تقوم المؤسسة بمراجعة وتحديث سجلات جرد الأنظمة والأصول الرقمية  والبرمجية والشبكية بشكل مستمر ليتزامن بدقة مع أي عمليات تثبيت، نقل، إلغاء، أو  ترقية للأنظمة والبنى التحتية التابعة لها.