سياسة أمن المعلومات

KUNAK TECHNOLOGIES S.L.

مقدمة

نصمّم في KUNAK TECHNOLOGIES S.L. حلولًا للرصد البيئي وإنترنت الأشياء ونشغّلها لمعالجة بيانات بالغة الأهمية لعملائنا. وتستند الثقة في خدماتنا إلى ضمان إتاحة المعلومات ودقتها وحمايتها على نحو مناسب من الوصول غير المصرّح به في جميع الأوقات.

من خلال سياسة أمن المعلومات هذه، تؤكد الإدارة التزامها بحماية المعلومات والامتثال لجميع المتطلبات القانونية والتعاقدية السارية، ودمج الأمن في جميع عمليات المؤسسة وخدماتها.

1. الغرض والنطاق

تهدف هذه السياسة إلى وضع المبادئ والتوجيهات العامة لإدارة أمن المعلومات في KUNAK TECHNOLOGIES S.L.

ويشمل نطاقها:

جميع نظم المعلومات والبنى التحتية والخدمات التي تديرها KUNAK TECHNOLOGIES S.L.، سواء داخل المؤسسة أو في السحابة.
جميع موظفي المؤسسة والأطراف الثالثة الذين يمكنهم الوصول إلى هذه الأنظمة أو إلى المعلومات التي تديرها المؤسسة.

يُعد الالتزام بهذه السياسة إلزاميًا لجميع الأشخاص والجهات المشمولة بنطاقها.

2. الإطار المرجعي

تتوافق إدارة أمن المعلومات في KUNAK TECHNOLOGIES S.L. مع الإطار الوطني الإسباني للأمن (ENS) ومع معيار ISO/IEC 27001 لنظم إدارة أمن المعلومات، الذي تجري حاليًا إجراءات الحصول على شهادته.

كما تلتزم بالتشريعات السارية بشأن حماية البيانات، بما فيها اللائحة (EU) 2016/679 (GDPR) والقانون الأساسي الإسباني 3/2018 (LOPDGDD)، اللذان تستند إليهما إجراءات المؤسسة وضوابطها الداخلية.

3. مبادئ الأمن

تلتزم KUNAK TECHNOLOGIES S.L. بحماية المعلومات وفق المبادئ التالية:

السرية: لا يجوز الوصول إلى المعلومات إلا للأشخاص أو الأنظمة أو الجهات المصرّح لها.
السلامة: يجب أن تكون المعلومات دقيقة وكاملة، مع منع التعديلات غير المصرّح بها أو الأخطاء غير الخاضعة للرقابة.
الإتاحة: يجب أن تكون الأنظمة والخدمات جاهزة للعمل عند الحاجة، بمستويات الاستمرارية والقدرة على الصمود المحددة.
الأصالة: يجب ضمان هوية الأطراف المعنية ومصدر البيانات المتبادلة.
إمكانية التتبع: يجب تسجيل الإجراءات ذات الصلة بما يتيح تحليلها وتدقيقها.

4. التنظيم والمسؤوليات

تتحمل إدارة KUNAK TECHNOLOGIES S.L. المسؤولية النهائية عن أمن المعلومات وتعتمد هذه السياسة.

وتضم المؤسسة لجنة لأمن المعلومات تتألف من مسؤولي الخدمة والمعلومات والأمن والنظام، وتشمل مهامهم ما يلي:

مسؤول الخدمة

تحديد متطلبات أمن الخدمة، بما يشمل متطلبات قابلية التشغيل البيني وإمكانية الوصول والإتاحة.
تحديد مستويات أمن الخدمات.
الاعتماد الرسمي لمستوى أمن الخدمة.

مسؤول المعلومات

ضمان الاستخدام السليم للمعلومات، ومن ثم حمايتها.
تحمّل المسؤولية النهائية عن أي خطأ أو إهمال يؤدي إلى حادث يمس سرية المعلومات أو سلامتها.
تحديد متطلبات أمن المعلومات.
تحديد مستويات أمن المعلومات.
الاعتماد الرسمي لمستوى أمن المعلومات.

مسؤول الأمن

الحفاظ على مستوى الأمن المناسب للمعلومات المعالجة والخدمات التي تقدمها الأنظمة.
إجراء عمليات التدقيق الدورية التي يفرضها ENS أو العمل على إجرائها للتحقق من الامتثال لمتطلباته.
إدارة التدريب والتوعية في مجال أمن تكنولوجيا المعلومات والاتصالات.
التحقق من ملاءمة التدابير الأمنية القائمة لاحتياجات الجهة.
مراجعة جميع الوثائق المتعلقة بأمن النظام واستكمالها واعتمادها.
متابعة الحالة الأمنية للنظام استنادًا إلى أدوات إدارة الأحداث الأمنية وآليات التدقيق المطبّقة فيه.
دعم التحقيق في الحوادث الأمنية والإشراف عليه، منذ الإبلاغ عنها حتى حلّها، مع تقديم تقارير دورية إلى اللجنة بشأن أبرز هذه الحوادث.

مسؤول النظام

إدارة نظام المعلومات طوال دورة حياته، من تحديد المواصفات والتركيب إلى متابعة تشغيله.
تحديد معايير الاستخدام والخدمات المتاحة في النظام.
تحديد سياسات وصول المستخدمين إلى النظام.
اعتماد التغييرات التي تؤثر في أمن نمط تشغيل النظام.
تحديد التهيئة المصرّح بها للأجهزة والبرمجيات المستخدمة في النظام واعتماد التعديلات الجوهرية عليها.
إجراء تحليل مخاطر النظام وإدارتها.
إعداد وثائق أمن النظام واعتمادها.
تحديد فئة النظام وفق الإجراء الموضّح في الملحق I من ENS، وتحديد التدابير الأمنية الواجب تطبيقها وفق الملحق II منه.
تنفيذ التدابير الأمنية المحددة للنظام ومراقبتها.
وضع خطط الطوارئ والحالات الاستثنائية، وتنفيذ تمارين متكررة لتعريف العاملين بها.
تعليق معالجة معلومات معينة أو تقديم خدمة معينة عند اكتشاف أوجه قصور أمنية خطيرة قد تؤثر في الامتثال للمتطلبات المحددة.

يجب على جميع العاملين، وكذلك الشركات المتعاونة مع KUNAK TECHNOLOGIES S.L.، معرفة هذه السياسة والالتزام بها وباللوائح الداخلية التي تفصّل أحكامها.

5. إدارة المخاطر والامتثال

تُجري KUNAK TECHNOLOGIES S.L. تحليلات للمخاطر وإدارةً لمخاطر نظم معلوماتها، وتراجعها دوريًا وعند حدوث تغييرات جوهرية أو ظهور تهديدات جديدة أو وقوع حوادث ذات صلة.

وتلتزم المؤسسة بما يلي:

تنفيذ تدابير تقنية وتنظيمية تتناسب مع مستوى المخاطر.
الاحتفاظ بأدلة الامتثال لمتطلبات ENS وISO/IEC 27001 وGDPR وLOPDGDD وغيرها من الأنظمة السارية.
إخضاع أنظمتها لمراجعات وعمليات تدقيق دورية، داخلية ومن أطراف ثالثة.

6. حماية البيانات الشخصية

لا تُعالَج البيانات الشخصية إلا عندما تكون ملائمة وذات صلة وغير مفرطة بالنسبة إلى الأغراض المشروعة للمؤسسة وعملائها.

تطبّق KUNAK TECHNOLOGIES S.L. تدابير تقنية وتنظيمية مناسبة من أجل:

ضمان مستوى أمني يتناسب مع المخاطر.
تيسير ممارسة أصحاب البيانات لحقوقهم.
ضمان سرية البيانات الشخصية وسلامتها وإتاحتها طوال دورة حياتها.

7. التدريب والتوعية والأطراف الثالثة

تقع مسؤولية أمن المعلومات على جميع الأشخاص المشاركين في أنشطة KUNAK TECHNOLOGIES S.L.

وتقوم المؤسسة بما يلي:

توفير تدريب وتوعية دوريين في أمن المعلومات وحماية البيانات.
إلزام المورّدين والأطراف الثالثة الذين يقدمون خدمات أو يعالجون معلومات لصالح KUNAK TECHNOLOGIES S.L.، بموجب العقود، بالامتثال لمتطلبات أمنية تعادل متطلباتها.
وضع آليات للإشراف والتنسيق بشأن الأمن مع هذه الأطراف الثالثة.

8. إدارة الحوادث والاستمرارية

لدى KUNAK TECHNOLOGIES S.L. إجراءات لاكتشاف حوادث أمن المعلومات والإبلاغ عنها وتحليلها والاستجابة لها، وكذلك لاستعادة الخدمات المتأثرة.

وتحتفظ المؤسسة بخطط للنسخ الاحتياطي والطوارئ واستمرارية الأعمال تتيح استعادة الخدمات الأساسية عند وقوع عطل جسيم أو كارثة، وفق المتطلبات المتفق عليها مع العملاء ومتطلبات ENS.

9. المراجعة والتحسين المستمر

تُراجَع سياسة أمن المعلومات هذه مرة واحدة سنويًا على الأقل، أو عند حدوث تغييرات جوهرية في الأنظمة أو الخدمات أو الأنظمة السارية أو المخاطر المحددة.

تعمل الإدارة ولجنة أمن المعلومات على التحسين المستمر لنظام إدارة الأمن، مع إدماج الدروس المستفادة من عمليات التدقيق والمراجعات وتحليل المخاطر وإدارة الحوادث.