الفصل 8
الأمن السيبراني وحماية المعلومات
الأمن وتقليل البيانات والاستجابة للحوادث في أنظمة تعالج بيانات الأشخاص.
8.1 البيانات والأغراض
قد تجمع ملفات العمل معلومات تعريفية واقتصادية وشديدة الحساسية. ويجب تحديد البيانات التي تحتاجها كل عملية وتجنب جمع المعلومات لمجرد توافرها. ويقلل تقليل البيانات مخاطر إساءة الاستخدام وتكاليف الحماية معاً.
يجب تحليل الأساس القانوني وإبلاغ الأشخاص ومدد الاحتفاظ بحسب الغرض. وقد يؤثر اختلال التوازن بين الأطراف في العمل على صحة الموافقة. ولا ينبغي استخدام خانة عامة بديلاً لهذا التحليل [R2].
8.2 الوصول وفصل المهام
يجب أن يطبق ضبط الوصول مبدأ الحد الأدنى من الصلاحيات. وتضيف المصادقة متعددة العوامل حماية لكنها لا تلغي الحاجة إلى مراجعة الأذونات والأجهزة والإجراءات. فقد يُساء استخدام حساب جرت مصادقته صحيحاً أو قد يملك أذونات مفرطة.
تحتاج العمليات المهمة إلى التتبع والمراجعة. ويجب فصل المهام المتعارضة حيث أمكن، مثل تعديل بيان واعتماد أثره المالي. وتساعد المراجعات الدورية على كشف الصلاحيات الموروثة التي لم تعد تخدم وظيفة مشروعة.
8.3 التهديدات الخاصة بالذكاء الاصطناعي
قد يكشف مساعد معلومات إذا جمع مصادر دون احترام الصلاحيات. وقد يتبع أيضاً تعليمات خبيثة واردة في وثيقة أو يولد إجابة تبدو رسمية وهي ليست كذلك. ويجب تطبيق الضوابط على الوصول إلى البيانات والأفعال المتاحة، لا على النص الظاهر فقط.
يجب أن تشمل الاختبارات وثائق معدلة واستعلامات استخراج وطلبات خارج النطاق. ولا يجوز إرسال معلومات سرية إلى خدمات خارجية دون ضمانات وترخيص مناسبين. وتحتاج سجلات الاستخدام أيضاً إلى حدود تمنع الاحتفاظ ببيانات غير ضرورية.
8.4 الحوادث والاستمرارية
تحتاج الاستجابة للحوادث إلى مسؤولين وقنوات إبلاغ وإجراءات مجرَّبة. ويجب إعطاء الأولوية لاحتواء المشكلة وصون الأدلة وتقييم تبعاتها. وتُحلَّل التزامات الإبلاغ أو الإخطار بحسب الحادث والتشريعات المنطبقة.
يجب اختبار النسخ الاحتياطية بعمليات استعادة. فالنسخة غير المختبرة تقدم أمناً ظاهرياً. وتتطلب الاستمرارية أيضاً بدائل للعمل عند تعطل منصة، ولا سيما في عمليات تؤثر في الرواتب أو الحقوق.
8.5 الاحتفاظ والمراجعة
يجب أن تلبي مدد الاحتفاظ أغراضاً والتزامات محددة. وقد يزيد التخزين إلى أجل غير مسمى الانكشاف دون إضافة قيمة. وينبغي أن يشمل الحذف الأنظمة النشطة والصادرات ودورة النسخ الاحتياطية.
حماية البيانات ممارسة مستمرة. وتستوجب تغييرات الاستخدام أو الموردين أو التكاملات مراجعة الضوابط. وعند الاقتضاء، يتيح تقييم الأثر دراسة المخاطر قبل المعالجة وتوثيق التدابير والحدود والقرارات العالقة [R2].
الاستبيانات
فهم الفصل & معضلات الموارد البشرية
لا تُمنح المعضلات درجات أخلاقية، ولا تُستخدم لتقييم المرشحين.