ECC-2:2024 الأمن السيبراني للطرف الثالث والسحابة (الدومين الرابع)

ما المبدأ الصحيح عند تقييم عرض مزود سحابي جديد؟

A اختيار أقل سعر ثم بناء الضوابط لاحقًا

B التحقق من قدرة المزود على تلبية متطلبات الحماية وفق التصنيف وإرجاع البيانات عند انتهاء الخدمة

C قبول الشروط القياسية دون مراجعة أمنية

D قصر التقييم على التوافر والأداء

ما الخطر الأكثر مباشرة عند غياب شرط إرجاع البيانات بصيغة قابلة للاستخدام؟

A ارتفاع عدد طلبات الدعم الداخلي

B بطء إجراءات الشراء

C صعوبة الانتقال أو الاسترجاع التشغيلي بعد انتهاء الخدمة

D انخفاض دقة تقارير الأداء

أي ممارسة تثبت أن متطلبات الأمن في اتفاقيات الطرف الثالث ليست شكلية؟

A تطبيق المتطلبات فعليًا ضمن التعاقد والتشغيل والمتابعة

B الاكتفاء بتوقيع العقود دون مراقبة

C تأجيل التنفيذ إلى مرحلة التجديد

D حصر المتابعة في جانب الفوترة

ما المخرج المتوقع من إدارة ناضجة لمخاطر الطرف الثالث؟

A تقليل عدد الموردين دون تقييم

B الاعتماد على بند تعويض مالي فقط

C عقود وتشغيل يحققان حماية البيانات واستمرارية الخدمات مع وضوح المسؤوليات والتصعيد

D تركيز الحوكمة على الجوانب القانونية دون تشغيلية

في خدمات المراقبة والعمليات الأمنية التي تستخدم الوصول عن بُعد، ما المتطلب الصحيح؟

A السماح بتشغيل المراكز من أي دولة

B تشغيل جزء من العمليات خارج المملكة لأغراض الدعم

C أن تكون مراكز الخدمات المدارة المعتمدة على الوصول عن بُعد موجودة بالكامل داخل المملكة

D تشغيل مركز أساسي خارجي مع مركز احتياطي محلي

عند صياغة اتفاقية مع مورد تقني، ما البند الأمني الأهم لحماية التوافق؟

A إلزام الطرف الثالث بتطبيق متطلبات وسياسات الأمن السيبراني للجهة والمتطلبات التنظيمية ذات العلاقة

B منح المورد حرية اختيار الضوابط دون التزام

C الاكتفاء بإقرار عام بالأمن

D ربط الالتزام الأمني برسوم إضافية اختيارية

ما الممارسة المتوافقة بعد اعتماد متطلبات الأمن للخدمات السحابية؟

A الاكتفاء بتعميم داخلي دون تنفيذ

B تنفيذ المتطلبات فعليًا ضمن البيئة السحابية والاستضافة

C تنفيذ جزء منها فقط على الأنظمة الجديدة

D تعليق التنفيذ حتى اكتمال التوسع

أي وصف أدق لمراجعة متطلبات السحابة والاستضافة؟

A تتم فقط بعد حادث كبير

B تتم عند تغيير فريق التشغيل فقط

C تتم إذا طلب المزود ذلك

D تتم دوريًا للتحقق من الفاعلية واستمرار التوافق

عند حدوث حادث سيبراني لدى مورد يقدم خدمة حرجة، ما التصرف المتوافق؟

A تفعيل إجراءات الاتصال والتصعيد المنصوص عليها تعاقديًا وربطها بخطة الاستجابة الداخلية

B انتظار التقرير النهائي دون تواصل

C تأجيل التواصل حتى اجتماع شهري

D الاكتفاء بإشعار غير رسمي

ما الإجراء المناسب عند انتهاء عقد استضافة يعالج بيانات مصنفة؟

A التحقق من إعادة البيانات بصيغة قابلة للاستخدام وتنفيذ الإزالة الآمنة لدى المزود

B ترك البيانات لدى المزود للرجوع إليها لاحقًا

C تجديد العقد تلقائيًا لتفادي مخاطر النقل

D إلغاء الحساب فقط دون توثيق مصير البيانات

ما الإجراء الصحيح قبل توقيع عقد خدمات إدارة أمنية أو تشغيل تقني؟

A إجراء تقييم مخاطر سيبرانية والتأكد من توفر ضوابط معالجة مناسبة

B توقيع العقد ثم تقييم المخاطر لاحقًا

C الاكتفاء بتوصية المورد

D تخطي التقييم إذا كان المورد معروفًا

عند تعديل تنظيمات تؤثر على التعاقدات التقنية، ما الإجراء الأنسب؟

A تأجيل المعالجة حتى التجديد القادم

B إعادة تقييم المخاطر وتحديث الضوابط التعاقدية وفق المتطلبات الجديدة

C الإبقاء على الشروط القديمة لتفادي التعقيد

D نقل المخاطر بالكامل إلى المورد

أي نهج يضمن مراقبة فعلية لامتثال الموردين بعد التعاقد؟

A المراجعة عند الشكاوى فقط

B مراجعات دورية لمتطلبات الطرف الثالث وتحديثها وتوثيق نتائجها

C الاكتفاء بإقرار سنوي من المورد

D الاعتماد على عدم وقوع حوادث

أي خيار يعكس فجوة امتثال في إدارة الأمن السيبراني للطرف الثالث؟

A إدراج بنود عدم الإفصاح في العقد

B وجود آلية تواصل للطوارئ

C إلزام المورد بضوابط الجهة

D غياب إجراءات الاتصال عند وقوع حادث سيبراني لدى المورد

أي سيناريو يعكس عدم امتثال واضح في بيئة استضافة مشتركة؟

A وجود فصل واضح لبيئة الجهة

B ربط الضوابط بتصنيف البيانات

C مراجعة المتطلبات دوريًا

D تشغيل أحمال الجهة في بيئة مختلطة دون فصل فعلي عن بيئات أخرى

ما العنصر الذي يجب تضمينه كحد أدنى في اتفاقيات الخدمة مع الطرف الثالث؟

A شروط جودة الخدمة فقط

B بنود الملكية الفكرية فقط

C بنود عدم الإفصاح والإزالة الآمنة لبيانات الجهة عند انتهاء الخدمة

D بنود التسعير المتدرج فقط

أي خيار يعبر عن فهم صحيح لعزل بيئة الجهة داخل السحابة؟

A مشاركة نفس البيئات الافتراضية مع جهات أخرى لتقليل التكلفة

B فصل بيئة الجهة خصوصًا الخوادم الافتراضية عن بيئات الجهات الأخرى

C الاكتفاء بعزل منطقي غير موثق

D الاعتماد على واجهة دخول منفصلة فقط

ما البداية الصحيحة عند تبني خدمات سحابية أو استضافة؟

A تحديد متطلبات الأمن للخدمات السحابية والاستضافة وتوثيقها واعتمادها

B بدء الاستخدام ثم ضبط المتطلبات لاحقًا

C الاعتماد على إعدادات المزود الافتراضية فقط

D تأجيل المتطلبات إلى ما بعد التدقيق

أي خيار يمثل تغطية متكاملة صحيحة للدومين الرابع؟

A توثيق متطلبات الطرف الثالث فقط

B تطبيق متطلبات السحابة فقط

C إدارة عقود الطرف الثالث دون مراجعة دورية

D متطلبات موثقة ومعتمدة ومطبقة للطرف الثالث والسحابة مع تقييم مخاطر ومراجعة دورية وضمانات حماية البيانات

أي ممارسة مرتبطة بإدارة عقود الإسناد التقني والعمليات المدارة؟

A تقييم المخاطر مرة واحدة فقط عند أول عقد

B إلغاء متطلبات المعالجة عند انخفاض التكلفة

C الاعتماد على شهادة المورد دون ضوابط إضافية

D إعادة تقييم المخاطر عند تغير المتطلبات التنظيمية ذات العلاقة