ECC-2:2024 Third-Party and Cloud Cybersecurity (Domain 4)

كيف تحافظ الجهة على فعالية ضوابط الطرف الثالث عبر الزمن؟

A مراجعة متطلبات الطرف الثالث دوريًا وتحديثها عند الحاجة

B تجميد المتطلبات بعد التوقيع

C المراجعة عند انتهاء العقد فقط

D تحديث المتطلبات عند طلب المورد

أي سيناريو يمثل امتثالًا ضعيفًا في عقود الطرف الثالث؟

A وجود بنود عدم إفصاح وإزالة بيانات

B وجود إجراءات اتصال للحوادث

C إلزام المورد بضوابط الجهة

D وجود عقد دون متطلبات أمن سيبراني موثقة ومعتمدة

أي خيار يعبر عن فهم صحيح لعزل بيئة الجهة داخل السحابة؟

A مشاركة نفس البيئات الافتراضية مع جهات أخرى لتقليل التكلفة

B فصل بيئة الجهة خصوصًا الخوادم الافتراضية عن بيئات الجهات الأخرى

C الاكتفاء بعزل منطقي غير موثق

D الاعتماد على واجهة دخول منفصلة فقط

أي وصف أدق لمراجعة متطلبات السحابة والاستضافة؟

A تتم فقط بعد حادث كبير

B تتم عند تغيير فريق التشغيل فقط

C تتم إذا طلب المزود ذلك

D تتم دوريًا للتحقق من الفاعلية واستمرار التوافق

أي نتيجة متوقعة عند تطبيق متطلبات الطرف الثالث والسحابة بشكل متكامل؟

A زيادة الاعتماد على المعالجات اليدوية

B تقليل الحاجة إلى توثيق المتطلبات

C تحسين القدرة على ضبط المخاطر التعاقدية والتشغيلية وحماية البيانات والخدمات

D إلغاء الحاجة إلى مراجعة دورية

ما الإجراء الصحيح قبل توقيع عقد خدمات إدارة أمنية أو تشغيل تقني؟

A إجراء تقييم مخاطر سيبرانية والتأكد من توفر ضوابط معالجة مناسبة

B توقيع العقد ثم تقييم المخاطر لاحقًا

C الاكتفاء بتوصية المورد

D تخطي التقييم إذا كان المورد معروفًا

ما البداية الصحيحة لإدارة مخاطر الأمن السيبراني المرتبطة بالطرف الثالث؟

A الاعتماد على خبرة المورد دون متطلبات مكتوبة

B تحديد متطلبات الأمن السيبراني في العقود والاتفاقيات وتوثيقها واعتمادها

C تفعيل المراقبة بعد بدء الخدمة فقط

D توحيد كل الموردين تحت نموذج واحد دون تقييم

أي نهج يضمن مراقبة فعلية لامتثال الموردين بعد التعاقد؟

A المراجعة عند الشكاوى فقط

B مراجعات دورية لمتطلبات الطرف الثالث وتحديثها وتوثيق نتائجها

C الاكتفاء بإقرار سنوي من المورد

D الاعتماد على عدم وقوع حوادث

ما المتطلب الصحيح لحماية بيانات الجهة لدى مزود سحابي؟

A حماية البيانات وفق مستوى تصنيفها وإعادتها بصيغة قابلة للاستخدام عند انتهاء الخدمة

B التركيز على بيانات الإنتاج فقط

C إرجاع البيانات بصيغ مغلقة خاصة بالمزود

D حذف البيانات دون تسليم نسخة عند الإنهاء

أي ممارسة تثبت أن متطلبات الأمن في اتفاقيات الطرف الثالث ليست شكلية؟

A تطبيق المتطلبات فعليًا ضمن التعاقد والتشغيل والمتابعة

B الاكتفاء بتوقيع العقود دون مراقبة

C تأجيل التنفيذ إلى مرحلة التجديد

D حصر المتابعة في جانب الفوترة

ما البداية الصحيحة عند تبني خدمات سحابية أو استضافة؟

A تحديد متطلبات الأمن للخدمات السحابية والاستضافة وتوثيقها واعتمادها

B بدء الاستخدام ثم ضبط المتطلبات لاحقًا

C الاعتماد على إعدادات المزود الافتراضية فقط

D تأجيل المتطلبات إلى ما بعد التدقيق

في خدمات المراقبة والعمليات الأمنية التي تستخدم الوصول عن بُعد، ما المتطلب الصحيح؟

A السماح بتشغيل المراكز من أي دولة

B تشغيل جزء من العمليات خارج المملكة لأغراض الدعم

C أن تكون مراكز الخدمات المدارة المعتمدة على الوصول عن بُعد موجودة بالكامل داخل المملكة

D تشغيل مركز أساسي خارجي مع مركز احتياطي محلي

عند استخدام السحابة، ما الفهم الصحيح لعلاقة ضوابط السحابة مع بقية المجالات؟

A تطبق متطلبات السحابة إضافة إلى الضوابط الواجبة من الحوكمة والدفاع والصمود ومتطلبات الطرف الثالث اللازمة للحماية

B تطبيق ضوابط السحابة فقط دون بقية المجالات

C تطبيق الحوكمة فقط واستثناء الدفاع

D تطبيق الطرف الثالث فقط دون الصمود

ما الإجراء المناسب عند انتهاء عقد استضافة يعالج بيانات مصنفة؟

A التحقق من إعادة البيانات بصيغة قابلة للاستخدام وتنفيذ الإزالة الآمنة لدى المزود

B ترك البيانات لدى المزود للرجوع إليها لاحقًا

C تجديد العقد تلقائيًا لتفادي مخاطر النقل

D إلغاء الحساب فقط دون توثيق مصير البيانات

عند تشغيل خدمات متعددة لدى مزود سحابي واحد، ما الإجراء الأكثر اتساقًا مع الضوابط؟

A توحيد كل البيئات دون فصل لتبسيط الإدارة

B ترحيل البيانات الحساسة لبيئة عامة مشتركة

C ضمان الفصل المناسب لبيئة الجهة عن بيئات العملاء الآخرين خصوصًا في الطبقات الافتراضية

D تطبيق الفصل على الحساب الإداري فقط

ما الخطر الأكثر مباشرة عند غياب شرط إرجاع البيانات بصيغة قابلة للاستخدام؟

A ارتفاع عدد طلبات الدعم الداخلي

B بطء إجراءات الشراء

C صعوبة الانتقال أو الاسترجاع التشغيلي بعد انتهاء الخدمة

D انخفاض دقة تقارير الأداء

ما العنصر الذي يجب تضمينه كحد أدنى في اتفاقيات الخدمة مع الطرف الثالث؟

A شروط جودة الخدمة فقط

B بنود الملكية الفكرية فقط

C بنود عدم الإفصاح والإزالة الآمنة لبيانات الجهة عند انتهاء الخدمة

D بنود التسعير المتدرج فقط

ما المخرج المتوقع من إدارة ناضجة لمخاطر الطرف الثالث؟

A تقليل عدد الموردين دون تقييم

B الاعتماد على بند تعويض مالي فقط

C عقود وتشغيل يحققان حماية البيانات واستمرارية الخدمات مع وضوح المسؤوليات والتصعيد

D تركيز الحوكمة على الجوانب القانونية دون تشغيلية

ما المبدأ الصحيح عند تقييم عرض مزود سحابي جديد؟

A اختيار أقل سعر ثم بناء الضوابط لاحقًا

B التحقق من قدرة المزود على تلبية متطلبات الحماية وفق التصنيف وإرجاع البيانات عند انتهاء الخدمة

C قبول الشروط القياسية دون مراجعة أمنية

D قصر التقييم على التوافر والأداء

أي نهج يحقق مواءمة أفضل بين الأمن السيبراني والعقود السحابية؟

A تضمين المتطلبات الأمنية كملحق اختياري

B فصل إدارة الأمن عن إدارة التعاقد

C تضمين متطلبات الأمن بشكل ملزم داخل التعاقد ومتابعة التنفيذ

D الاعتماد على الوعود التسويقية للمزود