تنفيذ حماية البيانات في كل خطوة من خطوات الاستخدام
يجب إدارة البيانات الثابتة وروابط النقل ومفاتيح التشفير معًا. نحن نخطط لترتيبات التشفير والتحكم في الوصول والنسخ الاحتياطي بناءً على منتجات محددة وسيناريوهات النشر، ونوضح حدود المسؤولية ومتطلبات التكوين وآليات الاسترداد عند التسليم. تخضع قدرات التشفير المحددة للوثائق الفنية للخدمة المقابلة.
البيانات أثناء التخزين
يمكن أن تستخدم حماية البيانات المخزنة تقنيات مثل AES-256، مع إدارة المفاتيح وضبط الوصول والنسخ الاحتياطي وفق نطاق النشر الفعلي.
البيانات أثناء النقل
تستخدم حماية النقل بروتوكولات مثل TLS وIPsec كما تم تكوينها بواسطة الخدمة. تشير المواصفات الحالية لـ TLS 1.3 إلى RFC 9846؛ يخضع إصدار البروتوكول ومجموعة الخوارزمية وتكوين الشهادة لنقطة النهاية الفعلية والمستندات الفنية.
مفاتيح التشفير
يجب إدارة المفاتيح والأسرار الأخرى وفقًا للأذونات والوصول المقيد وترتيب تخزينها وتدويرها واستعادتها وفقًا لاتفاقيات الخدمة. يجب أن تتمتع المفاتيح التي يديرها العميل والمفاتيح التي تديرها الخدمة بتحكم ومسؤوليات واضحة على التوالي.
مبادئ معالجة طلبات البيانات
عندما تقوم الحكومات أو الوكالات الأخرى بتقديم طلبات بيانات، فإننا نقوم بمراجعة هوية الطرف الطالب والأساس القانوني والولاية القضائية ونطاق الطلب. إلى الحد الذي يسمح به القانون المعمول به، يتم إعطاء الأولوية لمطالبة الأطراف الطالبة بطلب المعلومات مباشرة من العملاء وقصر الكشف على ما هو قانوني وضروري. طلب توضيح أو إثارة اعتراضات قانونية على الطلبات التي لا تستند إلى أسس كافية، أو غير واضحة النطاق، أو واسعة للغاية.
التزاماتنا:
- 1. لا تقدم أبوابًا خلفية عامة أو مفاتيح رئيسية بغرض التحايل على المصادقة العادية والتحكم في الوصول. تخضع الطلبات الحكومية أو طلبات إنفاذ القانون للمراجعة على أساس كل حالة على حدة من خلال الإجراءات القانونية المعمول بها.
- 2. التحسين المستمر للإفصاح عن المعلومات، وعمليات التحكم في الوصول والاستجابة، وتعزيز معالجة البيانات الشفافة والقابلة للتتبع.
- 3. مراجعة الهوية والسلطة والأساس القانوني وضرورة طلبات البيانات؛ لا توفر وصولاً غير مقيد إلى بيانات العملاء. عندما يسمح القانون بذلك ويكون ذلك ممكنًا عمليًا، قم بتوجيه الطلبات إلى العملاء والتعامل مع النزاعات وفقًا للعقد والإجراءات المعمول بها.
عند تلقي طلب من جهة إنفاذ قانون:بعد تلقي طلب صالح يتضمن بيانات العميل، قم بإخطار العميل على الفور بالقدر الذي يسمح به القانون والممكن بشكل معقول، مع توضيح طبيعة الطلب والمحتوى الذي يمكن الكشف عنه. لن يتم الإفصاح ذي الصلة دون تعليمات من العميل أو أساس قانوني صالح؛ عندما يكون الكشف مطلوبًا بموجب القانون، فإن النطاق سيقتصر على المعلومات الضرورية.
مبادئ الشفافيةنهتم بالشفافية في معالجة طلبات البيانات وننشر معلومات مجمعة مناسبة عندما يسمح القانون، مع حماية الخصوصية والأسرار التجارية وسرية التحقيقات المقررة قانونًا.
بناء ثقة طويلة الأمد بمعايير واضحة
تخطط Cloudlung لحوكمة الأمن وحماية البيانات ومسؤوليات الخدمة وفق مواقع العمل وأنواع البيانات ونطاق النشر. وتسترشد بالمعايير الدولية واللوائح السارية لاختيار التدابير التقنية والتنظيمية. وتحدد الشهادات والوثائق التقنية والعقود نطاق الاعتماد والتقييم ومسؤوليات التسليم.
معايير الأمن وأطر التقييميعرض هذا القسم معايير وأطر تقييم رئيسية للخدمات السحابية والخصوصية والتطبيقات التشفيرية. تُختار المتطلبات وفق الاستخدام وحدود النظام ومنطقة النشر، وتحدد الشهادات والسجلات الرسمية والوثائق التقنية نطاق الاعتماد والتفويض.
حدد المعايير القابلة للتطبيق وفقًا للسيناريوهاتتغطي أنظمة الإدارة وأمن السحابة والبيانات الشخصية والوحدات التشفيرية والتفويضات القطاعية حدودًا تقنية وتنظيمية مختلفة. يبدأ التخطيط من الاستخدام لتحديد أهداف التقييم ونطاق التنفيذ ومتطلبات التسليم.
مرجع معيار المنتج والخدمة
FIPS 140-3 · التحقق من وحدة كلمة المرور
FIPS 140-3 هو المعيار الحالي لبرنامج التحقق من الوحدات التشفيرية CMVP الذي تديره NIST والمركز الكندي للأمن السيبراني. يحدد أربعة مستويات، أعلاها Level 4. يشمل التحقق وحدة وإصدارًا وبيئة تشغيل محددة. انتقلت اعتمادات FIPS 140-2 إلى القائمة التاريخية في 22 سبتمبر 2026، ويخضع استخدامها في الأنظمة القائمة للسياسة السارية.ITAR · لوائح مراقبة التجارة الدفاعية
ITAR هي لائحة مراقبة التجارة الدفاعية الأمريكية في 22 CFR Parts 120-130، ويديرها مكتب ضوابط التجارة الدفاعية التابع لوزارة الخارجية الأمريكية. ويشمل مراقبة تصدير عناصر دفاعية محددة وبيانات وخدمات فنية. إنها ليست شهادة أمان سحابية عامة، ولا يمكن الادعاء بأنها تلبي جميع المتطلبات لمجرد أنها تستخدم تقنية معينة.FedRAMP · تقييم الخدمة السحابية وترخيصها
يوفر FedRAMP تقييمًا أمنيًا وتفويضًا وإطار مراقبة مستمرًا لاستخدام الوكالات الفيدرالية الأمريكية للخدمات السحابية. تتوافق الحالة ذات الصلة مع الخدمة السحابية المحددة وحدود الترخيص الخاصة بها، ويجب أن تخضع للسجلات الحالية والمواد المعمول بها في السوق الرسمي.يعالج FIPS 199 تصنيف أمن المعلومات والأنظمة، ويقدم NIST SP 800-53 فهرسًا لضوابط الأمن والخصوصية. ترتبط حالة FedRAMP بخدمة سحابية وحدود تفويض محددة وفق سجل الخدمة المقابل.
وزارة الدفاع · متطلبات الأمان السحابية الخاصة بالمهمة
تميز متطلبات السحابة لوزارة الدفاع الأمريكية مستويات التأثير بحسب حساسية البيانات والمهمة. تنطبق IL2 وIL5 على سيناريوهات محددة، وتقيّم المشاريع حدود الخدمة والتفويض ومتطلبات الجهة المسؤولة عن المهمة.GB/T 39786-2021 · تطبيق كلمة المرور لنظام المعلومات
يحدد هذا المعيار الوطني الساري متطلبات التشفير بحسب مستوى أمن النظام، بما يشمل البيئة المادية والشبكات والأجهزة والحوسبة والتطبيقات والبيانات والإدارة. ويوجه تصميم الأنظمة وتنفيذها وتقييم استخدام التشفير.منتجات التشفير التجارية وبروتوكولات الشبكة
للحصول على الإصدار الحالي المتعلق بالشبكة والبوابة، راجع: GM/T 0022-2023 "المواصفات الفنية لـ IPSec VPN". الحقول التقنية التالية والإصدارات البديلة التي تم التحقق منها مذكورة أدناه. تخضع المتطلبات المطبقة لإعلان إدارة الدولة لعلم التشفير والمنتجات المحددة ونطاق التقييم:
GM/T 0023-2023 · مواصفات منتج بوابة IPSec VPNGM/T 0024-2023 · المواصفات الفنية SSL VPN
GM/T 0025-2023 · مواصفات منتج بوابة SSL VPN
GM/T 0026-2023 · مواصفات منتج بوابة المصادقة الأمنية
مفتاح كلمة المرور الذكية: تم تقييمه وفقًا لمواصفات المنتج المعمول بها ومتطلبات واجهة تطبيق كلمة المرور GM/T 0016-2023.
GM/T 0028-2024 · متطلبات الأمان لوحدات التشفير
خادم التحقق من التوقيع: التحقق من المواصفات المعمول بها ومواد الاختبار وفقًا لحدود المنتج المحددة.
جهاز تشفير الخادم: التحقق من طراز المنتج والشهادة الصالحة وبيئة التشغيل الفعلية.
التوقيع الإلكتروني: التمييز بين تقنية التشفير وواجهة التطبيق والأثر القانوني. تشير الواجهة إلى GM/T 0131-2023.
التفويض والتحكم في الوصول: التصميم والتحقق من خلال الهوية والدور والامتيازات الأقل ومتطلبات التدقيق.
GM/T 0033-2023 · مواصفات واجهة الطابع الزمني
نظام مصادقة الشهادة: تم التحقق منه وفقًا لخوارزمية SM2 المعمول بها وتنسيق الشهادة الرقمية ومتطلبات البروتوكول.
نظام تحديد الترددات الراديوية: حدد متطلبات كلمة المرور القابلة للتطبيق بناءً على العلامات وأجهزة القراءة والكتابة وبيئات التطبيقات.
الوصول إلى البطاقة بدون تلامس: الجمع بين الوسائط وإدارة المفاتيح وتقييم نطاق تكامل النظام.
اختبار نظام شهادة الشهادة: التحقق من مواصفات الاختبار المعمول بها وتقارير الاختبار.
إدارة مفاتيح مصادقة الشهادة: التحقق من إدارة دورة حياة المفتاح ونطاق الكشف.
كشف كلمة المرور وقابلية التشغيل البيني
حُدثت الإصدارات التالية بموجب الإعلان رقم 50 للإدارة الحكومية للتشفير، ودخلت حيز التنفيذ في 1 يوليو 2025 لاختبارات الأمن وتقييمات التشغيل البيني ذات الصلة:
GM/T 0039-2024·متطلبات اختبار الأمان لوحدات التشفيرGM/T 0040-2024 · مواصفات الكشف عن كلمة المرور لوحدة بطاقة RFID
GM/T 0041-2024 · مواصفات الكشف عن كلمة مرور البطاقة الذكية IC
بروتوكول أمان كلمة المرور الثلاثي من نظير إلى نظير: تحقق من مواصفات الاختبار المعمول بها ونطاق الإبلاغ وفقًا للبروتوكول المحدد.
GM/T 0043-2024 · مواصفات الكشف عن قابلية التشغيل البيني للشهادة الرقمية
مراجع المعايير الحالية
حُدثت إصدارات المعايير في 18 أكتوبر 2026.
لكل من إدارة أمن المعلومات وأمن السحابة وحماية الخصوصية محور مختلف. وتربط الضوابط التنظيمية والتقنية المناسبة المعايير بحالات الاستخدام الفعلية.
ISO/IEC 27001:2022 (بما في ذلك Amd 1:2024) · نظام إدارة أمن المعلومات
إطار لإدارة أمن المعلومات من خلال تقييم المخاطر وتحديد المسؤوليات والتحسين المستمر.
عرض المعلومات القياسية الرسمية ↗ISO/IEC 27017:2026 · التحكم في أمان الخدمة السحابية
ضوابط خاصة بالخدمات السحابية توضح المسؤوليات الأمنية للعملاء ومقدمي الخدمات.
عرض المعلومات القياسية الرسمية ↗ISO/IEC 27018:2025 · حماية المعلومات الشخصية السحابية العامة
إرشادات لحماية الخصوصية في خدمات السحابة العامة التي تعمل بوصفها معالجًا للبيانات الشخصية.
عرض المعلومات القياسية الرسمية ↗ISO/IEC 27701:2025 · نظام إدارة معلومات الخصوصية
نظام لإدارة معلومات الخصوصية يشمل الحوكمة والمساءلة والتحسين المستمر.
عرض المعلومات القياسية الرسمية ↗TLS 1.3 · RFC 9846
يوفر TLS 1.3 حماية للنقل على مستوى البروتوكول. ويعتمد الأمن أيضًا على إعداد الشهادات ومجموعات التشفير ونشر نقاط الاتصال.
عرض المعلومات القياسية الرسمية ↗FIPS 203 / 204 / 205 · معيار التشفير ما بعد الكمي
تتناول ML-KEM وML-DSA وSLH-DSA تغليف المفاتيح والتوقيعات الرقمية، وتوفر أساسًا معياريًا للهجرة التشفيرية طويلة المدى واختيار التقنيات.
عرض المعلومات القياسية الرسمية ↗GB/T 22239-2019 · المتطلبات الأساسية لحماية مستوى أمان الشبكة
تُنظم حماية الأمن السيبراني المتدرجة حول كل نظام معلومات، وتجمع التصنيف والتسجيل والتحسين والتقييم مع تدابير ملائمة لمستواه.
عرض المعلومات القياسية الرسمية ↗مستوى التشغيل من المستوى الرابع · مرجع مستوى التسامح مع الخطأ في مركز البيانات
Tier IV هو أعلى مستويات Uptime الأربعة، ويركز على تحمل الأعطال. وتختلف نطاقات شهادات التصميم والمنشأة المبنية والتشغيل، ويُحدد مستوى كل مركز وفق شهادته.
عرض المعلومات القياسية الرسمية ↗