البنية التحتية الأمنية
تحمي OMPAY بيانات العملاء ومعاملاتهم من خلال ضوابط متوافقة مع المعايير الدولية ومتطلبات البنك المركزي العماني.
المعايير والشهادات
- الامتثال لمعيار PCI DSS الإصدار 4.0 الخاص ببيئات بيانات حاملي البطاقات
- برنامج إدارة أمن المعلومات وفق معيار ISO/IEC 27001.
- التوافق مع معياري ISO/IEC 27002 وISO/IEC 27701 الخاصَّين بالخصوصية، وإرشادات NIST للأمن السيبراني.
- الامتثال لمتطلبات الأمن السيبراني الصادرة عن البنك المركزي العماني الخاصة بمزوّدي خدمات الدفع المرخّصين.
التشفير
- تُحمى البيانات أثناء النقل باستخدام بروتوكول TLS 1.2 أو أعلى.
- تُشفَّر البيانات الحساسة أثناء التخزين باستخدام خوارزميات معتمدة في هذا المجال.
- تُدار مفاتيح التشفير وفق ضوابط PCI DSS وISO 27001.
- تُستخدم تقنية الترميز (Tokenization) لحماية بيانات البطاقات حيثما أمكن ذلك.
الهوية والصلاحيات
- التحكم بالوصول وفق الأدوار الوظيفية لموظفي OMPAY.
- المصادقة متعددة العوامل للأنظمة الإدارية والحساسة.
- تطبيق مبدأ الحد الأدنى من الصلاحيات من خلال مراجعات دورية للصلاحيات.
- مصادقة العملاء عبر رقم التعريف الشخصي (PIN)، والبيانات البيومترية، وربط الجهاز
أمن الشبكات والبنية التحتية
- شبكات مقسّمة تفصل الخدمات الموجَّهة للعملاء عن الأنظمة الداخلية.
- جدران حماية لتطبيقات الويب تحمي الخدمات العامة.
- مراقبة مستمرة لحركة الشبكة لرصد أي نشاط غير معتاد.
- حماية من هجمات حجب الخدمة الموزَّعة (DDoS) عند محيط الشبكة.
- إعدادات معزَّزة للخوادم والحاويات ونقاط النهاية.
أمن التطبيقات
- دورة حياة آمنة لتطوير البرمجيات تشمل مراجعة الأكواد من قبل الزملاء.
- اختبارات أمنية ثابتة وديناميكية للتطبيقات.
- فحص الثغرات واختبارات الاختراق الخارجية بشكل دوري.
- إدارة التحديثات وفق جداول زمنية مبنية على درجة الخطورة.
- إدارة مكونات الأطراف الثالثة وفحص التبعيات البرمجية.
المراقبة والاستجابة للحوادث
- قدرات عمليات أمنية مخصصة للمراقبة المستمرة.
- إجراءات استجابة للحوادث متوافقة مع معيار ISO 27001 ومتطلبات البنك المركزي العماني.
- تمارين محاكاة دورية ومراجعات لاحقة للحوادث.
- الإبلاغ إلى البنك المركزي العماني وجهات أخرى مختصة عند الاقتضاء.
حماية البيانات والخصوصية
- التعامل مع البيانات الشخصية وفق المرسوم السلطاني رقم 6/2022 بشأن حماية البيانات الشخصية.
- ضوابط لتقليل جمع البيانات ومدة الاحتفاظ بها.
- دمج مبدأ “الخصوصية بالتصميم” في تطوير المنتجات.
- حق العميل في الوصول إلى بياناته الشخصية وتصحيحها وطلب حذفها، مع مراعاة فترات الاحتفاظ القانونية.
إدارة مخاطر الأطراف الثالثة
- تقييم أمني وامتثالي لمزوّدي الخدمات الذين يتعاملون مع بيانات العملاء.
- التزامات تعاقدية متعلقة بالأمن والسرية.
- مراجعات دورية للموردين وبنود الحق في التدقيق حيثما اقتضى الأمر.
استمرارية الأعمال والمرونة التشغيلية
- خطط موثَّقة لاستمرارية الأعمال والتعافي من الكوارث.
- اختبار دوري لإجراءات التعافي.
- قدرات معالجة بديلة للخدمات الحيوية.
- تغطية تأمينية ضد المخاطر السيبرانية لدعم الاستجابة والتعافي.
الإفصاح المسؤول
في حال اكتشافك مشكلة أمنية، يُرجى إبلاغنا عبر [email protected]. ونقوم بالإقرار باستلام البلاغات على مدار الساعة طوال أيام الأسبوع، ونعمل مع الباحثين الأمنيين بحسن نية لمعالجة النتائج الصحيحة. ويُرجى:
- تقديم تفاصيل كافية تمكّننا من إعادة إنتاج المشكلة.
- تجنّب الوصول إلى بيانات العملاء، أو تعديل الأنظمة، أو إجراء اختبارات حجب الخدمة.
- إتاحة وقت معقول لمعالجة الثغرة قبل الإفصاح العلني عنها.