8.1 Rheoli Seiberddiogelwch a Diogelwch Gwybodaeth
8.1.1 Mae'r Polisi Seiberddiogelwch a Diogelwch Gwybodaeth yn cefnogi gweledigaethau strategol y Brifysgol a’r Gwasanaethau Digidol trwy ddiffinio'r ymagwedd lefel uchel a gymerir i leihau'r risgiau cysylltiedig i'w diogelwch, ei henw da, ei chyllid a'i gweithrediadau.
8.1.2 Bydd yr wybodaeth a reolir gan y Brifysgol yn cael ei diogelu'n briodol i ddiogelu cyfrinachedd, uniondeb ac argaeledd.
8.1.3 Bydd mesurau diogelwch cymesur yn cael eu rhoi ar waith i amddiffyn Systemau Gwybodaeth rhag risgiau seiber a risgiau’n ymwneud â gwybodaeth. Bydd y Brifysgol yn sicrhau diogelwch ei hasedau gwybodaeth er mwyn:
• Cynnal uniondeb ac ansawdd gwybodaeth fel ei bod yn gywir, yn gyfredol ac yn addas i'r diben
• Sicrhau bod gwybodaeth ar gael i'r rhai sydd ei hangen a sicrhau nad oes unrhyw darfu ar fusnes y Brifysgol.
• Sicrhau nad yw cyfrinachedd yn cael ei dorri fel mai dim ond y rhai sydd ag awdurdod i wneud hynny sy’n cyrchu gwybodaeth.
• Darparu sicrwydd o anymwrthod.
8.1.4 Bydd y Brifysgol yn datblygu ac yn cyfleu polisïau, canllawiau a phrosesau Seiberddiogelwch a Diogelwch Gwybodaeth y mae'n ofynnol i'r holl staff, myfyrwyr a thrydydd partïon gydymffurfio â hwy a thrwy hynny sicrhau ei bod yn bodloni ei gofynion cydymffurfio cyfreithiol a rheoleiddiol.
8.1.5 Mae'r Brifysgol wedi ymrwymo'n llwyr i gyflawni ei Dyletswyddau Prevent.
8.1.6 Mae'r Brifysgol yn cydnabod bod gan bob aelod o staff, myfyriwr a thrydydd parti gyfrifoldeb mewn perthynas â Seiberddiogelwch a Diogelwch Gwybodaeth. Mae'r Brifysgol wedi ymrwymo i raglen ymwybyddiaeth, hyfforddiant ac addysg er mwyn mynd i'r afael â'r rhwymedigaeth hon.
8.1.7 Bydd rheolaethau diogelwch yn cael eu dogfennu a'u cyfleu i'r holl randdeiliaid perthnasol.
8.2 Rheoli Risg Seiberddiogelwch a Diogelwch Gwybodaeth
8.2.1 Bydd y Brifysgol yn cymryd camau priodol i nodi, asesu a rheoli risgiau diogelwch i Systemau Gwybodaeth y Brifysgol ac unrhyw dechnolegau eraill sy'n rhan o ystad Ddigidol y Brifysgol.
8.2.2 Bydd ymagwedd sefydliadol at Reoli Risg Seiberddiogelwch a Diogelwch Gwybodaeth, gyda Risgiau Seiberddiogelwch a Diogelwch Gwybodaeth yn cael eu rheoli fel rhan o Fframwaith Rheoli Risg Prifysgol Abertawe i sicrhau bod risgiau'n cael eu rheoli yn unol â pharodrwydd diffiniedig y Brifysgol i dderbyn risg.
8.3 Rheoli Asedau Seiber a Gwybodaeth
8.3.1 Bydd asedau gwybodaeth, caledwedd a meddalwedd y Brifysgol yn cael eu cofnodi mewn cofrestrau asedau cywir a chyfredol, gan gynnwys manylion perchnogion busnes.
8.3.2 Bydd cofnodion asedau gwybodaeth yn ddigonol i alluogi gwneud penderfyniadau sy'n seiliedig ar risg, lleihau'r risg o niwed yn sgîl gwendid mewn caledwedd a meddalwedd, amddiffyn asedau rhag colled, bodloni gofynion cydymffurfio, a llywio contractau.
8.3.3 Bydd y Brifysgol yn sicrhau bod y cofrestrau asedau yn cael eu gwirio'n rheolaidd am anghysondebau, eu diogelu i sicrhau eu cywirdeb a’u hadolygu.
8.3.4 Mae deunyddiau addysgu a gwybodaeth fusnes, beth bynnag yw’r fformat, yn asedau gwybodaeth y Brifysgol a byddant yn cael eu diogelu’n unol â pholisïau, gofynion eiddo deallusol a rhwymedigaethau cyfreithiol perthnasol y Brifysgol.
8.3.5 Bydd data ymchwil ac allbynnau ymchwil sy’n cael eu prosesu, eu storio neu eu rheoli gan ddefnyddio systemau, gwasanaethau neu isadeiledd y Brifysgol yn cael eu rheoli a’u diogelu yn unol â pholisïau’r Brifysgol, gofynion cyllidwyr, rhwymedigaethau contractiol, cymeradwyaeth foesegol, hawliau eiddo deallusol a gofynion cyfreithiol cymwys.
8.3.6 Mae’r Brifysgol yn rhoi rheolaethau priodol ar waith i atal tynnu, copïo, lawrlwytho, prosesu neu ailddosbarthu deunyddiau addysgu, gwybodaeth fusnes, data ymchwil ac allbynnau ymchwil sydd o dan ei stiwardiaeth neu ei rheolaeth heb awdurdod.
8.3.7 Ni chaiff deunyddiau addysgu, gwybodaeth fusnes, data ymchwil, allbynnau ymchwil na metadata cysylltiedig eu defnyddio i hyfforddi, mireinio, dilysu neu ddatblygu mewn unrhyw ffordd arall ddeallusrwydd artiffisial neu systemau dysgu peirianyddol heb awdurdodiad priodol a chan ystyried gofynion cyfreithiol, contractiol, moesegol, a gofynion eiddo deallusol, cyllidwyr a diogelu data.
8.3.8 Gellir gwneud cais am awdurdodiad gan ddefnyddio’r Broses Gwneud Cais am Eithriad.
8.4 Rheoli Seiber a Mynediad at Wybodaeth
8.4.1 Mae mynediad at Systemau Gwybodaeth y Brifysgol yn cael ei reoli a'i fonitro trwy bolisïau, canllawiau a phrosesau.
8.4.2 Defnyddir manylion unigryw cyfrifon defnyddwyr i reoli mynediad staff, myfyrwyr a thrydydd partïon at Systemau Gwybodaeth y Brifysgol a lleoliadau yn ôl yr angen ar gyfer eu rôl a'u tasgau swyddogaethol.
8.4.3 Rhaid diogelu pob cyfrif gan ddefnyddio ffactor deuol, lle bynnag y bo'n bosibl. Pan ddefnyddir cyfrineiriau, rhaid iddynt fod yn gymhleth ac yn anodd eu dyfalu yn unol â chyngor diweddaraf yr NCSC.
8.4.4 Ni fydd cyfrifon defnyddwyr gweinyddol a/neu freintiedig yn cael eu defnyddio ond pan fo angen gwneud hynny i gyflawni gweithgareddau gweinyddol neu uwch sydd wedi’u hawdurdodi. Caiff gweithgareddau arferol, gan gynnwys anfon e-byst, pori’r we, creu dogfennau, cydweithredu a thasgau gwaith o ddydd i ddydd eraill eu cynnal gan ddefnyddio cyfrif defnyddiwr safonol. Caiff mynediad breintiedig ei adolygu’n rheolaidd a chaiff ei dynnu’n ôl pan na fydd ei angen mwyach. Rhoddir cyrchfreintiau ar gyfer pob cyfrif defnyddiwr yn unol â'r egwyddor braint leiaf.
8.4.5 Bydd y Brifysgol yn defnyddio system Rheoli Hunaniaeth a Mynediad ar gyfer rheoli cyfrifon defnyddwyr drwy gydol eu cylch oes. Bydd y system yn sicrhau bod manylion mewngofnodi cyfrif unigryw yn cael eu creu, eu diweddaru a'u dileu yn brydlon i reoli mynediad at Systemau Gwybodaeth a lleoliadau sy'n angenrheidiol ar gyfer swyddogaeth y rôl.
8.4.6 Bydd y Brifysgol yn sicrhau bod mesurau Adnabod, Awdurdodi, Cyfrifyddu ac Archwilio priodol ar waith ar gyfer yr holl Systemau Gwybodaeth. Bydd lefel briodol o gofnodi, monitro a chadw yn cael ei gweithredu.
8.5 Gwydnwch Busnes Seiber a Gwybodaeth
8.5.1 Bydd y Brifysgol yn cymryd camau priodol i sicrhau bod Diogelwch Gwybodaeth a Seiberddiogelwch yn rhan annatod o systemau rheoli parhad busnes y sefydliad a'i bod yn rhan gynhenid o gynllunio parhad busnes.
8.5.2 Bydd y Brifysgol yn sicrhau bod prosesau Rheoli Seiberddigwyddiadau wedi'u diffinio'n dda ar waith, wedi’u dogfennu ac yn cael eu profi'n rheolaidd.
8.5.3 Mae'r Brifysgol wedi ymrwymo i nodi a datrys digwyddiadau Seiberddiogelwch a Diogelwch Gwybodaeth yn gyflym, yn effeithiol ac yn unol â gofynion cydymffurfio:
a. Bydd y Brifysgol yn nodi digwyddiadau Seiberddiogelwch a Diogelwch Gwybodaeth, yn ymateb iddynt ac yn adfer ohonynt er mwyn lleihau'r effaith ar fusnes a lleihau'r risg o ddigwyddiadau tebyg yn y dyfodol.
b. Bydd y Brifysgol yn cydymffurfio â gofynion statudol a chontractiol mewn perthynas ag adrodd
c. Bydd y Tîm Ymateb i Seiberddigwyddiadau yn gyfrifol am reoli digwyddiadau Diogelwch Gwybodaeth a Seiberddiogelwch
d. Bydd adolygiad yn cael ei gynnal ar ôl pob digwyddiad o'r fath i ganfod yr achos sylfaenol, tynnu sylw at welliannau ac unrhyw wersi a ddysgwyd y gellir eu cymhwyso i wella'r broses.
8.5.4 Bydd y Brifysgol yn cwblhau rhaglen o asesu a lliniaru risg a fydd yn sicrhau bod cynlluniau adfer ar ôl trychineb manwl yn cael eu cofnodi ar gyfer pob gwasanaeth digidol sy'n hanfodol i fusnes, er mwyn i'r gwasanaeth hwnnw gael ei adfer yn unol â’r amserlen y cytunwyd arni pe bai methiant mawr.
8.5.5 Bydd y Brifysgol yn datblygu, yn dogfennu ac yn profi cyfres o gynlluniau i alluogi gwasanaethau busnes i barhau i gael eu darparu i lefel y cytunwyd arni, pe bai trychineb neu argyfwng yn effeithio ar Systemau Gwybodaeth. Bydd y cynlluniau hyn ar gael i randdeiliaid perthnasol.
8.5.6 Bydd Cynlluniau Parhad Busnes ac Adfer ar ôl Trychineb ar gyfer Seiber a Gwybodaeth yn cael eu datblygu fel rhan o Gynlluniau Parhad Busnes y Brifysgol. Bydd Cynlluniau Seiber a Gwybodaeth yn cael eu profi a'u hadolygu'n rheolaidd, er mwyn sicrhau bod y cynlluniau'n effeithiol ac yn addas i'r diben.
8.6 Rheoli Dyfeisiau a Gwasanaethau
8.6.1 Mae'r Brifysgol wedi ymrwymo i sicrhau bod dyfeisiau digidol sefydlog a chludadwy a ddefnyddir i gael mynediad at systemau gwybodaeth y Brifysgol yn cael eu rheoli'n ddiogel a'u hamddiffyn rhag risg seiber drwy gydol eu cylch oes.
8.6.2 Bydd dyfeisiau cyfrifiadurol defnyddwyr terfynol sefydlog a chludadwy sy'n eiddo i'r Brifysgol yn cael eu rheoli'n ganolog a'u ffurfweddu'n ddiogel yn unol â safonau arfer da derbyniol.
8.6.3 Mae'r Brifysgol wedi ymrwymo i sicrhau bod dyfeisiau cyfryngau storio sefydlog a chludadwy yn cael eu diogelu a'u rheoli'n briodol fel bod gwybodaeth a systemau'n cael eu diogelu tra mae data'n cael ei gludo a phan fydd yn llonydd.
8.6.4 Mae'r Brifysgol yn cefnogi 'dewch â'ch dyfais eich hun' (BYOD) ar yr amod ei bod yn bodloni'r safonau diogelwch gofynnol a fydd yn cael eu gorfodi gan reolaethau mynediad amodol.
8.7 Seiberddiogelwch a Diogelwch Gwybodaeth Diriaethol
8.7.1 Bydd y Brifysgol yn cyfyngu mynediad corfforol at ei chyfleusterau, megis canolfannau data ac ystafelloedd cyfarpar rhwydwaith, i bersonél awdurdodedig a bydd yn cael ei reoli’n unol â phrosesau rheoli mynediad wedi'u dogfennu.
8.7.2 Bydd y Brifysgol yn sicrhau bod prosesau priodol ar waith i leihau'r risgiau diriaethol i'w gwybodaeth, ei systemau a’i gwasanaethau o fygythiadau a pheryglon amgylcheddol mewnol ac allanol.
8.7.3 Bydd y Brifysgol yn sicrhau bod unrhyw berson(au) a ddisgrifir fel ymwelwyr â'r cyfleusterau cyfyngedig yn cael eu rheoli'n briodol ac yn cael eu goruchwylio'n briodol bob amser.
8.8 Dylunio gan Ystyried Seiberddiogelwch a Diogelwch Gwybodaeth
8.8.1 Bydd y Brifysgol yn cymryd camau priodol i sicrhau bod ei Systemau Gwybodaeth a thechnolegau isadeiledd digidol eraill wedi'u dylunio i fod yn ddiogel ac yn gallu gwrthsefyll seiberddigwyddiadau.
8.8.2 Mae'r Brifysgol yn sicrhau bod profion o darddiad, dilysrwydd ac uniondeb data yn cael eu hystyried wrth ddylunio a gweithredu atebion technoleg.
8.9 Diogelwch Rhwydwaith a Gweithredol
8.9.1 Mae'r Brifysgol wedi ymrwymo i sicrhau bod mesurau diogelwch priodol ar waith i reoli'r risgiau a nodir a sicrhau bod asedau gwybodaeth a gedwir yn Systemau Gwybodaeth y Brifysgol yn cael eu diogelu.
8.9.2 Bydd y Brifysgol yn cymryd camau priodol i ddiogelu cyfrinachedd, uniondeb ac argaeledd asedau gwybodaeth i atal defnyddwyr a dyfeisiau heb awdurdod rhag cael mynediad at ei Systemau Gwybodaeth.
a. Bydd mynediad at systemau a gwasanaethau gwybodaeth yn seiliedig ar yr egwyddor o fraint leiaf.
b. Bydd yr holl ddyfeisiau cysylltiedig yn cael eu ffurfweddu'n briodol, a'u monitro gan y Gwasanaethau Digidol.
8.9.3 Mae'r Brifysgol wedi ymrwymo i ddiogelu uniondeb ei hasedau gwybodaeth trwy roi systemau a phrosesau monitro ar waith sy'n cydgrynhoi logiau, yn nodi seiberfygythiadau ac yn cefnogi ymchwiliadau.
8.9.4 Rhaid i bob newid i Systemau Gwybodaeth y Brifysgol gael ei awdurdodi a'i weithredu yn unol â phrosesau Rheoli Newid Gwasanaethau Digidol.
8.9.5 Rhaid i staff, myfyrwyr a thrydydd partïon gydweithredu’n amserol a darparu'r holl wybodaeth a mynediad angenrheidiol i gefnogi ymchwiliad gan Dîm Seiberddiogelwch y Gwasanaethau Digidol.
8.9.6 Bydd mesurau diogelwch yn cael eu dogfennu a'u cyfleu i randdeiliaid perthnasol ar ffurf canllawiau a phrosesau.
