ما الذي يسأل عنه المشترون في قطر مورديهم
ترسل البنوك والجهات الحكومية والمؤسسات الصحية وكبرى شركات التجزئة في قطر إلى مورديها عادةً استبيانًا أمنيًا قبل التوقيع. وترتبط الأسئلة غالبًا بالمعايير الوطنية لضمان أمن المعلومات الصادرة عن الجهة الوطنية للأمن السيبراني، وبقواعد القطاع، وبسياسة المشتري نفسه. وتحديد ما ينطبق على منتجك يعود إلى المشتري ومستشارك القانوني. أما ما تملكه أنت فهو أن تكون الأدلة جاهزة.
| سؤال المشتري | الدليل الذي يجيب عنه | أين نساعد |
|---|---|---|
| من يرى ماذا ومن يغيّر ماذا؟ | مصفوفة أدوار وصلاحيات، ومصادقة متعددة العوامل، وقواعد الجلسات وكلمات المرور | نمذجة التهديدات وتصميم التحكم في الوصول |
| أين بياناتنا؟ | خريطة بيانات، ومنطقة الاستضافة، ووجهة النسخ الاحتياطية والسجلات | قرارات المعمارية في مرحلة الاستكشاف |
| هل اختُبر المنتج؟ | تقرير اختبار اختراق مع نتائج إعادة الاختبار | اختبار الاختراق |
| هل رُوجعت الشيفرة؟ | ملاحظات المراجعة وقائمة إصلاحات مرتبطة بالشيفرة | مراجعة الشيفرة الآمنة |
| ماذا لو حدث خطأ؟ | تسجيل وتنبيهات وخطة مكتوبة للحوادث | الاستعداد للحوادث، أدناه |
| على ماذا يعتمد المنتج؟ | جرد للمكتبات والخدمات مع فحصها | فحص التبعيات في مسار الإصدار |
أين يقع عملنا الأمني
نتعامل مع الأمن بوصفه تسلسلًا لا بوابة أخيرة. وكل خطوة تنتج شيئًا يقرؤه فريقك.
مراجعة التهديدات في البداية
قبل اعتماد التصميم نرسم المسارات الأساسية، مثل تسجيل الدخول والدفع وتصدير البيانات وإجراءات الإدارة، ونسأل عمّا قد يحدث من خطأ في كل خطوة: حسابات مسروقة أو طلبات معدَّلة أو ملفات مكشوفة أو ميزات يُساء استخدامها. والتغيير في هذه المرحلة يكلّف حديثًا لا إعادة بناء. يشرح مقال نمذجة التهديدات للفرق الصغيرة الأسلوب، ويعرّف القاموس نمذجة التهديدات.
مراجعة الشيفرة الآمنة أثناء البناء
نقرأ الشيفرة التي تحمل الخطر: المصادقة والتفويض ومعالجة المدخلات ورفع الملفات والأسرار واستدعاءات الدفع. ونطابقها مع فئات OWASP Top 10، ومنها حقن SQL والبرمجة النصية عبر المواقع. وتجري المراجعات بالتوازي مع التسليم، فتُصلح النتائج والشيفرة ما زالت حاضرة في الأذهان.
اختبار الاختراق قبل الإطلاق
يهاجم اختبار الاختراق المنتج وهو يعمل، بإذن مكتوب ونطاق متفق عليه، ليكشف ما لا يراه مراجع يقرأ الشيفرة: عيوب المنطق وأخطاء ضبط الاستضافة وضعف الجلسات. وهو يختلف عن الفحص الآلي كما يشرح مقال اختبار الاختراق مقابل فحص الثغرات. وبعض المشترين، خصوصًا في القطاعات المنظّمة والحكومة، يشترطون أن يجري الاختبار مورّد مدرج في قائمة مقبولة لديهم. لا نستطيع أن نقول لك إن كان ذلك ينطبق عليك، فاسأل المشتري أو مستشارك قبل التعاقد على اختبار.
قائمة إصلاحات مرتبة وإعادة اختبار
يحمل كل بند درجة خطورة والدليل وخطوات إعادة إنتاجه والإصلاح الموصى به. وبعد الإصلاح نعيد الاختبار، ليبيّن التقرير ما وُجد وما أُغلق.
أسئلة الاستضافة وموقع البيانات
مكان البيانات مسألة قانونية وتقنية معًا. وقانون البيانات الشخصية في قطر وقواعد مركز قطر للمال الخاصة بحماية البيانات نقطتا البداية لدى مستشارك، وقد تضيف قواعد القطاع وعقود عملائك شروطًا أخرى. احسم هذه الأسئلة قبل اختيار المنطقة.
- هل يجب أن تبقى البيانات الشخصية داخل قطر، أم يجوز معالجتها في بلد آخر بشروط؟
- أي مناطق في AWS أو Azure أو Google Cloud متاحة قرب مستخدميك، وهل تقدم الخدمات التي تحتاجها؟
- ما الذي يغادر المنطقة الأساسية دون أن ينتبه أحد: النسخ الاحتياطية والسجلات وأدوات تتبع الأخطاء والتحليلات ومزودو البريد وأدوات الدعم؟
- من يستطيع إدارة بيئة الإنتاج، ومن أين، وبأي ضوابط؟
والجواب التقني هو خريطة بيانات تسرد كل وجهة تذهب إليها البيانات، وتشفير أثناء النقل وعند التخزين بمفاتيح تملكها، وبيئات منفصلة، ولا بيانات إنتاج في الاختبار، وسجلات خالية من البيانات الشخصية. نعدّ هذه الخريطة مبكرًا لأنها تحدد المعمارية. ويغطي دليل تطوير التطبيقات الآمنة الضوابط بمزيد من التفصيل.
تقارير يستخدمها فريق الامتثال
لا يفيد التقرير إلا إذا استطاع من فاته الاجتماع أن يعمل به. يضم تقريرنا ملخصًا تنفيذيًا والنطاق والمنهج، ثم كل بند بدرجة خطورته ودليله وخطوات إعادة إنتاجه والإصلاح الموصى به وحالة إعادة الاختبار. نكتب بالإنجليزية، ونستطيع تقديم الملخص وعناوين البنود بالعربية حيث تفضّل الإدارة أو فريق الامتثال ذلك. وتبقى الشيفرة والأوامر ومخرجات الأدوات بالإنجليزية لأنها لغة المطورين وأدوات الأمن.
وإذا كان لدى مشتريك قائمة ضوابط فأخبرنا لنربط النتائج بها. الربط ليس شهادة، لكنه يساعد فريقك على توضيح علاقة الأدلة بالضوابط التي يُبلّغ عنها.
الاستعداد للحوادث
قد يقع حادث حتى في منتج آمن، والساعة الأولى تحدد مساره. نساعدك على تجهيز ما يكمن في المنتج وما يكمن في الفريق.
- تُسجَّل أحداث الأمن: تسجيلات الدخول وتغييرات الصلاحيات والتصدير والدفعات الفاشلة وإجراءات الإدارة. وتخلو السجلات من البيانات الشخصية.
- تصل التنبيهات إلى شخص يستطيع التصرف، خلال أسبوع العمل من الأحد إلى الخميس وخارج ساعات الدوام.
- تُختبر استعادة النسخ الاحتياطية، فلا يكفي أخذها.
- تحدد خطة من صفحة واحدة من يقرر، ومن يخاطب المستخدمين، ومن يخاطب المستشار القانوني.
- يوجد مسار معلن للباحثين للإبلاغ عن المشكلات، مثل سياسة الإفصاح عن الثغرات التي نحتفظ بها لموقعنا.
اسأل مستشارك من يجب إبلاغه ومتى إذا انكشفت بيانات شخصية، فالجواب يتوقف على القانون وعلى عقودك. ثم اكتبه في الخطة كي لا يبحث عنه أحد وقت الحادث.
الوعي بالمعايير الوطنية
المعايير الوطنية لضمان أمن المعلومات في قطر وقواعد الجهات التنظيمية القطاعية، مثل المصرف المركزي للمؤسسات المالية، هي المرجع الذي يعتمد عليه كثير من المشترين. نصمّم مع وعي بهذا المشهد وننظّم الأدلة بحيث يسهل ربطها بقائمة ضوابط. لكننا لا نمنح شهادات، ولا ندقق عليك وفق معيار، ولا نعد بأن ينجح منتج في تقييم عميل أو جهة تنظيمية.
هذه الصفحة للتوعية وليست استشارة قانونية. المعايير والجهات التنظيمية والالتزامات القانونية تتغير. أكّد ما ينطبق على منتجك مع مستشار قانوني محلي مؤهل ومع المشتري.
وللصورة الأشمل راجع تطوير البرمجيات والأمن السيبراني للشركات في قطر، وللخدمة العامة راجع الأمن السيبراني.