المراجعة الأمنية: اجعلها شرط قبول لا إجراءً لاحقًا
الملاحظة الأمنية التي تُكتشف قبل التوقيع على القبول تُعالَج ضمن العقد. والتي تُكتشف بعده تصبح طلب تغيير مسعّرًا — أو تبقى بلا معالجة.
رد خلال يوم عمل واحد · بدون التزام
الإجابة المباشرة: اربط المراجعة الأمنية بـمعايير القبول التعاقدية، لا بمرحلة لاحقة. الصيغة العملية: «لا يُعتبر النظام مقبولًا حتى تُعالَج الملاحظات الحرجة والعالية من المراجعة الأمنية». هذه الجملة وحدها تغيّر ترتيب أولويات المشروع كله.
ثلاثة مستويات للمراجعة
| المستوى | ما يشمله | متى | من ينفّذه |
|---|---|---|---|
| مراجعة وثائقية | وصف الضوابط المطبقة: التشفير، والصلاحيات، والسجل، والنسخ الاحتياطي | مرحلة التقييم قبل الترسية | فريقكم التقني |
| مراجعة تهيئة | فحص الإعداد الفعلي: الصلاحيات، وسياسة كلمات المرور، والحسابات الافتراضية | بعد التهيئة قبل الإطلاق | فريقكم أو مستشار |
| اختبار اختراق | محاولة استغلال فعلية | قبل القبول النهائي | طرف ثالث مستقل |
المستوى الثاني هو الأعلى عائدًا والأقل تكلفة. أغلب الثغرات العملية ليست في المنتج بل في تهيئته: حساب افتراضي لم يُعطَّل، أو صلاحية واسعة مُنحت للتسهيل أثناء التجربة ونُسيت.
قائمة فحص التهيئة
- هل عُطِّلت كل الحسابات الافتراضية والاختبارية؟
- هل حسابات مديري النظام محصورة في الحد الأدنى ومسمّاة لأشخاص؟
- هل تطابق الصلاحيات الفعلية المصفوفة المعتمدة؟ (قارن فعليًا لا افتراضًا)
- هل سياسة كلمات المرور والتحقق مطبّقة كما اتُّفق؟
- هل سجل التدقيق مفعّل لكل الأحداث المتفق عليها؟
- هل النسخ الاحتياطي يعمل وجُرِّبت استعادته فعليًا لا نظريًا؟
- هل بيئة الاختبار خالية من بيانات الإنتاج؟
- هل حسابات الدعم معطّلة افتراضيًا؟
البند السادس هو الأكثر خداعًا: نسخ احتياطي «يعمل» لم تُختبر استعادته ليس نسخًا احتياطيًا بل افتراضًا. اطلب اختبار استعادة كاملة قبل القبول، ووثّق نتيجته.
كيف تُدرَج في العقد
في كراسة الشروط
اشترط حق إجراء مراجعة أمنية قبل القبول وتعاون المورّد فيها — ذكرها بعد التوقيع يجعلها تفضلًا.
في معايير القبول
اربط القبول بمعالجة الملاحظات الحرجة والعالية، مع تعريف مكتوب للتصنيف.
في الجدول الزمني
خصّص مدة للمراجعة والمعالجة. المشروع الذي لا يخصص لها وقتًا يضغطها في اليوم الأخير أو يتخطاها.
بعد التشغيل
حدّد وتيرة مراجعة دورية وعند التغييرات الجوهرية.
تصنيف الملاحظات ومعالجتها
| التصنيف | المعالجة | الأثر على القبول |
|---|---|---|
| حرجة | قبل الإطلاق | مانعة للقبول |
| عالية | قبل القبول النهائي | مانعة للقبول |
| متوسطة | خطة معالجة بمدة متفق عليها | لا تمنع، وتُدرَج في خطة |
| منخفضة | تُوثَّق وتُراجَع دوريًا | لا تمنع |
اتفق على التصنيف قبل المراجعة لا بعدها — وإلا تحوّل النقاش من المعالجة إلى الجدل حول درجة الخطورة.
ما يجب تجنّبه
- مراجعة يجريها المورّد على نفسه. مفيدة كخطوة أولى، لا كبديل عن مراجعة مستقلة.
- المراجعة على بيئة الاختبار وحدها. الثغرات في التهيئة تكون في الإنتاج غالبًا.
- تقرير بلا خطة معالجة. التقرير الذي ينتهي بقائمة ملاحظات دون مالك ومهلة لكل ملاحظة يُحفظ ولا يُنفَّذ.
أسئلة شائعة
هل نحتاج اختبار اختراق لكل نظام؟
يعتمد على حساسية بياناتكم ومتطلباتكم. المراجعة الوثائقية وفحص التهيئة حد أدنى معقول لأي نظام يحمل مراسلات رسمية؛ واختبار الاختراق للبيئات الأعلى حساسية.
من يتحمل تكلفة المعالجة؟
حدّده تعاقديًا: ما يعود إلى المنتج أو التهيئة التي نفّذها المورّد على حسابه، وما يعود إلى متطلب جديد يُسعَّر. الغموض هنا مصدر نزاع.
متى نجري المراجعة الدورية؟
سنويًا وعند كل تغيير جوهري: ترقية كبيرة، أو تكامل جديد، أو تغيير في نموذج النشر.
نرحّب بمراجعتكم الأمنية
اطرح متطلبات المراجعة الأمنية في مرحلة المتطلبات، ونوضّح ما يمكن إتاحته ومتى ضمن خطة التسليم.