الأمان
الأمان ليس ميزة، بل هو البنية نفسها.
نذكر في هذه الصفحة فقط الإجراءات التي نطبقها فعلًا في منتجاتنا وتشغيلها. ولا نلمّح إلى شهادة أو تدقيق لا نملكه.
الهوية والوصول
إجراءات قياسية في الأساس المشترك الذي تُبنى عليه منتجاتنا على الويب.
الأدوار والصلاحياتكل شاشة وإجراء مرتبط بصلاحية مستقلة؛ ولا يرى المستخدم إلا ما يتطلبه عمله. وتُدار الصلاحيات من مكان واحد.
تسجيل الدخول بخطوتينيمكن تفعيل تسجيل الدخول بخطوتين بتطبيق مصادقة (TOTP) لكل مستخدم.
كلمات المرور والقفل8 أحرف على الأقل مع أرقام وحروف؛ ويُقفل الحساب 15 دقيقة بعد 5 محاولات فاشلة.
الجلساترمز وصول قصير العمر في ملف تعريف HttpOnly؛ ويتغير رمز التحديث مع كل استخدام، ويمكن إنهاء الجلسات عن بُعد.
تحديد عدد الطلباتحدود لكل عنوان IP على تسجيل الدخول وكلمات المرور والنماذج العامة تمنع هجمات التخمين وإغراق النماذج.
التدقيق والتتبّع
سجل التغييراتيُسجَّل إنشاء السجلات وتعديلها وحذفها: من غيّر أي حقل ومتى، مع القيمة القديمة والجديدة.
سجل الأمانتُحفظ محاولات تسجيل الدخول وأحداث الجلسات بشكل منفصل.
الأوامر الحرجةفي المنتج الصناعي يُسجَّل كل أمر يُرسل إلى الميدان مع المستخدم والقيمة؛ وتتطلب إجراءات مختارة توقيعًا إلكترونيًا أو موافقة شخص ثانٍ.
مدد الاحتفاظلا تُحفظ السجلات إلى الأبد؛ إذ تحذف مهمة مجدولة المنتهية منها. فمثلًا يحتفظ Bella SCADA بسجل التدقيق سنة، وسجل الأمان سنتين، وسجلات التطبيق 90 يومًا.
حماية البيانات
التشفير أثناء النقلتمر كل الاتصالات عبر TLS؛ ويُلزم HSTS المتصفح باستخدام اتصالات آمنة فقط.
كلمات المرورلا تُخزَّن كلمات المرور كنص صريح، بل كبصمة مملّحة لا يمكن عكسها.
الأسرار خارج الشيفرةتُحفظ سلاسل الاتصال والمفاتيح في ملف بيئة على الخادم لا في الشيفرة المصدرية.
الاحتفاظ بالبيانات الشخصيةتُحذف البيانات الشخصية أو تُجهَّل عند انتهاء الغرض منها؛ والمدد مذكورة في إشعار الخصوصية.
التثبيت والنسخ الاحتياطي والبيئات
مكان البياناتفي التثبيت داخل المنشأة تبقى البرمجيات والبيانات على خادمكم؛ وفي السحابة يُكتب مكان البيانات في العقد.
النسخ الاحتياطيتُوثَّق خطوات النسخ الاحتياطي لقاعدة البيانات واستعادتها وتُسلَّم مع التثبيت.
بيئات منفصلةالتطوير والاختبار والإنتاج منفصلة؛ ولا يُختبر ببيانات شخصية حقيقية، فبيانات الاختبار اصطناعية.
اعتماديات محدَّثةتُحدَّث المكتبات المستخدمة خلال فترة الصيانة؛ والتصحيحات الأمنية جزء من الصيانة.
ما لا ندّعيه
- لا نملك حاليًا شهادة ISO 27001 أو SOC 2 أو ما يماثلها؛ وعندما نحصل عليها سنذكرها هنا مع رقمها.
- لا ننشر حاليًا تقرير اختبار اختراق مستقلًا؛ بل نفتح البيئة لاختبارات عملائنا ونغلق النتائج معًا.
- لا يحمل كل منتج كل الإجراءات في الإصدار نفسه؛ وتُذكر الإجراءات المفعّلة لكل منتج كتابيًا في مرحلة العرض.
