عميلنا يريد إضافة بند تدقيق أمني في العقد، شو يعني هاد؟

قبل ما تجلس مع العميل لازم توضّح هالثلاث نقاط: 1) هل يبون فحص تقني للثغرات أو تدقيق يركّز على الشهادات؟ 2) مين راح يختار شركة التدقيق ومين راح يدفع رسوم التدقيق؟ 3) إذا طلعت ملاحظة، كيف راح تتأثر مدة التصحيح وجدول الإطلاق؟ إذا ما ربطت هالثلاث بنود في العقد، العملية راح تتعطّل.

لا ترفض العقد فورًا بس حُطّ حد لهالجملة. خلّهم يضيفون للنص عبارة "اختبار اختراق على مستوى التطبيق بنطاق يراه العميل معقولًا وبحد أقصى مرة واحدة سنويًا". حتى اقترح إن رسوم المدقق يتحمّلها العميل في السنة الأولى أو تُضاف لفاتورة الـ55,000 دولار. عادة قسم المشتريات المؤسسي يقبل هالشي.

نحن واجهنا هالبند في وضع مشابه لما كنا نعمل عقد بـ40,000 دولار مع شركة مقرها نيويورك. اتفقنا مع فريق اختبار مستقل وسوّينا اختبار اختراق صندوق رمادي بس للـAPI واللوحة. العملية أخذت 8 أيام عمل ودفعنا 4,200 دولار. أغلقنا ثغرتين متوسطتين في التقرير خلال 3 أيام وعرضناه على العميل، وقبلوه على طول.

شو البيانات اللي راح تحفظونها في نظام العميل؟ هل تدخلون في مجالات خاضعة للتنظيم زي بطاقات الائتمان أو المعلومات الصحية الشخصية أو بيانات الموظفين الحساسة؟ إذا كان بس بيانات لوجستية تشغيلية ومعلومات مسارات، ممكن حتى وحدة التوافق المؤسسي عند العميل تقتنع بنماذج أسئلة أمنية جاهزة. جربتوا تقدّمون لهم وثيقة أمن البنية التحتية الخاصة فيكم؟

صار لنا نفس الشي، هالبند موجود كمعيار في قوالب العقود الجاهزة للشركات المؤسسية. لما اتصلنا وسألنا، هم نفسهم ما كانوا عارفين بالضبط شو يبون، وطلع إنه بس تعبئة استبيان الأمن الداخلي كان كافي. بصراحة لا تشتروا خدمة تدقيق غالية من برا على الفاضي، أول شي اطلبوا منهم كتابيًا شو يتوقعونه بالضبط.

كثير ناس يقولون على طول سوّوا اختبار اختراق رخيص وخلصوا، بس الموضوع مو بهالبساطة. إذا قسم IT عند العميل مؤسسي، راح يدققون حتى في صيغة التقرير واعتماد الشركة اللي سوّت التدقيق. إذا حطيت قدامهم تقرير فحص آلي بـ1,000 دولار لقيته بسرعة من النت، راح تخلق عدم ثقة. لا تضرّ بصورتك المهنية وأنت تحاول تصغّر النطاق.

بند حق التدقيق ممارسة شائعة في العقود المؤسسية. بس لازم تُرسم حدود هالحق بالتأكيد. أنصح بإعداد بروتوكول إضافي ينص على إن التدقيق يتم فقط خلال ساعات العمل العادية، وما يعطّل العمليات التشغيلية، وينفّذه كيان مستقل خاضع لاتفاقية سرية، وإن التكاليف الناتجة تُدرج في الميزانية.

طيب خلال هالتدقيق، هل نضطر نسلّم الأكواد المصدرية للعميل أو للطرف الثالث اللي يسوي التدقيق؟ من ناحية الملكية الفكرية، هل فيه خطر إن أكوادنا تتسرب لبرا، أو إن النظام يُختبر من الخارج بس؟

صحيح. طيب معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

تشتت النقاش، دعني ألخصه. نسخة احتياطية غير مختبرة ليست نسخة احتياطية.

مثبت بالتجربة.

عانيت من نفس الشيء.

هناك نقطة لم أفهمها. فعل الجميع لشيء ما لا يعني أنه صحيح.

هذا كل شيء، أرجو المعذرة إذا أطالت.

أحسنت، بارك الله في جهدك. يعني إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

ظهرت ثلاث وجهات نظر مختلفة، وكلها تكمل بعضها. الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً.

صححوا لي إن أخطأت.

أوافق.

صحيح.

الطريق الذي يبدو رخيصاً غالباً ما يكلف غالياً لاحقاً. عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء.

موضوع في الوقت المناسب تمامًا.