فحص أمان تطبيقات الجوال: كيف نتأكد عند الاستلام من حماية المطور للبيانات؟

تُعد البيانات الصحية في ألمانيا بيانات ذات طبيعة خاصة بموجب المادة 9 من DSGVO. القول بوجود SSL يشبه القول بأن الباب الخارجي للمبنى مقفل لكن جميع أبواب الغرف الداخلية مفتوحة. لا تدفع الدفعة الأخيرة أبداً دون رؤية تقرير اختبار مستقل.

في تطبيق صحي مشابه، أخبرنا المطور أن كل شيء مكتمل تماماً. استعنا بجهة خارجية لاختبار الـ API لمدة يومين بتكلفة 2.500 EUR. أظهر التقرير أنه بمجرد تغيير معرف المريض (ID) يمكن سحب كامل سجل المواعيد. ذلك الاختبار أنقذنا من تعويضات محتملة بمئات آلاف اليوروهات.

هل يحتوي العقد الموقع مع الوكالة على بند لإجراءات الاستلام (Abnahme)؟ في العقود الألمانية توجد عادة فترة مراجعة تتراوح بين 14 و30 يوماً بعد التسليم. إذا كان هذا البند موجوداً، يمكنك إجراء الفحص المستقل خلال هذه المهلة القانونية وتقديم طلبات التعديل رسمياً.

اسألهم بالتأكيد عما إذا تم تطبيق تثبيت الشهادات (certificate pinning) في التطبيق. واطلب تحديداً فحص مدة صلاحية رموز الجلسات (JWT token) المنشأة في الخادم وما إذا كان يتم إبطالها في الخادم عند تسجيل الخروج. هذه أكثر الثغرات التي يتم إغفالها.

حتى لو لم تكن لديك خلفية تقنية، يمكنك رفع ملف تثبيت التطبيق على إحدى أدوات فحص أمان تطبيقات الجوال مفتوحة المصدر. ستكشف لك بوضوح في تقرير مدته 15 دقيقة عن الأخطاء الأساسية مثل كلمات سر قواعد البيانات أو مفاتيح API المنسية داخل الكود.

لا تنخدع بملفات PDF العامة المكونة من 40 صفحة والتي تستخرجها الوكالات من الأدوات التلقائية بدعوى أنها تقارير أمان. الأدوات التلقائية لا تكتشف أخطاء منطق العمل وثغرات الصلاحيات. يجب أن يحمل التقرير توقيع خبير أجرى اختباراً يدوياً.

اذا بند الامان مش مكتوب بوضوح بالعقد ممكن تضغط عليهم بصعوبة بس ركز على الالتزام القانوني للقطاع الصحي وطيب قولهم مستحيل نطلق التطبيق بدون تدقيق مستقل وبيساعدوك غصب عنهم.

تخوفك في محله تماماً. المطورون عادة يركزون على ما إذا كان الزر يعمل والشاشة تفتح، ويتركون عزل البيانات في الواجهة الخلفية لآخر أولوياتهم. على كل حال أمّن نفسك؛ أجّل الإطلاق أسبوعين واستلم المشروع وأنت مرتاح البال.

أنا في نفس الوضع، لذلك أسأل. نسخة احتياطية غير مختبرة ليست نسخة احتياطية.

لدي اعتراض هنا. كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

حدث معي العكس تماماً، لذلك أكتب هذا. تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

أحسنت في فتح هذا العنوان.

ارتحت لقراءة هذه الإجابة، يبدو أن المشكلة ليست عندي وحدي. يعني كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

هذا كل شيء، أرجو المعذرة إذا أطالت.

أتفق، بل أود التأكيد على هذه النقطة. أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

دعني أتركها كملاحظة، قد تكون مفيدة.

أنت محق.

شكرًا، هذا هو الجواب الذي كنت أبحث عنه.

أنت محق، لقد مررت بنفس المسار. وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

كنت أفكر في نفس الشيء. إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.