شغال في قسم المشتريات المؤسسية. تقريباً كل الأعطال اللي سببتها مشاكل أمنية خلال السنتين اللي فاتوا كانت بسبب موردينا، مش بسبب أنظمة الشركة نفسها.
واحد من موردينا اتسرق منه الوصول للنظام؛ ما وصلوش لبياناتنا مباشرة، بس المراسلات اللي كانت بينا وبينهم اتسربت، وبعدها وصلتنا فواتير مزورة.
خليني أشارككم إزاي دمجنا الموضوع ده في عمليات الشراء وأين واجهنا صعوبات، وأنا منفتح على أي إضافات.
ملاحظة في محلها تماماً. الخطر القادم من الموردين بيحدد الحلقة الأضعف، بغض النظر عن مستوى نضج المؤسسات نفسها.
خليني أقترح إطار عمل قابل للتطبيق وممكن دمجه في عمليات الشراء.
أولاً، صنّفوا الموردين حسب مستوى الأهمية. الموردين اللي عندهم وصول لبياناتنا، أو متوصلين بنظامنا، واللي بس بيفوتروا، ما ينفعش يتعاملوا بنفس مستوى التدقيق. إرسال نفس قائمة الأسئلة اللي فيها مية بند للجميع بيخلق بيروقراطية محدش بيملأها صح.
بالنسبة للموردين الحساسين، أنصح بإدراج البنود دي في العقد: إبلاغنا بحدوث حوادث أمنية خلال مدة محددة، إخطارنا مسبقاً باستخدام أي مقاولين من الباطن، إتلاف بياناتنا وتوثيق ذلك عند انتهاء العقد، واستخدام حسابات مسماة للوصول.
حالة الفواتير المزورة اللي حكيتوا عنها دي موضوع تاني خالص: دي مش مشكلة تقنية، دي ثغرة في الإجراءات. لازم ما نقبلش تغييرات في بيانات الدفع عن طريق المراسلات بس، ولازم نتأكد عن طريق قناة تانية باستخدام رقم تليفون معروف مسبقاً. القاعدة دي لوحدها بتمنع أكتر أنواع الخسائر المالية شيوعاً.
من ناحية المالية، أنا أدعم النقطة الأخيرة دي بقوة، إحنا كمان صار لنا نفس الموقف تقريباً.
القاعدة اللي بنطبقها عندنا هي: لما يجينا طلب لتغيير رقم الحساب، ما نردش على نفس القناة اللي جات منها الطلب. نتصل على الرقم القديم المسجل في ملفنا. ما نتصلش أبداً على الرقم المكتوب في الإيميل، لأن الرقم ده ممكن يكون هو كمان مزور.
وحطينا كمان حد للمبلغ: أول مدفوعات فوق مبلغ معين بتتم بتوقيعين. ده بطأ الشغل، أيوه. بس أنقذنا مرة، والمرة دي كانت كافية لتعويض كل التأخير.
بصفتي مدير حسابات عملاء، خليني أتكلم من وجهة نظر الموردين، لأن عمليات التدقيق دي بتوصلنا إحنا كمان.
لازم أقول إن وجود ملحق أمني محدد كويس للمورد كمان، لأنه بيوضح المطلوب بالظبط. المشكلة اللي بنواجهها هي إن كل عميل بيبعت قائمة أسئلة بصيغة ونطاق مختلف. بنعيد كتابة نفس المعلومات عشر مرات في السنة بقوالب مختلفة.
اقتراحي هو: لو عندكم شهادات مستقلة معترف بيها، قولوا ده من البداية. طبّقوا نموذج قصير للموردين اللي عندهم شهادات، ونموذج طويل للي ماعندهمش. ده هيقلل الشغل عليكم وعلينا.
إضافة من قسم الامتثال: سلسلة المقاولين من الباطن بتتغافل عنها في أغلب التقييمات.
أنت بتدقق على المورد بتاعك، وهو بيدي جزء من الشغل لشركة تانية، وبياناتك بتوصل للشركة التانية دي. لو العقد ما فيهوش شرط إن استخدام المقاولين من الباطن لازم يُبلَّغ عنه مسبقاً، وإن نفس الالتزامات تنطبق عليهم، فمعنى كده إنك ما بتشوفش الحلقة التانية في السلسلة خالص.
ظهرت ثلاث وجهات نظر مختلفة، وكلها تكمل بعضها. بصراحة إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.
أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار... على كل حال أتمنى أن يفيدك هذا.
نادرًا ما تجد مقالاً يشرح الأمر بهذه الوضوح. الإجراء المتخذ دون جرد المخزون يترك باباً لا تراه مفتوحاً.
ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة. إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.
سأجمع الموضوع، لأن هناك عدة إجابات مختلفة. بصراحة تقرير الفحص الآلي ليس نفس اختبار الاختراق.
صححوا لي إن أخطأت.
سأجمع الموضوع، لأن هناك عدة إجابات مختلفة. كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.
أتمنى أن يفيدك هذا.
لا تتجاهل شيئاً: إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.
لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه. صححوا لي إن أخطأت.
دعني أوضح الجانب التقني قليلاً. الناس يدافعون عن العادات وليس العمليات. المقاومة تأتي من هناك.
معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة. صححوا لي إن أخطأت.
أنا أيضًا أوافق على هذا الرأي. الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة.
إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.
سأجمع الموضوع، لأن هناك عدة إجابات مختلفة. يعني عند اتخاذ القرار، اكتب أسوأ سيناريو أيضًا، وليس الأفضل فقط.
لو كنت مكانك، لسلك هذا المسار.
سأجمع الموضوع، لأن هناك عدة إجابات مختلفة. طيب إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.
هذا كل شيء، أرجو المعذرة إذا أطالت.
Doki · تصميم الواجهات · 2026
نعم، الوضع في موضوع سلسلة التوريد هو بالضبط هكذا. محاولة فعل هذا بمفردك هي أغلى الطرق.
بالطبع يختلف الأمر إذا كانت حالتك مختلفة.
ارتحت لقراءة هذه الإجابة، يبدو أن المشكلة ليست عندي وحدي. كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.
القرار المتسرع يصبح قراراً يُصحح بعد ستة أشهر. بالتوفيق.