الخلاصة أولاً
اطلب إجابات مكتوبة عن خمسة محاور: الصلاحيات، وسجل التدقيق، وحماية البيانات، والنسخ والاستعادة، وآلية الخروج والحذف. وأي شهادة أو التزام يُذكَر شفهياً — اطلب وثيقته. الادعاء بلا مستند لا يُقيَّم.
ما الذي تحميه فعلاً في مكتب هندسي؟
| الأصل | لماذا حساس |
|---|---|
| المخططات التنفيذية | ملكية فكرية والتزام تعاقدي بالسرية |
| العقود وقيمها | معلومات تجارية حساسة |
| بيانات العملاء | التزام تعاقدي ونظامي |
| التكاليف والهوامش | لا يجوز تسربها داخلياً ولا خارجياً |
| بيانات الموظفين | التزام نظامي |
| مشاريع ذات طبيعة خاصة | قد تحمل التزامات إضافية |
التهديد الأشيع ليس الاختراق
بل الوصول الداخلي غير المنضبط: موظف يرى ما لا يخصه، أو ينسخ ملفات قبل مغادرته. والصلاحيات الدقيقة تعالج هذا أكثر من أي إجراء آخر.
الوصول والصلاحيات — ابدأ من هنا
- صلاحيات على مستوى الصف والحقل لا الشاشة فقط
- الفصل بين الأدوار — من يُدخِل غير من يعتمد
- إلغاء الوصول فوراً عند انتهاء العلاقة
- مراجعة دورية للصلاحيات — تتراكم مع الوقت
- وصول محدود للأطراف الخارجية بصلاحية ضيقة ومدة
- مصادقة ثنائية للحسابات ذات الصلاحيات الواسعة
الصلاحيات المتراكمة
موظف انتقل بين ثلاثة أقسام يحتفظ بصلاحيات الثلاثة إن لم تُراجَع. اطلب تقريراً دورياً بصلاحيات كل مستخدم — وهو إجراء بسيط يمنع أكبر مخاطرة داخلية.
سجل التدقيق — من فعل ماذا ومتى
| ما يجب تسجيله | لماذا |
|---|---|
| تسجيل الدخول والخروج | كشف وصول غير معتاد |
| تعديل السجلات المالية | مساءلة |
| اعتماد الوثائق | مسؤولية فنية |
| تحميل الملفات وتصديرها | كشف تسريب محتمل |
| تغيير الصلاحيات | رقابة على الرقابة |
البند الرابع مهم جداً
تصدير كميات كبيرة من الملفات أو البيانات مؤشر يستحق التنبيه — خاصةً قبل مغادرة موظف. اسأل هل يسجّل النظام ذلك وهل يمكن التنبيه عليه.
حماية البيانات — أسئلة محددة
أين تُستضاف البيانات جغرافياً؟
اطلب الإجابة مكتوبةً في العقد.
كيف تُحمى أثناء النقل والتخزين؟
اطلب وصفاً للممارسات لا شعاراً.
من يصل إليها من جهة المزوّد؟
وتحت أي ضوابط وسجل.
هل تُشارَك مع أطراف ثالثة؟
ولأي غرض وبأي ضمانات.
كيف تُفصَل بيانات العملاء؟
ضمان ألا يرى عميل بيانات آخر.
لا تقبل الادعاء بلا مستند
عبارات مثل «تشفير عالي المستوى» أو «معايير عالمية» بلا تفصيل أو وثيقة لا تُقيَّم. اطلب بياناً مكتوباً بالممارسات، وإن ذُكرت شهادة فاطلب رقمها وجهة إصدارها وسريانها.
النسخ الاحتياطية والاستعادة
- الدورية — يومي على الأقل
- الموقع — منفصل عن البيئة الأساسية
- مدة الاحتفاظ — كافية لاكتشاف مشكلة متأخرة
- مدة الاستعادة — بالساعات لا بالوصف
- آخر اختبار استعادة — بتاريخه
- حماية النسخ نفسها — من الحذف والتلف
السؤال الحاسم
«متى اختُبرت الاستعادة آخر مرة؟» — إجابة غامضة عن هذا السؤال تعني أن النسخ قد لا تكون قابلة للاستخدام أصلاً.
اطلب إجاباتنا الأمنية مكتوبة
احجز جلسة نجيب فيها عن هذه المحاور بوضوح — وما نلتزم به يُوثَّق في العقد.
احجز عرضاً توضيحياًالخروج وحذف البيانات
| السؤال | ما تطلبه |
|---|---|
| كيف نصدّر بياناتنا كاملة؟ | صيغة ومدة وشمول المرفقات |
| كم تُحفَظ بعد الإنهاء؟ | مدة محددة ثم حذف |
| كيف تُحذف نهائياً؟ | إجراء موصوف وإفادة بالحذف |
| ماذا عن النسخ الاحتياطية؟ | متى تُحذف منها أيضاً |
البند الأخير يُغفَل
البيانات قد تبقى في النسخ الاحتياطية بعد حذفها من النظام. اسأل عن دورة حياتها هناك تحديداً — لا عن الحذف من النظام الأساسي فقط.
كيف تقيّم الادعاءات الأمنية؟
اطلب الوثيقة
أي شهادة أو تقرير — اطلب نسخته وجهة إصداره وسريانه.
ميّز بين الالتزام والادعاء
ما يُكتَب في العقد التزام، وما يُقال في اجتماع ادعاء.
اسأل عن الحوادث السابقة
وكيف عولجت — الشفافية هنا مؤشر إيجابي.
اطلب سياسة مكتوبة
للأمن والخصوصية لا صفحة تسويقية.
تحقق من المستضيف
إن كانت الاستضافة عند مزوّد سحابي معروف.
مسؤوليتك أنت — نصف المعادلة
أفضل نظام لا يحمي من ممارسات داخلية سيئة:
- كلمات مرور قوية ومصادقة ثنائية
- إلغاء وصول المغادرين فوراً
- عدم مشاركة الحسابات بين موظفين
- مراجعة الصلاحيات دورياً
- توعية الفريق بالتصيّد الاحتيالي
- ضبط الأجهزة الشخصية التي تصل للنظام
البند الثالث هو الأشيع
مشاركة حساب بين موظفين تُلغي سجل التدقيق بالكامل — فلا يُعرَف من فعل ماذا. وهذه ممارسة داخلية لا يمنعها أي نظام.