إحكام / الأمن والخصوصية

الأمن والخصوصية

استضافة داخل نطاق معلن تشفير أثناء النقل سجل تدقيق كامل نسخ احتياطي متحقق يوميًا

هذه الصفحة موجهة لإدارة المخاطر والمشتريات لديكم: تشرح كيف يعمل إحكام وأين تُحفظ بياناتكم ومن يصل إليها، وتجيب مسبقًا عن أسئلة استبيان المورد المعتادة، حتى تمر المراجعة الأمنية دون جولات أسئلة.

بياناتكم لدينا

ما الذي نحفظهبريد المستخدم وكلمة مرور مجزأة، وعناوين التقييمات وإجاباتها وملاحظاتها، وسجل الأدلة ومهام المعالجة، ومقاعد فريقكم.
ما الذي لا نحفظهلا نطلب ملفات أدلتكم ولا نستضيفها، فسجل الأدلة يحفظ عنوان الدليل ومرجعه ومالكه لا محتواه، ولا نخزّن بيانات بطاقات الدفع إطلاقًا.
من يصل إليهاأعضاء منظمتكم حسب أدوارهم، ومن يمنحونه رابط مشاركة التقرير، وفريق سايبرز.بز لا يطّلع على محتوى تقييماتكم إلا بطلب دعم صريح منكم.
عند الإنهاءتُحذف بيانات المنظمة خلال ثلاثين يومًا من طلب الحذف، ويشمل ذلك التقييمات والأدلة والمهام والمقاعد.

الوصول والصلاحيات

الضابطكيف طُبّق
الهوية وكلمة المروركلمات المرور مجزأة بخوارزمية bcrypt، ولا تُخزّن بنص واضح، وجلسة الدخول عبر ملف ارتباط محمي بخصائص HttpOnly وSecure وSameSite.
الأدوار والصلاحياتأربعة أدوار هي مالك ومسؤول ومحرر وقارئ، وكل مسار في الخادم يمر على حارس صلاحيات واحد، والقارئ ممنوع من الكتابة على مستوى الخادم لا الواجهة.
عزل المنظماتكل تقييم موسوم بمنظمته، ومحاولة الوصول من خارجها تُقابل بردّ عدم وجود لا برسالة صلاحيات، حتى لا يُكشف وجود السجل أصلًا.
مفاتيح الواجهة البرمجيةتُصدر لمالك المنظمة، وتُحفظ مجزأة لا نصًا، وتُعرض مرة واحدة، وتُلغى فورًا من اللوحة، وكل إصدار وإلغاء مسجل تدقيقيًا.
الحد من المحاولاتحدود على الدخول والتسجيل وتفعيل الاشتراك ومسارات الواجهة البرمجية، لكل عنوان مصدر.

المنصة والتشغيل

البندالوضع
الاستضافةمنصة سحابية عامة على خدمة تطبيقات مُدارة، والنطاق والموقع معلنان في العقد قبل التوقيع.
التشفير أثناء النقلالاتصال عبر HTTPS حصرًا، مع ترويسة أمان النقل الصارم لمدة سنة وشمول النطاقات الفرعية.
ترويسات الحمايةمنع التأطير، ومنع تخمين نوع المحتوى، وسياسة مرجع صارمة، وسياسة أذونات تقفل الكاميرا والميكروفون والموقع.
فصل الأسرارأسرار الدفع والتشغيل في إعدادات المنصة لا في الشفرة، وتُدوَّر عند الاشتباه.
سجل التدقيقيسجل الفاعل والإجراء والهدف والوقت وعنوان المصدر لكل حدث مؤثر: التقييمات والأدلة والمهام وروابط المشاركة والمقاعد والمفاتيح.
إدارة التغييركل نشر يمر على فحص بيانات الأطر وفحص النصوص وفحص الصفحات ورحلة المستخدم الكاملة، وتُحفظ نتائجها في المستودع.

الاستمرارية والتعافي

النسخ الاحتياطي ليس وعدًا بل إجراء يتحقق من نفسه: لقطة عند الإقلاع وكل أربع وعشرين ساعة، تُفتح بعد أخذها للقراءة فقط، ويُفحص تماسكها وتُقارن عدّادات صفوفها بالقاعدة الحية، وتُسجَّل النتيجة في سجل التدقيق، ويُحتفظ بآخر أربع عشرة نسخة.
المؤشرالالتزام
هدف الإتاحية‏99.5٪ شهريًا للخدمة الأساسية.
هدف زمن التعافي‏أربع ساعات لاستعادة الخدمة من آخر نسخة متحقق منها.
هدف نقطة التعافي‏أربع وعشرون ساعة كحد أقصى لفقد البيانات.
الإبلاغ عن الحوادثإشعار مالك المنظمة خلال اثنتين وسبعين ساعة من تأكيد أي حادثة تمس بياناتكم، مع ملخص للأثر والإجراء.

استبيان المورد مجابًا مسبقًا

الأسئلة أدناه هي الأكثر تكرارًا في استبيانات الموردين لدى الجهات المالية والحكومية، والإجابات تعكس الوضع اليوم لا الخطة.

السؤالالإجابةالحالة
هل تُشفَّر البيانات أثناء النقل؟نعم، عبر HTTPS حصرًا مع أمان نقل صارم.مطبق
هل كلمات المرور مجزأة؟نعم بخوارزمية bcrypt، ولا تُخزّن ولا تُسجّل بنص واضح.مطبق
هل يوجد فصل بين المنظمات؟نعم، على مستوى الاستعلام في الخادم، وليس إخفاءً في الواجهة.مطبق
هل يوجد تحكم بالصلاحيات؟نعم، أربعة أدوار يفرضها حارس واحد على كل المسارات.مطبق
هل يوجد سجل تدقيق غير قابل للتعديل من الواجهة؟نعم، ولا تتيح أي واجهة تعديله أو حذفه.مطبق
هل تُختبر النسخ الاحتياطية؟نعم، كل لقطة تُفحص آليًا وتُقارن بالقاعدة الحية عند أخذها.مطبق
هل تحتفظون بملفات أدلتنا؟لا، سجل الأدلة يحفظ العنوان والمرجع والمالك وتاريخ الصلاحية دون رفع الملف.مطبق
هل تصلون إلى بياناتنا؟لا، إلا بطلب دعم صريح منكم، وأي وصول يظهر في سجل التدقيق.مطبق
هل تدعمون تسجيل الدخول الموحد؟ليس بعد، وهو ضمن خطة الإصدار القادم لمعياري SAML وOIDC.ضمن الخطة
هل لديكم شهادة أيزو 27001 أو تقرير SOC 2؟لا نملكها اليوم، ونعلن ذلك صراحة بدل الإيحاء بخلافه، وضوابطنا الداخلية موثقة في هذه الصفحة وقابلة للمراجعة معكم.ضمن الخطة
هل تجرون اختبار اختراق دوريًا؟لا يوجد اختبار طرف ثالث حتى الآن، ونجري فحوصًا آلية مع كل نشر.ضمن الخطة
أين تُستضاف البيانات؟على منصة سحابية عامة، والنطاق يُحدد ويُثبت في العقد قبل التوقيع.مطبق

ما لم ننجزه بعد

نُدرج هذا القسم عمدًا: مراجعة الأمن الجادة تكتشف الفجوات، والأفضل أن تقرأوها منا لا أن تستنتجوها.

تسجيل الدخول الموحددعم SAML وOIDC مع التوفير التلقائي للمستخدمين، ضمن الإصدار القادم.
شهادات الطرف الثالثلا نملك أيزو 27001 ولا SOC 2 اليوم، والمسار مدرج في خطتنا المؤسسية.
اختبار اختراق مستقلمخطط له بعد استقرار مسارات الكتابة في الواجهة البرمجية.
خيار مكان الاستضافةاختيار النطاق لكل عميل على حدة قيد الدراسة ضمن الباقة المؤسسية.

التواصل والإبلاغ

للإبلاغ عن ثغرة أو حادثة، أو لطلب نسخة موقعة من هذه الوثيقة، أو لاتفاقية معالجة بيانات مع جهتكم، راسلونا عبر سايبرز.بز.

نلتزم بالرد خلال يومي عمل، وبعدم اتخاذ أي إجراء قانوني ضد باحث أمني يبلغ بنية حسنة ولا يفصح عن الثغرة قبل معالجتها.