١٢ سؤالاً أمنياً تسألها المبرمج قبل ما توقّع — حتى لو ما تفهم تقنياً

ما تحتاج تكون خبير أمن عشان تعرف إذا المبرمج يأخذ الأمان بجدية. تحتاج أسئلة صح، وتنتبه لطريقة الجواب. المبرمج المتمكن يجاوب بهدوء وبأمثلة. اللي يقول «لا تشيل هم، كله آمن» بدون تفاصيل.. هذا بالضبط اللي تشيل همه.

عن الحسابات وكلمات المرور

• كيف تُحفظ كلمات مرور المستخدمين؟ الجواب المطمئن: مجزأة بخوارزمية مخصصة لهذا الغرض، ولا أحد يقدر يشوفها ولا حتى المطور.
• هل فيه حد لمحاولات الدخول الفاشلة؟ المطمئن: نعم، مع قفل مؤقت أو تأخير.
• هل لوحة التحكم تدعم المصادقة الثنائية؟ المطمئن: نعم، ويمكن إجبارها على المدراء.

عن الصلاحيات والبيانات

• لو غيّر المستخدم رقم طلبه في الرابط، يشوف طلب غيره؟ المطمئن: لا، السيرفر يتحقق من الملكية في كل طلب.
• هل أقدر أعطي موظف صلاحيات محدودة؟ المطمئن: أدوار محددة، وشرح وش يشوف كل دور.
• وين تُخزن البيانات؟ المطمئن: اسم مزود الاستضافة والمنطقة، مو «في السيرفر».

عن الأسرار والكود

• وين تحفظ مفاتيح الخدمات مثل الدفع والرسائل؟ المطمئن: على السيرفر في متغيرات بيئة، مو داخل التطبيق ولا في الكود.
• هل الكود في مستودع خاص وأنا أملك الوصول له؟ المطمئن: نعم، ويُنقل لحسابك عند التسليم.
• كيف تتعامل مع المكتبات الخارجية وتحديثاتها الأمنية؟ المطمئن: مراجعة دورية وتحديث للثغرات المعروفة.

عن الاستمرارية والطوارئ

• كيف يتم النسخ الاحتياطي، ووين يُحفظ؟ المطمئن: تلقائي، في مكان منفصل عن السيرفر، مع تجربة استرجاع.
• لو صار اختراق بعد التسليم، وش دورك؟ المطمئن: جواب واضح عن الاستجابة، حتى لو كان خدمة مدفوعة منفصلة.
• مين يملك حسابات الاستضافة والدومين؟ المطمئن: أنت، باسمك وإيميلك.

إشارات تحذير في الإجابات

• «نحط كلمة المرور في قاعدة البيانات عادي» — بدون ذكر للتجزئة.
• «الحسابات باسمي عشان أسهل عليك» — ملكية مشروعك عند غيرك.
• «الأمان يجي بعد الإطلاق» — الأمان المضاف لاحقاً أغلى وأضعف.
• رفض كتابة أي التزام أمني في العقد.
• عصبية من الأسئلة نفسها.

اكتب الإجابات في العقد

الجواب الشفهي يُنسى. حوّل الأساسيات إلى بنود مكتوبة: ملكية الكود والحسابات، طريقة تخزين كلمات المرور، النسخ الاحتياطي، وتسليم كل المفاتيح والصلاحيات عند نهاية المشروع. هذي البنود ما تزيد التكلفة على مطوّر يسويها أصلاً، وتحميك من اللي ما يسويها.

لا تبالغ في الطرف الثاني

متجر صغير ما يحتاج متطلبات بنك. لو طلبت اختبار اختراق كامل وشهادات دولية لموقع تعريفي، بتدفع أضعاف بلا داعي. الأسئلة أعلاه حد أدنى معقول لأي مشروع فيه بيانات مستخدمين، والزيادة حسب حساسية البيانات.

أسئلة إضافية حسب نوع مشروعك

الأسئلة السابقة أساس مشترك. بعض المشاريع تحتاج أسئلة إضافية لأن طبيعة بياناتها أو عملياتها أحسس:

• متجر إلكتروني: هل بيانات البطاقات تمر على سيرفرك أو تُعالج بالكامل عند بوابة الدفع؟ المطمئن: عند البوابة، وسيرفرك ما يلمسها.
• تطبيق جوال: وين تُحفظ التوكنات على الجهاز؟ المطمئن: في التخزين الآمن للنظام.
• نظام SaaS لعدة شركات: كيف تمنع شركة من رؤية بيانات شركة ثانية؟ المطمئن: فصل مطبّق على مستوى الاستعلامات ومختبر.
• نظام فيه ذكاء اصطناعي: وش البيانات اللي تُرسل لمزود النموذج، وهل تُستخدم للتدريب؟
• رفع ملفات: هل الملفات الخاصة محمية بروابط مؤقتة أو متاحة لأي أحد عنده الرابط؟

كيف تقرأ الجواب وأنت مو تقني؟

ما تحتاج تفهم كل مصطلح. انتبه لثلاث علامات: هل الجواب محدد أو عام؟ هل يقدر يشرحه لك بتشبيه بسيط؟ وهل يعترف بحدود ما يقدمه بدل ما يدّعي الكمال؟ المطوّر اللي يقول «هذا خارج نطاق الباقة الحالية، لكن أنصحك فيه لاحقاً» أصدق غالباً من اللي يقول نعم لكل شيء. وتقدر تعرض الإجابات المكتوبة على شخص تقني تثق فيه لرأي ثاني.

في منصة أزهل الرقمية نرحب بهذي الأسئلة ونجاوبها كتابياً قبل البدء، والكود والحسابات ملكك. عبدالله عبدالرحيم بن سنكر الكندي، مؤسس أزهل، حاصل على مقدمة في الأمن السيبراني من جامعة نجران عبر NUx. أرسل أسئلتك على واتساب.