الأمن
كيف نحمي شيفرتك وبياناتك وأنظمتك
الممارسات التي نطبقها في كل تعاقد، مكتوبة بوضوح. وإن احتجت إلى تفاصيل أكثر، يسعدنا تعبئة استبيانك الأمني.
السرية
نوقّع اتفاقية عدم إفصاح متبادلة قبل أن تشاركنا أي معلومات حساسة، وفق نموذجك أو نموذجنا. كل ما تخبرنا به عن أعمالك ومستخدميك وأنظمتك يبقى سريًا، ولا نذكر أي عميل أو مشروع علنًا دون إذن كتابي.
التحكم في الوصول
الوصول شخصي ومحدود ومؤقت:
- يستخدم كل مهندس حسابًا باسمه، ولا نستخدم أبدًا حسابات مشتركة؛
- المصادقة متعددة العوامل إلزامية على كل خدمة نستخدمها في مشروعك؛
- تتبع الصلاحيات مبدأ الحد الأدنى من الامتيازات، وتقتصر على الأنظمة التي يعمل عليها الشخص فعليًا؛
- كلما أمكن، يجري العمل في مستودعات وحسابات سحابية تملكها أنت وتتحكم فيها.
بيانات الاعتماد والبيانات
تُحفظ الأسرار، مثل مفاتيح API وكلمات المرور، في مدير أسرار أو مدير كلمات مرور، وليس أبدًا في الشيفرة المصدرية أو المحادثات أو البريد الإلكتروني. ولا تُستخدم بيانات الإنتاج إلا حين تتطلبها المهمة فعلًا؛ ويعتمد التطوير والاختبار على بيانات مجهّلة الهوية أو اصطناعية. وأجهزة العمل مشفرة ومحمية بكلمة مرور ومحدّثة باستمرار.
التطوير الآمن
الأمن جزء من طريقة كتابة الشيفرة، لا قائمة تحقق نهائية:
- يراجع مهندس ثانٍ كل تغيير قبل دمجه؛
- تعمل الاختبارات الآلية ومسارات CI على كل تغيير؛
- تُفحص الاعتماديات بحثًا عن الثغرات المعروفة وتُحدَّث باستمرار؛
- تُنمذج التهديدات للميزات الجديدة وتُراجع وفق إرشادات OWASP؛
- تُعرَّف البنية التحتية كشيفرة، وتُدار نسخها وتُراجع مثل شيفرة التطبيق.
البنية التحتية والنسخ الاحتياطية
في الأنظمة التي نشغّلها، نستخدم مزودي خدمات سحابية راسخين، ونشفّر البيانات أثناء النقل وفي حالة السكون، ونفصل بين البيئات، ونهيّئ المراقبة والتنبيهات. النسخ الاحتياطية مؤتمتة، وتُحفظ وفق سياسة متفق عليها، وتُختبر باستعادتها فعليًا، لا بمجرد التحقق من وجودها.
الحوادث
إذا علمنا بحادث أمني يمس أنظمتك أو بياناتك، نبلغك دون تأخير غير مبرر، ونحتويه، ونحقق في سببه، ونشاركك تقريرًا مكتوبًا بخطوات المعالجة.
عند انتهاء التعاقد
عند انتهاء التعاقد، نلغي وصولنا إلى أنظمتك، ونعيد بياناتك وبيانات الاعتماد أو نحذفها بشكل آمن وفق تعليماتك، ونؤكد ذلك كتابيًا. وتحتفظ أنت بالشيفرة والتوثيق وتعريفات البنية التحتية.
الشهادات
لا نحمل حاليًا شهادة رسمية مثل ISO 27001 أو SOC 2. وإذا تطلبت إجراءات الشراء لديك أدلة، فإننا نعبّئ الاستبيانات الأمنية، ونشرح ممارساتنا لفريقك، ويمكننا العمل ضمن سياساتك وأدواتك الأمنية الخاصة. للإبلاغ عن مخاوف أمنية، راسلنا على contact@sprintcodes.com.