الخدمات (05)
خوادمك وشبكتك وخدماتك مُراجَعة ومحصَّنة ومرقَّعة ومدوَّنة — مخطط لكيفية تركيبها معًا، وشخص يبقيها على هذا الحال.
لم تقرر بعد؟ افحص موقعك أولًا، مجانًا.
(01)
المراجعة جرد أولًا: كل خادم وخدمة ومنفذ مفتوح ومستخدم وشهادة ومهمة مجدولة ونسخة احتياطية، ومن يستطيع الوصول إلى أيها ومن أين. يجري معظمها للقراءة فقط، من لوحة التحكم والإعدادات، بحضور من يشغّلونها. لا يتغير شيء في هذين الأسبوعين.
وتنتهي بمستند مكتوب تملكه: ما الموجود، وما المكشوف، وما غير المرقَّع، وما بلا نسخة احتياطية، وما سنفعله حيال كل منها، مرتبًا بحسب الضرر الذي قد يسببه لا بحسب مدى إثارته.
(02)
رسم للبنية كما هي وكما ينبغي أن تكون: ما يقع عند الحافة، وما هو عام، وما هو داخلي، وأين تعيش البيانات، وأين تذهب النسخ الاحتياطية، وكيف يدخل المدير. شرائح بينها جدران نارية، بحيث لا يرى خادم ويب مخترَق قاعدة بيانات الحسابات، ولا يرى حاسوب محمول مفقود أي شيء.
المخطط هو المستند الذي يُراجَع عليه كل قرار لاحق. حين يريد أحد إضافة خدمة، يقول أين تذهب؛ وحين يتعطل شيء في الثانية فجرًا، يقول ما الذي يخاطب ماذا.
(03)
ترقيعات نظام التشغيل خلال سبعة أيام من صدورها، وتحديثات الاعتماديات أسبوعيًا بعد تجربة على نسخة تجريبية، وشهادات تُجدَّد بمهمة لا بتذكير، والإعدادات الافتراضية المفعّلة تُطفأ: تسجيل الدخول بكلمة مرور عبر SSH، وخدمات تستمع على كل واجهة، ومنافذ قواعد بيانات مفتوحة للعالم.
بعقد الاحتفاظ يصبح هذا تقويمًا لا مشروعًا: نافذة الترقيع كل أسبوع، ومراجعة كاملة كل ربع سنة، وتقرير يقول ما وُجد وما تغيّر.
(04)
تسجيل دخول ثنائي على كل حساب من دون استثناء للمدير، وصلاحيات الإدارة على حسابات منفصلة لا يقرأ أحد بريده منها، وكلمات المرور المشتركة تُستبدل بخزنة، والوصول يُمنح بحسب الدور لا بحسب من طلب آخرًا. والمغادر يفقد كل مفتاح في الساعة نفسها، من قائمة واحدة.
لا يحتاج شيء من هذا إلى منتجات جديدة. يحتاج قائمة بمن يملك ماذا، وقرارًا بمن ينبغي أن يملك، وعصرًا من الإعدادات. معظم البيئات التي نراجعها لم تملك القائمة قط.
(05)
نظام حماية البيانات الشخصية في المملكة العربية السعودية ساري المفعول منذ 2023 وتطبّقه سدايا منذ سبتمبر 2024، وينطبق على كل منشأة تحتفظ باسم عميل أو رقم هاتفه أو هويته، لا على البنوك والمستشفيات فقط. يطلب أشياء لم تُكتب في معظم البيئات قط: سجلًا بما يُحتفظ به من بيانات شخصية ولماذا، وإشعار خصوصية يذكر ذلك، وموافقة أو أساسًا نظاميًا آخر لكل استخدام، ومدة احتفاظ، وطريقة يسأل بها الناس عمّا تحتفظون به عنهم، وإبلاغ الجهة المختصة خلال اثنتين وسبعين ساعة من أي تسرّب.
نُسقطه على المخطط: أي الأنظمة تحتفظ ببيانات شخصية، وأين تُستضاف وهل ذلك داخل المملكة، ومن يصل إليها، وكم تُحفظ السجلات وكيف تُحذف. عمليات النقل خارج السعودية تُسرد وتُبرَّر أو تُوقف. النتيجة سجل ومجموعة إعدادات لا ملف ورقي، ويُراجع مجددًا في كل مراجعة ربع سنوية. نحن مهندسون لا محامون: صياغة السياسة لك أو لمستشارك القانوني؛ والأنظمة التي تجعلها حقيقة لنا.
(06)
مراقبة تصل إلى جهاز استدعاء، ودليل تشغيل للحوادث مكتوب قبل الحادثة، ونسخ احتياطية استُعيدت وفق جدول بحيث يكون زمن الاستعادة رقمًا لا أمنية. حين يُطلق التنبيه، تكون الساعة الأولى محسومة سلفًا: من يُستدعى، وما يُعزل، وما يُستعاد ومن أين.
وبعدها سرد مكتوب لما حدث، وما تغيّر كي لا يتكرر، وما كلّفه، بلغة واضحة يستطيع مجلس إدارة قراءتها.
الرياض، المملكة العربية السعودية
حدّثنا عن الموقع أو الفكرة، بالعربية أو الإنجليزية، وسنعود إليك بأسئلة، ثم برقم مكتوب. لا عرض تقديمي، ولا ضغط، والحديث الأول لا يكلّف شيئًا.