الأمن وبنية الأنظمة

المراجعة جرد قبل أي شيء: كل سيرفر وخدمة ومنفذ مفتوح ومستخدم وشهادة ومهمة مجدولة ونسخة احتياطية، ومن يصل إلى أي منها ومن أين. ونعمل معظم هذا بالقراءة فقط، من لوحة الإدارة والإعدادات، ومعنا من يشغّل الأنظمة. ولا نغير شيئاً في هذين الأسبوعين.

وتنتهي بمستند مكتوب تملكه: ما الموجود، وما المكشوف، وما بلا تحديث أمني، وما بلا نسخة احتياطية، وما الذي نفعله بكل واحدة منها، مرتبة حسب الضرر الذي قد تسببه لا حسب مدى إثارتها للاهتمام.

نركّب التحديثات الأمنية لنظام التشغيل خلال 7 أيام من صدورها، ونحدّث الحزم والمكتبات كل أسبوع بعد تجربتها على نسخة تجريبية، ونجدد الشهادات بمهمة مجدولة لا بتذكير، ونطفئ الإعدادات الافتراضية التي تأتي مفعلة: تسجيل الدخول بكلمة مرور عبر SSH، وخدمات تستمع على كل واجهة، ومنافذ قواعد بيانات مفتوحة للعالم.

مع عقد دعم ومتابعة يتحول هذا إلى تقويم لا مشروع: موعد التحديث كل أسبوع، ومراجعة كاملة كل ربع، وتقرير يقول ماذا وجدنا وما الذي تغير.

نظام حماية البيانات الشخصية (PDPL) في المملكة العربية السعودية ساري منذ 2023، وسدايا تطبقه منذ سبتمبر 2024، وينطبق على كل منشأة تحتفظ باسم عميل أو رقم جواله أو هويته، لا على البنوك والمستشفيات فقط. ويطلب أشياء لم تكتبها معظم المنشآت ولا مرة: سجلاً يوضح أي بيانات شخصية تحتفظ بها ولماذا، وإشعار الخصوصية الذي يذكر ذلك، والموافقة أو أي أساس نظامي آخر لكل استخدام، ومدة الاحتفاظ، وطريقة يسأل بها الناس عما تحتفظ به عنهم، وإبلاغ الجهة التنظيمية خلال 72 ساعة من أي تسرب.

نطبّق هذا على المخطط الفني: أي الأنظمة فيها بيانات شخصية، وأين استضافتها وهل هي داخل المملكة، ومن يقدر يصل إليها، وكم مدة الاحتفاظ بالسجلات، وطريقة حذفها. والنقل خارج السعودية ندرجه ونبرره، أو نوقفه. والنتيجة سجل ومجموعة إعدادات، لا ملف ورقي، ونعيد التأكد منه في كل مراجعة ربع سنوية. نحن مهندسون لا محامون: صياغة السياسة عليك أو على مستشارك القانوني، والأنظمة التي تجعلها حقيقة علينا.