التشفير وحماية البيانات

في ProBase نعتبر التشفير حجر الأساس في حماية بيانات عملائنا. تصف هذه الصفحة الضوابط التقنية والإجرائية التي نطبّقها لحماية البيانات أثناء النقل وأثناء التخزين، وكيفية إدارتنا للمفاتيح والوصول، إضافة إلى الممارسات التي نعمل نحو مواءمتها مع المعايير العالمية. نلتزم بالشفافية، ولذلك نتجنّب الادعاء بأي شهادات لم نحصل عليها رسمياً بعد، ونوضّح بدقة ما هو مطبَّق فعلياً وما هو قيد التطوير.

نطاق هذه الوثيقة

تنطبق هذه السياسة على جميع بيانات العملاء المخزَّنة أو المعالَجة داخل منصة ProBase، بما في ذلك المستندات، وبيانات الحسابات، وسجلّات النشاط، والنُسخ الاحتياطية. تشمل الضوابط الموصوفة هنا بيئات الإنتاج والاختبار، وتغطي البنية التحتية السحابية وقواعد البيانات وطبقات التطبيق.

• بيانات العملاء النصية والمستندات المرفوعة.
• بيانات الاعتماد وكلمات المرور وأسرار المصادقة.
• النُسخ الاحتياطية ولقطات قواعد البيانات.
• سجلّات التدقيق والمراقبة التشغيلية.

التشفير أثناء النقل (TLS 1.2+/HTTPS)

تُنقَل جميع البيانات بين متصفح المستخدم وخوادمنا، وبين خدماتنا الداخلية، عبر قنوات مشفَّرة. نفرض استخدام HTTPS على كامل المنصة ولا نقبل الاتصالات غير المشفَّرة.

• نستخدم TLS 1.2 فأعلى، مع تفضيل TLS 1.3 حيثما كان مدعوماً.
• نعطّل البروتوكولات والخوارزميات القديمة والضعيفة (مثل SSLv3 وTLS 1.0/1.1).
• نفعّل HSTS لإجبار المتصفحات على استخدام الاتصال المشفَّر دائماً.
• نستخدم مجموعات تشفير حديثة تدعم السرية الأمامية التامة (Forward Secrecy).
• الاتصال بين الخدمات الداخلية يجري عبر قنوات مشفَّرة داخل الشبكة الخاصة.

التشفير أثناء التخزين (At Rest)

تُشفَّر البيانات المخزَّنة على الأقراص وفي قواعد البيانات وأنظمة تخزين الملفات باستخدام تشفير قوي. نعتمد AES-256 كخوارزمية أساسية للتشفير عند التخزين، وهي من أقوى المعايير المتاحة وأكثرها انتشاراً في حماية البيانات الحسّاسة.

• تشفير وحدات التخزين والأقراص على مستوى البنية التحتية.
• تشفير قواعد البيانات والنُسخ الاحتياطية باستخدام AES-256.
• تشفير المستندات المرفوعة في طبقة التخزين الكائني.
• تدوير مفاتيح التشفير دورياً وفق سياسة إدارة المفاتيح.

تجزئة كلمات المرور (bcrypt)

لا نخزّن كلمات المرور كنص واضح إطلاقاً. تُحوَّل كل كلمة مرور إلى بصمة غير قابلة للعكس باستخدام دالة تجزئة مخصّصة لكلمات المرور. نعتمد bcrypt مع إضافة قيمة عشوائية فريدة (Salt) لكل مستخدم، مما يحمي من هجمات الجداول المسبقة (Rainbow Tables).

• تجزئة أحادية الاتجاه باستخدام bcrypt مع معامل تكلفة مناسب.
• قيمة Salt عشوائية وفريدة لكل سجل.
• مراجعة دورية لمعامل التكلفة لمواكبة تطور القدرات الحاسوبية.
• أسرار المصادقة الأخرى (مثل مفاتيح الـ API) تُخزَّن مجزَّأة أو مشفَّرة.

إدارة المفاتيح

تُدار مفاتيح التشفير عبر نظام مركزي لإدارة المفاتيح، مع فصل واضح بين البيانات والمفاتيح التي تحميها. نطبّق مبدأ الامتياز الأدنى على الوصول إلى المفاتيح، ونسجّل كل عملية وصول إليها.

• تخزين المفاتيح في خدمة إدارة مفاتيح مخصّصة ومعزولة عن البيانات.
• تدوير المفاتيح دورياً وعند الحاجة (مثل الاشتباه في تسريب).
• تقييد الوصول إلى المفاتيح وفق مبدأ الحاجة للمعرفة.
• تسجيل ومراقبة جميع عمليات استخدام المفاتيح لأغراض التدقيق.

روابط موقّعة مؤقتة للمستندات

لا تُتاح المستندات عبر روابط عامة دائمة. عند الحاجة للوصول إلى مستند، يُنشأ رابط موقّع مؤقت صالح لفترة محدودة فقط، ويرتبط بصلاحيات المستخدم الطالب. بعد انتهاء صلاحية الرابط يصبح غير قابل للاستخدام.

• صلاحية زمنية قصيرة لكل رابط لتقليل نافذة التعرّض.
• ربط الرابط بهوية المستخدم وصلاحياته في وقت الإنشاء.
• منع الوصول المباشر غير المصرّح به إلى مخزن المستندات.
• تسجيل عمليات إنشاء الروابط والوصول إليها.

عزل البيانات لكل مستأجر

تُصمَّم منصتنا متعددة المستأجرين بحيث تبقى بيانات كل عميل معزولة منطقياً عن بيانات العملاء الآخرين. يُفرض عزل البيانات على مستوى التطبيق وقاعدة البيانات لمنع أي تسرّب عابر بين المستأجرين.

• معرّف مستأجر يُفرض على كل استعلام للوصول إلى البيانات.
• ضوابط على مستوى التطبيق تمنع الوصول العابر بين الحسابات.
• فصل الصلاحيات بحيث لا يصل مستخدم مستأجر إلى موارد مستأجر آخر.
• خيارات عزل إضافية للعملاء المؤسسيين عند الطلب.

أفضل ممارسات التشفير والمواءمة مع المعايير

نُصمّم ضوابطنا لتكون متوافقة مع الممارسات الراسخة في الصناعة، ونعمل نحو مواءمة عملياتنا مع أطر مثلISO 27001 لإدارة أمن المعلومات. نستخدم خوارزميات معتمدة مثل AES-256 ونتجنّب الحلول المخصّصة غير المختبَرة. نوضّح بصراحة أن أي شهادة رسمية لا نذكرها هنا تعني أننا لم نحصل عليها بعد.

• اعتماد خوارزميات تشفير قياسية ومثبتة بدلاً من حلول مخصّصة.
• مواءمة الضوابط مع متطلبات أطر إدارة أمن المعلومات.
• مراجعة دورية للإعدادات التشفيرية لمواكبة التوصيات الحديثة.
• الشفافية بشأن ما هو مطبَّق فعلياً مقابل ما هو قيد التطوير.

التحكم في الوصول والمراقبة

يكمّل التشفير منظومة من ضوابط الوصول والمراقبة. نطبّق مبدأ الامتياز الأدنى على الوصول الإداري، ونوصي بتفعيل المصادقة متعددة العوامل، ونحتفظ بسجلّات تدقيق للعمليات الحسّاسة.

• المصادقة متعددة العوامل للوصول الإداري الحسّاس.
• سجلّات تدقيق للعمليات المرتبطة بالبيانات والمفاتيح.
• مراجعة دورية للصلاحيات وإلغاء الوصول غير المستخدم.

الاستجابة للحوادث

في حال الاشتباه بأي حادثة أمنية قد تمسّ سرية البيانات، نتبع إجراءات استجابة محدّدة تشمل الاحتواء والتحقيق وتدوير المفاتيح عند الحاجة، والإبلاغ وفق الالتزامات التعاقدية والتنظيمية المعمول بها.

• إجراءات احتواء وتحقيق سريعة عند رصد أي خلل.
• تدوير المفاتيح وبيانات الاعتماد عند الاشتباه في التسريب.
• إخطار العملاء المتأثرين وفق المتطلبات التعاقدية والقانونية.

مسؤولية العميل المشتركة

أمن البيانات مسؤولية مشتركة. بينما نحمي البنية التحتية وطبقة التطبيق، يقع على عاتق العميل حماية بيانات اعتماده وإدارة صلاحيات مستخدميه بعناية. نوصي باتباع ممارسات سليمة لكلمات المرور وتفعيل المصادقة متعددة العوامل.

• استخدام كلمات مرور قوية وفريدة وعدم مشاركتها.
• تفعيل المصادقة متعددة العوامل حيثما كانت متاحة.
• مراجعة صلاحيات المستخدمين وإلغاء الوصول غير الضروري.

التواصل معنا

لأي استفسار حول ممارسات التشفير وحماية البيانات، أو لطلب تفاصيل إضافية حول ضوابطنا الأمنية، يُرجى التواصل معنا عبر البريد الإلكتروني info@probasesolutions.com. نسعى للرد على الاستفسارات الأمنية في أقرب وقت ممكن.