اكتب احتياجك في صفحة قبل مقارنة الشركات
صف وظيفة التطبيق ونوع المعلومات التي يحتاجها والقرارات التي تترتب عليها نتائج حقيقية. موقع يتذكر تفضيلات مستخدم يختلف عن نظام يعتمد فواتير أو يحتفظ بمعلومات صحية. عبارة «خدمة سحابية آمنة» أوسع من أن تحسم اختيارا بهذا الحجم دون تفاصيل.
اكتب مسار المستخدم الطبيعي ومسار المشرف والحادث الذي تريد تجنبه أكثر من غيره. حدد من يصون الواجهة وما الأنظمة الأخرى المرتبطة بالتطبيق وكيف يستمر العمل إذا تعطلت خدمة. عندما تبدأ بهذه الورقة، تستطيع توجيه الأسئلة نفسها لكل مزود وتصبح المقارنة أوضح من مقارنة أسماء التقنيات وحدها.
اطلب دليلا قابلا للمراجعة
| المجال | ما الذي تطلبه؟ | ما الذي تسجله؟ |
|---|---|---|
| البيانات والوصول | ما الذي يحفظ ومن يستطيع الوصول وكيف تفصل التطبيقات | البيانات المقبولة والأسئلة المتبقية |
| القرارات الموثوقة | كيفية تنفيذ الصلاحيات وقرارات الدفع | صاحب كل سجل يعتمد عليه العمل |
| الاستعادة | ترتيبات موثقة للنسخ والاستعادة والحوادث | الدليل والحدود والخطة البديلة |
| تشغيل الخدمة | الدعم والتصعيد والتزامات الإتاحة وإشعارات التغيير | جهات التواصل والشروط المطبقة |
| دورة حياة البيانات | الاحتفاظ والحذف والتصدير وإنهاء الخدمة | الإجراء المعتمد وما يحتاج حسمه |
الإجابة الجيدة تشير إلى خدمة ووثيقة وتاريخ. عبارة «الأمان أولوية عندنا» لا تعادل التزاما واضحا بالاستعادة. وإذا لم تجد إجابة، سجل السؤال كمعلق. لا تحوله إلى ميزة مؤكدة ولا إلى اتهام بوجود عيب دون دليل.
اختبر ملاءمة نموذج Gammal Tech لتطبيقك
تصف وثائق Gammal Tech تسجيل الدخول المستضاف وحفظ كائن JSON لكل مستخدم داخل كل مشروع، بحد معلن قدره 1 ميجابايت. يسترجع المشروع البيانات التي حفظها لذلك المستخدم. تأكد من ملاءمة هذا النموذج، خصوصا إذا كانت فكرتك تتضمن سجلات مشتركة لفريق أو تقارير أو إجراءات موافقة لها أثر مالي.
المعلومات التي تستخدمها Gammal Tech للتحقق من هوية الحساب لا تقدم للتطبيق عبر تسجيل الدخول. لكن تطبيقك قد يجمع معلومات أخرى بنفسه، وعليه أن يبرر هذا الجمع. راجع رحلة الانضمام أيضا؛ التوثيق يذكر أن التحقق من الهوية قد يستغرق نحو عشرة أيام، فضع ذلك في خطة التجربة.
معرّف المشروع العام ليس مفتاحا سريا للمطور. النطاقات المسجلة والجلسة الصحيحة يؤديان وظائف مختلفة، ورمز الجلسة يظل حساسا. لا تستخدم رمزا يتغير عند الدخول كرقم عميل دائم. حدد كيف تربط السجلات بين الأنظمة التي تديرها دون الاعتماد على هذا الافتراض.
نفذ تجربة صغيرة تسمح لك بتغيير القرار
استخدم بيانات تطبيق وهمية وحسابين موثقين يخص كل منهما مختبرًا مختلفًا ومخولًا بالمراجعة، واحفظ تفضيلات مختلفة بوضوح لكل مستخدم. راجع ما تعرضه الواجهة بعد الحفظ والخروج والدخول من جديد ومن جهاز مدعوم آخر. هذه الخطوات تختبر تكاملك مع الخدمة، لكنها ليست اختبار اختراق ولا تثبت كل الضوابط الداخلية لدى المزود.
اختر بعد ذلك أصعب حالة في مشروعك. لو كانت الخدمة مدفوعة، حدد مرجع الشراء الموثوق وكيفية التحقق قبل فتحها. ولو كان التطبيق للموافقات الإدارية، حدد أين تفرض الصلاحيات خارج الحقول التي يستطيع المستخدم تعديلها. إذا لم يتضح التنفيذ المناسب، عدل التصميم أو أضف خدمة مناسبة قبل نقل العمل.
أكمل التجربة بموقف دعم افتراضي. اطلب من موظف تحديد المسؤول عن العطل وطريقة التواصل والرسالة التي سيرسلها للعميل. نجاح المسار المعتاد وحده لا يعني أن الفريق قادر على تشغيل النظام عندما يحدث التباس أو تعطل.
اكتب المسؤوليات التي ستبقى عند شركتك
الخدمات المدارة قد تنقل تشغيل أجزاء من البنية إلى المزود، بينما تبقى على العميل مسؤوليات الأنظمة والقرارات التي يتحكم فيها. يشرح نموذج Microsoft للمسؤولية المشتركة هذا المبدأ العام؛ لكنه ليس عقدا لخدمة Gammal Tech ولا دليلا على تفاصيل تشغيلها.
في مشروعك، حدد مسؤول الواجهة والنطاق وحسابات الاستضافة وأجهزة الموظفين وصلاحيات التطبيق والنسخ الإضافية من البيانات. واطلب توضيحا مكتوبا لنطاق المزود نفسه. توزيع مهام محددة على أشخاص معروفين أكثر فائدة من القول إن «الأمن كله على شركة الخدمات» ثم اكتشاف مهمة لم يتولها أحد.
اجعل القرار: مقبول أو معلق أو إيقاف النقل
اعتبر المتطلب مقبولا عندما تؤيده أدلة وتجربة مناسبة. اتركه معلقا إذا احتاج وثيقة أو تعديلا في التصميم. وأوقف النقل إذا كان متطلب جوهري بلا حل أو بلا مسؤول. لا تجعل درجة إجمالية مرتفعة تخفي نقصا واحدا يغير صلاحية الحل للعمل.
مثلا، قد يصل موقع للتفضيلات إلى قرار مناسب بعد التحقق من العمليات الأساسية والدعم. أما مسار موافقات مالية فيحتاج حسم جهة الصلاحيات قبل الإطلاق. القرار يتبع أثر العمل، وليس اسم المزود وحده.
يتناول دليل NIST للشركات الصغيرة تقييم الموردين ضمن إدارة المخاطر. احتفظ بقائمتك وراجعها عند إضافة ميزة مؤثرة أو نوع جديد من البيانات أو تغيير أساسي في الخدمة.
أسئلة شائعة
هل استخدام باك إند مدار يلغي مراجعة الأمان؟
يقلل بعض أعمال التشغيل، لكن اختيار الخدمة وتكاملها ومسؤوليات الشركة المتبقية ما زالت تحتاج مراجعة.
ماذا أفعل إذا لم ينشر المزود تفاصيل ضابط أحتاجه؟
اطلب دليلا يخص الخدمة والشروط المناسبة لك، وأبق المتطلب معلقا حتى تصل إلى إجابة كافية أو تصميم بديل.
هل كل شركة صغيرة تحتاج فريق أمن متفرغا؟
يتوقف ذلك على أثر العمل وخبرات الفريق. قد تكفي مراجعة خارجية لمشكلة محددة، بينما تحتاج أنظمة أكثر تعقيدا أو حساسية إلى خبرة مستمرة.