اقرأ العمل المطلوب وراء اسم الخدمة
قد تسمع تعبيرات مثل الأمن كخدمة، والأمن السيبراني المدار، وأمان تطبيقات SaaS، والباك اند كخدمة. تتقاطع هذه المصطلحات في بعض المناقشات، لكنها لا تصف منتجا واحدا أو مسؤولية واحدة. اسأل أولا: ماذا يفعل المورد في يوم عادي؟ وماذا يفعل عند الاشتباه في حادث؟
قد تقدم أداة لوحة تعرض نتائج تحتاج إلى شخص يراجعها. وقد يشمل اتفاق آخر متابعة بشرية واستجابة محددة. وقد يشغل مورد جزءا من موقعك دون أي مسؤولية عن أجهزة المكتب. فهم هذه الفروق يمنع توقعات لا يدعمها نطاق التعاقد.
ثلاثة نماذج لها أهداف مختلفة
| النموذج | هدف الشراء | السؤال الحاسم |
|---|---|---|
| برنامج أمني يقدم باشتراك سحابي | استخدام قدرة محددة للحماية أو التقييم | من يفسر النتائج ويتخذ الإجراء؟ |
| عمليات أمنية مدارة | إسناد متابعة أو استجابة متفق عليها | ما الأنظمة والإجراءات التي يشملها الاتفاق؟ |
| باك اند مستضاف للتطبيق | تشغيل وظائف مناسبة عبر مقدم خدمة | ما المهام التي ستبقى على فريق الموقع؟ |
العروض الفعلية تختلف؛ استخدم الجدول لصياغة الأسئلة، لا لافتراض أن كل مورد يقدم الشيء نفسه. يمكن للشركة استخدام أكثر من نموذج عندما تحتاج إلى ذلك. المهم أن تكون العلاقة بين الخدمات واضحة، وألا تعتمد مهمة ضرورية على افتراض غير مكتوب.
دور Gammal Tech في هذا التصميم
تقدم منصة Gammal Tech تسجيل الدخول وتخزين بيانات مستخدمي التطبيق والدفع كخدمات مستضافة. يمكن لهذه الوظائف أن تقلل بعض مكونات البنية الخلفية التي يشغلها الموقع على سيرفره.
حدد الوظائف التي ستنقلها، والأنظمة المحلية التي ستوقفها، والمعلومات التي سيستمر تطبيقك في التعامل معها. إذا أدى التكامل والنقل إلى إلغاء أعمال فعلية، تصبح لدى فريقك مجموعة أصغر من مهام الباك اند التي يحتاج إلى إدارتها.
هذا الدور لا يثبت تقديم مركز عمليات أمن لعملاء، أو اختبار اختراق، أو حماية أجهزة الموظفين. عندما تحتاج إلى هذه الأنشطة، اطلب وصفا مستقلا لها وأدلة على الخدمة المطلوبة، بدلا من إضافتها ضمن توقعات الاشتراك.
ارسم خريطة المسؤوليات قبل التنفيذ
قسم النظام إلى خمس طبقات: الصفحات التي يراها العميل، وقرارات التطبيق، والمكونات المستضافة، وحسابات الإدارة، وأجهزة الموظفين. اكتب أمام كل طبقة اسم المسؤول ودور مقدم الخدمة. اسأل من يحدثها، ومن يلاحظ المشكلة، ومن يملك اتخاذ القرار عند الحاجة.
استخدم مبدأ المسؤولية المشتركة لتوجيه النقاش: إسناد العمل يغير توزيعه. ثم حدد الحدود الفعلية بالرجوع إلى وثائق المورد والاتفاق، لا إلى كلمة «سحابي» وحدها.
كذلك لا تخلط بين نجاح تسجيل الدخول والسماح بكل إجراء. توضح إرشادات OWASP للتفويض اختلاف التحقق من المستخدم عن قرار السماح له. يحتاج التطبيق إلى أساس موثوق لفتح سجل مقيد أو اعتماد استرداد مبلغ أو منح صلاحية إدارية.
مثال توضيحي لموقع عضويات
تخيل شركة تنشئ مكتبة محتوى للأعضاء. تختار خدمة مستضافة للوظائف المناسبة المتعلقة بالحساب وبيانات المستخدم. ويظل فريق الموقع مسؤولا عن نشر الصفحات واختيار السكربتات وتحديد المواد التي تحتاج إلى اشتراك مدفوع.
أثناء التخطيط، يقترح أحد أفراد الفريق حفظ قيمة بسيطة في المتصفح تقول إن العميل دفع. تظهر هنا نقطة تحتاج إلى معالجة: الإعداد الذي يستطيع المستخدم تعديله ليس دليلا موثوقا على اكتمال الدفع. يرتب الفريق مسارا موثوقا لتحديد الاستحقاق قبل إطلاق الميزة.
تظل فائدة الباك اند المستضاف موجودة، لكنها لا تجيب عن كل سؤال في تصميم التطبيق. هذا المثال ليس حالة عميل معلنة؛ إنه يوضح كيف تجمع الشركة بين تبسيط التشغيل ووضوح قواعد الوصول، دون أن تترك قرارا حساسا مبنيا على بيانات يمكن لصاحب الطلب تغييرها.
ستة أسئلة تراجع بها أي عرض
- ما المكونات التي تشغلها الخدمة أو تحميها تحديدا؟
- ما الأشياء الموجودة خارج نطاقها؟
- ما الإعدادات وأعمال الصيانة التي ستبقى علينا؟
- كيف يعمل الدعم والتواصل عند الحوادث؟
- ما الأدلة التي تدعم الادعاءات الأمنية للمورد؟
- كيف نستعيد العمل أو نغير المورد إذا احتجنا إلى ذلك؟
سجل الإجابات قبل الإطلاق وراجعها عند تغير التطبيق. فقد تكون الخدمة مناسبة لجزء من نشاط الشركة وغير مناسبة لجزء آخر. النتيجة الجيدة هي توزيع عمل يمكن للفريق تنفيذه ومتابعته، مع توضيح نقاط الاتصال بين المورد والمطور والإدارة.
ابدأ بنطاق محدود تستطيع وصفه واختباره بوضوح. بعد استقرار التشغيل، أضف وظائف جديدة بناء على احتياج معروف ومسؤولية محددة. بهذه الطريقة يصبح التوسع قرارا مدروسا، وتظل الصورة واضحة لمن يدير الموقع بعد انتهاء مرحلة البناء.
أسئلة شائعة
هل كل خدمة SaaS تعتبر خدمة أمن سيبراني؟
لا. SaaS تصف طريقة تقديم البرنامج. قد يقدم البرنامج وظائف أمنية أو وظائف تشغيلية أو مزيجا منهما. راجع القدرات الموثقة ولا تستنتج الحماية من طريقة الاشتراك.
هل Gammal Tech بديل لمركز عمليات أمن مدار؟
النطاق الموثق هنا هو باك اند مستضاف للتطبيقات. هذا لا يثبت تقديم مراقبة لأنظمة العميل واستجابة للحوادث ضمن نطاق مركز عمليات أمن.
هل الخدمات المستضافة قد تقلل احتياج الشركة إلى فريق داخلي؟
قد تقلل مهام تشغيل محددة. لكن قرار الفريق يتوقف على الأنظمة والبيانات والمسؤوليات المتبقية، وما يحتاج إلى خبرة متخصصة من الداخل أو الخارج.