أمن تطبيقات الويب في المنشأة: ما الذي يجب أن تسأل عنه الإدارة
لدى كل منشأة اليوم واجهات على الإنترنت: بوابة عملاء، ونظام موارد بشرية يُفتح من خارج المكتب، ولوحة تحكم لمتجر أو منصة حجز. هذه الواجهات هي أول ما يصل إليه المهاجم، وأمنها ليس مسألة تقنية بحتة تُترك للفريق وحده؛ إنه مسؤولية إدارية يكفي لمتابعتها أن تطرح الأسئلة الصحيحة وتطلب إجابات واضحة.
لماذا تحتاج الإدارة إلى قائمة أسئلة؟
أغلب الحوادث التي تمس تطبيقات الويب لا تبدأ بثغرة معقدة، بل بأمر بسيط أُهمل: تحديث تأخر، أو حساب موظف غادر ولم يُغلق، أو كلمة مرور بلا تحقق إضافي، أو نسخة احتياطية لم تُختبر. هذه أمور لا تحتاج خبرة تقنية لاكتشافها، بل تحتاج من يسأل عنها بانتظام. والأسئلة السبعة أدناه صُمّمت لتُطرح في اجتماع مراجعة، وتُجاب بـ«نعم» أو «لا» أو «لا نعرف» — والإجابة الثالثة هي الأهم لأنها تكشف الفجوة.
١. من المسؤول عن تحديث كل تطبيق، وكم يتأخر التحديث؟
كل تطبيق ويب يعتمد على طبقات: نظام تشغيل الخادم، وخادم الويب، وقاعدة البيانات، والمكتبات والإضافات التي بُني عليها. أي طبقة منها قد تظهر فيها ثغرة معلنة، ويبدأ المهاجمون في استغلالها خلال وقت قصير من إعلانها.
لا يكفي أن يُقال لك «نحدّث باستمرار». اطلب إجابة محددة: من يتابع التحديثات الأمنية لكل تطبيق؟ وما المدة المستهدفة لتطبيق التحديث الحرج؟ وهل توجد قائمة بالأنظمة التي لم تعد تصلها تحديثات من مورّدها؟ النظام الذي انتهى دعمه ولا يزال مكشوفاً على الإنترنت يستحق أن يكون بنداً على جدول أعمال الإدارة.
٢. من يملك صلاحية الدخول، وهل التحقق متعدد العوامل مفعّل؟
سرقة كلمات المرور أو تخمينها من أكثر طرق الاختراق شيوعاً، وأبسط حماية منها هي التحقق متعدد العوامل: رمز إضافي من تطبيق على الجوال أو مفتاح أمان، إلى جانب كلمة المرور. اسأل تحديداً عن الحسابات الأعلى خطراً:
- حسابات المشرفين على لوحات التحكم والخوادم
- الدخول عن بُعد إلى الأنظمة الداخلية
- البريد الإلكتروني، لأنه يُستخدم لاستعادة كلمات المرور في كل مكان آخر
- حسابات المورّدين والمقاولين الذين يدخلون إلى أنظمتكم
واسأل أيضاً عن مبدأ «أقل صلاحية لازمة»: هل يملك كل موظف ما يحتاجه لعمله فقط؟ وهل تُراجَع الصلاحيات دورياً؟ وهل يُغلق حساب الموظف في يوم مغادرته لا بعد أسابيع؟
٣. هل يمكننا استعادة التطبيق وبياناته إذا فُقدت؟
هجمات الفدية تستهدف البيانات والنسخ الاحتياطية معاً. لذلك السؤال ليس «هل لدينا نسخ احتياطي؟» بل «متى آخر مرة استعدنا فعلاً من النسخة، وكم استغرق ذلك؟». النسخة التي لم تُختبر افتراض لا ضمان، والنسخة المحفوظة في المكان نفسه الذي يصل إليه المهاجم قد تُشفَّر معه. فصّلنا هذا الجانب في مقال النسخ الاحتياطي غير المُختبَر ليس نسخاً احتياطياً.
٤. هل نسجّل ما يحدث، وهل ينظر أحد إلى السجلات؟
سجلات الدخول والأخطاء والتغييرات هي ما يسمح لك بمعرفة ما حدث بعد الحادثة، وأحياناً باكتشافها قبل أن تكبر. لكن السجلات التي تُحفظ ولا يراجعها أحد لا تنبّه إلى شيء. اسأل:
- هل تُحفظ السجلات خارج الخادم نفسه، بحيث لا يستطيع من اخترقه أن يمحوها؟
- كم مدة الاحتفاظ بها؟ وهل تكفي للتحقيق في حادثة اكتُشفت متأخرة؟
- من يتلقى التنبيه عند محاولات دخول فاشلة متكررة أو دخول من موقع غير معتاد؟ وفي أي ساعات؟
٥. متى اختُبر التطبيق آخر مرة من طرف مستقل؟
اختبار الاختراق يعني أن فريقاً مختصاً يحاول اختراق التطبيق بإذنكم، ثم يسلّمكم تقريراً بما وجده مرتباً حسب الخطورة. التوقيت المعقول: قبل إطلاق أي تطبيق جديد مكشوف على الإنترنت، وبعد أي تغيير جوهري فيه، وبشكل دوري لا يطول كثيراً للتطبيقات التي تتعامل مع بيانات عملاء أو مدفوعات.
والأهم من الاختبار نفسه ما بعده: هل أُغلقت الثغرات التي ذُكرت في التقرير السابق؟ ومن تحقق من إغلاقها؟ تقرير يُحفظ في مجلد دون متابعة لا يغيّر شيئاً.
٦. أين تنتهي مسؤولية المورّد وتبدأ مسؤوليتنا؟
كثير من تطبيقات المنشأة يطوّرها أو يستضيفها أو يشغّلها طرف خارجي. وهنا تنشأ المنطقة الرمادية: الشركة المطوّرة تظن أن التحديث مسؤولية الاستضافة، والاستضافة تظن أنه مسؤولية المطوّر، والمنشأة تظن أن أحدهما يتولاه. اطلب جدولاً مكتوباً يحدد لكل مهمة جهة مسؤولة واحدة:
| المهمة | السؤال الذي يجب أن تُجاب عنه كتابةً |
|---|---|
| التحديثات الأمنية | من يطبّقها لكل طبقة، وخلال أي مدة؟ |
| النسخ الاحتياطي | من ينفّذه، ومن يختبر الاستعادة، وأين تُحفظ النسخ؟ |
| المراقبة والتنبيه | من يتلقى التنبيه، وفي أي ساعات، وما زمن الاستجابة؟ |
| إدارة الحسابات | من ينشئ الحسابات ويغلقها، ومن يراجع الصلاحيات؟ |
| الإبلاغ عن الحوادث | خلال كم ساعة يُبلغنا المورّد بأي حادثة تمس أنظمتنا أو بياناتنا؟ |
هذه البنود مكانها الطبيعي في العقد واتفاقية مستوى الخدمة، لا في المراسلات. وقد تناولنا ما يجب أن تتضمنه الاتفاقية في مقال اتفاقية مستوى الخدمة: ما الذي يجب أن تحتويه فعلاً.
٧. ماذا نفعل في الساعة الأولى من الحادثة؟
حين تقع حادثة، لا وقت لتحديد من يتصل بمن. خطة الاستجابة لا تحتاج أن تكون وثيقة طويلة، لكن يجب أن تجيب عن أسئلة محددة، وأن تكون معروفة لمن سيطبّقها:
- من يعلن أن ما يحدث «حادثة»، ومن يقود التعامل معها؟
- من يملك قرار عزل نظام أو إيقافه مؤقتاً، ولو أثّر ذلك على العمل؟
- كيف نتواصل داخلياً إن كان البريد نفسه متأثراً؟
- متى وكيف نبلغ العملاء والجهات المختصة إن كانت الحادثة تمس بيانات شخصية؟
- متى أُجري آخر تمرين على هذه الخطة؟
الإطار التنظيمي في المملكة
هذه الأسئلة ليست اجتهاداً فحسب. الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني تتناول مجالات مثل إدارة الهويات والصلاحيات، وإدارة الثغرات والتحديثات، والنسخ الاحتياطي، والسجلات والمراقبة، وإدارة الحوادث، والأمن السيبراني المتعلق بالأطراف الخارجية. ونظام حماية البيانات الشخصية يفرض على المنشأة مسؤولية حماية البيانات الشخصية التي تعالجها، ومنها ما تجمعه تطبيقاتها على الويب، ويتضمن التزامات بالإبلاغ عن الحوادث التي تمسها. مدى انطباق كل متطلب يختلف بحسب طبيعة المنشأة وقطاعها، والمرجع النهائي هو النصوص الرسمية والمستشار المختص.
الخلاصة
لا تحتاج الإدارة أن تفهم تفاصيل الثغرات لتتابع أمن تطبيقاتها. تحتاج أن تطرح الأسئلة السبعة مرتين في السنة على الأقل، وأن تصر على إجابات مكتوبة بأسماء ومدد محددة، وأن تتعامل مع كل «لا نعرف» كبند عمل له مسؤول وموعد. بهذا يتحول الأمن من شعور عام بالاطمئنان إلى صورة واضحة يمكن البناء عليها.