سياسة الأمان

أمان عملائنا أولوية قصوى. نوثّق هنا الضوابط الأمنية المُطبّقة على بنيتنا التحتية، عملياتنا، وبرنامج الإفصاح المسؤول عن الثغرات.

١. حماية البيانات

• أثناء النقل: TLS 1.3 إلزامي على كل الاتصالات، مع HSTS مفعّل وشهادات SSL مجدّدة تلقائياً.
• في حالة السكون: AES-256 لتشفير قواعد البيانات، الـ backups، وأنظمة التخزين المرتبطة.
• كلمات المرور: Hashing بـ bcrypt مع salt فردي لكل مستخدم. لا نستطيع استرجاع كلمتك أبداً، نقوم فقط بإعادة تعيينها.

٢. أمان البنية التحتية

• WAF (Web Application Firewall) لحماية ضد OWASP Top 10
• DDoS protection على مستوى الشبكة
• فصل بيئات التطوير والاختبار والإنتاج
• مراقبة 24/7 مع تنبيهات فورية لأي نشاط مريب

٣. التحكّم بالصلاحيات

نطبّق نموذج Zero Trust على الموظفين والأنظمة:

• مصادقة ثنائية (2FA) إلزامية لكل الحسابات الإدارية
• Single Sign-On عبر مزوّد هوية مركزي
• مراجعة صلاحيات ربع سنوية وإلغاء الوصول فور انتهاء الحاجة

٤. تطوير آمن

كل تغيير في الكود يمرّ بمراجعة من مهندسَين على الأقل، مع فحص أمني آلي (SAST/DAST) في خط النشر، واختبارات اختراق نصف سنوية من جهة خارجية مستقلة.

نستخدم أدوات لاكتشاف الـ secrets قبل push، ونمنع الـ secrets في الـ git history.

٥. الاستجابة للحوادث

لدينا فريق استجابة للحوادث (IRT) متاح 24/7، مع خطة موثّقة تشمل الاحتواء، التحقيق، الإفصاح للعملاء المتأثّرين خلال ٧٢ ساعة، والاستفادة من الدروس لتحسين الضوابط.

٦. التواصل الأمني

لأي بلاغ أمني أو سؤال حول الضوابط: [email protected]