أي مزوّد برنامج يتعامل مع بياناتك المالية سيقول لك إنه «آمن». هذا التصريح، بمفرده، لا يعني شيئًا — غير قابل للتحقق، وغير محدد، ولا يخبرك كيف يتعامل المزوّد فعليًا مع صلاحيات الوصول، والاحتفاظ بالبيانات، والاستجابة للحوادث، وعشرات القرارات الأخرى التي تحدد إن كانت بياناتك محمية فعلاً.
الإجابة المباشرة: لا يوجد نظام متصل بالإنترنت، بغض النظر عن جودة بنائه، يمكن وصفه بأنه «آمن 100%» بمعنى صادق. السؤال الحقيقي هو: هل اتخذ المزوّد قرارات واضحة ومدروسة، وهل يمكنه أن يُظهر لك دليلاً عليها؟ بدل قبول التطمينات، اسأل أسئلة محددة وقابلة للتحقق — وتوقّع إجابات محددة وقابلة للتحقق.
1) ما البيانات التي يصل إليها البرنامج فعليًا، وهل يمكن تحديد نطاق الوصول؟
أداة المراقبة لا تحتاج صلاحية كتابة على نظام أودو لتقوم بوظيفتها — صلاحية قراءة على جداول العمليات ذات الصلة كافية عادة للمراقبة والرصد. اسأل: هل يطلب المزوّد صلاحيات أوسع من ما تتطلبه الوظيفة فعليًا؟ وهل يمكن تحديد نطاق الوصول على وحدات أو أنواع سجلات محددة بدل منحه صلاحية شاملة؟ مبدأ «أقل صلاحية ممكنة» معيار أساسي وقابل للاختبار، لا شعار تسويقي.
2) أين تُخزَّن البيانات، ومن يمكنه الوصول إليها؟
اسأل بوضوح: هل البيانات مستضافة على بنية تحتية خاصة بك، أم في بيئة مخصصة، أم في بيئة مشتركة بين عملاء متعددين؟ من في مؤسسة المزوّد يملك صلاحية الوصول لبيانات العملاء، وتحت أي شروط، وهل هذا الوصول موثّق؟ لشركات مصر والسعودية، هذا السؤال له بُعد تنظيمي أيضًا — متطلبات موقع البيانات والقواعد الخاصة بالقطاع (خصوصًا حول البيانات المالية والضريبية) تعني أن الإجابة يجب أن تحدد الموقع الفعلي للخوادم، لا فقط كيفية تأمينها.
3) كيف تُشفَّر البيانات، أثناء النقل وفي حالة التخزين؟
هذا سؤال تقني معياري وقابل للتحقق. التشفير أثناء النقل (TLS) توقّع أساسي. التشفير في حالة التخزين لبيانات العمليات وسجلات الأدلة هو الطبقة التالية. إذا لم يستطع المزوّد وصف نهجه في التشفير بتفاصيل محددة، فهذا بمفرده معلومة مهمة.
4) ماذا يحدث عند وقوع خطأ؟
اسأل عن الاستجابة للحوادث: هل توجد عملية موثّقة لاكتشاف حادث أمني والاستجابة له والإفصاح عنه؟ ما تاريخ المزوّد — هل وقعت حوادث سابقة، وكيف تمت معالجتها؟ مزوّد بلا تاريخ حوادث وبلا خطة استجابة ليس بالضرورة حذرًا؛ قد يكون فقط لم يُختبر بعد، أو لا يُفصح.
5) من راجع هذا النظام، وهل يمكنك رؤية النتيجة؟
التحقق المستقل أهم من وصف المزوّد لنفسه. اسأل هل خضع المزوّد لتقييم أمني من طرف ثالث، أو اختبار اختراق، أو شهادة امتثال ذات صلة بمنطقتك وقطاعك، واطلب رؤية المستند لا ملخصًا عامًا. إذا كان المزوّد في مرحلة مبكرة ولم يُنهِ شهادات رسمية بعد، فإجابة صادقة — «ليس بعد، وهذه خطتنا» — أكثر مصداقية من مزاعم مبالغ فيها.
6) كيف يُضبط الوصول داخل مؤسستك أنت؟
الأمن لا يتعلق بالمزوّد فقط — بل أيضًا بكيفية إدارة الوصول داخل مؤسستك عبر الأداة نفسها. اسأل هل تدعم الأداة صلاحيات مبنية على الأدوار، بحيث تكون إشارة مرصودة على عملية حساسة مرئية فقط لمن يجب أن يراها، وهل تُسجَّل إجراءات المستخدمين داخل الأداة نفسها (أثر تدقيق لأداة التدقيق).
7) ما سياسة الاحتفاظ بالبيانات وحذفها؟
اسأل كم مدة الاحتفاظ ببيانات العمليات وسجلات الأدلة، وماذا يحدث لبياناتك إذا أوقفت الخدمة، وهل يمكنك تصدير أثر التدقيق الخاص بك عند الطلب. احتفاظ المزوّد ببيانات مراجعتك المالية كرهينة لاستمرار الاشتراك خطر حقيقي يستحق التحقق منه تعاقديًا، لا تقنيًا فقط.
كيف يتعامل Seg-Audit مع هذه الأسئلة؟
بنينا Seg-Audit مع افتراض أن قادة الشؤون المالية الذين يقيّمون أداة مراقبة يجب أن يكونوا متشككين بشكل مبدئي — ليس لأننا نعتبر أنفسنا المنتج الكامل، بل لأن هذا التشكك هو الموقف الصحيح لأي طرف يمنح صلاحية وصول لبياناته المالية. نهجنا يعكس الأسئلة أعلاه: نطاق الوصول محدد بالبيانات المطلوبة للمراقبة لا صلاحيات إدارية واسعة، والبيانات مُشفّرة أثناء النقل، وصلاحيات مبنية على الأدوار تحكم من يرى أي إشارة داخل مؤسسة العميل. نحن واضحون مع العملاء المحتملين حول ما هو مُعتمد بشكل مستقل حتى الآن وما ليس كذلك، ونفضّل أن نقول «ليس بعد، وهذه الخطة» بدل تضخيم موقفنا.
لا نزعم أننا محصّنون تمامًا أو بلا أخطاء — لا يمكن لأي مزوّد أن يفعل ذلك بصدق. ما نقدمه هو إجابة محددة وقابلة للفحص على كل سؤال أعلاه، واستعداد لهذا النقاش بالتفصيل قبل توقيع أي عقد، لا بعده.
الأسئلة الشائعة
هل تحتاج Seg-Audit صلاحية تعديل على بيانات أودو؟
لا، صلاحية القراءة على العمليات ذات الصلة كافية لأداء وظيفة المراقبة والرصد.
هل بيانات شركتي مخزّنة بشكل منفصل عن بيانات عملاء آخرين؟
نطاق الوصول والتخزين يُحدَّد بحسب ما تتطلبه المراقبة، وهذا من الأسئلة التي نناقشها بالتفصيل مع كل عميل قبل التفعيل.
ماذا يحدث لبياناتي إذا أوقفت التعامل مع Seg-Audit؟
يمكنك تصدير أثر التدقيق الخاص بك عند الطلب — هذا من الأسئلة التي ننصح كل عميل بتوضيحها تعاقديًا مع أي مزوّد، ونحن لا نستثني أنفسنا من هذا المعيار.
تريد أن تسمع إجابات محددة على هذه الأسئلة السبعة من فريقنا مباشرة؟
تواصل مع فريق Seg-Audit من MFT قبل توقيع أي عقد، لا بعده. عبر واتساب: 01098856887 — «نثق في الأرقام… لا في التقديرات».
أعدّه فريق MFT — محتوى تعريفي حول ممارسات الأمن في أدوات المراقبة المالية، ولا يُعدّ ضمانًا مطلقًا أو استشارة أمنية رسمية.