انتقل إلى المحتوى الرئيسي

بيان أمان Invent ERP

1. بيان الأمان​

يُصان برنامجنا الشامل لأمن المعلومات ويرتكز على معايير وأفضل الممارسات. نحن في Invent ملتزمون بالحفاظ على أمان وخصوصية المعلومات التي نتلقاها من عملائنا كجزء من التزامنا بالحفاظ على أعلى معايير أمن المعلومات والأمن السيبراني. لتزويدك بمستوى مُرضٍ من الخدمة، نجمع فقط الحد الأدنى الضروري من بياناتك الشخصية. تُشير سياسة الخصوصية هذه إلى نوع العمليات التي قد تؤدي إلى جمع البيانات عنك. باستخدامك هذا الموقع، تُصرّح لنا بجمع تلك البيانات. ستُتّبع القوانين الحاكمة في مملكة البحرين والامتثال لها.

2. السرية​

المعلومات الديموغرافية للعملاء/المستفيدين سرية تمامًا ولن تُكشف لأي أطراف ثالثة دون الحصول على موافقة خطية من العميل/المستفيد. ينطبق الأمر ذاته على المعلومات التي يتلقاها العملاء/المستفيدون من Invent. يجب أن تُعالَج التفاصيل والمعلومات المشتركة بأقصى درجات السرية والثقة من كلا الطرفين.

3. الإفصاح عن المعلومات​

لا نكشف عن أي معلومات شخصية تم الحصول عليها عنك من هذا الموقع لأطراف ثالثة إلا عند الحاجة إلى ذلك لإتمام المعاملة. قد نستخدم البيانات بشكل محتمل للبقاء على تواصل معك وإبلاغك بالتغييرات المتعلقة بشركتنا. ستتاح لك خيار إلغاء الاشتراك من أي قائمة بريد إلكتروني أو خدمة مماثلة. لن نشارك المعلومات التي تم جمعها على هذا الموقع مع أطراف ثالثة إلا بمعرفتك وموافقتك، إذا رغبنا في ذلك.

قد نقدّم أحيانًا معلومات عامة للأطراف الخارجية، بما في ذلك عدد الأشخاص الذين يزورون موقعنا أو يملؤون نموذج التسجيل، لكننا لن نستخدم أي بيانات يمكن استخدامها لتحديد هوية هؤلاء الأشخاص.

4. Invent Cloud​

4.1. النسخ الاحتياطي / التعافي من الكوارث​

يتم النسخ الاحتياطي الكامل لكل قاعدة بيانات Invent ERP 3 مرات، ونحتفظ بها لمدة لا تقل عن ثلاثة أشهر.

الفشل التلقائي للأجهزة

فريقنا ملتزم بالتعامل مع أي حوادث أو انتهاكات أو فقدان بيانات بجدية بالغة، إذ لدينا إجراء مخصص للمتابعة في حالة وقوع حادث. سيُبلّغك فريقنا بأي مواقف تتعلق بك، إلى جانب أي خطوات ضرورية قد تحتاج إلى اتخاذها. نتتبع المشكلات ونتخذ الإجراءات التصحيحية اللازمة لإغلاقها. عند الاقتضاء، سنعمل على تحديد وجمع والحصول على الأدلة اللازمة وتقديمها لك — في شكل سجلات التطبيقات والتدقيق — بشأن الحوادث المتعلقة بك. بالإضافة إلى ذلك، نضع ضوابط لمنع حدوث ظروف مماثلة مرة أخرى.

4.1.2. إجراء الخرق من 5 خطوات​

إجراء الخمس خطوات هو نهج مخصص للتعامل مع الحوادث المتعلقة بفقدان البيانات أو اختراقها.

4.1.2.1. جمع المعلومات​

تحقّق مما إذا كان قد وقع اختراق. حان الوقت لتحديد سبب وخطورة أي اختراقات قد تكون حدثت.

  • اكتشف بسرعة ما تم اختراقه.
  • حدّد نقاط الضعف التي أدت إلى تسريب البيانات.
  • أصلح المشكلة لمنع تكرارها.
نصائح​

كثيرًا ما يتظاهر المحتالون بأن حساباتك قد تعرضت للاختراق للحصول على معلوماتك الشخصية.

  • ابقَ على اطلاع بأحدث عمليات الاحتيال.
  • لتجنب تسريب البيانات، علّم فريقك على التعرف على عمليات الاحتيال.

4.1.2.2. الاحتواء​

من الضروري وقف تسريب البيانات والتخلص من المخترق وترقية النظام والحفاظ على الدليل.

  • منع الاختراق من التوسع.
  • عزل الخطر.
  • إيقاف تشغيل الخوادم وأجهزة الكمبيوتر.

4.1.2.3. إشعار الاختراق​

تشترط اللائحة العامة لحماية البيانات (GDPR)، بوصفنا مراقبي البيانات، أن نُبلّغ سلطة حماية البيانات المختصة بالاختراق في غضون 72 ساعة من الإحاطة بوقوعه. عند الضرورة، نُبلّغ المستهلكين أيضًا بناءً على أي متطلبات محددة. بوصفنا معالجي بيانات، نُبلّغ مراقبي البيانات المختصين فورًا.

المبادئ التوجيهية الأساسية هي كما يلي:

  • تقديم المعلومات ذات الصلة.
  • تبرير وقوع الموقف.
  • وصف الخطوات المتخذة لإصلاح المشكلة.
  • دعوة النقاش. بناءً على نوع الاختراق، ناقش المشكلة مع عملائك والمحللين والإعلام والجمهور العام.
  • علّم العملاء كيفية تجنب مشكلة مماثلة في المستقبل.

4.1.2.4. إدارة تغيير بيانات الاعتماد​

غيّر جميع كلمات المرور فور تأمين النظام وإغلاقه.

4.1.2.5. رفع مستويات الأمان ومراقبتها​

بعد إصلاح اختراق البيانات، أعد ضبط نظام الأمان لجعله أكثر مقاومة للهجمات في المستقبل.

نصائح​

الوقاية هي أفضل الحلول وأقلها تكلفة. إنها حل فعّال من حيث التكلفة لضمان حماية شركتك من المخترقين وبرامج الفدية والتهديدات الإلكترونية نظرًا لانخفاض التكاليف الأولية والتكلفة الشهرية المنخفضة. قد تكون أصول المشكلة داخلية أو خارجية، لذا تدريب موظفيك على مخاطر الإنترنت وإعطاؤهم نصائح حول كيفية تأمين حساباتهم وكلمات مرورهم ضد الاختراق كلها إجراءات يمكنك اتخاذها.

4.2. أمان قاعدة البيانات​

  • لا يوجد تبادل للبيانات بين العملاء؛ جميع معلومات العملاء محفوظة في قاعدة بيانات منفصلة.
  • يتم تطبيق العزل الكامل عبر قواعد بيانات العملاء التي تعمل على نفس المجموعة من خلال قواعد التحكم في الوصول إلى البيانات، مما يعني عدم إمكانية الوصول إلى أي بيانات من قاعدة بيانات إلى أخرى.

لضمان أن يكون برنامج نظام التشغيل الأساسي لخادم قاعدة البيانات محدّثًا باستمرار، نستخدم حلًا لقواعد البيانات المُدارة. بالإضافة إلى ذلك، نشترط أن يكون برنامج قاعدة البيانات دائمًا أحدث إصدار متوافق. نطلب الحفاظ على جميع المكتبات الخارجية المستخدمة في برنامج مستوى التطبيق. يجب إيقاف الاعتماد على أي مكتبة لا تتلقى صيانة فورًا. بالنسبة للحقول التي تُعدّ حساسة، يدعم الحل ويستخدم كلًا من التشفير على مستوى نظام الملفات والتشفير على مستوى الحقل.

4.3. أمان كلمات المرور​

  • يتم دائمًا إرسال بيانات اعتماد تسجيل الدخول بأمان عبر HTTPS.
  • سياسات كلمات المرور: يتم فرض حد أدنى لطول كلمة المرور للمستخدمين مع اشتراط مزج الحالات. ستُقيّد المنصة محاولات تسجيل الدخول الفاشلة.
  • كلمات المرور: تتبع معيار إرشادات كلمات مرور OWASP.

4.4. وصول الموظفين​

قد يُسجّل موظفو مكتب المساعدة من Invent الدخول إلى حسابك لعرض الإعدادات المتعلقة بمشكلة الدعم الخاصة بك. بدلًا من استخدام كلمة مرورك — التي لا يملكون أي طريقة لمعرفتها — يستخدمون بيانات اعتماد الموظف الفريدة الخاصة بهم لهذا الغرض.

من خلال هذا الوصول الخاص للموظفين، تتعزز الكفاءة والأمان لأننا نستطيع تدقيق إجراءات الموظفين وتنظيمها بشكل مستقل، ويمكنهم إعادة تمثيل المشكلة التي تواجهها بسرعة، ولا يتعين عليك أبدًا الكشف عن كلمة مرورك.

يعمل فريق مكتب المساعدة لدينا بجد لحماية خصوصيتك، والوصول إلى الملفات والإعدادات فقط عند الضرورة لتحديد المشكلات وإصلاحها.

4.5. أمان النظام​

نستخدم حلول AWS السحابية للبنية التحتية. لضمان أمان بنيتنا التحتية، نلتزم بأفضل ممارسات وإرشادات AWS، كما يتم استخدام الأمان السحابي المقدَّم من AWS والما يلي:

  1. AWS WAF.
  2. AWS Route 53 Resolver DNS Firewall.
  3. Amazon GuardDuty.
  4. AWS CloudTrail.

تتم إعادة توجيه جميع سجلات مستوى المضيف إلى AWS CloudWatch. تُخزَّن السجلات على مستوى التطبيق في قاعدة البيانات الخاصة بكل مستأجر. للخدمات، نستخدم الخدمات المُدارة (AWS GuardDuty وAWS CloudWatch) لتوليد أمان في الوقت الفعلي.

لا يُمنح المستخدمون والأطراف الثالثة والشركاء (إن وجدوا) الوصول إلى أي من الخوادم أو المثيلات التي تحمي AWS.

4.6. الأمان المادي​

تستوفي خوادم AWS متطلبات الأمان المادي وتكون موجودة في مراكز بيانات موثوقة حول العالم، وهي تحافظ على الأمان المادي وتديره.

4.7. أمان بطاقات الائتمان​

لا يتم الاحتفاظ بمعلومات بطاقات الائتمان على أنظمتنا الداخلية. يتم دائمًا نقل معلومات بطاقتك الائتمانية بأمان بينك وبين جهات استلام الدفع المعتمدة من PCI لدينا.

4.8. تشفير البيانات​

يُستخدم التشفير (أثناء النقل وأثناء الراحة) دائمًا لنقل بيانات العملاء وتخزينها.

  • البيانات أثناء الراحة مُشفَّرة باستخدام تشفير القرص والتشفير على مستوى قاعدة البيانات للبيانات الحساسة. استخدام شفرات HMAC مع AES-256-GCM وAES-256-CBC.
  • البيانات أثناء النقل مُشفَّرة باستخدام بروتوكول أمان طبقة النقل (TLS) وهو بروتوكول تشفير، يتم دعم مجموعات شفرات TLS الآمنة فقط.
  • تتم إدارة مفاتيح التشفير باستخدام خدمة إدارة المفاتيح (KMS) من Amazon Web Services (AWS).
  • SSL: جميع اتصالات الويب بمثيلات العميل مؤمّنة بمكدس SSL/TLS من الدرجة A مع تشفير AES لا يقل عن 128 بت وشهادة RSA بحجم 2048 بت. تستخدم سلسلة الشهادات بأكملها حاليًا SHA-256.

4.9. الدفاع عن الشبكة​

يتم فرض HTTPS للطلبات الواردة. يجب أن تمر الطلبات الواردة أيضًا عبر WAF وجدار حماية الشبكة قبل وصولها إلى طبقة التطبيق.

كل مزود لمركز بيانات يتعامل معه Invent يمتلك شبكات واسعة للغاية وقد بنى بنيته لتكون مقاومة حتى لأعنف هجمات الحرمان من الخدمة الموزعة (DDoS). عند حافة شبكاتها القارية، تستطيع أنظمة التخفيف الآلية واليدوية تحديد حركة الهجوم وإعادة توجيهها قبل أن تتاح لها فرصة المساس بتوافر الخدمة.

على خوادم Invent السحابية، تساعد أنظمة منع الاختراق وجدران الحماية في تحديد وإحباط مخاطر الأمان مثل هجمات كلمات المرور بالقوة الغاشمة.

كما يمكن تخصيص حد المعدل وفترة التهدئة لمحاولات تسجيل الدخول المتعددة من قِبَل مسؤولي قواعد بيانات العملاء.

يتم الحفاظ على الأنظمة والخوادم وأجهزة الشبكة محدّثة بأحدث التصحيحات.

5. Invent ERP​

5.1. أمان البرمجيات​

يخضع كود Invent ERP لفحص منتظم من قِبَل مساهمين عالميين ومنظمات خارجية. وبالتالي، تُعدّ تقارير الأخطاء مصدرًا قيّمًا للمدخلات المتعلقة بالأمان. يمكن للمستخدمين أيضًا الإبلاغ عن الأخطاء من خلال نظام التذاكر (انظر الشروط والأحكام لمزيد من المعلومات).

إجراءات مراجعة الكود للكود المنشأ والمقدَّم حديثًا هي جزء من عمليات البحث والتطوير في Invent. تغطي هذه الإجراءات اعتبارات الأمان.

يلتزم فريق الأمان بـ NIST CSF لضمان تطبيق أفضل الممارسات في كل مرحلة من مراحل دورة حياة التطبيق. نظرًا لأن جميع الأطراف يتبعون نفس الإطار والإجراءات، فإن ذلك يزيد من كفاءة التواصل من خلال تقليل الحمل الزائد للتواصل، ولا سيما عند الحاجة إلى اتخاذ إجراء عاجل.

5.1.1. أدوار المستخدمين​

يلتزم كل حساب بمبدأ الحد الأدنى من الصلاحيات. تُستخدم أدوار AWS IAM لإدارة حسابات الخدمة. يتولى نظامنا الداخلي إدارة حسابات المستخدمين وقيود الوصول المبنية على المستخدم. تتفاوت سياسات الوصول بحسب الإجراء والمورد. تُراجع الامتيازات المعيّنة لكل حساب من خلال التدقيق الروتيني.

5.2. الأمان بالتصميم​

نتبع ممارساتنا للأمان والقياس. يتم الاستعانة بمصادر خارجية لبعض المهام المتعلقة بالأمان عند الاقتضاء. بسبب طريقة بناء Invent، لا يمكن إدخال غالبية الثغرات الأمنية الشائعة.

  • يمكن تجنب حقن SQL باستخدام واجهة برمجة تطبيقات عالية المستوى لا تتطلب استعلامات SQL يدوية.
  • يتم استخدام تقنية قوالب متطورة تهرب تلقائيًا البيانات المحقونة لإحباط هجمات XSS.

5.3. عمليات التدقيق الأمني المستقلة​

تُجري شركات مستقلة عمليات تدقيق واختبارات اختراق على Invent بشكل منتظم. بعد مراجعة النتائج، يُنفّذ فريق Invent ERP الإجراءات التصحيحية اللازمة حسب الحاجة. بالإضافة إلى ذلك، تضم Invent مجتمعًا نشطًا من باحثي الأمن المستقلين الذين يتعاونون معنا لتعزيز وتقوية أمان Invent مع مراقبة الكود المصدري بانتظام.

المستويات أو الأقسام الثلاثة تُسمى الإنتاج والتهيئة والتطوير. تُطبَّق إدارة صارمة للإصدارات وسير عمل ومستويات تفويض مُعتمدة للحفاظ على إرشادات الأمان والتكوين ذات الصلة لاختبار البرامج قبل نشرها في بيئات الإنتاج.

5.4. المصادقة​

نحن ملتزمون بحماية بياناتك، من ضمان أنك وحدك من يمكنه الوصول إلى حساب ERP الخاص بك إلى وقف النشاط الضار المحتمل في مساره.

يُشترط كل من التفويض والمصادقة للوصول إلى البيانات. تُستخدم ضوابط وصول صارمة لحماية البيانات أثناء استخدامها. تُطبَّق السياسات لكل مورد ولكل مستخدم.

بالنسبة لضوابط الوصول للمورد، لدينا تسجيل على مستوى التطبيق ومستوى الخدمة لمراقبة الوصول وتقييد الوصول إلى المعلومات من المصادر الداخلية والخارجية، وتحديد المستخدمين بشكل فريد حتى يمكن تتبع محاولات الوصول وفحصها. يُشترط المصادقة المسبقة للوصول على مستوى التطبيق. تسري لوائح وصول صارمة لكل مورد ولكل مستخدم. تكون البيانات محمية أثناء الاستخدام وأثناء النقل وأثناء الراحة.

  • يمكن للمستخدمين تفعيل المصادقة الثنائية من ملفهم الشخصي.
  • يمتلك النظام ضوابط لكلمات المرور تُمكّنه من إنهاء الجلسات تلقائيًا بعد فترة زمنية محددة مسبقًا. بشكل افتراضي، تنتهي الجلسة بعد ساعتين من عدم النشاط.
  • تتبع كلمات المرور إرشادات أفضل الممارسات من OWASP.
  • الشيء الوحيد الذي يمكنك فعله إذا فقدت كلمة مرورك هو إعادة تعيينها؛ لا يملك موظفو Invent الوصول إليها ولا يمكنهم الحصول عليها لك.
  • سياسات كلمات المرور: يتم فرض حد أدنى لطول كلمة المرور للمستخدمين مع اشتراط مزج الحالات. ستُقيّد المنصة محاولات تسجيل الدخول الفاشلة.

5.5. التدقيق والمساءلة​

يوفر النظام ميزات إدارية تُمكّنه من تسجيل جميع إجراءات المستخدمين والأحداث تلقائيًا، بما في ذلك إنشاء السجلات وتحديثها وحذفها. علاوة على ذلك، يُعيّن التطبيق ويُحدّث "حقول سجل الوصول" تلقائيًا. تتضمن السجلات الطوابع الزمنية وهوية المستخدم أو الخدمة وتقريرًا شاملًا للأخطاء للمساعدة في تحقيقات الأخطاء بعد الوقوع.

يخزّن مزود السحابة سجلات التدقيق على مستوى الخدمة في خدمة مُدارة. تُحفظ سجلات التدقيق على مستوى التطبيق في خدمة التسجيل المُدارة المقدَّمة من مزود السحابة للحماية من التلاعب بالسجلات، بينما يُرسَل سجل مستوى المضيف إلى Amazon CloudWatch.

الإبلاغ عن الثغرات الأمنية​

يمكنك فتح تذكرة مع مساعدي مكتب المساعدة للإبلاغ عن مشكلة أمنية. تحظى هذه التقارير باهتمام بالغ؛ يحقق فريق أمان Invent في المشكلة ويُعالجها بسرعة بالتنسيق مع المُبلِّغ، ويتم بعد ذلك مشاركة المعلومات بشكل مسؤول مع مستخدمي وعملاء Invent.