تصبح مناقشة أمن النظام مفيدة عندما تحدد البيانات والإجراءات والأشخاص المعنيين. طلب نظام ERP آمن يصعب قبوله أو رفضه دون تفاصيل. أما اشتراط ألا يستطيع موظف فرع تصدير بيانات عملاء فرع آخر فهو مطلب يمكن تنفيذه واختباره.

يساعد هذا الدليل الشركة على تجهيز جزء الأمان في وصف مشروع ERP أو البرمجة الخاصة. يرتبط النطاق بطبيعة التطبيق وبياناته؛ إنجاز قائمة فحص لا يعني اختفاء جميع المخاطر الممكنة.

ابدأ بالبيانات والقرارات المهمة

احصر المعلومات المخزنة والإجراءات الأساسية، بما فيها المرفقات والتصدير والمهام الخلفية وشاشات الإدارة. حدد صاحب كل قاعدة عمل ومن يملك اعتماد استثناء منها.

افصل الاستخدام المعتاد عن احتمالات إساءة الاستخدام. قد يحتاج موظف المبيعات إلى الاطلاع على عميل مسند إليه، بينما يتطلب تعديل شروطه الائتمانية مسؤولية أخرى. وقد يُسمح لعميل خارجي بتنزيل مستند محدد دون إتاحة ملف العميل الداخلي.

اكتب هذه القرارات كأمثلة يناقشها فريق التنفيذ. استخدم سجلات اختبار تمثل بنية البيانات بدلًا من عرض معلومات عملاء حقيقيين في العروض الأولية.

حدد الصلاحية والإجراء ونطاق البيانات

لكل دور، وضح العمليات المسموح بها والسجلات التي تشملها. ميّز بين العرض والإنشاء والتعديل والاعتماد والتصدير وإدارة المستخدمين. أضف نطاق الصلاحية، مثل الفرع أو الشركة أو العميل المسند أو المشروع.

توصي إرشادات OWASP للتفويض بالمنع الافتراضي والتحقق من الصلاحيات مع كل طلب. لذلك فإن إخفاء زر لا يثبت حماية العملية؛ يجب تطبيق التحقق عند استقبال الخادم للطلب.

في مثال افتراضي، أنشئ فرعين بطلبات منفصلة. تحقق من إنجاز الموظف للعمل المسموح داخل فرعه، ثم اختبر رفض الوصول المباشر إلى طلب الفرع الآخر ومرفقه وتصديره. سجل الحالات المسموحة والمرفوضة، وأعد الفحص بعد تغيير الدور.

اتفق على بدء الوصول المؤقت وانتهائه ومراجعته. إذا احتاج الدعم صلاحيات موسعة، حدد اعتمادها وإزالتها بدل الاعتماد على حساب مدير مشترك دائم.

راجع التكاملات وحسابات التشغيل

التكامل مستخدم تقني له غرض وصلاحيات. وثق ما يقرأه أو يعدله والبيئة التي يتصل بها ومسؤول بيانات دخوله. افصل اتصالات الاختبار عن الإنتاج حتى لا ينفذ العرض التجريبي إجراءات على السجلات الفعلية.

اسأل عن طريقة تزويد التطبيق ببيانات الاتصال وتدويرها وإلغائها عند إيقاف التكامل. أضف المهام المجدولة وأدوات الدعم الخارجية إلى الحصر. نجاح الاتصال يثبت إمكانية الوصول، لكنه لا يثبت ملاءمة حجم الصلاحيات.

في مزامنة الطلبات، حدد التعامل مع إعادة المحاولة أو وصول الطلب مرتين. طابق سجلات المصدر والوجهة بمعرفات ثابتة، حتى لا يختلط تكرار المعالجة بإجراء تجاري مقصود أثناء التحقيق في مشكلة.

اتفق على نطاق التحقق قبل القبول

يوفر معيار OWASP ASVS إطارًا لمتطلبات أمن التطبيقات يمكن الاستفادة منه في التطوير والاختبار والتعاقد. عند استخدامه، حدد الإصدار والمتطلبات المنطبقة والأدلة المنتظرة. مجرد ذكر اسم المعيار لا يعني تقييم النظام وفقًا له.

اطلب قائمة نتائج توضح السلوك المتأثر وسبب تقدير الخطورة والمسؤول ونتيجة إعادة الاختبار. افصل الإصلاحات المكتملة عن القيود المقبولة، وحدد من يملك قبول مخاطرة باقية نيابة عن الشركة وشروط التشغيل المرتبطة بها.

اربط الأدلة بإصدار وبيئة محددين. تقرير إصدار سابق قد لا يغطي تصديرًا أو تكاملًا أو شاشة إدارة أُضيفت لاحقًا. اتفق على التغييرات التي تحتاج إعادة اختبار محددة، ومتى يلزم تقييم مستقل بحسب مخاطر المشروع ومتطلباته التعاقدية.

ضمّن الأمان في تسليم التشغيل

حدد المسؤولين عن تحديث التطبيق ومراجعة الاعتمادات وإدارة الحسابات والمراقبة وتنسيق الحوادث. وثق ساعات الدعم وطريق التصعيد المتفق عليهما فعليًا في العقد.

جهز تجربة استجابة لسيناريو مثل انكشاف بيانات دخول تكامل. حدد من يستطيع إلغاء الوصول وفحص الإجراءات المتأثرة والتواصل مع مسؤول الشركة. تجنب وضع السجلات الحساسة في مراسلات الدعم العامة، واحتفظ بالأدلة اللازمة للتحقيق.

نسق ذلك مع دليل الاستضافة والتعافي، بحيث يفهم فريق التطبيق وفريق الاستضافة ترتيب الاستعادة وفحوص العمل اللازمة قبل إعادة الخدمة.

راجع معلومات الأمن لدى تراود ومعلومات التعاقد عند تجهيز نقاش المورد. لمشروع برمجة خاصة أو تنفيذ ERP وOdoo، تواصل مع تراود بالمستخدمين المتوقعين وفئات البيانات وحدود التكاملات لتحديد نطاق أمان واضح في العرض.