الأمان وحماية البيانات

كل جدول فيه بيانات منشأة تحميه سياسات أمان على مستوى الصفوف في قاعدة البيانات نفسها (Row-Level Security)، فلا يرى الطلب إلا صفوف المنشأة التي يعمل لها. لذلك لا تعتمد العزلة على الواجهة وحدها، ولا يصل مستخدمو منشأة إلى بيانات منشأة أخرى.

وتُحفظ ملفات كل منشأة، مثل ملفات XML المختومة، تحت مسار خاص بها.

• قاعدة البيانات نفسها ترفض تعديل المستند الصادر أو حذفه، عدا ما يسجّل رد الهيئة عليه وحالة سداده.
• تسلسل أرقام المستندات يتقدم فقط، فلا يتكرر رقم ولا يُعاد استخدامه.
• سجل العمليات على المستندات وسجل الإرسال إلى الهيئة للإضافة فقط، فلا يُعدَّل فيهما شيء ولا يُحذف.

• مفاتيح التوقيع الخاصة بوحدات الربط وأسرار شهاداتها تُحفظ مشفّرة، ويرتبط تشفير كل منها بالمنشأة والوحدة التي يخصها. ولا يعيدها النظام في أي طلب، ولا تظهر في أي شاشة، ولا تُكتب في السجلات.
• رمز OTP تُدخله مرة واحدة في شاشة الربط، فيُرسل إلى الهيئة في طلب الشهادة، ولا يُحفظ ولا يُكتب في السجلات.
• لن نطلب منك رمز OTP ولا كلمة مرورك بالبريد أو بالهاتف. وإن طلبها منك أحد باسمنا فلا تعطه إياها، وأبلغنا.

• جلسة الدخول في ملف تعريف ارتباط لا تقرؤه سكربتات الصفحة (HttpOnly)، وعند الاتصال المشفّر يُقيَّد بنطاق الموقع نفسه فلا تصل إليه النطاقات الفرعية.
• كل طلب يغيّر بياناتك يحتاج رمز حماية مرتبطًا بجلستك، فلا ينفّذه موقع آخر باسمك.
• تنتهي الجلسة بعد 12 ساعة من الدخول، وتغيير كلمة المرور ينهي جلساتك المفتوحة على الأجهزة الأخرى.
• محاولات الدخول محدودة لكل عنوان وشبكة، ورسالة الخطأ لا تكشف هل البريد مسجل لدينا أم لا.
• صلاحيات كل مستخدم في منشأته تُقرأ من قاعدة البيانات في كل طلب، لا من الجلسة.

إن وجدت ثغرة أمنية فراسلنا من صفحة التواصل بموضوع «الإبلاغ عن ثغرة أمنية»، واذكر الخطوات التي توصل إليها وأثرها.