قائمة فحص أمنية لتقييم نظام CRM قبل التعاقد

هذه قائمة عملية يستخدمها فريق تقنية المعلومات أو الأمن السيبراني لتقييم نظام CRM قبل التعاقد. تجمع البنود في جدول واحد مع الدليل المطلوب لكل بند ومرحلة فحصه، ثم تشرح ستة اختبارات حية تكشف في ساعة ما لا تكشفه الإجابات المكتوبة، وكيف تُقرأ الشهادات، وما الذي يُنقل من نتائج الفحص إلى العقد.

قبل القائمة: ما الذي يُعد دليلًا؟

أكثر ما يُضعف التقييم الأمني أن تُعامل الإجابة «نعم، ندعم ذلك» كأنها دليل. في هذه القائمة خمسة أنواع من الأدلة، مرتبة من الأقوى إلى الأضعف:

1. اختبار ينفذه فريقك

   تدخل بحساب تجريبي في بيئة المورد وتحاول بنفسك: تصدير قائمة، أو فتح سجل خارج نطاقك، أو الدخول دون العامل الثاني. هذا أقوى الأدلة، لأنه يعكس سلوك النظام الفعلي لا وصفه.

   فريق تقنية المعلومات
2. عرض حي موجَّه

   المورد ينفذ أمامك ما تطلبه أنت، لا ما أعده مسبقًا. تطلب مثلًا تغيير صلاحية ثم رؤية أثرها في سجل التدقيق.

   المورد بطلب من لجنة التقييم
3. عينة حقيقية

   مقتطف من سجل تدقيق، أو من سجل وصول الدعم، أو من تقرير فحص ثغرات بعد حجب ما يلزم. يثبت أن الوظيفة تعمل خارج العرض.

   المورد
4. مستند رسمي

   سياسة، أو مخطط بنية، أو شهادة بنطاقها وتاريخها، أو إجراء موثق. مفيد، لكنه يصف ما يُفترض أن يحدث.

   المورد
5. نص تعاقدي

   التزام مكتوب في العقد أو ملحقه. لا يثبت أن الشيء موجود اليوم، لكنه يجعل غيابه مخالفة يمكن المطالبة بها.

   المشتريات والشؤون القانونية

بعض البنود لا يمكن إثباتها إلا بمستند أو نص تعاقدي، كإجراء الإبلاغ عن الحوادث. وبعضها يجب ألا يُقبل فيه إلا اختبار فعلي، كعزل الصلاحيات بين الفروع. الجدول التالي يحدد ذلك لكل بند.

قائمة الفحص: البند والدليل ومرحلة الفحص

الأعمدة: البند المطلوب، والدليل الذي يُقبل، والأهمية المقترحة (إقصائي: يُستبعد المورد إن لم يتحقق، جوهري: يؤثر في الدرجة بقوة، تحسيني: ميزة إضافية). عدّلوا الأهمية حسب طبيعة جهتكم وتصنيف بياناتها.

كيف تقرأ الإجابات في المجالات الأكثر التباسًا؟

بعض البنود يُجاب عنها بـ«نعم» صادقة تخفي تفصيلًا يغير الحكم. هذه أكثرها تكرارًا:

المصادقة متعددة العوامل: مفروضة أم متاحة؟

النظام الذي «يدعم» العامل الثاني قد يتركه اختياريًا لكل مستخدم. السؤال الحاسم: هل يستطيع مسؤول النظام فرضه على دور كامل، ومنع المستخدم من تعطيله؟ وماذا يحدث إن فقد المستخدم جهازه: من يعيد التهيئة، وبأي تحقق؟ تفاصيل دورة حياة الهوية والجلسات في مقالة الدخول الموحد والمصادقة متعددة العوامل في CRM.

الصلاحيات: هل تشمل كل الواجهات؟

الثغرة الشائعة ليست في الشاشة الرئيسية، بل في الطرق الجانبية: البحث العام يعرض اسم عميل محجوب، أو تقرير مجمّع يكشف قيمة صفقة، أو واجهة API تعيد كل الحقول لأن المفتاح أُنشئ بصلاحية مدير. اختبر الطرق الجانبية تحديدًا، لأنها ما لا يعرضه المورد من تلقاء نفسه.

سجل التدقيق: هل يسجل القراءة أم التعديل فقط؟

أغلب الأنظمة تسجل التعديل والحذف. السؤال: هل يُسجل التصدير؟ وهل يُسجل عرض سجلات حساسة لمن يحتاج ذلك؟ وكم يُحتفظ بالسجل؟ سجل يُحذف تلقائيًا بعد مدة قصيرة لا يفيد في تحقيق يبدأ بعد أشهر من الواقعة. ما ينبغي تسجيله ومن يراجعه تفصّله مقالة سجل التدقيق في CRM.

التشفير: ماذا يشمل «مشفر»؟

عبارة «بياناتكم مشفرة» قد تعني الاتصال فقط. اطلب تحديدًا مكتوبًا: الاتصال، وقاعدة البيانات، ومخزن الملفات، والنسخ الاحتياطية، وبيانات الجوال. ثم اسأل من يدير المفاتيح. في البيئات المُدارة تكون الإدارة لدى المورد أو مزود البنية التحتية عادة، وهذا مقبول ما دام موثقًا ومعروفًا لكم.

الاستضافة: هل الموقع يشمل كل النسخ؟

موقع قاعدة البيانات وحده لا يجيب عن سؤال الموقع. النسخ الاحتياطية وموقع التعافي والسجلات وأدوات المراقبة ومزودو الرسائل ووصول الدعم عن بعد كلها جزء منه. الأسئلة التفصيلية لكل موضع في مقالة استضافة CRM داخل السعودية.

ستة اختبارات حية في جلسة واحدة

اطلبوا من المورد جلسة مدتها ساعة تقريبًا في بيئة تجريبية، بثلاثة حسابات يُعدها مسبقًا حسب طلبكم: مندوب في الفرع أ، ومدير الفرع ب، ومسؤول نظام. ثم نفّذوا بأنفسكم:

سجلوا نتيجة كل اختبار بثلاث قيم: تحقق، أو تحقق جزئيًا مع ملاحظة، أو لم يتحقق. ومن المفيد تصوير الشاشات لإرفاقها بمحضر التقييم، فهي الدليل الذي يُرجع إليه عند كتابة العقد.

الشهادات الأمنية: كيف تقرأها دون أن تبالغ في وزنها؟

الشهادة دليل من نوع «المستند الرسمي»، ولها قيمة حقيقية حين تُقرأ بشروطها. قبل أن تمنح شهادةً أي وزن، اسأل أربعة أسئلة:

• من الحاصل عليها؟ مزود البنية التحتية، أم مورد CRM، أم مركز البيانات؟ شهادة مزود البنية التحتية تغطي الخوادم والشبكة والمبنى، ولا تغطي الصلاحيات أو التدقيق أو التشفير داخل تطبيق CRM.
• ما نطاقها؟ كل شهادة تحدد ما يدخل في نطاقها من خدمات ومواقع. اطلب وثيقة النطاق، لا الشعار.
• هل هي سارية؟ تاريخ الإصدار والانتهاء، ونتيجة آخر مراجعة إن كانت الشهادة تتطلب مراجعات دورية.
• من أصدرها؟ جهة مانحة معروفة ومعتمدة، يمكن التحقق من الشهادة لديها.

والشهادات لا تغني عن متطلبات جهتكم. الجهات المشمولة بضوابط الهيئة الوطنية للأمن السيبراني تحتاج إلى مطابقة ضابطًا بضابط، لا إلى شهادة عامة. لذلك اطلبوا مصفوفة امتثال تبيّن لكل متطلب من يحققه وبأي دليل: النظام بإعداداته، أو البنية التحتية بشهاداتها، أو المورد بإجراءاته، أو الجهة نفسها. هذا ما نعتمده في عروضنا الفنية كما يوضح قسم المتطلبات التنظيمية والشهادات، دون ادعاء شهادات غير موثقة.

من القائمة إلى القرار

بعد الفحص، يتحول الجدول إلى قرار بثلاث خطوات:

1. البنود الإقصائية أولًا

   أي بند إقصائي «لم يتحقق» يُخرج المورد، أو يُبقيه مشروطًا بالتزام مكتوب بتنفيذه قبل الإطلاق ببند ومدة محددين. لا تعوّض الدرجات العالية في غيره هذا البند.

   لجنة التقييم
2. البنود الجوهرية بالدرجة

   تدخل في درجة معيار الأمان والحوكمة ضمن التقييم العام للأنظمة المرشحة، ويُحسب «التحقق الجزئي» نصف درجة ما لم تحدد اللجنة غير ذلك مسبقًا.

   تقنية المعلومات والأمن السيبراني
3. الفجوات إلى خطة معالجة

   كل بند جوهري لم يتحقق يُكتب في خطة معالجة: ما البديل المؤقت، ومن ينفذه، ومتى. بعض الفجوات تعالجها المنشأة بإجراء داخلي لا بتطوير.

   مدير المشروع

بهذا يصبح الأمن معيارًا مسجلًا بالدليل داخل مصفوفة التقييم العامة، لا انطباعًا عامًا يضيع أمام السعر وسهولة الاستخدام.

ما الذي يُنقل من الفحص إلى العقد؟

البنود التي دليلها «نص تعاقدي» في الجدول لا قيمة لها إن لم تُكتب. انقلوا إلى العقد أو ملحقه الأمني على الأقل:

• موقع البيانات: لقاعدة البيانات والملفات والنسخ والتعافي، مع إبلاغ مسبق بأي تغيير.
• النسخ والاستعادة: الجدول ومدة الاحتفاظ وأهداف الاستعادة واختبارها الدوري. تفصيلها في مقالة النسخ الاحتياطي واستعادة CRM.
• الحوادث: مدة إبلاغكم، والمعلومات المقدمة، وجهة الاتصال لدى الطرفين.
• وصول الدعم: شرط الموافقة، والتسجيل، وحقكم في الاطلاع على السجل.
• اختبار الاختراق: حقكم في إجرائه، وإجراء التنسيق، ومهلة معالجة الملاحظات حسب خطورتها.
• المعالجون الفرعيون: القائمة الحالية، والإبلاغ قبل الإضافة أو التغيير.
• الخروج: تسليم البيانات كاملة ثم إتلافها من كل البيئات والنسخ، مع ما يثبت ذلك.

بقية الأسئلة التعاقدية غير الأمنية، كالملكية والتغييرات والضمان، تجمعها مقالة أسئلة يجب طرحها على مورد CRM قبل توقيع العقد.

وإن كانت جهتكم تعد كراسة شروط أو طلب عرض فني، فأرسلوا لنا متطلباتكم الأمنية بهذه الصيغة، ونرد عليها بندًا بندًا في عرض فني ومالي يبيّن لكل بند طريقة التحقق والدليل المرفق، مع جلسة للاختبارات الحية على بيئة تجريبية. وتفاصيل مسار الشراء المؤسسي في صفحة الشراء المؤسسي وطلب العرض الفني.

أسئلة شائعة