«نظام آمن» عبارة لا يمكن قبولها ولا رفضها لأنها لا تقول شيئًا. والبديل ليس استجواب المزوّد عن تفاصيل بنيته الداخلية — فذلك غير مناسب ولا يُطلب — بل طلب أدلة قابلة للتحقق على مستوى الضوابط والالتزامات.
ما الذي يحتاج المشتري إلى التحقق منه؟
أن هناك ضوابط موصوفة، ومسؤوليات محددة، وإجراءات مكتوبة للحوادث والاستعادة والإنهاء — وأنها ملزِمة تعاقديًا لا معروضة تسويقيًا.
أسئلة البيانات والصلاحيات والمسؤولية
- ما الضوابط المطبقة على الوصول وإدارة الحسابات وإنهائها؟
- كيف تُحمى البيانات أثناء النقل والتخزين بشكل عام؟
- ما إجراء التعامل مع حادث أمني والإبلاغ عنه وأزمنته؟
- هل تُجرى مراجعات أمنية دورية؟ ومن يجريها؟ وهل تُتاح نتائجها بصيغة ملخصة؟
- كيف تُدار صلاحيات فريق المزوّد نفسه على أنظمة الإنتاج؟
- ما المدد التعاقدية للاستجابة والتعافي والإبلاغ؟
المستندات والاختبارات المطلوبة
- وصف الضوابط: وثيقة تصف ما يُطبَّق دون كشف تفاصيل تشغيلية حساسة.
- تحديد المسؤوليات: ما يتحمله المزوّد وما تتحمله منشأتك.
- إجراء الحوادث: خطواته ومسؤولوه وأزمنة الإبلاغ.
- سياسة النسخ والاستعادة: وآخر اختبار أُجري.
- شروط الإنهاء: التصدير والحذف وتأكيده.
- اتفاقية مستوى الخدمة: بأزمنتها والتزاماتها.
- الاختبار العملي: حسابات بأدوار مختلفة تجرّب بها الصلاحيات بنفسك.
ولا تطلب ما لا ينبغي طلبه: تفاصيل البنية الداخلية، أو إعدادات الحماية التفصيلية، أو تقارير اختبارات الاختراق الكاملة. طلبها لا يزيدك أمانًا — والمزوّد الذي يشاركها مع كل عميل محتمل هو نفسه الذي قد يشارك تفاصيلك مع غيرك.
ما الذي لا تكفي فيه الوعود العامة؟
- الشعارات: «حماية على مستوى البنوك» عبارة تسويقية بلا مرجع.
- الشهادات بلا نطاق: إن ذُكرت شهادة، اسأل عن نطاقها وتاريخها وما تغطيه بالضبط.
- الوصف بلا التزام: ما لم يُدرَج في العقد أو اتفاقية الخدمة لا يُلزم.
- «لم يحدث لدينا أي اختراق»: ادعاء غير قابل للتحقق؛ الأهم وجود إجراء استجابة مكتوب.
الخطوة التالية لمراجعة المتطلبات
أرسل فهرس الأدلة هذا مع قائمة متطلبات الشراء، وحدد مهلة للرد. وقيّم الموردين على ما يصلك وعلى سرعة وصوله.
ناقش متطلبات مشروعك
نرفق بالعرض وصف الضوابط وتحديد المسؤوليات وإجراء الحوادث وشروط الإنهاء — أدلة قابلة للمراجعة لا عبارات عامة.