الأمان والامتثال

أثناء النقل. تستخدم جميع الاتصالات بين الأجهزة والمتصفحات وواجهات برمجة تطبيقات TakeOvr بروتوكول TLS 1.2 أو أعلى مع مجموعات تشفير حديثة. يتم فرض HTTP Strict Transport Security (HSTS) بمجرد تفعيل SSL على المضيف العام. تُؤمَّن حركة بيانات أجهزة MQTT باستخدام TLS-PSK أو شهادات عميل X.509 حسب قدرة الجهاز.

أثناء التخزين. تُشفَّر بيانات العملاء وبيانات القياس عن بُعد والنسخ الاحتياطية باستخدام AES-256. تُشفَّر وحدات تخزين قواعد البيانات والتخزين الكائني بمفاتيح مُدارة يحتفظ بها مزودو الخدمات السحابية لدينا.

• التحكم في الوصول القائم على الأدوار (RBAC) مع صلاحيات محددة النطاق حسب المستأجر والمجموعة.
• تسجيل دخول أحادي إلزامي (SSO/SAML) للمستأجرين من فئة المؤسسات؛ يدعم Google Workspace وAzure AD وOkta وأي مزود هوية متوافق مع معيار SAML 2.0.
• المصادقة متعددة العوامل متاحة لجميع الحسابات؛ ويمكن فرضها لكل مستأجر.
• الوصول الداخلي إلى أنظمة الإنتاج مقيّد بمبدأ الحد الأدنى من الصلاحيات، ويتطلب SSO مع مصادقة متعددة العوامل بمفتاح أجهزة، ويُسجَّل من البداية إلى النهاية.

• عزل المستأجرين مفروض في كل استعلام لقاعدة البيانات وكل دالة خادم.
• التحقق من صحة المدخلات باستخدام مخططات مُصنَّفة (Zod) عند كل حدود التطبيق.
• سياسة أمان محتوى صارمة ورؤوس أمان (X-Frame-Options وX-Content-Type-Options وReferrer-Policy وPermissions-Policy وCOOP) على جميع الأسطح العامة.
• منع الفهرسة (noindex) بأسلوب الدفاع المتعمق على المسارات الخاصة (عبر الوسم التعريفي ورأس HTTP).
• تتبّع التبعيات عبر فحص تلقائي للثغرات (CVE)؛ ونشر تصحيحات الأمان أسبوعيًا أو أقرب من ذلك للتنبيهات الحرجة.

بُنيت TakeOvr حول إطار ضوابط SOC 2 من النوع الثاني. الشهادات المحددة وعمليات التدقيق الخارجية متاحة بموجب اتفاقية عدم إفصاح عند الطلب.

نوائم ممارساتنا في التعامل مع البيانات مع اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (GDPR)، وقانون حماية البيانات الشخصية الإماراتي (المرسوم بقانون اتحادي رقم 45 لسنة 2021)، وقانون حماية البيانات البريطاني لعام 2018 والأنظمة المماثلة.

• تعمل أحمال الإنتاج في مناطق سحابية مدقَّقة ومعتمدة وفق ISO 27001 / SOC 2.
• تعزل شبكات القطاعات بين الحوسبة وقاعدة البيانات ونقاط الدخول الطرفية.
• نسخ احتياطية يومية تلقائية مع استرداد لنقطة زمنية محددة لقواعد البيانات الأساسية؛ وتُشفَّر النسخ الاحتياطية وتُحفظ وفق السياسة المعتمدة.
• تتوفر عمليات نشر إقليمية بموجب عقود المؤسسات لتلبية متطلبات إقامة البيانات.

• مراقبة المنصة على مدار الساعة طوال أيام الأسبوع مع نوبات مناوبة.
• تسجيل تدقيق مركزي ومقاوم للتلاعب لإجراءات مسؤولي المستأجرين وأحداث المصادقة وتغييرات إعدادات الأصول ونشاط الإنذارات.
• الكشف عن الشذوذ في أنماط الوصول إلى الإنتاج ومقاييس البنية التحتية.

نحتفظ بخطة موثقة للاستجابة للحوادث تتضمن درجات خطورة محددة وأدوارًا موزعة (RACI) وإجراءات اتصال خارجية. يُخطَر العملاء المتأثرون بالحوادث الأمنية دون تأخير لا مبرر له، وفي جميع الأحوال خلال مهلة 72 ساعة المنصوص عليها في GDPR. تُنشر الحالة العامة عبر تحديثات الحالة التي تُبلَّغ عبر البريد الإلكتروني وعلى المنصة.

نرحب بالبلاغات من مجتمع أبحاث الأمان. راجع ملف security.txt للحصول على تفاصيل التواصل. البلاغات المقدمة بحسن نية لن تواجه أي إجراء قانوني. نسعى للإقرار باستلام البلاغ خلال يومي عمل وإصلاح المشكلات الحرجة خلال 7 أيام.

الأمان نموذج مشترك. بصفتك عميلًا، ينبغي عليك:

• فرض تسجيل الدخول الأحادي (SSO) والمصادقة متعددة العوامل لجميع مستخدميك؛
• اتباع تخصيص الأدوار وفق مبدأ الحد الأدنى من الصلاحيات ومراجعة الوصول بانتظام؛
• تدوير مفاتيح واجهة برمجة التطبيقات وأسرار الويب هوك وإلغاء بيانات الاعتماد غير المستخدمة؛
• ضبط سياسة الاحتفاظ بالبيانات على مستوى المستأجر بما يتوافق مع متطلبات الامتثال لديك؛
• استخدام برنامج ثابت موقّع رقميًا على الأجهزة المتصلة حيثما يدعم ذلك مورّد الجهاز.

استبيانات أمنية أو طلبات تدقيق أو استفسار أمني؟ راسلنا عبر zee@novakhan.com أو تواصل معنا عبر نموذج التواصل.