النشر
لا يستطيع كثير من عملائنا إرسال بياناتهم التشغيلية إلى خارج شبكاتهم الخاصة، ولذلك صُمّمت منتجاتنا بحيث يمكن تثبيتها على البنية التحتية للعميل. ونتفق على نموذج النشر الخاص بكل مشروع في العقد، ونوثّق ما يعمل وأين يعمل.
عند تثبيت أحد المنتجات على خوادمكم، تبقى البيانات التي يعالجها على بنيتكم التحتية. ولا تغادر شبكتكم إلا إذا ربطتم المنتج بنظام آخر.
المسؤولية المشتركة
في حالة التثبيت داخل مقر المؤسسة (On-premise)، تكون مسؤولية الأمن مشتركة بين فريقكم وفريقنا.
| مسؤولية Ashkar | مسؤولية العميل |
|---|---|
| أمن الشيفرة البرمجية لتطبيقاتنا وإعداداتها الافتراضية | الخوادم وأنظمة التشغيل والشبكات وجدران الحماية |
| معالجة الثغرات الأمنية في منتجاتنا وتقديم التحديثات | تطبيق التحديثات على النسخة المثبّتة |
| إرشادات التثبيت، بما فيها الإعدادات الآمنة الموصى بها | النسخ الاحتياطي والأمن المادي وشهادات الاتصالات المشفّرة |
| الوصول لأغراض الدعم، فقط عندما تمنحونه ولمدة الحاجة إليه | حسابات المستخدمين وإسناد الأدوار وخدمة الدليل التي تأتي منها |
وبالنسبة إلى أي جزء من الخدمة نستضيفه أو نشغّله لأجلكم، يحدّد العقد مسؤولياتنا.
الهوية والوصول
- ضوابط وصول قائمة على الأدوار في كل منتج، ومحدّدة النطاق بحسب المؤسسة أو الموقع أو المنطقة أو القسم الذي يتعامل معه المنتج.
- لا يوجد تسجيل عام: ينشئ مسؤولو النظام الحسابات.
- يتكامل گنجور مع Active Directory أو LDAP، وبذلك تتبع الحسابات إجراءاتكم القائمة لانضمام الموظفين ونقلهم ومغادرتهم.
- يطبّق گنجور مستويات السرّية (عادي، داخلي، سرّي) على المحتوى، فلا تصل المواد الحساسة إلا إلى الأشخاص المخوَّلين بالاطّلاع عليها.
التدقيق وسجل التغييرات
تحتفظ منتجاتنا بسجل للأحداث التي تهمّ المساءلة:
- في گنجور: مَن اطّلع على المحتوى أو نزّله أو عدّله أو راجعه أو اعتمده، وذلك في سجل تدقيق كامل.
- في مداف: كل تغيير في أسئلة التقييم والمعاملات وأوزان الأقسام والمناصب والأشخاص، مع سجل تغييراته.
- في مداف، يحفظ كل تقييم مكتمل نسخة مجمّدة من النموذج المستخدم، فلا تُعيد التغييرات اللاحقة كتابة النتائج السابقة أبدًا.
ميزات الذكاء الاصطناعي
يجيب مساعد گنجور عن الأسئلة باستخدام نموذج لغوي يعمل على البنية التحتية الخاصة بالعميل، دون أي اعتماد على خدمات سحابية خارجية. ولا يجيب إلا من المعرفة التي جرت مراجعتها واعتمادها في گنجور، ويذكر مصدر كل إجابة، ويراعي صلاحيات الوصول الخاصة بكل مستخدم.
لا نستخدم بيانات أي عميل لتدريب النماذج التي يستخدمها عميل آخر أو لتحسينها.
الضوابط حسب المنتج
| المنتج | الضوابط الأمنية |
|---|---|
| گنجور | تثبيت المنتج ونموذجه اللغوي داخل مقر المؤسسة؛ والوصول القائم على الأدوار مع مستويات السرّية؛ والتكامل مع Active Directory و LDAP؛ وسجل تدقيق كامل؛ ووضع علامات مائية على المستندات؛ ومنع التنزيل الجماعي. |
| مداف | الوصول القائم على الأدوار عبر خمسة مستويات تنظيمية؛ وعرض الترتيبات ضمن نطاق كل مستخدم فقط؛ وسجل تغييرات كامل؛ ونسخ مجمّدة للتقييمات. |
| نجوا | إنشاء الحسابات بواسطة مسؤولي النظام فقط؛ وحدود استخدام قابلة للضبط لكل حساب. |
بيانات العملاء
- لا نعالج بيانات العميل إلا لتقديم الخدمة لذلك العميل ودعمها وتحسينها، وفق ما ينص عليه العقد.
- تستخدم عروضنا التوضيحية ومواد المبيعات بيانات توضيحية، لا بيانات العملاء.
- عند انتهاء العقد، نعيد أي بيانات عملاء نحتفظ بها أو نحذفها، وفق ما يحدّده العقد.
تُوضَّح طريقة تعاملنا مع البيانات الشخصية في سياسة الخصوصية.
فريقنا
لا يستطيع الوصول إلى أنظمة العميل إلا الأشخاص العاملون على مشروعه، ولا يكون ذلك إلا عندما يمنح العميل صلاحية الوصول، وللمدة التي يتطلبها العمل فحسب. ويعمل جميع أفراد فريقنا بموجب التزامات بالسرّية.
التحديثات الأمنية
عندما نعالج ثغرة أمنية في أحد منتجاتنا، نُبلغ العملاء الذين يستخدمون الإصدار المتأثر ونوفّر لهم التحديث. وفي حالات التثبيت داخل مقر المؤسسة، يطبّق العميل التحديث، ونساعده عند الحاجة.
الاستجابة للحوادث
إذا علمنا بوقوع حادث أمني يمسّ بيانات العملاء التي نحتفظ بها أو نعالجها، فإننا سنقوم بما يلي:
- إبلاغ العميل المتأثر دون تأخير غير مبرَّر؛
- توضيح ما حدث، وما البيانات المتأثرة، وما الذي نفعله حيال ذلك؛
- العمل مع فريق العميل إلى أن يُحَلّ الحادث؛
- إخطار الجهة المختصة حيثما يقتضي القانون ذلك، بما في ذلك خلال 72 ساعة بموجب قانون حماية البيانات الشخصية في سلطنة عُمان.
الإبلاغ عن ثغرة أمنية
نرحّب ببلاغات الباحثين الأمنيين والعملاء. وإذا كنتم تعتقدون أنكم عثرتم على ثغرة أمنية في أحد منتجاتنا أو في هذا الموقع، فيرجى مراسلتنا عبر البريد الإلكتروني.
البريد الإلكتروني: [email protected]، مع ذكر «Security report» في عنوان الرسالة.
يرجى تضمين ما يلي: المنتج أو الصفحة المتأثرة، وخطوات إعادة إنتاج المشكلة، وأثرها المحتمل، وطريقة التواصل معكم.
نؤكد استلام البلاغات خلال 2 من أيام العمل، ونُبقيكم على اطلاع حتى تُعالَج المشكلة.
نرجو منكم منحنا مهلة معقولة لمعالجة المشكلة قبل الإفصاح عنها، واستخدام حسابات اختبار أو بيانات تملكونها فقط، والتوقف فور التأكد من وجود المشكلة.
نرجو منكم عدم الوصول إلى بيانات الآخرين أو تغييرها أو حذفها، أو إجراء اختبارات حجب الخدمة، أو استخدام الهندسة الاجتماعية أو التصيّد الاحتيالي، أو اختبار الأمن المادي.
إذا تصرفتم بحسن نية والتزمتم بهذه الإرشادات، فلن نتخذ ضدكم إجراءً قانونيًا بسبب بحثكم، وسننسب إليكم الفضل في الاكتشاف إن رغبتم في ذلك.