الحماية جوه كل سيستم بنسلّمه: إيه اللي بيحمي بيانات شركتك في نيلكس
الحمايات اللي متبنية في كل سيستم من نيلكس بلغة البيزنس: اتصال مشفّر، كلمات سر مشفّرة وقفل الحساب، جلسات آمنة، صلاحيات وسجل نشاط، حماية من هجمات الويب، ملفات خاصة، نسخ احتياطي وحماية البيانات.
كل سيستم نيلكس بتسلّمه متبني ومتشغّل والحماية جزء منه من أول يوم. الاتصال مشفّر، وكلمات السر عمرها ما بتتحفظ كنص، والحساب بيتقفل بعد كذا محاولة غلط، وكل مستخدم بيشوف اللي دوره يسمح بيه بس، والعمليات المهمة بتتسجل في سجل النشاط. وتحت ده كله، كل طلب بيتفحص، والملفات المرفوعة بتتراجع، والملفات الخاصة مش بتظهر غير بعد التأكد من الصلاحية.
مش لازم تبقى تقني عشان تحكم إذا كان السيستم بيحمي شغلك. اللي محتاجه إنك تعرف كل حماية بتمنع إيه في الواقع: كلمة سر اتسرقت، موظف فضولي، صفحة دخول مزيفة، ملف ملغوم. المقال ده بيعدّي على الحمايات اللي بنبنيها في سيستمات نيلكس ويشرح كل واحدة بلغة البيزنس، عشان تقدر تسأل نفس الأسئلة عن أي برنامج بتستخدمه.
الخلاصة
- كل الصفحات وطلبات السيستم بتمر على HTTPS مع HSTS، فمحدش يقدر يقرا البيانات أو يغيّرها وهي في الطريق.
- كلمات السر متشفّرة بـ bcrypt، وبعد 5 محاولات غلط الحساب بيتقفل 15 دقيقة، ومحاولات الدخول ليها حد.
- الأدوار والصلاحيات بتقصر كل مستخدم على شغله، وسجل النشاط بيسجّل مين عمل إيه وإمتى.
- الطلبات بتتفحص، والاستعلامات آمنة ضد حقن SQL، وترويسات الأمان وحدود الطلبات بتحمي من هجمات الويب المعروفة.
- البيانات بتتعالج حسب قانون 151 لسنة 2020، ونيلكس بتاخد نسخ احتياطية منتظمة لما بتستضيف السيستم، وعمرها ما بتطلب ولا بتحفظ أرقام كروت.
الحمايات في نظرة واحدة
| الحماية | بتمنع إيه بلغة البيزنس |
|---|---|
| HTTPS (TLS) مع HSTS | حد على نفس الواي فاي أو الشبكة يقرا بياناتك أو يغيّرها وهي رايحة |
| تشفير كلمات السر بـ bcrypt | إن كلمات السر تبقى مقروءة حتى لو نسخة من قاعدة البيانات اتسربت |
| قفل بعد 5 محاولات غلط لمدة 15 دقيقة، وحد لمحاولات الدخول | المهاجم يفضل يخمّن كلمات سر ورا بعض |
| رموز دخول قصيرة العمر ورموز تجديد بتتغير في كوكيز HttpOnly | جلسة مسروقة تفضل شغالة في السر مدة طويلة |
| الأدوار والصلاحيات | موظفين يشوفوا عملاء أو أرقام أو صفحات مش بتاعتهم |
| سجل النشاط | تعديلات وحذف محدش يعرف مين عملها |
| فحص الطلبات، استعلامات آمنة، CSP وترويسات أمان، حدود للـ API | حقن SQL والـ XSS والـ Clickjacking والإساءة |
| فحص الملفات والملفات الخاصة | ملفات ملغومة، وصور خاصة تتسرب للعامة |
| سجل أمني لكل مشروع | ملاحظات أمنية تتنسي بدل ما تتصلح |
| نسخ احتياطي لما نيلكس بتستضيف | ضياع البيانات بسبب عطل |
اتصال مشفّر: HTTPS مع HSTS
كل صفحة وكل طلب في سيستمات نيلكس بيمر على HTTPS (TLS). يعني البيانات اللي رايحة جاية بين متصفحات فريقك والسيرفر متشفّرة، فمحدش يقدر يقراها أو يغيّرها في الطريق، سواء الموظف على واي فاي المكتب أو شبكة كافيه أو باقة الموبايل.
والـ HSTS بيضيف قاعدة للمتصفح: استخدم الاتصال الآمن دايماً مع الموقع ده، عمرك ما تستخدم العادي. وده بيقفل الثغرة اللي ممكن المتصفح يتخدع فيها ويفتح أول زيارة من غير تشفير. وبلغة البيزنس: المندوب اللي بيراجع الطلبات وهو في الشارع محمي زي المحاسب اللي في المكتب.
كلمات السر وتسجيل الدخول
كلمات السر مش بتتحفظ كنص
سيستمات نيلكس عمرها ما بتحفظ كلمات السر كنص مقروء. بتتخزن متشفّرة بـ bcrypt، وهي طريقة في اتجاه واحد معمولة عشان تخلي محاولات كسرها بطيئة جداً. حتى احنا مانقدرش نقرا كلمة سر أي مستخدم.
قفل الحساب وحدود ضد التخمين
بعد 5 محاولات غلط الحساب بيتقفل 15 دقيقة، ومحاولات الدخول ليها حد. هجمات التخمين معتمدة على تجربة آلاف الكلمات بسرعة، والحدود دي بتخليها مش عملية. ولو عايز صورة أوسع عن أمان الدخول، زي التحقق بخطوتين ومفاتيح المرور، اقرأ التحقق بخطوتين وكلمات المرور ومفاتيح المرور.
جلسات آمنة
بعد ما المستخدم يدخل، السيستم بيستخدم رموز دخول قصيرة العمر، ورموز التجديد محفوظة في كوكيز آمنة HttpOnly مفيش سكريبت في الصفحة يقدر يقراها. ورمز التجديد بيتغير مع كل استخدام، ولو رمز مسروق اتستخدم تاني الجلسة كلها بتنتهي. يعني عملياً: الجلسة اللي اتنسخت بتقف، بدل ما تفضل فاتحة الباب للمهاجم أيام.
الأدوار والصلاحيات وسجل النشاط
مشاكل كتير في البيانات في الشركات مش هاكرز، دي ناس بتشوف أو بتعدّل أكتر من المفروض. وفي كل سيستم من نيلكس، كل مستخدم بيشوف اللي دوره يسمح بيه بس. ممكن تقصر الموظف على المشروعات أو العملاء المسندين له، والعميل مش بيشوف غير بياناته.
وده واضح في السيستمات الجاهزة: في سيستم مراكز حماية السيارات مدير كل فرع بيشوف مركزه بس، وفي سيستم التطوير العقاري صلاحية كل موظف هي دوره زائد صلاحيات قسمه زائد أي صلاحيات شخصية. ومقال بورتال لكل دور في السيستم بيوريك كل نوع مستخدم بيشوف إيه.
وسجل النشاط بيسجّل العمليات المهمة، زي الدخول والتعديل والحذف وتغيير الصلاحيات، بمين عملها وإمتى. فلما رقم يبان غلط، تقدر تعرف إيه اللي حصل بدل ما تخمّن. ودليل صلاحيات المستخدمين وسجل التدقيق في ERP وCRM بيشرح تصمم الأدوار وتراجعها إزاي.
حماية من هجمات الويب المعروفة
تطبيقات الويب ليها قايمة هجمات معروفة، وسيستمات نيلكس بتتصدى للمشهور منها على أربع طبقات:
- كل طلب بيتفحص. أي بيانات مش مطابقة للي الشاشة مستنياه بتترفض قبل ما توصل لقاعدة البيانات.
- استعلامات آمنة. الوصول لقاعدة البيانات بيستخدم استعلامات بمعاملات (parameterised)، ودي بتمنع حقن SQL، يعني المهاجم يكتب أوامر لقاعدة البيانات في خانة في فورم.
- ترويسات أمان صارمة وسياسة محتوى (CSP). بتحمي من الـ XSS، يعني سكريبت مؤذي يشتغل في متصفح المستخدم، ومن الـ Clickjacking، يعني صفحتك تتخبى جوه موقع تاني عشان يخدع الضغطات.
- حدود للـ API. حد لعدد الطلبات بيحمي من الإساءة والتخمين.
ولو عايز تفهم القايمة الأكبر اللي الهجمات دي جاية منها، مقال شرح OWASP Top 10 لأصحاب الشركات بيشرحها ببساطة.
ملفات آمنة وصور خاصة
السيستمات بتتعامل مع ملفات: مستندات وصور ومرفقات للطلبات. وفي سيستمات نيلكس، الملفات المرفوعة بتتفحص بمحتواها الحقيقي مش باسمها بس، والصور بيتعاد ترميزها، وده بيشيل أي محتوى مستخبي ممكن ملف متنكر يكون شايله. والملفات الخاصة، زي الصور المرفقة بطلبات الدعم، عمرها ما بتبقى عامة ومش بتتعرض غير بعد التحقق من الصلاحية. يعني لينك الملف الخاص ملوش أي فايدة لحد مش مسموح له يشوفه.
مراجعات أمنية وسجل أمني لكل مشروع
كل مشروع ليه سجل أمني بتتابع فيه أي ملاحظة على أي صفحة لحد ما تتصلح. وده بيحوّل الأمان من وعد مرة واحدة لقايمة ليها مسؤول وحالة، والملاحظة بتتابع في السجل ده بدل ما تفضل في دماغ حد أو في رسالة شات.
حماية البيانات والنسخ الاحتياطي والدفع
- قانون حماية البيانات. بيانات العملاء بتتعالج حسب قانون حماية البيانات الشخصية المصري رقم 151 لسنة 2020، وفريقنا مش بيطّلع عليها غير عند الحاجة لتقديم الخدمة أو تأمينها أو دعمها. ومقال ملكية بيانات شركتك في السيستم بيوضح إيه اللي بيفضل ملكك.
- النسخ الاحتياطي. لما نيلكس بتستضيف السيستم بتاخد نسخ احتياطية منتظمة، والباقات الأكبر في كذا سيستم جاهز فيها سيرفر خاص بنسخ يومية. ولتخطيط أهداف الاستعادة اقرأ خطة النسخ الاحتياطي والاستعادة بعد الكوارث.
- الدفع. نيلكس عمرها ما بتطلب ولا بتحفظ أرقام الكروت.
شركتك تعمل إيه من ناحيتها؟
الحمايات اللي في السيستم بتشتغل أحسن مع عادات صح. قايمة قصيرة لفريقك:
- كل شخص ليه حساب لوحده، وممنوع مشاركة الدخول.
- اديله أصغر دور يخليه يعمل شغله.
- اقفل أو امسح الحساب في نفس يوم ما الموظف يمشي.
- راجع سجل النشاط وقايمة المستخدمين بانتظام، خصوصاً تغييرات الصلاحيات.
- درّب الموظفين يعرفوا صفحات الدخول وطلبات الدفع المزيفة.
وخطة الأمن السيبراني للشركات الصغيرة والمتوسطة في 90 يوم بتحوّل العادات دي لجدول.
إزاي نيلكس تساعدك
الأمان واحد من المعايير اللي بنبنيها في كل سيستم، والمقال الأساسي عن معايير السيستم الاحترافي بيعرض الباقي.
- بتختار سيستم جاهز؟ شوف السبع سيستمات وبواباتها وصلاحياتها والباقات في صفحة كل واحد.
- محتاج سيستم خاص؟ خدمة الـ ERP المخصص فيها صلاحيات بالأدوار وحماية للسجلات المالية وسجل لكل عملية.
- عندك سؤال أمني عن مشروعك؟ كلّمنا، أو اقرأ سياسة الخصوصية.
أسئلة شائعة
نيلكس تقدر تشوف كلمات سر المستخدمين؟
لأ. كلمات السر مش بتتحفظ كنص، بتتشفّر بـ bcrypt، فمحدش يقدر يقراها ولا حتى فريقنا.
إيه اللي بيحصل بعد كذا كلمة سر غلط؟
بعد 5 محاولات غلط الحساب بيتقفل 15 دقيقة، ومحاولات الدخول ليها حد ضد هجمات التخمين.
أقدر أمنع موظف إنه يشوف كل العملاء؟
أيوه. كل مستخدم بيشوف اللي دوره يسمح بيه بس، وممكن تقصر الموظف على المشروعات أو العملاء المسندين له.
أقدر أعرف مين عدّل أو مسح سجل؟
أيوه. العمليات المهمة، زي الدخول والتعديل والحذف وتغيير الصلاحيات، بتتسجل في سجل النشاط بمين عملها وإمتى.
نيلكس بتعمل نسخ احتياطي للسيستم؟
لما نيلكس بتستضيف السيستم بتاخد نسخ احتياطية منتظمة، وكذا سيستم جاهز فيه باقة بسيرفر خاص ونسخ يومية. راجع الباقات في صفحة كل سيستم.
