لا تكفي عبارة «نطبق أفضل الممارسات» لتعرف ما الذي سيُفحص أو من يتابعه. اكتب نوع البيانات والأدوار والمهام التي يحتاج المنتج تنفيذها، ثم حوّلها إلى متطلبات وأسئلة قبول واضحة.
تطور متعة التقنية مواقع وتطبيقات وأنظمة للشركات. نحدد الصلاحيات ومتطلبات الحماية بحسب طبيعة المشروع واحتياجاته، ويوضح نطاق العمل ما يشمله التنفيذ. وتحدد فحوص الأمان والتحديث والمراقبة والنسخ الاحتياطي والاستعادة والدعم بحسب الاتفاق وتوضح في عرض السعر. تساعدك النقاط التالية على مناقشة المتطلبات مع فريق التطوير قبل الإطلاق.
توفر OWASP ASVS قائمة متطلبات يمكن استخدامها لفحص أمن تطبيقات الويب. اختر ما يناسب طبيعة المنتج ونطاقه؛ استخدام القائمة هنا لا يعني أن الموقع أو التطبيق حاصل على شهادة امتثال أو اجتاز اختبارًا أمنيًا.
1. حدد البيانات والصلاحيات
اكتب أنواع المستخدمين والبيانات التي يحتاجها كل دور. في نظام طلبات افتراضي، يرى العميل طلباته، بينما يستطيع الموظف الاطلاع على الطلبات التي يسمح له نطاق عمله بإدارتها. يجب التحقق من الصلاحيات عند الوصول إلى البيانات، لا بمجرد إخفاء زر في الواجهة.
في متعة التقنية، تحدد الصلاحيات ومتطلبات الحماية بحسب طبيعة المشروع واحتياجاته. اسأل الفريق: ما الذي أدرج ضمن نطاق التحقق من الصلاحيات؟ المثال تعليمي ولا يصف نظام عميل أو اختبارًا نفذته الشركة.
2. افحص المدخلات وطريقة عرضها
النماذج والملفات والروابط تحتاج معالجة تناسب نوع البيانات واستخدامها. ناقش كيف يتعامل النظام مع القيم غير المتوقعة، وكيف يمنع عرض نص المستخدم على هيئة شيفرة قابلة للتنفيذ، وكيف يتجنب كشف تفاصيل داخلية عند حدوث خطأ.
اسأل الفريق: ما الفحوص التي تشمل الإدخال والعرض، وأين تحفظ نتائجها؟
3. راجع الحسابات والخدمات الخارجية
احصر حسابات الإدارة والاستضافة والخدمات المرتبطة بالمنتج، وحدد أصحابها ومستوى الوصول اللازم لكل منهم. اتفق على طريقة إلغاء وصول من انتهت مسؤوليته دون تعطيل صلاحيات بقية الفريق، وتجنب الحسابات المشتركة عندما يلزم معرفة من نفذ التغيير.
اسأل الفريق: هل يمكن معرفة صاحب التغيير، وتعديل وصوله أو إلغاؤه عند الحاجة؟
4. اجعل الاستعادة قابلة للتجربة
حدد ما يحتاج نسخًا احتياطية من بيانات وملفات، ومن يتابع النسخ، وما مسؤولية استعادتها. وجود ملف نسخة وحده لا يثبت أن البيانات أو الخدمة ستعود بالشكل المطلوب؛ ناقش اختبار الاستعادة وما الذي يشمله.
اسأل الفريق: هل اختبرت الاستعادة، وما البيانات والملفات التي يغطيها الاختبار؟
5. اتفق على التحديث والمتابعة
في متعة التقنية، تحدد فحوص الأمان والتحديثات والمراقبة والنسخ الاحتياطي والاستعادة والدعم حسب الاتفاق، وتوضح في عرض السعر. اتفق على المسؤوليات وما يدخل في نطاق العمل قبل البدء؛ لا تفترض أن المتابعة المستمرة مشمولة تلقائيًا.
اسأل الفريق: من يتابع الأعطال والتحديثات، وكيف تبلغ عن مشكلة، وما الذي يغطيه الاتفاق؟
قائمة مراجعة قبل الإطلاق
- بيانات وأدوار وصلاحيات محددة.
- سيناريوهات اختبار للمهام والاستثناءات المهمة.
- مسؤوليات واضحة للحسابات والنسخ والاستعادة والتحديثات.
- طريقة متفق عليها لمتابعة الأعطال والدعم.
- الملاحظات المفتوحة وما قرر الفريق فعله بشأنها.
ناقش متطلبات منتجك الرقمي مع متعة التقنية.
يمكنك الاطلاع على خدمة تطوير المواقع، وتطبيقات الجوال، وتطوير الأنظمة والمنصات لتحديد نوع المشروع الذي تريد مناقشة متطلباته.