داخل مركز الثقة لدى Rexfin: ما نستطيع إثباته اليوم، وما لا نستطيع بعد

فريق مالي قريب من قطاع البنوك يقيّم مورّدًا لأي شيء يمسّ القوائم المالية الحقيقية لا يبدأ بعرض توضيحي للمنتج. يبدأ بلجنة أمنية أو قانونية تطلب إثباتًا، وبالنسبة لمورّد يطلب من مدير مالي تمرير مستندات حساسة عبر خط أنابيب ذكاء اصطناعي، تأتي هذه الأسئلة أكثر حدّة من المعتاد. مركز الثقة لدى Rexfin موجود ليجيب عنها قبل أن تُطرح في مفاوضة حيّة، لأن “دعني أعود إليك” هو بالضبط حيث تتوقّف الصفقة بصمت.

اذكر الضابط الحقيقي، وسمِّ الثغرة الحقيقية، في الجملة نفسها

نقيّم ضوابطنا الأمنية داخليًا مقابل القائمة الكاملة لملحق A من معيار ISO 27001:2022. أما علنًا، فنتبع قاعدة واحدة لكل ادّعاء على صفحة الثقة: اذكر الجزء الحقيقي العامل فعلًا من الضابط كحقيقة، وسمِّ الثغرة المحدّدة بوضوح، في الجملة نفسها. لا تصنيف حالة عارٍ أبدًا، ولا صمت أبدًا عمّا هو مفقود.

عمليًا، هذا يعني: كلمات المرور مُجزَّأة (hashed) بخوارزمية حديثة كثيفة الذاكرة ولا تُخزَّن أبدًا كنص صريح؛ ولم نضِف بعد المصادقة متعدّدة العوامل، وهي على خارطة طريقنا القريبة. أو: النسخ الاحتياطية الليلية تعمل والاستعادات الكاملة اختُبرت بنجاح؛ لكن هذه النسخ الاحتياطية لا تعيش بعد على بنية تحتية منفصلة عن قاعدة البيانات الأساسية، لذا نقطة الاستعادة لدينا اليوم تُقاس بالساعات، لا بالثواني. أي مبالغة في هذه الصفحة ستكون أسوأ علينا من تأخّر الإصدار، لأن أول مراجِع متشكّك يلاحظ فجوة بين ادّعاءاتنا والواقع يُلحق ضررًا دائمًا بالشيء الوحيد الذي يُفترض بمنتجنا ضمانه.

الانضباط نفسه يشمل مُعالِج الذكاء الاصطناعي التابع لنا. نستخدم نموذج ذكاء اصطناعي من طرف ثالث للمساعدة في استخراج البيانات من المستندات، وإلى أن تُنجَز اتفاقية معالجة البيانات التي تغطّي هذه العلاقة وتُفصَح بالكامل، لا ننشرها في قائمة معالجين فرعيين علنية وكأن العلاقة رسمية بالفعل، فذلك بحدّ ذاته سيكون ادّعاءً كاذبًا، أسوأ من الوضع الحالي المؤقّت. وإلى حينها، يحصل المشتري الجاد على الصورة الحقيقية والحالية مباشرة بموجب اتفاقية عدم إفصاح. اقرأ المزيد حول كيف نحكم هذه العلاقة في حوكمة مزوّد نموذج اللغة.

ISO 27001 لا SOC2: ولماذا

بالنسبة للمشترين في دول الخليج والقطاعات القريبة من الحكومة، يُعدّ ISO 27001 الإشارة الأكثر تقديرًا؛ أما SOC2 فيهم بالدرجة الأولى المشترين المتأثّرين بالسوق الأمريكي وليس هدفنا الافتراضي. اليوم، نظام إدارة أمن المعلومات لدينا (السياسات، وتقييم الضوابط الكامل، وسجلّ مخاطر حيّ) مكتمل، لكن الشهادة الرسمية من طرف ثالث لم تبدأ بعد. نقول ذلك بالضبط: نظام إدارة أمن معلومات مكتمل ومتوافق مع ISO 27001:2022، مع شهادة مخطَّط لها بمجرد أن تتوفّر لدينا صفقة تتطلّبها. لا نقول “الشهادة قيد الإجراء”، لأن ذلك يوحي بأن تدقيقًا محجوزًا بالفعل، ولا يوجد أي تدقيق كذلك. الصياغة في كل مكان على الصفحة هي “ضوابط مصمَّمة وفق ISO”، لا ادّعاء بشهادة لا نملكها.

إجابات جاهزة بدلًا من صمت مُحرج

هناك أسئلة تُطرح في كل محادثة مشتريات جادة تقريبًا قبل أن يوجد الدليل الأساسي بالكامل: هل لديكم تقرير اختبار اختراق مستقل، هل أنتم مؤمَّنون، هل يمكنكم مشاركة مراجع عملاء. جوابنا عن كل منها محدَّد لا مراوغ. عن اختبار الاختراق: نسمّي المزوّد، ونسمّي التاريخ المحجوز، ونشير إلى اختباراتنا الأمنية الآلية المستمرة الخاصة بنا والتي تعمل نظيفة في هذه الأثناء. عن التأمين: التغطية بوّابة صارمة نلتزم بها قبل توقيع أي عقد: لن نوقّع قبل إصدار وثيقة التأمين، وسنشارك الشهادة فور صدورها. عن المراجع: نقول بصراحة إننا في مرحلة مبكرة ولا نملك بعد قائمة عملاء طويلة، بدلًا من التملّص من السؤال.

كما نحتفظ باستبيان أمني مُعبَّأ مسبقًا (الصيغة التي يقبلها معظم المشترين في دول الخليج قبل المطالبة بشهادة رسمية) مبنيّ مباشرة على تقييم ضوابطنا الحقيقي. لمعرفة آلية التحقّق من رقم مُستشهَد به قبل وصوله إلى إجابة، راجع كيف تعمل آلية التحقق.

ماذا يحدث إن اختفينا

أي مورّد صغير يقف بين دفتر أستاذك وحزمة تقارير مجلسك يجب أن يتوقّع هذا السؤال. الموقف الصادق اليوم: تخطيط الاستمرارية الذي يتيح لشخص ثانٍ محدَّد التدخّل في حالة الطوارئ التزام نبنيه بفعالية، لا واقعًا مكتمل التوظيف بعد؛ نقول ذلك بوضوح بدلًا من الإيحاء بتغطية أكبر مما هو موجود. ما نلتزم به بالفعل بغضّ النظر: بياناتك تبقى قابلة للتصدير بصيغة قابلة للاستخدام مهما حدث لنا. راجع الاحتفاظ بالبيانات وحذفها ونظرة عامة على البنية الأمنية.

لماذا هذا أهم من شارة

مركز ثقة مليء بالشعارات وشارات الشهادات سهل الإنتاج. أما ذاك الذي يخبرك بدقّة بما هو حقيقي، وما هو جزئي، وما لا يزال على خارطة الطريق، فأصعب في الكتابة وأبطأ في البناء، لكنه النسخة الوحيدة التي يستطيع فريق قانوني متشكّك الاعتماد عليها فعلًا، المعيار نفسه الذي نُخضِع له بقية منصّة Rexfin.