تقييم أمان منصة التوقيع الإلكتروني يعني فحص قدرتها على حماية هوية الموقّعين وسلامة المستندات وسرية البيانات، والتحقق من امتثالها للأطر الوطنية للأمن السيبراني وحماية البيانات. ويبدأ مسؤول الأمن عادة بأسئلة محددة: من يرخّص المنصة؟ أين تُحفظ البيانات؟ كيف يُتحقق من الهوية؟ كيف تُحمى المفاتيح والمستندات؟ ما الذي يوثقه سجل التدقيق؟ والإجابة الموثقة عن هذه الأسئلة هي ما يفصل منصة يمكن اعتمادها للعقود الحساسة عن أداة توقيع عامة.

نكتب هذا المقال لمسؤولي الأمن السيبراني والمدراء التقنيين الذين يُطلب منهم تقييم منصة توقيع قبل اعتمادها في المنشأة. نقدم فيه عشرة أسئلة عملية، ولكل سؤال ما ينبغي البحث عنه في إجابة المزود، ثم نعرض الأخطاء الشائعة في التقييم وخطوات تنظيمه.

ملخص سريع

لماذا يحتاج مسؤول الأمن إلى تقييم منصة التوقيع بنفسه؟

يحتاج مسؤول الأمن إلى التقييم لأن منصة التوقيع تحفظ أكثر مستندات المنشأة حساسية، وتعالج بيانات هوية الموقّعين، وتمثل الدليل الذي تعتمد عليه المنشأة عند النزاع. وأي ثغرة فيها تمس العقود والسمعة والامتثال معاً.

تنتقل كثير من المنشآت إلى التوقيع الإلكتروني بقرار من الشؤون القانونية أو العمليات، ثم يُطلب من فريق الأمن الموافقة في مرحلة متأخرة. والأفضل أن يدخل الأمن مبكراً، بقائمة أسئلة واضحة تُرسل للمزودين ضمن طلب العروض.

وترتفع التوقعات في المملكة مع نضج منظومة الأمن السيبراني الوطنية. فقد حافظت المملكة على المرتبة الأولى عالمياً في مؤشر الأمن السيبراني ضمن الكتاب السنوي للتنافسية العالمية الصادر عن المعهد الدولي للتنمية الإدارية (IMD)، وصنّفها الاتحاد الدولي للاتصالات ضمن الفئة الأعلى في المؤشر العالمي للأمن السيبراني لعام 2024. وهذا يجعل الامتثال للضوابط الوطنية معياراً أساسياً في اختيار أي مزود.

ما الأسئلة العشرة لتقييم أمان منصة التوقيع؟

الأسئلة العشرة تغطي الترخيص، والهوية، والتشفير، والمفاتيح، والبيانات، والوصول، والتدقيق، والاختبار، والاستجابة للحوادث، والخدمات المرتبطة. ولكل منها إجابة يُفترض أن يقدمها المزود بوثائق.

1. هل المنصة مقدم خدمات ثقة مرخص محلياً؟

هذا أول سؤال لأن الترخيص من هيئة الحكومة الرقمية يضع خدمات التوقيع ضمن إطار رقابي محلي يخضع لمتطلبات وتدقيق مستمر. اطلب رقم الترخيص ونطاقه وتاريخ سريانه. للتوسع، راجع مقال مقدم خدمات الثقة المرخّص.

2. أين تُستضاف البيانات والنسخ الاحتياطية؟

اسأل عن الدولة التي توجد فيها الخوادم الرئيسية، ومواقع النسخ الاحتياطية والتعافي من الكوارث، وسجلات النظام. فاستضافة قاعدة البيانات محلياً لا تكفي إذا كانت النسخ الاحتياطية في الخارج، لأن نقل البيانات الشخصية خارج المملكة يخضع لشروط نظام حماية البيانات الشخصية.

3. كيف يُتحقق من هوية الموقّع؟

قوة التوقيع تتوقف على قوة التحقق من الهوية قبله. ابحث عن خيارات ترتبط بالهوية الوطنية، مثل نفاذ وأبشر، وعن إمكان اختيار مستوى التحقق بحسب حساسية المستند.

4. كيف تُحمى المستندات أثناء النقل والتخزين؟

اسأل عن تشفير الاتصال بين المستخدم والمنصة، وتشفير المستندات المخزنة، وطريقة إدارة مفاتيح التشفير ومن يصل إليها. والإجابة المقبولة تحدد الآليات والمعايير المستخدمة، ولا تكتفي بعبارة "بياناتك مشفرة".

5. كيف تُحمى مفاتيح التوقيع؟

في التوقيع الرقمي، يمثل المفتاح الخاص للموقّع جوهر الثقة. اسأل هل تُولَّد المفاتيح وتُحفظ في وحدات أمن العتاد (HSM)، وهي أجهزة مخصصة لا يغادرها المفتاح، وكيف يُفعَّل المفتاح بعد مصادقة المستخدم. وللفرق بين الشهادة والتوقيع، راجع مقال الفرق بين التوقيع الرقمي والشهادة الرقمية.

6. كيف تُدار صلاحيات الوصول داخل المنصة؟

اسأل عن الأدوار والصلاحيات المتاحة لمستخدمي المنشأة، ودعم المصادقة متعددة العوامل، وإمكان الربط مع نظام إدارة الهوية في المنشأة. واسأل أيضاً عن صلاحيات موظفي المزود أنفسهم: من منهم يستطيع الوصول إلى بيانات العملاء، ومتى، وكيف يُسجَّل ذلك.

7. ماذا يوثق سجل التدقيق؟

سجل التدقيق هو دليلك عند النزاع والتحقيق. اطلب نموذجاً فعلياً، وتأكد أنه يوثق من وقّع ومتى ومن أي جهاز، وكل عملية فتح وتعديل وإرسال، وأنه محمي من التعديل. واختبر عملياً أن أي تعديل على المستند بعد التوقيع يظهر عند التحقق.

8. ما الشهادات والضوابط الأمنية المطبقة؟

اسأل عن شهادات أمن المعلومات، مثل ISO 27001، وعن الامتثال للضوابط الأساسية للأمن السيبراني (ECC) وضوابط الحوسبة السحابية (CCC) الصادرة عن الهيئة الوطنية للأمن السيبراني. واطلب ما يثبت سريان الشهادات ونطاقها.

9. كيف يُختبر الأمان وكيف يُستجاب للحوادث؟

اسأل عن تكرار اختبارات الاختراق ومن ينفذها، وعن خطة الاستجابة للحوادث، والمدة التي يلتزم المزود خلالها بإبلاغك عند وقوع حادث يمس بياناتك. فهذه الالتزامات يجب أن تكون مكتوبة في العقد.

10. ما الخدمات المرتبطة التي تعالج البيانات؟

قد تكون المنصة آمنة في ذاتها، بينما تمر المستندات عبر خدمات أخرى، كالإشعارات أو التخزين أو الذكاء الاصطناعي. اسأل عن هذه الخدمات ومواقعها، وهل تُستخدم بيانات العملاء في تدريب النماذج.

ما الذي تقدمه ساين إت في كل سؤال؟

نعرض في الجدول التالي ما نوفره في ساين إت، وما يمكن طلب تفاصيله من فريقنا ضمن التقييم.

كيف تختبر المنصة قبل الاعتماد؟

لا تكتفِ بالإجابات المكتوبة؛ اختبر المنصة على مستندات تجريبية. أرسل مستنداً للتوقيع بمستويات تحقق مختلفة، ثم حاول تعديله بعد التوقيع وتحقق من ظهور ذلك. وراجع سجل التدقيق الناتج، وجرّب صلاحيات المستخدمين المختلفة، وتحقق من فتح المستند الموقّع والتحقق منه في التطبيقات التي سيستخدمها الطرف الآخر.

ما الأخطاء الشائعة في تقييم أمان منصات التوقيع؟

أكثر الأخطاء شيوعاً الاكتفاء بالعبارات العامة في المواد التسويقية. فعبارات مثل "تشفير متقدم" أو "أمان على مستوى البنوك" لا تقول شيئاً قابلاً للتحقق. المطلوب إجابات محددة بوثائق: أي معيار، وأي شهادة، وأي نطاق، وأي تاريخ.

ومنها التركيز على المنصة وإغفال ما حولها. قد تكون المنصة الرئيسية مستضافة محلياً ومحمية جيداً، بينما يعمل فريق الدعم من خارج المملكة ويصل إلى البيانات، أو تمر الإشعارات عبر خدمات خارجية. التقييم الكامل يشمل كل من يصل إلى البيانات وكل خدمة تعالجها.

ويقع بعض الفرق في خطأ الخلط بين أمان المنصة وأمان التوقيع نفسه. فالمنصة قد تحمي البيانات جيداً، لكن التوقيع الذي تنتجه قد يكون صورة لا تكشف التعديل اللاحق. لذلك يُقيَّم الجانبان معاً. للتوسع، راجع مقال الفرق بين التوقيع الرقمي والإلكتروني.

وأخيراً، يُغفل أحياناً إدراج الالتزامات الأمنية في العقد. ما يقوله المزود في العرض قد لا يُلزمه ما لم يُكتب في العقد: موقع البيانات، ومدة الإبلاغ عن الحوادث، وحق التدقيق، وآلية استرجاع البيانات وحذفها عند انتهاء التعاقد.

كيف ينظم مسؤول الأمن عملية التقييم؟

ابدأ بتحديد متطلبات المنشأة وتصنيف بياناتها، ثم أرسل الأسئلة العشرة للمزودين، وقيّم الإجابات بالوثائق، واختبر المنصة عملياً، وثبّت النتائج في العقد.

ولربط التقييم بمسار العقود كاملاً من الإنشاء حتى التجديد، راجع مقال إدارة العقود من المسودة إلى الأرشيف.

أسئلة شائعة

الخاتمة

تقييم أمان منصة التوقيع يتجاوز سؤالاً عاماً عن "الأمان". هو مراجعة منظمة لعشرة جوانب: الترخيص، والاستضافة، والهوية، والتشفير، والمفاتيح، والصلاحيات، والتدقيق، والشهادات، والاختبار، والخدمات المرتبطة. ومسؤول الأمن الذي يطلب إجابات موثقة، ويختبر المنصة عملياً، ويثبت الالتزامات في العقد، يمنح منشأته أساساً متيناً لاعتماد التوقيع الإلكتروني في أكثر مستنداتها حساسية.