1. نهج الأمان
تطبق EMEGA طبقات من الضوابط الإدارية والتطبيقية والبنية التحتية بحسب الخدمة والمخاطر. الأمان مسؤولية مشتركة بين المشغل والاستضافة والمؤسسة والمسؤولين والمستخدمين والمزودين.
2. الهوية والوصول
تدعم المنصة الدخول الموثق والصلاحيات وفصل المؤسسات ونطاق الفروع والفرق وحماية الجلسة والتدقيق. يجب منح أقل قدر من الصلاحيات واستخدام حسابات منفصلة وحماية الأجهزة وإزالة الوصول عند تغير المهام.
3. بيانات الاعتماد والتكاملات
تُحفظ رموز المزود والأسرار في إعداد محمي أو مخزن مشفر وتُحجب في الواجهة وتُستبعد من السجلات والمصدر. يجب التحقق من حالة OAuth وربط الاستدعاء وWebhook وتوقيع المزود حيث يدعم ذلك.
4. ضوابط التطبيق والبيانات
تشمل الضوابط التحقق من الطلبات وحماية CSRF وترميز المخرجات والتعامل الخاص مع الملفات والصلاحيات على المسارات وقيود الرفع وحدود الإساءة والتدقيق وفصل الملاحظات الداخلية عن الرسائل. تعتمد الضوابط الفعلية على الوحدات والاستضافة.
5. البنية والاستمرارية
يجب استخدام برامج مدعومة وHTTPS وقاعدة بيانات مقيدة وصلاحيات ملفات صحيحة ومراقبة قوائم الانتظار والجدولة ودورة نسخ واختبارات استعادة وسجلات إنتاج لا تكشف الأسرار. تحمى النسخ بما يلائم البيانات الأصلية.
6. الملفات والتصدير والأجهزة
يجب التحقق من المستلم قبل إرسال الملفات وتجنب الروابط العامة للسجلات المحمية وتأمين التصدير وإزالة النسخ المحلية بعد انتهاء الحاجة. تبقى أجهزة العميل وبريده ومتصفحه وشبكته وأنظمته مسؤوليته.
7. الاستجابة للحوادث
يُبلّغ فورًا عن الوصول غير المصرح أو كشف رمز أو برمجية ضارة أو فقد بيانات أو إفصاح خاطئ. ينبغي احتواء الحادث وحفظ الأدلة وتقييم الأشخاص والبيانات والتنسيق مع العميل والمزود واستعادة الخدمة وإجراء الإشعارات في المدد المطلوبة.
8. الإبلاغ عن الثغرات
أبلغ بصورة خاصة عبر صفحة التواصل والدعم مع خطوات إعادة المشكلة وأثرها. لا تصل إلى بيانات الغير ولا تعطل الإنتاج ولا تنشر ثغرة غير معالجة ولا تستخدم اختبارًا آليًا دون تفويض مكتوب.
9. لا ضمان مطلق
لا يمكن ضمان أمان كامل لأي نظام. تخفض ضوابط EMEGA المخاطر ولا تلغيها. ينبغي للعميل إجراء تقييمه القانوني والأمني والإعدادي قبل إدخال عمليات حساسة أو حرجة في الإنتاج.