باختصار
- الأشخاص: دخول بخطوتين برمز تحقق يصل إلى البريد الإلكتروني، ومستويا صلاحية للمدير والمستخدم.
- الأنظمة: وصول إلى الـAPI من عناوين IP معتمدة أو عبر اتصال VPN.
- المحتوى: قوالب رسائل يعتمدها فريقكم وإنتركي.
- الرسائل الصادرة: الحماية من الاحتيال وحظر الدول وحدود الإنفاق على حسابكم.
- الهوية: أسماء مرسلين مسجلة لدى المشغلين أثناء التهيئة، عبر النظام المركزي للرسائل الجماعية التابع لهيئة الاتصالات والفضاء والتقنية.
- التصريح: تحمل إنتركي تصريح هيئة الاتصالات والفضاء والتقنية لتقديم خدمات الرسائل القصيرة (SMS).
- السجلات: إشعار تسليم لكل رسالة، وتقارير قابلة للتصدير.
ضوابط الأمان في Digital Connect
| المجال | الضابط | من يتولى إعداده | ما يُتفق عليه أثناء التهيئة |
|---|---|---|---|
| الدخول إلى المنصة | تحقق بخطوتين: رمز يصل إلى بريد المستخدم الإلكتروني إضافة إلى كلمة المرور | جزء من الدخول إلى المنصة | من يحتاج الوصول، وكيف يُعالج الوصول عند تغيّر بريد أحد المستخدمين |
| صلاحيات المستخدمين | مستويا صلاحية: مدير ومستخدم | مدير المنصة لديكم | من يملك صلاحية المدير، وكيف يُزال من يغادر |
| وصول الأنظمة | وصول إلى الـAPI مقصور على عناوين IP معتمدة، أو اتصال VPN | فريق تقنية المعلومات لديكم يزوّدنا بالعناوين أو بيانات VPN | البيئات التي تحتاج الوصول، للاختبار والتشغيل، ومن يحق له تعديل القائمة |
| محتوى الرسائل | قوالب يعتمدها فريقكم وإنتركي قبل استخدامها | مسؤولو المحتوى لديكم، ثم إنتركي | من يعتمد القالب الجديد داخل فريقكم |
| الرسائل الصادرة | الحماية من الاحتيال وحظر الدول وحدود الإنفاق | يُتفق عليها لحسابكم | الدول التي ترسلون إليها، والحد المناسب لحجمكم المعتاد |
| هوية المرسل | أسماء مرسلين مسجلة لدى المشغلين عبر النظام المركزي للرسائل الجماعية التابع للهيئة | إنتركي، أثناء التهيئة | أسماء المرسلين المطلوبة، حسب العلامة التجارية أو الإدارة |
| السجلات | إشعار تسليم لكل رسالة، وتقارير قابلة للتصدير | متاحة في المنصة | التقارير التي يحتاجها فريق التدقيق أو التشغيل لديكم |
كيف تنسجم الضوابط مع خطوات الربط
- يحدد فريق تقنية المعلومات عناوين IP للخوادم التي ستتصل، للاختبار والتشغيل، أو يرتّب اتصال VPN.
- ينشئ مدير المنصة لديكم المستخدمين ويحدد لكل منهم مستوى المدير أو المستخدم.
- يجهّز مسؤولو المحتوى القوالب، ويعتمدها فريقكم وإنتركي قبل استخدامها.
- تتفقون معنا على الدول التي ترسلون إليها وحد الإنفاق للحساب.
- تسجّل إنتركي أسماء المرسلين لدى المشغلين عبر النظام المركزي للرسائل الجماعية التابع للهيئة.
- تتصل أنظمتكم عبر REST، أو SMPP للرسائل عالية الحجم، أو SOAP حين يحتاجه نظام أعمال قائم.
أسئلة تحسمونها كتابياً قبل التوقيع
استبيانات الأمن لمزودي الرسائل النصية تتناول المسائل نفسها، والضوابط أعلاه تجيب عن جزء منها. أما الباقي فيعتمد على رسائلكم وعقدكم وتصنيفكم للبيانات، فاطلبوا الإجابة عنه كتابياً لإعدادكم:
- مكان حفظ البيانات: اسألوا عن محتوى الرسائل وإشعارات التسليم وأي بيانات عملاء ترسلها أنظمتكم عبر الربط، كلٌّ على حدة.
- مدة الاحتفاظ: كم يُحتفظ بمحتوى الرسائل والسجلات، وكيف تطلبون حذفها.
- بيانات الدخول: كيف تُصدر بيانات دخول الـAPI وتُحفظ وتُستبدل، وماذا يحدث عند تغيّر عنوان IP معتمد.
- مراجعة الصلاحيات: من يطّلع على قائمة مستخدمي المنصة ومستوياتهم، وكم مرة تُراجع.
- التواصل عند الحوادث: بمن تتصلون، وكيف تُبلَّغون بالحادثة. ويأتي دعم منصة Digital Connect من فريق إنتركي في الرياض، بالعربية والإنجليزية.
أرسلوا لنا استبيانكم، وسنجيب عنه كتابياً للخدمات التي تخططون لاستخدامها.
التصريح والشهادات
تحمل إنتركي تصريح هيئة الاتصالات والفضاء والتقنية لتقديم خدمات الرسائل القصيرة (SMS). وتحمل كذلك شهادة ISO/IEC 27001:2022 لإدارة أمن المعلومات وشهادة ISO 9001:2015 لإدارة الجودة، وكلتاهما صادرتان عن AQC وساريتان حتى 12 فبراير 2029. وتحدد كل شهادة نطاقها، فاطلبوا نسخاً منهما وتحققوا من مطابقة النطاق لمتطلباتكم.
ضوابط تبقى في جانبكم
بعض ضوابط الحماية لا تكون إلا داخل أنظمتكم:
- احفظوا بيانات دخول الـAPI على خوادمكم، ولا تضعوها أبداً داخل تطبيق جوال أو شيفرة متصفح. وعندها يضيف اعتماد عناوين IP أو اتصال VPN حاجزاً ثانياً: فبيانات الدخول المسرّبة وحدها لا تكفي للاتصال من عنوان خارج قائمتكم.
- حدّدوا عدد المرات التي يطلق فيها رقم أو جهاز أو جلسة واحدة رسالة، خاصة في شاشات التسجيل والدخول واستعادة كلمة المرور.
- اكشفوا الطلبات غير البشرية في الشاشات التي ترسل رسائل، مثل اختبار يظهر عند تكرار الطلبات.
- أزيلوا مستخدمي المنصة فوراً عند تغيّر أدوارهم أو مغادرتهم.
حماية رسائل OTP من احتيال تضخيم الرسائل
من يراجع بوابة الرسائل النصية بهذه الطريقة
الجهات التي تحمل رسائلها رموز تحقق أو تنبيهات حسابات أو إشعارات رسمية تُخضع مزود الرسائل النصية لمراجعة أمنية قبل التشغيل: البنوك وشركات التقنية المالية التي ترسل رموز OTP وتنبيهات الحسابات، والجهات الحكومية والمرافق التي ترسل إشعارات الخدمة، والمنشآت الكبيرة التي لديها سياسة أمن معلومات للموردين.
متى لا تناسبكم Digital Connect: إذا كان أغلب المستلمين خارج المملكة، أو كنتم ترسلون بضع مئات من الرسائل شهرياً فقط.
أسئلة فرق الأمن
كيف يعمل الدخول بخطوتين؟
يدخل مستخدمو المنصة بكلمة المرور ورمز تحقق يصل إلى بريدهم الإلكتروني.
هل نستطيع تحديد ما يفعله كل مستخدم؟
نعم. في المنصة مستويا صلاحية للمدير والمستخدم. واسألونا أثناء التهيئة عن الصلاحيات التي يشملها كل مستوى.
هل يمكن استدعاء الـAPI من أي مكان؟
لا. تتصل أنظمتكم من عناوين IP معتمدة أو عبر اتصال VPN.
من يعتمد قوالب الرسائل؟
يعتمد فريقكم وإنتركي القالب قبل استخدامه.
هل نستطيع منع الرسائل إلى دول لا نخدمها؟
نعم. حظر الدول يحصر الحساب في الدول التي تسمحون بها، وحد الإنفاق يضع سقفاً لما ينفقه الحساب.
أين تُحفظ بيانات رسائلنا؟
اسألونا كتابياً، لإعدادكم، عن محتوى الرسائل وإشعارات التسليم وبيانات الربط كلٌّ على حدة. ونجيب عن الخدمات التي تخططون لاستخدامها.
هل لديكم شهادة ISO/IEC 27001؟
تحمل إنتركي شهادة ISO/IEC 27001:2022 صادرة عن AQC وسارية حتى 12 فبراير 2029. اطلبوا نسخة منها، فالشهادة تحدد نطاقها.