سياسة الأمان

01 التزامنا

في مصمم الرياض، أمن أنظمتنا وبيانات عملائنا ليس خياراً — بل أساس. نبني المواقع، وندير حسابات العملاء، ونخزن ملفات المشاريع لشركات في جميع أنحاء المملكة العربية السعودية وخارجها. كل واحدة من هذه العلاقات تعتمد على الثقة، والثقة تعتمد على الأمان.

توضح سياسة الأمان هذه كيف نحمي بنيتنا الرقمية، وكيف نتعامل مع البيانات التي يشاركها العملاء، وكيف نرحب بالتعاون من باحثي الأمن الأخلاقيين الذين يريدون المساعدة في جعل الويب أكثر أماناً للجميع.

02 الممارسات الأمنية

نطبق معايير أمنية عالمية عبر جميع أنظمتنا ومشاريع عملائنا:

• HTTPS في كل مكان: جميع المواقع التي نبنيها تستخدم شهادات SSL/TLS مع تفعيل HSTS. لا استثناءات.
• استضافة آمنة: بنيتنا التحتية مستضافة لدى مزودين موثوقين مع اتفاقيات وقت تشغيل 99.9%، وحماية DDoS، ونسخ احتياطي تلقائي.
• مصادقة قوية: المصادقة الثنائية (2FA) مفروضة على جميع الحسابات الداخلية. تتطلب لوحات إدارة العملاء كلمات مرور قوية.
• تخزين مشفر: يتم تخزين ملفات العملاء الحساسة وبيانات الاعتماد مشفرة أثناء السكون والنقل.
• تحديثات منتظمة: يتم تحديث منصات CMS والإضافات والمكتبات وبرامج الخادم بشكل فوري لسد الثغرات المعروفة.
• مبدأ أقل صلاحية: يمتلك أعضاء الفريق إمكانية الوصول فقط للأنظمة والبيانات التي يحتاجونها لأداء مهامهم.
• رؤوس أمان: نطبق سياسة أمان المحتوى (CSP)، وX-Frame-Options، ورؤوس أخرى على المواقع المسلّمة.
• التحقق من المدخلات: يتم التحقق من جميع النماذج التي تواجه المستخدم وتعقيمها لمنع هجمات الحقن.

03 حماية بيانات العملاء

نتعامل مع بيانات العملاء بأعلى مستويات العناية. على وجه التحديد:

• تقليل البيانات: نجمع فقط الحد الأدنى من المعلومات اللازمة لتسليم المشروع.
• مشاركة آمنة: تتم مشاركة ملفات العملاء وبيانات الاعتماد عبر قنوات مشفرة، وليس أبداً عبر بريد إلكتروني غير مشفر.
• العزل: يتم تخزين كل مشروع عميل في دليل أو مساحة عمل معزولة — لا تلوث متقاطع بين العملاء.
• وصول محكوم: فقط أعضاء الفريق المحددون الذين يعملون على مشروع يمكنهم الوصول إلى ملفاته.
• الحذف عند الطلب: بعد تسليم المشروع، يمكن للعملاء طلب حذف كامل للبيانات خلال 30 يوماً.
• لا مشاركة مع أطراف ثالثة: لا نبيع أو نؤجر أو نشارك بيانات العملاء مع أطراف ثالثة لأغراض تسويقية.

للحصول على التفاصيل الكاملة حول كيفية تعاملنا مع البيانات الشخصية، اقرأ سياسة الخصوصية الخاصة بنا.

04 الاستجابة للحوادث

في حالة وقوع حادث أمني، نتبع عملية واضحة وموثقة:

• الكشف: مراقبة مستمرة لأنظمتنا ومواقع عملائنا بحثاً عن أي أمور غير طبيعية.
• الاحتواء: اتخاذ إجراء فوري لعزل الأنظمة المتأثرة وإيقاف انتشار الحادث.
• التقييم: تحديد النطاق والتأثير — ما البيانات، إن وجدت، التي تأثرت.
• الإشعار: إذا تأثرت بيانات العملاء، نقوم بإخطار العميل المتأثر والجهات السعودية المختصة خلال 72 ساعة، وفقاً لنظام حماية البيانات الشخصية (PDPL).
• المعالجة: إصلاح السبب الجذري وترقيع الثغرة.
• المراجعة بعد الحادث: مراجعة داخلية لمنع التكرار وتحسين وضعنا الأمني.

05 الإفصاح المسؤول

نرحب ونشجع باحثي الأمن على مساعدتنا في تحديد الثغرات في موقعنا وأنظمتنا. إذا كنت تعتقد أنك وجدت مشكلة أمنية، يرجى الإبلاغ عنها لنا بشكل مسؤول قبل الكشف عنها علناً.

كيفية الإبلاغ:

• 📧 البريد الإلكتروني: security@riyadhdesigner.com
• 📧 بديل: info@riyadhdesigner.com
• 📄 ملف قابل للقراءة آلياً: /.well-known/security.txt

يجب أن يتضمن تقريرك:

• وصفاً واضحاً للثغرة وتأثيرها
• خطوات إعادة إنتاج المشكلة (كود PoC أو لقطات شاشة تساعد)
• الروابط والمعاملات المتأثرة
• اسمك أو معرّفك للتقدير (إذا كنت ترغب في الاعتراف)
• أي إصلاحات مقترحة (اختياري)

التزامنا نحوك:

• سنؤكد استلام تقريرك خلال 48 ساعة.
• سنقدم تقييماً أولياً خلال 5 أيام عمل.
• سنبقيك على اطلاع بتقدمنا حتى حل المشكلة.
• سنمنحك التقدير العلني (بإذنك) بمجرد نشر الإصلاح.

06 النطاق داخل وخارج

داخل النطاق (يرجى الإبلاغ عن هذه):

• الثغرات على www.riyadhdesigner.com ونطاقاتها الفرعية
• عيوب المصادقة أو التفويض
• البرمجة النصية عبر المواقع (XSS)، حقن SQL، SSRF، CSRF
• كشف البيانات الحساسة (بيانات اعتماد مسربة، مفاتيح API، بيانات شخصية)
• الثغرات من جهة الخادم التي تؤثر على أنظمة الإنتاج لدينا
• عيوب منطق الأعمال التي قد تؤثر على أمن العملاء

خارج النطاق (يرجى عدم الإبلاغ عن هذه):

• هجمات حجب الخدمة (DoS/DDoS) — لا تحاول هذه أبداً
• الهندسة الاجتماعية لفريقنا أو عملائنا
• الهجمات المادية على مكاتبنا أو بنيتنا التحتية
• مخرجات فاحص الثغرات الآلي دون إثبات قابلية الاستغلال
• مشاكل في الخدمات الخارجية التي نستخدمها (Google، Cloudflare، إلخ) — أبلغهم مباشرة
• رؤوس الأمان المفقودة التي لا تؤدي إلى ثغرة قابلة للاستغلال
• Self-XSS، clickjacking على صفحات غير حساسة، أو اقتراحات "أفضل الممارسات"
• البريد العشوائي، إصدارات البرامج القديمة دون دليل على الاستغلال

07 قواعد التعامل

ليكون مؤهلاً للملاذ الآمن، يجب على باحثي الأمن اتباع هذه القواعد:

• ✅ افعل: اختبر فقط ضد الحسابات والبيانات التي تملكها أو لديك إذن كتابي لاختبارها.
• ✅ افعل: أبلغ عن الثغرات بسرعة وسرية.
• ✅ افعل: استخدم الحد الأدنى من الاختبار اللازم لإثبات المشكلة.
• ✅ افعل: توقف عن الاختبار فوراً إذا واجهت بيانات حساسة — أبلغ عنها واحذف أي نسخ.
• ❌ لا تفعل: الوصول إلى بيانات العملاء الحقيقية أو تعديلها أو تسريبها.
• ❌ لا تفعل: إضعاف الخدمة أو تعطيل عملياتنا.
• ❌ لا تفعل: الكشف العلني عن الثغرة قبل أن يكون لدينا وقت لإصلاحها (نقترح 90 يوماً من الإبلاغ، أو حتى نشر الإصلاح — أيهما أسبق).
• ❌ لا تفعل: طلب الدفع مقابل الصمت (الابتزاز جريمة بموجب الأنظمة السعودية).

08 التقدير

لا نعمل حالياً ببرنامج مكافآت مدفوع لصيد الثغرات. ومع ذلك، يسعدنا:

• منحك التقدير العلني في قاعة الشكر الأمنية (بإذنك)
• تقديم خطاب شكر مكتوب لملفك أو حسابك على LinkedIn
• إضافتك إلى قائمة شكر عامة على هذه الصفحة
• النظر في مكافآت تقديرية للثغرات الحرجة — وفقاً لتقديرنا الخاص

إذا كنت ترغب في أن يتم الاعتراف بك، يرجى تضمين اسمك أو معرّفك في تقريرك.

09 الملاذ القانوني الآمن

يلتزم مصمم الرياض بالملاذ الآمن التالي لباحثي الأمن الذين يتصرفون بحسن نية:

• لن نتخذ إجراءات قانونية مدنية أو جنائية ضد الباحثين الذين يتبعون هذه السياسة.
• لن نبلغ السلطات عنك بسبب أنشطة تمت في نطاق هذه السياسة.
• سنعمل معك لفهم وحل الثغرة.
• إذا رفع طرف ثالث دعوى ضدك بسبب إفصاحك المسؤول، فإننا سنذكر علناً أن أفعالك كانت متوافقة مع هذه السياسة.

ينطبق الملاذ الآمن فقط إذا كنت قد التزمت بجميع القواعد في القسم 7 (قواعد التعامل). تُلغي الانتهاكات هذه الحماية.

10 الامتثال

تتوافق ممارساتنا الأمنية مع:

• 🇸🇦 نظام حماية البيانات الشخصية (PDPL) في المملكة العربية السعودية — اللائحة الأساسية لحماية البيانات في المملكة
• 🇸🇦 إرشادات الهيئة الوطنية للأمن السيبراني (NCA) للشركات السعودية
• 🌍 مبادئ متوافقة مع GDPR لأي عملاء أو مستخدمين أوروبيين
• 🌍 عمليات متوافقة مع ISO 27001 لإدارة أمن المعلومات
• 🌐 تخفيف OWASP Top 10 لتطبيقات الويب التي نبنيها

للعملاء من الشركات الذين لديهم متطلبات امتثال محددة (SOC 2، HIPAA، إلخ)، تواصل معنا لمناقشة كيف يمكننا دعم احتياجاتك.

11 التواصل مع فريق الأمن

لأي استفسار متعلق بالأمان — تقارير الثغرات، استبيانات الأمان، أو طلبات الامتثال للمؤسسات:

التزام الاستجابة: نؤكد جميع تقارير الأمان خلال 48 ساعة، بما في ذلك عطلة نهاية الأسبوع للمشاكل الحرجة.