هذا المستند يوضح السياسات والإجراءات المتبعة في منصّة "حلوة المدينة للتمور" لضمان حماية البيانات، استمراريتها، وتقليل المخاطر الأمنية. هذه السياسة هي دليل داخلي للمطورين ومسؤولي النظام.

أولًا: سياسة النسخ الاحتياطي (Backup)

1. الأصول الخاضعة للنسخ الاحتياطي

يتم إجراء نسخ احتياطي لأربعة أنواع رئيسية من الأصول لضمان استمرارية العمل:

• قواعد البيانات: تشمل بيانات المستخدمين (بائعين وعملاء)، الطلبات، المنتجات، المدفوعات، الإعدادات، وجميع السجلات الحيوية.
• ملفات التخزين (Storage): تشمل صور المنتجات، شعارات البائعين، وأي مستندات مرفوعة مثل الفواتير أو بوالص الشحن.
• كود المصدر (Source Code): الكود الكامل للمنصة (Frontend & Backend)، بما في ذلك ملفات الإعدادات غير الحساسة، ويتم إدارته عبر مستودع Git خاص.
• الإعدادات الحساسة (Secrets): مفاتيح الربط (API Keys)، إعدادات بوابات الدفع وشركات الشحن، ويتم تخزينها وإدارتها بشكل آمن ومنفصل.

2. جدول وسياسة الاحتفاظ بالنسخ

• نسخ يومي لقاعدة البيانات: يتم أخذ نسخة احتياطية كاملة مرة كل 24 ساعة على الأقل.
• نسخ أسبوعي كامل: يتم الاحتفاظ بنسخة أسبوعية لمدة شهر واحد على الأقل.
• نسخ شهري طويل الأمد: يتم الاحتفاظ بنسخة شهرية لمدة تتراوح بين 6 إلى 12 شهرًا لأغراض التدقيق والطوارئ القصوى.

3. تخزين وتشفير النسخ الاحتياطية

• لا يتم حفظ النسخ الاحتياطية على نفس الخادم الذي يعمل عليه النظام.
• تُخزن النسخ في موقع جغرافي مختلف (Off-site) باستخدام خدمات تخزين سحابية آمنة ومستقلة.
• جميع النسخ الاحتياطية التي تحتوي على بيانات شخصية تكون مشفرة (Encrypted at-rest).
• الوصول إلى النسخ الاحتياطية محصور بفريق تقني محدد ومصرح له.

4. اختبار الاسترجاع (Disaster Recovery Test)

يتم إجراء اختبار دوري (مرة كل ثلاثة أشهر على الأقل) لعملية استرجاع نسخة احتياطية على بيئة تجريبية (Staging) للتأكد من سلامة النسخ وفعالية إجراءات الاسترجاع.

ثانيًا: سياسة الأمان وتقليل المخاطر

1. حماية الوصول وإدارة الهوية

• تفعيل التحقق الثنائي (MFA) إلزامي لجميع الحسابات الإدارية وذات الصلاحيات المرتفعة.
• فرض سياسات لكلمات المرور القوية ومنع إعادة استخدام كلمات مرور قديمة.
• تقييد محاولات الدخول الفاشلة لحماية الحسابات من هجمات التخمين (Brute-force).

2. إدارة الصلاحيات (Principle of Least Privilege)

يتم منح المستخدمين والموظفين أقل قدر من الصلاحيات اللازمة لأداء مهامهم فقط، مما يحد من الضرر في حال اختراق أي حساب.

3. حماية نقل البيانات (HTTPS)

جميع الاتصالات من وإلى المنصة تتم بشكل إلزامي عبر بروتوكول HTTPS المشفر.

4. حماية المدخلات (Input Validation)

تخضع جميع البيانات المدخلة من قبل المستخدمين (في النماذج، وصف المنتجات، ইত্যাদি) لعمليات تحقق وفلترة صارمة لمنع هجمات مثل (XSS) و (SQL Injection).

5. أمان رفع الملفات

• يتم التحقق من امتداد ونوع جميع الملفات المرفوعة (صور، مستندات) والسماح بالأنواع الآمنة فقط.
• تُخزن الملفات في بيئة معزولة لا تسمح بتنفيذ الأكواد البرمجية.

6. التحديثات الدورية

يتم تطبيق التحديثات الأمنية لإطار العمل (Framework)، المكتبات البرمجية، وأنظمة التشغيل بشكل دوري ومنتظم لسد أي ثغرات مكتشفة.

7. المراقبة وتسجيل العمليات (Monitoring & Logs)

يتم تسجيل جميع العمليات الحساسة التي تحدث في النظام، مثل عمليات تسجيل الدخول، تغيير الصلاحيات، تعديل بيانات الدفع، مع وجود نظام تنبيهات للأنشطة المشبوهة.

8. فصل البيئات (Environment Separation)

يتم الفصل التام بين بيئة الإنتاج (Production) وبيئة التطوير والاختبار (Staging)، مع استخدام قواعد بيانات منفصلة لكل بيئة.