الأمان في Onplana
بيانات مشاريعك بالغة الأهمية. نحميها بأمان بمستوى المؤسسات، وبالتشفير، وضوابط الوصول، وسجلات التدقيق، وعزل البيانات، لتتفرغ لتسليم المشاريع لا للاختراقات.
هل تقيّم Onplana لمؤسستك؟ اقرأ مراجعة الأمان مع الإجابات، ومعالجة بيانات الذكاء الاصطناعي في أولها.
ركائز الأمان
الأمان حاضر في كل طبقة من منصة Onplana، من المصادقة إلى البنية التحتية.
التشفير في كل مكان
- TLS 1.2+ لكل البيانات أثناء النقل
- تشفير AES-256 للبيانات المخزنة
- HTTPS إلزامي على كل نقاط النهاية
- اتصالات قاعدة البيانات مشفرة بـSSL
المصادقة والوصول
- المصادقة الثنائية (TOTP مع رموز احتياطية لمرة واحدة عددها 10)
- إعادة ضبط المصادقة الثنائية داخل المستأجر (Owner أو Admin المؤسسة، مع حماية للصلاحيات)
- تسجيل الدخول الموحد عبر SAML 2.0 وOIDC (Enterprise) مع التحقق من النطاق
- SCIM 2.0 مع إلغاء التنشيط لكل مستأجر وتسجيل التغييرات
- قفل ضد هجمات القوة الغاشمة (عبر Redis، مع Postgres احتياطيًا)
- رموز تبادل لمرة واحدة، ولا رموز JWT في عنوان URL
- إصدارات للرموز المميزة وتسجيل خروج شامل
- قائمة عناوين IP المسموح بها (Enterprise)
التدقيق والامتثال
- سجل تدقيق بالإضافة فقط مع مقارنات منظمة لما قبل التغيير وبعده
- ستة ملفات احتفاظ: STANDARD / GDPR / HIPAA / FINRA / SOC 2 / CUSTOM
- لمن ينتمي إلى عدة مؤسسات يُطبّق الاحتفاظ الأشد
- تدفق أحداث الأمان (تسجيلات الدخول، وتغييرات كلمة المرور، والمصادقة الثنائية، وSCIM)
- تصدير التدقيق بصيغة CSV أو JSON مع عوامل تصفية ونطاقات زمنية
- لوحة معلومات بدرجة الامتثال (المصادقة الثنائية، ونطاق الرموز المميزة، والاحتفاظ، وعناوين IP)
- مجالس ضبط التغيير للمشاريع الخاضعة للحوكمة
البنية التحتية
- مستضاف على Microsoft Azure، وهو مزود سحابي ممتثل لـSOC 2
- بيانات كل مستأجر مقصورة على مؤسسته في كل استعلام
- نسخ احتياطية تلقائية مع استعادة إلى نقطة زمنية
- حماية من هجمات DDoS وتحديد لمعدل الطلبات
- فحص دوري للثغرات
حماية البيانات
- عزل بين المستأجرين: لا ترى أي مؤسسة بيانات غيرها أبدًا
- حذف مؤقت مع سلة محذوفات (30 يومًا للاسترداد)
- إقامة البيانات عبر نشر مخصص في اشتراك Azure الخاص بك (Enterprise+)؛ والخدمة المُدارة تعمل في منطقة واحدة
- لا تُستخدم بياناتك أبدًا لتدريب نماذج الذكاء الاصطناعي
- تصدير البيانات متاح في أي وقت (دون أي ارتباط)
ضوابط المؤسسة
- خمسة أدوار جاهزة إضافة إلى أدوار مخصصة (بدءًا من خطة Business)
- مفاتيح أذونات دقيقة (على مستوى المؤسسة والمشروع)
- وحده Owner يعدّل مصفوفة الأذونات (منع تصعيد الصلاحيات)
- حماية آخر Owner: لا يمكن خفض دور الـOwner الوحيد
- لا يستطيع Admin إعادة ضبط المصادقة الثنائية لـOwner (عزل الصلاحيات)
- إدارة مقاعد الضيوف مع حدود لكل خطة
- مراجعة الوصول مع حالة المصادقة الثنائية، وآخر تسجيل دخول، والإشارة إلى عدم النشاط
الحماية في بيئة الإنتاج
- فحص عند الإقلاع: لا تبدأ الخدمة إن كانت الأسرار مفقودة أو تالفة
- أسرار JWT أحادية الغرض (المصادقة، وحالة SSO، والفوترة، والتقويم)
- ترويسات Helmet (HSTS وCSP وX-Frame-Options وCOOP/CORP)
- حدود لكل مسار (المصادقة، وOAuth، والذكاء الاصطناعي، وSCIM لكل مستأجر)
- خطافات ويب مع HMAC-SHA256 وحماية من SSRF
- التحقق من SHA البناء عند النشر (لا تأخر صامت في الإصدار)
مستنداتك
ما يحدث لعقد أو خطة أو ملف عميل حين ترفعه إلى Onplana.
تخزين خاص ومشفر
تُحفظ الملفات المرفوعة في Azure Blob Storage في منطقة West US، مشفرة أثناء التخزين بواسطة Azure Storage ومنسوخة إلى منطقة ثانية (East US). لا يقبل حساب التخزين أي حركة من الشبكة العامة ولا يُوصل إليه إلا عبر نقطة نهاية خاصة. لا توجد حاويات عامة، وليس للحساب مفاتيح وصول مشتركة، لذا يصل إليه Onplana عبر هوية مُدارة.
التشفير أثناء النقل
HTTPS فقط بين متصفحك وOnplana، وبين Onplana والتخزين، مع TLS 1.2 كحد أدنى.
لا يُفتح إلا من التطبيق
يمر كل تنزيل عبر التطبيق بعد تسجيل الدخول، وهو يتحقق من أن الملف ينتمي إلى مؤسستك. ويتطلب ملف المشروع أيضًا الوصول إلى ذلك المشروع، ولا يُفتح المجلد المقيد إلا لمن شورك معهم. لا يوجد رابط عام لملف مخزن.
مفحوص عند الدخول
يُقرأ النوع الحقيقي للملف من محتواه ويُقارن بقائمة الأنواع المسموح بها، مع استبعاد الملفات التنفيذية. حتى 100 ميغابايت لكل ملف، ضمن مساحة التخزين في خطتك.
الإصدارات وسلة المحذوفات
يحتفظ كل مستند بسجل إصداراته، في جميع الخطط. ويذهب الملف المحذوف إلى سلة المحذوفات مع محتواه، لمدة 30 يومًا افتراضيًا، ولمدة ست سنوات مع ملفي الاحتفاظ HIPAA وFINRA.
المشاركة خارج مؤسستك
يفتح المستلم الخارجي الملف المشارك برمز من ستة أرقام يصله بالبريد الإلكتروني، صالح لمدة 15 دقيقة. لا يستطيع المشاركة إلا المرسلون الموثّقون، وللإرسال حد بالساعة، ويمكن لمن يشارك إلغاء الوصول في أي وقت. يمكن لـOwner وAdmin تعيين مدة انتهاء افتراضية للروابط، وبدءًا من خطة Professional يمكن لـOwner منع كل دور آخر من مشاركة الملفات خارج المؤسسة.
ملفات Office تبقى في Onplana
ملفات Word وExcel وPowerPoint التي تُحرَّر في المتصفح تُفتح في خدمة التحرير الخاصة بـOnplana، داخل بيئة Azure الخاصة بـOnplana، لا في محرر خارجي.
في سجل التدقيق
عمليات الرفع، والتنزيلات (ملف فُتح في التطبيق أو قرأه وكيل)، واستعادة الإصدارات، وعمليات الحفظ من محرر Office في المتصفح تدخل سجل التدقيق، وكذلك الحذف، والمشاركة وإلغاؤها، ومرفقات المهام المضافة والمحذوفة، والاستعادة من سلة المحذوفات (بدءًا من خطة Enterprise). يذكر كل إدخال العميل الذي جاء منه، مثل تطبيق الويب أو وكيل عبر MCP، وتنزيلات الشخص نفسه المتكررة للملف نفسه خلال ساعة تشكل إدخالًا واحدًا.
التفاصيل، خطوة بخطوة: كيف تُحمى ملفاتك (بالإنجليزية).
المشترون الخاضعون للتنظيم والقطاع العام
يعمل Onplana على Microsoft Azure فقط، كخدمة مستضافة أو كـEnterprise+، وهو نشر مخصص يُعدّه Onplana ويديره في اشتراك Azure الخاص بك. ليس حزمة تُثبّتها. وحين تطلب قاعدة أن تعمل الأداة داخل نطاقك، فإن Enterprise+ هو الجواب. لكل متطلب نُسأل عنه: ما تفعله الخدمة المستضافة، وما يفعله Enterprise+، وما لا ندّعيه.
FedRAMP وتفويض الجهات الحكومية
الخدمة المستضافة: ليس للخدمة المستضافة أي تفويض FedRAMP ولا تفويض تشغيل (ATO) من جهة حكومية.
Enterprise+: يعمل Enterprise+ في اشتراك Azure الخاص بك، في المنطقة التي تختارها، والمفاتيح في Key Vault الخاص بك. ولأن Onplana يديره، فالمسؤولية عن النشر مشتركة، كما يتفق عليه عقد الإدارة. وتذكر Microsoft أن خدمات البيانات والأمان والحافة والذكاء الاصطناعي التي يستخدمها (Azure Database for PostgreSQL وKey Vault وStorage وFront Door وAzure OpenAI) متاحة عمومًا في Azure Government، وAzure Government نفسه مفوَّض بمستوى FedRAMP High وبمستويات DoD IL2 وIL4 وIL5. يُحدَّد النشر في Azure Government ويُسعَّر لكل عميل: تحدث إلينا.
ما لا ندّعيه: تفويض FedRAMP، أو تفويض تشغيل من جهة حكومية، أو مستوى تأثير لـOnplana نفسه.
HIPAA
الخدمة المستضافة: يحتفظ ملف الاحتفاظ HIPAA بالملفات المحذوفة ست سنوات، ويمكن فرض الدخول بعاملين على مستوى المؤسسة كلها، وتنتهي الجلسات الخاملة، وتصدير سجل التدقيق متاح بدءًا من خطة Enterprise.
Enterprise+: مشاريعك وملفاتك وسجل التدقيق في قاعدة بيانات وحساب تخزين داخل اشتراكك.
ما لا ندّعيه: الامتثال لـHIPAA. إن كانت مشاريعك ستحتوي معلومات صحية محمية، فاسألنا قبل إدخالها في Onplana.
ITAR وCMMC
الخدمة المستضافة: الخدمة المستضافة ليست مصممة للبيانات التقنية الخاضعة لضوابط التصدير ولا للمعلومات غير المصنفة الخاضعة للرقابة. أبقِ تلك البيانات خارجها.
Enterprise+: يُبقي Enterprise+ البيانات في اشتراك Azure الخاص بك وفي منطقتك. ويستخدم النشر في Azure Government نماذج Azure OpenAI المتاحة هناك، دون موفر Claude. صف لنا نطاقك في النموذج، ويذكر عرض السعر كيف يدير Onplana النشر داخله.
ما لا ندّعيه: الامتثال لـITAR أو أي مستوى من CMMC.
اللائحة العامة لحماية البيانات (GDPR) وإقامة البيانات
الخدمة المستضافة: تعمل الخدمة المستضافة في منطقة واحدة، West US. تغطي اتفاقية معالجة البيانات عمليات النقل الدولية بالبنود التعاقدية القياسية للاتحاد الأوروبي وملاحق المملكة المتحدة وسويسرا، وكل معالج فرعي مذكور، وملف احتفاظ GDPR وتصدير البيانات متاحان في كل خطة.
Enterprise+: حين يجب أن تبقى البيانات في منطقة تختارها، يعمل Enterprise+ في اشتراك Azure الخاص بك في تلك المنطقة.
ما لا ندّعيه: مفتاح لاختيار منطقة الإقامة في الخدمة المستضافة.
لا شيء يغادر شبكتنا
الخدمة المستضافة: الخدمة المستضافة خدمة سحابية. تستدعي ميزات الذكاء الاصطناعي Anthropic أو Azure OpenAI حين يستخدم أحدهم إحداها، وتذكر صفحة المعالجين الفرعيين كل خدمة تعالج البيانات، ويمكن إيقاف ميزات الذكاء الاصطناعي.
Enterprise+: في Enterprise+ تبقى البيانات في اشتراكك. والخدمات الخارجية التي يستدعيها، مثل موفر الذكاء الاصطناعي، يُتفق عليها ضمن نطاق المشروع، ويمكن إيقاف ميزات الذكاء الاصطناعي.
ما لا ندّعيه: أن لا شيء يغادر شبكتك. يدير Onplana النشر، لذا يصل فريقنا إليه لإدارته وتحديثه.
هل تشتري لمؤسسة خاضعة للتنظيم أو في القطاع العام؟ اسأل عن Enterprise+.
ميزات أمان للمؤسسات
تتضمن خطتا Enterprise وEnterprise+ ميزات أمان إضافية للمؤسسات ذات متطلبات الامتثال الصارمة:
أدلة الإعداد لـMicrosoft Entra: إعداد SSO عبر SAML (بالإنجليزية) · إعداد توفير SCIM (بالإنجليزية). والإعداد نفسه ممكن مع Okta وOneLogin وJumpCloud وPing وأي موفر هوية يدعم RFC 7644 أو SAML 2.0.
بيانات اعتماد OAuth ورموز الجهات الخارجية
كل رموز OAuth للوصول والتحديث (من Google وMicrosoft وBox وDropbox وكل موفر متكامل آخر) مشفرة أثناء التخزين بـAES-256-GCM قبل كتابتها في قاعدة بياناتنا. تُدار مفاتيح التشفير في Azure Key Vault ولا تُحفظ أبدًا بجانب البيانات المشفرة. حين تفصل تكاملًا، يلغي Onplana الرموز فورًا لدى الموفر (إن كان يدعم إلغاء كل رمز) ويعلّم سجل الاتصال على أنه محذوف، ثم يُحذف نهائيًا بعد 30 يومًا.
ممارساتنا الأمنية
تطوير آمن
مراجعات الشيفرة والاختبارات المركزة على الأمان جزء من كل دورة إصدار.
الاستجابة للحوادث
إجراءات موثقة للاستجابة للحوادث مع مستويات خطورة ومسارات تصعيد محددة.
إدارة التبعيات البرمجية
مراقبة تلقائية للثغرات المعروفة في المكتبات الخارجية.
أقل قدر من الوصول
يتبع الوصول الداخلي إلى أنظمة الإنتاج مبدأ أقل الصلاحيات، مع مصادقة متعددة العوامل إلزامية.
التعامل مع البيانات
سياسات صارمة للوصول إلى البيانات والاحتفاظ بها وحذفها. لا بيانات للعملاء على أجهزة التطوير.
مراجعة الأمان، مع الإجابات
أسئلة استبيان أمان الموردين، مع إجاباتنا والصفحة التي تأتي منها كل إجابة. معالجة بيانات الذكاء الاصطناعي أولًا.
معالجة بيانات الذكاء الاصطناعي
- ما موفرو الذكاء الاصطناعي الذين يستخدمهم Onplana؟
- واجهة Claude البرمجية من Anthropic، وخدمة Azure OpenAI من Microsoft. يدير Onplana الاثنين ويقرر أيهما يخدم الطلبات، والآخر احتياطي، مثلًا للتحويل إليه أثناء انقطاع لدى الموفر. المصدر: المعالجون الفرعيون (بالإنجليزية)
- أين تُعالج طلبات الذكاء الاصطناعي؟
- Anthropic في الولايات المتحدة. وAzure OpenAI في بيئة Azure OpenAI الخاصة بـOnplana في منطقة Azure East US 2 (الولايات المتحدة)، دون مشاركة أي بيانات مع OpenAI Inc. المصدر: المعالجون الفرعيون (بالإنجليزية)
- ما البيانات التي تُرسل إلى موفر الذكاء الاصطناعي؟
- نصوص المشاريع، وأوصاف المهام، وأي نص حر يُمرَّر إلى ميزة ذكاء اصطناعي، حين يستخدمها أحدهم: كشف المخاطر، وإنشاء الخطط، وتقارير الحالة، والمحادثة داخل التطبيق. المصدر: المعالجون الفرعيون (بالإنجليزية)
- هل تُستخدم بياناتنا لتدريب نماذج الذكاء الاصطناعي؟
- لا. بيانات المشاريع المرسلة إلى موفر ذكاء اصطناعي لا تُستخدم إلا لإنشاء الرد على ذلك الطلب، ولا تُستخدم أي بيانات للعملاء ولا محتوى المحادثات لتدريب نماذج الذكاء الاصطناعي. المصدر: سياسة الخصوصية، القسم الثالث (بالإنجليزية)
- هل يحتفظ موفر الذكاء الاصطناعي بمطالباتنا؟
- تجري معالجة الذكاء الاصطناعي في الوقت الفعلي، ولا يحتفظ الموفرون بالبيانات بعد مدة الطلب. ووفق سياسة Anthropic، لا تُستخدم مدخلات الواجهة البرمجية للتدريب ولا يُحتفظ بها بعد اكتمال الطلب. المصدر: سياسة الخصوصية، القسم الثالث (بالإنجليزية)
- هل يمكننا استخدام موفر الذكاء الاصطناعي الخاص بنا أو مفتاحنا للواجهة البرمجية؟
- لا. يدير Onplana موفري الذكاء الاصطناعي ويحفظ بيانات اعتمادهما؛ ولا يوجد موفر ذكاء اصطناعي يقدمه العميل. المصدر: سياسة الخصوصية، القسم الثالث (بالإنجليزية)
- هل يمكن إيقاف ميزات الذكاء الاصطناعي؟
- نعم. يمكن إيقاف ميزات الذكاء الاصطناعي في أي وقت دون المساس بالمنصة الأساسية. المصدر: سياسة الخصوصية، القسم الثالث (بالإنجليزية)
- هل يقرأ أحد في Onplana محادثاتنا مع الذكاء الاصطناعي؟
- مع خطة مدفوعة، لا. في الخطط المجانية، قد تمر المحادثات مع مساعد الذكاء الاصطناعي في التطبيق بمراجعة آلية للإجابات الخاطئة وإساءة الاستخدام. وإن رصدت مشكلة، يمكن لعضو في فريق Onplana له صلاحيات مسؤول المنصة رؤية المقتطف، وتبقى كل قراءة في سجل تدقيق داخلي. المصدر: سياسة الخصوصية، القسم الثالث (بالإنجليزية)
- ما ميزات الذكاء الاصطناعي التي تتضمنها كل خطة؟
- محادثة الذكاء الاصطناعي مع سياق المشروع متاحة في جميع الخطط، بما فيها الخطة المجانية؛ وكشف المخاطر بالذكاء الاصطناعي بدءًا من خطة Professional. وكل استخدام للذكاء الاصطناعي يُحتسب من مخصص رموز الذكاء الاصطناعي في الخطة. المصدر: الأسعار
الاستضافة وموقع البيانات
- أين يُستضاف Onplana؟
- على Microsoft Azure، في منطقة West US (الولايات المتحدة): Container Apps وPostgres Flexible Server وRedis وBlob Storage وKey Vault. المصدر: المعالجون الفرعيون (بالإنجليزية)
- هل Onplana متعدد المستأجرين، وكيف يُفصل بين المستأجرين؟
- نعم. كل استعلام مقصور على المؤسسة التي ينتمي إليها ويُتحقق منه مجددًا في البرمجية الوسيطة للطلب، فلا ترى أي مؤسسة بيانات غيرها أبدًا. المصدر: مواد دعم تقييم أثر حماية البيانات (DPIA) (بالإنجليزية)
- هل يمكن أن تبقى بياناتنا في المنطقة أو الاشتراك الذي نختاره؟
- تعمل الخدمة المُدارة في منطقة واحدة. ولإقامة البيانات، فإن Enterprise+ نشر مخصص يُعدّه Onplana ويديره في اشتراك Azure الخاص بك، حيث توجد مفاتيح التشفير أيضًا. المصدر: الأمان
- هل علينا تثبيت أي شيء؟
- لا. Onplana خدمة مستضافة تُستخدم عبر تطبيق الويب، والواجهة البرمجية REST، وخادم MCP لوكلاء الذكاء الاصطناعي، مع تطبيقات اختيارية لسطح المكتب والهاتف والمتصفح لا تتصل إلا بخدمات Onplana. المصدر: مواد دعم تقييم أثر حماية البيانات (DPIA) (بالإنجليزية)
التشفير
- هل البيانات مشفرة أثناء النقل؟
- نعم. TLS 1.2 أو أحدث على كل اتصال، وHTTPS إلزامي على كل نقاط النهاية، واتصالات مشفرة بقاعدة البيانات. المصدر: الأمان
- هل البيانات المخزنة مشفرة؟
- نعم. AES-256 أثناء التخزين في Postgres وBlob Storage وKey Vault. المصدر: مواد دعم تقييم أثر حماية البيانات (DPIA) (بالإنجليزية)
- كيف تُحمى الملفات المخزنة؟
- تُحفظ الملفات في Azure Blob Storage في منطقة West US، مشفرة أثناء التخزين ومنسوخة إلى East US. لا يقبل حساب التخزين أي حركة من الشبكة العامة، ويُوصل إليه عبر نقطة نهاية خاصة، وليس فيه حاويات عامة ولا مفاتيح وصول مشتركة، ويمر كل تنزيل عبر التطبيق بعد تسجيل الدخول. المصدر: الأمان، مستنداتك
- كيف تُحفظ رموز الخدمات المتصلة؟
- رموز OAuth للوصول والتحديث من Google وMicrosoft وBox وDropbox وغيرها مشفرة بـAES-256-GCM قبل كتابتها، والمفاتيح في Azure Key Vault. وعند الفصل تُلغى لدى الموفر إن كان يدعم ذلك، ويُحذف السجل نهائيًا بعد 30 يومًا. المصدر: الأمان
الهوية والوصول
- هل تدعمون تسجيل الدخول الموحد؟
- نعم، SAML 2.0 وOIDC مع التحقق من النطاق، بدءًا من خطة Enterprise. توجد أدلة إعداد لـMicrosoft Entra، ويعمل أي موفر هوية يدعم SAML 2.0. المصدر: الأمان
- هل تدعمون التوفير عبر SCIM؟
- نعم، SCIM 2.0 مع إلغاء التنشيط لكل مستأجر وتسجيل التغييرات، بدءًا من خطة Enterprise. المصدر: الأمان
- هل توجد مصادقة متعددة العوامل؟
- نعم. مصادقة ثنائية بـTOTP مع رموز احتياطية لمرة واحدة عددها 10، في جميع الخطط، بما فيها الخطة المجانية. ويمكن لـOwner أو Admin المؤسسة إعادة ضبط المصادقة الثنائية لعضو. المصدر: الأمان
- هل يمكن قصر الوصول على شبكتنا؟
- نعم، بقائمة عناوين IP المسموح بها، بدءًا من خطة Enterprise. المصدر: الأمان
- كيف تُضبط الأدوار والأذونات؟
- خمسة أدوار مدمجة، ومصفوفة الأذونات بدءًا من خطة Professional، والأدوار المخصصة بدءًا من خطة Business. وحده Owner يستطيع تعديل المصفوفة، ولا يمكن خفض دور آخر Owner، ولا يستطيع Admin إعادة ضبط المصادقة الثنائية لـOwner. المصدر: الأمان
- كيف تُدار الجلسات؟
- إصدارات للرموز المميزة مع تسجيل خروج شامل، وسجل للجلسات يطبّق مهلات عدم النشاط. المصدر: مواد دعم تقييم أثر حماية البيانات (DPIA) (بالإنجليزية)
- كيف تُمنع محاولات الدخول بالقوة الغاشمة؟
- المحاولات الفاشلة المتكررة تفعّل قفلًا، ولمسارات تسجيل الدخول وOAuth والذكاء الاصطناعي وSCIM حدودها الخاصة. المصدر: الأمان
السجلات والمراقبة
- هل يوجد سجل تدقيق ويمكننا تصديره؟
- نعم، بدءًا من خطة Enterprise: سجل تدقيق بالإضافة فقط بالقيم قبل كل تغيير وبعده، قابل للتصدير بصيغة CSV أو JSON مع عوامل تصفية ونطاق زمني. المصدر: الأمان
- هل يمكننا إرسال سجل التدقيق إلى نظام SIEM لدينا؟
- نعم، بدءًا من خطة Enterprise. يستعلم Microsoft Sentinel أو Splunk أو Elastic أو Datadog من واجهة Onplana البرمجية برمز مميز له نطاق واحد يقرأ سجل التدقيق لمؤسستك ولا شيء غيره. يتوفر لـ Sentinel موصل جاهز، وتستخدم الأنظمة الأخرى أداة الاستطلاع REST العامة لديها. المصدر: الوثائق، إرسال سجل التدقيق إلى SIEM (بالإنجليزية)
- هل تُسجَّل أحداث الأمان؟
- نعم. يسجّل تدفق أحداث الأمان تسجيلات الدخول، وتغييرات كلمة المرور، وتغييرات المصادقة الثنائية، ونشاط SCIM، وتعرض مراجعة الوصول حالة المصادقة الثنائية لكل عضو، وآخر تسجيل دخول له، وهل هو غير نشط. المصدر: الأمان
- هل يُسجَّل الوصول إلى الملفات؟
- نعم، بدءًا من خطة Enterprise. عمليات الرفع، والتنزيلات (ومنها ملف قرأه وكيل)، واستعادة الإصدارات، وعمليات حفظ Office في المتصفح، والحذف، والمشاركة وإلغاؤها موجودة في سجل التدقيق، ولكل منها العميل الذي جاء منه. المصدر: الأمان، مستنداتك
الاحتفاظ والحذف والنسخ الاحتياطي
- هل يمكننا تحديد مدة الاحتفاظ بالبيانات؟
- نعم. ستة ملفات احتفاظ (Standard وGDPR وHIPAA وFINRA وSOC 2 وCustom)، يُطبّق الأشد منها على من ينتمي إلى عدة مؤسسات، وتنفذها مهمة حذف يومية. المصدر: الأمان
- ماذا يحدث للعناصر المحذوفة؟
- تذهب إلى سلة المحذوفات ويمكن استردادها لمدة 30 يومًا افتراضيًا؛ ومع ملفي HIPAA وFINRA، يُحتفظ بالملف المحذوف ست سنوات. المصدر: الأمان، مستنداتك
- هل يمكننا تصدير بياناتنا؟
- نعم، في أي وقت ودون أي ارتباط. ويمكن لكل شخص أيضًا تصدير بياناته من الإعدادات، الخصوصية والبيانات. المصدر: مواد دعم تقييم أثر حماية البيانات (DPIA) (بالإنجليزية)
- كيف يُحذف حساب شخص؟
- للحذف الذاتي فترة سماح قدرها 7 يومًا يمكن للشخص إلغاؤه خلالها. بعدها تُجهَّل البيانات في مكانها وتحذفها مهمة الحذف اليومية. المصدر: مواد دعم تقييم أثر حماية البيانات (DPIA) (بالإنجليزية)
- كيف تُجرى النسخ الاحتياطية؟
- نسخ احتياطية يومية مشفرة مع استعادة إلى نقطة زمنية لمدة 7 يومًا في Azure Postgres Flexible Server. وتحتفظ الملفات المخزنة بسجل إصداراتها وتُنسخ إلى منطقة ثانية (East US). المصدر: المعالجون الفرعيون (بالإنجليزية)
المعالجون الفرعيون والعقود
- ما المعالجون الفرعيون الذين يعالجون بياناتنا؟
- الرئيسيون: Microsoft Azure وStripe وAnthropic وAzure OpenAI وSentry وAzure Communication Services وhCaptcha. ولا يتلقى المعالجون الفرعيون للتكاملات، مثل Google وBox وDropbox وGitHub وJira، بيانات إلا حين تربطهم مؤسستك. ويُعلن عن التغييرات المهمة مسبقًا. المصدر: المعالجون الفرعيون (بالإنجليزية)
- هل توقّعون اتفاقية لمعالجة البيانات، وكيف تُغطى عمليات النقل الدولية؟
- نعم. تُرسل الاتفاقية عند الطلب خلال يوم عمل واحد، مع نسخة موقّعة من الطرف المقابل خلال خمسة أيام، وتغطي عمليات النقل بالبنود التعاقدية القياسية للاتحاد الأوروبي، وملحق المملكة المتحدة، والملحق السويسري حيث ينطبق ذلك. المصدر: اتفاقية معالجة البيانات (بالإنجليزية)
عمليات الأمان
- هل لديكم إجراء للاستجابة للحوادث؟
- نعم. إجراءات موثقة للاستجابة للحوادث مع مستويات خطورة ومسارات تصعيد محددة. والإبلاغ عن الاختراقات منصوص عليه في اتفاقية معالجة البيانات. المصدر: الأمان
- كيف تُدار الثغرات؟
- فحص دوري للثغرات، ومراقبة تلقائية للمكتبات الخارجية، ومراجعة للشيفرة مع اختبارات مركزة على الأمان في كل إصدار. المصدر: الأمان
- من في Onplana يستطيع الوصول إلى بيئة الإنتاج؟
- يتبع الوصول الداخلي إلى الإنتاج مبدأ أقل الصلاحيات مع مصادقة متعددة العوامل إلزامية، ولا تُحفظ أي بيانات للعملاء على أجهزة التطوير. المصدر: الأمان
- كيف نبلغ عن ثغرة؟
- بالبريد الإلكتروني إلى support@onplana.com. المصدر: الأمان
- كيف تُفحص الملفات المرفوعة؟
- يُقرأ النوع الحقيقي للملف من محتواه ويُقارن بقائمة الأنواع المسموح بها، مع استبعاد الملفات التنفيذية، حتى 100 ميغابايت لكل ملف. المصدر: الأمان، مستنداتك
- هل خطافات الويب الصادرة موقّعة؟
- نعم، بـHMAC-SHA256، ووجهات خطافات الويب محمية من تزوير الطلبات من جانب الخادم. المصدر: الأمان
الامتثال
- هل لديكم تقرير SOC 2؟
- ليس بعد. SOC 2 ضمن خارطة طريقنا. Onplana مستضاف على Microsoft Azure، وهو مزود سحابي ممتثل لـSOC 2، ويقدم ملف احتفاظ SOC 2. المصدر: الأمان
- هل لدى Onplana تفويض FedRAMP؟
- لا. ليس للخدمة المستضافة أي تفويض FedRAMP ولا تفويض تشغيل من جهة حكومية. ولمن يشتري ويحتاج إلى نطاق خاص به، فإن Enterprise+ نشر مخصص يُعدّه Onplana ويديره في اشتراك Azure الخاص بك، بمسؤولية مشتركة كما يتفق عليه عقد الإدارة. وAzure Government نفسه مفوَّض بمستوى FedRAMP High، والنشر هناك يُحدَّد ويُسعَّر لكل عميل. المصدر: الأمان
- هل يمكن استخدام Onplana لبيانات صحية خاضعة لـHIPAA؟
- لا ندّعي الامتثال لـHIPAA. يحتفظ ملف الاحتفاظ HIPAA بالملفات المحذوفة ست سنوات، ويمكن فرض الدخول بعاملين على مستوى المؤسسة كلها. إن كانت مشاريعك ستحتوي معلومات صحية محمية، فاسألنا قبل إدخالها في Onplana. المصدر: الأمان
- هل يمكن أن يحتوي Onplana بيانات ITAR أو CMMC؟
- الخدمة المستضافة لا: أبقِ خارجها البيانات التقنية الخاضعة لضوابط التصدير والمعلومات غير المصنفة الخاضعة للرقابة. لا ندّعي الامتثال لـITAR ولا أي مستوى من CMMC. ويُبقي Enterprise+ البيانات في اشتراك Azure الخاص بك وفي منطقتك. المصدر: الأمان
- هل يمكن أن يعمل Onplana داخل نطاقنا، دون أن يغادر شيء شبكتنا؟
- يعمل Onplana على Microsoft Azure فقط وليس حزمة تُثبّت. يعمل Enterprise+ في اشتراك Azure الخاص بك، والخدمات الخارجية التي يستدعيها، مثل موفر الذكاء الاصطناعي، يُتفق عليها ضمن نطاق المشروع، ويمكن إيقاف ميزات الذكاء الاصطناعي. يصل فريق Onplana إلى النشر لإدارته وتحديثه، لذا لا ندّعي أن لا شيء يغادر شبكتك. المصدر: الأمان
هل ينقص سؤال من مراجعتك؟ اكتب إلى support@onplana.com، وتُطلب اتفاقية معالجة البيانات من صفحة الاتفاقية (بالإنجليزية).
هل تحتاج Onplana في اشتراك Azure الخاص بك؟ اعرف كيف يعمل Enterprise+.
الإفصاح المسؤول
إن اكتشفت ثغرة أمنية في Onplana، فأبلغنا بها بمسؤولية. نقدّر مساعدتك في الحفاظ على أمان منصتنا ومستخدمينا.
support@onplana.comأسئلة عن الأمان؟
ابدأ من مراجعة الأمان أعلاه. ولما لا تغطيه، يسعدنا أن نجيب عن استبيانك، أو نقدم الوثائق، أو نناقش متطلبات الامتثال لديك.
لجرد ميزة بميزة، اقرأ وثيقتنا Security & Compliance Overview (بالإنجليزية).