قائمة التدقيق الأمني السيبراني من 20 نقطة والسيادة الرقمية للمؤسسات
مصفوفة المعايير والمؤشرات
المتطلبات الهندسية الأساسية
- ›حظر فتح أي منافذ إدارة على شبكة الإنترنت المفتوحة: يجب أن تمر كافة عمليات الإدارة عبر شبكة WireGuard VPN مع مصادقة mTLS.
- ›يلزم تشفير البيانات المخزنة بتقنية AES-256-GCM بمفاتيح مستقلة لكل مؤسسة مستضافة داخل مراكز بيانات سيادية بالمغرب.
- ›يجب تشغيل حاويات البرمجيات في الإنتاج بصلاحيات مستخدم عادي غير جذري (Rootless) مع أنظمة ملفات للقراءة فقط.
- ›تأمين خطوط SIP الهاتفية بحصر الاتصال الصارم بعناوين IP الخاصة بمشغل الاتصالات لمنع اختراق المكالمات والاحتيال الهاتفي.
1. حماية محيط الشبكة والدفاع الرقمي: 5 ضوابط أساسية
يجب أن تطبق الشبكة المحيطية لأنظمة الاتصالات والذكاء الاصطناعي معيار انعدام الثقة (Zero-Trust) مع الرفض الافتراضي لكافة الاتصالات. الضابط 1: حظر جميع الاتصالات الواردة افتراضياً عبر جدار ناري `nftables`. الضابط 2: منع أي منفذ SSH خارجي وحصر الإدارة عبر نفق WireGuard VPN مشفر بشهادات mTLS. الضابط 3: حصر الاتصال الهاتفي بعناوين IP المعتمدة لشركات الاتصالات المغربية. الضابط 4: تحديد سقف لطلبات SIP INVITE عبر Kamailio لمنع هجمات حجب الخدمة (DDoS). الضابط 5: عزل خوادم الصوت تماماً عن قواعد البيانات الداخلية.
# Production Linux nftables Default-Deny Firewall Configuration (/etc/nftables.conf)
table inet filter {
chain input {
type filter hook input priority 0; policy drop;
# Allow established and related connections
ct state established,related accept
# Loopback interface
iif "lo" accept
# WireGuard VPN administration port only
udp dport 51820 accept
# SIP Signaling & Media strictly from Carrier SBC Whitelist
ip saddr { 196.200.0.0/19, 105.159.0.0/18 } udp dport { 5060, 5061, 10000-20000 } accept
# Log and drop everything else
log prefix "SECURITY_DROP: " drop
}
}2. السيادة على البيانات والمعايير المشفرة: 5 ضوابط للتخزين
يتطلب أمن التخزين فصلاً مشفراً شاملاً للبيانات. الضابط 6: تشفير شامل للأقراص الصلبة (LUKS2) بتقنية AES-256-XTS على كافة الخوادم. الضابط 7: تشفير حقول البيانات الشخصية في قاعدة البيانات (pgcrypto) لأرقام الهواتف وبطاقات الهوية. الضابط 8: معالجة الصوت في الذاكرة المؤقتة (RAM) ومسحها فور انتهاء المكالمة ما لم يعط المتصل موافقة صريحة. الضابط 9: نسخ احتياطي يومي مشفر بمفاتيح GPG ومحفوظ في مراكز بيانات سيادية Tier-III داخل المغرب. الضابط 10: حجب تلقائي وفوري للمعطيات الشخصية في سجلات النصوص المستخرجة.
3. تحصين التطبيقات والخوادم: 5 ضوابط لتشغيل البرمجيات
يضمن تحصين بيئة التشغيل منع اختراق الحاويات البرمجية ورفع الصلاحيات غير المشروع. الضابط 11: تشغيل كافة الحاويات بحسابات مستخدمين عادية غير جذرية (`user: 10001:10001`). الضابط 12: فرض نظام ملفات للقراءة فقط (`read_only: true`) مع الاعتماد على مجلدات tmpfs المؤقتة. الضابط 13: إلغاء كافة صلاحيات لينكس (`cap_drop: [ALL]`) وحصرها في أدنى متطلب للربط الشبكي. الضابط 14: تقييد أوامر النظام عبر ملفات AppArmor و seccomp. الضابط 15: منع تخزين كلمات المرور كنصوص في ملفات البرمجة وحقنها عبر منصات آمنة مثل HashiCorp Vault.
4. الحكامة وسجلات التدقيق والاستجابة للحوادث: 5 ضوابط للمراقبة والتتبع
تعد الشفافية والقدرة على تتبع العمليات شرطاً إلزامياً للامتثال القانوني. الضابط 16: سجلات تدقيق غير قابلة للتعديل بربط مشفر تتابعي (SHA-256). الضابط 17: تنبيهات فورية عبر Prometheus/Grafana عند رصد أي ارتفاع غير طبيعي في حركة المكالمات. الضابط 18: اشتراط موافقة مسؤولين اثنين على أي طلب لتصدير بيانات من خوادم الإنتاج. الضابط 19: زر طوارئ آلي لفصل الربط الهاتفي مع المشغل في أقل من ثانيتين عند رصد اختراق مؤكد. الضابط 20: إجراء اختبار اختراق سنوي مستقل والحصول على شهادة الامتثال لقانون CNDP 09-08.
| مجال الأمان | أمر التدقيق / المستند التقني | درجة الخطورة | معيار النجاح والتأكيد |
|---|---|---|---|
| محيط الشبكة | nmap -sS -p- <عنوان الخادم> | حرج جداً (P0) | حظر تام لكافة المنافذ باستثناء نفق WireGuard |
| أمن النقل المشفر | testssl.sh sip.vext.ma:5061 | حرج جداً (P0) | درجة A+ (بروتوكول TLS 1.3 مع SRTP) |
| تحصين الخوادم | apparmor_status && docker ps --quiet | مرتفع (P1) | تشغيل كافة الحاويات دون صلاحيات جذرية |
| تخزين قواعد البيانات | SELECT * FROM pg_tables WHERE schemaname='public' | مرتفع (P1) | تشفير شامل لكافة حقول المعطيات الشخصية |
| نزاهة سجلات التدقيق | vext-verify-audit-chain /var/log/audit.log | حرج جداً (P0) | تطابق كامل لسلسلة بصمات SHA-256 دون أي فجوة |
الأسئلة التقنية الشائعة
هل تحتاج لاستشارة هندسية حول هذه المواصفات؟
تحدث مباشرة مع مهندسي النظم لدينا بالدار البيضاء.