تقييم شركة تطوير لمشروع مؤسسي: الحوكمة والأمن والتكامل قبل السعر

شركة بنت تطبيقات ناجحة للمستهلكين قد تتعثر في أول أسبوع من مشروع مؤسسي. ليس لأن فريقها ضعيف، بل لأن المشروع المؤسسي يطلب أشياء لم تواجهها: فريق أمن يرفض الإطلاق قبل وثيقة معمارية أمنية، وموظفون يجب أن يدخلوا بحساباتهم في المؤسسة وأن يُقطع وصولهم يوم مغادرتهم، ونظام ERP لا يملك بيئة اختبار، ولجنة مشروع تعتمد كل مرحلة، وتطبيق يجب ألا يظهر في المتجر العام. هذا نموذج تقييم لمدير التقنية والمشتريات والإدارة التنفيذية، يختبر قدرة الشركة على هذه الأعباء قبل أن تصل إلى السعر.

النموذج على مرحلتين. أولًا شروط مانعة تُجاب بنعم أو لا، ومن لا يجتازها لا يُكمل التقييم مهما كان عرضه. ثم درجات من 0 إلى 5 لكل محور، تُمنح على الدليل لا على الوصف.

مثال افتراضي للتوضيح الأوزان في العمود الأخير نقطة بداية لمشروع يرتبط بـ ERP ويخدم موظفين في أكثر من إدارة، وتعدّلها لجنتك بحسب مخاطر مشروعها قبل أن تلتقي بأي شركة.

الأقسام الخمسة التالية تفصّل كل محور: الأسئلة التي تطرحها، والدليل الذي يستحق الدرجة العالية، والإجابة التي تنذر بمشكلة.

فريق الأمن في مؤسستك لن يقبل «نهتم بالأمن». سيطلب وثائق، وسيفحص قبل الإطلاق، وقد يرفض التشغيل إن وجد ملاحظات حرجة. المزود الذي لم يجهز لذلك من التصميم سيؤخر الإطلاق أسابيع أو أكثر وهو يعالج ما كان يمكن تجنبه.

• وثيقة المعمارية الأمنية وتدفق البيانات: اطلب نموذجًا من مشروع سابق بعد حذف ما يخص العميل. هل يظهر فيها أين تُخزن كل فئة بيانات، وكيف تنتقل، ومن يصل إليها؟
• مصفوفة الصلاحيات: كيف تُبنى صلاحيات حسب الإدارة والفرع والمنصب، وكيف تتغير تلقائيًا حين ينتقل موظف من إدارة إلى أخرى؟
• سجل التدقيق: ما العمليات التي تُسجل، وهل السجل غير قابل للتعديل، وكم يُحتفظ به؟ الإجابة الجيدة تسأل عن سياستكم لا تفرض رقمًا.
• الأسرار والمفاتيح: أين تُحفظ مفاتيح الربط مع ERP؟ الإجابة المقلقة «في ملف الإعدادات».
• وصول فريق المزود: هل يعمل مطوروه بحسابات مسماة بصلاحيات محدودة على بيئاتكم، أم بحساب مشترك؟ وكيف يُسحب الوصول عند انتهاء العقد؟
• ملاحظات الفحص الأمني: كيف تعاملوا مع تقرير فحص اختراق في مشروع سابق؟ اطلب وصف الترتيب: الحرجة أولًا، ثم إعادة الفحص.
• البيانات الشخصية: كيف يتعاملون مع بيانات الموظفين والعملاء في بيئات الاختبار؟ إن كانت بيانات حقيقية منسوخة من الإنتاج، فهذه ملاحظة جوهرية في ضوء نظام حماية البيانات الشخصية.

المزود لا يحدد لك الضوابط التي تنطبق على مؤسستك؛ هذا دور فريق الأمن لديك. ما تقيّمه هو قدرته على البناء وفقها وتقديم الأدلة عليها. ما نبنيه في هذه الطبقات، من الدخول والصلاحيات إلى الأسرار والرصد، مفصل في صفحة أمن التطبيقات.

البيئات والنشر وإدارة الأجهزة

تطبيق الموظفين لا يُنشر عادة في المتجر العام. Apple تتيح توزيع التطبيقات المخصصة لمنشآت محددة عبر Apple Business Manager، وGoogle تتيح التطبيقات الخاصة عبر Managed Google Play. اسأل المزود: هل وزعتم تطبيقًا بهذه الطريقة؟ وكيف يتوافق التطبيق مع نظام إدارة الأجهزة لديكم في التثبيت والتحديث والمسح عند فقد الجهاز؟

واسأل عن البيئات: كم بيئة يقترحون (تطوير، واختبار، وما قبل الإنتاج، وإنتاج)؟ وكيف يصل الإصدار من الكود إلى الإنتاج؟ وكيف يتراجعون عن إصدار سبب عطلًا؟ وإن كانت سياسة بياناتكم تفرض الاستضافة على خوادمكم دون اتصال خارجي، فكيف ستصل التحديثات: حزم موثقة يطبقها فريقكم، أم وصول عن بعد تحتاجون إلى اعتماده؟

نقل المعرفة والاستمرارية

النظام المؤسسي يعيش سنوات، وغالبًا أطول من عقد المزود. التقييم هنا يسأل سؤالًا واحدًا: لو انتهى العقد غدًا، هل يستطيع فريقكم تشغيل النظام؟ الدليل الذي يستحق الدرجة العالية:

• مستودع باسم مؤسستكم من اليوم الأول، لا «عند التسليم».
• نموذج لدليل تشغيل من مشروع سابق: النشر، والنسخ، والاستعادة، ومعالجة الأعطال الشائعة.
• خطة نقل معرفة بمعيار نجاح: أن ينشر فريقكم إصدارًا، ويستعيد نسخة، ويعالج عطلًا، بمتابعة المزود لا بتنفيذه.
• قبول مشاركة مطور أو أكثر من فريقكم في العمل أثناء التطوير، لا بعده فقط.

مثال افتراضي للتوضيح مؤسسة بثلاث إدارات وعدة فروع تريد تطبيقًا لطلبات الشراء والموافقات، بدخول موحد عبر مزود الهوية لديها، وربط مع ERP لترحيل الطلبات المعتمدة، واستضافة على خوادمها. تقدمت شركتان واجتازتا الشروط المانعة. الدرجات من 5، والدرجة الموزونة بأوزان النموذج بين قوسين.

لو قُرر بالانطباع لفازت (أ) على الأرجح، لأن عرضها التقديمي عن التوزيع الخاص وإدارة الأجهزة كان الأكثر إقناعًا، وتطبيقاتها المعروضة الأجمل. لكن المحورين الأثقل في هذا المشروع هما الأمن والتكامل، وهناك تقدمت (ب). وضعف (ب) في المحور الرابع ليس مانعًا؛ اللجنة تسجله مخاطرة وتطلب خطة مكتوبة له. الآن فقط تُفتح العروض المالية، وإن كانت (أ) أرخص بفارق كبير، فالسؤال: كم سيكلف تأخر الإطلاق عند الفحص الأمني، أو تكامل يفقد طلبات بصمت؟ ومنح الدرجات بين أعضاء اللجنة وتوحيدها مفصل في مقالة تقييم العروض الفنية لمشروع تطبيق.

جهّز داخل المؤسسة

• لجنة التقييم: مدير التقنية، وممثل الأمن، وممثل الإدارة المستخدمة، والمشتريات، ومالك نظام ERP إن أمكن.
• الأوزان والشروط المانعة مكتوبة ومعتمدة قبل أول اجتماع.
• قائمة الأنظمة المطلوب ربطها بأسمائها وإصداراتها، ومن يملك كل منها، وهل يوجد توثيق وبيئة اختبار.
• مزود الهوية المستخدم لحسابات الموظفين، ونظام إدارة الأجهزة إن وجد.
• الضوابط الأمنية التي تطبقها المؤسسة، وسياسة الاستضافة وتصنيف البيانات.
• تدفق تكامل وسيناريو صلاحيات حقيقيان لورشة الإثبات.

اطلب من كل شركة متأهلة

• توقيع اتفاقية السرية قبل الاطلاع على تفاصيل الأنظمة.
• نموذج وثيقة معمارية أمنية ووثيقة ربط ودليل تشغيل من مشاريع سابقة، بعد حذف ما يخص العملاء.
• مصفوفة مسؤوليات مقترحة ونموذج تقرير للجنة المشروع.
• خطة البيئات والنشر والتوزيع الخاص، وطريقة التحديث إن كانت الاستضافة داخلية.
• خطة نقل معرفة بمعيار نجاح، وموقفها من مشاركة مطوريكم أثناء التطوير.
• حضور ورشة الإثبات بمهندسين سيعملون على المشروع، وقائمة أسئلتها عن أنظمتكم بعدها.
• مرجعًا من مشروع مؤسسي مرتبط بأنظمة داخلية، للمرشحين النهائيين.