تتيح منصات مثل سلة وزد للتاجر في المملكة فتح متجر احترافي خلال أيام، مع الدفع والشحن وواجهة المتجر جاهزة. ومع هذه السهولة ينتشر فهم خاطئ: أن المنصة تتولى الأمن كله.

والواقع أن المنصة تؤمّن بنيتها التحتية، أما حسابات متجرك وصلاحيات موظفيك والتطبيقات المرتبطة والنطاق والبريد وعلاقتك بعملائك فحمايتها مسؤوليتك. ومعظم الهجمات على المتاجر الإلكترونية تستهدف هذه الأجزاء تحديدًا لأنها أسهل من اختراق المنصة نفسها.

والخطوات العشر التالية مكتوبة لأصحاب المتاجر ومديريها، لا لمتخصصي الأمن.

ما تحميه المنصة وما تحميه أنت #

فكّر في الأمر كمسؤولية مشتركة:

  • المنصة تتولى خوادمها، وبرمجيات المتجر الأساسية، وصفحة الدفع، وتكاملات الدفع التي توفّرها.
  • أنت تتولى من يدخل إلى لوحة التحكم، وما يستطيع كل شخص فعله، والتطبيقات التي تربطها، ونطاقك وبريدك، وحساباتك في وسائل التواصل، والبيانات التي تصدّرها، وطريقة استجابتك عند وقوع مشكلة.

وقد أصدرت الهيئة الوطنية للأمن السيبراني بالتعاون مع مجلس التجارة الإلكترونية الإرشاداتِ السيبرانية للتجارة الإلكترونية: وثيقة لمقدمي الخدمات بمن فيهم صغار التجار والعاملون من المنزل، وأخرى للمستهلكين. والخطوات التالية تسير على النهج نفسه وتحوّله إلى قائمة عملية.

عشر خطوات عملية #

1. أحكم حماية حساب المالك #

حساب المالك يستطيع تغيير بيانات الحساب البنكي وحذف المنتجات ونقل السيطرة إلى غيرك. استخدم كلمة مرور طويلة وفريدة محفوظة في مدير كلمات مرور، وفعّل التحقق بخطوتين حيثما تدعمه المنصة وبريدك ورقم جوالك. ولا تشارك بيانات دخول المالك مع أحد.

2. امنح كل موظف حسابًا خاصًا به #

الحسابات المشتركة تجعل معرفة من فعل ماذا أمرًا مستحيلًا. أنشئ حسابًا مستقلًا لكل موظف أو وكالة، وامنح كلًّا منهم الصلاحيات التي يحتاجها عمله فقط، واحذف الوصول في اليوم نفسه الذي يغادر فيه أحدهم أو ينتهي فيه عقد.

3. احذر من التطبيقات والتكاملات #

متاجر التطبيقات في منصات التجارة الإلكترونية تسهّل إضافة أدوات التقييمات والتسويق والشحن والمحاسبة. وكل تطبيق تثبّته قد يحصل على وصول إلى طلباتك وبيانات عملائك. ثبّت ما تستخدمه فقط، وراجع ما يُسمح لكل تطبيق برؤيته، واحذف ما لم تعد تحتاجه.

4. أبقِ بيانات البطاقات بعيدًا عن يديك #

استخدم خيارات الدفع المتاحة عبر منصتك، ودع العملاء يدفعون من جهة مزوّد الدفع. ولا تطلب من العملاء إرسال أرقام بطاقاتهم عبر واتساب أو البريد أو نموذج خاص. فإبقاء بيانات البطاقات بعيدًا عن أنظمتك هو أبسط طريق للأمان ولتقليص التزاماتك وفق معيار PCI DSS.

5. احمِ اسم النطاق #

إن كنت تستخدم نطاقًا خاصًا، فحسابك لدى مسجّل النطاق لا يقل أهمية عن حساب المتجر. فعّل التحقق بخطوتين هناك، وفعّل قفل النطاق إن كان متاحًا، واجعل التجديد تلقائيًا ببطاقة لن تنتهي صلاحيتها دون انتباه. فخسارة النطاق تعني خسارة المتجر.

6. أمّن بريد العمل #

بريدك يستقبل روابط إعادة تعيين كلمات المرور لكل شيء آخر. احمه بالتحقق بخطوتين، واطلب ممن يدير نطاقك إعداد سجلات SPF وDKIM وDMARC، فهي تصعّب كثيرًا على المحتالين إرسال رسائل مزيفة باسمك إلى العملاء والموردين.

7. توقّع رسائل تصيد موجهة للتجار #

يرسل المهاجمون رسائل تبدو كأنها من المنصة أو مزوّد الدفع أو شركة الشحن، تطلب منك «توثيق الحساب» أو «تأكيد دفعة». لا تسجّل الدخول عبر روابط الرسائل، بل افتح لوحة التحكم من الإشارة المرجعية المحفوظة لديك، وتحقق هاتفيًا من أي طلب غير معتاد.

8. تعامل مع بيانات العملاء بعناية #

الأسماء وأرقام الجوال والعناوين بيانات شخصية يحكمها نظام حماية البيانات الشخصية. لا تصدّر قوائم العملاء إلا عند الحاجة، ولا تحتفظ بجداولها على أجهزة شخصية أو مجلدات مشتركة بلا ضبط، واحذف الملفات المصدّرة بعد انتهاء غرضها.

9. راقب الاحتيال والنشاط غير المعتاد #

راجع الحسابات الجديدة للموظفين، وتغييرات بيانات الحساب البنكي، وأكواد الخصم غير المعتادة، وموجات الطلبات بعناوين غير متطابقة. وكثير من المنصات ترسل تنبيهات عند التغييرات الحساسة، فتأكد أنها تصل إلى بريد يقرؤه أحد فعلًا.

10. جهّز خطة بسيطة للحوادث #

اكتب في صفحة واحدة ما تفعله إن اختُرق المتجر أو أحد الحسابات: بمن تتصل في المنصة، وكيف تغيّر كلمات المرور وتُنهي الجلسات، وكيف تُبلغ العملاء، ومن يتخذ القرار. فالخطة المكتوبة في يوم هادئ أنفع بكثير من الارتجال أثناء الحادثة.

حين تبني خارج المنصة #

كثير من المتاجر النامية تضيف موقعًا خاصًا أو تطبيق جوال أو ربطًا برمجيًا مع نظام تخطيط الموارد أو صفحة تسويقية. وهذه الإضافات خارج حماية المنصة، وفيها تظهر الثغرات الحقيقية غالبًا: صفحات إدارة مكشوفة، وضعف في ضبط الصلاحيات، ومفاتيح مسرّبة. وكل ما هو مخصص يستحق اختبارًا أمنيًا قبل الإطلاق وبعد التغييرات الكبيرة.

فحص ذاتي سريع #

وضعك جيد إن كانت إجابتك «نعم» عن هذه الأسئلة:

  • التحقق بخطوتين مفعّل لحساب المالك والبريد ومسجّل النطاق.
  • لكل موظف ووكالة حساب خاص بصلاحيات محدودة.
  • تعرف أي التطبيقات تستطيع قراءة بيانات عملائك.
  • لا يرسل العملاء بيانات بطاقاتهم أبدًا خارج صفحة الدفع في المنصة.
  • لديك خطة من صفحة واحدة لحالة اختراق حساب.

وإن كانت بعض الإجابات «لا»، فابدأ بالخطوات الثلاث الأولى هذا الأسبوع، فهي تغلق أكثر الطرق شيوعًا لاختراق المتاجر.

اطّلع على الإرشادات السيبرانية للتجارة الإلكترونية وعلى اختبار اختراق تطبيقات الويب.

الأسئلة الشائعة #

هل متجري على سلة أو زد آمن تلقائيًا؟

تؤمّن المنصة بنيتها التحتية وصفحة الدفع. أما حسابات المالك والموظفين والتطبيقات المرتبطة والنطاق والبريد وملفات بيانات العملاء المصدّرة فحمايتها مسؤوليتك.

هل أحتاج إلى PCI DSS إن استخدمت خيارات الدفع في المنصة؟

إذا دفع العملاء عبر مزوّد الدفع في المنصة ولم تمر بيانات البطاقات بأنظمتك، تبقى التزاماتك وفق PCI DSS محدودة. أما جمع بيانات البطاقات بنفسك عبر الرسائل أو النماذج فيرتّب التزامات ومخاطر أكبر بكثير.

ما أهم خطوة أبدأ بها؟

فعّل التحقق بخطوتين لحساب المالك وبريد العمل ومسجّل النطاق، وامنح كل موظف حسابًا خاصًا بصلاحيات محدودة.

هل توجد إرشادات وطنية لأمن المتاجر الإلكترونية؟

نعم. أصدرت الهيئة الوطنية للأمن السيبراني ومجلس التجارة الإلكترونية الإرشاداتِ السيبرانية للتجارة الإلكترونية، بوثيقة لمقدمي الخدمات بمن فيهم صغار التجار والعاملون من المنزل، وأخرى للمستهلكين.

المصادر الرسمية والمراجع #

الوثائق التي تستند إليها هذه الصفحة، بروابط إلى الجهة المصدرة. وحين تُنشر الأنظمة السعودية باللغتين فالنص العربي هو المعتمد.