# برنامج تقييم أمني للتطبيقات

> برنامج تقييم دوري يغطي تطبيقًا موجّهًا للعملاء وواجهاته البرمجية والبيئة السحابية خلفه.

**URL:** https://www.regenbyte.com/ar/work/security-assessment-programme  
**Industry:** تقنيات الخدمات المالية  
**Services:** cybersecurity, cloud-infrastructure, website-maintenance

## Challenge

كانت المراجعات الأمنية تُجرى مرة واحدة سنويًا قبيل التدقيق مباشرةً، وتصل النتائج كقائمة طويلة غير مصنّفة. وكان التطوير يستمر بين المراجعات، فتُدخَل المشكلات وتُكتشف بفارق أشهر طويلة.

## Goals

- الانتقال من تمرين تدقيق سنوي إلى رؤية مستمرة
- ترتيب النتائج بحسب الأثر الفعلي على العمل لا بحسب درجة الأداة
- تزويد المطورين بنتائج يستطيعون إعادة إنتاجها وإصلاحها مباشرةً
- التحقق من أن الإصلاحات عالجت المشكلة فعلًا

## Approach

- **تعاقدات محددة النطاق ومفوّضة:** تبدأ كل دورة بتفويض كتابي ونطاق محدد ونوافذ اختبار متفق عليها.
- **تغطية آلية مع تحقق يدوي:** توفر الأدوات الاتساع، ويؤكد الاختبار اليدوي قابلية الاستغلال ويفحص منطق العمل الذي لا تفهمه أدوات الفحص.
- **ترتيب قائم على المخاطر:** تُقيَّم النتائج باستخدام CVSS ثم يُعاد ترتيبها مقابل الأثر الفعلي على العمل في هذه البيئة.
- **المعالجة وإعادة الاختبار:** تتضمن النتائج خطوات إعادة الإنتاج، وتُختتم كل دورة بإعادة اختبار إصلاحات الدورة السابقة.

## Technology

- OWASP ASVS
- OWASP Top 10
- CVSS
- Cloud configuration review
- Manual application testing

## Security considerations

- لا يُجرى الاختبار إلا بتفويض كتابي من مالك النظام
- تقنيات غير مدمّرة افتراضيًا، مع اعتماد منفصل لأي فحص تدخّلي
- التعامل مع النتائج والأدلة كمواد سرية
- إعادة الاختبار لتأكيد المعالجة قبل إغلاق النتائج

## Outcome

دورة متكررة من تقييم محدد النطاق وتقرير مرتّب بالأولوية ودعم للمعالجة وإعادة اختبار، ليُتابَع الوضع الأمني باستمرار بدل أخذ عينة منه مرة في السنة.

- رؤية مستمرة تحل محل مراجعة سنوية واحدة
- نتائج مرتّبة بحسب الأثر على العمل لا بحسب مخرجات الأداة الخام
- خطوات إعادة إنتاج يستطيع المطورون التصرف بناءً عليها مباشرةً
- معالجة يتم التحقق منها بإعادة اختبار قبل إغلاق النتائج

> **Note:** This record is illustrative. It describes representative work and architecture rather than a named client engagement.