المسار الذي تسلكه بياناتك، والأوراق التي تجيزه.

المصادقة متعددة العوامل على أنظمة العملاء

كل عضو في الفريق يتصل ببرنامج محاسبة العميل أو تغذيته البنكية أو مساحة التخزين المشتركة يفعل ذلك خلف مصادقة متعددة العوامل. والوصول بكلمة مرور ذات عامل واحد إلى أنظمة العملاء غير مسموح به بموجب سياسة الوصول الداخلية لدينا، أيًّا كان الدور أو مدة الخدمة.

الدليل: وثيقة السياسة

التحكم في الوصول بأقل الصلاحيات

يُمنح أعضاء الفريق الوصول فقط إلى ملفات العملاء والأنظمة المحددة التي يتطلبها تكليفهم، لا وصولًا شاملًا إلى قاعدة العملاء. ويُراجع الوصول عند انتهاء التكليف أو تغيّر الدور، ويُزال سريعًا بدل تركه مفتوحًا.

الدليل: وثيقة السياسة

لا تخزين محلي لملفات العملاء

يُعمل على بيانات العميل المحاسبية داخل برنامج العميل نفسه (QuickBooks Online أو Xero أو ما يماثلهما) أو في مساحة عمل مشتركة معتمدة، لا تُنزَّل ولا تُحفظ على حاسوب محمول لأحد أعضاء الفريق أو جهاز شخصي. وهذا يحدّ من عدد الأماكن التي قد تصل إليها البيانات المالية للعميل.

الدليل: وثيقة السياسة

اتفاقية عدم إفصاح موقعة من كل موظف

يوقّع كل عضو في الفريق له أي وصول إلى المعلومات المالية للعملاء اتفاقية عدم إفصاح قبل يومه الأول في تكليف، تغطي بيانات العميل تحديدًا، وليس السرية العامة للشركة فقط. وهذا شرط من شروط التوظيف، وليس إضافة اختيارية للحسابات الأكبر.

الدليل: وثيقة السياسة

تشفير القرص الكامل على أجهزة الفريق

تعمل أجهزة اللابتوب المستخدمة للوصول إلى أنظمة محاسبة العملاء بتشفير كامل للقرص، فلا يكشف الجهاز المفقود أو المسروق بيانات عميل مقروءة. هذا شرط أساسي للجهاز قبل منح أي عضو في الفريق حق الوصول إلى أنظمة العملاء، وليس خطوة تعزيز لاحقة.

الدليل: وثيقة السياسة

إجراءات موثقة لمنح وسحب وصول العملاء

يتبع كل تكليف قائمة تحقق مكتوبة لمنح الوصول عند انضمام عضو فريق إلى دفاتر عميل وسحبه عند مغادرته التكليف أو الشركة. وهذا يزيل نمط الفشل الشائع الذي يُنسى فيه ببساطة وصول عضو فريق غادر إلى برنامج محاسبة العميل.

الدليل: وثيقة السياسة

برنامج مكتوب لأمن المعلومات (WISP)

يجري إعداد برنامج مكتوب لأمن المعلومات متوافق مع IRS Publication 4557، يغطي الضمانات الإدارية والتقنية والمادية لبيانات المكلفين والعملاء المالية، قبل التعامل مع أي بيانات لإعداد الإقرارات الضريبية الأمريكية. وسيُنشر ملخص له فور اعتماده، ولن تُعالَج أي بيانات ضريبية أمريكية قبل أن يصبح قائمًا.

قوالب اتفاقيات معالجة البيانات مع SCCs وIDTA

يجري إنهاء البنود التعاقدية القياسية لبيانات العملاء في الاتحاد الأوروبي واتفاقية نقل البيانات الدولية في المملكة المتحدة، كل منهما مقترن بتقييم مخاطر النقل، مع مستشار قانوني، لتغطية النقل عبر الحدود للبيانات المالية للعملاء من المملكة المتحدة والاتحاد الأوروبي. وستُوقَّع ضمن عملية الانضمام للعملاء في تلك المناطق.

سير عمل موافقة Section 7216 للبيانات الضريبية الأمريكية

يجري بناء سير عمل للموافقة الكتابية بالصيغة المطلوبة وفق Revenue Procedure 2013-14، بحيث يوافق كل عميل أمريكي صراحةً، قبل الكشف عن أي معلومات إقرار ضريبي، على استخدام تلك المعلومات ومعالجتها من فريقنا. ولن تُشارَك أي بيانات لدافع ضرائب أمريكي قبل موافقة موقّعة.

تأمين الأخطاء والإغفالات

وثيقة تأمين مهنية للأخطاء والإغفالات تغطي أعمال الاستشارات ودعم الإعداد لدى المنشأة قيد الترتيب. لن ندّعي أن التغطية سارية أو نذكر وثيقة بعينها حتى يتأكد إبرامها وتُحفظ الشهادة في الملف.

تأمين المسؤولية السيبرانية

تجري حاليا ترتيبات وثيقة تأمين مسؤولية سيبرانية تغطي الاستجابة لاختراق بيانات العملاء المالية إلى جانب تغطية الأخطاء والإغفالات لدينا. وكما في تلك الوثيقة، لن ندّعي وجود التغطية حتى يتأكد سريانها.

مراجعة موردي البرمجيات من أطراف ثالثة

تجري صياغة مراجعة موثقة للوضع الأمني لكل مزوّد برمجيات في منظومتنا، QuickBooks Online وXero والتطبيقات المرتبطة، لتصبح قائمة فحص دائمة تُنفَّذ قبل اعتماد أي أداة جديدة لعمل العملاء، بدلاً من تركها للتقدير الفردي.

خطة مكتوبة للاستجابة للحوادث

يجري إعداد إجراء موثق ومختبَر لاكتشاف حادث أمني يمس بيانات العملاء واحتوائه وإبلاغ العملاء به، إلى جانب برنامج أمن المعلومات المكتوب. وسيحدد مواعيد الإبلاغ والمسؤوليات قبل الاعتماد عليه لا بعد وقوع حادث.

فحص SOC 2 النوع الأول

ننوي التعاقد مع مراجع مستقل لفحص SOC 2 النوع الأول متى اكتملت الضوابط الأساسية أعلاه (WISP والاستجابة للحوادث ومراجعة الموردين وإدارة الوصول) وبدأ تشغيلها، لأن تقرير النوع الأول لا قيمة له إلا حين يوجد شيء حقيقي يفحصه المراجع. لا يوجد تقرير SOC 2 اليوم، ولن نستخدم هذه العبارة عن أنفسنا حتى يصدر.

شهادة ISO 27001

شهادة ISO 27001 هدف أطول أمدًا، ولا سيما للعملاء في المملكة المتحدة وأستراليا حيث تحمل وزنًا أكبر في المشتريات، وتأتي بعد اكتمال أعمال الجاهزية لـ SOC 2. لا توجد أي شهادة اليوم، ولا يُفهم من أي ضابط مذكور أعلاه ما يوحي بوجودها حتى تصدر فعلًا.

اختبار اختراق مستقل

يُخطط لاختبار اختراق مستقل من طرف ثالث للأنظمة المواجهة للعملاء والأدوات الداخلية ضمن أعمال الجاهزية لـ SOC 2، للتحقق من ضوابط الوصول والتشفير أعلاه بدل أخذها على الثقة. لم يُجرَ أي اختبار حتى اليوم، ولا نزعم ذلك.