دليل
تدقيق أم فحص ثغرات أم اختبار اختراق: ماذا تطلبون
يسرد الفحص الآلي الثغرات المحتملة، ويصنّفها التدقيق ويحدد ما يجب تصحيحه، ويثبت اختبار الاختراق ما يمكن للمهاجم فعله بها. إليكم تعريفات ANSSI، وما يجب أن يتضمنه التقرير، وما تفرضه فعلاً RGPD (اللائحة الأوروبية لحماية البيانات) وISO 27001.
آخر تحديث في 18 أكتوبر 2026 · الأرقام موثّقة المصدر في أسفل الصفحة، والتقييمات هي تقييمات IT CyberWall.
ثلاث خدمات يُخلَط بينها
| الخدمة | ما تقوم به | ما تتسلمونه |
|---|---|---|
| فحص الثغرات | أداة تستعلم تلقائياً أجهزتكم وتقارن ما تراه بقاعدة بيانات للثغرات المعروفة. | قائمة بالثغرات المحتملة، غالباً طويلة، يجب فرزها. |
| التدقيق الأمني | مدققون يفحصون بنيتكم، وإعداداتكم، وشيفرتكم البرمجية، أو تنظيمكم. | تقرير يصنّف الثغرات ويحدد ما يجب تصحيحه أولاً. |
| اختبار الاختراق | مدققون يتقمصون دور المهاجم ويتحققون من أن الثغرة قابلة للاستغلال فعلاً، وبأي أثر[1]. | الدليل على ما يمكن للمهاجم فعله، خطوة بخطوة. |
أنواع التدقيق الخمسة حسب ANSSI
يميّز مرجع مزوّدي خدمات التدقيق المؤهَّلين (PASSI) بين خمسة أنشطة[1]:
- تدقيق البنية: اختيار المعدات ومواضعها، والروابط مع الإنترنت ومع شبكات الأطراف الثالثة.
- تدقيق الإعدادات: إعدادات معدات الشبكة والأنظمة والتطبيقات ومنتجات الأمن.
- تدقيق الشيفرة المصدرية: الثغرات الموجودة في شيفرة التطبيق.
- اختبار الاختراق: استغلال الثغرات في ظروف هجوم حقيقية.
- التدقيق التنظيمي والمادي: الحوكمة، والإجراءات، وأمن المباني.
ما يجب أن يتضمنه التقرير
يحدد مرجع PASSI محتوى تقرير التدقيق[1]. وهو معيار جيد للحكم على أي تقرير:
- ملخص مفهوم لغير المتخصصين: السياق، والنطاق، والثغرات الحرجة، وتقييم مستوى الأمن؛
- جدول بالثغرات مصنّفة حسب أثرها وسهولة استغلالها؛
- توصيات مرتبطة بكل ثغرة، مصنّفة حسب درجة الخطورة والتكلفة؛
- بالنسبة لاختبار الاختراق، مجريات الاختبار والمنهجية المتبعة؛
- الحدود: ما لم يتسنَّ تغطيته، والمراحل التي أُنجزت بأدوات آلية.
التقرير الذي لا يعدو أن يكون مخرجات أداة، دون ملخص ولا أولويات، لن يساعدكم على اتخاذ القرار.
ما يفرضه القانون، وما لا يفرضه
- تشترط RGPD (اللائحة الأوروبية لحماية البيانات)، بالنسبة لمعالجة البيانات الشخصية، « إجراءً يهدف إلى الاختبار والتحليل والتقييم المنتظم لفعالية التدابير » الأمنية (المادة 32)، بمستوى يتناسب مع المخاطر[2]. ولا تفرض بالاسم تدقيقاً أو اختبار اختراق: الأمر متروك لكم لاختيار إجراء متناسب.
- معيار ISO/IEC 27001 معيار اختياري: المقاولة نفسها هي التي تقرر الحصول على الشهادة[3]. وهو ليس التزاماً قانونياً، حتى وإن كان بإمكان العميل اشتراطه بموجب العقد.
- تأهيل PASSI ليس إلزامياً إلا عندما يشترطه نص أو عقد. ويمكن التحقق منه على موقع ANSSI.
إذن كتابي دائماً
يتمثل اختبار الاختراق في مهاجمة الأنظمة: لذلك لا يتم إلا بموافقة كتابية من مالكها. وينص مرجع PASSI على اتفاقية موقّعة قبل التدقيق، وبالنسبة لاختبار الاختراق، على استمارة إذن يوقّعها الآمر بالتدقيق والجهة المدقَّقة والأطراف الثالثة المعنية (مستضيفكم مثلاً)، تحدد الأهداف والتواريخ والأوقات[1].
ماذا تطلبون؟
| وضعيتكم | ما يناسبكم |
|---|---|
| لا تعرفون أين تقفون | تدقيق للبنية والإعدادات، مع ملخص للإدارة. |
| تريدون متابعة التطور عبر الزمن | فحص منتظم، كمكمّل للتدقيق، وليس بديلاً عنه أبداً. |
| موقع أو تطبيق مكشوف على الإنترنت | اختبار اختراق على هذا النطاق. |
| عميل أو طلب عروض يشترط دليلاً | اقرؤوا الشرط جيداً: تأهيل PASSI، وشهادة ISO 27001، ومجرد تقرير تدقيق، ليست الشيء نفسه. |
تدقيقاتنا موضحة في صفحة التدقيق الأمني.
لا تعرفون ماذا تطلبون؟
صِفوا سياقكم وما يُطلب منكم: نخبركم بنوع التدقيق المناسب.
المصادر
تمت مراجعة المصادر في 18 أكتوبر 2026. أسعار المزوّدين مبيّنة دون احتساب الضريبة، بعملة ومنطقة جدول الأسعار المنشور، وقد تتغير: تحقّقوا دائماً من الصفحة الرسمية قبل اتخاذ القرار.
- ANSSI – Prestataires d’audit de la sécurité des systèmes d’information (PASSI), référentiel d’exigences v2.1-a (1 سبتمبر 2023) — cyber.gouv.fr/sites/default/files/document/R%C3%A9f%C3%A9rentiel%20PASSI%20%E2%80%93%20version%202.1-a%20%E2%80%93%20sans%20marque%20de%20r%C3%A9vision.pdf
- CNIL – Règlement européen sur la protection des données, chapitre 4 (article 32) — www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4
- ISO – ISO/IEC 27001, Information security management systems — www.iso.org/isoiec-27001-information-security.html