الانتقال إلى المحتوى الرئيسي
تحتفظ OTO بسجلات الطلبات وعناوين المستلمين وأرقام جوالاتهم وطرق الدفع نيابةً عن عملائها في ثلاث أسواق. وكل ما في هذه الصفحة موجود لأن هذه البيانات ليست ملكنا، بل ملكك أنت وملك عملائك.

​
أين تقف OTO؟

لماذا ISO 27001 وSOC 2 معًا، ولماذا يهم الفرق بينهما؟الشهادتان لا تكرر إحداهما الأخرى، ومن يعرف الفرق سيطلب الاثنتين. فشهادة ISO 27001 تعتمد النظام: أن لدى OTO طريقة محددة لتحديد المخاطر واختيار الضوابط وتحسينها، وأن جهة معتمدة قد فحصتها. أما تقرير SOC 2 Type II فيقدّم الدليل: أن ضوابط بعينها لم تكن موجودة على الورق فقط، بل عملت بفعالية على مدى أشهر من النشاط الفعلي.تقرير Type I يقول إن الضوابط كانت مصممة بشكل صحيح يوم فحصها أحدهم. أما Type II فيقول إنها صمدت. وهذا الفرق هو سبب طلب إدارات المشتريات في الشركات الكبرى لتقرير Type II بالاسم، وهو ما تحمله OTO.

​
أين تُحفظ بياناتك؟

موقع حفظ البيانات قرار يُتخذ عند الإعداد، لا خاصية ثابتة في المنصة. الاستضافة داخل المملكة متاحة للعملاء الذين يفرض وضعهم التنظيمي أو قاعدة عملائهم أو سياسة المشتريات لديهم بقاء البيانات السعودية داخل المملكة العربية السعودية، فيما تعمل عمليات النشر الأخرى خارج المملكة حين يكون ذلك أنسب.
حدِّد موقع حفظ البيانات قبل التعاقد لا بعدهترتيب موقع حفظ البيانات سهل في بداية الإعداد، ومكلف تغييره بعد أن تتراكم بيانات تاريخية وتُوجَّه عمليات الربط إلى بيئة بعينها.إذا كانت الاستضافة داخل المملكة شرطًا لا تفضيلًا (وهي غالبًا كذلك للجهات القريبة من القطاع الحكومي والقطاعات الخاضعة للتنظيم)، فاطرحها خلال مرحلة التقييم حتى تُجهَّز البيئة بالشكل الصحيح من المرة الأولى.

​
من يمكنه الدخول؟

​
كيف تعمل بيانات الاعتماد؟

تعتمد API عن قصد نموذجًا من رمزين. الرمز الدائم refresh_token، الذي يُصدر من لوحة التحكم، لا يفعل سوى شيء واحد: الحصول على رمز access_token قصير الأجل. ينتهي رمز الوصول هذا بعد ساعة واحدة، وتحمله جميع الاستدعاءات الأخرى بوصفه bearer token.
الرموز قصيرة الأجل تحدّ من حجم الضررالغاية من هذا الفصل هي ما يحدث عند تسرّب شيء ما. فرمز الوصول المُلتقَط لا ينفع المهاجم إلا ساعة على الأكثر، ثم يصبح بلا قيمة.ولهذا يستحق الرمز الدائم العناية نفسها التي تمنحها لكلمة المرور: احفظه في مدير أسرار أو متغير بيئة، ولا تضعه أبدًا في مستودع شيفرة أو حزمة تطبيق جوال أو تذكرة دعم أو لقطة شاشة. فهو بيانات الاعتماد الوحيدة التي لا تنتهي صلاحيتها من تلقاء نفسها.

​
كيف تُحمى البيانات؟

​
كيف يُختبر الأمان؟

برنامج مكافآت الثغرات موقف من الأمان، لا مجرد بند في الميزانيةتشغيل برنامج كهذا يعني التسليم بأن أطرافًا خارجية ستجد ثغرات، وبناء العملية التي تفرزها وتصلحها بسرعة. والمؤسسات غير الواثقة من شيفرتها لا تدعو الغرباء إلى فحصها.

​
ضوابط مكافحة الاحتيال

في سوق يُعد فيها الدفع عند الاستلام أمرًا معتادًا، يصبح الاحتيال تكلفة تشغيلية لا حالة استثنائية. ولدى OTO آليات لرصد الأنماط المهمة في هذه السوق، ومنها تنقّل المستهلكين بين عناوين متعددة، وإساءة استخدام حذف الحساب للتخلص من سجل سابق. أما الضوابط المرتبطة بها من جهتك فتجدها في فحوصات ما قبل تجهيز الطلب: القائمة السوداء، وتأكيد طلبات الدفع عند الاستلام، والتحقق من طريقة الدفع قبل السماح للطلب باستهلاك المخزون.

​
ما المطلوب منك؟

أمان المنصة مسؤولية OTO. أما أمان طريقة استخدامك لها فمسؤولية مشتركة، وهذه أهم أربعة أمور فيها.

​
طلب الوثائق

شهادة ISO 27001 وتقرير SOC 2 Type II وملخصات اختبارات الاختراق متاحة لعملائنا وللعملاء المحتملين في مرحلة التقييم. ويُشارك التقرير بموجب اتفاقية عدم إفصاح (NDA) كما هو معتاد. تواصل مع مدير حسابك، أو راسلنا على support@tryoto.com، واذكر النظام أو الاستبيان الذي تعمل وفقه حتى تصلك الوثائق الصحيحة من المرة الأولى.

​
صفحات ذات صلة