أسئلة الأمان التي تطرحها على مورّد نظام البيع (والأجوبة التي ينبغي أن تقلقك)

نظام نقاط البيع يحمل معلومات أكثر حساسية مما يدرك أغلب التجار: قائمة عملائك كاملة بأرقام هواتفهم، وأسعار تكلفتك ومن ثَمّ هوامشك، وشروط موردينك، وسجلات موظفيك، وكل فاتورة أصدرتها.

وإليك اثني عشر سؤالاً تستحق طرحها على مورّد، مع كيف يبدو الجواب المطمئن.

الوصول والحسابات

1. هل يستطيع كل موظف امتلاك حسابه؟

الجيد: نعم، مستخدمون بلا حد، ولكلٍّ صلاحياته.
المقلق: رسم لكل مستخدم يدفع المحلات نحو الحسابات المشتركة. والحساب المشترك يعني انعدام المساءلة، إلى الأبد.

2. ما مدى دقة الصلاحيات؟

الجيد: صلاحيات منفصلة للخصم والمرتجعات وإشعارات الدائن وتغيير الأسعار ورؤية التقارير ورؤية أسعار التكلفة وإقفال الورديات.
المقلق: «كاشير» و«مدير» كدورين وحيدين.

3. هل يستطيع مدير اعتماد تجاوز دون كتابة كلمة مروره أمام الكاشير؟

الجيد: رقم سري، أو بطاقة، أو اعتماد على جهاز المدير نفسه.
المقلق: كلمة مرور المدير تُكتب عند الصندوق، ما يعني أن كل كاشير سيعرفها في النهاية.

4. هل أستطيع رؤية من فعل ماذا؟

الجيد: سجل تدقيق يغطّي الدخول وتغيير الأسعار وتغيير الصلاحيات والمرتجعات والإلغاءات والتصدير — بالمستخدم والطابع الزمني.
المقلق: «تستطيع رؤية المبيعات حسب الكاشير». فهذا تقرير لا أثر تدقيق.

البيانات نفسها

5. أين تُخزَّن بياناتي، ومن يستطيع الوصول إليها؟

الجيد: جواب واضح عن المنطقة، مع بيان أي من موظفيهم يستطيع الوصول لبيانات العملاء وتحت أي ضوابط.
المقلق: الغموض، أو «مهندسونا يستطيعون الوصول لما يحتاجونه».

6. هل البيانات مشفّرة أثناء النقل وفي التخزين؟

الجيد: نعم، بتفاصيل.
المقلق: «إنه آمن» بلا تفصيل.

7. ماذا يحدث لبيانات البطاقات؟

الجيد: بيانات البطاقة لا تمسّ نظام البيع؛ يتولّاها جهاز الدفع والمعالج. وهذه هي المعمارية الصحيحة.
المقلق: أي إيحاء بأن النظام يخزّن أرقام البطاقات.

8. كيف تُدار النسخ الاحتياطية، وهل اختبرتم استعادة؟

الجيد: آلية ومشفّرة بمدة حفظ معلنة، واستعادة مختبَرة بجدول.
المقلق: ذكر النسخ الاحتياطي دون اختبار الاستعادة قط. فالنسخة التي لم يستعِدها أحد أمنية لا نسخة.

حين تسوء الأمور

9. ما إجراؤكم للإبلاغ عن الاختراق؟

الجيد: إجراء محدّد بجدول زمني، والتزام بإشعار العملاء المتأثرين.
المقلق: لا إجراء، أو «لم يحدث لنا هذا قط».

10. ما تاريخ جاهزيتكم، وأين أراه؟

الجيد: صفحة حالة بسجل تاريخي.
المقلق: رقم في عقد بلا وسيلة للتحقّق منه.

خصوصيات سعودية

11. كيف تتعاملون مع البيانات الشخصية تحت نظام حماية البيانات الشخصية؟

قائمة عملائك بيانات شخصية. وأنت جهة التحكّم؛ والمورّد على الأرجح جهة معالجة. وتحتاج معرفة:

• ماذا يفعلون بها
• هل يستخدمونها لغير تقديم الخدمة لك
• كيف يُعالَج طلب حذف من عميل
• ماذا يحدث لها حين تغادر

الجيد: أجوبة واضحة واتفاقية معالجة بيانات.
المقلق: اضطرارك لشرح ما هو نظام حماية البيانات.

12. هل أستطيع تصدير كل شيء، وحذف كل شيء؟

الجيد: التصدير ذاتي ومشمول؛ والحذف عند الإنهاء محدّد بجدول.
المقلق: التصدير خدمة مدفوعة، أو الحذف غير محدّد.

الأجوبة التي ينبغي أن تُنهي المحادثة

• «لا نقدّم حسابات فردية، الجميع يستخدم حساب المحل.»
• «النظام يخزّن رقم البطاقة للمرتجعات.»
• «لا تستطيع تصدير البيانات، لكن تستطيع رؤيتها في أي وقت.»
• «لم نضطر للتفكير في ذلك قط.»

ما نفعله نحن

حسابات لكل مستخدم بصلاحيات دقيقة وسجل نشاط إداري؛ وبيانات البطاقات يتولّاها مزوّد الدفع ولا تُخزَّن في النظام أبداً؛ والتصدير ذاتي ومشمول؛ ومسار حذف محدّد — وهناكصفحة طلب حذف بيانات لهذا بالضبط؛ وسياسة خصوصية تقول ما نحتفظ به ولماذا.

اطرح علينا هذه الاثني عشر. واطرحها على الجميع.