المنهجية

معايير يستطيع المراجع أن يقيس تقريرك عليها.

نختبر وفق معايير معروفة ومعتمدة. هذا ما يجعل النتائج قابلة للإثبات حين يسألك المراجع كيف تم التقييم.

المعيار	أين نستخدمه
OWASP WSTG	اختبار تطبيقات الويب
OWASP MASTG	اختبار تطبيقات الجوال
OWASP API Security Top 10	اختبار الواجهات البرمجية
OWASP ASVS	متطلبات التطوير الآمن
PTES	ترتيب مراحل العمل
NIST SP 800-115	منهجية التقييم التقني
CIS Controls	معايير تحصين البنية التحتية
PCI DSS Req. 11.4	اختبار بيئة المدفوعات وفصل الشبكات

نصنّف الثغرات بـ CVSS v3.1، مع تعديل درجة الخطورة حسب إمكانية استغلالها فعلياً في بيئتك، لا حسب الدرجة الأساسية وحدها.

كيف يسير العمل

سبع خطوات من أول مكالمة إلى التقرير النظيف الذي تقدّمه.

١

مكالمة تحديد النطاق

نتفق على ما سيُختبر، والغرض من التقرير، ومن سيراجعه. الجهة الطالبة هي التي تحدد شكل العمل كله.
٢

التفويض وقواعد العمل

نطاق مكتوب، وتفويض اختبار موقّع، وأوقات متفق عليها، وأرقام للطوارئ. لا نبدأ قبل إذن موثّق.
٣

الاستطلاع

نرسم سطح الهجوم كاملاً. وكثيراً ما نجد خدمات مكشوفة لم يكن العميل يعرف أنها مفتوحة.
٤

الاختبار

فحص آلي للتغطية الواسعة، واختبار يدوي للعمق. والثغرات الحرجة نبلّغك بها فوراً، لا ننتظر التقرير النهائي.
٥

التقرير

توثيق كامل خلال ⟨٥⟩ أيام عمل، ثم مكالمة شرح مع فريقك التقني.
٦

فترة الإصلاح

فريقك يصلح ونحن ندعم، مع تواصل مباشر مع المختبِر الذي اكتشف كل ثغرة.
٧

إعادة الاختبار والتقرير النهائي

نتحقق من كل إصلاح، وتستلم التقرير النظيف الجاهز للتقديم.

كل تقييم يُسلَّم كحزمة أدلة كاملة، لا كمخرجات أداة فحص عليها شعار.

ملخص تنفيذي

وضع المخاطر بلغة واضحة لمن سيعتمد التقرير، مع بيان صريح بعدد الثغرات المفتوحة ودرجة خطورتها.
تقرير النتائج التقني

كل ثغرة بتصنيف CVSS v3.1، وأثرها على العمل، والأجزاء المتأثرة، ودليل عملي، وخطوات إعادتها.
خطة الإصلاح

خطوات محددة مرتبة حسب الأولوية، مكتوبة للمطور الذي سينفذها.
بيان النطاق والمنهجية

كل رابط وعنوان IP ونقطة نهاية وإصدار تطبيق تم اختباره، وتواريخ الاختبار، والمعايير المتبعة، والأدوات المستخدمة.
مؤهلات المختبِر وبيان الاستقلالية

الشهادات المهنية وإقرار موقّع بالاستقلالية. هذا أول ما يتحقق منه مراجع الامتثال.
تقرير إعادة الاختبار

إثبات أن كل ثغرة أُغلقت، مع نتيجة نهائية واضحة.
خطاب إقرار موقّع ومختوم

على ورق الشركة الرسمي، بالصيغة التي يتوقعها البنك ومزود الدفع.

التقارير تُسلَّم بالإنجليزية والعربية عند الطلب.