على المكتب تقرير أمني يحمل اسم التطبيق، وفي خطة الإطلاق نسخة أضيفت إليها وظائف وإعدادات جديدة. قد يكون التقرير مفيدًا، لكن اسمه وتاريخه لا يحددان وحدهما ما يغطيه اليوم. السؤال قبل شراء مراجعة إضافية هو: ما الذي تغير، وأي دليل سابق ما زال ينطبق، وأين نحتاج تحققًا جديدًا؟
لا تبدأ بإعادة كل شيء أو اعتماد كل شيء
في بوابة افتراضية لتأجير المعدات، راجع مختص نسخة تجريبية ثم أضيف رفع مستندات ودور دعم وتغيرت إعدادات النشر. لا يعني ذلك أن النسخة الجديدة مخترقة، ولا أن نجاح النسخة السابقة يثبت أمان ما أضيف. المثال للتخطيط ولا يتضمن فحص تطبيق حقيقي أو تعليمات استغلال.
اطلب من شركة المراجعة تحليل أثر التغيير قبل أن تصف نطاقها بأنه شامل. قد يبقى دليل معين صالحًا مع سبب واضح، وقد يتطلب تغيير صغير ظاهريًا مراجعة حد حساس. حجم الفرق أو عدد الشاشات ليسا وحدهما معيارًا لتحديد ما يعاد فحصه.
سمِّ النسختين والبيئتين
جهز مرجع النسخة التي تناولها التقرير، ومرجع النسخة المرشحة، وما تعرفه عن فروق الإعدادات والاعتماديات والخدمات المتصلة. إن لم يستطع الفريق تحديد ما كان مفحوصًا، فهذه فجوة في صلاحية الدليل ينبغي تسجيلها، لا افتراض أنها تعني تغطية كل مكونات المنتج.
اسأل أيضًا عما تغير خارج كود التطبيق: صلاحية حساب تشغيل، أو مسار حفظ ملف، أو خدمة تتصل به. ليس المطلوب نشر تفاصيل حساسة في مستند عام، بل تزويد المختص المخول بسياق كافٍ ليحدد أثرها. لا تنقل نجاح اختبار على بيئة مختلفة إلى الإنتاج بلا وصف حدود المقارنة.
سجل يربط التغيير بالتغطية
املأ السجل التالي مع التطوير والمراجع وصاحب قرار الإطلاق. هو أداة مقترحة لإدارة الدليل، وليس شهادة ASVS أو بديلًا عن عمل أمني متخصص ومصرح به. لكل صف مرجع نسخة ومسؤول ونتيجة يمكن مراجعتها.
| ما تغير | السؤال الذي يفتحه | حالة الدليل |
|---|---|---|
| رفع مستندات جديد | أي بيانات وحدود وصول ومعالجة دخلت النطاق؟ | متطلبات تحقق يحددها المختص، لا تغطية مستنتجة من التقرير القديم |
| دور دعم إضافي | ما الفرق بين الصلاحيات السابقة والحالية؟ | دليل سابق صالح بسبب معلوم أو مراجعة جديدة لازمة |
| إعداد نشر مختلف | أي افتراض من بيئة الفحص لم يعد صحيحًا؟ | أثر موثق وما لم يمكن التحقق منه |
| جزء لم يتغير بحسب السجل | هل تغيرت اعتمادياته أو طريقة استخدامه؟ | مبرر الاستمرار بالدليل أو توسيع المراجعة |
استخدم حالات واضحة: ينطبق مع تفسير، أو يحتاج تحققًا جديدًا، أو غير معلوم. لا تحول «لم يرد في قائمة التغييرات» إلى «آمن»، ولا تسجل نجاحًا قبل تنفيذ النشاط المطلوب. ويمكن لصاحب القرار أن يطلب استكمال السياق بدل إصدار حكم من بيانات ناقصة.
مرجع المتطلب يحتاج نسخة أيضًا
توضح صفحة ASVS أنه أساس لمتطلبات التحقق والشراء، وتنبه إلى إرفاق نسخة المعيار بمعرف المتطلب لأن المعرفات قد تتغير. إذا استخدم العرض مرجعًا منه، اطلب أن يحدد المراجع النص والنسخة وما يثبت تغطيته في تطبيقك، بدل الاكتفاء بعبارة «وفق OWASP».
قرأنا النظرة العامة وطريقة الإشارة للمتطلبات، لا كامل المعيار. لذلك لا يقدم هذا المقال قائمة امتثال كاملة أو مستوى تحقق معتمدًا. اختيار المتطلبات والمنهج والأدلة يحتاج مختصًا يراعي طبيعة التطبيق ونطاق التفويض، وليس نسخ أسماء فصول إلى جدول التسليم.
قرار الإطلاق يأتي بعد وصف ما اكتمل
يناقش إطار WSTG التحقق عبر مراحل التطوير والنشر والتشغيل، ويؤكد مراجعة أثر التغييرات. حوّل هذا المبدأ إلى تسليم يوضح الأنشطة المنجزة والنسخة والقيود وما بقي مفتوحًا. وجود علامة اعتماد في مسار التطوير لا يثبت تلقائيًا أن كل سؤال أمني جديد أُجيب عنه.
حدد من يشرح المخاطر المتبقية ومن يعتمد تأجيلًا أو استبعادًا، وما الشرط الذي يعيد فتح القرار. قد يستلزم مجهول مهم تأخير جزء من الإطلاق أو نشاطًا إضافيًا؛ لا يملك المقال تقرير ذلك عن نظام لم يُراجع. كما لا يعد أي تقرير بضمان أمان دائم بعد تغير الخدمة لاحقًا.
لشراء النشاط الأوسع راجع نطاق اختبار الاختراق والفرق بين الفحص والاختبار. وعند طلب مراجعة أمنية من نكست ويف، أرسل سجل الفروق والتقرير السابق وحدود استخدامه ليُسعّر التحقق على أسئلة محددة لا على تاريخ التقرير وحده.
المصادر المقروءة
فُتحت نظرة ASVS العامة وفصل إطار WSTG 4.2 في 4 نوفمبر 2026. لم يُنفذ فحص أو تغيير إنتاج أو تدقيق معيار كامل. إعداد بمساعدة الذكاء الاصطناعي ومراجعة المعلومات والترجمة، دون ادعاء اعتماد أمني.
