امنیت، مسئولیت مشترک است
امنیت مرکز مشاوره کهن
این صفحه تصویری عمومی و غیرحساس از کنترل‌های امنیتی و مسیر گزارش مسئولانه ارائه می‌کند؛ گواهی نفوذناپذیری یا جایگزین ارزیابی مستقل نیست.
نسخه: ۱.۲
تاریخ اجرا: ۱۴۰۵/۰۶/۱۵
۱. تعهد و محدودیت صادقانه
حفاظت از اطلاعات دانش‌آموز، والد و کارکنان بخشی از طراحی و عملیات سامانه است. کنترل‌ها ریسک را کاهش می‌دهند، اما هیچ وب‌سایت یا ارائه‌دهنده‌ای نمی‌تواند امنیت، دسترس‌پذیری یا جلوگیری از رخداد را صددرصد تضمین کند. وضعیت واقعی همچنین به تنظیم درست زیرساخت، به‌روزرسانی، پایش و واکنش انسانی وابسته است.
۲. لایه‌های حفاظت در برنامه
- هش امن رمزها و نشست‌های قابل لغو با کوکی محدود و امن؛
- مجوزدهی نقشی و سازمانی و بررسی مالکیت منبع در لایه خدمت؛
- اعتبارسنجی ورودی، محدودیت اندازه و نوع فایل و دسترسی کنترل‌شده به فایل خصوصی؛
- محدودیت نرخ برای مسیرهای حساس و کنترل استخراج انبوه بانک سؤال؛
- سرصفحه‌های امنیتی مرورگر، ثبت رخدادهای حساس و پاک‌سازی اسرار از گزارش خطا؛
- آمادگی بررسی سلامت پایگاه داده و ذخیره‌سازی پیش از ارائه خدمت.
وجود کنترل در کد به معنی فعال‌بودن قطعی آن در هر استقرار نیست؛ تنظیمات محیط، CDN، پایگاه داده، فضای ابری، پشتیبان و هشدار باید جداگانه بازبینی شوند.
۳. کنترل‌های زیرساختی و مسئولیت بهره‌بردار
- فقط HTTPS، گواهی معتبر و جلوگیری از دسترسی مستقیم عمومی به مبدأ؛
- فعال‌سازی و تنظیم CDN/WAF و محافظت منع خدمت در سطح ارائه‌دهنده؛
- محدودسازی شبکه پایگاه داده و فضای ابری، رمزنگاری مناسب و چرخش کلیدها؛
- پشتیبان مستقل، نسخه‌بندی و آزمون دوره‌ای بازیابی؛
- پایش ظرفیت، خطا، افزایش غیرعادی درخواست و هشدار خارج از سامانه؛
- به‌روزرسانی وابستگی‌ها، بازبینی دسترسی کارکنان و ارزیابی امنیتی مستقل.
۴. کارهایی که از حساب شما محافظت می‌کند
- رمز بلند و یکتا انتخاب کنید و آن را در اختیار دیگران نگذارید؛
- از دستگاه مشترک خارج شوید و پیام یا صفحه ورود مشکوک را باز نکنید؛
- شماره والد و راه تماس را دقیق ثبت و تغییر غیرمنتظره را فوراً گزارش کنید؛
- اطلاعات بسیار حساس یا غیرضروری را در پیام و فایل وارد نکنید؛
- در صورت مشاهده ورود یا رفتار مشکوک، رمز را عوض و با مرکز تماس بگیرید.
۵. گزارش مسئولانه رخداد یا آسیب‌پذیری
گزارش را از طریق «راه تماس رسمی درج‌شده در فوتر» با عنوان «گزارش امنیتی» ارسال کنید و زمان مشاهده، نشانی صفحه، شرح اثر و راه بازتولید کم‌خطر را بنویسید. رمز، کلید، فیش، داده شخص دیگر یا نمونه بزرگ اطلاعات خصوصی را نفرستید؛ در صورت لزوم فقط شناسه و بخش لازم را با پوشاندن اطلاعات حساس ارائه کنید.
بدون مجوز کتبی، به داده دیگران دسترسی نگیرید، فایل را دانلود نکنید، حساب نسازید یا تغییر ندهید، حمله منع خدمت، خزش انبوه، مهندسی اجتماعی یا آزمون خودکار سنگین انجام ندهید. گزارش مسئولانه مجوز آزمون یا مصونیت قانونی ایجاد نمی‌کند؛ برای ارزیابی رسمی باید دامنه و قواعد مکتوب از قبل توافق شود.
۶. واکنش به رخداد
روند پایه شامل ثبت و اولویت‌بندی، مهار، حفظ ادله، رفع علت، بازیابی امن و بازنگری پس از رخداد است. اگر رخداد به حقوق اشخاص یا الزام قانونی مربوط شود، اطلاع‌رسانی متناسب به افراد یا مراجع صلاحیت‌دار پس از بررسی انجام می‌شود. برای خطر فوری جانی یا ایمنی از مراجع امدادی استفاده کنید؛ اعلان درون سامانه جایگزین خدمات اضطراری نیست.
۷. ارزیابی و شفافیت
توضیحات این صفحه، ادعای انطباق کامل، گواهی امنیتی یا نتیجه آزمون نفوذ نیست. پیش از بهره‌برداری عمومی و پس از تغییر مهم باید کنترل‌های برنامه و زیرساخت به‌طور مستقل آزموده و نتیجه و اصلاحات مستند شود. اطلاعاتی که افشای آن امنیت را تضعیف می‌کند، مانند کلیدها، آستانه‌های دقیق و معماری داخلی، عمومی نمی‌شود.