خطة الأمن والخصوصية

#البرنامج الأمني

• Threat modeling في كل مرحلة وتحديثه مع Reels/Messenger/Jobs.
• OWASP ASVS للويب/API وMASVS للهاتف، secure code review وdependency/IaC/container scans.
• Pen test مستقل قبل الإطلاق الإنتاجي وبعد التغييرات الكبرى.
• إدارة ثغرات حسب SLA: Critical فوري، High قبل الإطلاق أو قبول رسمي محدود المدة.

#الهوية والوصول

MFA للإدارة، step-up للعمليات الحساسة، جلسات وأجهزة قابلة للإبطال، rate limiting وanti-automation، least privilege وJIT access للإنتاج.

#البيانات

TLS/WSS/DTLS-SRTP، تشفير التخزين والنسخ، secrets manager ودوران مفاتيح، منع الأسرار والمحتوى الخاص من logs، وتصنيف واحتفاظ وحذف وتصدير موثق.

#UGC والسلامة

بلاغ وحظر وكتم واستئناف، malware scanning، limits، moderation queues، حفظ أدلة محدود ومراقب، وسياسة أعمار ومحتوى يراجعها مختص قانوني.

#الاستجابة للحوادث

أدوار وتصعيد وقنوات بديلة وحفظ أدلة واتصال بالعميل والمستخدمين عند اللزوم. تُجرى tabletop exercises ويفحص زمن الكشف والاحتواء والاستعادة.

#الخصوصية

Privacy by design، جمع أقل قدر، موافقة واضحة، analytics مقيدة، حذف حساب داخل الويب والتطبيق، وDPIA للميزات عالية المخاطر مثل التوصية والمكالمات والوظائف.