أبقِ تطبيقك عاملاً وممتثلاً بعد الإطلاق

تطبيق كان مثالياً عند الإطلاق لن يبقى كذلك إذا تُرك. تصدر آبل وجوجل كل منهما إصداراً رئيسياً للنظام كل عام، وتغيّر معه نوافذ الصلاحيات وحدود الخلفية وقواعد الخصوصية. وترفع المتاجر أيضاً أدنى إصدار مستهدف تقبله، فقد يُمنع تطبيق لم يُحدَّث من التثبيتات الجديدة أو يتلقى تحذيراً بالإزالة.

والمكتبات الخارجية تتقادم كذلك. حزم الدفع وأدوات التحليلات ومزودو الخرائط وخدمات الإشعارات تصدر تغييرات تكسر التوافق، والإصدارات القديمة تكتشف فيها ثغرات أمنية معروفة. وفي الأثناء يتغير خادمك وواجهات API. حقل أُعيدت تسميته على الخادم قد يكسر بصمت نسخة أقدم من التطبيق ما زال يستخدمها كثير من الناس.

الصيانة هي الروتين الذي يمتص كل ذلك. وبدونها لا تختفي الكلفة، بل تأتي لاحقاً كإصلاح مستعجل في وقت سيئ، غالباً قبيل مهلة من أحد المتجرين.

نبدأ بفحص يستغرق من أسبوع إلى أسبوعين، يشمل الكود وقائمة المكتبات وإعداد البناء والتوقيع وحسابات المتاجر والخادم. تحصل على تقرير صحة مكتوب بالمخاطر مرتبة وبخطة موصى بها. وإذا كان التطبيق مبنياً بفريق آخر ننظف البناء ليصبح الإصدار قابلاً للتكرار، ونوثق طريقة بنائه.

بعد ذلك تعمل الخطة شهرياً. تشمل مراقبة الأعطال وفرزها، وحصة ساعات محددة للإصلاحات والميزات الصغيرة، وترقيات لكل إصدار iOS وأندرويد جديد، وتحديثات سياسات المتاجر عند صدورها. ويتبع العمل الأمني إرشادات OWASP لأمن تطبيقات الجوال، ونسد ثغرات المكتبات المعروفة وفق جدول.

وللحالات العاجلة، كتعطل عند الفتح أو فشل مسار الدفع، زمن استجابة متفق عليه، وننشر الإصلاح العاجل بإطلاق تدريجي حتى لا يصل خطأ إلى كل المستخدمين دفعة واحدة. أما التغييرات الأكبر، كإعادة تصميم أو وحدة جديدة، فتُحدد وتُسعَّر منفصلة قبل بدء العمل.

الامتثال لا ينتهي عند الإصدار. إذا كان تطبيقك يجمع بيانات شخصية فنظام حماية البيانات الشخصية الصادر عن سدايا يظل منطبقاً: سجلات الموافقة وطلبات الوصول والحذف ومعالجة الاختراقات يجب أن تواصل العمل مع تغير التطبيق. نعيد فحصها كلما مس إصدار ما جمع البيانات.

والتطبيقات في القطاعات المنظمة، كالمالية، تحمل متطلبات من البنك المركزي السعودي (ساما)، وتطبيقات الموظفين في الجهات المشمولة قد تخضع لضوابط الهيئة الوطنية للأمن السيبراني (NCA ECC). نطبق انضباط التصحيح والتسجيل الذي تتوقعه تلك الضوابط، ونشير إلى البنود التي تحتاج فريق الامتثال لديك بدل التخمين.

ويمكن أن تبقى استضافة الخادم في منطقة سحابية سعودية بما ينسجم مع قواعد الحوسبة السحابية لهيئة الاتصالات والفضاء والتقنية. وكمؤشر، يحتاج التطبيق الصغير النموذجي إلى خطة بضع ساعات شهرياً. أما التطبيقات ذات التطوير النشط أو التكاملات المتعددة أو قاعدة المستخدمين الكبيرة فتحتاج حصة شهرية أكبر نحدد حجمها أثناء الفحص.