السلام عليكم ورحمة الله وبركاته
أحدى متطلبات الـ PCI Compliance إنك لا تستعمل Auto Update على الخوادم التي لديك … بل تقوم بتحميل التحديثات سواءاً أمنية أو غير أمنية على خوادم غير … أي تقوم بعمل بيئة خاصة للتجربة Testing Environment … تقوم بتركيب التحديثات Patches وتجربتها عليهم هناك ومن ثم إن لم تجد مشكلة؟ تقوم بعمل تطبيق لها على الخوادم الأصلية الـ Production … طبعاً جميع هذه الخطوات تكون موثقة ومسجلة Documented و Logged …
طيب المشكلة الآن التي ربما مرت عليكم أم لا هي حين تقوم بعمل التقرير الشهري … ووصلت مثلا في التقرير الى مرحلة تحديث الخوادم وقمت بالتحديث والترقيع في بيئة التجربة ومن ثم نقلتها بعدما تأكدت من سلامتها على الخوادم وعلى عملك الى البيئة الأصلية هي في مسألة التسجيل والتحديثات نفسها …
يعني بعدما قمت بتحديث الخوادم ظهرت تحديثات جديدة فيها خلل أمني جديد … ماذا ستفعل؟ هل ستعود وتقوم بعملية التحديث وتعدل على المستندات والسجلات لعمليات التحديث؟ وإن فعلت، ألا تعتقد بإنك ربما تدخل في دوامة Loop مستمر في التحديث والتسجيل ومن ثم يظهر مشكلة وتحديث وتسجيل وتظهر مشكلة وتحديث وتسجيل الى آخره (طبعا على فرض إنه كلما انهيت تحديث وإلا حظك العاثر يظهر خلل أمني جديد ويتطلب تحديث جديد ) … هنا ماذا ستفعل؟
لمن يقوم بعملية تحديث وتسجيل في بيئات منفصلة عن البيئة الأصلية + يقوم بتسجيل كل هذه الأمور + يكون بيئة العمل لديه كبيرة (عدد كبير من الخوادم) يعرف جيداً عن ماذا أتكلم الآن وكم هي حجم المعانات التي ستواجهها بسبب ذلك
الموضوع بالنهاية للنقاش ولأعرف ماذا لديكم من أفكار … ولنتناقش حولها … حيث إني بدأت هذا النقاش مع الأخ باحث وأحببنا أن نضعه هنا ونكمله هنا معكم …
لمن يريد معرفة ما هي PCI Compliance يمكنه مراجعة هذه … كما أتمنى أن تشاركونا الحوار هنا …
ودمتم بود …
