تصلون إلى أسفل موقع TradingView، وتحت سطر «© 2026 TradingView, Inc.» مباشرة يلفت نظركم زران ضخمان داخل إطارين صارمين: SOC 2 Compliant مع ختم دائري، وGDPR Compliant محاط بنجوم الاتحاد الأوروبي. مشهد مهيب — يجعلكم تحترمون فورًا رجال الأمن الصارمين في المنصة. تضغطون على الشارتين بدافع الفضول، لتروا كيف صيغ هذا الدرع الذي لا يُخترق، فتصلون إلى صفحة trust.tradingview.com.
وهنا، إذا بدأتم التدقيق، ينكشف عبث لا تعرفون معه أتضحكون أم تسقطون من الصدمة.
تتباهى الواجهة بشارات SOC 2 وPCI DSS 4.0.1 وGDPR وDORA، وبجوارها مؤشر أخضر ينبض بنشاط: «Updated 4 minutes ago» — أي إنهم فحصوا كل الأقفال قبل أربع دقائق، والحدود محكمة الإغلاق. وتحتها تصطف عشرون نقطة رصينة لحماية البنية التحتية: الدخول إلى الخوادم حصرًا بمفاتيح تشفير، والشبكات مفصولة، والتشفير يعمل، ونظام كشف التسلل لا ينام.
تدقّقون في التفاصيل، فتجدون عمود الحالات الفعلية للفحوص فارغًا تمامًا. أما التقارير نفسها فمختبئة خلف زر «طلب الوصول»، ولن يُسمح لأي عابر سبيل بالدخول. لكن حتى هذا ليس أكثر ما يضحك: النقاط العشرون المرعبة على الصفحة لم يكتبها مهندسو TradingView أصلًا. «القلعة» كلها مولّدة بقالب جاهز لدى شركة أمريكية خارجية اسمها Vanta.
لتثبتوا أن البيت خالٍ من اللصوص، أدخلوا الغرباء إلى كل غرفة نوم
كيف يعمل هذا النشاط؟ في عالم الشركات، يُطلب من الخدمات إحضار ورقة من مدقّق — شهادة SOC 2 تلك. قديمًا، كان الحصول عليها يقتضي تحمّل مفتشين من لحم ودم في المكتب لأشهر، ينقّبون بملل في إعدادات الخوادم. ثم ظهرت Vanta وقدّمت للقطاع شفرة غش عبقرية: «لا تجمعوا شيئًا يدويًا. اربطوا برنامجنا بشركتكم، وسنضع علامات الصح للمدقّق في الخلفية بأنفسنا، ونرسم لكم بالمرة واجهة جميلة على الموقع مليئة بالشارات».
والآن انتبهوا إلى حركة اليدين. كي تضع الشركة في تذييل موقعها زرًا متباهيًا يقول «لا نسمح لأحد بالوصول إلى بياناتكم»، تُدخل بإرادتها شركة غريبة إلى أحشائها. تمنح خوادم Vanta الوصول إلى بنيتها السحابية (AWS وGoogle Cloud)، وإلى الشيفرة المصدرية على GitHub، والبريد المؤسسي، وقاعدة الموارد البشرية التي تضم قوائم جميع الموظفين. وليس هذا كل شيء: يُفرَض على الحاسوب المحمول لكل مبرمج ومسؤول أنظمة تثبيت برنامج تجسس من Vanta، يفحص على مدار الساعة ما إذا كانت كلمة المرور مفعّلة، ومضاد الفيروسات يعمل، والتحديث قد نُزّل.
في كتيّباتها الإعلانية، تطمئن Vanta العملاء بحكاية أن نظامها يعمل «للقراءة فقط»، ولا يستطيع إفساد شيء أو سرقته. لمن يفهم طريقة عمل نظام التشغيل، يبدو هذا انفصامًا محضًا — كأن تحبس زوجتك في غرفة النوم مع رجل غريب يقسم بأمه أن صلاحياته «للقراءة فقط»، وأنه لن يفعل أي شيء، بل سيدس رأسه تحت الغطاء ليتأكد فحسب من مطابقة كل شيء للمعايير. ففي macOS مثلًا، لا يوجد أصلًا وضع يسمح لبرنامج خارجي بالتوغل في أحشاء النظام — لفحص وجود كلمات المرور وتشفير القرص وعمل مضاد الفيروسات — ويمنعه تقنيًا في الوقت نفسه من تغيير شيء، أو قراءة ملفات الغير، أو تسريب البيانات إلى الإنترنت. إما أن تسمحوا له بالدخول وإما ألا تسمحوا. ولكي يعمل وكيل Vanta أصلًا، يُثبَّت على حواسيب المهندسين بأعلى صلاحيات المستخدم الجذر (root). عمليًا، وبناءً على كلمة شرف «لن نلمس شيئًا»، تضع الشركة بيديها حصان طروادة خارجيًا قابلًا للتحكم على حواسيب جميع مطوّريها، بسيطرة كاملة على النظام واتصال دائم بالشبكة، بينما تُكدَّس بعناية على خوادم الشركة الخارجية خريطة أشعة كاملة للشركة بكل ثغراتها.
صنّاع استمارات الويب على رأس أمن العالم
من يكون، يا ترى، هؤلاء العباقرة الصارمون في التشفير والمحاربون القدامى في جيوش الإنترنت، الذين تودع آلاف الشركات حول العالم لديهم مفاتيح مطابخها الداخلية؟
لنفتح السير الذاتية لقيادة Vanta ونحضر الفشار.
المؤسِّسة ورئيسة الشركة منذ إنشائها هي كريستينا كاتشوبو. أين صقلت خبرتها الأسطورية في حماية المعلومات؟ في مختبرات البنتاغون السرّية؟ في تطوير الحماية للأنظمة المصرفية الأساسية (core banking)؟ لا. تعلّمت السيدة البرمجة، وأمضت عامين تنجز مشاريع صغيرة لم تصل إلى شيء، ثم التحقت بـ Dropbox مديرةً للمنتج. ولم تكن مسؤولة هناك حتى عن تخزين الملفات أو تشفير الأقراص. كانت قمة مسيرتها Dropbox Paper — دفتر ملاحظات ثانوي على الإنترنت، للكتابة المشتركة داخل خدمة مشاركة الملفات، لا يعلم تسعة من كل عشرة مستخدمين لـ Dropbox بوجوده أصلًا. وبينما كانت تُركّب هذا الدفتر، أُجبرت على ملء جداول مملة للمدقّقين — فقررت أن بيع استمارات ويب لشركات أخرى، تجمع الجداول نفسها تلقائيًا، أكثر ربحًا بكثير.
نواصل النظر: من السيدة الثانية في قيادة هذه السفينة؟ مديرة التسويق سارة شارف. جاءت هذه السيدة من Google، حيث أمضت سبع سنوات في «تسويق الخصوصية والأمان وAndroid». تأمّلوا المسمّى نفسه: لم تكن تكتب الشيفرة أو تصطاد المخترقين، بل أمضت سبع سنوات تؤلّف حكايات إعلانية عن حرص Google على خصوصيتكم، بينما كانت الشركة تجمع ملفًا عن كل ساكن على الكوكب.
وبقية الفريق على المقاس: المسؤول التقني عن المنتجات كان يدير سابقًا طبقات الربط والواجهات الثانوية في GitHub، والمدير المالي جاء من Calendly — موقع يصنع استمارات لحجز موعد مكالمة في التقويم.
فريق الأحلام هذا — صانعة دفتر الملاحظات السحابي، ومروّجة «الخصوصية» في Google، ومحاسب التقويم الإلكتروني — هو من يوزّع اليوم معايير الأمان على قطاع التكنولوجيا المالية العالمي.
حارس بالنعال ومفارقة موظفي المبيعات في المكاتب
لكن الكوميديا الحقيقية تبدأ عندما تنظرون إلى المطبخ الداخلي لـ«المفتشين» أنفسهم. فالشركة التي تحتفظ بنسخ من خرائط ثغرات آلاف الشركات الأخرى تعمل رسميًا وفق نموذج «العمل عن بُعد أولًا». ومنذ ربيع 2022، كانوا يكتبون بفرح على موقعهم: «نعمل بنجاح من أي مكان».
إذا فتحتم صفحة وظائفهم الآن، فستجدون أن 52 وظيفة من أصل 83 هي عن بُعد بالكامل، في الولايات المتحدة وكندا وبريطانيا وأيرلندا. وليس من يعملون عندهم من على الأريكة مجرد مصمّمي أيقونات:
- مدير أول للعمليات الأمنية (عن بُعد). هذا الشخص يضبط حماية Vanta نفسها ويقود التحقيق في الهجمات الإلكترونية. ويعدونه بكل عناية في وصف الوظيفة بـ«بدل لتجهيز مكان العمل المنزلي، والإنترنت المنزلي، والهاتف المحمول». المسؤول الأول عن صد الهجمات الإلكترونية يدير الدفاع عبر جهاز توجيه منزلي على نفقة الشركة.
- مهندس السحابة الحكومية GovCloud (عن بُعد، مع مناوبات للطوارئ). الشرط الأمني الوحيد للعمل مع القطاع الحكومي هو تسجيل الدخول «من داخل الأراضي الأمريكية فعليًا». من أي مقهى على الطريق أو شقة مستأجرة تحديدًا؟ لا أحد يهتم.
- مهندس أول لاستمرارية أنظمة المؤسسة ومهندس أمن أول (عن بُعد). الأشخاص المسؤولون عن صمود أنظمة الإنتاج، الذين يتعهّدون في نص الإعلان بأن يكونوا «حُرّاسًا موثوقين للبيانات الحساسة»، يجلسون في بيوتهم أيضًا.
- مهندس خبير لبنية البرامج والثقة (عن بُعد). احفظوا هذه الوظيفة بالذات: هذا المختص العامل عن بُعد مسؤول عن منع اختلاط البيانات السرّية لعميل ببيانات عميل آخر.
أتعرفون أين تكمن المفارقة الكبرى؟ تُلزم إدارة Vanta موظفي المبيعات العاديين في لندن ودبلن بالحضور إلى المكتب ثلاثة أيام في الأسبوع. أي إن الأشخاص الذين لا يفعلون سوى الاتصال بالعملاء وعرض الشرائح عليهم، يجب أن يجلسوا تحت الرقابة في مركز أعمال. أما المهندسون الذين يملكون مفاتيح أنظمة الإنتاج وخرائط البنية التحتية لآلاف الشركات، فيجلسون بنعالهم في مطابخ بيوتهم، محاطين بالأقارب والجيران وعمّال التوصيل والسبّاكين. وكل هذا في زمن تمسك فيه شركات التكنولوجيا الأمريكية بموظفين مزيفين عن بُعد بالجملة — يجري ممثل ينتحل الهوية مقابلة الفيديو، ثم يُرسَل حاسوب العمل بالبريد مباشرة إلى مزرعة للمخترقين الكوريين الشماليين.
أربعة أيام وسحّاب البنطال مفتوح على مصراعيه
لم نحتج إلى التخمين طويلًا لنعرف إلى ماذا يؤدي الأمان الذي تصنعه صاحبات دفاتر الملاحظات وموظفو العمل عن بُعد على شبكة Wi-Fi منزلية.
أتذكرون وظيفة المهندس العامل عن بُعد، المكلف بمنع اختلاط قواعد بيانات الشركات المختلفة؟ في مايو 2025، أطلق صنّاع الاستمارات في Vanta تحديثًا معطوبًا، فـكُتبت البيانات السرّية لبعض العملاء ببساطة داخل حسابات عملاء آخرين (تقرير الحادث INC-868).
أسرار مئات الشركات انسكبت ببساطة على شاشات الغرباء. تسرّبت إلى أشخاص لا علاقة لهم بها قوائم موظفي شركات أخرى، ومسميات وظائفهم، ثم الكرزة فوق الكعكة — إعدادات المصادقة متعددة العوامل (MFA) لديهم. أي ورقة غش جاهزة للاختراق: من يعمل في أي منصب، ومن لم يفعّل حماية حسابه.
لكن حجم هذه المهزلة يتضح كاملًا في تفصيلين:
- بقيت الثغرة مفتوحة أربعة أيام. نظام المراقبة الآلي المتبجَّح به لدى Vanta، الذي يرسم علامات صح خضراء كل أربع دقائق على مواقع العملاء، لم يلاحظ طوال أربعة أيام أنه يوزّع قواعد بيانات الآخرين على جيران عشوائيين. ولم يُكتشف الخطأ إلا عندما رأى أحد العملاء المذهولين بنفسه المطبخ الداخلي لشركة أخرى في حسابه، وكتب إلى الدعم الفني.
- وقاحة نموذجية. عندما انكشفت الفضيحة، أصدر مسوّقو Vanta تقريرًا ووصفوا بوجه جامد تسرّب بيانات مئات الشركات إلى أيدي الغرباء بأنه حادث «غير متعلق بالأمان» (non-security related). وما المشكلة؟ خلطوا قواعد البيانات قليلًا — المهم أن علامات الصح في التقارير خضراء!
درع من ورق
هذه هي قيمة الزرين المهيبين SOC 2 Compliant وGDPR Compliant في تذييل الموقع.
ينظر الشخص العادي إلى هذه الشارات ويظن أن الخدمة محمية كالحقيبة النووية. بينما تقوم الشركات في الواقع، من أجل ورقة بيروقراطية، بفتح ثقب في جدارها بأيديها، وسكب مخطط دفاعها كله في حوض مشترك لدى مديري الملاحظات والإعلانات السابقين، ثم تُكلّف بحراسة هذا الحوض أشخاصًا يعملون عبر أجهزة توجيه منزلية، وبرامجهم عاجزة حتى عن ملاحظة أنها توزّع أسرار الآخرين يمينًا ويسارًا طوال أربعة أيام متتالية.
لقد استوعبوا دروس الأمان بلا أمان على أكمل وجه: الشارة على الموقع تلمع، أما ما وراء الباب — فمن الأفضل ألا يعرفه أحد.
بدلًا من الخاتمة: من هو «مهندس الأمن عن بُعد» في الحياة الواقعية؟
عندما تضع الشركات عبارة مهندس أمن عن بُعد في عروضها، يتخيّل العميل محترفًا شديد التركيز في مكتب تغمره الشمس، يحرس أسرار الآخرين عبر اتصال آمن بالأقمار الاصطناعية.
في الواقع، العامل عن بُعد صندوق أسود لا يتحكم صاحب العمل في محتوياته بأي شكل. لا تعرف الشركات ما يحدث على الجانب الآخر من كاميرا الويب بمجرد انتهاء مكالمة الصباح التي تستغرق خمس عشرة دقيقة. وما يحدث هناك هو الحياة الحقيقية بكل بهائها.
1. ذهن ضبابي، ومثبطات استرداد السيروتونين، وجرعات صغيرة من الفطر المهلوس في المكتب ترون الشخص على الأقل أمامكم: هل ترتجف يداه، وهل نظراته طبيعية، وهل استحم هذا الأسبوع، وهل يتحدث إلى الجدران؟ أما عن بُعد، فكل التواصل مع الشخص الذي يملك صلاحيات الجذر لخوادم آلاف الشركات يختزل في مربع على Zoom بخلفية ضبابية.
خمس عشرة دقيقة يوميًا في الاجتماع السريع، يعصر هذا الشاب من نفسه ابتسامة جاهزة ويعلن بنشاط: «لا عوائق، أنشر التحديث على أنظمة الإنتاج». ثم يطفئ الكاميرا — ولا أحد في المقر يعرف في أي حال هو. لعلّه في شهره الثالث على جرعات هائلة من مضادات اكتئاب قوية (مثبطات استرداد السيروتونين الانتقائية)، أضمرت لديه الإحساس بالخطر تمامًا، فلم يعد يبالي بأي قواعد بيانات يسرّبها الآن ولا إلى أين. ولعلّه، على موضة وادي السيليكون، بدأ صباحه بجرعة صغيرة من فطر السيلوسيبين، أو يتناول أديرال بالتوازي مع العلاج بالكيتامين، محاولًا تجاوز اكتئاب ما بعد الطلاق. بالنسبة إلى الشركة، هو دائرة خضراء في Slack. أما في الواقع، فمن يجلس أمام لوحة التحكم في المفاعل النووي إنسان غارق في تشتّت إدراكي عميق.
2. سطو في المقهى وMacBook مفتوح تحولت مراكز التكنولوجيا الأمريكية مثل سان فرانسيسكو وسياتل وأوستن منذ زمن إلى متنزهات للجريمة. ففي سان فرانسيسكو نفسها، توجد حرفة كاملة في الشارع — خطف الحواسيب المحمولة: يقتحم اللصوص المقاهي العصرية، وينتزعون من أيدي موظفي التكنولوجيا أجهزة MacBook المفتوحة وغير المقفلة، باتصالات VPN قائمة ونوافذ أوامر مفتوحة، ويحملونها إلى سيارة تنتظر عند المدخل.
أو أبسط من ذلك: بعد العمل مساءً، يخرج «حارس البيانات الحساسة» إلى الشارع ليشتري بوريتو، وهاتف العمل وحاسوبه في حقيبته. على بُعد شارعين من بيته، يقترب منه رجلان بمسدس، ويضربانه على رأسه، ويشرحان له بوضوح أنه لن يسلّمهما الأجهزة كلها فحسب، بل سيضع إصبعه على Touch ID ويملي رمز PIN حالًا. لم تنقذ جدران الحماية السحابية ولا شارات SOC 2 Compliant أحدًا قط من ضربة بأنبوب في زقاق مظلم.
3. زوجات وعشّاق وبيانات دخول تُسرق من على الوسادة حتى لو لم يغادر المهندس بيته أصلًا، فشُقته ممر مفتوح للجميع. وراء ظهره تتحرك الزوجات، والصديقات السابقات والحاليات، ورفقاء السكن، وعمال التنظيف، وموظفو التوصيل، وضيوف حفلات الجمعة.
في الولايات المتحدة لم يعد هذا مجرد نظرية، بل وقائع في ملفات قضائية. في عام 2024، كشفت هيئة الأوراق المالية والبورصات (SEC) مخططًا عائليًا رائعًا: كان زوج موظفة تعمل عن بُعد لدى عملاق النفط BP يتجول في البيت ويقيم معها في الغرفة نفسها أثناء السفر، بينما كانت تعمل من المنزل على صفقات اندماج سرّية بين الشركات. كان يتنصّت على مكالماتها، ويلقي نظرة على شاشة حاسوب العمل المفتوحة حين تذهب إلى المطبخ، ثم اشترى أسهم السلسلة المعنية وجنى من المعلومات الداخلية قرابة مليوني دولار.
والآن تخيّلوا سيناريو أقرب إلى الحياة اليومية: مهندس أمن يعمل عن بُعد، وسط طلاق مرير أو شجار مع شريكته. كل ما على الزوجة الغاضبة أو رفيق السكن الانتهازي هو انتظار ذهاب «حارس البنية التحتية» للاستحمام أو النوم، ثم تصوير الشاشة المفتوحة بالهاتف بما عليها من مفاتيح وصول ورموز توكن ومراسلات Slack — أو ببساطة إدخال ذاكرة USB في حاسوبه، فكلمة مروره معروفة منذ زمن بعد اختلاس النظر من فوق كتفه.
4. الإرهاق عند الثالثة فجرًا وأخيرًا، السيناريو الكلاسيكي الذي وقع ضحيته في السنوات الأخيرة عمالقة، من Uber إلى خدمة المصادقة Okta. عندما يشتري المخترقون كلمة مرور مسروقة لموظف يعمل عن بُعد، لا يتبقى أمامهم إلا تجاوز المصادقة متعددة العوامل (MFA). ماذا يفعلون؟ ينتظرون حتى ينام الموظف في بيته، وعند الثالثة فجرًا يبدأون قصف هاتفه بعشرات الإشعارات: «أكّد تسجيل الدخول». ثم يراسلونه على تطبيقه الشخصي منتحلين صفة «الدعم الفني للشركة»: هذا خلل في النظام، اضغط «تأكيد» كي تتوقف الإشعارات عن الرنين. فيفتح الرجل النعسان بملابسه الداخلية، وبإصبعه هو، أبواب قدس الأقداس أمام المخترقين، فقط كي يخرس الهاتف أخيرًا ويتركه ينام.
من هذه الفوضى البشرية — الحبوب، والدراما العائلية، وجرائم الشوارع، وكسل الليل — يتكوّن في الحقيقة الأساس الذي تقوم عليه صناعة «الثقة السحابية» الحديثة كلها. وفي المرة المقبلة، عندما ترون شارتَي SOC 2 Compliant وGDPR Compliant الصارمتين في أسفل موقع مالي أنيق، تذكّروا ببساطة أن في مكان ما وراء المحيط، وفي هذه اللحظة، شخصًا مرهقًا يتناول مضادات الاكتئاب ابتعد عن حاسوبه المفتوح ليصبّ لنفسه قهوة، بينما تقلّب صديقته على شاشته، في شرود، قوائم خوادم الآخرين.