مركز الثقة والأمان
بنية تحتية متطورة قائمة على نموذج انعدام الثقة (Zero-Trust)، وامتثال دقيق لتوجيهات بنك المغرب والمديرية العامة لأمن نظم المعلومات (DGSSI) ولجنة حماية المعطيات (CNDP).
ضمانات الأمان الخمس الأساسية للمؤسسات
مصفوفة الامتثال التنظيمي المغربي والدولي
امتثال تام لتوجيهات بنك المغرب، والمديرية العامة لأمن نظم المعلومات (DGSSI)، واللجنة الوطنية لحماية المعطيات ذات الطابع الشخصي (CNDP)، والوكالة الوطنية لتقنين المواصلات (ANRT).
المؤسسات البنكية وهيئات الائتمان ومقدمو الخدمات السحابية الخارجية
- التوجيه 3/W/16: تحصين القنوات المصرفية الإلكترونية، ودرع مكافحة احتيال OTP، والتتبع الدقيق للعمليات.
- التوجيه 4/W/2022: تأطير الأنشطة الموكلة لجهات خارجية (السحابة)، وحق التدقيق الشامل لبنك المغرب والمدققين المعتمدين.
- اتفاقية مستوى خدمة 99.95% SLA، و RTO أقل من 15 دقيقة، و RPO أقل من 5 دقائق، مع ضمان قابلية الاسترجاع دون مصاريف.
- مبدأ Zero-Knowledge OTP: تجزئة فورية SHA-256 على شبكة الحافة بدون تخزين أي أسرار بنكية صريحة.
البنيات التحتية ذات الأهمية الحيوية (IIV) والهيئات والمؤسسات العامة
- إشعار رسمي بالحوادث الأمنية في أقل من ساعتي عمل (CERT-DGSSI / maCERT).
- عزل شبكي صارم، وبوابات واجهات برمجية محصنة، واكتشاف فوري لمحاولات التسلل.
- تشفير إجباري TLS 1.3، وتفعيل HSTS Preload لمدة سنتين، وسياسة أذونات محكمة.
- نسخ احتياطي يومي مشفر وغير قابل للتعديل مع احتفاظ لمدة 30 يومًا وخطة استمرارية مجربة.
حماية المعطيات الشخصية ونقل البيانات عبر الحدود بالمغرب
- بنية Zero-Payload Persistence: تقليل الاحتفاظ بالبيانات وحذف تلقائي عبر TTL (من 30 إلى 90 يومًا).
- إخفاء تلقائي لنصوص الرسائل الحساسة ورموز OTP البنكية عند الاستلام (******).
- معالجة سريعة عابرة على مستوى الحافة دون تخزين المعطيات الشخصية غير الضرورية.
- توفير حق الولوج والتصدير والحذف الذاتي للمعطيات الشخصية عبر الواجهة ولوحة التحكم.
التوجيه المحلي للرسائل القصيرة، وحوكمة اسم المرسل ومنع انتحال الهوية
- فحص صارم لمكافحة انتحال الهوية: التحقق الإجباري من الوثائق القانونية للشركات (السجل التجاري، المعرف الموحد ICE، خطاب التفويض LOA).
- حماية العلامات الوطنية: حظر تام لانتحال أسماء البنوك والمؤسسات الحكومية وشركات التأمين.
- توجيه قانوني مباشر نحو شبكات اتصالات المغرب وأورنج وإنوي بدون اللجوء لمسارات SIM-box غير القانونية.
- معالجة آلية وصارمة لطلبات إلغاء الاشتراك STOP SMS وفقًا للتشريعات.
نظام إدارة أمن المعلومات (SMSI) والبنية التحتية السحابية من الفئة الأولى Tier-1
- بيان تطبيق (SoA) شامل يغطي جميع الضوابط الـ 93 الواردة في الملحق أ (نسخة 2022).
- بنية تحتية مادية وشبكة حافة Cloudflare معتمدة رسميًا بشهادات ISO 27001 و SOC 2 Type II.
- مراقبة آلية مستمرة في خطوط CI/CD مع توثيق أدلة الامتثال الأمني بشكل غير قابل للتعديل.
- إعلان مطابقة المورد (ISO/IEC 17050-1) مهيأ لتدقيق الاعتماد الدولي IAF MLA لشركة VEXT AI SARL AU.
المزودون الرقميون وخدمات الاتصالات لقطاع السيارات (الشركات المصنعة وموردو الفئة الأولى)
- مذكرة تحديد نطاق رسمية تثبت عدم معالجة بيانات النماذج الأولية أو التصاميم الهندسية (AL3 غير منطبق).
- مواءمة شاملة لمتطلبات دليل VDA ISA v6.0 مع نظام الأمان المتوافق مع ISO/IEC 27001:2022.
- بنية Zero-Payload Persistence مع إخفاء فوري لبيانات ورموز OTP المؤقتة.
- جاهزية تامة للمراجعة المستندية عن بعد للمستوى AL2 عبر منصة ENX برقم تسجيل PRT-2026-MA-001.
الهندسة التقنية القائمة على Zero-Trust واستمرارية العمل
كيف تضمن آليات التشفير والعزل الدقيقة حماية اتصالاتكم الحساسة وتفادي المخاطر التشغيلية.
سلامة العمليات المالية الذرية (Compare-And-Swap)
- تُنفذ كل عملية خصم للرصيد وكل إرسال كطفرة ذرية CAS على مستوى قاعدة البيانات.
- ضمان رياضي يمنع أي رصيد سالب أو تضارب حتى أثناء التدفقات الكثيفة للطلبات.
- سجل محاسبي غير قابل للتغيير يسجل رقم تدقيق فريد لكل معاملة.
تجزئة مفاتيح الواجهة البرمجية (SHA-256)
- يتم إنشاء المفاتيح وإظهارها مرة واحدة فقط للمطور عند إنشائها.
- يُخزن فقط التجزئة المشفرة SHA-256 في قاعدة البيانات، مما يمنع تسريب المفاتيح حتى في حال حدوث اختراق.
- إمكانية تقييد الاستخدام بنطاق عناوين IP (صيغة CIDR) وتحديد الصلاحيات الدقيقة (sms:send, otp:verify, dlr:read).
توقيع إشعارات Webhook بـ HMAC-SHA256
- كل إشعار مرسل إلى خادمك يحمل توقيع HMAC-SHA256 مع طابع زمني دقيق.
- حماية تلقائية ضد هجمات إعادة الإرسال (Replay attacks).
- إمكانية تجديد سر التوقيع بسهولة من لوحة التحكم مع مهلة انتقالية.
الحماية من SSRF وعزل المستأجرين
- تمر جميع طلبات Webhook عبر محلل DNS محمي يمنع الوصول إلى النطاقات الخاصة أو خوادم البيانات الداخلية.
- التحقق الدقيق من كل عملية إعادة توجيه للروابط قبل الاتصال.
- عزل منطقي كامل لقواعد البيانات لمنع أي تسريب بين الحسابات المختلفة.
بنية Zero-Payload Persistence وتقليل البيانات (القانون 09-08)
- يتم حذف محتوى الرسائل النصية وسجلات التسليم أو إخفاء هويتها بعد 30 إلى 90 يومًا متجددة.
- تُحفظ رموز التحقق OTP فقط على شكل بصمة مجزأة مع انتهاء صلاحية محدد في 300 ثانية.
- توفير خدمة تصدير وحذف البيانات الشخصية ذاتيًا وفق معايير حماية المعطيات الشخصية CNDP و RGPD.
ملف الامتثال التنظيمي وتقارير التدقيق القابلة للتنزيل
حمّل الوثائق التعاقدية والتقنية الجاهزة لتقديمها للجان الاعتماد المصرفي وهيئات التدقيق.
شهادة إعلان مطابقة نظام أمن المعلومات ISO/IEC 27001:2022 (ISO/IEC 17050-1)
إعلان رسمي لمطابقة نظام إدارة أمن المعلومات وفق معيار ISO/IEC 17050-1 وخارطة طريق تدقيق الاعتماد IAF MLA للمشغل VEXT AI SARL AU.
مذكرة تحديد النطاق والمواءمة لمعيار TISAX VDA ISA 6.0 للسيارات
التبرير القانوني والتقني لعدم انطباق المستوى AL3 ومصفوفة التطابق مع ISO 27001 لإشعارات المصانع والرسائل التشغيلية لقطاع السيارات.
خطة ضمان الأمان (PAS) — المعيار المؤسسي والمصرفي
وثيقة شاملة توضح الهندسة التقنية، والمواءمة مع القانون 05-20 للـ DGSSI، والتزامات بنك المغرب 4/W/2022، وخطة استمرارية العمل وإدارة الثغرات.
بيان التطبيق (SoA) لمعيار ISO/IEC 27001:2022
مصفوفة تفصيلية توضح التطبيق والتبرير التقني لكافة الضوابط الـ 93 من الملحق أ (معيار 2022) وخارطة طريق الحصول على الشهادة.
تقرير اختبار الاختراق الخارجي (OWASP WSTG v4.2)
ملخص تنفيذي لتقييم واجهات البرمجة ومحيط الحافة وفق معايير OWASP ASVS v4.0 وتوجيه بنك المغرب 3/W/16. النتيجة: 0 ثغرات حرجة، 0 عالية.
ملحق الامتثال لبنك المغرب (التوجيه 4/W/2022)
التزامات تعاقدية صارمة: حق التدقيق لبنك المغرب، الإشعار بالحوادث < ساعتين، RTO < 15 دقيقة، RPO < 5 دقائق، وقابلية الاسترجاع الكاملة.
برمجية اختبار الأمان والتدقيق الآلي (CI/CD)
برمجية Bash قابلة للتنفيذ للتحقق الآلي من ترويسات الأمان، حماية SSRF، تجزئة OTP، طفرات CAS الذرية وملف RFC 9116 security.txt.
شهادات ISO 27001 و SOC 2 للبنية التحتية السحابية
تقارير تدقيق SOC 2 Type II وشهادات ISO 27001 الصادرة لشبكة الحافة ومراكز البيانات السحابية لشركة Cloudflare.
الأسئلة الشائعة لمسؤولي أمن المعلومات (CISO) والبنوك
كيف تلبي EnvoiSMS متطلبات معيار TISAX وصناعة السيارات؟
توفر EnvoiSMS مذكرة تحديد نطاق رسمية وفق معايير VDA ISA v6.0 و ENX: تعمل المنصة كبوابة عبور اتصالات وتجزئة OTP آنية ولا تحتفظ بأي بيانات تليماتية أو تصاميم هندسية أو نماذج سيارات أولية، مما يجعل المستوى TISAX AL3 غير منطبق. أمان الإشعارات الصناعية والرموز المؤقتة مغطى بالكامل بتوافقنا مع معيار ISO/IEC 27001:2022 (بيان تطبيق SoA وفق ISO/IEC 17050-1)، وبنيتنا التحتية المعتمدة، وملحق بنك المغرب 4/W/2022 مع جاهزية تامة لاعتماد TISAX AL2.
ما هو موقف EnvoiSMS الدقيق بخصوص معيار ISO 27001؟
تُشغَّل منصة EnvoiSMS بواسطة شركة VEXT AI SARL AU (المعرف الموحد ICE 004061591000005) بنظام إدارة أمن المعلومات متوافق تمامًا مع معيار ISO/IEC 27001:2022 وتطبيق كافة الضوابط الـ 93 من الملحق أ في بيان التطبيق (SoA وفق ISO/IEC 17050-1) مع تدقيق مستمر في CI/CD. وتعمل بنيتنا التحتية المادية وشبكة الحافة لدى مزودي خدمات معتمدين بشهادات ISO 27001 و SOC 2 Type II.
كيف تستجيبون لمتطلبات بنك المغرب (التوجيهات 3/W/16 و 4/W/2022)؟
توفر EnvoiSMS ملحق امتثال مخصص لبنك المغرب يمنح حق التدقيق الكامل لبنك المغرب والمدققين المفوضين، مع اتفاقية مستوى خدمة 99.95%، و RTO أقل من 15 دقيقة، و RPO أقل من 5 دقائق، وإشعار بالحوادث خلال ساعتين، واسترجاع كامل ومجاني للبيانات.
كيف تُحمى المعطيات الشخصية وفق القانون المغربي 09-08 (CNDP)؟
نعتمد بنية Zero-Payload Persistence حيث يتم إخفاء نصوص الرسائل الحساسة والرموز المؤقتة تلقائيًا عند الاستلام (******)، وتُحذف سجلات الترانزيت تلقائيًا بعد 30 إلى 90 يومًا، ولا تُحفظ رموز OTP بنصوص صريحة أبدًا (تجزئة SHA-256 مع صلاحية 300 ثانية فقط).
ما هي آلية الإبلاغ عن الثغرات الأمنية؟
نوفر ملفًا مطابقًا لـ RFC 9116 عبر الرابط /.well-known/security.txt. يمكن مراسلتنا على security@envoisms.ma ونؤكد الاستلام خلال 24 ساعة عمل مع معالجة سريعة.
كيف تضمنون استمرارية الخدمة ومقاومة الهجمات؟
تعمل المنصة عبر شبكة Cloudflare Anycast العالمية مع حماية فورية وتلقائية من هجمات DDoS وبدون نقطة فشل فردية، مع نسخ احتياطي يومي مشفر واستعادة للنقاط الزمنية خلال 30 يومًا.
الإبلاغ عن ثغرة أمنية أو طلب مراجعة مخصصة
فريق أمن نظم المعلومات جاهز للرد على استبيانات الأمان وتقييمات لجان المشتريات والاعتماد المؤسسي.