سياسة الاستخدام الآمن

الهدف

تحدّد هذه السياسة متطلبات الاستخدام الآمن لبوابة المطورين وخدماتها، بهدف حماية الحسابات والبيانات وموارد الخدمة، والحد من إساءة الاستخدام، وتوضيح مسؤوليات المستخدمين والمطورين والجهات المستفيدة.

النطاق

تنطبق هذه السياسة على مستخدمي البوابة والمطورين والجهات التي تتكامل مع خدماتها، وتشمل واجهات برمجة التطبيقات (API) والتكاملات عبر بروتوكول (MCP) والموارد اللغوية المتاحة لمنصات سِوَار وفَلَك والألعاب اللغوية، بحسب ما يُتاح فعليًا لكل مستخدم. تُقرأ هذه السياسة مع سياسة الخصوصية وتراخيص الموارد المستخدمة والسياسات المعتمدة ذات الصلة. ولا تمنح صلاحيات وصول أو حقوق استخدام إضافية على الموارد.

الاستخدام المسموح ومسؤولية المستخدم

يلتزم المستخدم عند الاستفادة من خدمات البوابة بما يأتي:

• استخدام الخدمات للأغراض المصرّح بها، وفي حدود الصلاحيات والتراخيص والحصص المخصصة للمستخدم أو الجهة.
• تقديم معلومات صحيحة عند طلب الوصول، وتحديث بيانات جهة الاتصال المسؤولة عن التكامل.
• الالتزام بالتوثيق الفني وحدود الطلبات وحجم البيانات وآليات التكامل المعلنة.
• التحقق من ملاءمة النتائج ودقتها قبل تضمينها في المنتجات أو اتخاذ قرارات بناءً عليها، ومراعاة حقوق المحتوى ومتطلبات نسبته إلى مصدره.

حماية الحسابات ومفاتيح الوصول

تقع على المستخدم مسؤولية حماية حسابه وبيانات الوصول الخاصة به، ويشمل ذلك:

• المحافظة على سرية كلمات المرور ومفاتيح API ورموز الوصول، وعدم مشاركتها مع غير المصرّح لهم.
• تخزين الأسرار في أدوات مخصصة لإدارتها أو إعدادات خادم محمية، وعدم تضمينها في مستودعات الشفرة أو تطبيقات المتصفح أو الصور أو السجلات المتاحة للآخرين.
• تخصيص أقل قدر لازم من الصلاحيات، وفصل مفاتيح الاختبار عن الإنتاج متى أتاحت الخدمة ذلك.
• تفعيل المصادقة متعددة العوامل عند إتاحتها، وإلغاء الوصول الذي انتهت الحاجة إليه أو تغيّرت مسؤولية صاحبه.
• إلغاء أو استبدال مفاتيح الوصول فور الاشتباه في انكشافها، باستخدام الوسيلة المتاحة، وإبلاغ الجهة المختصة دون تأخير.

حماية البيانات أثناء الاستخدام

لحماية البيانات أثناء إرسال الطلبات ومعالجة النتائج، يلتزم المستخدم بما يأتي:

• الاقتصار على البيانات اللازمة لتنفيذ الطلب، والتأكد من وجود صلاحية لاستخدامها وإرسالها إلى الخدمة.
• عدم إرسال كلمات مرور أو مفاتيح سرية أو بيانات مصنفة أو حساسة، وعدم إرسال بيانات شخصية إلا إذا كانت الخدمة معتمدة لاستقبالها واستُوفيت متطلبات الجهة ذات العلاقة.
• استخدام نقاط الاتصال الرسمية المشفرة عبر HTTPS، وعدم تعطيل التحقق من شهادات الاتصال.
• تجنّب تسجيل محتوى الطلبات أو الاستجابات إذا احتوى على بيانات حساسة؛ وحجب الأسرار والبيانات الشخصية من سجلات التشخيص والمرفقات.
• حماية البيانات والنتائج المخزنة لدى الجهة المستفيدة، وقصر الوصول عليها والاحتفاظ بها على الحاجة المصرّح بها وشروط الترخيص والسياسات ذات الصلة.

الاستخدامات المحظورة

يُحظر استخدام البوابة وخدماتها في أي من الممارسات الآتية:

• محاولة الوصول إلى حسابات أو بيانات أو وظائف دون تصريح، أو تجاوز آليات المصادقة والصلاحيات.
• مشاركة مفاتيح الوصول أو بيعها أو استخدامها باسم جهة أخرى دون تفويض.
• تعطيل الخدمة أو إغراقها بالطلبات أو التحايل على الحصص، بما في ذلك توزيع الطلبات على حسابات متعددة لتجاوز الحدود.
• إدخال شفرات خبيثة أو استغلال الثغرات أو إجراء فحوص أمنية واختبارات اختراق دون تصريح مكتوب يحدد النطاق والمدة.
• جمع الموارد أو نسخها أو إعادة توزيعها بما يخالف التراخيص والصلاحيات الممنوحة.
• استخدام الخدمات في انتحال الهوية أو الاحتيال أو انتهاك الخصوصية أو حقوق الآخرين.

سلامة التكاملات الآلية وMCP

عند ربط الخدمات بالتطبيقات أو الوكلاء أو أدوات MCP، تُراعى الضوابط الآتية:

• مراجعة الصلاحيات الممنوحة للتطبيقات والوكلاء والأدوات الخارجية، وقصرها على الوظائف والبيانات المطلوبة.
• التحقق من وجهة الاتصال وهوية الخدمة قبل إرسال مفاتيح الوصول أو البيانات.
• التعامل مع النصوص والنتائج المسترجعة بوصفها بيانات غير موثوقة؛ وعدم تنفيذ تعليمات مضمنة فيها تمنح وصولًا إضافيًا أو تكشف أسرارًا.
• اشتراط موافقة المستخدم المخوّل قبل العمليات الحساسة، مثل إرسال بيانات إلى جهة خارجية أو تعديل بيانات أو حذفها، عند دعم هذه العمليات.
• ضبط إعادة المحاولة والتزامن والتخزين المؤقت وفق التوثيق الفني، بما يمنع تكرار الطلبات بصورة تضر بالخدمة.

الإبلاغ عن الحوادث والثغرات

عند الاشتباه في اختراق حساب أو تسرب مفتاح وصول أو كشف بيانات أو وجود ثغرة، يجب إيقاف الاستخدام الذي قد يزيد الأثر وإلغاء المفاتيح المتأثرة أو استبدالها متى أمكن، وإبلاغ الجهة المسؤولة عن الخدمة دون تأخير. تُرسل البلاغات إلى البريد الشبكي arai@ksaa.gov.sa. يُكتفى في التواصل الأولي بوصف مختصر، ووقت الملاحظة، واسم الخدمة المتأثرة، ومعرّف الطلب إن توفر، مع حجب البيانات الحساسة. لا تُرسل كلمات المرور أو مفاتيح الوصول الكاملة أو بيانات مستخدمين آخرين أو تفاصيل تقنية تتيح استغلال الثغرة؛ ويُنسّق إرسال التفاصيل اللازمة مع الفريق المختص عبر وسيلة مناسبة. عند اكتشاف ثغرة، يُوقف أي اختبار قد يزيد أثرها، ولا تُستخرج بيانات إضافية أو تُنشر تفاصيل تمكّن من استغلالها.

التعامل مع المخالفات

يجوز للجهة المشغلة، وفق الصلاحيات والإجراءات المعتمدة وبعد تقييم المخاطر، تقييد الطلبات أو إلغاء مفاتيح الوصول أو تعليق الحساب مؤقتًا عند وجود إساءة استخدام أو تهديد لأمن الخدمة. ويُوثق سبب الإجراء، ويُخطر المستخدم متى كان ذلك مناسبًا ولا يؤثر في معالجة الحادث. يمكن للمستخدم طلب مراجعة الإجراء من الجهة المشغلة، مع توضيح الخدمة المتأثرة ومعرّف الطلب أو الحساب دون إرسال بيانات الدخول السرية. تُرسل طلبات المراجعة إلى البريد الشبكي arai@ksaa.gov.sa. ويُعاد الوصول بعد معالجة السبب والتحقق من استيفاء متطلبات الاستخدام الآمن، بقرار الجهة المخوّلة.

المسؤوليات

تتوزع مسؤوليات الاستخدام الآمن بين المستخدم والجهات المسؤولة عن تشغيل البوابة وحمايتها:

• المستخدم أو المطور: حماية بيانات الوصول، وتأمين تطبيقه وتكاملاته، والالتزام بحدود الاستخدام والتراخيص، والإبلاغ عن الحوادث.
• إدارة البوابة: توضيح متطلبات التكامل وحدود الاستخدام، وإدارة الصلاحيات، وتنفيذ إجراءات التقييد واستعادة الوصول وفق اختصاصها.
• فريق الأمن السيبراني: تقييم البلاغات الأمنية وتنسيق معالجة الحوادث ومراجعة متطلبات الحماية وفق اختصاصه.

التعديلات على السياسة

تُراجع هذه السياسة دوريًا وعند حدوث تغييرات جوهرية في الخدمات أو المخاطر أو المتطلبات ذات العلاقة. وتُنشر التحديثات في هذه الصفحة، مع توضيح تاريخ سريان التغييرات المؤثرة وإشعار المستخدمين بها عبر وسائل التواصل المتاحة بحسب طبيعة التغيير. يُنصح بالرجوع إلى هذه الصفحة للاطلاع على أحدث متطلبات الاستخدام الآمن.