المسودة v1.0

المؤلفون: فريق أمان وهندسة Energent.ai

الملخص

توفر Energent.ai وكيل سطح مكتب افتراضي مدعوم بالذكاء الاصطناعي يقوم بأتمتة سير العمل المعقدة متعددة التطبيقات لمستخدمي المؤسسات. نظرًا لأن الوكيل يعمل على بيانات الأعمال الحساسة وقد يتم منحه صلاحيات واسعة على أجهزة سطح المكتب والموارد السحابية للمستخدمين، فإن الأمان والخصوصية هما الأساس في تصميم منتجنا. توثق هذه الورقة البيضاء نموذج التهديد، وهندسة الدفاع، وضوابط الأمان، ووضع الامتثال لمنصة Energent. تم تصميمها على النهج المنظم المدفوع بالبيانات المستخدم في ورقة CambioML AnyParser البيضاء، وتتوافق مع أفضل الممارسات في عمود الأمان المعماري الجيد من AWS وإرشادات ضوابط الأمان NIST SP 800-53 Rev 5.

جدول المحتويات

1. مقدمة
2. هندسة منصة Energent
3. نموذج التهديد
4. ضوابط الأمان
5. الامتثال والحوكمة
6. الأمان التشغيلي
7. خيارات نشر العملاء
8. الخاتمة
9. الملحق أ - رسم الخرائط للضوابط
10. المراجع

1 مقدمة

1.1 الغرض

تمكن هذه الوثيقة فرق الأمان وتكنولوجيا المعلومات والامتثال من تقييم ما إذا كانت Energent.ai تلبي متطلبات الأمان التنظيمية الخاصة بهم. توضح كيفية حماية البيانات والأنظمة والمستخدمين طوال دورة حياة الوكيل، من التطوير إلى عمليات الإنتاج.

1.2 النطاق

• Energent Cloud (SaaS). خدمة متعددة المستأجرين تديرها Energent.ai على AWS.
• السحابة الخاصة / المعزولة VPC. مجموعة مخصصة لمستأجر واحد تم نشرها في حساب يتحكم فيه العميل على AWS أو Azure أو GCP.
• النشر المحلي / VM. صورة VM لنظام Linux معزولة عن الشبكة للبيئات ذات التنظيم العالي.

1.3 الجمهور

CISOs، مهندسو الأمان، مهندسو DevOps، المدققون، والمهنيون في الشراء الذين يقيمون Energent.ai.

2 هندسة منصة Energent

2.1 المكونات عالية المستوى

الشكل 1. عرض منطقي لمكونات Energent وحدود الثقة.

2.2 مبادئ الأمان من التصميم

1. أقل امتياز وتقسيم دقيق. تحدد أدوار IAM ومجموعات الأمان كل خدمة بأقل الأذونات المطلوبة.
2. تشفير شامل. TLS 1.2+ للبيانات أثناء النقل؛ AES-256-GCM للبيانات في حالة السكون باستخدام مفاتيح مدارة من KMS.
3. بنية تحتية غير قابلة للتغيير. يتم إعادة بناء جميع عقد الحوسبة من AMIs الموقعة؛ لا تغييرات في المكان.
4. أتمتة الامتثال المستمر. حواجز مبرمجة في IaC وقواعد AWS Config لاكتشاف الانحراف.

3 نموذج التهديد

3.1 الأصول

• بيانات اعتماد المستخدم ورموز API
• عناصر سير العمل (لقطات الشاشة، البيانات المستخرجة، الوثائق المولدة)
• منطق سير العمل الملكية

3.2 الخصوم والقدرات

3.3 حدود الثقة

• عزل المستأجرين بين مجموعات العملاء.
• الفصل بين طائرة التحكم وطائرة البيانات.
• بيئة المعزولة داخل VM مقابل بيئة المضيف.

4 ضوابط الأمان

4.1 الهوية والمصادقة والتفويض

• SSO عبر SAML 2.0 / OIDC مع فرض MFA.
• سياسات IAM ABAC دقيقة لجميع الخدمات الدقيقة.
• وصول متميز في الوقت المناسب (JIT) مع انتهاء تلقائي.

4.2 أمان الشبكة والبنية التحتية

• بوابات خروج فقط على مستوى VPC؛ لا توجد موازين تحميل عامة في وضع السحابة الخاصة.
• يتم إنهاء جميع حركة مرور API عند AWS ALB مع WAF WebACL (مجموعة قواعد OWASP Top 10).
• الاتصال الخاص الاختياري عبر AWS PrivateLink أو VPN العميل.

4.3 حماية البيانات

• تشفير من جانب الخادم (SSE-KMS) لـ S3؛ SDK تشفير من جانب العميل متاحة.
• تشفير على مستوى الحقل للبيانات الشخصية / الصحية باستخدام AES-256 + مفاتيح الظرف.
• تدوير المفاتيح تلقائيًا ومفاتيح CMKs لكل مستأجر.

4.4 أمان التطبيقات

• معايير البرمجة الآمنة (OWASP ASVS L2).
• خطوط أنابيب SCA وSAST وDAST مؤتمتة مدمجة في CI/CD.
• قفل الاعتماد مع توقيعات PyPI/npm الموثوقة.

4.5 إدارة الأسرار والمفاتيح

• يتم تخزين الأسرار في AWS Secrets Manager مع تدوير تلقائي.
• يقوم الوكلاء بسحب رموز الجلسة المحددة زمنياً عبر STS AssumeRole، وليس مفاتيح طويلة الأمد.

4.6 دورة حياة التطوير الآمن

• نمذجة التهديد لكل ملحمة (منهجية STRIDE).
• تتطلب مراجعات الشيفرة موافقة شخصين واجتياز بوابات الأمان.
• بناءات قابلة للتكرار مع أصل Sigstore.

5 الامتثال والحوكمة

5.1 نموذج المسؤولية المشتركة

تتبنى Energent نهج المسؤولية المشتركة من AWS، حيث تؤمن AWS السحابة الأساسية "للسحابة"، وتؤمن Energent كل شيء "في السحابة."

5.2 شهادات التدقيق (قيد التقدم 2025)

5.3 رسم الخرائط للضوابط

يوفر الملحق أ رسم خرائط تفصيلية لضوابط Energent إلى عائلات NIST SP 800-53 Rev 5 (AC، AU، SC، SI، إلخ).

6 الأمان التشغيلي

6.1 المراقبة والاكتشاف والاستجابة

• تجميع سجلات مركزي في Amazon OpenSearch مع نسخ احتياطية غير قابلة للتغيير في S3.
• تتيح GuardDuty وInspector وSecurity Hub اكتشاف التهديدات المستمر.
• فريق استجابة حوادث الأمان (SIRT) متاح على مدار الساعة مع كتب تشغيل موثقة.

6.2 إدارة الثغرات واختبار الاختراق

• مسح صور الحاويات أسبوعيًا؛ يتم تصحيح الثغرات الحرجة خلال 24 ساعة.
• اختبارات اختراق سنوية من طرف ثالث واختبارات مخصصة للعميل مسموح بها.

6.3 استمرارية الأعمال واستعادة الكوارث

• يتم تخزين جميع البيانات المستمرة في S3 متعدد المناطق، مع نسخ مكررة عبر المناطق.
• RPO ≤ 15 دقيقة، RTO ≤ 1 ساعة للخدمات الحرجة.

7 خيارات نشر العملاء

7.1 Energent Cloud (SaaS)

• الخيار الافتراضي؛ أسرع عملية انضمام؛ يرث أمان بنية AWS التحتية العالمية.

7.2 السحابة الخاصة / المعزولة VPC

• يتم نشر مجموعة Energent بواسطة Terraform في حساب AWS الخاص بالعميل، مع التحكم في مكان البيانات.

7.3 النشر المحلي / VM فقط

• صورة VM قادرة على العمل في وضع عدم الاتصال؛ دعم مصادقة الجذر الصلب عبر TPM/SGX.

8 الخاتمة

تجمع Energent.ai بين هندسة الدفاع في العمق، والعمليات التشغيلية الدقيقة، والامتثال الشفاف لحماية بيانات العملاء في كل طبقة. من خلال الالتزام بأطر العمل الرائدة في الصناعة مثل AWS Well-Architected وNIST SP 800-53، نقدم منصة تمكّن الأتمتة الآمنة والقابلة للتوسع دون المساس بثقة المستخدم.

الملحق أ - رسم الخرائط للضوابط (مقتطف)

المصفوفة الكاملة متاحة عند الطلب.

المراجع

1. إطار عمل AWS Well-Architected - عمود الأمان، 6 نوفمبر 2024
2. NIST SP 800-53 Rev 5، "ضوابط الأمان والخصوصية للأنظمة والمعلومات"، سبتمبر 202
3. CambioML وEpsilla، "تحقيق دقة 2× في استرجاع المعرفة من المخططات والجداول"، 2 أغسطس 2024