لماذا Rust: بنية نظام Tarleaks ERP، ولماذا يناسب مناقصات الجهات الحكومية والبنية التحتية الحيوية في الخليج

بُني نظام Tarleaks ERP بلغة Rust، وهي لغة برمجة تمنع أخطاء الذاكرة التي تقف وراء معظم الثغرات الأمنية في البرامج القديمة. لكل شركة قاعدة بيانات خاصة بها، وتسجّل قاعدة البيانات نفسها كل تغيير، ويعمل النظام بالعربية والإنجليزية، على سحابتنا أو على خوادمك. إليك كيف يجيب هذا التصميم عن أسئلة المناقصات في الخليج.

ما الذي تغيّر. 31 أكتوبر 2026: النسخة الأولى.

الإجابة المختصرة

تطرح الجهات الحكومية ومشغّلو البنية التحتية الحيوية في الخليج الأسئلة الأربعة نفسها على أي نظام أعمال. هل بُني البرنامج بطريقة آمنة؟ هل بياناتنا منفصلة عن بيانات غيرنا؟ هل نستطيع أن نعرف من فعل ماذا؟ هل يمكن أن تبقى البيانات حيث تشترط أنظمتنا؟

يجيب Tarleaks عن السؤال الأول بلغته البرمجية. شيفرتنا آمنة في استخدام الذاكرة بحكم تصميمها، مع كتلة unsafe واحدة موثّقة ومراجَعة. ويجيب عن السؤال الثاني بقاعدة بيانات مستقلة لكل شركة، وعن الثالث بسجل تغييرات تكتبه قاعدة البيانات نفسها، وعن الرابع بأن يترك لك اختيار مكان تشغيل النظام وبياناته.

لا شيء من ذلك شهادة. إنه دليل تستطيع أن تختبره بنفسك، وبقية هذا الدليل تشرح ما هو، ومن أين يأتي، وكيف يرتبط بالضوابط التي تذكرها المناقصات في السعودية والإمارات.

لماذا يهمّ أمان الذاكرة الجهة الحكومية

معظم البرامج الكبيرة المستخدمة اليوم مكتوبة بلغتي C أو C++. تسمح هاتان اللغتان للبرنامج بأن يقرأ من الذاكرة أو يكتب فيها ما لا يجوز له، وحين يحدث ذلك خطأً يستطيع المهاجم في أحيان كثيرة أن يحوّله إلى طريق للدخول. هذه هي أخطاء أمان الذاكرة، والأرقام المتعلقة بها كبيرة.

• Microsoft. نحو 70% من الثغرات التي تمنحها Microsoft رقم CVE كل عام هي مشكلات في أمان الذاكرة (مركز الاستجابة الأمنية في Microsoft، 16 يوليو 2019).
• نظام Android من Google. كانت مشكلات أمان الذاكرة 76% من ثغرات Android في عام 2019، ثم أصبحت 24% في عام 2024، مع انتقال الشيفرة الجديدة إلى لغات آمنة في استخدام الذاكرة (Google، 25 سبتمبر 2024). وفي نوفمبر 2025 أعلنت Google أن هذه النسبة انخفضت إلى ما دون 20% لأول مرة.
• لغة Rust مقابل C وC++ في Google. تقدّر Google عدد الثغرات في شيفرة Rust داخل Android بنحو 0.2 ثغرة لكل مليون سطر، مقابل ما يقارب 1,000 ثغرة في أمان الذاكرة لكل مليون سطر في شيفرة C وC++ لديها، أي انخفاض بمقدار 1000x. كما أن تغييرات Rust أُلغيت بعد اعتمادها بمعدل أقل بنحو 4x، واستغرقت مراجعتها وقتاً أقل بنحو 25% (Google، 13 نوفمبر 2025).
• التوجيهات الحكومية. في 24 يونيو 2025 نشرت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) ووكالة الأمن القومي الأمريكية (NSA) دليلاً مشتركاً بعنوان Memory Safe Languages: Reducing Vulnerabilities in Modern Software Development. ويقول الدليل إن اعتماد لغات آمنة في استخدام الذاكرة يقدّم أشمل وسيلة للحد من هذه الفئة من الثغرات (CISA).

يهمّ ذلك الوزارة أو شركة المرافق أو المصرف لأن نظام ERP يحمل الرواتب والبيانات المصرفية ووثائق الهوية والعقود والفواتير. وفئة كاملة من الهجمات لا تجد موطئ قدم هي فئة لا تحتاج إلى ترقيعها أو مراقبتها أو شرحها للمدقق.

ولا نقدّم أمان الذاكرة على أنه الأمن كله. فهو لا يختار كلمات مرور قوية، ولا يضبط الصلاحيات الصحيحة، ولا يهيّئ جدار الحماية. لكل ذلك ضوابطه الخاصة، والأقسام التالية تتناول الضوابط التي يتحمل نظام ERP مسؤوليتها.

ما معنى «كتلة unsafe واحدة موثّقة ومراجَعة»

تتحقق لغة Rust من أمان الذاكرة عند الترجمة البرمجية للشيفرة. ويستطيع المبرمج أن يوقف هذا التحقق لبضعة أسطر بوضع علامة unsafe عليها، وهو أمر يُحتاج إليه أحياناً للتعامل مع نظام التشغيل أو مع العتاد. وداخل هذه الكتلة يصبح المبرمج، لا المترجم، هو المسؤول عن الأمان.

في الشيفرة التي نشغّلها لعملائنا توجد كتلة واحدة فقط من هذا النوع. وهي تفتح، للقراءة فقط وعبر ربطها بالذاكرة، الملف الذي تستخدمه خدمة تحليلات الموقع لمعرفة البلد من عنوان الإنترنت. وفوقها مباشرة حجة أمان مكتوبة: يُكتب الملف قبل بدء الخدمة ولا يتغير أبداً أثناء عملها، وهذه هي الحالة الوحيدة التي تحذّر منها المكتبة. وقد مرّت بمراجعة الشيفرة كأي تغيير آخر.

العبارة التي نقولها سهلة القول وسهلة الكسر، لذلك جعلناها قابلة للاختبار. يعمل فحص آلي مع كل تغيير في الشيفرة. يسرد هذا الفحص كل unsafe في المستودع مع سببه، ويشترط حجة الأمان المكتوبة لأي كتلة في الشيفرة التي نشغّلها، ويوقف البناء إذا ظهرت كتلة جديدة غير مدرجة، أو إذا لم يعد العدد في الشيفرة المشغَّلة مطابقاً للرقم المذكور في هذا المقال. أدوات الاختبار وأمثلة المطوّرين مدرجة أيضاً، لكنها لا تدخل في المنتج أبداً.

وملاحظة صريحة أخرى. يستخدم برنامجنا، مثل كل برنامج مكتوب بلغة Rust، مكتبات مفتوحة المصدر، وبعضها يحتوي على شيفرة منخفضة المستوى خاصة بها لا يشملها عدّنا. ونحن نثبّت إصدار كل مكتبة مع بصمتها الرقمية، ونطابق القائمة مع قاعدة بيانات التنبيهات الأمنية العامة الخاصة بلغة Rust.

البنية في خمسة أجزاء

1. كل وحدة خدمة مستقلة

يتكوّن Tarleaks من أكثر من 40 خدمة مستقلة مكتوبة بلغة Rust: الموارد البشرية والرواتب والمحاسبة وإدارة علاقات العملاء والمخزون والمستندات وغيرها. تعمل كل خدمة برنامجاً مستقلاً له قسمه الخاص في قاعدة البيانات. ولا تقرأ أي وحدة جداول وحدة أخرى. فحين تُرحِّل الرواتب مسيّرها إلى دفتر الأستاذ، ترسل رسالة، وتسجّل المحاسبة قيداً متوازناً مرة واحدة فقط، حتى لو وصلت الرسالة مرتين.

يمرّ كل طلب ببوابتين. تتحقق بوابة الدخول أولاً من أن ترخيص الشركة يشمل الوحدة المطلوبة، ثم تتحقق الخدمة من صلاحية المستخدم لهذا الإجراء بعينه، مثل «اعتماد مسيّر الرواتب». إخفاء زر في الشاشة وسيلة راحة للمستخدم، أما الضابط الحقيقي فهو رفض الخادم.

2. قاعدة بيانات مستقلة لكل شركة

تُحفظ السجلات التجارية لكل شركة في قاعدة بيانات خاصة بها، لا في جداول مشتركة تحمل اسم الشركة في عمود. فالخطأ في تقرير واحد لا يمكن أن يعرض صفوف شركة أخرى، لأنها ليست موجودة فيه أصلاً. وفوق تسجيل الدخول، يُقارَن كل طلب بعنوان الشركة الذي جاء منه، فإذا استُخدم دخول صحيح على عنوان شركة أخرى رُفض الطلب وسُجِّل.

وهذا يبسّط الأسئلة الصعبة أيضاً. فالنسخ الاحتياطي للبيانات التجارية لشركة واحدة أو استعادتها أو نقلها أو حذفها عملية على قاعدة بيانات واحدة، لا تصفية عبر بيانات الجميع.

3. سجل لكل تغيير

تسجّل قاعدة البيانات نفسها القيمة القديمة والجديدة لكل حقل يتغير، ونسخة كاملة من أي صف يُضاف أو يُحذف، في كل جدول متتبَّع. ولا يعتمد ذلك على تذكّر كل شاشة أن تسجّل: فالتغييرات التي تأتي من الشاشات وعمليات الاستيراد والبرامج النصية كلها تُلتقط في الجداول المتتبَّعة. ولكل قيد وقته والقيمة قبله وبعده. ويذكر القيد اسم الشخص حيثما يمرّر التطبيق هويته، وهذا يشمل معظم التغييرات التي تتم في التطبيق، وإلا رجع إلى من أنشأ الصف أو عدّله آخر مرة، وحين لا يُعرف أيٌّ منهما يقول ذلك ولا يخمّن.

وبشكل منفصل، يكتب كل تغيير على بيانات شخصية قيداً في سجل التدقيق يتضمن غرضه وأساسه القانوني وصاحب البيانات التي مسّها والبلد والموعد الذي يجوز فيه إتلاف القيد. وحين يطلب شخص معرفة ما يُحفظ عنه، تعرض الموارد البشرية قيود التدقيق المسجّلة باسمه. كما توجد سلسلة اختيارية تكشف العبث، تربط كل قيد تدقيق بالقيد الذي قبله، فيظهر أي صف حُذف أو أُدخل.

4. العربية والإنجليزية من الأساس

الواجهة متاحة بالعربية والإنجليزية، ومن اليمين إلى اليسار بالعربية، ويختار كل مستخدم لغته. والصلاحيات والموافقات وسجل التدقيق واحدة في اللغتين، ويمكن ضبط المساعد المدمج ليجيب بالعربية للشركة كلها.

5. أنت تختار مكان التشغيل

يمكنك استخدام سحابتنا، أو ربط مساحة تخزين خاصة بك للملفات، أو وضع البيانات التجارية في قاعدة بيانات PostgreSQL خاصة بك عند إعداد مساحة العمل، أو تثبيت النظام كله على خوادمك. وعلى سحابتنا تبقى حسابات الدخول والإعدادات والترخيص وسجل التدقيق على خوادمنا، ولا يبقي كل ذلك عندك إلا التثبيت على خوادمك. النسخ الاحتياطي مفعّل افتراضياً، ويُؤخذ يومياً ويُحفظ 30 يوماً في مساحة التخزين التي تربطها الشركة، وإلى أن تُربط مساحة تخزين تُسجَّل كل محاولة على أنها فشلت بدل أن تُتخطى بصمت. ويستطيع المسؤول أن يأخذ نسخة احتياطية في أي وقت وينزّل نسخة منها. ومدة الاحتفاظ بمستندات الموظفين تتبع البلد، فهي مثلاً خمس سنوات لسجلات الإمارات والسعودية.

كيف يرتبط التصميم بمتطلبات المناقصات في الخليج

كثيراً ما تذكر وثائق المناقصات في المنطقة مجموعة ضوابط وطنية. وفيما يلي كيف يمنحك التصميم السابق أدلة على الضوابط التي يمسّها نظام ERP. هذه الضوابط موجّهة إلى الجهة الحكومية أو المشغّل، والعمود الأخير هو ما يتيح Tarleaks لتلك الجهة أن تثبته.

ثلاث تفاصيل من النصوص الرسمية تستحق أن تعرفها قبل أن تكتب مناقصة أو تجيب عنها.

• السعودية. تنطبق الضوابط الأساسية للأمن السيبراني ECC-2:2024 على الجهات الحكومية والشركات التابعة لها، وعلى جهات القطاع الخاص التي تملك بنى تحتية وطنية حساسة أو تشغّلها أو تستضيفها. وفي هذا الإصدار حُذف الضابط الفرعي الذي كان يشترط أن تكون الاستضافة والتخزين داخل المملكة (4-2-3-3)، وانتقلت ضوابط توطين البيانات إلى مكتب إدارة البيانات الوطنية في الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). لذلك اسأل عن قواعد تصنيف البيانات وتوطينها التي يتبعها مشروعك، لا عن ضوابط الهيئة وحدها.
• الإمارات. تُلزم لائحة ضمان المعلومات في الإمارات (هيئة تنظيم الاتصالات والحكومة الرقمية، الإصدار 1.1، مارس 2020) جميع الجهات الحكومية في الدولة والجهات التي تُحدَّد على أنها حيوية، وتوصي بها الجميع. كما ينشر مجلس الأمن السيبراني لدولة الإمارات معيار ضمان المعلومات. تحقّق من الوثيقة والإصدار اللذين تذكرهما مناقصتك.
• البيانات الشخصية. يشمل المرسوم بقانون اتحادي رقم 45 لسنة 2021 في الإمارات البيانات الشخصية التي تُعالج كلياً أو جزئياً بأنظمة إلكترونية، ويحدد الموافقة والحقوق، ويضع قواعد للنقل إلى الخارج. ودخل نظام حماية البيانات الشخصية في السعودية حيز النفاذ في 14 سبتمبر 2023، وانتهت مهلة السنة الممنوحة للالتزام به في 14 سبتمبر 2024. ولبعض المناطق الحرة، مثل مركز دبي المالي العالمي، قانون خاص بها لحماية البيانات.

ما لا ندّعيه

لا ندّعي أن Tarleaks حاصل على شهادة امتثال للضوابط الأساسية للأمن السيبراني، أو للائحة ضمان المعلومات في الإمارات، أو لأي قانون لحماية البيانات، ولا يستطيع أي برنامج أن يجعل الجهة ممتثلة وحده. الامتثال صفة في الجهة نفسها: سياساتها وموظفوها وشبكتها ومورّدوها، يُقيَّمون معاً. ما يستطيع المورّد فعله هو أن يجيب عن كل سؤال بشيء يمكنك التحقق منه. هذا هو المعيار الذي نلتزم به هنا، وهو المعيار الذي ينبغي أن تطالب به كل متقدّم للمناقصة.

أسئلة تطرحها على أي مورّد لنظام ERP في المناقصة

تصلح هذه الأسئلة لكل المتقدّمين، ونحن منهم. اطلب إجابة مكتوبة وطريقة للتحقق منها.

• بأي لغات برمجة كُتب المنتج، وكم من الشيفرة التي تُشغَّل للعملاء يوقف فحوص الأمان في اللغة؟ اطلب القائمة.
• هل بيانات كل عميل في قاعدة بيانات خاصة به، أم في جداول مشتركة فيها عمود لاسم العميل؟
• هل يسجّل سجل التغييرات القيمة قبل التغيير وبعده، وهل يكتبه التطبيق أم قاعدة البيانات؟
• هل يمكن تشغيل النظام على خوادمنا، أو إبقاء البيانات في قاعدة بيانات خاصة بنا؟ وماذا يتغير في الدعم عندئذ؟
• كيف نستعيد كل بياناتنا، بصيغة قابلة للاستخدام، إذا قررنا الانتقال؟
• بأي مجموعة ضوابط وأي إصدار ربطتم إجاباتكم، ومن راجع هذا الربط؟

كيف تساعدك Tarleaks

يعرض Tarleaks على الجهات العامة ومشغّلي البنية التحتية في الخليج نظام ERP آمناً في استخدام الذاكرة بحكم تصميمه، يفصل البيانات التجارية لكل شركة في قاعدة بيانات خاصة بها، ويسجّل كل تغيير في قاعدة البيانات نفسها، ويعمل بالعربية والإنجليزية على سحابتنا أو على خوادمك. ويعرض دليل الأمان وحماية البيانات كل ضابط مع حالته. وفي المناقصات نجيب عن استبيانك الأمني بهذه الأدلة ونعرضها تعمل في عرض مباشر.

ماذا تفعل بعد ذلك

• اقرأ ميزات الأمان وحماية البيانات مع حالة كل ميزة.
• تختار نظاماً الآن؟ استخدم الأسئلة الخمسة عشر للعرض التجريبي، وأضف إليها الأسئلة الستة أعلاه.
• إذا كان فريقك المالي يواجه أيضاً مواعيد الفوترة الإلكترونية، فاقرأ الجدول الزمني للفوترة الإلكترونية في الإمارات.
• احجز عرضاً تجريبياً وأحضر معك الاستبيان الأمني لمناقصتك.

أسئلة شائعة

هل نظام Tarleaks ERP حاصل على شهادة امتثال للضوابط الأساسية للأمن السيبراني أو للائحة ضمان المعلومات في الإمارات؟

لا. هذه الضوابط موجّهة إلى الجهة الحكومية أو المشغّل نفسه، ولا يحدد الامتثال إلا تقييم تلك الجهة. ما يقدّمه Tarleaks هو أدلة على الأسئلة التي تطرحها هذه الضوابط: كيف تُفصل البيانات وتُسجَّل وتُحفظ وتُعاد، وكيف بُني البرنامج.

ماذا يعني أن يكون نظام ERP آمناً في استخدام الذاكرة؟

يعني أن لغة البرمجة نفسها تمنع فئة كاملة من الأخطاء يقرأ فيها البرنامج من الذاكرة أو يكتب فيها ما لا يجوز له. هذه الفئة وراء نحو 70% من الثغرات التي تمنحها Microsoft رقم CVE كل عام. كُتب Tarleaks بلغة Rust التي تمنع هذه الأخطاء عند الترجمة البرمجية، خارج الشيفرة المعلَّمة بكلمة unsafe.

هل يستطيع Tarleaks إبقاء بياناتنا داخل السعودية أو الإمارات؟

نعم، باختيار مكان التشغيل. لإبقاء كل شيء داخل البلد، ثبّت النظام على خوادمك هناك. أما على سحابتنا فيمكن أن تذهب الملفات إلى مساحة تخزين خاصة بك، والبيانات التجارية إلى قاعدة بيانات PostgreSQL خاصة بك تُختار عند الإعداد، بينما تبقى حسابات الدخول والإعدادات والترخيص وسجل التدقيق على خوادمنا.

هل يعمل Tarleaks باللغة العربية؟

نعم. الواجهة متاحة بالعربية والإنجليزية، ومن اليمين إلى اليسار بالعربية، ويختار كل مستخدم لغته. والسجلات والصلاحيات وسجل التدقيق واحدة في اللغتين.

---

معلومات عامة، وليست استشارة قانونية أو استشارة امتثال. رُوجعت مقابل المصادر الرسمية المذكورة في هذه الصفحة في 31 أكتوبر 2026. تتغير مجموعات الضوابط والقوانين: تأكّد من التزاماتك لدى الجهة التنظيمية التي تذكرها مناقصتك أو لدى مستشارك.