كيف يحافظ YPA Finance على أمان بيانات أموالك — وكيف بنيناه ليكون كذلك

معظم التطبيقات تقول إن أمانك هو أولويتها. إليك ما يعنيه ذلك فعلاً في الممارسة — البنية المعمارية، والشركاء، والمعايير، والقرارات التي اتخذناها قبل أن نكتب سطراً واحداً من كود المنتج.

الأمان واحدة من تلك الكلمات التي تُستخدم كثيراً حتى تتوقف عن أن تعني شيئاً. كل تطبيق مالي يقول إنه يأخذها بجدية. لا أحد منهم تقريباً يشرح كيف يبدو ذلك فعلياً تحت الغطاء.

لذا سأفعل شيئاً مختلفاً. سأخبركِ بالضبط كيف بنينا البنية التحتية الأمنية لـ YPA Finance — معايير التشفير التي نستخدمها، والشركاء الذين اخترناهم ولماذا، والأشياء التي لا نخزّنها أبداً، وأين نقف في رحلتنا نحو الامتثال. التفاصيل الدقيقة، لا الشعارات.

إذا كنتِ قد قرأتِ مقالي عن ربط حسابك المصرفي بتطبيق مالي، هذا المقال يذهب طبقة أعمق.

الأمان لم يُضَف لاحقاً. كان هو نقطة الانطلاق.

رأيتُ ما يحدث عندما تركّب الشركات الناشئة الأمان لاحقاً. يظهر ذلك في بنيتها المعمارية، وفي نموذج بياناتها، وفي طريقة استجابتها للحوادث. تُلاحَظ.

عندما صمّمنا YPA Finance، اتخذنا قراراً مبكراً: لن نخزّن أي شيء لا نحتاجه على الإطلاق. ليس بيانات اعتمادك المصرفية. وليس Social Security Number الخاص بك. وليس أرقام بطاقات الدفع الخاصة بك. إذا لم نكن نحتفظ بالبيانات، فلا يمكن سرقتها منا. هذا ليس بياناً فلسفياً — إنه قيد معماري بنينا حوله المنتج بأكمله.

ذلك القرار الواحد انتهى بأن قاد كل شيء آخر تقريباً — مع من شاركنا، وكيف هيكلنا نموذج بياناتنا، وما اتفقنا على ألا نلمسه أبداً.

طبقة التشفير: AES-256 و TLS 1.3

كل بايت من بياناتك المالية في YPA Finance يُشفَّر بـ AES-256 في حالة السكون. وأثناء النقل، نستخدم TLS 1.3 — المعيار نفسه الذي تستخدمه المؤسسات المالية الكبرى في الولايات المتحدة.

AES-256 يعني أنه حتى لو استخرج شخص ما بطريقة ما بيانات خامة من خوادمنا، سيحصل على كتلة مشفّرة تستغرق كسرها بالقوة الغاشمة وقتاً أطول من عمر الكون. TLS 1.3 يعني أن البيانات التي تتنقل بين هاتفك وخوادمنا لا يمكن اعتراضها بشكل قابل للقراءة.

أريد أن أكون محددة هنا لأن هذا بالضبط نوع التفاصيل الذي تتركه معظم التطبيقات غامضاً. هذه ليست ادعاءات تسويقية — إنها معايير إما أن تستوفيها أو لا. نحن نستوفيها.

الشركاء الذين اخترناهم — ولماذا اخترناهم

كتبتُ بشكل منفصل عن كيف تعمل اتصالات البنوك فعلاً، فلن أكرّر الشرح الكامل هنا. النسخة المختصرة: نستخدم Plaid لاتصالات البنوك، وEquifax via Array لبيانات الائتمان، وStripe للمدفوعات. في كل حالة، تلخّص الاختيار في شيء واحد — لم نرغب في التعامل مع بيانات لا يحقّ لنا التعامل معها.

نحن لا نرى أبداً كلمة مرور بنكك. ولا نرى أبداً رقم بطاقتك. ولا نرى ولا نخزّن أبداً Social Security Number أو ITIN الخاص بك. كل واحد من هذه يمر عبر مزوّد منظَّم ومُصمَّم خصيصاً للتعامل معه بأمان.

القرار الهندسي وراء ذلك ليس فقط "استخدام شركاء جيدين". بل أن نموذج بياناتنا قد قُيِّد عمداً — صمّمنا بنيته حول ما لن نحتفظ به أبداً، لا حول ما سنحتفظ به فقط. هذا القيد حدّد بعد ذلك أيّ الشركاء يمكننا حتى استخدامه. نموذج OAuth الخاص بـ Plaid، تدفق التحقق من الهوية لـ Array، معالجة المدفوعات لـ Stripe — كلها متوافقة مع نظام يرفض أن يكون في الحلقة بالنسبة لبيانات الاعتماد الحساسة.

البنية التحتية: Google Cloud، مُحصَّنة منذ اليوم الأول

يعمل YPA Finance على Google Cloud Platform. تُدار بنيتنا التحتية بـ Terraform — أي أن كل تغيير في أنظمتنا مُتحكَّم في إصداراته، قابل للتدقيق، ويُراجَع قبل أن يقترب من الإنتاج.

نستخدم Web Application Firewall لحماية الـ APIs، مع rate limiting لحجب محاولات القوة الغاشمة والمسح. المراقبة في الوقت الحقيقي تعني أنه إذا حدث شيء غير معتاد، فإننا نعرف به قبلكِ.

كل طلب لأنظمتنا — سواء جاء من مستخدم أو من خدمة داخلية — يجب أن يُصادَق عليه ويُخوَّل له. لا شيء داخل النظام يُفترض أنه موثوق به افتراضياً.

SOC 2: أين نقف وإلى أين نتجه

أريد أن أكون صادقة بشأن هذا، لأنني رأيتُ شركات أخرى توحي بأنها حاصلة على شهادة SOC 2 وهي ليست كذلك.

نحن لم نحصل بعد على شهادة SOC 2 Type II. نحن نعمل للوصول إليها. ضوابطنا مصمَّمة ومُنفَّذة وفق معايير SOC 2 — ضوابط وصول قائمة على الأدوار، تسجيل تدقيق شامل، اختبارات اختراق منتظمة، مراجعات أمنية من أطراف ثالثة.

لماذا أذكر ذلك أصلاً إذا لم يكتمل بعد؟ لأنني أعتقد أنكِ تستحقّين أن تعرفي أين نقف فعلاً، لا أين نودّ أن تظنّي أننا نقف. الضوابط حقيقية. عملية الاعتماد تستغرق وقتاً. نحن في خضمّها.

الأشياء الخمسة التي لن نفعلها أبداً

ما يمكنك فعله الآن

إذا كنتِ تستخدمين YPA Finance بالفعل: يمكنكِ مراجعة البيانات التي شاركتِها في أي وقت داخل التطبيق. يمكنكِ فصل حسابك المصرفي بنقرتين. يمكنكِ مراسلتنا على security@ypa.finance بأي سؤال محدد عن بياناتك، وسيردّ عليكِ إنسان.

إذا كنتِ تفكّرين في YPA Finance: اقرئي صفحة الأمان لدينا قبل أن تربطي أي شيء. طبّقي القائمة نفسها على كل تطبيق مالي تستخدمينه. أي تطبيق يستحق الثقة ينبغي أن يكون قادراً على الإجابة عن كل سؤال في تلك الصفحة.

الثقة في الفنتك لا تُبنى على وعود. تُبنى على قرارات إما أن تكون صحيحة أو لا — تُتَّخذ قبل أن يراقب أحد، لأن البديل غير مقبول. هذا ما حاولنا بناءه.

---

سفيتلانا بورنينوفا هي شريكة-مؤسِّسة ورئيسة التكنولوجيا في YPA Finance، بـ 15 سنة في الأنظمة المالية و7 سنوات في البنية التحتية. تحمل شهادات AWS وCKA وCKAD وHashiCorp Terraform. أسئلة عن ممارساتنا الأمنية؟ راسليها على security@ypa.finance.