أمن ClickUp والامتثال: ما الذي تغطّيه الشهادات، وما الذي يبقى مسؤوليتك

إجابة سريعة

تنشر ClickUp شهادة تدقيق SOC 2، وشهادات ISO 27001 و27017 و27018، وISO 42001 لإدارة الذكاء الاصطناعي، والامتثال لـ PCI DSS، والتوافق مع GDPR، مع تشفير البيانات أثناء النقل وفي حالة السكون على AWS. هذا كله يغطّي نصف ClickUp من الخط. أما مساحة عملك فتصلك وثنائية التحقق والدخول الموحّد وانتهاء الجلسات مُطفأة.

كل عملية شراء برمجيات جدّية في الخليج تمرّ من البوابة نفسها: يرسل أحدهم في إدارة المخاطر جدولاً، ويسأل الجدول إن كان المورّد حاصلاً على شهادات، ثم تنتظر الصفقة بينما يبحث أحدهم عن ملف PDF. السؤال مشروع، لكنه وحده سؤال ناقص. الشهادة تجيب عن نصف المنظومة الذي يخصّ المورّد، بينما معظم الحوادث التي رأيناها في أدوات إدارة العمل وقعت في النصف الآخر: مساحة عامة لأن العام هو الوضع الافتراضي، ورابط أُرسل لعميل ولم ينتهِ أبداً، ومتعاقد غادر في مارس وبقيت جلسته نشطة حتى يونيو.

هذا هو المقال الثامن في سلسلتنا التعليمية عن المنتج، ويتناول ما تنشره ClickUp عن وضعها الأمني، وما الذي تغطّيه تلك المنشورات فعلاً، والإعدادات داخل مساحة عملك التي لا تشهد لها أي شهادة. وسنكون دقيقين في تحديد الحدّ في نهاية المقال، لأن جزءاً من هذا الموضوع يخصّ مستشارك القانوني لا أي شريك، بمن فينا نحن.

ما الذي تنشره ClickUp بلسانها

تُستضاف ClickUp بالكامل على خدمات أمازون السحابية (AWS)، في بيئة كاملة التكرار يقتصر الوصول إليها على طاقم دعم التشغيل. البيانات أثناء النقل مشفّرة بـ TLS 1.2 أو أعلى، وفي حالة السكون بـ AES-256 مع إدارة المفاتيح عبر AWS KMS. وتقول الشركة إنها تراقب الأمن والتوافر على مدار الساعة، وتُجري اختبارات أمنية آلية بشكل مستمر، وتتعاقد مع طرف ثالث مستقل لاختبار الاختراق، وتشغّل برنامج مكافآت اكتشاف الثغرات.

أما على صعيد الشهادات، فتذكر ClickUp أنها حصلت على شهادة تدقيق لمبادئ خدمات الثقة SOC 2 المركّزة على الأمن، مع تدقيق مستقل لضوابطها مرة سنوياً على الأقل. وتُدرج شهادات ISO 27001 و27017 و27018، وأخيراً ISO 42001 وهو معيار إدارة الذكاء الاصطناعي بمسؤولية. كما تحافظ على امتثال مستمر لـ PCI DSS، وتذكر أن جميع باقاتها تستوفي تشريعات حماية البيانات العالمية الحالية ومنها GDPR وLGPD وCCPA بصيغته المعدّلة بـ CPRA وVCDPA، وتنشر ملحق حماية البيانات (DPA) وقائمة المعالِجين الفرعيين. ويمكن دعم HIPAA عبر اتفاقية شريك أعمال (BAA).

ملاحظة عملية لفريق المشتريات: تقرير SOC 2 وشهادات ISO ليست ملفات عامة للتحميل، بل توجّه ClickUp العملاء لطلبها من فريق المبيعات. اطلبوها مبكراً؛ فهذا أكثر سبب يُعطّل مراجعة أمنية خليجية عند خطوتها الأخيرة.

أين تعيش بياناتكم فعلاً إن كنتم في الخليج

تُخزّن ClickUp بيانات العملاء وتزامنها — المهام والقوائم والمجلدات والمساحات والمستندات والأهداف والمرفقات والأتمتة — في واحدة من خمس مناطق لدى AWS: أوريغون وأوهايو وسيدني وسنغافورة ودبلن. لا توجد منطقة خليجية في هذه القائمة، وتصرّح ClickUp بأنها تطبّق الضمانات نفسها على البيانات في كل المناطق. كما تتيح استضافة محلية للبيانات، فيستطيع العملاء المؤهّلون حصر التخزين في الولايات المتحدة وحدها أو الاتحاد الأوروبي وحده أو سنغافورة وحدها أو أستراليا وحدها، دون رسوم إضافية، ودون تغيير المنطقة إلا بموافقتهم. والإتاحة مرتبطة بالباقة، فتحقّقوا منها في الوثائق الحالية. أما التفصيل الذي يعنينا هنا: العملاء في الإمارات وقطر والكويت المؤهّلون للاستضافة المحلية يُخصَّص لهم مركز بيانات سنغافورة تلقائياً.

اقرأوا الاستثناءات بعناية، فهنا تُربح المراجعات أو تُخسر. التكاملات وصور مساحة العمل تُخزّن خارج المنطقة المختارة. وبيانات المستخدم مثل مصادقة الدخول والملاحظات والتذكيرات تعيش في المنطقة العالمية. وبعض الميزات تُعالَج خارج المنطقة تماماً حين تعتمد على معالِج فرعي — والذكاء الاصطناعي هو المثال المذكور صراحةً. فإن كانت سياستكم تقول «يجب أن تبقى البيانات داخل المنطقة»، فالقراءة الدقيقة هي أن بيانات مساحة العمل الأساسية يمكن تثبيتها في سنغافورة، بينما أجزاء من الخدمة المحيطة بها غير مثبّتة إطلاقاً. اكتبوا ذلك بأمانة في الاستبيان بدل وضع علامة صحّ ستضطرون للدفاع عنها لاحقاً.

الشهادة تغطّي نصف ClickUp، ومساحة عملكم تصلكم مفتوحة

تقرير SOC 2 أو شهادة ISO 27001 يثبت أن المورّد يشغّل مجموعة ضوابط موثّقة ومدقّقة على البنية التحتية والمؤسسة التي يديرها. وهو لا يقول شيئاً عن كون مساحة المالية لديكم عامة، أو عن موظف سابق ما زال يشغل مقعداً، أو عن مستند مراجعة الرواتب الذي يجلس رابطه القابل للمشاركة في سجل واتساب أحدهم. هذا هو نموذج المسؤولية المشتركة الذي تعمل به كل خدمة سحابية، وهو النصف الذي تُقصّر الاستبيانات في اختباره.

توثّق ClickUp إعداداتها الافتراضية بوضوح، وهي متساهلة لأن مساحة عمل جديدة تماماً يجب ألّا تُغلق الباب على أول مستخدم فيها. التحقق بخطوتين: غير مطلوب. الدخول الموحّد: غير مطلوب. مدة الجلسة: لا تنتهي. مهلة الخمول: لا تنتهي. الاحتفاظ ببيانات المحادثات: لا ينتهي. والمساحات الجديدة عامة ما لم تغيّروا الإعداد. لا شيء من هذا خاطئ لشركة ناشئة من خمسة أشخاص في أسبوعها الأول، وكل شيء منه خاطئ لشركة من خمسين شخصاً تتعامل مع بيانات عملاء بعد ثمانية عشر شهراً — ولا أحد يتلقّى إشعاراً يوم يصبح الوضع غير مناسب.

الإعدادات التي يجب تغييرها قبل مراجعتكم الأمنية القادمة

يجدها المالكون والمدراء عبر صورة مساحة العمل ثم الإعدادات ثم «الأمن والصلاحيات». بعضها متاح في كل الباقات وبعضها مرتبط بمستوى الباقة، فاعتبروا القائمة التالية قائمة مراجعة تعملون عليها لا وعداً بما ستجدونه.

• اشترطوا التحقق بخطوتين، أو الدخول الموحّد إن كان لديكم مزوّد هوية. وبدونهما ترسل ClickUp بريداً عند كل تسجيل دخول يتضمّن التاريخ والبريد وعنوان IP والموقع — وهو ضابط كشف لا ضابط منع.
• حدّدوا مدة للجلسة ومهلة للخمول بدل تركهما «لا تنتهي». هذا هو الضابط الأكثر تأثيراً حين يُفقد حاسوب محمول أو ينتهي تعاقد متعاقد.
• فعّلوا «حظر المشاركة العامة»، فهو يعطّل الروابط الأقدم من سنة والروابط التي لا تنتهي ومشاركة القوالب علناً. وانتبهوا لحدّه الموثّق: لا يمنع مشاركة روابط المرفقات.
• فعّلوا «روابط المرفقات الخاصة» ليصبح فتح أي مرفق مشروطاً بتسجيل الدخول إلى مساحة العمل. وتذكر ClickUp أن هذه الميزة في مرحلة تجريبية تُطرح تدريجياً، فتحقّقوا من توفّرها لديكم.
• فكّروا في جعل المساحات الجديدة خاصة افتراضياً، واحسموا عمداً ما إذا كان للمدراء إدارة المساحات الخاصة والحقول المخصّصة الخاصة — وهو قرار للمالك وحده ويُرسل إشعاراً لكل من في مساحة العمل عند تفعيله.
• اضبطوا الاحتفاظ ببيانات المحادثات على نافذة محدّدة (30 أو 90 أو 180 أو 360 يوماً) إن كانت سياستكم تتطلّب ذلك، واستخدموا «النماذج المقيّدة بالحساب» حيث يجب ألّا يرى النموذج إلا من هم داخل مساحة عملكم.

سجلات التدقيق تحوّل الحادثة إلى سجلّ

سجلات تدقيق مساحة العمل هي الفارق بين إثبات ما حدث وتصديق ما يتذكّره أحدهم. تفصلها ClickUp إلى سجلات للمستخدمين والمهام والحقول المخصّصة والتسلسل الهرمي والوكلاء وفئة «أخرى» صغيرة؛ ويحمل كل قيد التاريخ والمستخدم والدور والحدث والحالة، مع سجلّ حدث قابل للتوسيع يحوي التفاصيل الخام بما فيها عنوان IP.

سجلّ المستخدمين هو ما سيطلبه مسؤول الامتثال، لأنه يوثّق بالضبط ما يهمّ بعد مغادرة أحدهم أو وقوع خلل: تسجيلات الدخول والخروج، وتغييرات سياسة التحقق بخطوتين، وتغييرات إعداد الدخول الموحّد، وتفعيل تجاوز الدخول الموحّد، وتغييرات الأدوار والصلاحيات، وتزويد المستخدمين وإلغاء تزويدهم عبر SCIM، والدعوات، وإنشاء اتصالات التطبيقات أو إزالتها — بما فيها الاتصال بخوادم MCP خارجية. وتظهر إجراءات الوكلاء الخارقين في سجلات المهام والحقول والتسلسل الهرمي، بينما يُسجَّل نشاط وكلاء الطيار الآلي في سجلّ الأتمتة.

أمران يستحقّان التخطيط. الإتاحة والحدود تختلف بحسب الباقة والدور — فالأعضاء والضيوف لا يمكنهم رؤية السجلات إطلاقاً، وإن كان بوسع المالك منح المدراء صلاحية العرض عبر دور مخصّص. كما توثّق ClickUp ثغرة بأمانة: أحداث اتصال التطبيقات لا تحدّد حالياً من أنشأ اتصالاً شخصياً بطرف ثالث أو أزاله. والسجلات تُصدَّر عبر الواجهة البرمجية، وهذه هي الطريقة لإدخالها في النظام الذي يقرأه مدقّقكم فعلاً.

الذكاء الاصطناعي صار جزءاً من الاستبيان

يطرح المراجعون في الخليج اليوم أحدّ صيغة للسؤال أولاً: هل تُدرَّب بياناتنا في نموذج شركة أخرى؟ الموقف المنشور لـ ClickUp هو أن شركاءها في الذكاء الاصطناعي ممنوعون من التدريب على بيانات العملاء، وأن ClickUp AI يعمل بالتعلّم داخل السياق دون تخزين دائم لمعلومات مساحة العمل، وأن الاحتفاظ لدى الأطراف الثالثة صفر. وشهادة ISO 42001 هي الدليل الخارجي الذي تشير إليه على حوكمة ذلك، كما تنشر أسئلة شائعة عن أمن الذكاء الاصطناعي، وشروطاً إضافية له، وملحق حماية البيانات، وقائمة المعالِجين الفرعيين مع مواقع استضافتهم — استشهدوا بهذه الوثائق لا بإعادة صياغة أي شريك، بما في ذلك مقالنا هذا.

أما النصف الثاني فهو الصلاحيات. تذكر ClickUp أن نموذج صلاحياتها يمتدّ إلى الذكاء الاصطناعي: لا يستطيع Brain إظهار أي شيء لا يستطيع السائل فتحه بنفسه، والوكلاء لا يرون ولا يتصرّفون إلا ضمن ما مُنحوا إياه. وهذا التصميم الصحيح، لكنه يعني أن انكشافكم عبر الذكاء الاصطناعي جيد بقدر نظافة صلاحياتكم تماماً. المساحة المُفرطة في المشاركة تتحوّل إلى مساعد مُفرط في الإجابة. أصلحوا الصلاحيات أولاً، ثم فعّلوا الذكاء الاصطناعي.

أين تتوقّف نصيحتنا ويبدأ دور محاميكم

نستطيع أن نخبركم بما تنشره ClickUp، وأن نضبط مساحة العمل لتطابق سياستكم، وأن ننتج الأدلة التي يطلبها مراجعكم. ولا نستطيع أن نخبركم إن كان إعداد بعينه يستوفي قانون حماية البيانات الشخصية الاتحادي في الإمارات، أو قانون حماية البيانات في قطر، أو أنظمة خصوصية البيانات في الكويت، أو القواعد القطاعية التي تسري إن كنتم بنكاً أو شركة تأمين أو مقدّم رعاية صحية أو جهة حكومية. تلك أحكام قانونية تتعلّق بمؤسستكم وفئات بياناتكم وصفتكم كمتحكّم أو معالِج — وهي تتغيّر. ومن يجيبكم «نعم، إنه متوافق» دون أن يقرأ خريطة بياناتكم يبيعكم جملة لا تقييماً.

الطريق المفيد هو الطريق الاعتيادي، ويتّسع لشهر واحد. اطلبوا تقرير SOC 2 وشهادات ISO، وخذوا ملحق حماية البيانات وقائمة المعالِجين الفرعيين، وثبّتوا منطقة الاستضافة كتابةً. أصلحوا المصادقة، ثم طابقوا قائمة المقاعد مع قائمة المغادرين لدى الموارد البشرية — وهي في معظم الشركات الخليجية أسرع طريقة لاكتشاف ثلاثة حسابات لم يتوقّعها أحد. أغلقوا سطح المشاركة، وشغّلوا طبقة الأدلة قبل أن تحتاجوها. ثم سلّموا الملف للمستشار القانوني. بناء الملف مهمّتنا، والحكم مهمّته هو.

كيف تساعدكم BuyClickUp

BuyClickUp شريك ClickUp مستقل تشغّله Inspark، ونعمل مع مؤسسات في الإمارات وقطر والكويت، فيما تخدم شركتنا الشقيقة Dtech السوق السعودية. نتولّى تراخيص ClickUp بفوترة محلية ملائمة لإجراءات المشتريات، ونجري مراجعات أمنية لمساحة العمل مع تقنية المعلومات والعمليات معاً — نضبط الضوابط المذكورة أعلاه، ونجهّز ملف الأدلة الذي يطلبه مراجعكم، ونوثّقه بالعربية والإنجليزية.

إن كان استبيان أمني يقف اليوم بينكم وبين إطلاق المنصة، ابدأوا بتقييم الجاهزية المجاني أو تواصلوا معنا عبر صفحة الاتصال. نحن لسنا مستشاريكم القانونيين وسنقول ذلك كتابةً — لكننا نضمن أن تكون الإجابات التقنية في ذلك الاستبيان دقيقة ومدعومة بالأدلة.

التالي في هذه السلسلة: ما الذي غيّره ClickUp 4.0، وأي من تلك التغييرات يبدّل فعلاً طريقة عمل الفرق الخليجية يوماً بيوم.