معظم نماذج التهديدات تموت في صفحة Confluence لا يفتحها أحد مرتين. يحجز الفريق قاعة لثلاث ساعات، ويرسم مخططاً أنيقاً لتدفّق البيانات، ويتجادل حول مهاجمين على مستوى الدول، ثم يُخرج ملف PDF سرعان ما يتقادم. بعد سبرنتَين تكون البنية قد تغيّرت، وبات المخطط خاطئاً، و«بنود العمل» لم تتحوّل يوماً إلى تذاكر.
المشكلة ليست في نمذجة التهديدات (Threat Modeling)، بل في أن معظم الفرق تتعامل معها كحدث عابر لا كعادة راسخة — ولا تربط أبداً بين السبورة والمكان الوحيد الذي يعيش فيه العمل الهندسي فعلاً: قائمة المهام (Backlog).
نمذجة التهديدات أربعة أسئلة، لا إطار عمل
إذا نزعت عنها المصطلحات والاختصارات، تتلخّص الممارسة كلها في أربعة أسئلة اشتهر بها Adam Shostack، ولم أجد يوماً سبباً لتعقيدها:
- ماذا نبني؟ مخطط بسيط بما يكفي لرسمه من الذاكرة. صناديق وأسهم وحدود ثقة (Trust Boundaries) — حيث تعبر البيانات من شيء تتحكّم فيه إلى شيء خارج عن سيطرتك.
- ما الذي يمكن أن يسوء؟ تتبّع كل حدّ وكل تدفّق للبيانات. منهجية STRIDE عون جيد هنا، لكن السؤال البسيط «كيف سأسيء استغلال هذا؟» يقطع بك 80% من الطريق.
- ماذا سنفعل حيال ذلك؟ هذه هي الخطوة التي يتخطاها الجميع. كل تهديد حقيقي يتحوّل إلى قرار: نخفّفه، أو نقبله، أو ننقله.
- هل أحسنّا العمل؟ راجِع حين يتغيّر التصميم، لا حسب التقويم.
لست بحاجة إلى أداة. أكثر الجلسات فائدةً في تجربتي كانت تلك التي اكتفت بسبورة، وصورة تلتقطها لها، وشخص واحد مستعدّ أن يقول: «هذا غير قابل للاستغلال فعلياً، التالي».
حدِّد النطاق بميزة واحدة، واضبط الوقت بساعة
نمذجة «المنصة بأكملها» هي الطريق إلى ملف PDF عديم الفائدة. اقصر النموذج على ما تشحنه فعلاً هذا الربع: مسار رفع الملفات الجديد، أو واجهة الشريك البرمجية (Partner API)، أو مسار إعادة تعيين كلمة المرور. النطاق الضيّق يعني أن المخطط يتّسع لسبورة واحدة، وأن الفريق قادر على استيعابه كاملاً.
نفّذها مبكراً — أثناء التصميم، قبل كتابة الشيفرة، حين تكون كلفة تغيير حدّ الثقة محادثةً لا إعادة هيكلة. وادعُ من يعرفون أين دُفنت المشكلات: مهندس Backend واحد، وآخر Frontend، ومن يملك البنية التحتية، ويُفضّل شخص من الأمن يعمل ميسّراً لا حارس بوابة.
نموذجُ تهديداتٍ يستغرق بناؤه وقتاً أطول من الميزة التي يحميها لن يتكرّر. حسِّن للتكرار، لا للشمول.
ستون إلى تسعين دقيقة، وميزة واحدة، وثلاثة أو أربعة حدود ثقة. إذا وجدت أكثر من اثني عشر تهديداً معقولاً، فتلك إشارة إلى أن التصميم بالغ التعقيد — وهذا بذاته اكتشاف يستحق التصرّف.
الخطوة الحاسمة: من السبورة إلى قائمة المهام
هنا تموت النوايا الحسنة. تغادر القاعة ومعك خمس عشرة نقطة قلق بلا مالك. والعلاج ميكانيكيّ بحت: كل تهديد تقرّر تخفيفه يتحوّل إلى بند في قائمة المهام قبل أن يغادر أحد القاعة.
اكتبها كعمل حقيقي، لا كملاحظات تدقيق. سيّئ: «خطر حقن SQL». جيّد: «حوِّل استعلام البحث في التقارير إلى استعلام مُعامَل (Parameterized)، وأضِف اختباراً يفشل عند دمج نصّ خام في الاستعلام». تذكرة يلتقطها المطوّر دون حاجة إلى طبقة ترجمة.
ما الذي يدخل قائمة المهام فعلاً
- إجراءات التخفيف — مهام هندسية ملموسة، مُقدّرة الحجم ومُرتّبة الأولوية جنباً إلى جنب مع عمل الميزات، لا في «قائمة مهام أمنية» منفصلة تجوع حتى تموت.
- المخاطر المقبولة — مكتوبة باسم وتاريخ. «نقبل وصول القراءة غير المُصادَق عليه إلى القوائم العامة — م.ح، 2026-07». القبول الصامت هو ما يجعلك تشرح اختراقاً أمام جهة تنظيمية لاحقاً.
- الافتراضات الواجب التحقق منها — «نفترض أن البوابة تُزيل هذا الـ Header». نصف هذه الافتراضات يتبيّن خطؤها. اجعلها تذاكر أيضاً.
ضَع لها وسوماً (Tags) لتجدها لاحقاً. واربط التذكرة بصورة المخطط. وحين يتنافس إجراء تخفيف مع ميزة عند التخطيط، تصبح المفاضلة مرئية على الأقل بدل أن تظلّ خفية.
اجعلها عادة، لا حدثاً بطولياً
الفرق التي تجني قيمة من هذا لا تعقد معتكفاً أمنياً سنوياً. بل تخصّص عشرين دقيقة للتهديدات ضمن مراجعة التصميم لأي شيء يمسّ المصادقة، أو المال، أو البيانات الشخصية (PII)، أو تكاملاً خارجياً جديداً. فتصير عادةً مألوفة تماماً كما هي كتابة الاختبارات.
أمور قليلة تُبقيها حيّة:
- تعريف «مُنجَز» يشملها. «تمّت مراجعة التصميم أمنياً» كبند تحقّق على الميزات التي تتجاوز مستوى مخاطر معيّناً.
- مخطط حيّ لا مجمّد. احتفظ به في المستودع بجوار الشيفرة. مخطط تقريبيّ لكنه محدّث خيرٌ من آخر بديع عمره سنة.
- التيسير لا الشرطة. دور خبير الأمن أن يطرح أسئلة حادّة، لا أن يصدر الأحكام. فالفريق هو من يملك النموذج.
من أين تبدأ يوم الإثنين
اختر ميزة واحدة قيد التصميم الآن. واحجز ستين دقيقة. ارسم الصناديق وحدود الثقة، وتتبّع كلاً منها سائلاً «كيف سأسيء استغلال هذا»، وقبل أن يقف أحد، حوّل كل إجراء تخفيف مُتَّفق عليه إلى تذكرة لها مالك. دع عنك المخطط المثالي. ودع عنك التصنيف الشامل للمهاجمين.
لم يكن الهدف يوماً وثيقة أنيقة، بل حفنة تذاكر في هذا السبرنت تجعل الاختراق القادم قصةَ شخص آخر. وإن لم تُغيّر نمذجةُ تهديداتك قائمةَ المهام، فهي لم تحدث.