Darts Solutions Inc. شركة برمجيات كندية مقرّها كونكورد بأونتاريو، تبني منتجات تخدم الأفراد ذوي الإعاقات النمائية والتوحّد — والشركاء في القطاع العام الذين يموّلون تلك الخدمات. منصّتاها الرئيسيتان هما MyDirectPlan، التي تساعد المستخدمين على إدارة التمويل الحكومي الذي يحصلون عليه مباشرة، وMyCommunityHub، التي تتولّى التسجيل والوصول إلى خدمات المجتمع لنفس الفئة. يعمل كلا المنتجَين على تخوم بيانات شخصية حسّاسة، وتمويل حكومي مُدار، وتقديم خدمات اجتماعية على الخطّ الأول — مما يعني أن أي نشر في بيئة حكومية يجب أن يجتاز مراجعة أمنية مستقلّة من طرف ثالث قبل أن يوقّع مسؤولو المشتريات.
ما الذي قمنا به
نفّذنا اختبار اختراق منظّماً على المنتجَين — يغطّي أسطح الهجوم بمصادقة وبدونها، وطبقة تطبيق الويب، وواجهات الـ API الخلفية. جمع العمل بين المراجعة اليدوية (حيث تظهر معظم الاكتشافات عالية الخطورة) والفحص بالأدوات، ثم مرحلة معالجة تشاركنا فيها مع مهندسي Darts لترتيب أولويات كل مشكلة والاتفاق على الإصلاح والتحقّق من تطبيقه قبل التوقيع. مخرج المشاركة كان التقرير المستقلّ الرسمي الذي احتاجه مسؤولو المشتريات لاعتماد التطبيقات للنشر.
المنتجان اللذان شملهما النطاق كما يراهما الجمهور. كلاهما سطح تسجيل وتمويل لأشخاص من ذوي الإعاقات التطويرية ولعائلاتهم — وهذا ما يجعل المراجعة الأمنية بوّابة لا إجراءً شكلياً. أما مُخرَج العمل نفسه، أي التقرير المستقل، فلا يُنشر هنا.
لماذا كان مهماً
بالنسبة لمنتجَين مثل MyDirectPlan و MyCommunityHub، المراجعة الأمنية ليست مجرّد بند في قائمة — إنها البوابة بين أن يعمل البرنامج وأن يُسمح له بالعمل لخدمة الفئة التي بُني من أجلها. مراجعة الطرف الثالث المستقلّة شرط مسبق لأغلب طلبات العروض الحكومية في أونتاريو، فالشهادة التي خرجت بها Darts من المشاركة تفتح قناة مبيعات بقدر ما تتحقّق من جودة الهندسة. اجتاز المنتجان المراجعة وانتقلا إلى النشر في القطاع العام.