في هذا الموضوع استعراض للتغيّر الحاصل في دور مهندسي الجودة أثناء الاختبارات وذلك في أداء الاختبارات الخاصة بالأمان. أيضًا نتعرّف على خمسة أساسيات أمنية رئيسية لمهندسي الجودة.

في البداية، دعونا نتّفق على أن مصطلح مهندس الجودة (Quality Engineer) لا يقتصر فقط على مختبري البرمجيات ومهندسي ضمان الجودة (QA Engineers) فحسب، ولكن يشمل أعضاء فريق عمل المشروع مثل: المطوّرون (Developers) و DevOps Engineers و Architecture Engineers.

لقد تغيّر دور مهندسي الجودة ليشمل أداء الاختبارات الأساسية المتعلّقة بالأمان (security) بدلًا من الاكتفاء بالاختبارات الخاصة بوظائف التطبيق (functionalities) وقابلية الاستخدام (usability) والأداء (performance). كان مهندسو الجودة يقومون فقط بالتأكد من أن التطبيق يعمل كما هو متوقّع بينما كان الأمان هو مسؤولية فريق الأمن (security team). أما الآن، أصبح الأمان مسؤولية مشتركة بين أعضاء الفريق ويجب على مهندسي الجودة أن يفكّروا مثل الهاكرز (hackers). يتعيّن على مهندسي الجودة اختبار وظائف التطبيق وكذلك القدرة على الصمود ضد الهجمات. إذا لم نقم باختبار الأمان بشكل استباقي، فإننا نترك الأبواب مفتوحة على مصراعيها.

دعونا الآن ننتقل للحديث عن خمسة أساسيات أمنية رئيسية لمهندسي الجودة.

أولًا: إتقان عقليّة الهاكر

يجب أن يقوم مهندسو الجودة بتنفيذ الاختبارات الخاصة بالأمان بذكاء من خلال التفكير مثل المهاجم (attacker). توضح النقاط التالية كيفية استغلال الهاكرز للأنظمة:

• ثغرات واجهة برمجة التطبيقات (API Vulnerabilities): مثل unprotected endpoints و broken authentication.
• SQL Injection & XSS: استغلال حقول الإدخال (exploiting input fields).
• تخزين البيانات غير الآمن: كشف بيانات اعتماد المستخدم (exposing user credentials).

ثانيًا: اختبار الأمان بما يتجاوز اختبارات الاختراق والتطبيق

اختبار الأمان ليس حكرًا على مختبري الاختراق/أمن التطبيقات، بل هو للجميع.

• اختبار الأمان الثابت مقابل الاختبار الديناميكي (Static vs. Dynamic Security Testing)
  • اختبار أمان التطبيقات الثابت (Static Application Security Testing – SAST): فحص الكود بحثًا عن الثغرات الأمنية.
  • اختبار أمان التطبيقات الديناميكي (Dynamic Application Security Testing – DAST): فحص التطبيقات قيد التشغيل بحثًا عن نقاط الضعف.
• أفضل الممارسات للمختبرين المهتمين بالأمان (Best Practices):
  • اختبار أمان واجهة برمجة التطبيقات (Broken authentication – Exposed secrets)
  • إجراء التحقق من صحة المدخلات (Prevent SQL injection – XSS attacks)
  • اختبار Session Hijacking و Broken Access Controls

ثالثًا: أتمتة اختبار الأمان في الـ CI/CD

يجب أن يكون اختبار الأمان مستمرًا (continuous). كذلك يمكن دمج اختبار الأمان في الـ CI/CD والتركيز على الجوانب التالية:

• أدوات المسح الأمني ​​الآلي (OWASP ZAP – Burp Suite – SonarQube).
• Shift-left Security: الاختبار في وقت مبكر من التطوير.
• إجراء عمليات فحص التبعيّة (dependency checks) لمنع هجمات سلسلة التوريد (supply chain attacks).

يمكن الاستفادة من الأدوات التالية:

• اختبار الأمان المدعوم بالذكاء الاصطناعي (AI-Powered): يستخدم الذكاء الاصطناعي للكشف عن الثغرات الأمنية بشكل أسرع.
• اختبار Fuzz: اختبار الإدخال العشوائي بحثًا عن عيوب أمنية غير متوقعة.
• فحص أمان الـ Container: ضمان أمان Docker و Kubernetes.

رابعًا: أمان واجهة برمجة التطبيقات (API) – التهديد الأكثر إهمالًا

إذا علمنا أن 80% من الهجمات الحديثة تستهدف واجهات برمجة التطبيقات، السؤال هنا كيف يمكن أن نختبرها بذكاء؟ هذه اختبارات أمان واجهة برمجة التطبيقات الرئيسية:

• المصادقة والتفويض (Authentication & Authorization): مَنْع الوصول غير المصرّح به.
• تحديد المُعدّل وتقييده (Rate Limiting & Throttling): الحماية من هجمات القوة الغاشمة (brute force).
• التشفير وحماية البيانات (Encryption & Data Protection): التأكّد من عدم كَشْف البيانات الحساسة (not exposed).

النقطة الأساسية هي: إذا لم تقُم باختبار أمان واجهة برمجة التطبيقات، فأنت لا تختبر الأمان على الإطلاق.

خامسًا: ثقافة الأمان – مهندسو الجودة كمدافعين عن الأمان

إن الاختبار الذكي يعني التأثير على الفريق بأكمله. يمكن بناء ثقافة الأمان أولًا من خلال:

• تشجيع الوعي الأمني ​​في فِرَق التطوير.
• إجراء مراجعات اختبار الأمان في الـ sprint retrospectives.
• تحدّي المطوّرين: ما هو أسوأ شيء يمكن أن يحدث إذا فشل هذا؟

لا ينبغي على المختبرين اكتشاف الأخطاء فحسب، بل يجب عليهم أيضًا منع الاختراقات. إن الأمان هو مسألة جودة وعلى مهندسي الجودة أن يتولوا زمام المبادرة.

الفكرة الختامية: مستقبل اختبار الأمان

تكلفة إصلاح ثغرة أمنية في الـ production أعلى بثلاثين ضعفًا من اكتشافها في مرحلة التطوير. ماذا لو استطعنا منع المشاكل الأمنية قبل حدوثها؟

النقاط الرئيسية:

• اختبار الأمان هو جزء من ضمان الجودة (Quality Assurance) وليس منفصلاً عنه.
• أفضل مختبري الأمان (security testers) يفكّرون مثل الهاكرز.
• يجب أن يكون أمان واجهة برمجة التطبيقات (API) على رأس الأولويات.
• يمكن للأتمتة والذكاء الاصطناعي تعزيز الذكاء البشري في اختبارات الأمان وليس استبداله.

وأخيرًا: اختبر بذكاء. اختبر بأمان. كن خط الدفاع الأخير.

* المصدر: Spartans Summit 2025: Test Smarter – Security Essentials for Quality Engineers