ترتيب الأولويات: ليس كل ثغرة متساويةPrioritisation: not every finding is equal

رتّب حسب الأثر على الأعمال لا حسب تصنيف تقني مجرّد. ثغرة «متوسطة» على نظام يحمل بيانات عملاء قد تكون أخطر من «حرجة» على نظام اختبار معزول. اجمع ثلاثة عوامل: حساسية الأصل، سهولة الاستغلال، والأثر المحتمل. هذه المعادلة تُنتج ترتيباً واقعياً.Rank by business impact, not by an abstract technical score. A "medium" finding on a customer-data system can be more dangerous than a "critical" one on an isolated test system. Combine three factors: asset sensitivity, exploitability, and potential impact. This equation yields a realistic order.

الأطر الزمنية المعياريةStandard timeframes

الممارسة الجيدة: الثغرات الحرجة تُعالَج خلال 72 ساعة إلى أسبوع، العالية خلال أسبوعين إلى شهر، المتوسطة خلال ربع سنة، والمنخفضة في دورة الصيانة القادمة. الأهم أن تكون الأطر مكتوبة ومعتمدة ومتابَعة — لا مجرد نوايا.Good practice: critical findings remediated within 72 hours to a week, high within two weeks to a month, medium within a quarter, and low in the next maintenance cycle. What matters is that the timeframes are written, approved and tracked — not just intentions.

لماذا الحل السريع ليس دائماً الأفضل؟Why the quick fix is not always best?

إغلاق العَرَض دون السبب الجذري يعني عودة الثغرة بشكل مختلف. مثال: حظر عنوان IP واحد يوقف مهاجماً لكن لا يُصلح الثغرة؛ وإضافة قاعدة جدار ناري تُخفي المشكلة لكنها لا تعالج الشيفرة المعطوبة. اسأل دائماً: ما السبب الجذري، وكيف نمنع تكراره في أنظمة أخرى؟Closing the symptom without the root cause means the flaw returns in a different form. For example, blocking a single IP stops one attacker but does not fix the vulnerability; adding a firewall rule hides the problem but does not fix the faulty code. Always ask: what is the root cause, and how do we prevent it elsewhere?

إعادة الاختبار — الشرط غير القابل للتفاوضRetesting — the non-negotiable step

لا تقبل «تم الإصلاح» كإجابة. إعادة الاختبار تُثبت الإغلاق الفعلي، وتكشف الحالات التي نُقلت المشكلة فيها من مكان لآخر (مثل تعطيل ميزة بدل إصلاحها). اجعل إعادة الاختبار جزءاً من العقد الأصلي لا مشروعاً منفصلاً.Do not accept "it is fixed" as an answer. Retesting proves actual closure and exposes cases where the problem was moved rather than solved (such as disabling a feature instead of fixing it). Make retesting part of the original contract, not a separate project.

الشفافية الداخليةInternal transparency

شارك النتائج مع الفرق التقنية والمهندسين بلغة تقنية، ومع الإدارة بلغة أثر الأعمال. إخفاء النتائج خوفاً من اللوم يُنتج ثقافة تُخفي الثغرات بدل أن تُصلحها. البيئة الصحية هي التي يُبلَّغ فيها عن المشكلة دون خوف.Share findings with technical teams in technical language, and with management in business-impact language. Hiding results out of fear of blame creates a culture that hides flaws rather than fixing them. A healthy environment is one where problems are reported without fear.

قياس التحسّنMeasuring improvement

قِس مؤشرين لا مؤشراً واحداً: عدد الثغرات الحرجة المفتوحة (يجب أن ينخفض)، ومتوسط زمن الإغلاق (يجب أن ينخفض أيضاً). منشأة لديها 20 ثغرة تُغلق في 3 أيام أفضل من منشأة لديها 5 ثغرات مفتوحة منذ سنة.Measure two indicators, not one: the number of open critical findings (should fall) and the mean time to remediate (should also fall). An organization with 20 findings closed in three days is healthier than one with five findings open for a year.