أبطال الأمن (Security Champions) في تطوير البرمجيات

بطل الأمن (Security Champion) عضو في فريق التطوير يعمل كحلقة وصل بين أمن المعلومات والتطوير – ووفقًا لـ OWASP SAMM يمكن أن يكون مطوّر برمجيات أو مختبِرًا أو مدير منتج. ومن المهام النموذجية البحث في العيوب ذات الصلة بالأمن والتحقق منها وترتيبها حسب الأولوية، والمشاركة في تقييمات المخاطر ونمذجة التهديدات والبنية، إضافة إلى مراجعات أمنية منتظمة داخل الفريق. ويذكر NIST Secure Software Development Framework (SP ⁦800-218⁩، الإصدار 1.1) أيضًا أبطال الأمن في أمثلة التنفيذ – كدور في SDLC ينبغي تحديده (PO.2.1) وكفئة مستهدفة مفضّلة لتدريبات نمذجة التهديدات (PW.1.1). لا يحلّ الأبطال محلّ فريق AppSec مركزي، بل يوسّعون أثره على نطاق واسع.

ينصح OWASP Developer Guide بعدم التعيين العشوائي: يتطلّب الدور اهتمامًا حقيقيًا بأمن التطبيقات، ولذلك ينبغي أن يتطوّع أعضاء الفريق المتحمّسون – وليس من قبيل الصدفة أن المبدأ الأول في بيان OWASP هو «Be passionate about security». ولأن الأبطال يحتفظون بدورهم الأصلي، تحتاج المهمة الإضافية إلى ميزانية زمنية مضمونة رسميًا؛ وينصّ OWASP SAMM صراحةً على عدد ساعات ثابت أسبوعيًا للأنشطة الأمنية دون تحديد قيمة ملموسة. وقد أثبت نموذج بطل واحد لكل فريق تطوير مع قيادة مخصّصة للبرنامج («Captain») جدواه، تتولّى الرؤية والتأهيل والتنسيق. ودون دعم ظاهر من الإدارة («Secure management support») تكون الميزانية الزمنية بحكم التجربة أول ما يُضحّى به تحت ضغط المشاريع.

يكون أثر الأبطال مستدامًا عندما لا يعملون بمعزل، بل ضمن مجتمع ممارسة (Community of Practice): يوصي المبدآن «Create a community» و«Promote knowledge sharing» في دليل OWASP بلقاءات منتظمة وقنوات تواصل مشتركة وورش عمل داخلية عبر حدود الفرق. وفي الحوافز ينطبق مبدأ «Reward responsibility»: تقدير رسمي (مثل الجوائز أو الشارات)، وميزانية للتدريبات والمؤتمرات، ومسارات مهنية، وصلاحيات موسّعة مثل المشاركة في اللجان الأمنية – بما يتوافق وفق توصية الدليل مع الدوافع الفردية للأبطال. والحاسم أن تُكافأ المسؤولية الإضافية بشكل ظاهر؛ وإلا تآكل حماس المتطوعين مع مرور الوقت.

OWASP Security Champions Guide (حاليًا مشروع OWASP-Incubator) عمل مرجعي مفتوح ومحايد تجاه الموردين، يستند إلى مقابلات مع مسؤولي AppSec ومنسّقي البرامج والأبطال من قطاعات وأحجام شركات مختلفة. وجوهره Security Champions Manifesto بعشرة مبادئ – من «Be passionate about security» مرورًا بـ «Start with a clear vision for your program» و«Nominate a dedicated captain» و«Trust your champions» حتى «Anticipate personnel changes». ويعرّف الدليل نفسه صراحةً كمجموعة أدوات قابلة للتركيب: لا يوجد نموذج يناسب جميع المؤسسات؛ ويقدّم لكل مبدأ شروحًا ومخرجات قابلة للتكييف للبرنامج الخاص.

في OWASP Software Assurance Maturity Model (SAMM، إصدار النموذج الحالي 2.2.0 من يوليو 2025) يترسّخ أبطال الأمن في مسار «Organization and Culture» ضمن ممارسة Education & Guidance (وظيفة الأعمال Governance). يشترط مستوى النضج 1 تحديد بطل في كل فريق تطوير ومنحه حصة ساعات أسبوعية ثابتة؛ ويضيف مستوى النضج 2 مركز تميّز للبرمجيات الآمنة (Secure Software Center of Excellence) من معماريين ومطوّرين كبار من وحدات أعمال مختلفة؛ ويؤسّس مستوى النضج 3 منصات على مستوى المؤسسة لتبادل المعرفة. وبذلك لا يمكن بناء برنامج الأبطال فحسب، بل أيضًا تحديد موقعه موضوعيًا ضمن تقييم SAMM وتطويره خطوة بخطوة.

يوصي دليل OWASP بربط رؤية البرنامج بأهداف قابلة للقياس، ويذكر كأمثلة الساعات المخصّصة للأمن لكل بطل، وأهداف التدريب المحقّقة، وعدد لقاءات الأبطال، والحدّ من المخاطر الأمنية؛ ويمكن إضافة نسبة تغطية الفرق والثغرات الأمنية المكتشفة مبكرًا في عملية التطوير. والأخطاء الأكثر شيوعًا هي الصورة المعاكسة للمبادئ: أبطال كواجهة شكلية دون تفويض، وميزانية زمنية مفقودة أو غير رسمية فقط، والتعيين بأمر إداري بدلًا من التطوّع، ومجتمع يخمد بعد الانطلاق، وغياب التخطيط للخلافة عند تغيّر الموظفين. وتؤكد SAFECode صراحةً أن مجرد تسمية بطل دون برنامج رسمي تدعمه الإدارة يواجه في العادة مقاومة أو يفشل كليًا.