تطوير ‎Java‎ في الإمارات

عن تطوير ‎Java‎

نبني أنظمة خلفية على منصة JVM للمؤسسات التي جعلت Java لغتها المعتمدة داخلياً: أنظمة الطلبات والفوترة والمخزون وسير العمل التي يُفترض أن تعمل سنوات لا أشهراً. Java من أحدث ما أضفناه، ومعظم عملنا اليوم في Node.js وPHP، وما ينتقل من ذلك إلى Java دون تغيير هو تصميم الواجهات البرمجية ومجموعة الاختبارات والتكامل المستمر وقواعد PostgreSQL التي نعمل عليها أسبوعياً. البنية طبقية واضحة البنية طبقية واضحة تفصل بين طبقة التحكم وطبقة الخدمات وطبقة الوصول إلى البيانات، ونحدّث الأنظمة القديمة على Java EE أو Struts أو إصدارات Spring المتقادمة على مراحل، كل مرحلة مختبَرة قبل التي تليها، فيظل النظام القائم يعمل طوال المدة.

ما الذي يشمله التعاقد

• واجهات REST على Spring Boot موثّقة بمواصفة OpenAPI ومؤمّنة عبر Spring Security بمصادقة JWT أو OAuth2
• طبقة وصول إلى البيانات على Spring Data JPA وHibernate فوق PostgreSQL، وتغييرات المخطط كترحيلات مُرقَّمة في Flyway أو Liquibase
• تكامل مع بوابات الدفع وأنظمة تخطيط موارد المؤسسات وطوابير Kafka وRabbitMQ، مع إعادة المحاولة ومنع تكرار العمليات وسجل تدقيق
• اختبارات JUnit 5 وTestcontainers تعمل على قاعدة PostgreSQL حقيقية في خط التكامل المستمر عند كل دفع

نظام Java لدى مصرف مرخّص في الإمارات: سجل النظام الرئيسي وحدود العمل من خارج الدولة

إن كان نظام Java الذي سيُعمل عليه يخص مصرفاً مرخّصاً من مصرف الإمارات العربية المتحدة المركزي، فالمرجع الأول ليس القاعدة العامة لحماية البيانات، إذ يستثني القانون الاتحادي في مادته الثانية البيانات المصرفية والائتمانية التي لها تشريع ينظم حمايتها. المرجع هنا نظام الإسناد الخارجي للبنوك الصادر بالتعميم رقم 14 لسنة 2021 والنافذ منذ 15 يوليو 2021. مادته السادسة تلزم البنك بأن يبقى «سجل النظام الرئيسي» (Master System of Record)، بما فيه كل البيانات السرية للعملاء، محفوظاً داخل الدولة بصورة مستمرة، وتمنع مشاركة البيانات السرية للعميل خارج الدولة دون موافقة المصرف المركزي ودون موافقة كتابية مسبقة من العميل نفسه. وأي نظام Java يحمل حسابات العملاء أو معاملاتهم، أو يقرأ منها مباشرة، يقع داخل هذا التعريف أو على حدوده. النتيجة لفريق يعمل من الهند أن مسار العمل كله ينبغي أن يُصمَّم بحيث لا يحتاج المطوّر إلى بيانات إنتاج أصلاً: بيئة تطوير ببيانات مصطنعة تحاكي بنية الحسابات والمعاملات، واختبارات Testcontainers على بيانات مولَّدة، وتشخيص أعطال الإنتاج عبر سجلات ومقاييس مُنقّاة من بيانات العملاء، لا عبر نسخة من قاعدة البيانات تُرسَل للفحص. وهذا شرط يُكتب في نطاق العمل قبل البدء لا يُكتشف عند أول عطل.

والسؤال الثاني هل العلاقة نفسها «إسناد خارجي» بمفهوم النظام. التعريف فيه اتفاق مع طرف آخر، داخل الدولة أو خارجها، لأداء نشاط بصورة مستمرة يؤديه البنك أو يمكنه أن يؤديه بنفسه، وبناء محدد المدة يختلف في ذلك عن عقد صيانة وتطوير ممتد لنظام Java قائم. فإن دخلت العلاقة في التعريف، فالبنك ملزم بقيدها في سجل الإسناد الخارجي لديه مع بيان ما إذا كانت تتضمن بيانات سرية، وبعرض الترتيبات الجوهرية على مجلس الإدارة أو إحدى لجانه للموافقة، وبالتحقق من أن المزوّد يحافظ على مستوى مناسب من أمن المعلومات. والبند 6.12 يمد الالتزام إلى من يتعاقد معهم المزوّد من الباطن إذا مسّوا بيانات سرية، فلا يصح أن يظهر مطوّر من طرف ثالث في المشروع دون علم البنك. ما يعنيه ذلك لكم كمشترين أن مورّد Java ينبغي أن يكون مستعداً لتقديم ما يحتاجه قسم المخاطر لديكم لتعبئة السجل وتقييم الأهمية، من مكان العمل إلى من يصل إلى أي بيئة، وأن تُحسب مدة هذه المراجعة الداخلية في الجدول الزمني قبل أول مهمة. أما الحكم بأن الترتيب جوهري أو غير جوهري فقرار تحدده سياسة البنك ومسؤول الالتزام فيه، لا المورّد.

وإن كانت الجهة مصنّفة ضمن البنية التحتية الحيوية، فلائحة ضمان المعلومات الإماراتية تتناول تطوير البرمجيات المُسنَد إلى طرف خارجي بضابط مستقل هو T7.6.5. يطلب الضابط أن تكون لدى الجهة سياسة للبرمجة الآمنة وعملية لضمان الجودة، وأن يتضمن عقد البرمجيات بنداً يُلزم الطرف الخارجي بتلك السياسة وبمواءمة عمله مع عملية الجودة لديها، مع إمكانية التدقيق عليه، وأن تُجرى مراجعة للشيفرة المصدرية تكشف الثغرات والشيفرة الخبيثة وما لا يطابق الوظائف المطلوبة، وتذكر إرشاداته ملكية الشيفرة وترتيبات إيداعها لدى طرف ثالث تحسباً لتعثر المورّد. في مشروع Java يتحول هذا إلى أدوات محددة: قواعد تحليل ثابت تعمل داخل بناء Maven أو Gradle وتوقفه عند المخالفة، وفحص للمكتبات التابعة بأداة مثل OWASP Dependency-Check، وحزم مُوقَّعة يمكن التحقق من أنها بُنيت من الشيفرة التي رُوجعت لا من نسخة أخرى. اطلبوا أن يُكتب ذلك في العقد بهذا الوضوح، وأن تُرفق به سياسة البرمجة الآمنة لديكم، لأن الضابط يفترض وجودها لديكم أولاً. أما هل جهتكم مصنّفة أصلاً، وأي النصين يحكم إن اجتمعا، فسؤال لمسؤول الأمن لديكم ولمستشاركم القانوني.

كيف نعمل مع العملاء في الإمارات

معظم الشركات التي نعمل معها في الإمارات مسجلة إما في المنطقة الحرة أو في البر الرئيسي، والفرق بينهما يظهر في الفاتورة قبل أن يظهر في أي مكان آخر. نصدر فواتير تحمل الرقم الضريبي ووصفاً واضحاً للخدمة، بحيث تمر من قسم الحسابات دون أسئلة، ونتعامل مع ضريبة القيمة المضافة على الخدمات المستوردة كما هي عليه فعلاً بدلاً من تجاهلها.

الفارق الزمني بيننا وبين دبي وأبوظبي ساعة ونصف فقط، أي أن يوم العمل مشترك بالكامل تقريباً. هذا يعني اجتماعاً أسبوعياً في وقت مناسب للطرفين، ورداً في نفس اليوم وليس في اليوم التالي. خلال شهر رمضان نعدّل مواعيدنا لتناسب ساعات العمل المختصرة لديكم، ونخطط لذلك مسبقاً بدلاً من اكتشافه في منتصف المشروع.

أسئلة يطرحها عملاؤنا في الإمارات

أسواق أخرى نعمل بها