الصلاحيات تبدأ من الدور، مش من اسم الموظف

النسخ السريع للصلاحيات يصنع فوضى صامتة

عند انضمام موظف جديد، قد يطلب المدير «خليه زي حساب فلان». هذه الطريقة توفر دقائق اليوم لكنها قد تمنح وصولًا إلى ملفات أو مجموعات أو بيانات لا يحتاجها الدور. ومع تغيير الموظفين تتراكم الاستثناءات دون مراجعة.

لا تبدأ الحماية بشراء أداة جديدة؛ تبدأ بفهم ما يحتاجه كل دور لإنجاز عمله.

الجذر: الحساب أصبح بديلًا عن تعريف الدور

تظهر المشكلة عندما لا توجد قائمة واضحة بالأدوار والموارد وأصحاب البيانات. بدلاً من منح الصلاحية بناءً على حاجة العمل، تُنسخ من شخص آخر، وتبقى بعد انتقاله لقسم جديد.

المطلوب فصل الهوية الفردية عن صلاحيات الدور، مع طريقة محددة للاستثناءات المؤقتة.

حدّد أقل وصول يسمح بإنجاز المهمة

عرّف لكل دور أنشطته الأساسية وملفاته ومجموعاته وصلاحيات الإرسال والموافقة. ارجع إلى مالك البيانات لتحديد من يقرأ ومن يعدل ومن يعتمد. ثم اختبر أن الوصول كافٍ للعمل وليس أوسع مما يلزم.

مصدر الصورة: Pexels.

• دور وظيفي محدد وصاحب اعتماد معروف.
• موارد وصلاحيات مرتبطة بالحاجة الفعلية.
• انتهاء تلقائي أو مراجعة للاستثناءات المؤقتة.

مرتبط بهذه الفكرة: النسخ الاحتياطي مش كفاية: هل جرّبت ترجع بيانات شركتك؟

نفّذ دورة حياة واضحة للحساب

ابدأ بطلب موحد لإنشاء المستخدم، ثم موافقة مسؤول الدور ومالك البيانات، ثم تفعيل المصادقة متعددة العوامل، والتحقق من الصلاحيات مع المستخدم. عند تغيير الدور أو المغادرة، توجد قائمة لإزالة الوصول وتعطيل الحساب.

راجع الأدوار عالية الحساسية دوريًا، وسجل من طلب ومن اعتمد أي تغيير.

مثال افتراضي: موظف مبيعات جديد

تخيّل موظفًا يحتاج بيانات العملاء والعروض فقط، لكنه يحصل على صلاحية تحرير ملفات الرواتب لأنه نُسخ من حساب مدير سابق. يمكن منع ذلك بتجميع الوصول في مجموعات حسب الدور، ومراجعة العضوية من أصحاب البيانات.

هذا مثال افتراضي لا يصف حادثة أمنية أو مشروع عميل.

كيف نعرف أن نموذج الصلاحيات يعمل؟

قِس الحسابات التي لا تملك Owner، وعدد الاستثناءات المفتوحة، وزمن إلغاء الوصول عند المغادرة، ونسبة حسابات المصادقة متعددة العوامل. اختبر حالات لا يُفترض أن يرى فيها المستخدم بيانات حساسة.

• كل حساب مرتبط بدور معروف.
• تغييرات الصلاحيات قابلة للتتبع.
• مراجعات دورية تعالج صلاحيات لم تعد مطلوبة.

مصفوفة صلاحيات تبدأ من العمل

جرّب ثلاثة أدوار فقط أولًا: مبيعات، مالية، وإدارة النظام. لكل دور، اكتب ما يحتاج قراءته وتعديله واعتماده، ثم اختبر مستخدمًا تجريبيًا بصلاحياته الفعلية.

اربط أي وصول استثنائي بسبب واضح، ومدة انتهاء، ومراجعة دورية. الصلاحية المؤقتة التي لا تُراجع تتحول عمليًا إلى صلاحية دائمة.

أسّس إدارة الهوية كجزء من التشغيل

إعداد Microsoft 365 أو Google Workspace لا يكتمل بإنشاء صناديق بريد فقط. يحتاج إلى أدوار ومجموعات وضوابط وصول وإجراءات انضمام ومغادرة يستطيع الفريق تشغيلها بعد التسليم.

Digital Business Foundation يترجم هذه المتطلبات إلى إعداد رقمي محكوم وواضح الملكية.

• الدور — مسموح — غير مسموح دون اعتماد
• مبيعات — بيانات فرصه ومتابعاته — كشوف رواتب أو إعدادات النظام
• مالية — الفواتير والسجلات المعتمدة — تغيير صلاحيات بقية الإدارات
• مسؤول النظام — إدارة حسابات ضمن تفويض — الموافقة التجارية نيابة عن الإدارة