يتطلب ضابط إطار الأمن السيبراني لمؤسسة النقد العربي السعودي ساما 1-3-1 منح وإلغاء الصلاحيات في الوقت المناسب، لكن معظم المؤسسات الخاضعة للإشراف تفتقر لسير العمل الذي يربط أحداث الموارد البشرية بدورة حياة الهوية. تبقى الفجوة بين قرار التوظيف أو الإنهاء وبين تنفيذ الصلاحيات نقطة ضعف متكررة في تقارير المراجعة، لأن التعيين النقل المغادرة ساما إطار الأمن السيبراني 1-3-1 حوكمة الصلاحيات تتطلب أدلة موثقة على كل خطوة في دورة الحياة.
يستعرض هذا المقال منهجية من خمس مراحل لبناء عملية التعيين والنقل والمغادرة التي تنتج أدلة مراجعة قابلة للتدقيق: تحديد محفزات نظام الموارد البشرية، وتعريف سلاسل الموافقة لكل نوع دور، وأتمتة الإلغاء للأنظمة الحرجة خلال 24 ساعة، وإنشاء سجلات تدقيق تحمل ختماً زمنياً لكل خطوة، وإنتاج أدلة مراجعة الصلاحيات الفصلية التي يطلبها مدققو ساما.
لماذا تفشل معظم عمليات الانضمام والمغادرة في اجتياز المراجعة
يطلب إطار الأمن السيبراني لساما أن تُمنح الصلاحيات بناءً على الحاجة الفعلية للعمل، وأن تُراجَع بانتظام، وأن تُلغى فور انتهاء الحاجة إليها. لكن الواقع في كثير من المؤسسات المالية يكشف عن ثلاث فجوات رئيسية:
الفجوة الأولى: نظام الموارد البشرية يسجل حدث التوظيف أو الإنهاء، لكن لا توجد آلية تلقائية تحوّل هذا الحدث إلى طلب صلاحيات أو أمر إلغاء. تبقى المسؤولية على المدير المباشر أو موظف الموارد البشرية لإرسال بريد إلكتروني إلى فريق تقنية المعلومات، وهو ما يتأخر أو يُنسى.
الفجوة الثانية: عند التنقل الداخلي — ترقية أو نقل إلى قسم آخر — تُمنح الصلاحيات الجديدة لكن القديمة تبقى دون إلغاء، فيتراكم لدى الموظف امتيازات لا يحتاجها، وهو ما يخالف مبدأ الحد الأدنى من الصلاحيات.
الفجوة الثالثة: لا توجد سجلات تدقيق موحدة تربط بين حدث الموارد البشرية وطلب الصلاحيات والموافقة والتنفيذ والإلغاء، فيصعب على فريق الامتثال إنتاج أدلة عند المراجعة.
تعالج منهجيتنا هذه الفجوات الثلاث من خلال بناء عملية الانضمام والتنقل والمغادرة التي تربط نظام الموارد البشرية بدورة حياة الهوية بسير عمل موثق وقابل للتدقيق.
المرحلة الأولى: تحديد محفزات نظام الموارد البشرية
نبدأ بفحص نظام الموارد البشرية المستخدم في المؤسسة — سواء كان محلياً أو سحابياً — وتحديد الأحداث التي يجب أن تطلق سير عمل الصلاحيات. نركز على أربعة محفزات رئيسية:
- التوظيف الجديد: عند إنشاء سجل موظف جديد في نظام الموارد البشرية، يجب أن يُرسَل طلب صلاحيات إلى فريق تقنية المعلومات يتضمن المسمى الوظيفي والقسم وتاريخ البدء.
- النقل الداخلي: عند تغيير القسم أو المسمى الوظيفي، يجب أن يُطلق سير عمل يراجع الصلاحيات الحالية ويقارنها بالصلاحيات المطلوبة للدور الجديد، ثم يلغي الزائد ويمنح الناقص.
- الاستقالة: عند تسجيل استقالة مقبولة، يجب أن يُحدَّد تاريخ آخر يوم عمل ويُجدوَل إلغاء جميع الصلاحيات في نهاية ذلك اليوم.
- الإنهاء الفوري: عند إنهاء الخدمة لأسباب تأديبية أو أمنية، يجب أن تُلغى الصلاحيات خلال ساعات، وليس أيام.
نعمل مع فريق الموارد البشرية وفريق تقنية المعلومات لتحديد كيف يُسجَّل كل حدث في النظام، وما هي الحقول التي يمكن استخدامها كمحفزات، وما هي الواجهة البرمجية أو الآلية المتاحة لربط نظام الموارد البشرية بنظام إدارة الهوية.
في نهاية هذه المرحلة، يحصل فريق المشروع على وثيقة تحدد كل محفز، والحقول المستخدمة، والبيانات التي ستُنقَل، والتوقيت المطلوب لكل نوع حدث.
المرحلة الثانية: تعريف سلاسل الموافقة لكل نوع دور
ليس كل طلب صلاحيات يحتاج إلى نفس مستوى الموافقة. تتطلب الصلاحيات المميزة — مثل صلاحيات مدير النظام أو الوصول إلى بيانات العملاء الحساسة — موافقة متعددة المستويات، بينما يمكن منح الصلاحيات العادية بموافقة المدير المباشر فقط.
نعمل مع مسؤولي أمن المعلومات وقادة الأقسام لتصميم نموذج صلاحيات مبني على الأدوار يربط كل مسمى وظيفي بمجموعة صلاحيات محددة، ثم نحدد سلسلة الموافقة المطلوبة لكل مجموعة:
- الصلاحيات العادية: موافقة المدير المباشر فقط، ثم تنفيذ تلقائي من قبل نظام إدارة الهوية.
- الصلاحيات المميزة: موافقة المدير المباشر، ثم موافقة مسؤول أمن المعلومات أو مدير المخاطر، ثم تنفيذ يدوي موثق.
- الصلاحيات الحرجة: موافقة المدير المباشر، ثم موافقة مسؤول أمن المعلومات، ثم موافقة الإدارة التنفيذية أو لجنة المخاطر، ثم تنفيذ يدوي مع مراجعة بعد 90 يوماً.
نطبق أيضاً قواعد الفصل بين المهام لضمان عدم جمع صلاحيات متعارضة في حساب واحد — مثل إدخال المعاملات والموافقة عليها — ونضع تنبيهات تلقائية عند محاولة منح صلاحيات تخالف هذه القواعد.
في نهاية هذه المرحلة، يحصل فريق المشروع على دليل الأدوار للأنظمة الرئيسية يحدد كل دور، والصلاحيات المرتبطة به، وسلسلة الموافقة المطلوبة، وقواعد الفصل بين المهام.
المرحلة الثالثة: أتمتة الإلغاء للأنظمة الحرجة خلال 24 ساعة
يطلب إطار الأمن السيبراني لساما إلغاء الصلاحيات فور انتهاء الحاجة إليها، وخاصة عند إنهاء الخدمة. لكن الإلغاء اليدوي — الذي يعتمد على بريد إلكتروني من الموارد البشرية إلى تقنية المعلومات — يتأخر أو يُنسى، فتبقى حسابات نشطة لموظفين غادروا المؤسسة.
نصمم سير عمل آلي يربط حدث المغادرة في نظام الموارد البشرية بأمر إلغاء فوري في نظام إدارة الهوية. عند تسجيل آخر يوم عمل، يُجدوَل النظام إلغاء جميع الصلاحيات في نهاية ذلك اليوم — أو فوراً في حالة الإنهاء الفوري.
نحدد الأنظمة الحرجة التي تتطلب إلغاء خلال 24 ساعة:
- أنظمة البريد الإلكتروني والاتصالات
- أنظمة إدارة علاقات العملاء والبيانات الحساسة
- أنظمة المعاملات المالية والمدفوعات
- الوصول عن بُعد والشبكات الخاصة الافتراضية
- أنظمة إدارة قواعد البيانات والخوادم
نضع آلية استثناء موثقة للحالات التي تتطلب تمديد الصلاحيات لفترة محدودة — مثل نقل المعرفة أو إتمام مشروع — بشرط موافقة مسؤول أمن المعلومات وتحديد تاريخ انتهاء صريح.
في نهاية هذه المرحلة، يحصل فريق المشروع على سير عمل آلي مُختبَر يلغي الصلاحيات في الوقت المحدد دون تدخل يدوي.
المرحلة الرابعة: إنشاء سجلات تدقيق تحمل ختماً زمنياً لكل خطوة
لا يكفي أن تعمل العملية بشكل صحيح؛ يجب أن تكون قابلة للإثبات. يطلب مدققو ساما أدلة موثقة على كل خطوة في دورة حياة الصلاحيات: من طلبها، ومن وافق عليها، ومتى نُفِّذت، ومتى أُلغيت.
نصمم سجلات تدقيق موحدة تربط بين نظام الموارد البشرية ونظام إدارة الهوية وأنظمة الأعمال، وتسجل:
- تاريخ ووقت حدث الموارد البشرية (التوظيف، النقل، المغادرة)
- تاريخ ووقت طلب الصلاحيات، ومن أرسله
- تاريخ ووقت كل موافقة، ومن منحها
- تاريخ ووقت التنفيذ، ومن نفذه
- تاريخ ووقت الإلغاء، والسبب
نضع هذه السجلات في مستودع مركزي محمي من التعديل، ونضمن أن كل سجل يحمل ختماً زمنياً موثوقاً ومعرّف المستخدم الذي نفذ الإجراء.
نصمم أيضاً تقارير استعلام تسمح لفريق الامتثال بالبحث عن أي حساب أو موظف أو حدث، واستخراج سجل كامل لدورة حياة الصلاحيات في ثوانٍ.
في نهاية هذه المرحلة، يحصل فريق المشروع على آلية سجلات تدقيق جاهزة للمراجعة وقابلة للاستعلام.
المرحلة الخامسة: إنتاج أدلة مراجعة الصلاحيات الفصلية
يطلب إطار الأمن السيبراني لساما مراجعة دورية للصلاحيات للتأكد من أن كل مستخدم لا يزال يحتاج إلى ما لديه من صلاحيات. لكن المراجعة اليدوية — التي تعتمد على جداول بيانات تُرسَل إلى المديرين — تستغرق أسابيع ونادراً ما تكتمل.
نصمم حملات مراجعة الصلاحيات الآلية التي تُطلَق كل ربع سنة، وتُرسِل إلى كل مدير قائمة بصلاحيات فريقه، وتطلب منه تأكيد أو إلغاء كل صلاحية، وتُسجِّل كل قرار بختم زمني.
تتضمن كل حملة مراجعة:
- قائمة بجميع المستخدمين النشطين في كل نظام، مع صلاحياتهم الحالية
- تحديد الصلاحيات المميزة التي تتطلب مراجعة إلزامية
- تحديد الحسابات التي لم تُستخدَم منذ 90 يوماً أو أكثر
- تحديد الحسابات التي تخالف قواعد الفصل بين المهام
- إرسال تنبيهات تلقائية للمديرين الذين لم يكملوا المراجعة في الموعد المحدد
في نهاية كل حملة، نُنتج تقريراً موحداً يُرفَع إلى مسؤول أمن المعلومات ولجنة المخاطر، يتضمن:
- عدد الحسابات التي رُوجِعت
- عدد الصلاحيات التي أُلغيت
- عدد الحسابات التي لم تُراجَع وسبب ذلك
- قائمة بالصلاحيات المميزة التي أُكِّدت، مع مبرر كل منها
في نهاية هذه المرحلة، يحصل فريق المشروع على حزمة أدلة مراجعة الصلاحيات جاهزة لتقديمها إلى مدققي ساما.
كيف نسلّم العملية ونضمن استمراريتها
بعد بناء العملية واختبارها، نسلّمها إلى فريق المؤسسة من خلال ثلاث خطوات:
أولاً: نوثق العملية بالكامل في سياسة وإجراءات إدارة الهوية التي تحدد الأدوار والمسؤوليات، وسير العمل لكل نوع حدث، ومتطلبات التوثيق، وآلية التصعيد عند التأخير أو الاستثناءات.
ثانياً: ندرّب فريق الموارد البشرية على كيفية تسجيل الأحداث في النظام بالطريقة التي تطلق سير العمل الصحيح، وندرّب فريق تقنية المعلومات على كيفية مراقبة سير العمل والتعامل مع الاستثناءات، وندرّب المديرين على كيفية إتمام حملات المراجعة الفصلية.
ثالثاً: نضع مؤشرات أداء رئيسية لقياس فعالية العملية:
- نسبة طلبات الصلاحيات التي نُفِّذت خلال 24 ساعة من حدث الموارد البشرية
- نسبة الصلاحيات التي أُلغيت خلال 24 ساعة من آخر يوم عمل
- نسبة حملات المراجعة التي اكتملت في الموعد المحدد
- عدد الحسابات النشطة لموظفين غادروا المؤسسة (يجب أن يكون صفراً)
نُنتج تقريراً شهرياً يُرفَع إلى مسؤول أمن المعلومات يتضمن هذه المؤشرات، مع قائمة بالحالات الشاذة والإجراءات المتخذة.
المخرجات الكاملة لعملية التعيين والنقل والمغادرة
عند اكتمال المشروع، يحصل فريق المؤسسة على:
- سياسة وإجراءات إدارة الهوية التي تحدد العملية الكاملة لدورة حياة الصلاحيات
- دليل الأدوار للأنظمة الرئيسية الذي يربط كل مسمى وظيفي بمجموعة صلاحيات محددة
- معيار الصلاحيات المميزة الذي يحدد ما يُعتبر صلاحية مميزة، وسلسلة الموافقة المطلوبة، ومتطلبات المراجعة
- حزمة أدلة مراجعة الصلاحيات التي تتضمن سجلات التدقيق ونتائج الحملات الفصلية وتقارير المؤشرات
هذه المخرجات تُشكّل الأدلة التي يطلبها مدققو ساما عند مراجعة الامتثال لضابط 1-3-1 من إطار الأمن السيبراني.
من الفجوة إلى الدليل القابل للتدقيق
تبقى الفجوة بين قرار الموارد البشرية وتنفيذ الصلاحيات نقطة ضعف في معظم المؤسسات المالية، لأن العملية تعتمد على التواصل اليدوي والذاكرة البشرية. بناء عملية التعيين والنقل والمغادرة التي تربط نظام الموارد البشرية بدورة حياة الهوية بسير عمل آلي وموثق يحوّل هذه النقطة من ضعف إلى قوة، ومن ملاحظة مراجعة إلى دليل امتثال.
نعمل مع المؤسسات الخاضعة لإشراف ساما لبناء هذه العملية من خلال خدمة حوكمة الهوية والوصول التي تعزز طريقة منح الصلاحيات ومراجعتها وإزالتها — عمليات الانضمام والتنقل والمغادرة، والصلاحيات المميزة، والفصل بين المهام، والمراجعات الدورية للصلاحيات. الأشخاص المناسبون، بالصلاحيات المناسبة، بمراجعة في وقتها.
