يواجه مسؤولو أمن المعلومات في المؤسسات المالية السعودية تحدياً متكرراً: كيف ننتقل من مراجعات الصلاحيات اليدوية التي تستغرق أسابيع وتنتج ملفات إكسل متضاربة، إلى نظام حوكمة آلي يحقق متطلبات المجال الخامس من الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني؟ السبب الأول لتعثر مشاريع تطبيق حوكمة الهوية والوصول السعودية ليس تقنياً — بل هو محاولة تطبيق منصة أو أداة قبل تحديد من يملك أي صلاحية، ومن يوافق على منحها، وكيف نفصل بين المهام المتعارضة، وكيف نراجع الصلاحيات بانتظام.
نوثق في هذا المقال كيف نُسلّم برنامج حوكمة الهوية والوصول الكامل في ستة عشر أسبوعاً، عبر خمسة مسارات عمل متوازية تبدأ من فهم الواقع الحالي وتنتهي بدورة مراجعة آلية متكررة. كل مسار ينتج مخرجات محددة أسبوعياً، وكل مخرج يُبنى عليه المسار التالي، حتى تصل المؤسسة إلى حالة امتثال مستدامة للمجال الخامس من الضوابط الأساسية.
لماذا تتعثر مشاريع حوكمة الهوية؟
المشكلة الأساسية في معظم مشاريع حوكمة الهوية أنها تبدأ من الحل التقني. تشتري المؤسسة منصة حوكمة هوية متقدمة، ثم تكتشف أنها لا تملك إجابات واضحة على أسئلة جوهرية: ما هي الأدوار الوظيفية في نظام الخزينة؟ من يوافق على صلاحيات المدير المالي؟ هل يجوز أن يجمع موظف واحد بين صلاحية إنشاء المورّد وصلاحية الدفع؟ كم مرة يجب أن نراجع الصلاحيات المميزة؟
بدون إجابات موثقة ومتفق عليها، تتحول المنصة إلى مستودع بيانات معقد لا يحل المشكلة الأصلية. تستمر المراجعات اليدوية، وتبقى الصلاحيات الزائدة دون معالجة، وتفشل المؤسسة في تحقيق متطلبات الهيئة الوطنية للأمن السيبراني في المجال الخامس الخاص بإدارة الهوية والصلاحيات.
الحل هو أن نبدأ من العمليات والأدوار والقواعد، ثم نبني الأتمتة فوقها — وليس العكس.
البرنامج: أربع مراحل وخمسة مسارات متوازية
يمتد البرنامج عبر أربع مراحل رئيسية: خط الأساس لفهم الوضع الحالي، ثم التصميم لبناء الأدوار والقواعد والعمليات، ثم المراجعة لتنفيذ أول حملة مراجعة صلاحيات، وأخيراً الترسيخ لتسليم النظام والدورة المتكررة إلى الفريق الداخلي.
ضمن هذه المراحل، تسير خمسة مسارات عمل بالتوازي:
- استخراج الأدوار وتصميم التحكم بالوصول المبني على الأدوار — من قوائم الصلاحيات الحالية إلى دليل أدوار موحد
- إعادة تصميم عمليات الانضمام والتنقل والمغادرة — من طلبات البريد الإلكتروني إلى سير عمل موحد
- حوكمة الوصول المميز — من صلاحيات مفتوحة إلى معيار واضح ومراجعة دورية
- تعريف قواعد الفصل بين المهام — من تعارضات غير موثقة إلى قواعد آلية
- أتمتة مراجعة الوصول — من ملفات إكسل إلى حملات دورية بمخرجات قابلة للتدقيق
كل مسار ينتج مخرجات أسبوعية، وكل مخرج يُراجع مع أصحاب الأنظمة ومدراء الأقسام قبل الانتقال إلى الخطوة التالية.
المرحلة الأولى: خط الأساس (الأسابيع 1–3)
ماذا يحدث
نبدأ بجمع البيانات الفعلية: من يملك أي صلاحية في كل نظام رئيسي؟ كيف تُمنح الصلاحيات اليوم؟ من يوافق؟ كم من الوقت تستغرق العملية؟ ما هي الصلاحيات المميزة الموجودة؟ هل توجد قواعد فصل بين المهام مكتوبة؟
نستخرج تقارير المستخدمين والصلاحيات من الأنظمة الأساسية: نظام تخطيط الموارد المؤسسية، والخزينة، والأساسي المصرفي، والموارد البشرية، وActive Directory. نُجري مقابلات مع مدراء تقنية المعلومات ومسؤولي الأنظمة ومدراء الموارد البشرية لفهم العمليات الحالية.
من يشارك من جانب العميل
مدير أمن المعلومات أو من ينوب عنه، ومدراء الأنظمة الرئيسية، ومسؤول الموارد البشرية، ومسؤول المراجعة الداخلية. نحتاج أيضاً إلى وصول للقراءة على الأنظمة لاستخراج التقارير.
ما الذي يحصل عليه العميل في نهاية هذه المرحلة
تقرير خط الأساس يوثق الوضع الحالي: عدد المستخدمين والصلاحيات في كل نظام، والعمليات الحالية لمنح الصلاحيات وإزالتها، والصلاحيات المميزة الموجودة، والفجوات مقارنة بمتطلبات الضوابط الأساسية. هذا التقرير يصبح نقطة المقارنة لقياس التقدم.
المرحلة الثانية: التصميم (الأسابيع 4–11)
هنا تسير المسارات الخمسة بالتوازي، كل واحد ينتج مخرجات محددة كل أسبوع أو أسبوعين.
المسار الأول: استخراج الأدوار وتصميم نموذج صلاحيات مبني على الأدوار
نحلل قوائم الصلاحيات الحالية لاستخراج الأدوار الضمنية. من يملك نفس مجموعة الصلاحيات؟ ما هي الوظيفة التي تتطلب هذه المجموعة؟ نُجري ورش عمل مع أصحاب الأنظمة لتسمية الأدوار وتحديد الصلاحيات المطلوبة لكل دور.
المخرج: دليل الأدوار لكل نظام رئيسي، يحدد اسم الدور، والصلاحيات المضمنة، ومن يوافق على منحه، ومتى يُراجع.
المسار الثاني: إعادة تصميم عمليات الانضمام والتنقل والمغادرة
نرسم العملية الحالية لكل سيناريو: موظف جديد، نقل داخلي، مغادرة، إجازة طويلة. ثم نعيد تصميم العملية لتصبح موحدة وقابلة للقياس: من يطلب؟ من يوافق؟ ما هي المهلة الزمنية؟ كيف نوثق الموافقة؟ كيف نتأكد من إزالة الصلاحيات عند المغادرة؟
المخرج: إجراءات موثقة لكل سيناريو، مع نماذج الطلبات وقوائم التحقق ومؤشرات الأداء.
المسار الثالث: حوكمة الوصول المميز
نحدد ما الذي يُعتبر صلاحية مميزة في كل نظام: مدراء الأنظمة، ومدراء قواعد البيانات، ومدراء الشبكات، والحسابات الخدمية. ثم نضع معياراً واضحاً: من يجوز له الحصول على صلاحية مميزة؟ ما هي الضوابط الإضافية (مثل المصادقة متعددة العوامل، والمراجعة الدورية، وتسجيل الجلسات)؟ كم مرة تُراجع؟
المخرج: معيار الصلاحيات المميزة، وقائمة بجميع الحسابات المميزة الحالية، وخطة المراجعة الدورية.
المسار الرابع: تعريف قواعد الفصل بين المهام
نحدد التعارضات الحرجة في كل نظام: هل يجوز أن يجمع موظف واحد بين صلاحية إنشاء المورّد وصلاحية الدفع؟ بين صلاحية إنشاء المستخدم وصلاحية منح الصلاحيات؟ نوثق كل قاعدة فصل، ونفحص المستخدمين الحاليين لاكتشاف التعارضات الموجودة.
المخرج: مصفوفة قواعد الفصل بين المهام لكل نظام، وتقرير بالتعارضات الحالية مع خطة المعالجة.
المسار الخامس: تصميم حملات مراجعة الصلاحيات
نحدد كيف ستسير حملة المراجعة الدورية: من يراجع أي صلاحيات؟ كم مرة؟ ما هي الأسئلة التي يجب أن يجيب عليها المراجع؟ كيف نوثق النتيجة؟ ماذا يحدث إذا لم يرد المراجع؟ نصمم قوالب المراجعة وسير العمل.
المخرج: خطة حملة المراجعة، وقوالب المراجعة، ودليل المراجعين.
من يشارك من جانب العميل
في هذه المرحلة، نحتاج إلى مشاركة أوسع: أصحاب الأنظمة الرئيسية، ومدراء الأقسام، ورئيس المراجعة الداخلية، ومسؤول الامتثال. كل مسار يتطلب ورشة عمل أو اثنتين لمراجعة المخرجات والموافقة عليها.
ما الذي يحصل عليه العميل في نهاية هذه المرحلة
حزمة كاملة من الوثائق: سياسة وإجراءات إدارة الهوية، ودليل الأدوار للأنظمة الرئيسية، ومعيار الصلاحيات المميزة، وقواعد الفصل بين المهام، وخطة حملة المراجعة. هذه الوثائق هي الأساس الذي تُبنى عليه الأتمتة.
المرحلة الثالثة: المراجعة (الأسابيع 12–14)
ماذا يحدث
ننفذ أول حملة لمراجعة الصلاحيات باستخدام العمليات والقوالب التي صممناها. نرسل طلبات المراجعة إلى المدراء، ونتابع الردود، ونوثق النتائج، ونعالج الصلاحيات الزائدة أو المتعارضة.
هذه الحملة الأولى تكشف العقبات العملية: هل القوالب واضحة؟ هل المدراء يفهمون ما يُطلب منهم؟ هل المهل الزمنية واقعية؟ نعدّل العملية بناءً على التغذية الراجعة.
من يشارك من جانب العميل
مدراء الأقسام الذين يراجعون صلاحيات فرقهم، ومدراء الأنظمة الذين ينفذون التغييرات، ومسؤول المراجعة الداخلية الذي يتحقق من اكتمال العملية.
ما الذي يحصل عليه العميل في نهاية هذه المرحلة
تقرير حملة المراجعة الأولى: عدد الصلاحيات المراجعة، وعدد الصلاحيات المعتمدة، وعدد الصلاحيات المُزالة، والتعارضات المكتشفة، والدروس المستفادة. هذا التقرير يُقدّم إلى لجنة المخاطر أو الإدارة العليا كدليل على بدء دورة الحوكمة.
المرحلة الرابعة: الترسيخ (الأسابيع 15–16)
ماذا يحدث
نُسلّم البرنامج الكامل إلى الفريق الداخلي. نُدرّب مسؤولي الأنظمة على تطبيق الأدوار الجديدة، ونُدرّب مسؤولي الموارد البشرية على عمليات الانضمام والتنقل والمغادرة، ونُدرّب منسق المراجعة على إدارة الحملات الدورية.
نضع جدولاً زمنياً للدورة المتكررة: متى تُنفذ حملة المراجعة القادمة؟ متى تُراجع قواعد الفصل بين المهام؟ متى يُحدّث دليل الأدوار؟
من يشارك من جانب العميل
الفريق الذي سيدير البرنامج بعد التسليم: منسق حوكمة الهوية، ومسؤولو الأنظمة، ومسؤول الموارد البشرية، ومسؤول المراجعة الداخلية.
ما الذي يحصل عليه العميل في نهاية هذه المرحلة
حزمة أدلة مراجعة الصلاحيات الكاملة: دليل منسق الحملة، ودليل المراجعين، ودليل مدراء الأنظمة، وجدول الدورة المتكررة. الفريق الداخلي الآن يملك كل ما يحتاجه لإدارة البرنامج بشكل مستقل.
كيف يحقق هذا البرنامج متطلبات المجال الخامس من الضوابط الأساسية
الهيئة الوطنية للأمن السيبراني تتطلب في المجال الخامس من الضوابط الأساسية عدة ضوابط تتعلق بإدارة الهوية والصلاحيات: عمليات واضحة لمنح الصلاحيات وإزالتها، ومراجعة دورية للصلاحيات، وحوكمة الصلاحيات المميزة، وفصل بين المهام الحرجة.
البرنامج الذي وثقناه يغطي كل هذه المتطلبات:
- عملية الانضمام والتنقل والمغادرة توفر إجراءات موحدة وموثقة لمنح الصلاحيات وإزالتها
- نموذج صلاحيات مبني على الأدوار يضمن أن كل موظف يحصل على الصلاحيات المناسبة لوظيفته فقط
- إدارة الصلاحيات المميزة تحدد معياراً واضحاً وضوابط إضافية للحسابات المميزة
- قواعد الفصل بين المهام تمنع التعارضات الحرجة وتكتشفها تلقائياً
- حملات مراجعة الصلاحيات توفر مراجعة دورية موثقة وقابلة للتدقيق
كل مخرج من مخرجات البرنامج يمكن تقديمه كدليل امتثال للمراجعين الخارجيين أو للهيئة.
المخرجات الكاملة للبرنامج
في نهاية الستة عشر أسبوعاً، يحصل العميل على:
- سياسة وإجراءات إدارة الهوية — الوثيقة الرئيسية التي تحكم كيف تُمنح الصلاحيات وتُراجع وتُزال
- دليل الأدوار للأنظمة الرئيسية — قائمة محدثة بجميع الأدوار الوظيفية والصلاحيات المرتبطة بكل دور
- معيار الصلاحيات المميزة — تعريف واضح للصلاحيات المميزة والضوابط الإضافية المطلوبة
- مصفوفة قواعد الفصل بين المهام — قائمة بجميع التعارضات المحظورة وكيفية اكتشافها
- حزمة أدلة مراجعة الصلاحيات — أدلة كاملة لجميع الأطراف المشاركة في حملة المراجعة
- تقرير حملة المراجعة الأولى — دليل عملي على تنفيذ الدورة الأولى ونتائجها
- جدول الدورة المتكررة — خطة واضحة لاستمرار البرنامج بعد التسليم
كل وثيقة تُسلّم بصيغة قابلة للتعديل، حتى يتمكن الفريق الداخلي من تحديثها مع تطور الأنظمة والعمليات.
الخطوة التالية
إذا كنت تخطط لمشروع حوكمة الهوية والوصول لتلبية متطلبات الضوابط الأساسية، أو تواجه صعوبة في مراجعات الصلاحيات الحالية، فإن خدمة حوكمة الهوية والوصول تساعدك على بناء برنامج عملي قابل للاستمرار. نبدأ من فهم عملياتك الحالية، ونُسلّم برنامجاً كاملاً مع جميع الوثائق والأدلة التي يحتاجها فريقك لإدارته بشكل مستقل.
