يبحث كثير من مسؤولي الأمن والامتثال عن طريقة عملية في تطبيق حوكمة الهوية والصلاحيات وفق إطار ساما للأمن السيبراني، دون أن يتحول المشروع إلى أداة جديدة لا يستخدمها أحد. نعرض هنا كيف نقدم هذه الخدمة على أربع مراحل: خط الأساس، ثم التصميم، ثم المراجعة، ثم الترسيخ. ونذكر في كل مرحلة ما يجري فيها، ومن يشارك من جهتكم، وما الذي يبقى بين أيديكم عند نهايتها.
تستغرق الخدمة عادة من 6 إلى 10 أسابيع بوصفها مشروعًا محددًا. وتستند إلى إطار ساما للأمن السيبراني، كما تستند إلى ضوابط الهيئة الوطنية للأمن السيبراني الأساسية (NCA ECC).
لماذا تبدأ الحوكمة من الصلاحيات الفعلية
تتراكم الصلاحيات في أي مؤسسة بمرور السنوات: موظف ينتقل بين إدارتين ويحتفظ بصلاحيات الأولى، وطلب استثنائي يصبح دائمًا، وحساب مميز لا يعرف أحد صاحبه. لذلك لا نبدأ من نموذج نظري للأدوار، بل من الواقع القائم، ثم نبني عليه ما يمكن إدارته ومراجعته.
يتناول النطاق الخامس من الإطار الذي أصدره البنك المركزي السعودي (ساما) إدارة الهوية والوصول، وتتوقع الجهات الرقابية أن تثبت المؤسسة أن الصلاحيات تُمنح وتُراجع وتُزال وفق عملية موثقة. وهذا ما يحدد شكل مخرجاتنا في النهاية.
المرحلة الأولى: خط الأساس
ما يجري فيها. نبدأ بخط الأساس: العمليات والأنظمة وبيانات الصلاحيات الحالية. نفهم كيف تُطلب الصلاحيات اليوم ومن يوافق عليها وكيف تُنفذ، ثم نحدد الأنظمة الرئيسية التي سيشملها البرنامج. ونستخرج الصلاحيات الفعلية الممنوحة في هذه الأنظمة ونقارنها بالمسميات الوظيفية والهيكل التنظيمي، فتظهر أنماط الصلاحيات المتكررة والاستثناءات الشاذة والحسابات التي لا مالك لها.
من يشارك من جهتكم.
- مسؤول أمن المعلومات، بوصفه راعي البرنامج.
- مدير تقنية المعلومات أو مسؤولو الأنظمة، لتوفير بيانات الصلاحيات.
- الموارد البشرية، لتزويدنا بالهيكل الوظيفي ومسارات الانضمام والانتقال والمغادرة.
ما تحتفظون به في نهايتها. صورة موثقة لوضع الصلاحيات الحالي، وقائمة بالفجوات الأولى، وأساس واضح لتصميم الأدوار.
المرحلة الثانية: التصميم
ما يجري فيها. نصمم الأدوار والقواعد والعمليات، وهنا يتكون جوهر البرنامج. تُشتق الأدوار من أنماط الصلاحيات الفعلية التي ظهرت في المرحلة الأولى، لا من تصور مسبق، ثم تُعرض على أصحاب الأعمال لتصحيحها. ويشمل التصميم أربعة مسارات:
- نموذج صلاحيات مبني على الأدوار: يربط كل وظيفة بمجموعة صلاحيات محددة في كل نظام رئيسي.
- عملية الانضمام والتنقل والمغادرة: تحدد ما يُمنح للموظف الجديد، وما يُسحب ويُضاف عند انتقاله، وما يُغلق عند مغادرته، ومن يوافق ومتى.
- قواعد الفصل بين المهام: تمنع اجتماع صلاحيتين متعارضتين لدى شخص واحد، وتحدد كيفية معالجة الاستثناءات الضرورية.
- إدارة الصلاحيات المميزة: تضبط الحسابات ذات القدرات العالية من حيث طلبها واعتمادها ومدة بقائها ومراجعتها.
من يشارك من جهتكم. مسؤولو الأعمال الذين يملكون الأنظمة والبيانات، لأنهم الأقدر على الحكم على ما يحتاجه كل دور. ويشارك فريق تقنية المعلومات في تقدير إمكانية التنفيذ، والموارد البشرية في اعتماد مسارات الانضمام والتنقل والمغادرة، والامتثال في التحقق من اتساق القواعد مع المتطلبات الرقابية.
ما تحتفظون به في نهايتها. سياسة وإجراءات إدارة الهوية، ودليل الأدوار للأنظمة الرئيسية، ومعيار الصلاحيات المميزة.
المرحلة الثالثة: المراجعة
ما يجري فيها. ننفذ أول حملة لمراجعة الصلاحيات. ويُقصد بها تطبيق الأدوار والقواعد على الواقع: يتلقى كل مالك نظام أو مدير قائمة بالصلاحيات الممنوحة لفريقه، ويقرر الإبقاء أو التعديل أو الإزالة. ونتابع سير الحملة، ونسجل القرارات، ونتتبع الإجراءات التصحيحية حتى إغلاقها.
تكشف الحملة الأولى عادة ما لم يظهر في التحليل: صلاحيات لم يعد لها مسوغ، وحسابات خاملة، وتعارضات في الفصل بين المهام. ومعالجتها تجعل الدورات اللاحقة أخف عبئًا.
من يشارك من جهتكم. المديرون ومالكو الأنظمة بوصفهم مراجعين، وفريق تقنية المعلومات لتنفيذ التعديلات، والامتثال لمتابعة الإغلاق والتوثيق.
ما تحتفظون به في نهايتها. نتائج حملة مراجعة مكتملة بقراراتها وإجراءاتها التصحيحية، وهي أول مادة في أرشيف الأدلة.
المرحلة الرابعة: الترسيخ
ما يجري فيها. نسلّم ما بُني ونرسخ الدورة المتكررة. نراجع مع فريقكم الأدوار والإجراءات، ونحدد من يملك كل خطوة، ونرتب جدول المراجعات الفصلية بحيث تصبح جزءًا من التقويم التشغيلي، لا مبادرة تنتهي بانتهاء المشروع. ونوضح كيف تُحفظ الأدلة في كل دورة بالصيغة نفسها، فيسهل على المدقق الداخلي أو الجهة الرقابية الرجوع إليها.
من يشارك من جهتكم. الفريق الذي سيتولى التشغيل بعدنا: إدارة الهوية والوصول، ومسؤولو الأنظمة، والامتثال، مع رعاية من مسؤول أمن المعلومات.
ما تحتفظون به في نهايتها. برنامج قابل للتشغيل الذاتي، وفريق يعرف مسؤولياته في كل دورة.
قائمة المخرجات الكاملة
في ختام المشروع تتسلمون أربعة مخرجات:
- سياسة وإجراءات إدارة الهوية.
- دليل الأدوار للأنظمة الرئيسية.
- معيار الصلاحيات المميزة.
- حزمة أدلة مراجعة الصلاحيات.
وتغطي هذه المخرجات عناصر الخدمة الخمسة: عملية الانضمام والتنقل والمغادرة، ونموذج الصلاحيات المبني على الأدوار، وإدارة الصلاحيات المميزة، وقواعد الفصل بين المهام، وحملات مراجعة الصلاحيات.
نقاط عملية قبل أن تبدؤوا
- حددوا مبكرًا الأنظمة الرئيسية التي سيشملها البرنامج، فالتوسع التدريجي أنجح من محاولة تغطية كل شيء في دفعة واحدة.
- أشركوا مالكي الأعمال من البداية، لأن قرار الإبقاء على الصلاحية أو إزالتها قرار أعمال قبل أن يكون قرارًا تقنيًا.
- احرصوا على أن يكون لكل خطوة في الدورة مالك معروف، فغياب المالك أكثر أسباب تعثر المراجعات الدورية شيوعًا.
الخطوة التالية
إذا كنتم تخططون لبرنامج حوكمة صلاحيات أو تريدون تطوير برنامج قائم، فخدمة حوكمة الهوية والوصول لدينا تبدأ بجلسة لفهم وضعكم الحالي وتحديد نطاق الأنظمة. تواصلوا معنا لنناقش ما يناسب مؤسستكم.
