تهيئة الصلاحيات قبل الإطلاق: تصميم لا إعداد عابر

تُهيَّأ الصلاحيات عادةً في آخر أسبوع قبل الإطلاق، تحت ضغط الوقت، بمنطق «افتح له ما يحتاجه الآن ونضبط لاحقًا». و«لاحقًا» لا تأتي — فتبقى المنشأة سنوات على صلاحيات صُمّمت في ساعة.

هذه الصفحة عن تصميم الصلاحيات قبل الإطلاق. لآليات الحماية عمومًا راجع الأمن والصلاحيات، ولاختبارها ضمن القبول اختبار القبول. المعالجة تشغيلية لا استشارة قانونية.

صمّم بالأدوار لا بالأشخاص

الصف الخامس يصف ما يحدث فعليًا مع الوقت: الصلاحيات الممنوحة بالأشخاص تتراكم ولا تُسحَب أبدًا — يُضاف إذن لحالة طارئة ويبقى سنوات. التصميم بالأدوار يجعل الصلاحية خاصية للوظيفة لا هدية للشخص، فتُراجَع الأدوار مرة بدل مراجعة عشرات الحسابات.

الحد الأدنى اللازم

السؤال الأخير هو ما يميّز تصميمًا واعيًا: صلاحية بلا أحد يلاحظ استخدامها ليست مضبوطة. لا يكفي تقييد من يملكها؛ يجب أن يظهر استخدامها في سجل يُراجَع. اقرن كل صلاحية خطرة بضابط رصد، لا بالثقة وحدها. راجع قابلية إثبات ما جرى.

خريطة الأدوار والوظائف

العمود الثالث هو ما يُغفل في أغلب التصاميم: تعريف الدور بما لا يفعله لا يقل أهمية عن تعريفه بما يفعله. والصف السادس تحديدًا يستحق انتباهًا — مالك النظام يملك صلاحيات إدارية واسعة، ويجب ألّا تشمل تجاوز مسار الاعتماد الفني أو تعديل نتيجة معتمَدة.

فصل الإدخال عن الاعتماد

الصف الثالث هو الفارق الجوهري: يمكن التنازل عن الفصل ولا يمكن التنازل عن الأثر. حين يضطر شخص لإدخال نتيجة واعتمادها فليكن ذلك ظاهرًا في السجل وقابلًا للمراجعة، لا مخفيًا. الشفافية تعوّض جزئيًا عن غياب الفصل؛ والغموض لا يعوّضه شيء. راجع الضوابط التعويضية.

الصلاحيات الخطرة

الصف السادس يُغفل لأنه لا يبدو تعديلًا: التصدير لا يغيّر شيئًا في النظام لكنه يُخرج كل شيء منه. صلاحية تصدير مفتوحة تُبطل عمليًا كل قيود العرض التي بنيتها. قيّدها، وسجّل كل عملية تصدير بمن ومتى ونطاق ما صُدِّر. راجع أمن النسخ نفسها.

حدود رؤية البيانات

الصف الثالث شرط بقاء تجاري لا تفضيلًا أمنيًا في المختبرات التي تخدم جهات متعددة: عميل يرى — ولو بالخطأ — بيانات منافس له لن يستمر معك. اختبر العزل عمليًا بحسابين لعميلين مختلفين لا نظريًا بمراجعة الإعدادات. راجع العزل بين العملاء.

الحسابات المشتركة

الحساب المشترك ليس مخالفة إجرائية بل إبطال لكل ما بُني: سجل تدقيق يقول «من فعل» و«مَن» مجهول لا قيمة له. وهو أرخص خطأ يمكن تجنّبه — كلفة ترخيص إضافي أقل بكثير من كلفة عدم القدرة على إثبات من أدخل نتيجة أو اعتمدها. راجع أخطر تقتير.

التفويض المؤقت

1. مدة محددة تنتهي تلقائيًا لا يدويًا.
2. نطاق محدد لا الدور كاملًا.
3. من فوّض ومن فُوِّض مسجَّلان.
4. سبب التفويض موثّق.
5. ظهوره في السجل على كل فعل يتم به.
6. مراجعة التفويضات النشطة دوريًا.

البند الأول هو ما يمنع أشيع تسرّب للصلاحيات: تفويض بلا انتهاء تلقائي يصبح صلاحية دائمة — يُمنح لإجازة أسبوع ويبقى سنة. اجعل الانتهاء التلقائي إلزاميًا، فالاعتماد على من يتذكر السحب يفشل دائمًا. راجع التفويض الاحتياطي للاعتماد.

الفريق الصغير: ماذا لو استحال الفصل

القاعدة في الفرق الصغيرة: ما لا يمكن منعه بالفصل يُعوَّض بالإظهار. تقرير دوري بمن اعتمد نتيجته بنفسه، وتنبيه عند كل استخدام لصلاحية خطرة — كلاهما لا يمنع لكنه يجعل الاستثناء مرئيًا وقابلًا للمساءلة، وهذا أقصى ما يمكن بلا كوادر إضافية.

دورة حياة الحساب

الصف الثاني هو المصدر الأول لتضخم الصلاحيات: موظف ينتقل لمهمة جديدة فيُمنَح دورها ويحتفظ بالقديم — فتتجمع لديه صلاحيات لا يحتاج معظمها. اجعل تغيير المهام يستوجب مراجعة كاملة للأدوار لا إضافة فوقها. راجع إجراء المغادرة.

ما يجب أن يلتقطه السجل

الصف السادس يُغفل رغم قيمته: محاولات فاشلة متكررة لتجاوز صلاحية إشارة تستحق النظر — قد تعني أن الصلاحيات لا تناسب العمل الفعلي، أو تعني شيئًا آخر. في الحالتين هي معلومة. اجعلها ضمن ما يُسجَّل ويُراجَع دوريًا لا ضمن ما يُتجاهَل.

اختبار الصلاحيات

1. ادخل بكل دور فعليًا لا بحساب إداري.
2. اختبر ما يُسمح به — يعمل كما يجب.
3. اختبر ما يُمنَع — المنع يعمل فعلًا.
4. جرّب المسارات الجانبية — رابط مباشر أو تقرير.
5. تحقق من التقاط السجل لكل فعل.
6. اختبر انتهاء التفويض المؤقت.

البند الرابع هو ما يكشف الثغرات الحقيقية: صلاحية قد تكون مقيّدة في القائمة ومتاحة عبر تقرير أو رابط أو تصدير. لا تكتفِ باختبار الشاشة الرئيسية للوظيفة؛ جرّب الوصول إلى البيانات نفسها من مسارات أخرى. راجع اختبار المنع لا السماح.

المراجعة الدورية

هذه المراجعة تُنجَز في ساعة وتُهمَل سنوات: اجعلها بندًا دوريًا ثابتًا لا فحصًا يُجرى عند التدقيق. والصف الأول أبسطها وأكثرها إحراجًا عند اكتشافه — حساب نشط لموظف غادر قبل شهور ثغرة مفتوحة وسجل تدقيق مضلِّل معًا.

نموذج مصفوفة صلاحيات

قائمة تحقق

1. هل صُمّمت الصلاحيات بالأدوار لا بالأشخاص؟
2. هل عُرّف كل دور بما لا يفعله أيضًا؟
3. هل لكل شخص حساب مستقل بلا استثناء؟
4. هل فُصل الإدخال عن الاعتماد أو ظهر عدم الفصل في السجل؟
5. هل الصلاحيات الخطرة محصورة ومقرونة بضابط رصد؟
6. هل التصدير مقيَّد ومسجَّل بنطاقه؟
7. هل العزل بين العملاء أو الفروع مختبَر عمليًا؟
8. هل التفويض المؤقت ينتهي تلقائيًا؟
9. هل تغيير المهام يستوجب مراجعة الأدوار لا الإضافة فقط؟
10. هل إلغاء الحساب إلزامي يوم المغادرة؟
11. هل يلتقط السجل محاولات التجاوز الفاشلة؟
12. هل اختبرت المنع من المسارات الجانبية لا الشاشة الرئيسية فقط؟
13. هل مراجعة الصلاحيات بند دوري ثابت؟

هذه المعالجة تشغيلية وتنظيمية لا استشارة قانونية؛ متطلبات الوصول والخصوصية تُراجَع مع جهتك المخوّلة. لآليات الحماية راجع الأمن والصلاحيات، ولاختبار القبول قبل الإطلاق، وللإثبات والتتبّع الاستعداد للاعتماد. وللفرق الصغيرة الضوابط التعويضية، وللنسخ الاحتياطية أمن النسخ، وللدوران الوظيفي إجراء المغادرة. ولمناقشة تصميم الأدوار في نظامك، تواصل مع فريق مِخبار.

الأسئلة الشائعة