ترحيل صلاحيات الملفات دون توسيع وصول المستخدمين بالخطأ

في مشاريع الترحيل تُقاس الملفات والحقول بعناية، وتُترك الصلاحيات لآخر أسبوع. ثم يُفتح النظام الجديد فيكتشف موظف في المبيعات أنه يرى ملفات الرواتب، لأن مجلدًا قديمًا كان مقيدًا بصلاحية استثنائية لم تُنقل. تفيدك الخطوات التالية إن كنت مدير تقنية معلومات أو مسؤول أمن معلومات أو مدير أرشيف، وتجيب عن سؤال واحد: كيف تنقل الوصول إلى النظام الجديد دون أن يتسع بالخطأ، ودون أن يضيق حتى يتوقف العمل.

فشلان متعاكسان، وأحدهما أخطر

ترحيل الصلاحيات يفشل بطريقتين. الأولى التضييق الزائد: موظفون لا يجدون ملفات كانوا يصلون إليها. هذا مزعج لكنه مرئي؛ يتصل الموظف بالدعم ويُصحح الوضع في يوم. الثانية التوسيع الصامت: موظفون يصلون إلى ما لم يكن مسموحًا لهم. هذا لا يبلغ عنه أحد، ولا يُكتشف إلا بمراجعة أو حادثة. لذلك يُصمم ترحيل الصلاحيات ليفضل الخطأ الأول على الثاني: كل شك يُحسم لصالح التقييد، ثم يُفتح الوصول بطلب.

لماذا لا تنجح «نسخ الصلاحيات كما هي»

يبدو نسخ صلاحيات المصدر إلى الوجهة الخيار الأكثر أمانًا. عمليًا يفشل لأسباب تتعلق بطبيعة الصلاحيات المتراكمة:

• النماذج مختلفة: صلاحيات NTFS على خادم الملفات تسمح بعدد كبير من الأذونات الدقيقة (قراءة، كتابة، تعديل، حذف فرعي…) مع أذونات منع صريحة. نظام الوثائق الجديد غالبًا يعمل بأدوار (قارئ، محرر، معتمد، مشرف). لا يوجد تحويل واحد لواحد، وكل تحويل تقريبي قد يوسع أو يضيق.
• المجموعات العامة: مجموعات مثل «Everyone» و«Domain Users» و«Authenticated Users» تظهر في صلاحيات مجلدات قديمة كثيرة، أُضيفت لحل مشكلة عاجلة ولم تُزل. نسخها يفتح المجلد لكل المؤسسة في النظام الجديد، حيث البحث داخل النص يجعل الوصول إلى محتواه أسهل بكثير مما كان.
• المشاركات العابرة: في SharePoint، مشاركة ملف أو مجلد مع أشخاص تكسر توريث الصلاحيات عليه تلقائيًا، بحسب توثيق Microsoft. بعد سنوات تتراكم مئات الاستثناءات الفردية التي انتهى سببها. وفي Google Drive قد تكون ملفات مشتركة برابط يصل إليه كل من يملكه.
• الحسابات اليتيمة: صلاحيات مسندة لحسابات موظفين غادروا أو حُذفوا، تظهر كمعرّفات بلا أسماء. لا مقابل لها في النظام الجديد.
• أذونات المنع: مجلد مفتوح لإدارة كاملة مع منع صريح لشخص محدد. إن لم يكن في النظام الجديد مفهوم المنع نفسه، يسقط المنع ويحصل ذلك الشخص على الوصول.

الخطوة الأولى: استخرج الوصول الفعلي لا الصلاحيات المعلنة

الصلاحية المعلنة على مجلد تقول «مجموعة المالية: قراءة». الوصول الفعلي يجيب: من هم الأشخاص الذين يستطيعون فتح هذا المجلد اليوم، بعد حساب المجموعات المتداخلة داخل مجموعة المالية، والتوريث من المجلد الأب، وأذونات المنع، والمشاركات الفردية. المقارنة في الخطوة الأخيرة تحتاج هذا الشكل الثاني.

اطلب من فريق التقنية أو المورد تقريرًا لكل مجلد رئيسي (وليس لكل ملف؛ الملفات ذات الصلاحيات الفريدة تُعامل كاستثناءات) يحتوي:

• المسار ومالك المحتوى من الإدارات.
• المجموعات والحسابات ذات الوصول، ونوع الوصول لكل منها (اطلاع، تعديل، تحكم كامل).
• هل الصلاحية موروثة أم فريدة، ومن أي مستوى.
• وجود مجموعات عامة أو حسابات يتيمة أو أذونات منع.
• عدد الملفات تحته ذات صلاحيات مختلفة عن المجلد.
• الأعضاء الفعليون لكل مجموعة بعد فك التداخل، من الدليل النشط.

هذا التقرير وحده يكشف الكثير: مجلدات «سرية» مفتوحة لمجموعة عامة منذ سنوات، ومجموعات فيها موظفون انتقلوا لإدارات أخرى ولم يُزالوا. عالج ما يكشفه في المصدر نفسه قبل الترحيل إن أمكن، أو سجله ليُصحح في التصميم الجديد.

الخطوة الثانية: مصفوفة الأدوار الجديدة

المصفوفة الجديدة لا تُشتق من القديمة؛ تُبنى من الهيكل التنظيمي وحاجة كل إدارة، ثم تُقارن بالقديمة. مبادئها: أدوار قليلة واضحة، تُسند لمجموعات لا لأفراد، على مجلدات قليلة واضحة، مع استثناءات موثقة ومحدودة. تفاصيل بناء المصفوفة قبل الشراء في بناء مصفوفة صلاحيات الوثائق بين الإدارات، والاختيار بين مستوى المجلد والمستند في صلاحيات المجلد أم المستند. ما يخص الترحيل تحديدًا هو عمودا «المصدر» و«المقارنة» في المصفوفة التالية:

عمود «نتيجة المقارنة» هو ما يجعل المصفوفة أداة أمان لا مجرد تصميم. كل سطر يُصنف: مطابق، أو تضييق مقصود، أو توسيع يحتاج موافقة. والتوسيع لا يعني خطأ دائمًا؛ قد يكون مقصودًا (المراجعة الداخلية تحتاج الاطلاع فعلًا). المهم أن يكون قرارًا موقعًا لا نتيجة جانبية.

الخطوة الثالثة: قارن قبل أن تفتح

بعد نقل الدفعة وتطبيق الصلاحيات الجديدة، وقبل أن تُتاح للمستخدمين، استخرج من النظام الجديد الوصول الفعلي بالشكل نفسه الذي استخرجته من المصدر، وقارن بين القائمتين لكل مجلد: من أُضيف؟ من أُزيل؟ كل إضافة غير موجودة في المصفوفة المعتمدة كتوسيع مقصود توقف فتح الدفعة.

ثم نفّذ اختبارات «ما يجب ألا يراه» بحسابات حقيقية أو حسابات اختبار تمثل الأدوار. هذه أهم من اختبارات «ما يجب أن يراه»، لأن الثانية سيكتشفها المستخدمون بأنفسهم:

البند الأخير مهم إن كان في النظام الجديد بحث دلالي أو مساعد ذكي: هذه الأدوات يجب أن تحترم الصلاحيات تمامًا كما يحترمها فتح الملف. اختبرها صراحة ولا تفترض ذلك. ولسيناريوهات أعمق لاختبار الوثائق السرية قبل الاستلام، راجع اختبار صلاحيات الاطلاع على الوثائق السرية.

الصلاحيات أثناء الترحيل نفسه

بين لحظة وصول الملفات إلى النظام الجديد ولحظة اعتماد صلاحياتها، أين تكون؟ هذا الفراغ الزمني مصدر تسريب شائع. اتفق مسبقًا على:

1. منطقة استقبال مقيدة تصل إليها الدفعة أولًا، ولا يراها إلا فريق الترحيل ومسؤول الأرشيف.
2. حسابات الترحيل حسابات خدمة مسماة، بصلاحيات مؤقتة، تُعطل عند انتهاء الترحيل، وكل ما تفعله مسجل.
3. النقل إلى الموقع النهائي بعد تطبيق الصلاحيات ومقارنتها واجتياز الاختبارات السلبية فقط.
4. توقيع الفتح صاحب الإدارة يوقع على فتح الدفعة لمستخدميها، بعد اطلاعه على نتيجة المقارنة.

وحسابات الموظفين الذين غادروا أثناء المشروع لا تُنشأ في النظام الجديد أصلًا. ما كان باسمهم من ملكية أو مسؤولية يُسند لمديرهم أو لبديل، كما في إسناد ملفات الموظفين المغادرين دون فقد تاريخها.

بعد الفتح: أسابيع المراقبة الأولى

الاختبارات قبل الفتح تغطي الحالات التي فكرت فيها، لا كل الحالات. خلال الأسابيع الأولى بعد فتح كل دفعة، راجع أسبوعيًا تقريرًا من سجل التدقيق عن المجلدات الحساسة: من فتحها، ومن نزّل منها، وهل بينهم من لا يُتوقع وجوده. وافتح قناة واضحة للموظفين يبلغون فيها عن «رأيت ما لا يخصني» دون حرج، فهذا البلاغ أثمن من عشرات بلاغات «لا أجد ملفي». وعند كل بلاغ من هذا النوع، لا تصحح الحالة وحدها؛ ارجع إلى سطر المصفوفة الذي أنتجها، فغالبًا تتكرر المشكلة في مجلدات أخرى بنيت بالقاعدة نفسها.

أخطاء تنظيمية قبل أن تكون تقنية

• ترك الصلاحيات للأسبوع الأخير: تصميم المصفوفة ومراجعتها مع أصحاب الإدارات يأخذ وقتًا أطول من نقل الملفات. ابدأه بالتوازي مع الجرد، لا بعد الدفعات.
• ترك القرار لفريق التقنية وحده: المبرمج لا يعرف أن مجلد «لجنة التظلمات» سري. صاحب الإدارة هو من يعتمد كل سطر في المصفوفة، والأمن يعتمد كل توسيع.
• الاكتفاء باختبارات «ما يجب أن يراه»: نجاح موظف المالية في فتح ملفاته لا يثبت شيئًا عن موظف المبيعات. الاختبارات السلبية هي ما يكشف التوسيع.
• فتح النظام للجميع «مؤقتًا» لتسهيل الإطلاق: المؤقت يطول، والبحث يكشف المحتوى من اليوم الأول. التقييد ثم الفتح بطلب أسلم دائمًا.
• إهمال الحسابات الإدارية وحسابات الخدمة: حساب الترحيل الذي يملك وصولًا كاملًا ويبقى فعالًا بعد انتهاء المشروع ثغرة قائمة. عطله فور الإغلاق، وراجع من يملك دور المشرف.

الصلاحيات في وثيقة وكيف تخدم الترحيل

يطبق وثيقة صلاحيات مبنية على الأدوار: أدوار مخصصة مثل قارئ ومحرر ومعتمد ومشرف تُسند لمجموعات مستخدمين، على مستوى المجلد وعلى مستوى المستند المنفرد، مع صلاحيات هرمية تتبع الهيكل التنظيمي. ويتكامل مع Active Directory وLDAP لاستيراد المستخدمين والأقسام، فتُبنى المجموعات الجديدة على الدليل الذي نظفته في الخطوة الأولى بدل إعادة إدخالها. ويسجل سجل التدقيق كل فتح وتعديل وتنزيل وتسجيل دخول مع الوقت وعنوان IP والجهاز، ويمكن تصديره PDF أو Excel، وهو ما تحتاجه لإثبات نتيجة الاختبارات السلبية ولمراقبة الأسابيع الأولى بعد الفتح. ويدعم المصادقة الثنائية وقفل الحساب بعد محاولات فاشلة متكررة مع تنبيه المسؤول.

وتنص منهجية الترحيل في وثيقة على أن الصلاحيات تُعاد بناءً وفق مصفوفة معتمدة للهيكل الجديد، لا تُنسخ من المصدر، وأن التحقق من أن كل مستخدم يرى ما يجب أن يراه فقط جزء من إثبات اكتمال كل دفعة. أما تقرير الوصول الفعلي من المصدر، وأدوات المقارنة، ومنطقة الاستقبال المقيدة، فيُحدَّد نطاقها في العرض الفني حسب مصدرك. التفاصيل في خدمة ترحيل الأرشيف، وضوابط الأمان في صفحة الأمان والحوكمة. وخطط من الآن لمواءمة الأدوار مع تغيرات الهيكل بعد الانتقال؛ فالصلاحيات الصحيحة يوم الترحيل تتقادم مع أول إعادة تنظيم.

أربع خطوات لهذا الأسبوع

• اطلب تقرير الوصول الفعلي لأكثر عشرة مجلدات حساسية لديك، وابحث فيه عن المجموعات العامة وأذونات المنع والحسابات اليتيمة.
• املأ مصفوفة المطابقة لهذه المجلدات العشرة، وصنّف كل سطر: مطابق، تضييق، توسيع.
• اكتب ستة اختبارات سلبية على الأقل، واجعل اجتيازها شرطًا لفتح أي دفعة.
• أرفق المصفوفة والاختبارات بطلب العرض، ليُسعَّر الترحيل على صلاحيات مفهومة لا على افتراض.