كيف تمنع الوصول غير المصرح به إلى الملفات الحساسة؟ قائمة تحقق بالطبقات

هذه قائمة عمل لمدير أمن المعلومات ومدير تقنية المعلومات ومدير الوثائق في مؤسسة تنقل ملفات حساسة، كالرواتب والعقود والتقارير الطبية ومحاضر مجلس الإدارة، من مجلدات مشتركة إلى نظام أرشفة، أو تراجع نظامًا قائمًا. أما إن كنت تريد شرحًا عامًا لكيفية حماية أنظمة الأرشفة للبيانات، فابدأ بمقال كيف تحمي أنظمة الأرشفة الإلكترونية بيانات شركتك ثم عد إلى هنا للتطبيق.

من أين يأتي الوصول غير المصرح به؟

في كثير من الحالات لا يكون السبب هجومًا خارجيًا معقدًا، بل صلاحيات أوسع من الحاجة. موظف في خدمة العملاء يفتح تقارير مالية لأنها في مجلد مشترك بلا قيود. قد لا تكون عنده نية سيئة، لكن هذا الوصول ثغرة جاهزة لمن يريد استغلالها. هذه أربعة سيناريوهات تبني عليها الاختبار:

قائمة التحقق بالطبقات: النظام أم النطاق أم السياسة؟

في الجدول التالي، يوفره وثيقة تعني قدرة موجودة في النظام، واسأل واختبر تعني أن النطاق يُحدَّد في العرض الفني ويجب رؤيته عمليًا، وسياسة داخلية تعني أن القرار والتنفيذ على جهتك.

سبعة اختبارات تنفّذها في العرض التوضيحي

لا تكتفِ بسماع أن النظام «يدعم الصلاحيات». جهّز مستخدمين تجريبيين بأدوار مختلفة ونفّذ ما يلي أمامك:

1. اختبار الحد الأدنى. ادخل بمستخدم من المبيعات وحاول فتح مجلد الرواتب بالرابط المباشر وبالبحث. يجب ألا يظهر الملف في نتائج البحث أصلًا، لا أن يظهر عنوانه ويُمنع فتحه فقط.
2. اختبار المستند المنفرد. قيّد مستندًا واحدًا داخل مجلد مفتوح لإدارة كاملة، وتأكد أن بقية المجلد بقيت متاحة.
3. اختبار المحاولات الفاشلة. أدخل كلمة مرور خاطئة عدة مرات، وتحقق من قفل الحساب ووصول التنبيه إلى المسؤول.
4. اختبار المصادقة الثنائية. فعّلها لحساب ذي صلاحيات إدارية، وتحقق من أنه لا يمكن الدخول بكلمة المرور وحدها.
5. اختبار السجل. بعد الاختبارات السابقة، صدّر سجل التدقيق وتأكد من ظهور كل محاولة، الناجحة والمرفوضة، بالوقت والمستخدم والعنوان.
6. اختبار المغادرة. عطّل حسابًا وتأكد من انقطاع وصوله فورًا، ومن بقاء سجله التاريخي ووثائقه. التفاصيل في إيقاف وصول الموظف المغادر دون فقد السجل التاريخي.
7. اختبار الضوابط الإضافية. اطلب رؤية تقييد التنزيل والطباعة والعلامة المائية مطبّقة على نوع وثيقة حساس، ثم تنبيهات التنزيل الكثيف وتسجيل الخروج بعد الخمول. ما لا يُعرض عمليًا اكتبه في محضر العرض بندًا يُحدَّد في النطاق الفني. الأسئلة التفصيلية في ضوابط تنزيل وطباعة الوثائق: أسئلة يجب اختبارها.

الصلاحيات تُصمَّم قبل الشراء لا بعده

أقوى نظام صلاحيات لا ينفع إن نُقلت إليه الصلاحيات المفتوحة من المجلدات القديمة كما هي. قبل الترحيل، ابنِ مصفوفة تحدد لكل نوع وثيقة من يقرأ ومن يعدّل ومن يعتمد، ثم حدّد مستوى الضبط المطلوب: هل يكفي المجلد، أم تحتاج بعض الوثائق قيدًا على مستوى المستند نفسه؟ ملفات الموظفين مثال واضح، إذ قد يطّلع قسم الموارد البشرية على الملف كاملًا، بينما تُحصر التقارير الطبية داخله في شخصين.

ويتماشى هذا مع ما تطلبه الضوابط الأساسية للأمن السيبراني (ECC-2:2024) في إدارة الهويات والصلاحيات: منح الصلاحيات وفق مبادئ الحاجة إلى المعرفة والحد الأدنى من الصلاحيات وفصل المهام، ومراجعة الهويات والصلاحيات دوريًا. لبناء المصفوفة خطوة بخطوة راجع بناء مصفوفة صلاحيات الوثائق بين الإدارات، وللمفاضلة بين المستويين راجع صلاحيات المجلد أم المستند، ولأنواع الأدوار راجع أهمية الصلاحيات في أنظمة إدارة الوثائق.

حين يقع الحادث: ما على جهتك

لا يوجد نظام محصّن تمامًا، ولذلك فالطبقة الأخيرة إجرائية. خطة الاستجابة للحوادث مسؤولية جهتك، ويساعدها النظام بالسجلات التي تحدد نطاق ما حدث. تشمل الخطة عادة:

• فريقًا مسمّى: من يُبلَّغ أولًا، ومن يقرر العزل، ومن يتواصل مع الإدارة والجهات المختصة.
• خطوات العزل: إيقاف الحسابات المشتبه بها، وتغيير بيانات الدخول، وحفظ السجلات قبل أي تغيير.
• تحديد النطاق من سجل التدقيق: أي الملفات فُتحت أو نُزّلت، ومتى، ومن أي عنوان.
• الإشعار النظامي: إن كانت البيانات شخصية، فاللائحة التنفيذية لنظام حماية البيانات الشخصية (المادة 24) توجب إشعار الجهة المختصة خلال مدة لا تتجاوز 72 ساعة من العلم بالحادثة إذا كان من شأنها الإضرار بالبيانات أو بصاحبها، مع الاحتفاظ بنسخة من التقارير وتوثيق الإجراءات التصحيحية.
• مراجعة ما بعد الحادث: لماذا نجح الوصول، وأي طبقة تحتاج تعديلًا.

وتطلب الضوابط الأساسية للأمن السيبراني ألا تقل مدة الاحتفاظ بسجلات الأحداث عن 12 شهرًا (2-12-3-5) للجهات الخاضعة لها. تأكد أن مدة الاحتفاظ بسجل التدقيق في العقد تغطي ما تحتاجه للتحقيق.

أسئلة تحسم ما لم يتضح في العرض

الخطوة التالية

ابدأ بأخطر ثلاثة أنواع من الوثائق لديك، وطبّق عليها قائمة التحقق والاختبارات السبعة. ثم راجع ضوابط الأمان في وثيقة، من التشفير وسجل التدقيق إلى المصادقة الثنائية والاستضافة، واطلب عرضًا توضيحيًا تُنفَّذ فيه هذه الاختبارات على مستخدمين وأدوار من هيكل مؤسستك.