ما هو Audit Log؟ ولماذا تحتاجه الجهات الحكومية؟

هذا المقال لمدير الأمن السيبراني والمراجعة الداخلية ومسؤول الوثائق في جهة حكومية، ولمن يكتب بند سجل التدقيق في كراسة شروط نظام الأرشفة. يشرح ما يجب أن يسجله السجل، وكيف تتحقق من أنه لا يُعدَّل، وما المراجع التنظيمية التي يمكن الاستناد إليها فعلًا، وكيف تختبره قبل الاستلام.

ما سجل التدقيق، وما ليس هو

تخيّل كاميرا مراقبة لا تصوّر الوجوه، بل تسجل كل لمسة على كل ملف: فتح، وتعديل، وتنزيل، وحذف، ومشاركة، وتغيير صلاحية، ومحاولة دخول فاشلة. كل حدث يُحفظ بترتيب زمني ليُجاب لاحقًا عن سؤال: ماذا جرى لهذه الوثيقة؟

ويُخلط أحيانًا بين ثلاثة أشياء مختلفة:

• سجل الإصدارات: يحفظ نسخ الوثيقة المتعاقبة ليمكن الرجوع إليها. يجيب عن «ماذا تغيّر؟» لا عن «من اطلع؟».
• سجل مسار الموافقة: يوثق من اعتمد ومن رفض في كل مرحلة. جزء مهم، لكنه لا يغطي الاطلاع والتنزيل.
• سجلات الأنظمة والشبكة: تسجل أحداث الخوادم والشبكة، وتعرف ما يجري على مستوى البنية لا على مستوى الوثيقة.

سجل التدقيق في نظام الوثائق يربط الحدث بالمستخدم وبالوثيقة معًا، وهذا ما يجعله دليلًا في المساءلة.

ما الذي يجب أن يحويه كل سطر في السجل؟

الحقل الأخير كثيرًا ما يُهمل. سجل يقول «عدّل أحمد البيانات الوصفية» أقل فائدة بكثير من سجل يقول «غيّر أحمد تاريخ انتهاء العقد من كذا إلى كذا».

لماذا تحتاجه الجهة الحكومية تحديدًا

في الجهة الحكومية يُتخذ القرار باسم الجهة ويؤثر على مستفيدين، وتخضع الجهة لمراجعة داخلية وجهات رقابية. أربعة مواقف يتكرر فيها السؤال عن السجل:

لاحظ أن السجل لا «يحسم القضية» وحده؛ هو دليل ضمن إجراءات الجهة. لتجهيز ملف مراجعة كامل من النظام راجع تجهيز ملف مراجعة كامل من النظام بدل تجميعه يدويًا.

ماذا تقول المراجع التنظيمية فعلًا؟

تنتشر في المحتوى أرقام ضوابط ومواد غير دقيقة. هذا ما تحققنا منه من النصوص الرسمية:

• الضوابط الأساسية للأمن السيبراني (ECC-2:2024): المكون الفرعي 2-12 «إدارة سجلات الأحداث ومراقبة الأمن السيبراني». يتطلب تفعيل سجلات أحداث الأمن السيبراني على الأصول المعلوماتية الحساسة، وسجلات الحسابات ذات الصلاحيات الهامة والدخول عن بعد، والمراقبة المستمرة، وينص على ألا تقل مدة الاحتفاظ بسجلات أحداث الأمن السيبراني عن 12 شهرًا.
• ضوابط الأمن السيبراني للبيانات (DCC-1:2022): تتضمن مثلًا الاحتفاظ الآمن بسجل إلكتروني لعمليات الطابعات والماسحات الضوئية وآلات التصوير لفترة لا تقل عن 12 شهرًا، وتتدرج الضوابط بحسب مستوى تصنيف البيانات.
• نظام حماية البيانات الشخصية: يفرض على الجهة ضبط الوصول إلى البيانات الشخصية والتعامل مع حوادث تسربها. سجل التدقيق من أدوات إثبات ذلك، لكننا لا ننسب إليه هنا مادة بعينها؛ ارجع إلى النظام ولوائحه عند الحاجة.

ما يجب أن تشترطه في الكراسة

• الشمول: قائمة الأحداث المسجلة مكتوبة، وتشمل الاطلاع والتنزيل ومحاولات الوصول المرفوضة وتغييرات الصلاحيات، لا التعديل والحذف فقط.
• الحماية من التلاعب: وصف الآلية، مثل ربط كل سجل ببصمة تجزئة (hash) تكشف أي تعديل لاحق، ومن يملك صلاحية الاطلاع على السجل ومن لا يملك حذفه.
• الفصل: مدير النظام الذي يدير الصلاحيات ليس بالضرورة من يراجع السجل.
• التصدير: صيغ مقروءة للمراجع (PDF) وقابلة للتحليل (Excel أو CSV)، مع فلترة بالمستخدم والوثيقة والفترة.
• الاحتفاظ: المدة التي تعتمدها الجهة، وما يحدث للسجل عند حذف الوثيقة أو تعطيل المستخدم: يجب أن يبقى.
• الربط: إمكان إرسال السجلات إلى منظومة المراقبة لدى الجهة إن كانت سياستها تتطلب ذلك؛ يُحدَّد نطاقه في العرض الفني.
• الأداء: البحث في سجل سنة كاملة يجب أن يعيد النتائج في وقت عملي؛ اختبره بحجم مماثل.

فجوات شائعة تكتشفها الجهات بعد الاستلام

هذه فجوات لا تظهر في العرض التقديمي، وتظهر أول مرة يُطلب فيها السجل فعلًا:

• السجل لا يسجل الاطلاع. بعض الأنظمة تسجل التعديل والحذف فقط. في الوثائق السرية، السؤال الأهم غالبًا هو «من قرأ؟» لا «من عدّل؟».
• التصدير يدوي أو محدود. تصدير لا يسمح بالفلترة بالوثيقة أو المجلد أو الفترة يحوّل طلب المراجع إلى عمل يوم كامل.
• أسماء بلا معرّفات. إن سُجّل الاسم المعروض فقط، فتشابه الأسماء أو تغيّرها يفسد الدليل.
• السجل يُحذف مع الوثيقة. إن حُذفت وثيقة وحُذف معها تاريخها، فقدت الجهة الدليل حين تحتاجه أكثر.
• لا أحد يراجع. سجل لا يطّلع عليه أحد قبل وقوع المشكلة لا يمنعها. حدّد من يراجع تقارير الوصول الدورية، وكل كم.

اختبار قبول من سبع خطوات

1. جهّز الحسابات حسابًا لكل دور: موظف، ومدير، ومعتمد، ومسؤول نظام.
2. نفّذ عمليات معروفة فتح وتنزيل وتعديل بيانات وصفية ورفع إصدار وحذف، وسجّل أوقاتها يدويًا.
3. حاول وصولًا مرفوضًا بحساب لا يملك صلاحية على مجلد سري.
4. غيّر صلاحية مستخدم على مجلد، ثم أعدها.
5. صدّر السجل للفترة نفسها بصيغتين، وطابقه سطرًا بسطر مع ما سجلته يدويًا.
6. اختبر الحماية اطلب من المورد أن يوضح كيف يُكتشف تعديل سجل مخزن، وماذا يظهر عندها.
7. عطّل مستخدمًا واحذف وثيقة، ثم تأكد أن أحداثهما السابقة ما زالت في السجل.

التفاصيل الموسعة لهذا الاختبار في كيف تتحقق من سجل التدقيق وإمكان تصديره قبل اعتماد النظام، ولحالة الموظف المغادر تحديدًا راجع إيقاف وصول الموظف المغادر دون فقد السجل التاريخي.

سجل التدقيق في وثيقة

يسجل وثيقة كل فتح وتعديل وحذف وتنزيل وتسجيل دخول، مع الوقت وعنوان IP والجهاز. السجل محمي من التلاعب بالتجزئة (hash)، ومشفر في قاعدة البيانات، ويُصدَّر بصيغتي PDF وExcel للمراجعين. ويكمله: قفل الحساب بعد محاولات فاشلة متكررة مع تنبيه المسؤول، ومصادقة ثنائية، وسجل كامل للإصدارات مع إمكان العودة لأي إصدار، وتتبع مراحل المستند في مسارات الموافقة، ولوحات لأنماط الوصول.

أما مدة الاحتفاظ بالسجل التي تعتمدها جهتك، والربط مع منظومة المراقبة لديها، فتُحدَّد في العرض الفني. اطلب تنفيذ الاختبار أعلاه في العرض التوضيحي. التفاصيل التقنية في صفحة سجل التدقيق، وما يقدمه وثيقة للجهات في صفحة الجهات الحكومية. ولمنع الوصول غير المصرح به من الأساس راجع كيف تمنع الوصول غير المصرح به إلى الملفات الحساسة.