كيفية ضبط صلاحيات وصول المستخدمين دون إحداث ثغرات أمنية

ينبغي أن تساعد إعدادات الوصول الموظفين على أداء مهامهم دون السماح بإجراء تغييرات غير ضرورية على المعلومات المالية أو بيانات العملاء أو المخزون أو الموظفين. وقد يؤدي التخطيط السيئ للوصول إلى تعديلات غير مقصودة ومعاملات غير مصرح بها ومساءلة غير واضحة. ويُنشئ النهج القائم على الأدوار قواعد متسقة يسهل مراجعتها مع نمو الأعمال.

ابدأ من المسؤوليات

• 1. ضع قائمة بالأنشطة التي يؤديها كل منصب، مثل إنشاء مستندات المبيعات، أو استلام البضائع، أو تسجيل المدفوعات، أو اعتماد المشتريات، أو تحديث بيانات الموظفين. ركّز على المسؤوليات الفعلية بدلاً من المسميات الوظيفية، لأن شخصين يحملان المسمى نفسه قد يحتاجان إلى صلاحيات وصول مختلفة.

• 2. افصل العمل الروتيني عن القرارات الحساسة. فقد يحتاج الشخص إلى إعداد طلب شراء دون اعتماده، أو إدخال فاتورة مورد دون صرف الدفعة، أو تسجيل سند قبض من عميل دون تعديل الفاتورة بعد ترحيلها. ويقلل هذا الفصل من الأخطاء ومن سوء الاستخدام المتعمد على حد سواء.

• 3. صنّف الموظفين في أدوار وصول عملية بناءً على المسؤوليات المشتركة. واحرص على أن يكون عدد الأدوار قابلاً للإدارة. فكثرة الاستثناءات الفردية تسبب الارتباك، في حين أن دوراً واحداً واسع النطاق قد يكشف معلومات لا يحتاجها الموظفون.

• 4. امنح كل دور الحد الأدنى من صلاحيات الوصول اللازمة لإنجاز مهامه المعتادة. وتجنّب منح صلاحيات إدارية واسعة لمجرد أنها مريحة. وإذا احتاج الشخص أحياناً إلى صلاحيات إضافية، فاستخدم اعتماداً مؤقتاً موثقاً بدلاً من جعل الصلاحية الأوسع دائمة.

• 5. احمِ الأنشطة عالية المخاطر بمراجعة مستقلة. فالتغييرات على البيانات البنكية وسجلات الموردين والأسعار والمعالجة الضريبية وتعليمات الدفع والمعاملات المالية المُرحَّلة تستحق ضوابط أقوى من إدخال البيانات العادي. وينبغي ألا يكون الشخص الذي يعدّ التغيير هو الشخص الوحيد الذي يعتمده.

• 6. اختبر كل دور بأمثلة واقعية قبل إسناده إلى الموظفين. وتأكد من أن الموظفين يستطيعون إنجاز المهام الأساسية، ولا يستطيعون الوصول إلى معلومات غير ذات صلة، ولا يستطيعون تجاوز الاعتمادات المطلوبة. واختبر الحالات العادية وغير العادية على حد سواء، بما في ذلك التصحيحات والإلغاءات.

اعتمد ملكية واضحة

عيّن مديراً واحداً يتولى قرارات الوصول ومديراً احتياطياً للتغييرات العاجلة. واشترط اعتماداً كتابياً من مدير القسم المعني قبل إضافة صلاحيات الوصول أو توسيعها. واحتفظ بسجل بسيط يتضمن الموظف والدور وتاريخ الاعتماد والسبب وتاريخ المراجعة المتوقع. ويُنشئ هذا مساءلة دون الحاجة إلى إدارة معقدة.

ينبغي أن يكون لصلاحيات وصول العمال المؤقتين والمستشارين والمتدربين تاريخ انتهاء. ولا تعتمد على تذكّر أحدهم لإزالة صلاحيات الوصول لاحقاً. وينبغي أن يتلقى المتعاقدون المعلومات اللازمة لمهمتهم فقط، وينبغي تجنب الحسابات المشتركة لأنها تجعل نسبة النشاط إلى صاحبه أمراً صعباً.

راجع صلاحيات الوصول بانتظام

• 7. راجع الصلاحيات عند انضمام شخص ما أو تغيّر منصبه أو حصوله على إجازة ممتدة أو مغادرته العمل. وأزل صلاحيات الوصول القديمة قبل إضافة صلاحيات جديدة عند تغيّر المسؤوليات. وفي حالة المغادرة، نسّق إزالة الصلاحيات مع وقت العمل الأخير وتأكد من بقاء بيانات الشركة محمية.

• 8. أجرِ مراجعة رسمية كل ثلاثة أشهر على الأقل، أو على نحو أكثر تكراراً لصلاحيات الوصول المالية والإدارية. واسأل كل مدير عما إذا كان كل شخص لا يزال بحاجة إلى صلاحيات الوصول المسندة إليه وعما إذا كانت أي مهام قد تغيّرت. وسجّل القرارات وتحقق من الصلاحيات التي لم يعد لها مبرر تجاري واضح.

• 9. افحص نشاط الوصول غير المعتاد ومحاولات تسجيل الدخول الفاشلة عند توفرها. فالمحاولات المتكررة للوصول إلى معلومات مقيدة، أو التغييرات غير المتوقعة خارج ساعات العمل المعتادة، أو النشاط من مواقع غير مألوفة قد تشير إلى مشكلة تدريبية أو إلى مخاوف أمنية.

• 10. حدّث خطة الوصول بعد إعادة الهيكلة أو إسناد مسؤوليات جديدة أو عمليات الاستحواذ أو التغييرات في الضوابط الداخلية. وتعامل مع صلاحيات الوصول كجزء من تصميم العمليات، لا كمهمة إعداد لمرة واحدة.

درّب الموظفين على حماية بيانات اعتمادهم وقفل الأجهزة غير المراقبة والإبلاغ الفوري عن أي سوء استخدام مشتبه به. وينبغي أن يفهم المديرون أن اعتماد صلاحيات الوصول قرار مساءلة، وليس مجرد مهمة إدارية. وعادةً ما توفر عملية مراجعة قصيرة وموثقة حماية أفضل من القواعد المعقدة التي لا يلتزم بها أحد.