قد يتغير عمل الموظف بينما تبقى صلاحياته القديمة، أو يغادر المنشأة وتظل لديه حسابات نشطة ومفاتيح وصول وأجهزة. والخطر لا يبدأ دائمًا من مهاجم خارجي؛ فالحساب غير الضروري قد يوسّع أثر الخطأ أو التسريب. لذلك يجب ربط دورة الحساب بدخول الموظف وانتقاله ومغادرته.
1. أنشئ سجلًا واحدًا للحسابات والصلاحيات
احصر الحسابات الفردية والإدارية والخدمية والمؤقتة، والأنظمة التي تصل إليها، ومالك كل حساب، وسبب الصلاحية وتاريخ الموافقة. يمنع هذا السجل نسيان حساب في خدمة منفصلة أو أداة سحابية. ولا تسمح بحسابات مشتركة عندما يمكن استخدام حساب فردي يمكن تتبعه.
2. امنح أقل صلاحية تكفي للمهمة
تقترح إرشادات CISA ضبط الوصول بحسب الدور، ومنح كل موظف ما يحتاجه فقط. افصل إدارة المستخدمين عن إدخال البيانات والموافقة المالية والنشر عندما يسمح سير العمل. راجع الحسابات ذات الامتيازات العالية بصورة أكثر تكرارًا، ولا تستخدمها للأعمال اليومية العادية.
3. اربط تغيير الوظيفة بتغيير الوصول
عند انتقال موظف بين الأقسام، لا تُضف الدور الجديد وتترك القديم تلقائيًا. اطلب من المدير الحالي والجديد تحديد ما يجب إزالته وما يجب منحه، وحدّد تاريخ النفاذ. يشمل ذلك مجلدات الملفات والبريد والقوائم والأجهزة والتطبيقات الخارجية، لا واجهة المنصة وحدها.
4. نفّذ قائمة مغادرة في وقت محدد
توضح ممارسات NIST وCISA ضرورة تعديل الحسابات أو تعطيلها عند انتهاء الحاجة إليها أو انتقال المستخدم أو مغادرته. نسّق بين الموارد البشرية والمدير وتقنية المعلومات، وعطّل الدخول والرموز والجلسات الفعالة، واسترد الأجهزة والمفاتيح، وانقل ملكية الملفات والمهام إلى مسؤول معتمد قبل فقد الوصول.
5. راجع الحسابات الخاملة وحسابات الخدمة
ابحث دوريًا عن حساب لم يسجّل دخولًا منذ مدة، أو حساب مؤقت انتهى غرضه، أو حساب خدمة لا يعرف الفريق مالكه. لا تحذف حسابًا آليًا قبل فهم أثره على التكامل، لكن حدّث مالكه وسرّه وصلاحياته وخطة استبداله. واحتفظ بدليل المراجعة والقرار والاستثناء وموعد إعادة فحصه.
دور منصة الغرفة
المنصة لا تدير حسابات موظفي منشأتك ولا أنظمتها الداخلية، ولا تنشر تفاصيل صلاحيات أي جهة. لكن القاعدة نفسها تنطبق على حساب منشأتك على المنصة: لا تشارك بيانات الدخول مع الموظفين، وإذا عرفها موظف غادر فغيّر كلمة المرور فورًا. وإذا كانت الحسابات التي تراجعها تصل إلى بيانات عملاء أو موظفين، فراجع في قسم قوانين تهمك ملخص قانون حماية البيانات الشخصية رقم 151 لسنة 2020. واربط هذه المراجعة بـسجل الأصول التقنية الذي يحدد الأجهزة التي تستردها عند المغادرة، وبـسجل الأحداث الأمنية الذي يكشف تغيير الصلاحيات غير المتوقع.
الخلاصة
الحساب يبدأ بسبب عمل محدد، وينتهي أو يتغير عندما يتغير هذا العمل. سجّل الحسابات، وطبّق أقل صلاحية، واربط النقل والمغادرة بإجراء زمني موثق، ثم راجع الحسابات الخاملة والخدمية حتى لا يتحول الوصول القديم إلى خطر دائم.