أتمتة طلبات تقنية المعلومات وصلاحيات الوصول
نظام طلبات تقنية المعلومات يحوّل طلبات الوصول والدعم من رسائل وتذاكر متفرقة إلى مسار معتمد: الموظف أو مديره يرفع طلب صلاحية أو خدمة، فيُعتمد من المدير المباشر ومالك النظام المعني قبل التنفيذ، ثم تُمنح الصلاحية وتُوثّق — مع مراجعة دورية وفصل فوري عند المغادرة — فلا وصول يُمنح بلا موافقة ولا صلاحية تبقى بلا حاجة.
مخاطر منح الصلاحيات دون ضبط
صلاحيات الوصول هي مفاتيح المنشأة الرقمية: من يصل لأي نظام، ومن يستطيع رؤية أو تعديل أي بيانات. حين تُمنح هذه المفاتيح عبر رسائل سريعة لتقنية المعلومات دون مسار معتمد، تتراكم صلاحيات لا يعرف أحد سببها، ويبقى وصول موظفين لم يعودوا يحتاجونه — وأحيانًا لم يعودوا في المنشأة أصلًا.
المشكلة أن المنح سهل والسحب منسي. يُطلب الوصول عند الحاجة، لكن لا أحد يعود ليسأل: هل ما زال هذا الموظف يحتاج هذه الصلاحية؟ النتيجة تراكم صلاحيات زائدة، وهو ما يوسّع سطح المخاطر بصمت.
- صلاحيات بلا موافقة موثّقة — من أذن بهذا الوصول ومتى ولماذا؟
- وصول بعد المغادرة — حساب موظف غادر ما زال نشطًا في الأنظمة.
- تراكم الصلاحيات — موظف انتقل بين أقسام يجمع صلاحيات كل ما مرّ به.
- تذاكر بلا اعتماد — تقنية المعلومات تنفّذ طلبات لا تعرف من يملك صلاحية إقرارها.
أنواع الطلبات التقنية التي تُؤتمت
طلبات تقنية المعلومات ليست نوعًا واحدًا؛ لكل نوع مسار ومعتمدون مختلفون. النظام يميّزها من النموذج:
- صلاحية وصول لنظام — منح أو تعديل صلاحية في نظام مالي أو موارد بشرية أو تشغيلي.
- حساب مستخدم جديد — تجهيز حسابات موظف جديد عبر الأنظمة.
- طلب دعم أو خدمة — برنامج، جهاز، بريد، إعداد.
- وصول مؤقت — صلاحية لمهمة أو مشروع بتاريخ انتهاء محدد.
أخطر هذه الأنواع صلاحيات الوصول، لأنها تمسّ الأمن السيبراني مباشرة، ولذلك تحتاج موافقة مالك النظام لا تقنية المعلومات وحدها. عن ضبط الأدوار والصلاحيات، راجع إدارة المستخدمين والأدوار والصلاحيات RBAC.
نموذج طلب الوصول
النموذج يجمع ما يوجّه المسار ويجعل القرار مبنيًا على حاجة واضحة لا طلب مبهم:
- النظام أو الخدمة المطلوبة — لتوجيه الطلب لمالكها المعني.
- مستوى الصلاحية — اطّلاع فقط، إدخال، تعديل، صلاحية إدارية.
- المبرر — لماذا يحتاج الموظف هذا الوصول لأداء مهمته؟
- المدة — دائمة بحسب الدور أو مؤقتة بتاريخ انتهاء.
- الدور الوظيفي — يقترح النظام حزمة الصلاحيات المعيارية للدور بدل منحها فرادى.
أفضل الممارسات أن يُمنح الموظف أقل صلاحية تكفي لأداء مهمته لا أكثر. النموذج يشجّع ذلك بربط الطلب بالدور الوظيفي واقتراح الحزمة المعيارية، فيقل منح صلاحيات إدارية واسعة دون حاجة فعلية. الصياغة وصفية: النظام يدعم تطبيق هذا المبدأ ولا يُغني عن حكم مالك النظام.
موافقة مالك النظام لا تقنية المعلومات وحدها
الخطأ الشائع أن تقنية المعلومات هي من «تقرر» منح الوصول. الأصح أن تقنية المعلومات تنفّذ بعد أن يقرّ مالك النظام المعني — فالمالك هو من يعرف من يستحق الوصول لبياناته. النظام يفصل القرار عن التنفيذ:
| نوع الصلاحية | المعتمدون بالترتيب |
|---|---|
| اطّلاع على نظام تشغيلي | المدير المباشر ← مالك النظام |
| تعديل في نظام مالي | المدير المباشر ← مالك النظام المالي |
| صلاحية إدارية واسعة | المسار السابق + مسؤول الأمن السيبراني |
| وصول لبيانات حساسة | المسار السابق + مالك البيانات |
هذا الفصل يطبّق مبدأً أمنيًا جوهريًا: من ينفّذ المنح ليس من يقرّره. لبناء هذا التوزيع راجع إعداد مصفوفة الصلاحيات، ولربط الهوية بالدخول راجع تسجيل الدخول الموحد SSO وربط Active Directory.
مثال تطبيقي كامل
لنأخذ حالة واقعية: محاسب جديد يحتاج صلاحية في النظام المالي. في المنشأة اليدوية تُرسل رسالة لتقنية المعلومات فتمنح الوصول دون أن يعرف مالك النظام المالي. في النظام يبدو هكذا:
ما الذي تغيّر؟ لم تُمنح الصلاحية إلا بعد موافقة مالك النظام المالي نفسه، لا تقنية المعلومات وحدها. الصلاحية موثّقة بمستواها ومبررها ومدتها، ومربوطة بدور المحاسب. وحين يغادر الموظف أو ينتقل، يعرف النظام تلقائيًا ما لديه من صلاحيات ليسحبها — فلا وصول يبقى بلا حاجة، ولا منح بلا قرار موثّق.
من المنح إلى الفصل عند المغادرة
قيمة النظام لا تظهر في المنح فقط بل في الإغلاق. أخطر ثغرة أمنية هي الحساب الذي يبقى نشطًا بعد أن يغادر صاحبه. النظام يربط دورة الصلاحية بدورة الموظف كاملة:
- المنح: صلاحية موثّقة بموافقة مالك النظام ومبرر ومدة.
- التعديل عند الانتقال: عند نقل الموظف لقسم آخر، تُراجَع صلاحياته القديمة لا تُضاف الجديدة فوقها فحسب.
- الفصل عند المغادرة: يربط النظام إخلاء الطرف بسحب الصلاحيات، فتُعطَّل الحسابات فور المغادرة.
- الوصول المؤقت: الصلاحيات المؤقتة تنتهي تلقائيًا بتاريخها دون حاجة لتذكّر أحد.
هذا الربط يغلق فجوة «الصلاحية المنسية» التي تعيش فيها معظم مخاطر الوصول. الصياغة وصفية: النظام يساعد على تقليل الصلاحيات الزائدة ودعم متطلبات ضبط الوصول، لكنه أداة ضمن منظومة أمن أوسع. راجع تكامل سير العمل مع الموارد البشرية لربط دورة الموظف بالصلاحيات.
المراجعة الدورية للصلاحيات
حتى الصلاحيات المعتمدة تحتاج مراجعة دورية، لأن الحاجة تتغيّر. النظام يحوّل المراجعة من حملة يدوية شاقة إلى إجراء مجدول موثّق:
- حملة مراجعة مجدولة — يُرسل النظام لكل مالك نظام قائمة من يملكون وصولًا ليؤكد استمرار الحاجة.
- إقرار أو سحب — يقرّ المالك بقاء كل صلاحية أو يطلب سحبها بأثر موثّق.
- كشف الصلاحيات الزائدة — تظهر الصلاحيات التي لم تُستخدم أو تجاوزت مدتها.
- أثر كامل — كل قرار مراجعة يُوثّق، فتصبح المراجعة نفسها قابلة للتدقيق.
ضبط الوصول لكل الأنظمة دفعة واحدة مشروع طويل. ابدأ بالأنظمة الأكثر حساسية — المالي والموارد البشرية — واربط صلاحياتها بمسار معتمد ومراجعة دورية، ثم وسّع. حماية الأنظمة الحرجة أولًا أثمن من تغطية شكلية للجميع.
الأسئلة الشائعة
من يجب أن يعتمد طلب صلاحية الوصول؟
مالك النظام المعني، لا تقنية المعلومات وحدها. تقنية المعلومات تنفّذ المنح بعد أن يقرّ المالك — لأنه من يعرف من يستحق الوصول لبياناته. هذا الفصل بين القرار والتنفيذ مبدأ أمني جوهري. للصلاحيات الإدارية الواسعة أو الوصول لبيانات حساسة، يضيف النظام موافقة مسؤول الأمن السيبراني أو مالك البيانات قبل التنفيذ.
كيف يمنع النظام بقاء وصول موظف غادر؟
بربط دورة الصلاحية بدورة الموظف. عند بدء إخلاء الطرف، يعرض النظام كل صلاحيات الموظف ويجعل تعطيلها جزءًا من الإجراء، فتُسحب الحسابات فور المغادرة. الصلاحيات المؤقتة تنتهي تلقائيًا بتاريخها كذلك. النظام يساعد على إغلاق فجوة الحساب النشط بعد المغادرة، وهي من أخطر ثغرات الوصول، ضمن منظومة أمن أوسع.
ما مبدأ الحد الأدنى من الصلاحية وكيف يدعمه النظام؟
المبدأ أن يُمنح الموظف أقل صلاحية تكفي لأداء مهمته لا أكثر، لتقليل سطح المخاطر. النظام يدعمه بربط الطلب بالدور الوظيفي واقتراح حزمة الصلاحيات المعيارية للدور بدل منحها فرادى، وبطلب مبرر واضح لكل صلاحية. هذا يقلّل منح الصلاحيات الإدارية الواسعة دون حاجة، لكنه لا يُغني عن حكم مالك النظام في كل حالة.
كيف تعمل المراجعة الدورية للصلاحيات؟
يُطلق النظام حملة مراجعة مجدولة يرسل فيها لكل مالك نظام قائمة من يملكون وصولًا إليه، فيقرّ بقاء كل صلاحية أو يطلب سحبها. تظهر الصلاحيات غير المستخدمة أو التي تجاوزت مدتها، ويُوثّق كل قرار. هذا يحوّل مراجعة الوصول من حملة يدوية شاقة إلى إجراء منتظم قابل للتدقيق يكشف تراكم الصلاحيات الزائدة.
هل يتكامل النظام مع Active Directory وأنظمة الهوية؟
نعم. يمكن ربطه بتسجيل الدخول الموحد SSO وبـActive Directory، فتنعكس عمليات المنح والتعطيل على الهوية مباشرة، ويقرأ النظام الأدوار والمجموعات لتوجيه الطلبات. عند الربط مع الموارد البشرية كذلك، ترتبط دورة الصلاحيات بدورة الموظف من التعيين حتى المغادرة، فيقل التدخل اليدوي وتُغلق الحسابات في وقتها.
ملخص سريع
نظام طلبات تقنية المعلومات يحوّل منح الصلاحيات من رسائل سريعة إلى مسار معتمد: موافقة مالك النظام قبل التنفيذ، وربط الصلاحية بالدور ومبدأ الحد الأدنى، وفصل فوري عند المغادرة، ومراجعة دورية موثّقة. النتيجة: لا وصول يُمنح بلا قرار، ولا صلاحية تبقى بعد زوال الحاجة إليها.
كيف يبدو المسار في قطاعك؟
اطلع على نماذج مسارات الموافقات المصممة لقطاعك، ثم اطلب عرضًا نُحوّل فيه أحد إجراءاتك الفعلية إلى مسار إلكتروني.