كيفية توثيق عمليات الدخول والتعديل والاعتماد داخل النظام

لماذا التوثيق ضرورة لا رفاهية

حين يقع خلاف أو حادثة أمنية، السؤال الأول دائمًا واحد: من فعل ماذا، ومتى؟ المنشأة التي لا تملك إجابة موثّقة تدخل في تخمين وتبادل اتهامات. التوثيق المنضبط يحوّل هذا السؤال من نزاع إلى استعلام بضغطة.

الأحداث التي يجب أن تترك أثرًا ثلاثة أنواع، وكل نوع يجيب عن سؤال مختلف:

• الدخول والوصول: من دخل النظام، متى، من أين، وهل نجح أم فشل؟ يجيب عن «من كان موجودًا».
• التعديل: ما الحقل الذي تغيّر، ما قيمته قبل وبعد، ومن غيّره؟ يجيب عن «ما الذي تبدّل».
• الاعتماد: من اعتمد أو رفض أي طلب، ومتى، وبأي مبرر؟ يجيب عن «من قرّر».

هذا التوثيق يدعم متطلبات المراجعة والتحقيق، ويسهم في تطبيق ضوابط الوصول التي يشرحها مقال الأدوار والصلاحيات، وهو الأساس الذي يقوم عليه سجل التدقيق.

توثيق الدخول والوصول

أول طبقة توثيق هي أحداث الدخول. لكل محاولة دخول — ناجحة أو فاشلة — يجب أن يُسجَّل حد أدنى من الحقول يسمح بإعادة تركيب ما جرى لاحقًا:

توثيق الفشل لا يقل أهمية عن النجاح. عشر محاولات دخول فاشلة لحساب واحد خلال دقيقة إشارة واضحة تستحق تنبيهًا. الوصول من عنوان شبكة خارج نطاق العمل المعتاد إشارة أخرى. هذه السجلات أكثر فائدة حين يكون الدخول نفسه محكومًا داخل بيئة الاستضافة، كما في استضافة بيانات الموافقات داخل السعودية.

الوصول ليس الدخول فقط. الموظف قد يدخل النظام بصلاحية مشروعة، ثم يستعرض بيانات خارج نطاق عمله. لذلك يُوثَّق أيضًا ما جرى الوصول إليه: أي طلب فُتح، وأي تقرير عُرض، وأي ملف نُزّل. الفرق بين موظف اطّلع على بيانات قسمه وموظف تصفّح بيانات أقسام لا علاقة له بها لا يظهر في سجل الدخول وحده، بل في سجل الوصول إلى المحتوى. هذا التوثيق يسمح بكشف الفضول أو التسرّب قبل أن يتحول إلى حادثة.

توثيق التعديل: القيمة قبل وبعد

أضعف أنواع التوثيق شيوعًا هو تسجيل «حدث تعديل» دون تفاصيل. أن تعرف أن حقلًا تغيّر لا يكفي؛ يجب أن تعرف من ماذا إلى ماذا. توثيق التعديل الجاد يحفظ القيمة السابقة والقيمة الجديدة معًا.

مثال ملموس

موظف عدّل مبلغ طلب صرف من 8,000 ريال إلى 80,000 ريال بعد اعتماد أولي. السجل الضعيف يقول: «عُدّل الطلب 09:40». السجل الجيد يقول: «حقل المبلغ: 8,000 ← 80,000، بواسطة م. سارة، 09:40، الطلب رقم 4471». الأول يثير الشك، والثاني يحسمه.

التوثيق الجيد للتعديل يشمل:

• الحقل المتأثر بالاسم، لا «تم التعديل» فقط.
• القيمة قبل وبعد صراحةً لكل حقل تغيّر.
• هوية من عدّل والوقت الدقيق للتعديل.
• سياق التعديل: هل جرى قبل الاعتماد أم بعده؟ التعديل بعد الاعتماد حدث حساس يستحق تنبيهًا.

توثيق الاعتماد

الاعتماد قرار له أثر مالي وإداري، ولذلك توثيقه أدق أنواع التوثيق. لكل قرار اعتماد أو رفض يجب أن يُحفظ سجل كامل يجيب لاحقًا دون الحاجة لسؤال أحد.

1. من قرّر: هوية المعتمد الفعلي، لا الدور فقط. وإن كان القرار بتفويض، يُسجَّل الأصيل والمفوَّض معًا.
2. ماذا قرّر: اعتماد، رفض، إعادة للتعديل — مع المبرر إن كان رفضًا.
3. متى: ختم زمني دقيق لكل خطوة، يسمح بحساب زمن كل مرحلة.
4. على أي نسخة: ربط الاعتماد بالنسخة الدقيقة من الطلب التي رآها المعتمد، حتى لا يُنسب اعتماد إلى محتوى لم يُطّلع عليه.

النقطة الأخيرة جوهرية: الاعتماد يجب أن يرتبط بلقطة ثابتة من الطلب لحظة القرار. إن تغيّر الطلب بعدها، يظل واضحًا أن المعتمد أقرّ المحتوى الأصلي لا المعدّل. هذا يربط توثيق الاعتماد بضوابط الحفظ في سياسات الاحتفاظ بالوثائق.

توثيق الاعتماد يجيب أيضًا عن أسئلة الحوكمة لا الأمن فقط. من السجل تعرف متوسط زمن كل مرحلة اعتماد، وأين يتكرر الاختناق، وأي معتمد يؤخّر الطلبات باستمرار، وكم طلبًا مرّ بتفويض بدل الأصيل. هذه ليست تفاصيل تقنية، بل مؤشرات إدارية تكشف اختلالًا في مصفوفة الصلاحيات أو حاجة لإعادة توزيع الأدوار. السجل الذي بُني للإثبات يصبح مصدرًا للتحسين المستمر.

سلامة السجل والاحتفاظ به

سجل يمكن لأحد تعديله ليس سجلًا، بل مسودة. قيمة التوثيق كلها في أنه غير قابل للتغيير بعد كتابته، حتى من مدير النظام. هذا الفرق بين السجل التشغيلي والأثر التدقيقي:

حماية سلامة السجل تعتمد على ضوابط عملية: منع الحذف والتعديل بعد الكتابة، وحفظ السجلات في مخزن منفصل عن البيانات التي توثّقها، وتشفيرها كما يوضح تشفير بيانات سير العمل، وإدراجها ضمن خطة النسخ الاحتياطي حتى لا تُفقد عند حادثة.

المراقبة والتنبيه على النشاط المشبوه

السجل الذي لا يقرأه أحد قيمته في التحقيق بعد الحادثة فقط. القيمة الأكبر أن تُراقب السجلات لحظيًا فتلتقط الشاذ قبل أن يتحول إلى حادثة. النظام يوفّر أدوات تنبيه على أنماط محددة مسبقًا:

• محاولات دخول فاشلة متكررة لحساب واحد أو من مصدر واحد خلال فترة قصيرة.
• دخول من مكان أو وقت غير معتاد لموظف معروف نمط عمله.
• تعديل قيمة مالية بعد الاعتماد أو قفزة كبيرة في مبلغ طلب.
• رفع صلاحية أو منح وصول واسع لحساب دون مسار اعتماد.
• تصدير كميات كبيرة من البيانات دفعة واحدة.

التنبيه يحوّل التوثيق من أداة تحقيق متأخرة إلى أداة دفاع مبكرة. هذه المراقبة جزء من منظومة أوسع يشرحها مقال دعم ضوابط الأمن السيبراني الوطنية ومقال متطلبات الأمن السيبراني للموافقات.

المراقبة الجيدة توازن بين حساسيتين. تنبيه على كل حدث صغير يُغرق الفريق فيتجاهل الكل، وتنبيه نادر يفوّت الحادثة. القاعدة العملية: اربط التنبيه بالأثر لا بالتكرار، فتغيير قيمة مالية بعد الاعتماد يستحق تنبيهًا فوريًا ولو حدث مرة، بينما محاولة دخول فاشلة واحدة لا تستحق. وحدّد لكل تنبيه مالكًا يتصرف حياله؛ التنبيه الذي لا يملكه أحد ينتهي مهملًا. الهدف النهائي أن يتحول السجل من أرشيف يُقرأ بعد الكارثة إلى رادار يعمل قبلها.

مثال تطبيقي: مراجعة تغيير صلاحية وصول

لنأخذ حالة حساسة في قسم تقنية المعلومات بجهة كبيرة: موظف يطلب رفع صلاحيته للوصول إلى بيانات مالية ليست ضمن دوره الحالي. هذا بالضبط نوع التغيير الذي يجب ألا يمر دون أثر. في النظام يبدو المسار هكذا:

ما الذي وثّقه النظام هنا؟ طلب التغيير نفسه، والوضع القائم قبله، ومبرر المدير، ومراجعة أمن المعلومات للأثر، ثم قيمة الصلاحية قبل وبعد لحظة التنفيذ. لو دخل الموظف لاحقًا إلى بيانات لم يكن يُفترض وصوله إليها، فالسجل يبيّن متى مُنح الوصول، ومن اعتمده، ولماذا. لا رفع صلاحية صامت، ولا وصول بلا أثر.