أنظمة سير العمل وضوابط الهيئة الوطنية للأمن السيبراني

الإطار والسياق — ماذا نعني بالمواءمة؟

الهيئة الوطنية للأمن السيبراني وضعت أطر ضوابط تنظّم حماية الأنظمة والبيانات في الجهات الوطنية. هذه الأطر مقسّمة إلى مجالات وموضوعات تغطي الحوكمة، وتعزيز الحماية، والصمود، وغيرها. نظام سير العمل ليس أداة أمن سيبراني بحد ذاته، لكنه يلمس عدة مجالات لأنه يخزّن بيانات حسّاسة ويدير قرارات مهمة.

المشكلة التي نعالجها هنا: كثير من الجهات تشتري نظام موافقات ثم تكتشف عند التقييم الأمني أنه لا يوفّر الأدوات اللازمة لدعم الضوابط — لا سجل محكم، ولا تحكم دقيق بالوصول، ولا تشفير كافٍ. فيتحوّل النظام نفسه إلى نقطة ضعف بدل أن يكون أداة تدعم الحماية.

بهذا التحفظ الواضح، نستعرض كيف تُخطَّط أدوات النظام على مستوى الموضوعات العامة لمجالات الضوابط. لمدخل أوسع راجع المتطلبات الأمنية لأنظمة الموافقات.

الفكرة المحورية أن نميّز بين طبقتين. الطبقة الأولى: النظام كـأصل يجب حمايته، فهو يخزّن بيانات حسّاسة ويجب أن يخضع هو نفسه لضوابط الحماية. الطبقة الثانية: النظام كـأداة تساعد الجهة على تطبيق ضوابط على إجراءاتها الأخرى، عبر مسارات اعتماد موثّقة. كثير من النقاش يخلط بين الطبقتين، والتمييز بينهما يوضّح أين يفيد النظام وأين تبقى المسؤولية على الجهة.

إدارة الهوية والوصول

من أوضح مجالات الضوابط ما يخص تنظيم من يصل إلى ماذا. نظام سير العمل يوفّر أدوات تدعم هذا المجال مباشرة: تحكم بالوصول قائم على الأدوار، ومبدأ الحد الأدنى من الصلاحية، وفصل المهام بين من يطلب ومن يعتمد.

• الوصول بالأدوار — كل مستخدم يرى ويعتمد بحدود دوره فقط. تفصيله في التحكم بالوصول القائم على الأدوار.
• الحد الأدنى من الصلاحية — لا صلاحيات زائدة عن حاجة الدور.
• فصل المهام — من يقدّم الطلب لا يعتمده، ومن يعتمد لا يُغيّر السجل.
• الدخول الموحّد — الربط بالهوية المؤسسية عبر تكامل الدخول الموحّد وActive Directory يوحّد إدارة الهوية.
• إلغاء الوصول — عند مغادرة موظف، يُسحب وصوله فورًا من نقطة واحدة.

هذه الأدوات تسهم في تطبيق ضوابط الوصول، لكن تفعيلها الصحيح — مصفوفة الصلاحيات، ومراجعتها الدورية — يبقى من مسؤولية الجهة.

نقطة يغفلها كثيرون: تراكم الصلاحيات. موظف ينتقل بين إدارات عبر سنوات، فتتراكم لديه صلاحيات لم تعد لازمة، حتى يصبح حسابه أخطر نقطة في المنظومة. النظام يوفّر أداة المراجعة الدورية للصلاحيات، لكن جدولة هذه المراجعة والالتزام بها قرار إداري تتخذه الجهة. الأداة تكشف الزائد؛ والإرادة الإدارية هي التي تسحبه.

تسجيل الأحداث والمراقبة

مجالات الضوابط تولي تسجيل الأحداث ومراقبتها اهتمامًا خاصًا، لأن ما لا يُسجَّل لا يمكن التحقيق فيه. نظام سير العمل يوفّر سجل تدقيق يوثّق كل حدث: من دخل، ومن اعتمد، ومن عدّل صلاحية، ومتى، ومن أي جهاز.

الأداة الأساسية هنا سجل التدقيق غير القابل للتعديل. والقيمة الحقيقية في أنه يجيب أسئلة المحقق الأمني دون نقاش: هل جرى وصول غير معتاد؟ هل اعتُمد طلب خارج الدوام؟ من غيّر إعدادًا حسّاسًا؟ تفصيل ذلك في تسجيل الوصول والتغييرات في الموافقات.

• سجل غير قابل للتعديل — حتى مدير النظام لا يستطيع محو أثر.
• ختم زمني وهوية — كل حدث مرتبط بمن ومتى.
• تنبيهات على الأنماط الشاذة — وصول غير معتاد أو محاولات متكررة.
• حفظ السجلات — وفق سياسة احتفاظ محددة، راجع سياسة الاحتفاظ بالوثائق.

التشفير وحماية البيانات

حماية البيانات موضوع متكرر في مجالات الضوابط، ويشمل تشفير البيانات أثناء التخزين وأثناء النقل. نظام سير العمل يوفّر أدوات تدعم هذا: تشفير قاعدة البيانات والمرفقات، وتشفير الاتصال بين المستخدم والنظام، وإدارة مفاتيح منضبطة.

التفصيل الكامل في تشفير بيانات نظام سير العمل. والنقطة الجوهرية أن التشفير يحمي البيانات حتى لو تسرّبت النسخة الخام، فتبقى غير مقروءة بلا المفاتيح. ومكان استضافة هذه البيانات يكمّل الصورة، كما في استضافة بيانات نظام الموافقات داخل السعودية.

انتبه إلى أن التشفير القوي بلا إدارة مفاتيح سليمة يفقد قيمته. إن كان المفتاح مخزّنًا بجوار البيانات نفسها، أو في يد المزوّد وحده، فالحماية شكلية. اسأل عن دورة حياة المفاتيح: من يولّدها، وأين تُحفظ، وكيف تُدوَّر، ومن يستطيع الوصول إليها. هذه التفاصيل هي التي تصنع الفرق بين تشفير حقيقي وتشفير على الورق.

مرة أخرى: النظام يوفّر الأدوات، والجهة تقرر مستوى التطبيق بما يناسب تصنيف بياناتها ومتطلباتها التي يحددها مختصها.

النسخ الاحتياطي والصمود

مجال الصمود في الأطر التنظيمية يعنى باستمرارية الأنظمة والقدرة على التعافي. نظام سير العمل يسهم في هذا عبر النسخ الاحتياطي المنتظم، وخطط التعافي، والقدرة على استعادة الخدمة ضمن أهداف زمنية محددة.

الأدوات وحدها لا تكفي؛ اختبار الاستعادة دوريًا هو ما يثبت جدواها. نسخة احتياطية لم تُختبَر استعادتها قد تكون وهمًا. التفصيل في النسخ الاحتياطي والتعافي من الكوارث لأنظمة الموافقات.

الصمود يمتد أبعد من النسخ. يشمل توزيع الخدمة لتفادي نقطة فشل واحدة، وخطة تواصل واضحة عند الأعطال، وأدوارًا محددة مسبقًا لمن يفعل ماذا وقت الأزمة. النظام يوفّر بنية تدعم هذا، لكن الخطة التشغيلية والتدريب عليها قرار تتخذه الجهة وتراجعه دوريًا مع مختصها لتبقى جاهزيتها حقيقية لا نظرية.

التحصين وإدارة التغيير

من موضوعات تعزيز الحماية تحصين الأنظمة وإدارة التغييرات عليها. نظام سير العمل يسهم هنا بطريقتين: تحصين النظام نفسه، وأن يكون هو أداة لإدارة تغييرات الجهة الأخرى عبر مسارات اعتماد منضبطة.

تحصين النظام نفسه

إعدادات آمنة افتراضيًا، وتحديثات أمنية منتظمة، وإغلاق المنافذ غير المستخدمة، وحصر الوصول الإداري. هذه مسؤولية مشتركة بين المورّد والجهة، تُحدَّد في اتفاقية الخدمة.

النظام كأداة لإدارة التغيير

أي تغيير حسّاس — منح صلاحية، تعديل إعداد، اعتماد استثناء أمني — يمكن أن يمرّ عبر مسار موافقة موثّق في النظام. فبدل أن يُغيّر أحدهم إعدادًا بقرار فردي، يمرّ التغيير باعتماد وتوثيق. هذا يدعم روح ضوابط إدارة التغيير مباشرة.

1. طلب التغيير موثّق — من طلبه ولماذا.
2. مراجعة الأثر — قبل التنفيذ لا بعده.
3. اعتماد صاحب الصلاحية — لا تغيير فردي على أنظمة حسّاسة.
4. أثر كامل — يبقى في السجل للمراجعة اللاحقة.

مثال تطبيقي — جهة خدمية تمنح صلاحية حسّاسة

جهة خدمية حكومية تدير نظامًا يمسّ بيانات المستفيدين. أحد الموظفين يحتاج صلاحية وصول موسّعة لإنجاز مهمة. في الوضع اليدوي، تُمنح الصلاحية برسالة سريعة بلا أثر ولا مراجعة أمنية — وهذه بالضبط الثغرة التي يرصدها المقيّم. في النظام، يمرّ الطلب هكذا:

انظر كيف يخدم هذا المسار عدة موضوعات ضوابط دفعة واحدة: إدارة الوصول (مراجعة قبل المنح)، وفصل المهام (الأمن السيبراني يعتمد لا مدير الموظف وحده)، والتسجيل (كل خطوة موثّقة)، وإدارة التغيير (التغيير على الصلاحيات مُعتمد لا فردي). عند التقييم، تعرض هذه المسارات كدليل على أن الجهة تطبّق ضوابط منضبطة، لا مجرد نيّات.