تدقيق الوصول إلى البيانات الحساسة والتحكم التقديري في الوصول

يمكن أن يؤدي الوصول غير المصرح به إلى الموارد المعلوماتية للشركة إلى توقف مؤقت أو كامل للإنتاج، وتدمير أو تسرب المعلومات السرية والبيانات الشخصية للموظفين والعملاء، وإتلاف المعدات، وتحقق مخاطر مادية وسُمعية أخرى. يتيح تدقيق الوصول إلى البيانات السرية تحديد الثغرات في نظام منح الصلاحيات ومعالجتها. اقرأ المزيد في هذا المقال.

لنستعرض التعريفات والمفاهيم الأساسية.

سياسة الوصول (ويُشار إليها فيما يلي بـ AP) — وثيقة تنظّم حقوق الوصول إلى البيانات التي يُسمح للمستخدمين بالعمل عليها.

المعلومات السرية (CI) هي أي معلومات مملوكة للشركة أو خاصة بها، تُفصح عنها الشركة لموظف خلال مدة عقد العمل والفترة المحددة بعد انتهائه، بما في ذلك: الأسرار التجارية؛ المسائل ذات الطابع التقني، مثل العمليات والأجهزة والأساليب والبيانات والمعادلات، وموضوعات ونتائج الأبحاث؛ أساليب التسويق؛ الخطط والاستراتيجيات؛ معلومات عن العمليات والمنتجات والخدمات والإيرادات والتكاليف والأرباح والمبيعات ومفاتيح النظام، وغيرها من المعلومات المتعلقة بعمليات الشركة ومنتجاتها وخدماتها وإيراداتها وتكاليفها ونفقاتها وأرباحها ومبيعاتها ومعلومات أخرى.

سياسة الأمن (SP) هي وثيقة توضح كيف تعتزم الشركة حماية أصولها المادية وأصول تقنية المعلومات الخاصة بها.

مفهوم تدقيق الوصول

يجب أن يكون نظام إدارة الأذونات منظّمًا بدقة، لا سيما إذا لم يكن مؤتمتًا. وينبغي تسجيل جميع الأذونات الممنوحة والملغاة والطلبات المقدمة. كما يجب فحص جميع صلاحيات الوصول السارية بانتظام للتحقق من توافقها مع سياسة الأمن المعتمدة.

من المهم الإقرار بأن أكثر أنظمة إدارة الصلاحيات تطورًا ينبغي أن تخضع لعمليات تدقيق داخلية وخارجية منتظمة لكشف أي تناقضات أو أوجه قصور.

تدقيق الوصول (ويُشار إليه فيما يلي بـ AA) هو عملية منهجية تهدف إلى التأكد من أن الأفراد داخل المؤسسة يمتلكون الصلاحيات المناسبة لمناصبهم للعمل على الأنظمة والخدمات والتطبيقات والبيانات.

هناك نوعان من تدقيق الوصول: التدقيق اليدوي والتدقيق المؤتمت باستخدام برمجيات متخصصة. التدقيق اليدوي أكثر مرونة، لكنه غير مناسب للمؤسسات الكبيرة لأنه يتطلب قدرًا كبيرًا من الوقت والموارد.

يُعد إجراء تدقيق الوصول ضروريًا من أجل:

• التحقق مما إذا كانت صلاحيات المستخدمين تتوافق مع الأدوار المسندة إليهم، وتضييق نطاق الصلاحيات أو توسيعه لمستخدمين محددين أو فئات كاملة؛
• الكشف عن حالات منح صلاحيات مفرطة؛
• رصد الوصول غير المصرح به إلى الملفات والمجلدات؛
• تحديث صلاحيات المستخدمين عند تحديث سياسات الأمن.

يتيح التدقيق المنهجي للوصول للمؤسسات الحفاظ على أمن المعلومات عند مستوى مناسب، والامتثال للمتطلبات الواردة في المعايير الدولية والقوانين التنظيمية للجهات الرقابية.

إضافة إلى ذلك، يكشف التدقيق عمّا يلي.

• الحسابات المعرّضة للخطر. أي الحسابات التي يمكن استغلالها للوصول غير المصرح به إلى النظام والمعلومات، مثل الحسابات ذات كلمات المرور الضعيفة أو الحسابات المتعددة في خدمات مختلفة تستخدم كلمة المرور نفسها. كما يمكن كشف أخطاء أخرى مثل ندرة تغيير كلمات المرور، والحسابات المكررة، وما إلى ذلك.
• الحسابات الزائدة وغير المسجّلة. الحسابات غير المغلقة لموظفين تركوا الشركة أو غيّروا مناصبهم. كما يشمل ذلك الحسابات التقنية التي لا مالك حقيقي لها لكنها تملك صلاحيات وصول إلى الأنظمة والخدمات والمنشآت والتطبيقات المؤسسية. 
• غياب لوائح تنظّم الصلاحيات. قد لا تمتلك المؤسسة سياسة صلاحيات أو قائمة بالمناصب المحددة وصلاحياتها، أو قد يكون الوصول إليها معقدًا للغاية.

إجراءات تنفيذ تدقيق الوصول

عادةً ما يمر التدقيق بخمس مراحل. لنستعرضها بالتفصيل.

تحديد الأهداف. من المهم في التدقيق التركيز على مجالات محددة تثير القلق — أي تحديد الأهداف. يضمن ذلك أن يكون التدقيق شاملًا وفعالًا، ويتناول الجوانب الحرجة في إدارة وصول المستخدمين، دون أن يستغرق وقتًا مفرطًا.

وضع معايير التدقيق وقواعده. تحديد معايير التدقيق، وتوقيته، وحجم البيانات المراد فحصها: أي إجراءات المستخدمين التي ستُسجَّل، ومعايير التسجيل، وحجم الملفات التي تُسجَّل فيها إجراءات المستخدمين.

إقرار سياسات التدقيق وتنفيذها. إعداد وثيقة تصف المنهج العام للتدقيق. على سبيل المثال، يمكن تحديد قائمة بأهم الأحداث التي يجب تسجيلها، مما يوفّر مساحة تخزين البيانات. ومن المهم أيضًا تنظيم إجمالي حجم المعلومات التي ستُخزَّن، ومدة تخزينها، وضوابط إتلافها.

تحديد الثغرات ونقاط الضعف. رصد وتسجيل صلاحيات الوصول المفرطة والحسابات غير المسجّلة وكلمات المرور الضعيفة وما شابه.

الحفاظ على سجلات الأمن وسجلات نشاط المستخدمين. تسجيل جميع البيانات المتعلقة بالعمليات على الملفات والمجلدات التي تحتوي معلومات سرية.

الأحداث المُسجَّلة

عادةً ما تُسجَّل الأحداث التالية في سجل التدقيق:

• إنشاء الملفات والمجلدات وحذفها ونقلها وإعادة تسميتها؛
• نسخ المستندات أو المعلومات التي تحتويها؛
• تسجيل الدخول إلى النظام والخروج منه؛
• تشغيل الخدمات والبرمجيات؛
• قراءة المستندات السرية، ونسخها إلى وسائط خارجية، وطباعتها.

مثال على تدقيق الوصول في نظام Windows

يدعم نظام Windows إمكانية إجراء هذا النوع من التدقيق.

تُحدَّد إعدادات سياسة التدقيق إلى حد كبير وفقًا للأهداف، والتي قد تشمل التحقق من الامتثال، والمراقبة، والتحقيق بعد حوادث أمن المعلومات، وتصحيح الأخطاء وأوجه القصور.

لنلقِ نظرة أقرب على كيفية عمل تدقيق الوصول في نظام Windows كمثال.

في قسم "إعدادات الأمان" ضمن دليل "السياسات المحلية"، يجب تهيئة سياسات الأمن المدمجة والمحلية. ويستند هذا الإعداد إلى أهداف التدقيق وغاياته.

تهيئة الجهات (Subjects). يمكن التحكم ليس فقط في المستخدمين الأفراد، بل أيضًا في مجموعات كاملة، بما في ذلك الأقسام أو المستخدمين ذوي الصلاحيات المتساوية. كما يمكن التحكم في الجهات الأمنية المدمجة، مثل الحسابات.

إعداد الكائنات (Objects). في المرحلة التالية من التهيئة، تُحدَّد الكائنات التي ستُسجَّل العمليات المنفَّذة عليها أثناء التدقيق. ويمكن أن تكون هذه المجلدات أو الملفات أو المستندات أو أدلة فرعية كاملة، وكذلك أحداث فردية.

تصنيف الأحداث. تُصنَّف أحداث Windows إلى فئات فرعية وفقًا لمستوى الخطر الذي تشكّله على أمن المعلومات:

• حرِجة؛
• أخطاء؛
• معلوماتية؛
• تحذيرات؛
• تفصيلية.

عند ضبط معايير التدقيق، سيسجّل السجل أي عمليات يقوم بها المستخدم على الملفات السرية، بما في ذلك العمليات غير الناجحة. فإذا نُفِّذت العملية بنجاح، تظهر علامة "نجاح". وإذا لم يكن لدى المستخدم صلاحيات كافية لتنفيذ العملية، تظهر علامة "فشل".

يمكن إجراء تدقيق الوصول على جميع محطات العمل داخل الشبكة المؤسسية، أو على أجهزة كمبيوتر فردية، مثل تلك التي تعالج البيانات الشخصية.

يقع سجل الأمان ضمن "مجلد إدارة الكمبيوتر". ويعتمد حجم البيانات المتعلقة بالعمليات والأحداث على أغراض التدقيق والمعايير المحددة.

لا يوفّر سجل Windows أدوات لتصفية الأحداث، ما يجعل العثور على حوادث محددة أمرًا صعبًا.

نماذج التحكم في الوصول الشائعة

نظام إدارة صلاحيات الوصول (ARMS) — هو مجموعة من الوسائل التقنية للأجهزة والبرمجيات والتدابير التنظيمية الهادفة إلى ضبط وتقييد حقوق المستخدمين في الوصول إلى المعلومات والتطبيقات والموارد وسائر الكائنات في النظام الحاسوبي.

العناصر الرئيسية لنظام ARMS:

• المستخدمون أو الحسابات المسندة إليهم صلاحيات بمستويات وصول مختلفة؛
• موارد الشركة، مثل أنظمة المعلومات وقواعد البيانات والتطبيقات والخدمات وأدوات حماية البيانات وغيرها؛
• التفويضات الممنوحة للمستخدمين ضمن نطاق صلاحياتهم المسندة.

يعتمد استخدام نماذج الوصول في مؤسسات معينة على التشريعات السارية.

من أجل تحسين عمليات صلاحيات الوصول، من الضروري اختيار النموذج الصحيح. ومن المهم إدراك أن تنفيذ نظام لإدارة صلاحيات الوصول يتطلب نهجًا احترافيًا والالتزام بجميع التدابير الأمنية اللازمة. ولهذا الغرض، يُفضَّل الاستعانة بمختصين في مجال أمن المعلومات.

لننتقل الآن إلى استعراض أكثر نماذج التحكم في الوصول شيوعًا بالتفصيل.

التحكم التقديري في الوصول (DAC)

هذا نهج يحدد فيه مالكو المعلومات مَن يمكنه الوصول إلى مورد معين وفي أي أوقات. ويستند إلى مبدأ أقل الصلاحيات: يُمنح المستخدمون بالضبط الصلاحيات التي يحتاجونها لأداء مهمة عمل معينة.

يُشار إلى النموذج التقديري أيضًا بالنموذج "الانتقائي".

تُحدَّد آلية DAC من خلال تعريف هوية المستخدم باستخدام بيانات الاعتماد أثناء المصادقة — اسم المستخدم وكلمة المرور.

يمكن تطبيق أنواع مختلفة من الأذونات بشكل فردي أو مجتمعة — ويعتمد ذلك على الجهة المانحة لها، والمورد المعني، والسبب وراء منحها. وتشمل أنواع الوصول التي يمكن منحها ضمن التحكم التقديري:

• منح جهات أو كائنات أخرى الامتيازات ذاتها التي يملكها الفاعل؛
• إمكانية تغيير السمات الأمنية للكائنات والفاعلين ومكونات النظام وجهات المعلومات؛
• إمكانية نقل المعلومات إلى فاعلين وكائنات أخرى؛ 
• إمكانية اختيار السمات الأمنية المرتبطة بكائنات جديدة أو مُعدَّلة؛
• إمكانية تعديل قواعد التحكم في الوصول.

يتميز نموذج DAC بالسمات التالية:

• يمكن للمستخدم نقل ملكية كائن ما إلى مستخدم آخر (أو مستخدمين آخرين)؛
• يمكن للمستخدم تحديد نوع وصول المستخدمين الآخرين؛
• بعد عدة محاولات فاشلة للدخول إلى النظام، يُحجب وصول المستخدم لفترة من الزمن؛
• لا يمكن للمستخدمين غير المصرح لهم رؤية سمات الكائن: الحجم والاسم ومسار الدليل.

نموذج DAC بسيط التنفيذ وسهل الفهم، لكنه يحمل العيوب التالية.

• صعوبة تتبع البيانات. نظرًا لأن النظام غير مركزي، فإن الوسيلة الوحيدة المتاحة للإدارة للتحكم في تدفق البيانات هي الرجوع إلى قائمة التحكم في الوصول (ACL). وهذا مفيد فقط في حالة المؤسسات الصغيرة ذات عدد الموظفين المحدود.
• مقارنةً بنماذج الحوكمة الأخرى، يُعد DAC أكثر عرضة لمخاطر أمن المعلومات. فبما أن الوصول يمكن منحه من شخص لآخر، يمكن أن تتعرض البيانات الحساسة للخطر.

نموذج DAC أنسب للمؤسسات الصغيرة.

مخطط التحكم بالمصفوفة

مصفوفة التحكم هي جدول يحدد أذونات الوصول القائمة بين فاعلين وكائنات معينة في نظام المعلومات. وعادةً ما تحتوي الأعمدة على الكائنات (التطبيقات وقواعد البيانات والخدمات والشبكة وغيرها)، بينما تحتوي الصفوف على الفاعلين (المستخدمين أو مجموعات المستخدمين). ولكل فاعل، تُحدَّد قائمة العمليات التي يمكنه تنفيذها على الكائنات، مثل:

• القراءة؛
• الحذف؛
• الإنشاء؛
• التعديل؛
• النسخ؛
• التنفيذ؛
• نقل الصلاحيات.

يُستحسن تصنيف قوائم المستخدمين والكائنات لتوفير المساحة.

يمكن استخدام هذه المصفوفات بشكل عملي في المؤسسات الحكومية أو المنشآت التي تتعامل مع البيانات الشخصية والمعلومات السرية، حيث توجد مجموعات من الموظفين بمستويات وصول مختلفة.

يمكن أن تكون صلاحيات مجموعات المستخدمين متماثلة أو مختلفة — بحسب المهام المطلوب أداؤها — ويجب ألا تتسبب في تضارب الصلاحيات.

عند استخدام مخطط التحكم بالمصفوفة، ينبغي الالتزام بمبدأ الحد الأدنى من الصلاحيات، أي منح الحد الأدنى الكافي من الصلاحيات اللازمة لإنجاز مهام العمل.

عيب مخطط المصفوفة الوحيد هو صعوبة تنظيم التحكم المركزي.

نموذج التحكم الإلزامي في الوصول، أو نموذج التصنيف (MAC)

من أبرز الفروق بين MAC وDAC أن MAC يُعد النموذج الأكثر أمانًا لأن المستخدمين الأفراد لا يمكنهم تغيير الوصول إلى الموارد.

عند استخدام نموذج بيانات الاعتماد، تُمنح الكائنات (الملفات والمستندات وقواعد البيانات والبرمجيات وغيرها) تصنيفًا يحدد مستوى السرية (مثل "سر تجاري"، "متاح للعموم"، "سري"، "سري للغاية"، "ذو أهمية خاصة")، بينما تُمنح الجهات، أي المستخدمون، تصنيفًا يحدد مستوى وصولهم.

يعمل نموذج التصنيف وفق المبدأ التالي: يُتحقَّق من مدى تطابق تصنيفَي الفاعل والكائن — يجب أن يكون تصنيف الفاعل مساويًا لتصنيف الكائن أو أعلى منه. وإلا، يُحجب الوصول إلى المستند السري أو يصبح المستخدم غير قادر على رؤية المستند إطلاقًا.

عندما يحاول شخص أو جهاز الحصول على إذن للعمل على مورد معين، يتحقق نظام التشغيل أو نواة الأمان من بيانات اعتماد الفاعل لتحديد ما إذا كان سيُمنح الإذن. ورغم أن MAC هو أكثر نماذج الصلاحيات أمانًا، فإنه يتطلب قدرًا من تركيز موارد المؤسسة ومراقبة مستمرة للحفاظ على تحديث جميع تصنيفات الفاعلين والمستخدمين.

خصائص نموذج الوصول الإلزامي وعيوبه

من بين أمور أخرى، تبرز الخصائص والعيوب التالية لنموذج الوصول الإلزامي:

• لا يمكن للمستخدمين تحديد وصول الفاعلين إلى الكائنات، حتى لو كانوا هم من أنشأها — فهذا الحق يقتصر على المسؤول الإداري فقط؛
• يمكن للمستخدم العمل ضمن جلسة تصنيف إلزامي واحد فقط؛
• يصعب صيانة نموذج MAC: تتطلب تهيئة مستويات الأمان والصلاحيات يدويًا اهتمامًا مستمرًا من المسؤولين؛
• لا يتوسع نموذج MAC تلقائيًا: تتطلب إضافة أعضاء جدد للشبكة وبيانات جديدة تحديثات مستمرة لتهيئة الحسابات؛
• من أبرز الفوائد أن السياسات الصارمة والمراقبة المستمرة تساعد في تقليل الأخطاء التي تؤدي إلى منح صلاحيات مفرطة للمستخدمين؛
• يُعد هذا النموذج الأقل عرضة لخروقات البيانات: إذ لا يستطيع الموظفون رفع السرية عن المعلومات أو مشاركة الوصول إليها.

يُعد MAC من أكثر النماذج أمانًا: إذ يحدد مسؤولو النظام قواعد الوصول يدويًا، ويطبقها نظام التشغيل أو نواة الأمان بصرامة.

نادرًا ما تُنفِّذ المؤسسات الخاصة نموذج MAC بسبب تعقيده وقلة مرونته. وغالبًا ما يُستخدم في المؤسسات الحكومية مثل الجيش والمؤسسات الحكومية وأجهزة إنفاذ القانون. لكن هذا لا يعني أن المؤسسات الخاصة لا تحتاج إليه؛ فالنموذج المُنفَّذ بشكل جيد يوفّر مستوى أمان عاليًا ودقيقًا رغم كلفته وصعوبة إعداده.

الإدارة القائمة على الأدوار (RBM)

تُستخدم الإدارة القائمة على الأدوار لمنح الموظفين مستويات وصول مختلفة بحسب مناصبهم ومسؤولياتهم. ويقلل ذلك بشكل كبير من خطر تسرب البيانات الحساسة — إذ لا يمكن للموظفين الوصول إلا إلى المعلومات وتنفيذ العمليات اللازمة لأداء مهامهم فقط. ويوفّر هذا النموذج نهج إدارة بسيطًا وقابلًا للتحكم، أقل عرضة للخطأ من منح الصلاحيات للمستخدمين فرديًا.

عند استخدام RBM لإدارة الأدوار، يحلل المسؤول احتياجات الموظفين ويصنفهم ضمن أدوار بناءً على مسؤولياتهم، ثم يسند دورًا واحدًا أو أكثر لكل موظف، وإذنًا واحدًا أو أكثر لكل دور. وتُبسّط العلاقتان "المستخدم > الدور" و"الدور > الأذونات" عملية الإسناد، إذ لم تعد إدارة المستخدمين تتم فرديًا، بل يمتلكون صلاحيات تتوافق مع الأذونات المسندة إلى أدوارهم.

الدور هو مجموعة من الامتيازات. وتختلف الأدوار عن مجموعات المستخدمين العادية. ففي سياق RBM، لا ترتبط الأذونات مباشرة بشخص محدد، بل بمسؤولياته، وهو أمر عملي. وكقاعدة عامة، تكون الأدوار دائمًا أقل عددًا من الموظفين الفعليين، ما يبسّط إدارة نظام المعلومات.

من أبرز مزايا RBM مقارنة بالأنظمة الأخرى أنه يمكن تفعيل عدة أدوار لشخص واحد من جهاز واحد. إضافة إلى ذلك، يتيح RBM:

• إنشاء نظام عملي وسهل الاستخدام لمنح التفويضات؛
• التحقق بسهولة من الصلاحيات وتصحيح الانتهاكات المكتشفة؛ 
• إضافة الأدوار وتعديلها بسرعة؛
• تقليل احتمالية الأخطاء في منح الصلاحيات؛
• دمج مستخدمين من أطراف ثالثة في النظام من خلال إسناد أدوار خاصة لهم؛
• الامتثال بفعالية أكبر للمتطلبات التنظيمية والقانونية المتعلقة بسرية المعلومات الحساسة والبيانات الشخصية للموظفين والعملاء.

كما هو الحال في نماذج التحكم في الوصول الأخرى، من المهم في RBM الالتزام بمبدأ الحد الأدنى من الصلاحيات عند إسناد الأدوار. فلا ينبغي منح أي موظف صلاحيات تفوق ما يحتاجه لأداء مهام عمله.

قبل تنفيذ RBM، ينبغي للمؤسسة تحديد صلاحيات كل دور بأكبر قدر ممكن من التفصيل. ويشمل ذلك تحديدًا دقيقًا للتفويضات في المجالات التالية:

• تعديل البيانات؛
• القراءة؛
• النسخ أو الكتابة إلى أجهزة خارجية؛
• تشغيل التطبيقات وما إلى ذلك.

تنفيذ نظام التحكم في الوصول

يجب أن يتم تنفيذ أي نظام لإدارة الصلاحيات على مستويين: البرمجي والتنظيمي.

على المستوى التنظيمي، من المهم إعداد وثيقة تتضمن قائمة بالمستخدمين أو مجموعات المستخدمين، وأدوارهم أو حقوقهم، وشروط منح الحقوق أو إلغائها. ولتبسيط إجراءات تعديل هذه القائمة، يُستحسن جعلها ملحقًا منفصلًا عن الوثيقة الرئيسية.

ما الذي يجب تحديده في وثيقة كهذه؟

1. مالك كل أصل معلوماتي: الموظف، رئيس القسم، رئيس المؤسسة. يحدد مالك المعلومات الصلاحيات دون إمكانية نقلها إلى أشخاص آخرين.
2. إذا كانت الشركة صغيرة، يُستحسن استخدام نموذج يقتصر فيه امتلاك صلاحيات إدارة الوصول على مستخدم متميز واحد فقط.
3. إذا استُخدم نموذج يمكن فيه لجهة نقل صلاحياتها إلى جهات أخرى، فمن المهم وضع سجل ومراقبته.

وتجدر الإشارة إلى أن بعض المؤسسات قد تستخدم نموذجين أو أكثر من نماذج الإدارة في آن واحد، وينبغي وصف خصوصيات الاستخدام بوضوح في اللوائح أو سياسة الأمن المعمول بها.

يتضمن تنفيذ نظام إدارة الصلاحيات عدة خطوات:

1. تحليل الكائنات. في هذه المرحلة، تُحدَّد أهداف النظام وغاياته، وكذلك متطلباته. يجرى مسح لنظام المعلومات والكائنات، وتحديد الثغرات، وتقييم المخاطر المحتملة. كما يُحدَّد عدد المستخدمين وأنواع الموارد ومعايير أخرى.
2. تصميم النظام. تطوير تصميم النظام مع مراعاة متطلبات الأمان وسهولة الاستخدام والجدوى الاقتصادية. ويجب أن يتضمن التصميم وصفًا لبنية النظام ومكوناته ووظائفه، إضافة إلى خطة التركيب والتهيئة.
3. اختيار الأجهزة والبرمجيات. اختيار الأجهزة والبرمجيات التي تلبي متطلبات المشروع والميزانية. قد تشمل الأجهزة الخوادم وأجهزة الشبكة وأدوات المصادقة وغيرها. أما البرمجيات، فتتيح إدارة النظام، وضبط معاييره، والحصول على تقارير حول أدائه.
4. تركيب النظام وتهيئته. تنفيذ تركيب الأجهزة، وتهيئة البرمجيات، ودمجها مع الأنظمة الأخرى. ضبط النظام وفقًا لمتطلبات المشروع والأمان. التحقق من أداء النظام ومعالجة المشكلات المحتملة.
5. تدريب الموظفين. تدريب الموظفين المسؤولين عن النظام على كيفية تشغيله وصيانته، وشرح كيفية استخدام معرّفات الهوية، ومنح الصلاحيات وتقييدها، والتعامل مع الحوادث الأمنية، وما إلى ذلك.
6. تدقيق النظام. إجراء اختبارات على النظام للتحقق من مطابقته لمتطلبات المشروع وموثوقيته وأمانه. تحديد الأخطاء وأوجه القصور وتصحيحها.
7. تشغيل النظام. بعد اجتياز الاختبارات بنجاح، يُوضع النظام في الخدمة الدائمة، مع توفير الدعم والصيانة اللازمين.
8. مراقبة أداء النظام وتحليله. مراقبة تشغيل النظام بانتظام، وجمع البيانات المتعلقة بالأحداث وإجراءات المستخدمين وتحليلها. يتيح ذلك تحديد نقاط الضعف، وتحسين الأداء، ورفع مستوى أمن المعلومات.

قد تظهر متطلبات أو تهديدات أو فرص جديدة أثناء تشغيل النظام. لذا من الضروري إجراء عمليات تدقيق في الوقت المناسب، وبناءً عليها إدخال التعديلات اللازمة على النظام لضمان توافقه مع الظروف الحالية والمتطلبات التنظيمية. وكقاعدة عامة، ينبغي إجراء التدقيق مرة واحدة على الأقل كل 6 أشهر.

في الختام

يُعد التدقيق المنتظم للوصول إلى البيانات السرية ونماذج فصل الصلاحيات مكونًا مهمًا من نظام أمن المعلومات في أي مؤسسة. فمن خلال تطوير نموذج الصلاحيات المناسب لاحتياجات المؤسسة وإمكاناتها وتنفيذه، والتدقيق المنتظم في أدائه، يمكن الحد بشكل كبير من مخاطر تسرب أو إتلاف المعلومات التجارية والبيانات الشخصية للموظفين والعملاء.