‏إدارة القدرات والسلوك

في التحكم في الوصول، الفاعل هو أي جهة قادرة على التصرف داخل النظام، مثل حساب موظف أو مدير أو متعاقد أو حساب خدمة أو عملية تعمل نيابةً عن أحد هؤلاء. تطرح كلمتا المصطلح سؤالين مختلفين عن هذا الفاعل.

تسأل إدارة القدرات ما الذي يستطيع الفاعل فعله تقنياً. وهي مسؤولة عن منح الصلاحيات ومراجعتها وسحبها: الأدوار، وحقوق الوصول إلى الملفات والأنظمة، والإذن باستخدام الوسائط القابلة للإزالة، وتثبيت البرامج، ورفع الصلاحيات الإدارية.

تسأل إدارة السلوك ما الذي يُسمح للفاعل بفعله. وهي مسؤولة عن قواعد السلوك: الاستخدام المقبول للقنوات والبيانات، والقيود المفروضة على مجموعات محددة، وشروط إيقاف إجراء ما أو تمييزه، وعواقب مخالفة القواعد.

يحدّ الجانبان أحدهما الآخر. قد يملك الفاعل القدرة على تصدير قاعدة بيانات العملاء، ومع ذلك يكون ممنوعاً من ذلك، لأن أي سياسة لا تستطيع السماح بما تمنعه القدرة الأساسية. تدير البرامج الناضجة الجانبين معاً: تحدد القدرة سقف الضرر المحتمل، وتحدد قواعد السلوك الممر المقبول للتصرف تحته.

تصف معظم نماذج التهديدات الداخلية الخطر بأنه مزيج من الدافع والفرصة والقدرة. النوايا لا تُقرأ، والفرصة جزء من العمل اليومي، لأن الناس يحتاجون إلى الوصول إلى البيانات كي يستخدموها. والعامل الذي تتحكم فيه مباشرة هو القدرة، إلى جانب السلوك المحيط باستخدامها.

خفض القدرة لا يجعل الحادثة أقل احتمالاً. إنه يجعل الحادثة التي تقع أصغر وأبطأ وأسهل في الرصد. لذلك تقع هذه الممارسة في الطرف الوقائي من برنامج التهديدات الداخلية: تعمل كل يوم، بينما يُحكم على الكشف بالأحداث النادرة.

في الممارسة، العمل دورة حياة وليس إغلاقاً لمرة واحدة. تحتفظ فرق كثيرة بالمجموعات في خدمة الدليل، فتبدأ المراجعات من قائمة واحدة من الحسابات.

إدارة القدرات والسلوك وقائية، والضوابط المجاورة تغطي ما لا تراه. توفر إدارة الهوية والوصول البنية الأساسية: الأدلة والمجموعات وتدفقات الموافقة. تراقب تحليلات السلوك السلوك مقابل خطوط الأساس والقواعد المعلنة، وتفرض منع فقدان البيانات (DLP) القواعد على مستوى المحتوى، بغض النظر عمن يملك الصلاحية.

يهم تقسيم العمل في الاتجاهين. فالمراقبة دون حدود للقدرات تنتج تنبيهات دون احتواء، لأن المخالفة المؤكدة تترك الفاعل قادراً على تكرارها. أما الحدود دون مراقبة فتنتج احتواءً صامتاً، لأن أحداً لا يعلم متى تُختبر القواعد. وتبدأ التحقيقات والاستجابة عند ظهور إشارة.

في وحدة تحكم Anexet تُضبط الحقوق لكل مجموعة مستخدمين. تعرض علامة التبويب الخاصة بالصلاحيات الوحدات التي يستطيع أعضاء المجموعة فتحها، ويوضح عرض الحقوق أي مجموعة تمنح كل حق، فيمكن تتبع أي صلاحية غير متوقعة إلى مصدرها.

1 / 2

• 
• 

تبدأ إدارة السلوك على الورق وتنتهي بالتطبيق. فالقاعدة المنشورة التي لا يطبقها أحد تخلق مظهر الرقابة، لا الرقابة نفسها:

1. 1

   تحديد قواعد الاستخدام المقبول

   حدد القنوات والبيانات والإجراءات الطبيعية في العمل، في سياسة يعرفها الفاعلون ويقرّون بها.

2. 2

   إضافة قيود تقنية

   حيث يلتقي السلوك بالقدرة: شروط الحظر، وقنوات معطلة لمجموعات محددة، وعزل الإجراءات الخارجة عن السياسة.

3. 3

   تطبيق عواقب يمكن التنبؤ بها

   استخدم عقوبات متناسبة ومطبقة باتساق. فالردع يعتمد على الاتساق أكثر من اعتماده على شدة العقوبة.

4. 4

   المراقبة وفق القواعد

   قارن ما يفعله الفاعلون فعلاً بما تسمح به القواعد، حتى تظهر المخالفات كأحداث.

5. 5

   التوجيه والتعزيز

   التدريب والأمثلة الواضحة والتقدير للممارسة الجيدة تشكّل السلوك، ولا تكتفي بمعاقبة غيابه.

أنماط الفشل متوقعة. فالقدرات المشددة أكثر مما يتطلبه العمل تعطل المهام الاعتيادية وتنشئ طوابير استثناءات. وإذا تُركت فضفاضة تراكمت في شكل تراكم للصلاحيات. وقواعد السلوك المطبقة بانتقائية تفقد معناها أسرع من القواعد غير الموجودة، لأنها تعلّم الناس أن التطبيق تعسفي.

تتداخل مراقبة السلوك مع مراقبة الموظفين وترث قيودها القانونية: التناسب والشفافية وتحديد الغرض، وفي كثير من الولايات القضائية التشاور مع ممثلي الموظفين. وهي تخفف الأثر دون أن تلغي الخطر، لذلك تجمعها البرامج مع الكشف والاستجابة.

ابدأ بالبيانات التي يكون تسربها أشد ضرراً، ثم ارسم خريطة القدرات والقنوات التي تصل إليها. فالسياسات المكتوبة لكل ملف وكل صلاحية في وقت واحد تنتهي بعرقلة العمل وتعطيلها.

للمزيد من القراءة: التنميط النفسي.