أكمل مورد للخدمات السحابية مراجعة الوصول الربع سنوية في موعدها. وشملت المراجعة جميع حسابات المستخدمين التي تملك وصولًا إلى بيئات بيانات العملاء: ثلاثة وسبعون حسابًا رُوجعت، وثلاثة وسبعون حسابًا اعتُمدت. وقُدمت المراجعة إلى فريق الامتثال لديه على أنها مكتملة. وبعد أربعة أشهر، وجد تدقيق أمني أن أربعة عشر حسابًا من الحسابات الثلاثة والسبعين المعتمدة تخص موظفين سابقين غادروا المؤسسة خلال الأشهر الثمانية عشر السابقة، وأن ثلاثة حسابات تخص متعاقدين انتهت ارتباطاتهم، وأن أربعة حسابات أُنشئت لمشاريع عملاء محددة كانت قد انتهت. كانت الحسابات نشطة، وبيانات الاعتماد صالحة، وجرى الوصول إليها في حالتين على الأقل خلال الأشهر التي تلت مراجعة الوصول. وكانت المراجعة قد أُجريت باستخدام جدول بيانات يسرد أسماء الحسابات، وطُلب من المراجعين، وهم مديرو الأقسام، تأكيد ما إذا كان ينبغي لكل حساب أن يملك وصولًا. فأكدوا بنعم للحسابات التي يعرفونها، وبنعم للحسابات التي لا يعرفونها، لأن أسهل الطرق عند مراجعة اسم حساب غير مألوف هو افتراض أنه يخص شخصًا ينبغي أن يملكه.
ما مشكلة جودة مراجعة الوصول في حقيقتها؟
مراجعات الوصول، أي العملية الدورية للتحقق من أن جميع الحسابات التي تملك وصولًا إلى الأنظمة والبيانات الحساسة ينبغي أن تحتفظ بذلك الوصول، ضابط أساسي من ضوابط حوكمة الهوية، وتشترطها PCI-DSS وSOC 2 وISO 27001 ومعظم الأطر التنظيمية التي تتناول أمن المعلومات. والغاية منها تحديد الحسابات التي لم يعد ينبغي أن تملك وصولًا: الموظفون السابقون، والمتعاقدون الذين انتهت ارتباطاتهم، وحسابات الخدمة التي تغير غرضها، والمستخدمون الذين تطورت أدوارهم بما يتجاوز نطاق وصولهم الحالي. وعند تنفيذها على نحو جيد، تقلص مراجعات الوصول سطح الهجوم المتاح لاختراق بيانات الاعتماد، وتحد من فرص التهديدات الداخلية، وتضمن الحفاظ على مبدأ الحد الأدنى من الصلاحيات بمرور الوقت مع تغير الأدوار والعلاقات.
تنشأ مشكلة الجودة من الفجوة بين عملية إجراء مراجعة الوصول ونتيجة إجرائها على نحو جيد. فمراجعة الوصول التي تُعد قائمة بالحسابات، وترسلها إلى المديرين لاعتمادها، وتعالج جميع الاعتمادات على أنها تأكيدات لوصول مشروع، تكون قد استوفت المتطلب الإجرائي لمراجعة الوصول، لكنها لم تُنتج بالضرورة تقييمًا دقيقًا للحسابات التي ينبغي أن تملك وصولًا. وتعتمد دقة المراجعة على جودة بيانات الحسابات المعروضة، أي ما إذا كانت تتضمن المعلومات التي يحتاجها المراجعون لاتخاذ قرارات مستنيرة، وعلى السياق المتاح للمراجعين، أي ما إذا كانوا يعرفون لمن يعود كل حساب وما دوره الحالي، وعلى ثقافة المساءلة عن نتيجة المراجعة، أي ما إذا كانت لاعتماد حساب ما كان ينبغي أن يملك وصولًا عواقب.
تمثل مشكلة الحسابات اليتيمة العاقبة الأكثر شيوعًا والأكبر أثرًا لمراجعات الوصول منخفضة الجودة. فالحسابات اليتيمة، أي الحسابات التي تخص أفرادًا لم تعد لديهم حاجة مشروعة إلى الوصول، وهم عادةً الموظفون السابقون والمتعاقدون السابقون والمستخدمون الذين تغيرت أدوارهم، تتراكم في أي مؤسسة توجد فيها ثغرات في عملية الالتحاق والتنقل والمغادرة الخاصة بمنح الصلاحيات وإلغائها. وقد صُممت مراجعات الوصول الدورية لالتقاط ما أغفلته عملية منح الصلاحيات. وعندما تصادق المراجعات شكليًا على قائمة الوصول القائمة بدلًا من تمحيصها، تبقى الحسابات اليتيمة إلى أجل غير مسمى، فتوفر مجموعة من بيانات الاعتماد الصالحة التي يمكن أن يستخدمها أصحابها السابقون، أو المهاجمون الذين يخترقون بيانات الاعتماد تلك، أو أي شخص آخر يتمكن من الوصول إليها.
تتركز إخفاقات جودة مراجعة الوصول في بيئات الموردين حول خمسة أنماط محددة:
- مصادقة شكلية من مراجعين غير مطلعين: مديرون يعتمدون قوائم وصول تتضمن حسابات لا يعرفونها لأن عملية المراجعة لا توفر أي سياق، والاعتماد هو أسهل الطرق
- عدم كفاية جودة بيانات الحسابات للمراجعة: قوائم وصول تتضمن أسماء الحسابات أو أسماء المستخدمين دون سياق كافٍ (تاريخ آخر تسجيل دخول، والدور، والغرض من الحساب، والحالة الوظيفية الحالية) يتيح مراجعة مستنيرة
- غياب العواقب على اعتماد حسابات غير مشروعة: عمليات مراجعة لا يترتب فيها على اعتماد حساب ما كان ينبغي أن يملك وصولًا أي مساءلة أو التزام بالمعالجة على من اعتمده
- اقتصار نطاق المراجعة على الأنظمة الرئيسية: مراجعات وصول تشمل قواعد بيانات التطبيقات الرئيسية وتغفل منصات التحليلات وأدوات إعداد التقارير والوصول إلى أدوات التعاون والواجهات الإدارية
- غياب التحقق المستقل من نتائج المراجعة: قبول المراجعات على أنها مكتملة بناءً على توقيع المدير دون تحقق مستقل من أن الحسابات المعتمدة تقابل احتياجات وصول حالية ومشروعة
لماذا يهم هذا
تكتسب جودة مراجعة الوصول أهميتها في TPRM لأنها الضابط الذي يحكم ما إذا كان الوصول الممنوح لموظفي المورد يظل متناسبًا مع أدوارهم الحالية بمرور الوقت. فمنح الصلاحيات الأولي عند الالتحاق يُنشئ خط الأساس للوصول، ويُفترض أن تحافظ مراجعة الوصول على خط الأساس هذا مع تغير الأدوار، بحيث تضمن ألا يظل الموظف الذي انتقل إلى وظيفة مختلفة قبل ثلاث سنوات محتفظًا بوصول كان مناسبًا لدوره السابق، وألا يظل المتعاقد الذي أنهى ارتباطه قبل ستة أشهر محتفظًا ببيانات اعتماد لم تُلغَ صلاحياتها قط.
يمثل خطر وصول الموظفين السابقين النقطة التي تُحدث فيها إخفاقات مراجعة الوصول لدى الموردين التعرض الأشد أثرًا بشكل فوري. فالموظف السابق الذي يحتفظ بوصول إلى بيئات بيانات العملاء لدى المورد يمثل بيانات اعتماد قائمة خارج علاقة العمل مع المورد، وخارج نطاق المراقبة الأمنية لديه، وقد يستخدمها شخص لم يعد لديه سبب عمل للاحتفاظ بها. لم يكن الموظفون السابقون الأربعة عشر الذين اجتازت حساباتهم مراجعة الوصول الربع سنوية لدى المورد يصلون إلى الأنظمة في معظم الحالات، لكن الوصول حدث في حالتين على الأقل بعد أن أكدت المراجعة مشروعية الحسابات. فالموظفون السابقون الذين يملكون بيانات اعتماد نشطة في بيئات الموردين ليسوا خطرًا نظريًا.
بالنسبة لممارسي TPRM، يتطلب تقييم جودة مراجعة الوصول تجاوز تأكيد الوتيرة (الربع سنوية جيدة، والشهرية أفضل) إلى جودة عملية المراجعة ذاتها. فمراجعة الوصول الربع سنوية التي تصادق شكليًا على قائمة الوصول تُنتج قيمة أمنية فعلية أقل من مراجعة سنوية تمحص كل حساب تمحيصًا حقيقيًا وتزيل الحسابات اليتيمة التي لا يستطيع المراجعون تبريرها. فالوتيرة هي عدد مرات إتاحة الفرصة، والجودة هي ما إذا كانت الفرصة تُستغل.
أين تخطئ معظم الفرق
يتمثل الإخفاق الأكثر تكرارًا في التعامل مع وتيرة المراجعة بوصفها مؤشرًا بديلًا على جودتها. فمراجعات الوصول الربع سنوية تبدو صارمة، لكن مراجعة الوصول التي تُجرى كل ربع سنة وتُنفذ بوصفها مصادقة شكلية على قائمة لم يُمحَّص فيها شيء توفر توثيق الامتثال الخاص بالمراجعة الربع سنوية دون قيمتها الأمنية. فسؤال الوتيرة، أي كم مرة تُجرون مراجعات الوصول، هو سؤال عن وتيرة الحوكمة. أما سؤال الجودة، أي ما الذي يحدث في المراجعة ويضمن تحديد الحسابات غير المشروعة وإزالتها، فهو السؤال عن فاعلية الحوكمة.
يتمثل الإخفاق الثاني في عدم السؤال عن المعلومات المعروضة على المراجعين. فمراجعة الوصول المعروضة في صورة قائمة بأسماء المستخدمين دون أي سياق تتطلب من المراجعين معرفة مستقلة بكل حساب لاتخاذ قرارات مستنيرة، وهي معرفة قد لا تتوفر لديهم. أما مراجعة الوصول التي تعرض تاريخ آخر تسجيل دخول، وتاريخ إنشاء الحساب، والغرض منه، والتحقق من الحالة الوظيفية الحالية، وربط الأدوار، فتمنح المراجعين المعلومات اللازمة لتحديد الحسابات التي لا ينبغي أن تكون موجودة. فجودة المعلومات تحدد جودة المراجعة.
- معاملة وتيرة المراجعة على أنها مكافئة لجودتها: المصادقات الشكلية الربع سنوية توفر قيمة أمنية أقل من المراجعات السنوية الحقيقية
- عدم كفاية سياق الحسابات لإجراء مراجعة مستنيرة: قوائم بأسماء المستخدمين دون تاريخ آخر تسجيل دخول أو الحالة الوظيفية أو الغرض من الحساب
- غياب المساءلة عن اعتماد حسابات غير مشروعة: المراجعون الذين يعتمدون حسابات يتيمة لا يواجهون أي عواقب
- اقتصار نطاق المراجعة على الأنظمة الرئيسية: عدم شمول الوصول إلى منصات التحليلات وإعداد التقارير والتعاون
- غياب التحقق المستقل: قبول توقيع المدير دون التحقق من دقة الاعتماد
كيف تبدو الممارسة الجيدة
تعرض البرامج الناضجة لمراجعة الوصول على المراجعين بيانات حسابات غنية بالسياق تتيح اتخاذ قرارات مستنيرة، وتشترط تبريرًا لكل اعتماد بدلًا من قبول الاعتماد بوصفه الخيار الافتراضي، وتتضمن آليات تحقق مستقلة تكشف حالات الاعتماد التي كان ينبغي أن تكون رفضًا.
- بيانات مراجعة وصول غنية بالسياق: عرض كل حساب مع اسم المستخدم والاسم الكامل والحالة الوظيفية الحالية وتاريخ آخر تسجيل دخول وتاريخ إنشاء الحساب والغرض منه
- اشتراط التبرير للاعتماد: إلزام المراجعين بتقديم تبرير موجز لاستمرار وصول كل حساب، لا الاكتفاء بوضع علامة الاعتماد
- التحقق الآلي من الحالة الوظيفية: أداة مراجعة وصول متكاملة مع نظام الموارد البشرية لتمييز الحسابات التي تخص موظفين سابقين قبل بدء المراجعة
- عدم الرد يعني الإلغاء: الحسابات التي لم يُرد بشأنها خلال نافذة المراجعة تُميَّز تلقائيًا للإلغاء بدلًا من استمرار الوصول افتراضيًا
- التحقق المستقل بعد المراجعة: التحقق المستقل من عينة من الحسابات المعتمدة لتأكيد أنها تقابل مستخدمين حاليين مشروعين
- نطاق مراجعة يشمل جميع أنواع الوصول: مراجعة منصات التحليلات وأدوات إعداد التقارير والواجهات الإدارية والوصول إلى أدوات التعاون إلى جانب الوصول إلى قواعد البيانات الرئيسية
الأدوات
تتطلب مراجعة الوصول الفعالة أدوات لحوكمة الهوية تؤتمت جمع السياق، وتفرض إكمال المراجعة، وتوفر القدرة على التحقق المستقل.
حوكمة الهوية وإدارتها: SailPoint وSaviynt وOmada
تعمل منصات IGA على أتمتة عملية مراجعة الوصول، إذ تجمع بيانات الحسابات عبر الأنظمة، وتثريها بسياق الموارد البشرية، وتوجه المراجعات إلى المديرين المعنيين مع مواعيد نهائية، وتلغي تلقائيًا الوصول الذي لا يُعتمد خلال نافذة المراجعة. ويتكامل SailPoint IdentityNow مع أنظمة الموارد البشرية لعرض الحالة الوظيفية إلى جانب بيانات الوصول، ما يمكّن المراجعين من معرفة الحسابات التي تخص موظفين سابقين على الفور. وبالنسبة لممارسي TPRM، فإن السؤال عما إذا كان المورد يستخدم منصة IGA لمراجعات الوصول، بدلًا من العمليات اليدوية القائمة على جداول البيانات، يكشف الفرق بين مراجعة مدعومة بشكل منهجي ومراجعة تُدار يدويًا.
إدارة الوصول ذي الصلاحيات المميزة: CyberArk وBeyondTrust وDelinea
تتولى منصات PAM تحديدًا حوكمة مراجعات الوصول للحسابات ذات الصلاحيات المميزة، بما يوفر رقابة معززة على الحسابات ذات الوصول الأعلى خطورة. وبالنسبة لممارسي TPRM، فإن السؤال عما إذا كانت مراجعات الحسابات ذات الصلاحيات المميزة تُجرى عبر منصة PAM بمسارات عمل مراجعة منفصلة ومعززة يكشف ما إذا كان الوصول الأعلى خطورة يخضع لمراجعة صارمة بما يتناسب مع خطورته.
خدمات الدليل وSCIM: Azure AD وOkta وبروتوكولات SCIM
يوفر تكامل دليل الهوية مع المنح والإلغاء الآليين للصلاحيات خط الدفاع الأول لمنع الحسابات اليتيمة، إذ يعطل الحسابات تلقائيًا عندما تسجل أنظمة الموارد البشرية مغادرة الموظف. وعندما يعمل الإلغاء الآلي للصلاحيات على نحو صحيح، تكشف مراجعات الوصول عددًا أقل من الحسابات اليتيمة لأن معظمها يكون قد أُزيل بالفعل. وبالنسبة لممارسي TPRM، فإن السؤال عما إذا كان لدى المورد إلغاء آلي للصلاحيات متكامل مع أنظمة الموارد البشرية يكشف عن ضابط يخفف عبء المعالجة عن مراجعة الوصول.
تحديات الحوكمة
يتمثل تحدي الحوكمة في جودة مراجعة الوصول في مشكلة الحجم والانتباه. فالمؤسسة التي لديها ألف حساب مستخدم تُجري مراجعة وصول تطلب من كل مدير مراجعة مئات الحسابات. وتحت ضغط الوقت، يلجأ المراجعون إلى قاعدة أقل جهد: اعتماد المألوف، واعتماد غير المعروف على افتراض أنه لا بد أن يكون مشروعًا. فتُنتج عملية المراجعة وثيقة امتثال، بينما تعتمد القيمة الأمنية الفعلية على انتباه من المراجعين يجعله حجم المراجعة غير عملي.
بالنسبة لبرامج TPRM، يتمثل النهج العملي للحوكمة في سؤال الموردين عن مؤشرات جودة مراجعة الوصول لا عن وتيرتها فحسب، وتحديدًا عن نسبة الحسابات التي تُلغى أو تُعدل في كل دورة مراجعة. فمراجعة الوصول الربع سنوية التي لا تعدل أي حساب هي على الأرجح عملية مصادقة شكلية، أما المراجعة الربع سنوية التي تلغي باستمرار ما بين خمسة وخمسة عشر بالمئة من الحسابات فتُظهر نشاط تمحيص حقيقيًا. فمعدل الإلغاء هو مؤشر الجودة الذي لا يمكن أن توفره وتيرة المراجعة.
- اسأل عن معدلات الإلغاء في مراجعات الوصول: نسبة الحسابات التي أُلغيت أو عُدلت في كل دورة بوصفها مؤشرًا بديلًا على الجودة
- اسأل عن سياق الحسابات المقدم للمراجعين: الحالة الوظيفية وآخر تسجيل دخول والغرض من الحساب في بيانات المراجعة
- اسأل عن الإلغاء الآلي للصلاحيات: ما إذا كان التكامل مع نظام الموارد البشرية يمنع الحسابات اليتيمة قبل وصولها إلى المراجعة
- اشتراط أدلة على التحقق المستقل: التحقق من عينة من الحسابات المعتمدة بعد المراجعة
- اسأل عن نطاق المراجعة: جميع أنواع الوصول بما في ذلك منصات التحليلات والتعاون
إذا كنت فريقًا صغيرًا
اطرح على مورديك الأعلى خطورة سؤالًا واحدًا عن الجودة إلى جانب تأكيدهم المعتاد لمراجعة الوصول: في أحدث مراجعة وصول لديكم، ما نسبة الحسابات التي أُلغيت أو عُدلت نتيجةً للمراجعة؟ فالرقم القريب من الصفر يعني أن المراجعة تؤكد قائمة الوصول القائمة بدلًا من تمحيصها، أما معدل الإلغاء المعتبر، أي خمسة بالمئة أو أكثر، فيعني أن المراجعة تكشف وتزيل حسابات لا ينبغي أن تكون موجودة. وهذا الرقم وحده يخبرك عن جودة مراجعة الوصول أكثر مما ستخبرك به الإجابة عن الوتيرة في أي وقت.
- اطلب معدل الإلغاء في أحدث مراجعة وصول: مؤشر الجودة البديل الذي لا يمكن أن توفره الوتيرة
- اسأل عن سياق الحسابات المقدم للمراجعين أثناء المراجعة
- اسأل عما إذا كان الإلغاء الآلي للصلاحيات عبر نظام الموارد البشرية يمنع الحسابات اليتيمة قبل المراجعة
- اسأل عما إذا كان الوصول إلى منصات التحليلات وأدوات التعاون مشمولًا في نطاق المراجعة
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
"في أحدث مراجعة وصول لديكم، ما نسبة الحسابات التي أُلغيت أو عُدل وصولها نتيجةً للمراجعة، وهل تعكس هذه النسبة نشاط تمحيص حقيقيًا أم مجرد تأكيد لقائمة وصول قائمة؟"
"ما السياق المقدم للمراجعين بشأن كل حساب؟ وتحديدًا، هل يعرض قيد كل حساب الحالة الوظيفية الحالية وتاريخ آخر تسجيل دخول وتاريخ إنشاء الحساب والغرض منه؟"
"هل لديكم إلغاء آلي للصلاحيات متكامل مع نظام الموارد البشرية يزيل الوصول عند مغادرة الموظفين؟ وإن كان الأمر كذلك، فما نسبة عمليات إزالة الوصول التي تُعالج تلقائيًا مقارنةً بتلك التي تُعالج عبر دورة مراجعة الوصول؟"
ما تتوقعه دليلًا
- معدل الإلغاء في أحدث دورة لمراجعة الوصول
- صيغة بيانات مراجعة الوصول التي تبين سياق الحسابات المقدم للمراجعين
- تأكيد الإلغاء الآلي للصلاحيات ووصف التكامل مع نظام الموارد البشرية
- تأكيد نطاق المراجعة بما يشمل منصات التحليلات والتعاون
المورد الذي يجيب عن سؤال معدل الإلغاء بعبارة "مراجعات الوصول لدينا شاملة وربع سنوية" يكون قد وصف الوتيرة مرة أخرى. اطلب الرقم المحدد: ما نسبة الحسابات التي أُلغيت في المراجعة الأخيرة. فإذا كانت الإجابة صفرًا أو قريبة منه، فإن المراجعة تؤكد القائمة ولا تمحصها.
كيف تُثبت ذلك
تشترط مراجعات الوصول المتطلبات 7 و8 من PCI-DSS، ومعايير خدمات الثقة الخاصة بالوصول المنطقي في SOC 2، وضوابط A.9 في ISO 27001، ومواصفات التنفيذ الخاصة بإدارة الوصول في HIPAA. ويتطلب إثبات بذل العناية الواجبة أدلة على أن جودة المراجعة قد قُيّمت إلى جانب وتيرتها.
- سجلات تقييم الموردين التي توثق أسئلة جودة المراجعة: معدل الإلغاء، وسياق الحسابات، والنطاق
- أدلة على معدلات الإلغاء في مراجعات الوصول من الدورات الأخيرة
- تأكيد التكامل مع الإلغاء الآلي للصلاحيات
- تأكيد نطاق المراجعة بما يشمل الوصول إلى منصات التحليلات وأدوات التعاون
الخلاصة الرئيسية
مراجعة الوصول التي توافق على كل حساب تُنتج وثيقة امتثال دون نتيجة أمنية. فالمراجعة مكتملة، لكن الموظفين السابقين لا يزالون نشطين، والمتعاقدون الذين انتهت ارتباطاتهم منذ أشهر لا يزالون يملكون بيانات اعتماد، والحسابات التي تغيرت أغراضها قبل عامين لا تزال تحمل الوصول الذي مُنح لها لدور لم يعد موجودًا. تُقاس جودة مراجعة الوصول بما تكشفه وتزيله، لا بعدد مرات إجرائها. فالمراجعة الربع سنوية التي يبلغ معدل الإلغاء فيها صفرًا بالمئة هي مصادقة شكلية ربع سنوية، والمراجعة السنوية التي تزيل خمسة عشر بالمئة من الحسابات هي تقييم سنوي حقيقي. اطلب معدل الإلغاء، فهو الرقم الذي لا يمكن أن توفره وتيرة المراجعة.