الشركة ما فيها توثيق يوضح مين يقدر يسوي إيش، كل يوم يصير خلط — كيف تتسوى مصفوفة الصلاحيات؟

إذا ما سويت مصفوفة صلاحيات بيصير فوضى يا رجل... سوِ الجدول في Excel: على اليسار الأقسام، فوق المصادر، في المنتصف اكتب CRUD. المدير العام عنده وصول كامل، المبيعات على عملاءهم، المحاسبة على الموارد المالية... لما تقول وصول بموافقة، يعني لازم موافقة من المدير...

RBAC مقابل ABAC: RBAC (حسب الدور) = حدد الدور، عيّن الصلاحيات، ABAC (حسب السمات) = حسب الشروط (القسم، الموقع، الوقت، حساسية البيانات). الأدوات: Azure AD (تعيين الأدوار)، AWS IAM (سياسات)، Okta (أدوار حسب التطبيق). قالب المصفوفة: الدور x المصدر x الإجراء. التدقيق: تقارير Active Directory، سجلات تدقيق Cloud IAM. التفويض: المدير يوافق على طلب الوصول، الـ IT ينفذه، إلغاء تلقائي بعد تاريخ محدد. فصل المهام: تحقق من التعارض في الصلاحيات (شخص المالية ما يقدر يوافق على الدفع).

مصفوفة الصلاحيات بسيطة، ابدأ من Excel. على كل حال العمود الأول الأقسام، العمود اللي بعده الصلاحيات. المدير العام = كل شي، المبيعات = قراءة فقط لبيانات العملاء، المحاسبة = تقاريرهم، الـ IT = الكل وبعدين عرّف الأدوار في النظام (Active Directory)، وخلص الموضوع. لازم تسوي مراجعة سنوية، وإذا صار نقل وظيفي حدث البيانات...

استراتيجية التحكم بالوصول: 1) حدد الأدوار (CEO، مدير، موظف، مورد)، 2) حدد المصادر (قاعدة البيانات، مشاركة الملفات، التطبيقات، السحابة)، 3) اربط الدور ← المصدر ← الإجراء (CRUD)، 4) قواعد مشروطة (الوقت، البيانات، الموافقة)، 5) فصل المهام (الأدوار المتعارضة)، 6) التدقيق والمراجعة (ربع سنوي)، 7) الأتمتة (منصة IAM). الامتثال: GDPR/KVKK ← تدقيق الوصول للبيانات، PCI-DSS ← تقييد الوصول لبيانات البطاقات. أقل صلاحية (Least Privilege): ابدأ بصلاحيات دنيا، الطلب حسب الحاجة. التوثيق: تعريف الأدوار، سجل التحديثات، اعتماد سنوي.

مصفوفة الصلاحيات = من يقدر يعمل إيه 😂 المدير التنفيذي يقدر يعمل كل حاجة، المقاول المؤقت أقل حاجة، والمتدرب مفيش حاجة خالص ثم على كل حال إكسل، مرتبط بالشركة، أحياناً بتعيط...

موضوع في الوقت المناسب تمامًا.

صحيح.

إذا لم أخطئ الفهم، فأنت تقول: بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

عند اتخاذ القرار، اكتب أسوأ سيناريو أيضًا، وليس الأفضل فقط. يعني لو كنت مكانك، لسلك هذا المسار.

دعني أوضح الجانب التقني قليلاً. عندما نتخذ قرارات دون قياس، نعود لنفس النقطة دائماً.

صححوا لي إن أخطأت.

لم أكن أعلم بهذا.

أنا أيضًا أوافق على هذا الرأي. عندما نتخذ قرارات دون قياس، نعود لنفس النقطة دائماً.

أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار. إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

أكتب هذا حتى لا تكرروا نفس الخطأ. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

هذا كل شيء، أرجو المعذرة إذا أطالت.

أنا أيضًا متحمس لمعرفة ذلك.

أتفق، بل أود التأكيد على هذه النقطة. القرار المتسرع يصبح قراراً يُصحح بعد ستة أشهر.

أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار. صححوا لي إن أخطأت.

دعني أترك تنبيهًا. على كل حال نسخة احتياطية غير مختبرة ليست نسخة احتياطية.

أوافقك الرأي تمامًا. الخطأ المرتكب من جانب إنشاء مصفوفة الصلاحيات قابل للإصلاح عادةً، لكنه مكلف.

إذا لم أخطئ الفهم، فأنت تقول: كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

مثبت بالتجربة.

شكرًا جزيلاً، سأجربها اليوم.