مراجعات صلاحيات الوصول: كيف تُجرى

الخطوات

• اختيار الأنظمة: البدء بتلك التي تحفظ بيانات حساسة، وبصلاحيات الإدارة.
• تصدير الحسابات والصلاحيات الحالية من النظام نفسه.
• إرسال القائمة المطلوب مراجعتها إلى كل مدير أو مالك نظام.
• جعله يُبقي كل بند أو يعدّله أو يزيله.
• تنفيذ الإزالات، والتحقق من أنها تمت.
• الاحتفاظ بالأدلة: القائمة والقرارات والتغييرات.

كم مرة

يتبع التواتر الخطر: فالمراجعة الفصلية شائعة للصلاحيات ذات الامتيازات والأنظمة الحيوية، وكل ستة إلى اثني عشر شهراً لغيرها. وأياً كان قرارك، اكتبه في سياستك والتزم به.

ما يفوت المراجعين

• المغادرون والمنقولون الذين لم تُزل صلاحياتهم قط.
• حسابات الخدمة التي بلا مالك.
• الصلاحيات الممنوحة مباشرة خارج نموذج الأدوار.
• المراجعون الذين يوافقون على كل شيء: خذ عينات من قراراتهم.

ما تقوله القواعد

يغطي الضابط 5.18 من الملحق A في ISO/IEC 27001:2022 حقوق الوصول بما في ذلك مراجعتها. ويشترط المتطلب 7 من PCI DSS وقاعدة الأمن في HIPAA أيضاً إدارة الوصول ومراجعته.

أسئلة

من ينبغي أن يراجع الصلاحيات؟

شخص يعرف الحاجة: مدير الشخص أو مالك النظام، لا من يدير النظام وحده.

ما الأدلة التي يريدها المدققون؟

قائمة كاملة مستخرجة من النظام، وقرارات المراجع المؤرخة، ودليل على تنفيذ الإزالات.