إدارة الهوية والوصول: من يحق له الوصول إلى ماذا ومتى؟

تُجيب إدارة الهوية والوصول – أو IAM باختصار – على سؤال يزداد تعقيدًا بسرعة في الشركات النامية: من يحق له استخدام أي أنظمة وبيانات وموارد، وتحت أي شروط؟ إن الإجابة الواضحة على هذا السؤال ليست مجرد تمرين أكاديمي، بل هي أمر حاسم من الناحيتين التشغيلية والتنظيمية. وتعد حقوق الوصول غير المنظمة أحد الأسباب الأكثر شيوعًا لحدوث خروقات البيانات – وهي في الوقت نفسه من أسهل الأسباب التي يمكن معالجتها. توفر إدارة الهوية والوصول الإطار الهيكلي اللازم لمنح الصلاحيات ومراقبتها وسحبها بشكل منهجي.

ما المقصود بإدارة الهوية والوصول؟

يشير مصطلح «إدارة الهوية والوصول» إلى مجمل العمليات والتقنيات والإرشادات التي تستخدمها الشركة لإدارة الهويات الرقمية والتحكم في الوصول إلى مواردها. ويشمل ذلك:

• إدارة الهوية (Identity Management): إنشاء حسابات المستخدمين وصيانتها وإلغاء تفعيلها على مدار دورة العمل بأكملها
• إدارة الوصول (Access Management): التحكم في الهوية التي يُسمح لها بالوصول إلى المورد المعين، وتحت أي شروط
• المصادقة: إثبات الهوية قبل الوصول (كلمة المرور، المصادقة متعددة العوامل، الشهادة)
• التفويض: التحقق مما إذا كانت الهوية التي تم إثباتها تتمتع بالحقوق المطلوبة
• التدقيق: تسجيل أنشطة الوصول والتحقق منها

يربط نظام إدارة الهوية والوصول (IAM) الكامل بين هذه العناصر في دورة حياة متماسكة – بدءًا من إنشاء حساب جديد عند بدء العمل وحتى التعطيل الكامل عند انتهاء الخدمة.

أدوار IAM: الأساس لإدارة الوصول المنظمة

يتمثل المبدأ التصميمي الأساسي لأنظمة إدارة الهوية والوصول (IAM) الحديثة في نموذج الوصول القائم على الأدوار – التحكم في الوصول القائم على الأدوار (RBAC). فبدلاً من منح الصلاحيات لكل مستخدم على حدة، تُربط الصلاحيات بالأدوار، التي تُخصص بدورها للأفراد.

مزايا النموذج القائم على الأدوار

• قابلية التوسع: يحصل الموظفون الجدد تلقائيًا على حقوق الوصول المناسبة من خلال تعيين الدور المناسب لهم
• الاتساق: تُعامل الأنشطة المتشابهة بنفس الطريقة – لا توجد قواعد استثنائية فردية تعقّد عمليات المراجعة
• ضمان قابلية المراجعة: يمكن توثيق الصلاحيات وتدقيقها بشكل كامل حسب كل دور
• الكفاءة في إجراء التغييرات: إذا تغير نطاق مهام إحدى الأدوار، يتم تحديث جميع المستخدمين المرتبطين بها تلقائيًا

مبدأ منح الحد الأدنى من الصلاحيات (Least Privilege)

يستند مفهوم حقوق الأدوار في إدارة الهوية والوصول (IAM) المصمم جيدًا إلى مبدأ منح الحد الأدنى من الصلاحيات: تحصل كل هوية على الصلاحيات التي تحتاجها بالضبط لأداء مهامها – لا أكثر. وهذا يعني عمليًّا ما يلي:

• لا يتم منح الصلاحيات الإدارية بشكل تلقائي
• امتيازات محدودة المدة للمهام التي تُنفذ مرة واحدة أو نادرًا (إدارة الوصول المتميز، PAM)
• المراجعة الدورية للصلاحيات الحالية (مراجعات الوصول)

شركات إدارة الهوية: التحديات النموذجية

التوسع الجامح في حقوق الوصول

في العديد من الشركات، يتزايد عدد الصلاحيات بشكل طبيعي: فالموظفون ينتقلون بين الأقسام، ويحصلون على صلاحيات وصول جديدة، لكنهم يحتفظون بالصلاحيات القديمة. وبمرور الوقت، تنشأ شبكة معقدة من صلاحيات الوصول التي لا يمكن توثيقها أو التحقق منها. وهذا يوفر للمهاجمين مجالاً واسعاً للهجوم.

عدم وجود إجراءات إنهاء الخدمة

عندما يترك الموظف الشركة، يجب حظر جميع حسابات الدخول الخاصة به على الفور. وفي حالة عدم وجود إجراءات آلية، غالبًا ما تظل الحسابات نشطة. وهذه ثغرة أمنية غالبًا ما يتم الاستهانة بها. ففي كثير من الأحيان، على سبيل المثال، يظل الموظفون السابقون يتمتعون بحسابات دخول نشطة حتى بعد مرور أشهر على مغادرتهم الشركة.

تكنولوجيا المعلومات غير المعتمدة والهويات الخارجية

إلى جانب الموظفين الداخليين، غالبًا ما يقوم مقدمو الخدمات الخارجيون والشركاء والأنظمة (هويات الأجهزة وحسابات الخدمة) بالوصول إلى موارد الشركة. وبالتالي، فإن نظام إدارة الهوية والوصول (IAM) الذي يقتصر على تسجيل المستخدمين الداخليين فقط لا يغطي جزءًا متزايدًا من عمليات الوصول الفعلية.

بيئة أنظمة غير متجانسة

تتألف البنى التحتية لتكنولوجيا المعلومات المتطورة من خدمات سحابية وأنظمة محلية وتطبيقات متخصصة، تستخدم آليات مصادقة مختلفة. ويجب أن تتيح إدارة الهوية والوصول (IAM) تحكمًا موحدًا عبر هذه التنوعات.

إدارة الوصول في مجال تكنولوجيا المعلومات: مكونات بنية IAM الحديثة

مزود الهوية (IdP)

مزود الهوية (IdP) هو الدليل المركزي الذي تُدار فيه الهويات. الأنظمة الشائعة الاستخدام: Microsoft Entra ID (المعروف سابقًا باسم Azure AD)، Okta، JumpCloud. ويُعد مزود الهوية (IdP) المصدر الوحيد الموثوق به لجميع الهويات في المؤسسة.

تسجيل الدخول الموحد (SSO)

يتيح نظام SSO للمستخدمين إجراء عملية مصادقة واحدة والوصول إلى جميع الخدمات المرتبطة دون الحاجة إلى تسجيل الدخول مرة أخرى. وهذا يحسّن تجربة المستخدم، ويعزز الأمان (تقليل عدد كلمات المرور المتداولة)، ويسهل التحكم المركزي في الوصول.

إدارة الوصول المتميز (PAM)

تُعد الحسابات الإدارية والحسابات ذات الصلاحيات الخاصة حساسة بشكل خاص. تتيح أنظمة PAM ما يلي:

• إدارة بيانات الوصول ذات الامتيازات وتناوبها
• تسجيل الجلسات لأغراض إدارية
• الوصول في الوقت المناسب: لا تُمنح الصلاحيات المميزة إلا للفترة التي تكون فيها مطلوبة فعليًّا

خدمات الدليل وتجهيز الحسابات

يضمن التجهيز التلقائي إنشاء حسابات المستخدمين وصلاحياتهم وتعديلها وإلغاء تفعيلها تلقائيًا. ويتم تشغيل هذه العملية من خلال إجراءات الموارد البشرية (التعيين، تغيير الدور الوظيفي، إنهاء الخدمة). وهذا يقلل من الأخطاء اليدوية ويسرع عمليات تأهيل الموظفين الجدد بشكل كبير.

«الثقة الصفرية» كمبدأ عام

يعمل نظام إدارة الهوية والوصول (IAM) الحديث في سياق إطار عمل «الصفر ثقة»: لا يُعتبر أي مستخدم أو جهاز جديرًا بالثقة تلقائيًّا، حتى لو كان موجودًا داخل الشبكة الداخلية. ويتم فحص كل عملية وصول بناءً على السياق، وذلك استنادًا إلى الهوية وحالة الجهاز والموقع ومعايير السلوك.

تنفيذ نظام إدارة الهوية والوصول (IAM): نهج تدريجي

المرحلة الأولى: التحليل وتقييم الوضع الحالي

• إجراء جرد لجميع الأنظمة والخدمات والتطبيقات
• تحديد حسابات المستخدمين الحالية، بما في ذلك الحسابات غير النشطة والحسابات ذات الصلاحيات الخاصة
• توثيق هياكل الصلاحيات الحالية
• تحديد الثغرات ومجالات المخاطر

المرحلة الثانية: تطوير نموذج دوري

• تحديد الأدوار بناءً على ملامح المهام الفعلية
• تخصيص الصلاحيات للأدوار وفقًا لمبدأ «أقل امتياز ممكن»
• التنسيق مع الإدارات المتخصصة وقسم الامتثال

المرحلة 3: اختيار التكنولوجيا وتنفيذها

• اختيار مزود الهوية المناسب لبيئة النظام
• دمج SSO وMFA
• أتمتة عمليات التهيئة وإلغاء التهيئة

المرحلة الرابعة: إرساء الحوكمة

• إجراء مراجعات دورية لنظام «Access» (مرة كل ستة أشهر على الأقل)
• تحديد المسؤوليات المتعلقة بالأدوار والصلاحيات
• إنشاء سجل تدقيق لجميع التغييرات المتعلقة بالوصول

IAM والمتطلبات التنظيمية

تعد إدارة الهوية والوصول عنصراً أساسياً في العديد من المتطلبات التنظيمية:

• NIS2: يتطلب ضوابط وصول منظمة وإثباتات تتعلق بإدارة الحسابات ذات الامتيازات
• ISO 27001: تتطلب إجراءات رسمية لإدارة وصول المستخدمين (الفصلان A.8 و A.9)
• اللائحة العامة لحماية البيانات (GDPR): تتطلب القدرة على توثيق الوصول إلى البيانات الشخصية وتقييده بطريقة يمكن تتبعها
• SOC 2: تتطلب ضوابط بشأن منح حقوق الوصول وسحبها وإجراء مراجعات دورية

بالنسبة للشركات التي يتعين عليها إطلاع العملاء أو الشركاء على إجراءات الامتثال التي تتبعها، يُعد نظام إدارة الهوية والوصول (IAM) الموثق دليلاً ملموساً على تطبيق إجراءات أمن تكنولوجيا المعلومات بشكل فعلي.

الأسئلة الشائعة

ما الفرق بين IAM وPAM؟

يشير مصطلح IAM إلى الإدارة الشاملة لجميع الهويات الرقمية وحقوق الوصول الخاصة بها داخل المؤسسة. أما PAM (إدارة الوصول المتميز) فهي مجال فرعي من IAM يركز بشكل خاص على الحسابات الإدارية والمتميزة التي تنطوي على مخاطر مرتفعة. وبالتالي، فإن PAM يمثل تخصصًا أكثر تعمقًا ضمن إطار عمل IAM.

كم من الوقت يستغرق تنفيذ نظام إدارة الهوية والوصول (IAM)؟

يعتمد ذلك على مدى تعقيد بيئة الأنظمة والحالة الأولية. عادةً ما يمكن تحقيق التنفيذ الأولي ذي الأولوية، الذي يشمل مزود الهوية والدخول الأحادي (SSO) والتوثيق متعدد العوامل (MFA)، في الشركات المتوسطة الحجم في غضون ثلاثة إلى ستة أشهر. أما التكامل الكامل لجميع الأنظمة وإرساء عمليات الحوكمة، فهو مشروع طويل الأمد يستغرق من اثني عشر إلى ثمانية عشر شهراً.

كيف يتم أخذ مقدمي الخدمات الخارجيين في الاعتبار في نظام إدارة الهوية والوصول (IAM)؟

ينبغي إدراج الهويات الخارجية – مثل الشركاء والموردين والمستشارين – في دليل منفصل (إدارة الهويات الخارجية)، يحدد فترات صلاحية واضحة، وحقوقًا دنيا، ودورات تدقيق خاصة بها. يدعم العديد من مزودي الهويات عمليات الاتحاد بين الشركات (B2B)، والتي يمكن من خلالها دمج الهويات الخارجية بشكل خاضع للرقابة، دون إثقال كاهل الدلائل الداخلية.

وضع استراتيجية إدارة الهوية والوصول (IAM) – تعمل شركة Axsos معكم على تطوير مفهوم مستدام للأدوار والصلاحيات لنظام تكنولوجيا المعلومات الخاص بكم.

تم إنشاء هذا المحتوى بمساعدة الذكاء الاصطناعي، لكنه خضع لمراجعة تحريرية وتنقيح قبل نشره.