الموارد البشرية مرجعاً وحيداً
تنتقل عمليات التعيين والنقل وإنهاء الخدمة من نظام الموارد البشرية إلى منصة IAM لحظياً تقريباً، ويصبح الرقم الوظيفي المفتاح الذي يربط جميع حسابات الموظف.
تطبيق IAM وPAM
صلاحيات وصول منضبطة، من التعيين حتى المغادرة
تصمّم ليمـاز ضوابط إدارة الهويات والصلاحيات (IAM) وإدارة الوصول المميّز (PAM) وتطبّقها وفق مسارات العمل الفعلية: التعيين والانتقال والمغادرة، ووصول مديري الأنظمة والموردين، ومراجعات الوصول.
أين تتعثّر ضوابط الهوية؟
لا يكفي شراء منصة IAM أو PAM لتحديد مَن يعتمد الوصول، ولا كيفية تصميم الأدوار، ولا طريقة التعامل مع الاستثناءات، ولا آلية سحب الصلاحيات عند تغيّر الأشخاص أو مسؤولياتهم.
تربط ليمـاز مصادر الهوية وتطبيقات الأعمال والحسابات المميّزة ومسارات العمل والأدلة، ليصبح كل قرار وصول واضحاً: يُتخذ ويُنفَّذ ويُراجَع ويُفسَّر.
نطاق التطبيق
- دورة حياة الهوية
- إجراءات التعيين والانتقال والمغادرة، والمتعاقدين، وحسابات الخدمة، مع ملكية واضحة لكل نظام.
- نموذج الوصول
- الأدوار، والصلاحيات، وقواعد فصل المهام، والوصول الأساسي المرتبط بالوظيفة، ومسارات الاستثناء.
- الطلبات والموافقات
- طلبات وصول واضحة لفرق الأعمال، وموافقات من أصحاب المسؤولية، ثم التنفيذ وانتهاء الصلاحية والسحب.
- مراجعات الوصول
- تصميم حملات المراجعة، وسياق واضح للمراجِع، والتصعيد، والمعالجة، وتوثيق الإنجاز بصورة قابلة للتدقيق.
- الوصول المميّز
- اكتشاف الحسابات المميّزة، وحفظها في الخزائن، وتدوير بيانات الاعتماد، وضبط الجلسات وتسجيلها، ووصول الطوارئ، ووصول الموردين.
- التكامل
- أنظمة الموارد البشرية، وخدمات الدليل، والمنصات السحابية، وتطبيقات الأعمال، وأنظمة التذاكر، وSIEM، ومنتجات IAM وPAM المعتمدة.
- التسليم التشغيلي
- إجراءات التشغيل، وتوزيع المسؤوليات، وحدود الدعم، والأدلة، ومؤشرات قياس التشغيل المستمر.
الفرق بين IAM وPAM
إدارة الهويات والصلاحيات (IAM) هي المنظومة التي تحكم كل هوية في جهتك: الموظفين والمتعاقدين والموردين وحسابات الخدمة. وتجيب عن ثلاثة أسئلة: مَن صاحب هذه الهوية؟ وإلى أي الأنظمة والبيانات يصل؟ ومَن اعتمد هذا الوصول؟
أما إدارة الوصول المميّز (PAM) فتختص بالحسابات ذات الصلاحيات الإدارية: مديرو النطاق وقواعد البيانات، وحسابات root على الخوادم، ومديرو الجدران النارية ومنصات الحوسبة السحابية، وحسابات الخدمة التي تعمل خلف الأنظمة المصرفية الأساسية وأنظمة التمويل والمدفوعات. هذه الحسابات قادرة على تعديل البيانات وإيقاف السجلات وإنشاء حسابات جديدة، ولذلك تحتاج إلى ضوابط أشد: خزنة لبيانات الاعتماد، وجلسات معتمدة محددة المدة، وتسجيل كامل للنشاط.
وتفصل الجهات التنظيمية بين المجالين. فالضوابط الأساسية للأمن السيبراني (ECC-2:2024) الصادرة عن الهيئة الوطنية للأمن السيبراني تنص على إدارة الوصول المميّز متطلباً مستقلاً في الضابط 2-2-3، إلى جانب المصادقة متعددة العوامل والحد الأدنى من الصلاحيات والمراجعة الدورية. ويفرد الإطار التنظيمي للأمن السيبراني من البنك المركزي السعودي (SAMA CSF) بنداً خاصاً لإدارة الوصول المميّز والوصول عن بُعد في القسم 3.3.5 الخاص بإدارة الهويات والوصول.
وجهتك تحتاج إلى الاثنين معاً: IAM يحفظ سلامة نموذج الوصول اليومي، وPAM يحمي العدد المحدود من الحسابات القادرة على إحداث أكبر ضرر في جلسة واحدة.
دورة حياة الوصول: التعيين والانتقال والمغادرة
تعود أغلب ملاحظات التدقيق على الصلاحيات إلى خلل في مرحلة واحدة من دورة الحياة. لذلك نبني كل مرحلة مساراً آلياً ينطلق من نظام الموارد البشرية، انسجاماً مع إطار ساما الذي يشترط أن تبدأ تغييرات الوضع الوظيفي من إدارة الموارد البشرية.
التعيين
يبدأ المسار بتسجيل الموظف في نظام الموارد البشرية، فتُنشئ منصة IAM حسابه في الدليل وتمنحه الوصول الأساسي لدوره: البريد والبوابة الداخلية والتطبيقات التي يحتاجها هذا الدور دائماً. وكل وصول إضافي يمر عبر طلب له معتمِد محدد بالاسم.
الطلب والاعتماد
يطلب المستخدم الصلاحيات الإضافية من كتالوج مكتوب بلغة الأعمال. يصل الطلب إلى مالك التطبيق أو البيانات، ويُوثَّق اعتماده، ثم تُمنح الصلاحيات المعتمدة وحدها، مع تاريخ انتهاء لأي وصول مؤقت. وهذا ما يطلبه المتطلب 8.2.4 في معيار PCI DSS: تغيير معتمد، وتنفيذ مقصور على ما ورد في الاعتماد.
الانتقال
عند النقل أو الترقية في نظام الموارد البشرية تُعاد مطابقة الصلاحيات مع الدور الجديد: يُضاف ما يحتاجه، ويُسحب ما ارتبط بالدور السابق أو يُحال إلى المدير الجديد لتأكيده خلال مهلة محددة. بهذه الخطوة يتوقف تراكم الصلاحيات، وهو أكثر ما تكشفه مراجعات الوصول.
المغادرة
إنهاء الخدمة في نظام الموارد البشرية يعطّل حساب الدليل، ويُنهي جلسات الدخول الموحّد، ويسحب صلاحيات التطبيقات، ويغيّر كلمات المرور المشتركة التي عرفها الموظف. ويشترط الضابط 1-9-5 من الضوابط الأساسية سحب الصلاحيات فور انتهاء العلاقة الوظيفية، كما يشترط المتطلب 8.2.5 في PCI DSS الإلغاء الفوري لوصول المغادرين.
المتعاقدون والحسابات الخاملة وحسابات الخدمة
تحمل حسابات المتعاقدين والموردين تاريخ انتهاء منذ يومها الأول. ويُعطَّل كل حساب مضى على آخر استخدام له 90 يوماً، وهو الحد الأقصى في المتطلب 8.2.6 من PCI DSS. ولكل حساب خدمة مالك محدد، ويخضع للمراجعة كما تخضع لها حسابات الأشخاص.
ضوابط الوصول المميّز التي يفحصها المنظّمون
- حصر الحسابات المميّزة
- قائمة كاملة بحسابات الإدارة وroot وقواعد البيانات والشبكات والسحابة والمستخدمين ذوي الصلاحيات العليا في التطبيقات، ولكل حساب مالك. من هذه القائمة يبدأ الفاحص، ثم يختبر مطابقتها لما هو موجود فعلاً على الأنظمة.
- المساءلة الفردية
- كل إجراء مميّز يُنسب إلى شخص بعينه. يطلب إطار ساما في القسم 3.3.5 مساءلة فردية عن استخدام الصلاحيات المميّزة، ولا يجيز المتطلب 8.2.2 في PCI DSS الحسابات المشتركة أو العامة إلا استثناءً، باعتماد من الإدارة، مع نسبة كل إجراء إلى مستخدم محدد.
- الخزنة وتدوير كلمات المرور
- تُحفظ كلمات مرور الحسابات الإدارية المشتركة والمدمجة في خزنة، وتُسحب لجلسة واحدة في كل مرة. ويطلب إطار ساما تغيير كلمات مرور الحسابات المميّزة غير الشخصية بصورة متكررة وفي نهاية كل جلسة، ويمنع المتطلب 8.6.2 في PCI DSS كتابة كلمات مرور حسابات الأنظمة والتطبيقات داخل السكربتات وملفات الإعداد والشفرة المصدرية.
- المصادقة متعددة العوامل للوصول المميّز وعن بُعد
- يشترط الضابط 2-2-3 من الضوابط الأساسية المصادقة متعددة العوامل (MFA) للحسابات المميّزة وللوصول عن بُعد، ويشترطها المتطلب 8.4.1 في PCI DSS لكل وصول إداري إلى بيئة بيانات حاملي البطاقات (CDE) من خارج وحدة التحكم المحلية.
- الحد الأدنى من الصلاحيات وفصل المهام
- يملك كل مدير نظام صلاحيات منصته وحدها، مع رفع مؤقت للصلاحيات عند الحاجة للمهام عالية الخطورة. وينص الضابط 2-2-3 على مبادئ الحاجة إلى المعرفة، والحاجة إلى الاستخدام، والحد الأدنى من الصلاحيات، وفصل المهام أساساً لمنح الصلاحيات.
- تسجيل الجلسات والسجلات
- تُسجَّل الجلسات المميّزة، وتصل أحداثها إلى منصة إدارة المعلومات والأحداث الأمنية (SIEM). ويشترط الضابط 2-12-3 تفعيل سجلات الأحداث للحسابات الحساسة والمميّزة وللوصول عن بُعد، والاحتفاظ بها 12 شهراً على الأقل.
- حسابات الطوارئ
- حسابات الطوارئ محفوظة في الخزنة، ولا تُستخدم إلا وفق إجراء موثّق، ويطلق كل استخدام لها تنبيهاً فورياً، وتتغير كلمة مرورها بعد كل استخدام.
مراجعات وصول تُنفَّذ فعلاً
تطلب جميع الأطر مراجعة دورية للصلاحيات، والمتطلب 7.2.4 في PCI DSS هو الأوضح: مراجعة جميع حسابات المستخدمين وصلاحياتها، ومنها حسابات الأطراف الخارجية والموردين، مرة كل ستة أشهر على الأقل، ومعالجة كل وصول غير مناسب، مع إقرار الإدارة بأن ما بقي من وصول مناسب. ويضيف المتطلب 7.2.5.1 مراجعة دورية لحسابات التطبيقات والأنظمة بوتيرة يحددها تحليل مخاطر موجّه.
وتتعثر المراجعات لأسباب معروفة: يتسلّم المدير جدولاً بأسماء صلاحيات تقنية غامضة، فيعتمدها كلها، ولا يتحقق أحد من تنفيذ السحب. فتكتمل الحملة على الورق، ويبقى الوصول كما هو، ويكشف المدقق ذلك بسهولة.
نصمّم مراجعات يستطيع المراجِع اتخاذ قرار فيها. لكل صلاحية وصف واضح وتصنيف للمخاطر، ويرى المراجِع ما تغيّر منذ الدورة السابقة إضافةً إلى كل وصول عالي الخطورة. ويفتح كل قرار سحب تذكرة تلقائياً، ولا تُغلق الحملة قبل أن تؤكد الأنظمة المستهدفة تنفيذ الإزالة. وتضم حزمة الأدلة الحسابات المشمولة، وكل قرار، وكل عملية سحب، وإقرار الإدارة.
وراجِع الحسابات المميّزة وحسابات الموردين والوصول إلى بيانات العملاء أو البطاقات بوتيرة أعلى من وصول المستخدمين العاديين.
المصادقة متعددة العوامل والدخول الموحّد
- الهيئة الوطنية للأمن السيبراني
- المصادقة متعددة العوامل للوصول عن بُعد وللحسابات المميّزة، مع تحديد العوامل وعددها بناءً على تقييم أثر فشل المصادقة أو تجاوزها (الضابط 2-2-3). وتشترطها الضوابط كذلك للوصول إلى البريد الإلكتروني عن بُعد وعبر الويب (الضابط 2-4-3).
- البنك المركزي السعودي (ساما)
- المصادقة متعددة العوامل للأنظمة والحسابات الحساسة والحرجة، ولكل وصول عن بُعد (القسم 3.3.5).
- معيار PCI DSS v4.0.1
- لكل وصول إداري إلى بيئة بيانات حاملي البطاقات من خارج وحدة التحكم المحلية (8.4.1)، ولكل وصول إلى هذه البيئة (8.4.2، وهو إلزامي منذ 31 مارس 2025)، ولكل وصول شبكي عن بُعد من خارج شبكة الجهة يمكنه الوصول إليها أو التأثير فيها، ومنه وصول الموردين (8.4.3).
- مواصفات المصادقة الجيدة
- يضع المتطلب 8.5.1 في PCI DSS المعيار: مقاومة هجمات إعادة الإرسال، ومنع التجاوز إلا باستثناء موثّق ومؤقت تعتمده الإدارة، وعاملان من نوعين مختلفين على الأقل، ونجاح جميع العوامل قبل منح الوصول.
- الدخول الموحّد (SSO)
- يضع الدخول الموحّد عبر SAML 2.0 أو OpenID Connect جميع التطبيقات خلف مزوّد هوية واحد، فتُطبَّق المصادقة متعددة العوامل وقواعد الوصول المشروط من مكان واحد، ويغلق تعطيل حساب الدليل الوصول إلى كل التطبيقات المرتبطة دفعة واحدة.
- التطبيقات القديمة
- الأنظمة التي لا تدعم SAML أو OpenID Connect نضعها خلف بوابة PAM أو وسيط وصول، فتكتسب المصادقة متعددة العوامل وتسجيل الجلسات.
التكامل مع الموارد البشرية وAD/Entra والأنظمة الأساسية
قوة منظومة IAM من قوة تكاملاتها. هذه التكاملات التي نبنيها ونختبرها:
Active Directory وMicrosoft Entra ID
نزوّد Active Directory المحلي (AD) وMicrosoft Entra ID بالحسابات من منصة IAM، وننظّم هيكل المجموعات ونربطه بالأدوار، ونضبط المزامنة الهجينة ليُعطَّل حساب المغادر في البيئتين معاً.
الأنظمة المصرفية الأساسية وأنظمة التمويل والمدفوعات
تحتفظ أنظمة أساسية كثيرة بجداول مستخدمين خاصة بها. نربطها عبر بروتوكول SCIM أو واجهات البرمجة (API) أو موصلات قواعد البيانات، وحين يغيب ذلك كله نعتمد تذكرة مضبوطة مع دليل على التنفيذ.
السحابة وتطبيقات SaaS
ترتبط منصات السحابة وتطبيقات البرمجيات كخدمة (SaaS) عبر الدخول الموحّد وSCIM، فتبقى الأدوار وعمليات السحب متزامنة.
أنظمة التذاكر وSIEM
تجري الطلبات والاعتمادات في أداة إدارة خدمات تقنية المعلومات، وتذهب أحداث المصادقة والتزويد والجلسات المميّزة إلى منصة SIEM للمراقبة والتحقيق.
فجوات شائعة نكتشفها
- موظفون غادروا وتعطّلت حساباتهم في Active Directory، بينما بقيت فعّالة في الأنظمة المصرفية أو أنظمة المدفوعات أو تطبيقات SaaS ذات الحسابات المحلية.
- حسابات مميّزة على الخوادم وقواعد البيانات خارج خزنة PAM.
- حسابات خدمة تسمح بالدخول التفاعلي، بلا مالك، وبكلمات مرور لم تتغير منذ إنشائها.
- بيانات اعتماد مكتوبة داخل السكربتات ومسارات النشر وملفات الإعداد.
- مصادقة متعددة العوامل على الشبكة الافتراضية الخاصة (VPN)، وغيابها عن منصات السحابة وبوابات الإدارة ووصول الموردين عن بُعد.
- مراجعات وصول معتمدة دون أي دليل على تنفيذ السحب.
- أدوار تتضخم بنسخ صلاحيات زميل آخر بدلاً من نموذج أدوار محدد.
- حسابات طوارئ بلا تنبيهات، وكلمات مرورها معروفة لأكثر من مدير نظام.
خدمات أمنية ذات صلة
تنفيذ الضوابط الأمنية
الخدمة الأشمل لتطبيق الضوابط الأمنية على مستوى المنشأة.
تطبيق DevSecOps
ضوابط الهوية والأسرار والتسليم داخل مسارات تطوير البرمجيات.
إدارة مخاطر الأمن السيبراني
تحديد أولويات مخاطر الوصول وقرارات معالجتها.
تطبيق ضوابط NCA ECC وCCC
ربط أعمال التحكم في الوصول بضوابط الهيئة الوطنية للأمن السيبراني المنطبقة.
أسئلة شائعة
تضبط إدارة الهويات والصلاحيات (IAM) كل هوية في الجهة وما تصل إليه: الموظفين والمتعاقدين والموردين وحسابات الخدمة. أما إدارة الوصول المميّز (PAM) فهي الجزء الذي يحمي حسابات الإدارة وroot وقواعد البيانات وغيرها من الحسابات عالية الصلاحية، بخزنة لبيانات الاعتماد، وتدوير لكلمات المرور، وجلسات معتمدة محددة المدة، وتسجيل للجلسات. وتنص الضوابط الأساسية للأمن السيبراني وإطار ساما على الوصول المميّز متطلباً مستقلاً، ولذلك تحتاج الجهات المنظَّمة في المملكة إلى الاثنين.
يشترط المكوّن الفرعي 2-2 من الضوابط الأساسية للأمن السيبراني (ECC-2:2024) توثيق متطلبات إدارة الهويات والصلاحيات واعتمادها وتطبيقها. ويحدد الضابط 2-2-3 الحد الأدنى: التحقق باسم المستخدم وكلمة المرور، والمصادقة متعددة العوامل للوصول عن بُعد وللحسابات المميّزة، ومنح الصلاحيات وفق مبادئ الحاجة إلى المعرفة والحاجة إلى الاستخدام والحد الأدنى من الصلاحيات وفصل المهام، وإدارة الوصول المميّز، والمراجعة الدورية للهويات وصلاحيات الوصول. ويشترط الضابط 2-2-4 مراجعة التطبيق دورياً.
نعم. يشترط القسم 3.3.5 من الإطار التنظيمي للأمن السيبراني الصادر عن البنك المركزي السعودي المصادقة متعددة العوامل للأنظمة والحسابات الحساسة والحرجة، ولكل وصول عن بُعد. ويشترط القسم نفسه أن تنطلق إجراءات التعيين والانتقال والمغادرة من الموارد البشرية، واعتماداً رسمياً للوصول وفق مبدأي الحاجة إلى الامتلاك والحاجة إلى المعرفة، ومراجعات دورية، وسجل تدقيق لطلبات الوصول وإلغائه، وإدارة صارمة للحسابات المميّزة وحسابات الوصول عن بُعد.
يشترط الإصدار 4.0.1 من معيار أمن بيانات بطاقات الدفع (PCI DSS) المصادقة متعددة العوامل لكل وصول إداري إلى بيئة بيانات حاملي البطاقات من خارج وحدة التحكم المحلية (8.4.1)، ولكل وصول إلى هذه البيئة (8.4.2، وهو إلزامي منذ 31 مارس 2025)، ولكل وصول شبكي عن بُعد من خارج شبكة الجهة يمكنه الوصول إليها أو التأثير فيها، ومنه وصول الموردين (8.4.3). ويضيف المتطلب 8.5.1 مقاومة هجمات إعادة الإرسال، وعاملين من نوعين مختلفين، ومنع التجاوز الروتيني.
يضع المتطلب 7.2.4 في PCI DSS الرقم الأوضح: مراجعة جميع حسابات المستخدمين وصلاحياتها، ومنها حسابات الموردين، مرة كل ستة أشهر على الأقل، مع إقرار الإدارة. أما الضوابط الأساسية وإطار ساما فيشترطان المراجعة الدورية ويتركان تحديد وتيرتها للجهة، فحدّدها وفق المخاطر. وراجِع الحسابات المميّزة ووصول الموردين والوصول إلى بيانات العملاء أو البطاقات بوتيرة أعلى، واحتفظ بدليل على تنفيذ كل عملية سحب.
حدّد لكل حساب خدمة مالكاً معروفاً وغرضاً موثّقاً، وامنحه الحد الأدنى من الصلاحيات التي يحتاجها التطبيق (PCI DSS 7.2.5). وامنع الدخول التفاعلي إلا باستثناء معتمد (8.6.1). واحفظ كلمة مروره في خزنة، لا في السكربتات أو ملفات الإعداد أو الشفرة المصدرية (8.6.2)، وغيّرها وفق جدول مبني على المخاطر وفوراً عند الاشتباه في اختراقها (8.6.3). وراجِع حسابات الخدمة بوتيرة مراجعة الحسابات المميّزة نفسها.
نعم. تملك جهات كثيرة جزءاً من المنظومة بالفعل: Active Directory، أو Microsoft Entra ID، أو خزنة PAM، أو أداة لحوكمة الهويات. تنطلق ليمـاز مما لديك، فتضبط نموذج الأدوار ومسارات دورة الحياة والتكاملات حوله، وتربط الأنظمة الواقعة خارجه، مثل الأنظمة المصرفية الأساسية وأنظمة التمويل والمدفوعات. وحين تحتاج جهتك إلى منتج جديد، نحدد متطلباته وننشره وفق مسارات العمل الفعلية.
هل لديك متطلب تريد تنفيذه؟
شاركنا النظام أو الضابط أو المتطلب التنظيمي، وسنعود إليك بخطوة تالية واضحة.