أمن الأفراد وتقدير المخاطر

يمر وصول الموظف بمراحل التعيين والانتقال والمغادرة، ويتغير الخطر في كل مرحلة. قبل الوصول يتحقق صاحب التوظيف من ملاءمة الفحص والاتفاقيات للدور والقانون المحلي. عند الانضمام تُنشأ هوية فردية مرتبطة بدور محدد، ويُشرح واجب التعامل مع البيانات وطلب الاستثناء. عند انتقال الموظف لا تكفي إضافة امتيازات الدور الجديد؛ يجب سحب ما لم يعد لازمًا في القديم ومراجعة المهام المتعارضة. وعند المغادرة يُحدد وقت إيقاف الوصول مع مسؤول العمل، وتُعاد الأجهزة والمفاتيح، وتُراجع حسابات الخدمة التي كان يعرف أسرارها. لا يُفترض أن تعطيل حساب الموظف يعطل رموزًا مشتركة أو جلسات قائمة؛ كل قناة تحتاج تحققًا خاصًا.

التقدير المهني للخطر يحدد الأصل والعملية والتهديد ونقطة الضعف والضوابط القائمة والضرر المحتمل واحتماله ضمن أفق زمني. لا تساوي كلمة «حرج» حاصل ضرب أرقام اعتباطية. إذا استُخدمت درجات نوعية، تعرّف المؤسسة معاييرها: مثالًا أثر مرتفع عندما يتوقف صرف خدمة أساسية، واحتمال مرتفع عند وجود تعرّض واستغلال جارٍ. سجّل عدم اليقين والمعلومات الناقصة، وميّز الخطر الكامن قبل الضوابط عن المتبقي بعدها. يمكن أن يكون مسح ثغرات ممتازًا لكن حساب خدمة قديمًا يملك صلاحية تصدير بيانات؛ هنا لا يُغطي ضابط الفحص سبب الخطر. خيارات المعالجة تشمل التخفيض، والتجنب، والنقل التعاقدي أو التأميني لبعض العواقب، والقبول المخوّل. نقل التكلفة لا ينقل مسؤولية حماية البيانات أو الثقة تلقائيًا.

تعمل الضوابط على أزمنة مختلفة. منع إنشاء حساب مشترك يقلل فرصة الإساءة، وكشف استخدامه في سجل يرفع احتمال اكتشافها، وخطة إبطال وتدوير تعالج أثرًا بعد وقوعه. يجب اختبار كل طبقة بدليل محدد. قد يختار مالك العمل قبول خطر متبقٍ بعد ضابط بديل لمدة أسبوع، لكن القبول لا يمحو شرطًا إلزاميًا ولا يجيز تضليلًا في تقرير الامتثال. تقارن اللجنة تكلفة الضابط مع الضرر والتعرض والموارد، وتضع تاريخ مراجعة عند تغير المورد أو الوظيفة أو التهديد. تقدير المخاطر عمل مستمر تدعمه مؤشرات لا نموذج يُملأ مرة واحدة.