تحديد موارد الحماية ومسارات الوصول

سطح الحماية هو مجموعة موارد وعمليات ذات قيمة يجري ضبط الوصول إليها، وليس مرادفًا لكل بيئة المؤسسة. يبدأ الاختيار بمسار عمل ذي أثر واضح وبقدرة على قياس الطلبات الصحيحة والخاطئة. يمكن أن يكون السطح واجهة قراءة مستندات المطالبات ومسار تخزينها وهويات الخدمات التي تخدمها. إذا ضممت كل موارد الشركة إلى تجربة أولى، يصعب فصل أثر السياسة الجديدة عن إخفاقات الجرد القديم. وإذا حصرت السطح في عنوان IP لواجهة، قد تترك الوصول من مهمة خلفية أو حساب خدمة دون ضبط. حدد المورد، العملية، الفاعل، والنتيجة المسموحة، ثم اربطها بالمسارات التي جُردت في الدرس السابق.

أنشئ مصفوفة وصول من صف لكل حالة استعمال، لا من أسماء الأدوار العامة وحدها. أعمدة المصفوفة: هوية الطالب، نوع الجهاز أو هوية عبء العمل، المورد، الفعل، الغرض، الشرط السياقي، القرار، نقطة الفرض، وسجل النتيجة. مثال: محلل المطالبات يقرأ وثيقة مطالبة مسندة إليه فقط بعد تحقق قوي وحديث؛ خدمة التجميع تقرأ حقولًا محددة من الطلبات المغلقة لتنتج إحصاءً؛ حساب الدعم لا يقرأ وثائق المطالبة. ينبغي أن تكون علاقة «مسندة إليه» مأخوذة من نظام عمل موثوق، لا من نص يرسله العميل في الطلب. وضّح مدة صلاحية الصفة وكيف يتغير القرار عند نقل المطالبة لمحلل آخر.

افصل مكونات القرار: نقطة اتخاذ السياسة تقيم الصفات والسياسة، ونقطة فرض السياسة تمنع أو تمرر العملية في المسار الفعلي. وجود قرار في لوحة مركزية لا يكفي إذا كان لدى التطبيق مسار قديم يصل مباشرة إلى المخزن. تتبع جميع نقاط الدخول: الواجهة العامة، مهمة المعالجة، لوحة الإدارة، واجهة الصيانة، والنسخ الاحتياطي. افتح حصرًا استثناءات الوصول الحالية وحدد مالكًا وتاريخ انتهاء لكل منها. لا تُلغِ حساب طوارئ قبل اختبار مسار استعادة الخدمة؛ صمم استعماله بضبط نطاق وموافقة وتسجيل وإنذار. الانقطاع في نقطة القرار يحتاج سلوكًا معروفًا لكل عملية: رفض قراءة البيانات الحساسة عادة خيار آمن، لكن عملية توقف حرجة قد تحتاج مسار طوارئ محددًا سلفًا.

قبل التشغيل، افحص التعارض بين السياسة والواقع من سجلات عينة محددة زمنيًا مع احترام الخصوصية. احسب كم طلبًا شرعيًا سيُرفض، ومن أي فريق، وهل توجد بيانات كافية لتقييم صفات الإسناد. التشغيل في وضع الرصد فقط قد يكشف أثر القرار دون المنع، لكنه لا يحمي المورد؛ يجب تحديد موعد الانتقال إلى الفرض ومعيار واضح للإغلاق. إذا ظهر أن حالة المراجعة لا تصل لخدمة الوثائق إلا بعد تأخير عشر دقائق، فرفض كل طلب مراجعة أثناء التأخير يضر العمل؛ عالج مصدر الصفة أو صمم موافقة مؤقتة ضيقة، ولا تحول الخلل إلى سماح عام. يراجع مالك العمل الحالات الحدية، ويوقع مالك الأمن على خطر الاستثناء، ويؤكد مالك الخدمة أن كل طريق إلى الوثيقة يمر بنقطة الفرض.

تستفيد المصفوفة من تمييز السماح المشروط عن التفويض المؤجل. عندما يطلب المدقق عينة لم تُحدد بعد، لا ينبغي للنظام أن يفسر وجود دور «مدقق» بأنه إذن مفتوح؛ يعيد قرارًا يتطلب رقم مهمة وحدود العينة. وحين تكتمل المهمة، يقارن المورد المطلوب بقائمة العينة الفعلية. إن كان مزود الهوية يرسل الدور فقط ولا يرسل رقم المهمة، فالمشكلة في مصدر الصفات أو تكاملها، لا في عبارة السياسة. وثّق مسار تجديد الصفة والإلغاء: صلاحية مؤقتة تستمر بعد انتهاء المهمة تنقض الغرض من تقييدها. اختبر حالة انتهاء المدة أثناء جلسة قائمة لا عند تسجيل دخول جديد فقط.

تحليل أثر السياسة يحتاج مقامات صحيحة. نسبة «طلبات الرفض» قد ترتفع بعد إزالة طريق تجاوز قديم، وهذا قد يعني تحسن التغطية لا تدهور تجربة المستخدم. قس نسبة الطلبات الشرعية المتضررة من عينة موسومة، وزمن حل طلب الاستثناء، وتكرار الرفض بسبب صفة متأخرة، وعدد المسارات التي لا تترك سجلًا. اجمع هذه المقاييس مع شدة الخطر الذي منعتْه السياسة؛ لا تعادل طلبًا إداريًا منخفض الأثر بتصدير ملايين السجلات. عند اختلاف تقدير الفريقين، اكتب قرارًا يذكر البدائل: سماح عام، فرض فوري، أو فرض تدريجي مع معالجة فجوة الصفات؛ وقد يكون الثالث مفضلًا إذا خفض الخطر دون تعطيل غير محسوب.

وثيقة القرار النهائية لهذا السطح تسرد ما يدخل فيه وما يستثنى منه عمدًا. اكتب سبب تأجيل واجهة الأرشيف، وحدًا زمنيًا لتغطيتها، وضابطًا مؤقتًا يقلل وصولها. دون ذلك تصبح «المرحلة الأولى» اسمًا دائمًا للثغرة. اربط كل شرط بسياسة قابلة للاختبار: طلب صالح واحد، طلب غير صالح بسبب الهوية، طلب غير صالح بسبب المورد، وطلب غير صالح بسبب السياق. لا تعتمد على محاكاة شاشة المستخدم فحسب؛ قد يسمح المسار المباشر الذي لا تعرضه الشاشة. عندما تتغير الخدمة أو أدوارها، يعاد اختبار المسارات المتأثرة، لأن سياسة جيدة فوق رسم وصول قديم لا تحمي المورد الجديد.