كان لدى مورّد برمجيات كخدمة في مجال الرعاية الصحية اثنا عشر محللًا للبيانات مسؤولون عن بناء لوحات معلومات تحليلية موجهة للعملاء وتقارير داخلية لذكاء الأعمال. وكان فريق التحليلات قد مُنح صلاحية القراءة على قاعدة بيانات الإنتاج عند إنشاء وظيفة التحليلات، وهو قرار عملي مكّن الفريق من الاستعلام عن أي بيانات يحتاج إليها للتقارير المطلوبة منه. وعلى مدى أربع سنوات، نما الفريق من ثلاثة محللين إلى اثني عشر، ونمت قاعدة بيانات الإنتاج لتضم سجلات لأكثر من مئتي عميل مؤسسي، ولم يُعد النظر في منحة الوصول قط. وكان بإمكان كل محلل الاستعلام عن سجلات المرضى أو البيانات السريرية أو المعلومات الإدارية لأي عميل دون قيد أو تسجيل أو مراجعة. كان الوصول تقنيًا للقراءة فقط، بلا كتابة ولا حذف، لكنه كان أيضًا غير مقيد تمامًا، إذ كان بإمكان أي من المحللين الاثني عشر الاستعلام عن أي سجل لأي عميل في أي وقت دون موافقة أو تبرير أو مراجعة تدقيق. وقد تتبّع تحقيق في خرق للبيانات، بدأ حين نشر مدوّن متخصص في الرعاية الصحية معلومات بدا أنها مصدرها من داخل النظام، المصدرَ في نهاية المطاف إلى محلل كان يستعلم عن سجلات خارج نطاق عمله لأكثر من عام. لقد كانت ضوابط الوصول تسمح بذلك دائمًا، ولم يكن أحد يراقب.
ما مشكلة مخاطر الوصول التحليلي لدى المورّدين حقًا؟
ينشأ خطر الوصول التحليلي حين يكون الوصول إلى البيانات الممنوح لفرق التحليلات، أي الأفراد المسؤولين عن بناء لوحات المعلومات والتقارير والنماذج التحليلية، أوسع بكثير مما تتطلبه أي مهمة تحليلية محددة، ويُبقى عليه دون ضوابط الوصول والتسجيل ووتيرة المراجعة المطبقة على الأشكال الأخرى من الوصول المميز إلى البيانات. فعادةً ما يُمنح الوصول التحليلي على نطاق واسع عند إنشاء الوظيفة، كعبارة «امنحوا فريق التحليلات صلاحية القراءة على قاعدة البيانات»، ونادرًا ما يُعاد النظر فيه مع نمو الفريق، وتزايد حساسية البيانات التي يصل إليها، وتطور نطاق ما يحتاج إليه كل محلل فعليًا لأداء دوره المحدد.
يمثل الإخفاق في تطبيق مبدأ الحد الأدنى من الصلاحيات فجوة الحوكمة الجوهرية. ففي معظم المؤسسات، يخضع الوصول المميز، أي الحسابات الإدارية وصلاحيات الكتابة على أنظمة الإنتاج والوصول إلى معالجة المدفوعات، لتحديد دقيق للنطاق ومسارات عمل للموافقة ومراجعة دورية. أما الوصول التحليلي فكثيرًا ما يُعامل كفئة مستقلة لا تتطلب حوكمة مماثلة لأنه للقراءة فقط ويبدو أقل خطورة. ووصفه بأنه للقراءة فقط وصف دقيق، إذ لا يستطيع المحللون عادةً تعديل البيانات أو حذفها. أما وصفه بأنه أقل خطورة فيحتاج إلى تقييد: فوصول القراءة إلى مجموعات بيانات شاملة تحتوي على معلومات شخصية حساسة أو سجلات مالية أو بيانات صحية أقل خطورة من وصول الكتابة إلى البيانات نفسها، لكنه ليس منخفض الخطورة بأي معنى مطلق. فالمحلل الذي قرأ سجلات المرضى للإفصاح عنها دون تصريح لم يكن بحاجة إلى صلاحية الكتابة، بل احتاج إلى صلاحية القراءة التي عاملها الجميع على أنها أمر عادي.
تضاعف مشكلة النطاق مشكلة الوصول. فكثيرًا ما تملك فرق التحليلات في بيئات البرمجيات كخدمة متعددة المستأجرين وصولًا إلى البيانات عبر قاعدة العملاء بأكملها بدلًا من قصره على عملاء محددين، لأن بناء لوحات المعلومات والتقارير أسهل حين يستطيع المحلل الاستعلام عن مجموعة البيانات الكاملة. فمورّد برمجيات كخدمة في مجال الرعاية الصحية يحتاج فريق التحليلات لديه إلى بناء لوحة معلومات للنتائج السريرية للعميل أ لا يحتاج تقنيًا إلى الوصول إلى بيانات العميل ب لأداء هذا العمل، لكن إذا كانت منحة الوصول توفر وصول قراءة كاملًا إلى قاعدة البيانات، فإن الاستعلام الذي يُقصد به خدمة العميل أ يمكنه قراءة سجلات العميل ب بالسهولة نفسها. لقد تطلبت الوظيفة التحليلية وصولًا محدد النطاق، ووفرت منحة الوصول وصولًا غير محدد النطاق. ولم يكن للنطاق أي أهمية إلى أن اختار المحلل تجاوزه.
تتركز مخاطر الوصول التحليلي في بيئات المورّدين حول خمسة أنماط إخفاق محددة:
- وصول قراءة واسع إلى قواعد البيانات لوظائف التحليلات: منح فرق التحليلات صلاحية القراءة على قواعد بيانات الإنتاج بأكملها بدلًا من وصول محدد النطاق إلى مجموعات البيانات المحددة المطلوبة لمهامها التحليلية المحددة
- الوصول التحليلي إلى بيانات العملاء الآخرين في البيئات متعددة المستأجرين: فرق تحليلات لديها وصول إلى البيانات عبر قاعدة العملاء بأكملها في حين لا تتطلب المهام التحليلية سوى الوصول إلى بيانات عملاء محددين
- استبعاد الوصول التحليلي من مراجعة الوصول: عدم إدراج وصول القراءة فقط للتحليلات في مراجعات الوصول الدورية لأنه يُنظر إليه على أنه أقل خطورة بطبيعته من وصول الكتابة
- غياب التسجيل على مستوى الاستعلام للوصول التحليلي: عدم تسجيل الاستعلامات التحليلية على مستوى السجل، مما يجعل كشف الوصول غير المصرّح به إلى البيانات ضمن نطاق القراءة المصرّح به أمرًا مستحيلًا
- استمرار الوصول التحليلي بعد انتهاء الدور: احتفاظ المحللين الذين يغيّرون وظيفتهم أو يغادرون المؤسسة بالوصول إلى قاعدة بيانات التحليلات لأن عمليات إنهاء العلاقة تركز على الوصول إلى الأنظمة وتغفل بيانات اعتماد منصة التحليلات
لماذا يهم هذا
تكتسب مخاطر الوصول التحليلي أهمية في TPRM لأن سيناريو التهديد الداخلي الأرجح أن يؤدي إلى خرق كبير لبيانات العملاء لدى مورّد برمجيات كخدمة متعدد المستأجرين ليس هجومًا خارجيًا متطورًا، بل مستخدم تحليلات مصرّح له يملك وصولًا غير مقيد للقراءة إلى مجموعة بيانات العملاء الكاملة ويختار استخدام هذا الوصول خارج نطاقه المقصود. فالضوابط المصممة لحماية التطبيق الأساسي، أي المصادقة والوصول القائم على الأدوار وسجلات التدقيق، تنطبق على المستخدمين المصرّح لهم الذين يصلون إلى البيانات عبر واجهة التطبيق، لكنها لا تمنع مستخدم التحليلات المصرّح له من الاستعلام عن أي سجل في قاعدة البيانات باستخدام بيانات اعتماد القراءة التي مُنحت له لأداء عمل مشروع.
يضاعف البعد متعدد المستأجرين الخطر بدرجة كبيرة. فمورّد برمجيات كخدمة في مجال الرعاية الصحية يستطيع فريق التحليلات لديه الاستعلام عن أي سجل مريض لأي من عملائه المؤسسيين المئتين قد ركّز خطر الوصول إلى البيانات لجميع العملاء المئتين في فريق من اثني عشر شخصًا لم يُراجع وصولهم قط. وقد قيّم كل واحد من هؤلاء العملاء المئتين الوضع الأمني للبيانات لدى المورّد وخلص إلى أن بيانات مرضاه محمية بشكل كافٍ، ولم يقيّم أي منهم ما إذا كان فريق التحليلات لدى المورّد يستطيع الاستعلام عن سجلات مرضاه دون أي قيد.
بالنسبة إلى ممارسي TPRM، يُنشئ ذلك التزامًا محددًا في التقييم يتجاوز تأكيد ضوابط الوصول. فالسؤال ليس فقط ما إذا كانت لدى المورّد ضوابط وصول قائمة على الأدوار، بل ما إذا كانت تلك الضوابط تنطبق على وظيفة التحليلات بالصرامة نفسها المطبقة على أدوار الوصول إلى البيانات الأخرى، بما في ذلك تحديد النطاق ووتيرة المراجعة والتسجيل على مستوى الاستعلام الذي يتيح كشف أنماط الوصول غير المصرّح به ضمن منحة وصول مصرّح بها.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو قبول وصول القراءة فقط على أنه مكافئ للوصول منخفض الخطورة، ومن ثم عدم إخضاع الوصول التحليلي للتدقيق الحوكمي نفسه الذي يخضع له الوصول المتضمن صلاحيات الكتابة. فوصول القراءة فقط إلى مجموعات بيانات حساسة شاملة يمثل منحة وصول كبيرة إلى البيانات، إذ إن القدرة على قراءة كل سجل عميل وكل معاملة وكل حقل حساس هي القدرة نفسها اللازمة لتسريب تلك البيانات، حتى لو كانت الكتابة والحذف معطلين. فتقييد الكتابة يقلل نطاق الضرر إذا أسيء استخدام الوصول، لكنه لا يقلل التعرض إذا قُرئت البيانات وأُفصح عنها.
الإخفاق الثاني هو عدم السؤال عن التسجيل على مستوى الاستعلام للوصول التحليلي. فسجلات الوصول على مستوى البنية التحتية تؤكد أن المحلل قد صادق على قاعدة البيانات، أما السجلات على مستوى الاستعلام فتؤكد السجلات التي استرجعها فعليًا خلال جلسته. والفرق بين هذين المستويين من السجلات هو الفرق بين معرفة أن شخصًا ما كان في الغرفة ومعرفة ما قرأه أثناء وجوده فيها. وبالنسبة إلى الوصول التحليلي الذي يمتد عبر مجموعة بيانات عملاء متعددة المستأجرين، فإن التسجيل على مستوى الاستعلام هو الآلية الوحيدة القادرة على كشف الوصول غير المصرّح به إلى بيانات عملاء آخرين ضمن منحة وصول مصرّح بها.
- معاملة وصول القراءة فقط على أنه أقل خطورة بطبيعته، في حين أن وصول القراءة إلى بيانات حساسة شاملة يكفي لتمكين التسريب
- استبعاد الوصول التحليلي من مبدأ الحد الأدنى من الصلاحيات: منح وصول واسع إلى قاعدة البيانات لدواعي الملاءمة الوظيفية بدلًا من قصره على متطلبات مهام محددة
- غياب التسجيل على مستوى الاستعلام لجلسات التحليلات: تؤكد سجلات البنية التحتية المصادقة لكنها لا تؤكد الوصول على مستوى السجل داخل الجلسة
- عدم مراجعة الوصول التحليلي وفق وتيرة مراجعة الوصول: معاملة وصول القراءة فقط كفئة مستقلة أدنى أولوية
- عدم تحديد نطاق الوصول إلى بيانات العملاء: الوصول التحليلي في البيئات متعددة المستأجرين غير مقصور على المجموعة الفرعية من العملاء ذات الصلة بعمل كل محلل
كيف تبدو الممارسة الجيدة
تطبّق حوكمة الوصول التحليلي الناضجة مبدأ الحد الأدنى من الصلاحيات على وظائف التحليلات بالصرامة نفسها المطبقة على الوصول المتضمن صلاحيات الكتابة، وذلك بقصر الوصول على البيانات المطلوبة لمهام تحليلية محددة، ومراجعة ذلك النطاق دوريًا مع تغير المهام، وتطبيق التسجيل على مستوى الاستعلام الذي يتيح كشف أنماط الوصول غير المتسقة مع نطاق العمل المصرّح به.
- تطبيق مبدأ الحد الأدنى من الصلاحيات على الوصول التحليلي: قصر الوصول على مجموعات البيانات أو مجموعات العملاء الفرعية أو فئات البيانات المطلوبة للدور المحدد للمحلل، لا وصول قراءة كامل إلى قاعدة البيانات
- سجلات التدقيق على مستوى الاستعلام: تسجيل كل استعلام تحليلي مع هوية المستخدم والطابع الزمني والجداول التي تم الوصول إليها وعدد السجلات، ومراجعتها بحثًا عن أنماط شاذة
- مراجعة الوصول التحليلي بوتيرة مراجعة وصول الكتابة نفسها: مراجعات دورية تؤكد أن نطاق الوصول التحليلي لا يزال متناسبًا مع الدور الحالي
- تقييد الوصول إلى بيانات العملاء الآخرين في البيئات متعددة المستأجرين: قصر الوصول التحليلي على مجموعات فرعية محددة من العملاء يكون للمحلل فيها مبرر عمل لبيانات كل عميل
- إنهاء الوصول إلى منصات التحليلات عند المغادرة: إدراج بيانات اعتماد قاعدة بيانات التحليلات صراحةً في قوائم التحقق الخاصة بإنهاء العلاقة إلى جانب الوصول إلى الأنظمة الأساسية
الأدوات
تتطلب حوكمة الوصول التحليلي أدوات ضوابط وصول دقيقة للبنية التحتية للتحليلات وأدوات مراقبة ترصد النشاط على مستوى الاستعلام معًا.
ضوابط الوصول إلى منصات التحليلات: Databricks Unity Catalog، وAWS Lake Formation، وdbt
توفر منصات التحليلات الحديثة ضوابط وصول دقيقة تتيح تحديد نطاق الوصول التحليلي على مستوى الجدول والعمود والصف، بحيث يُقصر كل محلل على فئات البيانات المحددة التي يتطلبها عمله. ويوفر AWS Lake Formation أمانًا على مستوى العمود والصف لبيئات التحليلات القائمة على S3. ويوفر Databricks Unity Catalog حوكمة موحدة للوصول عبر جداول Delta Lake مع ضوابط وصول قائمة على السمات. وبالنسبة إلى ممارسي TPRM، فإن سؤال المورّد عما إذا كانت منصة التحليلات لديه تستخدم ضوابط وصول دقيقة بدلًا من وصول القراءة الكامل إلى قاعدة البيانات يكشف بنية الحوكمة في نموذج الوصول التحليلي لديه.
مراقبة نشاط قواعد البيانات: Imperva وIBM Guardium
ترصد منصات DAM النشاط على مستوى الاستعلام في قواعد البيانات، بما في ذلك الاستعلامات التحليلية، فتوفر مسار التدقيق على مستوى السجل الذي لا توفره سجلات البنية التحتية. وتوفر Imperva تحديدًا تحليلات لسلوك المستخدمين مطبقة على أنماط الاستعلام في قواعد البيانات، فتكشف أحجام الوصول الشاذة وأنماط الاستعلام غير المعتادة عبر بيانات العملاء المختلفين. وبالنسبة إلى ممارسي TPRM، فإن السؤال عما إذا كانت الاستعلامات التحليلية تُسجَّل على مستوى السجل وما إذا كان كشف الحالات الشاذة مطبقًا على أنماط الوصول التحليلي يكشف عمق المراقبة وراء الوصول التحليلي.
حوكمة الهوية: SailPoint وSaviynt
تُدرج منصات IGA بيانات اعتماد منصات التحليلات في مسارات عمل مراجعة الوصول لديها، بما يضمن مراجعة الوصول التحليلي بالوتيرة نفسها المطبقة على أدوار الوصول إلى البيانات الأخرى بدلًا من خروجه عن نطاق المراجعة بوصفه فئة «للقراءة فقط». وبالنسبة إلى ممارسي TPRM، فإن السؤال عما إذا كان الوصول إلى منصات التحليلات مدرجًا في برنامج حوكمة الهوية ومراجعة الوصول لدى المورّد يمثل سؤالًا محددًا عن الإدراج في الحوكمة.
تحديات الحوكمة
يتمثل تحدي الحوكمة في الوصول التحليلي في التوتر مع الإنتاجية. ففرق التحليلات تحتاج إلى وصول سريع ومرن إلى البيانات لأداء العمل الاستكشافي بفعالية، وقيود الاستعلام ومسارات عمل الموافقة لكل تحليل جديد تقلل السرعة التي تجعل وظيفة التحليلات ذات قيمة. وإجابة الحوكمة ليست إلغاء مرونة الوصول التحليلي، بل تحديد نطاق تلك المرونة على النحو المناسب، بتوفير الوصول إلى فئات البيانات ومجموعات العملاء الفرعية التي يتطلبها دور المحلل مع تقييد الوصول إلى البيانات الواقعة خارج ذلك النطاق. فالقيود لا تلغي القدرة التحليلية، بل تلغي الوصول إلى بيانات لا يملك المحلل أي سبب عمل للاستعلام عنها.
بالنسبة إلى برامج TPRM، يتمثل النهج العملي للحوكمة في إدراج الوصول التحليلي في تقييم ضوابط الوصول لدى المورّد كفئة وصول مستقلة، دون افتراض أن التأكيد العام لضوابط الوصول يشمله، والسؤال تحديدًا عن تحديد النطاق ووتيرة المراجعة والتسجيل على مستوى الاستعلام. فمنحة الوصول التحليلي الواسعة التي لم يُعد النظر فيها قط هي خطر الوصول المختبئ داخل برنامج ضوابط الوصول المحكوم جيدًا.
- إدراج الوصول التحليلي في تقييم ضوابط الوصول لدى المورّد، وعدم افتراض أن التأكيد العام للوصول القائم على الأدوار يشمله
- اسأل عن تحديد نطاق الوصول التحليلي: هل هو وصول قراءة كامل إلى قاعدة البيانات أم مقصور على جداول أو أعمدة أو مجموعات فرعية محددة من العملاء
- اشترط التسجيل على مستوى الاستعلام للوصول التحليلي: مسار تدقيق على مستوى السجل، لا مجرد سجلات المصادقة
- اسأل عن وتيرة مراجعة الوصول التحليلي: هل يُدرج في مراجعات الوصول الدورية أم يُعامل كفئة مستقلة أدنى أولوية
- تأكيد إنهاء الوصول التحليلي عند المغادرة: إدراج بيانات اعتماد منصة التحليلات في عملية إنهاء العلاقة
إذا كنت فريقًا صغيرًا
أضف إلى تقييم ضوابط الوصول لدى المورّد سؤالًا واحدًا يتناول وظيفة التحليلات تحديدًا: كم شخصًا في فريق التحليلات لديكم يملك وصولًا إلى بيانات العملاء في بيئة الإنتاج، وما نطاق هذا الوصول، ومتى رُوجع آخر مرة؟ وبالنسبة إلى المورّدين متعددي المستأجرين، تابع بالسؤال عما إذا كان المحللون يستطيعون الاستعلام عن بيانات عملاء غير العملاء المحددين الذين يتعلق بهم عملهم. هذان السؤالان يكشفان اتساع الوصول التحليلي الذي لا تبلغه أبدًا تقييمات ضوابط الوصول المعتادة.
- اسأل عن عدد المحللين الذين لديهم وصول إلى قاعدة بيانات الإنتاج وعن نطاق هذا الوصول
- اسأل عما إذا كان الوصول التحليلي يُراجع بالوتيرة نفسها التي يُراجع بها الوصول المتضمن صلاحيات الكتابة
- اسأل عما إذا كان هناك تسجيل على مستوى الاستعلام لجلسات التحليلات
- بالنسبة إلى المورّدين متعددي المستأجرين، اسأل عما إذا كان الوصول التحليلي مقصورًا على مجموعات فرعية محددة من العملاء
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«كم شخصًا في فريق التحليلات لديكم يملك صلاحية القراءة على قواعد بيانات الإنتاج التي تحتوي على بيانات العملاء، وهل هذا الوصول قراءة كاملة لقاعدة البيانات أم مقصور على جداول أو فئات بيانات أو مجموعات فرعية محددة من العملاء؟»
«هل تُسجَّل الاستعلامات التحليلية على مستوى السجل، وتحديدًا هل يمكنكم تحديد المحلل الذي استعلم عن سجلات عملاء بعينهم في جلسة معينة، وهل يُراجع هذا السجل بحثًا عن أنماط شاذة؟»
«هل يُدرج الوصول إلى قاعدة بيانات التحليلات في مراجعات الوصول الدورية لديكم، ومتى رُوجع وصول فريق التحليلات آخر مرة للتحقق من تناسب نطاقه؟»
ما تتوقعه دليلًا
- وثائق نطاق الوصول التحليلي: عدد المحللين، واتساع الوصول، وتقييد النطاق حسب العملاء
- تأكيد التسجيل على مستوى الاستعلام لجلسات التحليلات
- سجل مراجعات الوصول التحليلي: إدراجه في المراجعات الدورية مع تاريخ آخر مراجعة
- تأكيد تقييد الوصول إلى بيانات العملاء الآخرين في البيئات متعددة المستأجرين
المورّد الذي يجيب عن سؤال نطاق الوصول التحليلي بعبارة «فريق التحليلات لدينا لا يملك سوى صلاحية القراءة» قد أكد نوع الوصول. اسأل تحديدًا عما إذا كان وصول القراءة هذا يشمل قاعدة بيانات الإنتاج بأكملها أم يقتصر على فئات بيانات محددة. فالقراءة فقط وتحديد النطاق خياران مختلفان في الحوكمة. كلاهما للقراءة فقط، لكن أحدهما فقط يطبّق مبدأ الحد الأدنى من الصلاحيات.
كيف تُثبت ذلك
تتناول مبادئ تقليل البيانات وتحديد الغرض في GDPR، ومتطلبات PCI-DSS بشأن الحد الأدنى من الصلاحيات، ومعايير الحد الأدنى الضروري من الوصول في HIPAA حوكمةَ الوصول التحليلي ضمنيًا. ويتطلب إثبات العناية الواجبة أدلة على أن الوصول التحليلي قد قُيّم كفئة وصول مستقلة لها حوكمة خاصة بها للنطاق والمراجعة.
- سجلات تقييم المورّدين التي توثق الأسئلة المتعلقة بنطاق الوصول التحليلي وتسجيله ووتيرة مراجعته
- تأكيد التسجيل على مستوى الاستعلام لجلسات التحليلات
- أدلة تقييد الوصول إلى بيانات العملاء الآخرين لدى المورّدين متعددي المستأجرين
- إدراج مراجعة الوصول التحليلي في IGA أو في برنامج مراجعة الوصول
الخلاصة الرئيسية
وصول القراءة إلى كل شيء يظل وصولًا إلى كل شيء. فالمحلل الذي قرأ سجلات المرضى خارج نطاق عمله لم يكن بحاجة إلى صلاحية الكتابة ليفعل ذلك، بل احتاج إلى صلاحية القراءة التي كانت لدى اثني عشر شخصًا ولم يراجعها أحد طوال أربع سنوات. والوصول التحليلي هو منحة الوصول الواسعة المألوفة التي لم يُشكك فيها قط، والتي وُجدت لأن قول «امنحوا فريق التحليلات صلاحية القراءة على قاعدة البيانات» كان أسهل من تحديد ما يحتاج إليه كل محلل فعليًا. ومبدأ الحد الأدنى من الصلاحيات ينطبق على وصول القراءة بقدر ما ينطبق على وصول الكتابة حين تكون البيانات المقروءة حساسة. والتسجيل على مستوى الاستعلام ينطبق على جلسات التحليلات بقدر ما ينطبق على الجلسات الإدارية حين تعود السجلات المقروءة إلى عملاء يثقون بأن المورّد يتحكم في من يطّلع عليها.