- السؤال ليس هل يحترم البحث الصلاحيات في يوم الاختبار، بل هل يلحق بها حين تتغير. سحب صلاحية، أو نقل موظف، أو انتهاء مشاركة، أو نقل وثيقة إلى تصنيف أشد: كل تغيير منها يجب أن يظهر في البحث، ويجب أن تعرف متى يظهر.
- البحث لا يعرض قائمة نتائج فقط. يعرض أيضًا مقتطفات مبرزة، وعدادات في الفلاتر، وصورًا مصغرة، واقتراحات أثناء الكتابة، وبحوثًا محفوظة وتنبيهات، وإجابات بحث باللغة الطبيعية. اختبر كل واحدة منها بعد التغيير، لا القائمة وحدها.
- اطلب من المورد أن يعلن كتابةً كيف يطبق نظامه الصلاحيات على البحث، وخلال كم يسري التغيير في كل حالة. ثم قِس ذلك بنفسك: سجّل لحظة التغيير من سجل التدقيق، ولحظة اختفاء الوثيقة من كل موضع.
- اختبر الاتجاهين. الوثيقة التي بقيت ظاهرة بعد سحب الصلاحية تسرب، والوثيقة التي لم تظهر بعد منحها تعطيل للعمل. والأول أخطر، لكن الثاني يدفع الموظفين إلى طلب الملفات بالبريد.
- أصعب الحالات هي التغييرات الجماعية وتعطل الفهرسة. عدّل صلاحية تصنيف كامل، وأوقف خدمة الفهرسة إن أمكن، واسأل: هل يُغلق النظام الوصول حين يشك، أم يتركه مفتوحًا؟
هذه المقالة لمسؤولي الأمن السيبراني والصلاحيات الذين يقيّمون نظام أرشفة قبل اعتماده. تفترض أنك قيّمت نموذج الصلاحيات نفسه، كما في مقالة تقييم الصلاحيات على مستوى الوثيقة والإدارة، وأنك تعرف قنوات تسرب الوثيقة السرية كما في مقالة اختبار مستويات السرية. وتضيف إليهما بُعد الزمن: ماذا يحدث في البحث في الدقائق والساعات التي تلي تغيير الصلاحية، وكيف تثبت ذلك بحالات اختبار موثقة.
لماذا قد يتأخر البحث عن الصلاحيات أصلًا؟
شاشة فتح الوثيقة تسأل عن صلاحية المستخدم لحظة الفتح. أما البحث فيعمل على فهرس بُني مسبقًا، حتى يعيد النتائج بسرعة من أرشيف كبير. وهنا يظهر السؤال: من أين يعرف الفهرس من يحق له رؤية كل وثيقة؟ في أنظمة البحث عمومًا ثلاثة أساليب شائعة، ولكل منها أثر مختلف على ما ستختبره:
| الأسلوب | كيف يعمل | ما يعنيه عند تغيير الصلاحية | ما تركز عليه في الاختبار |
|---|---|---|---|
| الصلاحيات مخزنة في الفهرس | تُكتب قائمة من يحق له الاطلاع مع كل وثيقة عند فهرستها، ويُرشَّح البحث بها | التغيير لا يظهر حتى يُحدَّث سجل الوثيقة في الفهرس، والتغيير على تصنيف كامل يعني تحديث كل وثائقه | زمن السريان، خاصة في التغييرات الجماعية، وما يحدث إن تأخرت إعادة الفهرسة |
| التحقق عند الاستعلام | يبحث الفهرس في المحتوى، ثم يُتحقق من صلاحية كل نتيجة من مصدر الصلاحيات قبل عرضها | التغيير يسري غالبًا مع الاستعلام التالي، لكن الأداء قد يتأثر مع كثرة النتائج | أن العدادات والمقتطفات تُحسب بعد الترشيح لا قبله، وسرعة البحث على أرشيف كبير |
| أسلوب مختلط مع ذاكرة مؤقتة | ترشيح أولي من الفهرس، ثم تحقق نهائي، مع حفظ مؤقت لعضوية المستخدم في المجموعات أو لنتائج حديثة | التغيير على الوثيقة قد يسري بسرعة، بينما تغيير عضوية المجموعة ينتظر انتهاء الذاكرة المؤقتة | الفرق بين تغيير على الوثيقة وتغيير على المستخدم، ومدة صلاحية الذاكرة المؤقتة |
لا يلزمك أن تعرف تفاصيل البناء الداخلي لكل نظام، لكن يلزمك أن تسأل المورد: أي هذه الأساليب يستخدم نظامك، ومن أين يقرأ عضوية المستخدم في المجموعات، وهل توجد ذاكرة مؤقتة وما مدتها؟ الإجابة تحدد أي حالات الاختبار أخطر في نظامه، وتجعل زمن السريان الذي يعلنه قابلًا للفهم لا رقمًا مجردًا.
تنبيه: لا تقبل عبارة «فوري» أو «لحظي» دون اختبار. اطلب زمنًا معلنًا لكل نوع تغيير: على الوثيقة، وعلى التصنيف، وعلى المستخدم أو مجموعته، وعلى حساب معطل في الهوية المؤسسية. ثم قِسه.
أين تبحث عن الوثيقة بعد التغيير؟
الوثيقة قد تختفي من قائمة النتائج وتبقى في موضع آخر من تجربة البحث. هذه هي المواضع التي تفحصها بعد كل تغيير، مع ما يعد تسربًا في كل منها:
- قائمة النتائج: الوثيقة نفسها بعنوانها ورقمها. هذا أول ما يُفحص وأقل ما يكفي.
- عدد النتائج والعدادات في الفلاتر: إن كان عدد نتائج «عقود 1447» ثلاثين قبل السحب وبقي ثلاثين بعده بينما تعرض القائمة تسعًا وعشرين، فالعداد يكشف وجود الوثيقة. العدادات تُحسب أحيانًا في مكون مستقل عن الترشيح.
- المقتطف المبرز: السطر الذي يظهر فيه نص البحث من داخل الوثيقة. قد يُخزن مع الفهرس، فيبقى بعد سحب الصلاحية حتى تُعاد الفهرسة.
- الصورة المصغرة والمعاينة: صورة الصفحة الأولى في النتائج قد تأتي من ذاكرة معاينة لا تمر بالصلاحيات من جديد.
- الاقتراحات أثناء الكتابة: إكمال عنوان الوثيقة أو اسم طرفها بمجرد كتابة حروفه الأولى.
- البحوث الأخيرة والمحفوظة: بحث حفظه المستخدم حين كان مخولًا، ثم أعاد تشغيله بعد السحب. وأخطر منه البحث المحفوظ المشترك بين أعضاء فريق.
- تنبيهات البحث: اشتراك يرسل للمستخدم ما يستجد من نتائج لبحث معين. هل يصله تنبيه بوثيقة لم يعد مخولًا بها؟
- الوثائق المرتبطة والمشابهة: روابط «ملحقات العقد» أو «وثائق مشابهة» في صفحة وثيقة أخرى ما زال مخولًا بها.
- البحث باللغة الطبيعية والمساعد: إجابة تعيد صياغة ما في الوثيقة أو تذكرها في مصادرها. وطريقة التحقق من مصادر الإجابات نفسها في مقالة التحقق من مصادر إجابات المساعد الذكي.
- تصدير نتائج البحث: قائمة نتائج مصدرة بعد التغيير يجب أن تستبعد الوثيقة. أما ما صُدر قبله فلا يستعيده أي نظام، ويكفي أن يثبته سجل التدقيق.
- جلسة مفتوحة قبل التغيير: نتائج بحث في نافذة لم تُحدَّث. الضغط على النتيجة بعد السحب يجب أن يُرفض، حتى لو بقي عنوانها ظاهرًا في الصفحة القديمة.
وهذه المواضع هي ما تصفه صفحة نتائج البحث وصلاحياته: ما تعرضه كل نتيجة من مقتطف وموضع تطابق ووثائق مرتبطة، وأن الوثيقة المحجوبة لا تظهر في النتائج ولا المقتطفات ولا عددها. والاختبار هنا يثبت أن هذا يبقى صحيحًا بعد كل تغيير، لا في الحالة الساكنة فقط.
حالات الاختبار: التغيير، والحساب، والمتوقع
جهّز قبل الجلسة وثيقة اختبار واحدة على الأقل لكل حالة، تحمل كلمة فريدة في عنوانها وأخرى في نصها، حتى تبحث عن الكلمة لا عن الوثيقة. واستخدم محتوى مصطنعًا لا وثائق حقيقية. المستخدم «أ» في الجدول هو من يتغير وصوله، والمستخدم «ب» زميله الذي لا يتغير وصوله، ويُستخدم للمقارنة.
| # | التغيير | ما تنفذه بعده | المتوقع | ما تكشفه الحالة |
|---|---|---|---|---|
| 1 | سحب صلاحية «أ» عن وثيقة واحدة باستثناء عليها | «أ» يبحث بالكلمتين، ويراجع العداد والمقتطف والاقتراحات | تختفي من كل المواضع خلال الزمن المعلن للتغيير على الوثيقة، و«ب» يراها كما هي | ترشيح الوثيقة المفردة، وأن الاستثناء لم يُسقط صلاحية غيره |
| 2 | إخراج «أ» من مجموعة تمنح الاطلاع، كلجنة انتهت | «أ» يعيد بحثًا محفوظًا من أيام اللجنة | لا تظهر وثائق اللجنة في البحث المحفوظ ولا في تنبيهاته | مصدر عضوية المجموعات، والذاكرة المؤقتة لها |
| 3 | نقل «أ» من المشتريات إلى المالية | «أ» يبحث في وثائق إدارته القديمة والجديدة | تختفي وثائق المشتريات المقيدة وتظهر وثائق المالية، في الاتجاهين خلال الزمن المعلن | تغيير الدور والنطاق، والاتجاه الإيجابي للتغيير |
| 4 | تعطيل حساب «أ» في الهوية المؤسسية وهو داخل النظام | «أ» يعيد البحث من الجلسة المفتوحة ويفتح نتيجة | تنتهي الجلسة أو يُرفض الطلب وفق المعلن، ولا يستمر البحث بجلسة قديمة | الربط مع الهوية وإدارة الجلسات |
| 5 | انتهاء صلاحية مؤقتة أو مشاركة لمستخدم خارجي | المستخدم الخارجي يبحث بعد موعد الانتهاء | لا نتيجة، ولا اقتراح، ولا تنبيه بعد الموعد | التغيير الذي لا يُحدثه إنسان بل يحل بموعده |
| 6 | نقل وثيقة إلى تصنيف أشد صلاحية | «أ» المخول بالتصنيف القديم فقط يبحث عنها | تختفي، وتبقى الاستثناءات أو تسقط وفق القاعدة المعلنة | الوراثة عند النقل وأثرها على الفهرس |
| 7 | تعديل صلاحية تصنيف يضم آلاف الوثائق | «أ» يبحث بكلمة في وثيقة من أول التصنيف وأخرى من آخره | تختفي الوثائق كلها خلال الزمن المعلن للتغيير الجماعي، لا بعضها | طوابير إعادة الفهرسة والتغيير الجماعي |
| 8 | منح «أ» صلاحية على وثيقة لم يكن يراها | «أ» يبحث بالكلمتين | تظهر في النتائج والمقتطف والعداد خلال الزمن المعلن | الاتجاه الإيجابي: تأخر الظهور يعطل العمل |
| 9 | سحب صلاحية أثناء تعطل خدمة الفهرسة | «أ» يبحث قبل عودة الخدمة وبعدها | لا تظهر الوثيقة حتى قبل عودة الخدمة، أو تُرفض عند فتحها وفق المعلن، ويُستكمل التحديث بعد العودة | هل يُغلق النظام الوصول حين يشك أم يتركه مفتوحًا |
| 10 | بعد الحالة 1: سؤال باللغة الطبيعية لا يُجاب إلا من الوثيقة | «أ» يسأل، ثم يطلب مصادر الإجابة | لا معلومة منها ولا ذكر لها في المصادر | أن المساعد يقرأ الصلاحيات الحالية لا نسخة سابقة |
والحالة 3 أكثر ما يتكرر في التشغيل، لأن نقل الموظفين يحدث كل شهر. ويعرض سيناريو انتقال موظف بين إدارتين تسلسلها من قرار النقل إلى تقرير تغيير الصلاحيات. والاختبار هنا يضيف سؤالًا واحدًا: متى رأى البحث هذا التغيير؟
كيف تقيس زمن السريان دون أن تخمّنه؟
أغلب الخلافات بعد التشغيل تبدأ بجملة «جربتها بعد التغيير فظهرت». لتحول الانطباع إلى قياس، اتبع الإجراء نفسه في كل حالة:
- ابحث قبل التغيير
نفّذ البحث بحساب «أ» وسجّل النتيجة: الوثيقة ظاهرة، والعداد، والمقتطف. هذه نقطة الأساس. إن لم تظهر الوثيقة قبل التغيير، فالحالة لا تقيس شيئًا.
فريق الاختبار - نفّذ التغيير وخذ وقته من السجل
وقت التغيير يؤخذ من سجل التدقيق في النظام، لا من ساعة المختبِر. فالسجل هو ما ستعتمد عليه الجهة لاحقًا في أي تحقيق، وتسجيل تغيير الصلاحيات نفسه، بمن غيّر وماذا ومتى، جزء من المطلوب. ويعرض قسم الأمن وسجل التدقيق العمليات التي يتتبعها النظام، ومنها تغيير الصلاحيات.
مسؤول الصلاحيات - أعد البحث على فترات قصيرة منتظمة
أعد البحث نفسه في كل موضع من المواضع التي حددتها، وسجل أول مرة اختفت فيها الوثيقة من كل موضع. توقف عند ضعف الزمن المعلن. إن لم تختفِ حتى ذلك الحين، فالحالة فاشلة.
فريق الاختبار - افحص «ب» في الوقت نفسه
زميل لم يتغير وصوله يجب أن يرى الوثيقة طوال الاختبار. إن اختفت عنه أيضًا، فالتغيير أوسع مما قُصد.
فريق الاختبار - سجّل الحالة بدليلها
وقت التغيير من السجل، ووقت الاختفاء من كل موضع، ولقطة شاشة قبل وبعد، والنتيجة: ناجحة ضمن الزمن المعلن، أو ناجحة بعده، أو فاشلة.
فريق الاختبار
لاحظ أن الزمن قد يختلف بين المواضع في النظام نفسه: القائمة تتحدث مع الاستعلام، والمقتطف ينتظر إعادة الفهرسة، والتنبيه يعمل بدورة جدولة مستقلة. سجّل زمن كل موضع منفصلًا، ولا تكتفِ بزمن القائمة.
مثال: نتيجة جلسة اختبار مختصرة
مثال توضيحيجهة افتراضية نفذت الحالات 1 و2 و3 و7 على نظام في مرحلة التقييم. أعلن المورد كتابةً زمنين: زمنًا قصيرًا للتغيير على وثيقة أو مستخدم (نرمز له «ز1»)، وزمنًا أطول للتغيير على تصنيف كامل (نرمز له «ز2»). وجاءت الملاحظات هكذا:
اختفت الوثيقة من القائمة والمقتطف والاقتراحات ضمن «ز1». لكن عداد فلتر «النوع» بقي على رقمه القديم حتى أعاد المختبِر تحميل الصفحة كاملة. النتيجة: تسرب وجود في العداد. سأل الفريق المورد، فتبين أن العداد يُحسب قبل الترشيح في شاشة معينة، وسُجلت الحالة «تتطلب معالجة» مع موعد.
البحث المحفوظ لم يعرض وثائق اللجنة بعد «ز1». لكن تنبيه البحث المجدول أرسل في دورته التالية رسالة بعنوان وثيقة جديدة أُضيفت إلى ملف اللجنة. النتيجة: فشل حرج في التنبيهات، لأن رسالة البريد تخرج من النظام ولا تُستعاد.
اختفت وثائق المشتريات المقيدة ضمن «ز1». أما وثائق المالية فلم تظهر إلا بعد وقت أطول، لأن منح الصلاحية الجديدة كان ينتظر مزامنة الأدوار من نظام الموارد البشرية. النتيجة: لا تسرب، لكن تأخر يستحق أن يُكتب في خطة الإطلاق حتى لا يُفاجأ الموظف المنقول.
اختفت الوثيقة الأولى من التصنيف مبكرًا، والأخيرة قرب نهاية «ز2». النتيجة: ناجحة ضمن المعلن، مع ملاحظة أن أي تغيير جماعي يُنفذ خارج ساعات العمل، وأن يُتابع من لوحة إعادة الفهرسة حتى اكتماله.
لم يُحكم على النظام بأنه «يحترم الصلاحيات» أو «لا يحترمها». خرج الفريق بقائمة محددة: عداد يُعالج، وتنبيه يُعالج قبل القبول، وإجراء تشغيلي للتغييرات الجماعية، وملاحظة في خطة الإطلاق عن تأخر منح الصلاحيات. وهذا ما يجعل الاختبار أداة تفاوض لا انطباعًا.
أخطاء تجعل الاختبار ينجح والتسرب يبقى
- الاختبار بعد إعادة تحميل كل شيء: تسجيل الخروج والدخول ومسح ذاكرة المتصفح قبل كل بحث يخفي مشكلة الجلسة المفتوحة. نفّذ جزءًا من الحالات من جلسة بقيت مفتوحة.
- البحث بالعنوان فقط: العنوان يُرشَّح غالبًا مع القائمة، بينما يبقى نص الوثيقة في المقتطف. ابحث بكلمة من داخل النص دائمًا.
- تجاهل الاتجاه الإيجابي: فريق الأمن يختبر السحب فقط. لكن تأخر المنح هو ما يشتكي منه الموظفون، ويدفعهم إلى تبادل الملفات خارج النظام، وهذا تسرب من نوع آخر.
- أرشيف الاختبار صغير جدًا: مئة وثيقة تُعاد فهرستها في لحظات. التغيير الجماعي يُختبر على تصنيف بحجم قريب من الحقيقي، وإلا فالزمن المقاس لا يعني شيئًا.
- نسيان ما يعمل بجدولة: التنبيهات والتقارير المجدولة والبحوث المحفوظة التي تُرسل نتائجها دوريًا لا تظهر في الاختبار إن انتهت الجلسة قبل دورتها التالية.
- الاختبار مرة واحدة: تحديث محرك البحث أو إضافة ميزة اقتراحات جديدة قد يعيد مشكلة عولجت. اجعل الحالات الحرجة جزءًا من اختبار كل تحديث، وأضفها إلى مجموعة أسئلة قياس جودة البحث في فئة الصلاحيات.
الخطوة التالية: شغّل الحالات على نموذج من وثائقكم
قبل الجلسة، اكتب لكل حالة التغيير المحدد، والحسابات، والكلمات الفريدة، والنتيجة المتوقعة. واطلب من كل مورد مسبقًا وصفًا مكتوبًا لأسلوب تطبيق الصلاحيات على البحث، والزمن المعلن لكل نوع تغيير، وسلوك النظام إن تعطلت الفهرسة. ثم نفّذ الحالات أمام فريقك بحسابات تمثل أدواركم، لا بحساب المورد. وإن أردت أن تجري ذلك على نظامنا، اطلب تجربة البحث على نموذج من مستنداتكم وأرسل معها قائمة الحالات التي اخترتها، لنجهز البيئة والحسابات ونقيس معكم زمن السريان في كل موضع.
أسئلة شائعة
هل يجب أن يكون سريان سحب الصلاحية في البحث فوريًا؟
ليس بالضرورة في كل الحالات، لكن يجب أن يكون معلنًا ومقبولًا لجهتك قبل الشراء. قرر ذلك بحسب الحساسية: قد تقبل الجهة زمنًا أطول لتغيير جماعي على وثائق مقيدة يُنفذ ليلًا، ولا تقبله لسحب صلاحية فردية على وثيقة سرية بسبب تحقيق. والمهم أن تُرفض محاولة فتح الوثيقة فورًا حتى لو تأخر اختفاء أثرها من البحث.
كيف نتعامل مع حالة طارئة تحتاج سحب الوصول فورًا؟
اسأل المورد عن إجراء عاجل موثق: تعطيل الحساب نفسه، أو رفع مستوى سرية الوثيقة، أو فرض إعادة فهرسة لوثيقة بعينها. ثم اختبر هذا الإجراء كحالة مستقلة، واكتبه في دليل التشغيل لدى مسؤول الصلاحيات، حتى لا يُكتشف وقت الأزمة أن الطريق الوحيد هو الانتظار.
هل نختبر هذه الحالات قبل الشراء أم بعد التهيئة؟
الاثنان. قبل الشراء تكفي الحالات الحرجة على بيئة تجريبية بالإصدار نفسه ومكونات البحث نفسها، لتعرف أسلوب النظام وزمنه المعلن. وبعد التهيئة والربط بالهوية المؤسسية والموارد البشرية تُعاد كلها، لأن مزامنة الأدوار والمجموعات من الأنظمة الأخرى تضيف زمنًا لا يظهر في البيئة التجريبية.
هل يسجل سجل التدقيق عمليات البحث نفسها؟
اسأل عن ذلك صراحة واختبره، لأنه يفيد في تقدير الأثر إن اكتُشف تسرب: من بحث بماذا، ومتى، وما الذي فتحه من النتائج. وفي نظامنا تُسجل عمليات البحث والاطلاع في سجل التدقيق. لكن تذكر أن سجل البحث نفسه قد يحتوي عبارات حساسة، فحدد من يطّلع عليه.