كيف تختبر مستويات السرية في نظام الأرشفة قبل اعتماده؟

هذه المقالة لمسؤولي الأمن السيبراني والصلاحيات الذين طُلب منهم اعتماد نظام أرشفة سيحفظ وثائق بمستويات سرية مختلفة. تفترض أن نموذج الصلاحيات نفسه قُيّم، وهو ما تشرحه مقالة تقييم صلاحيات النظام على مستوى الوثيقة والإدارة، وتركز على سؤال مختلف: هل يلتزم النظام بمستوى السرية في كل مكان تظهر فيه الوثيقة أو أثرها، لا في شاشة فتحها فقط؟

أين تتسرب الوثيقة السرية دون أن تُفتح؟

أغلب الأنظمة تطبق السرية بإتقان على زر «فتح». المشكلة أن الوثيقة تعيش في النظام بأكثر من شكل: عنوانها في الفهرس، ونصها في محرك البحث، وصورتها المصغرة في ذاكرة المعاينة، واسمها في قائمة مهام، وعددها في لوحة تقارير، ومحتواها في نطاق المساعد الذكي. كل شكل من هذه قناة مستقلة، وقد تُبنى في النظام بمكون مختلف، فتطبق السرية بطريقة مختلفة أو لا تطبقها.

لتحكم على ما تراه في الاختبار، صنّف أي ظهور غير متوقع بأحد أربعة أنواع:

• تسرب الوجود: يعرف المستخدم أن وثيقة موجودة دون أن يرى عنها شيئًا، مثل عدد نتائج يزيد بواحد، أو سطر «وثيقة مقيدة» في ملف مجمع. أحيانًا تقبله الجهة عمدًا ليطلب المستخدم الصلاحية، وأحيانًا يكون الوجود نفسه سرًا. قرره قبل الاختبار.
• تسرب البيانات الوصفية: يظهر العنوان أو اسم الطرف أو رقم المعاملة أو التاريخ. لا تستخف به: عنوان مثل «محضر تحقيق مع موظف» أو «عرض استحواذ على شركة» قد يكون أخطر من نص الوثيقة.
• تسرب المحتوى: يظهر جزء من النص أو الصورة، في مقتطف بحث أو صورة مصغرة أو ملخص أو إجابة مساعد.
• تسرب الإتاحة: يستطيع المستخدم فتح الوثيقة أو تنزيلها أو مشاركتها بأي طريق، ولو برابط مباشر.

النوعان الأخيران فشل حرج في أي مستوى سرية. أما الأول والثاني فتتحدد خطورتهما بالمستوى: قد يُقبل ظهور عنوان وثيقة «مقيدة» لمستخدم داخل الإدارة نفسها، ولا يُقبل ظهور عنوان وثيقة «سرية» لأحد خارج قائمتها.

التجهيز: المستويات والحسابات ووثائق الطُّعم

1. ثبّت المستويات وما يعنيه كل منها

ابدأ من مستويات السرية المعتمدة لدى جهتك، لا من مستويات النظام الافتراضية. الجهات العامة في المملكة ترجع إلى سياسة تصنيف البيانات ضمن سياسات حوكمة البيانات الوطنية الصادرة عن مكتب إدارة البيانات الوطنية، وفيها أربعة مستويات: سري للغاية، وسري، ومقيد، وعام، مع إمكان تقسيم المقيد إلى مستويات فرعية بحسب نطاق الأثر. وتنص السياسة كذلك على مبادئ تمس الاختبار مباشرة: الحاجة إلى المعرفة، والحد الأدنى من الامتيازات، واعتماد المستوى الأعلى حين تجمع مجموعة بيانات متكاملة مستويات مختلفة. أما الشركات فلها مستوياتها الداخلية. في الحالتين اكتب لكل مستوى: من يطّلع، وما العمليات المسموحة، وهل يجوز إظهار وجود الوثيقة لمن لا يطّلع عليها.

2. جهّز حسابات تمثل الفروق لا الأشخاص

لكل مستوى تختبره تحتاج على الأقل: مستخدمًا مخولًا بالمستوى، وزميلًا له في الإدارة والتصنيف نفسيهما لكنه غير مخول بالمستوى، ومستخدمًا من إدارة أخرى، ومسؤول النظام الذي يدير الإعدادات دون صلاحية المحتوى، ومستخدمًا يملك صلاحية التقارير أو مراجعة سجل التدقيق، وحساب مستخدم خارجي بمشاركة. الحساب الثاني هو الأهم: هو من يكشف أن السرية بُعد مستقل عن الدور، لا اسم آخر للإدارة.

3. أنشئ وثائق الطُّعم

لكل مستوى وثيقة واحدة على الأقل تحمل كلمة فريدة لا تُستخدم في أي مكان آخر، مثل تركيب لا معنى له. ضع كلمة في العنوان، وأخرى في النص، وثالثة في حقل بيانات وصفية كاسم الطرف، ورابعة داخل صورة ممسوحة لا تُقرأ إلا بقراءة النصوص الآلية (OCR). بهذا لا تبحث عن «هل ظهرت الوثيقة؟» بل عن «هل ظهرت هذه الكلمة؟»، وتعرف من الكلمة أي جزء تسرب وعبر أي طبقة.

وأضف ثلاث حالات خاصة: وثيقة لها إصدار سابق بمستوى أدنى، وملف مجمع يضم وثائق بمستويات مختلفة، ووثيقة سيُرفع مستواها أثناء الاختبار. استخدم محتوى مصطنعًا لا وثائق حقيقية، حتى لا يصبح الاختبار نفسه تسربًا.

حالات الاختبار عبر قنوات الوصول

الجدول التالي يُنفذ لكل مستوى سرية. المستخدم في كل حالة هو الزميل غير المخول بالمستوى ما لم يُذكر غيره، والوثيقة هي وثيقة الطعم لذلك المستوى.

لقنوات إخراج الملف تفاصيل أكثر في مقالة فصل صلاحية عرض المستند عن تنزيله وطباعته، ولأثر تغيير الصلاحيات على البحث بتوسع في مقالة اختبار أثر تغيير الصلاحيات على نتائج البحث. ما يميز الجدول هنا أنه يُكرر لكل مستوى، لأن النظام قد يحترم مستوى «سري» في البحث ويتساهل في «مقيد»، أو العكس، إذا كانت المستويات تُطبق بقواعد مختلفة.

اختبار تغيّر المستوى: ما يحدث بعد رفع السرية أو خفضها

الوثائق لا تبقى في مستواها الأول. محضر عادي يصبح سريًا حين يُفتح تحقيق، وعقد سري يُخفض بعد انتهائه. ورفع المستوى هو اللحظة الأخطر، لأن الوثيقة كانت قبلها متاحة لمن لم يعد مخولًا. نفّذ هذه الحالات على وثيقة الطعم المخصصة للتغيير:

1. قبل الرفع

   اجعل المستخدم غير المخول لاحقًا يبحث عنها ويفتحها ويحفظها في بحث، ويشاركها معه زميل مخول مشاركة سارية، ويصله إشعار عنها.

   فريق الاختبار
2. الرفع

   يرفع المخول مستوى الوثيقة، وتُسجل الساعة بدقة.

   مالك الوثيقة
3. القياس

   أعد الحالات 2 إلى 7 و11 بالحساب نفسه، وسجل متى اختفت الوثيقة من كل قناة. قارن ذلك بالمدة التي أعلنها المورد لسريان التغيير، لا بانطباعك.

   فريق الاختبار
4. ما بقي خارج السيطرة

   تحقق من المشاركة السارية: هل أُلغيت، أم علقت للمراجعة، أم بقيت؟ ومن الإصدار السابق: هل رُفع مستواه أيضًا؟ ومن البحث المحفوظ: هل يعرض الوثيقة؟ ومن الإشعار الذي وصل: هل ما زال رابطه يفتحها؟

   فريق الاختبار
5. التقرير

   اطلب من النظام تقريرًا بمن اطلع على الوثيقة أو نزّلها قبل الرفع. هذا ما ستحتاجه الجهة لتقدير الأثر، لأن النسخ التي نُزّلت قبل الرفع لا يستطيع أي نظام استعادتها.

   مسؤول الأمن

ثم نفّذ الاتجاه المعاكس: خفض المستوى يجب ألا يفتح الوثيقة لمن لا تشمله الصلاحيات الأخرى، وأن يُسجل بمن قرره وسببه. وأخيرًا اختبر الملف المجمع: عند إضافة وثيقة سرية إلى ملف مقيد، هل يرتفع مستوى الملف كله أم تُحجب الوثيقة وحدها؟ كلا السلوكين قد يكون مقبولًا، والمهم أن يطابق سياسة جهتك في الجمع بين المستويات، وأن يكون معلنًا لا مكتشفًا.

المساعد الذكي: قناة تحتاج اختبارًا بأسئلة ماكرة

المساعد الذي يجيب من الوثائق أو يلخصها قناة مختلفة عن البحث: لا يعرض الوثيقة، بل يعيد صياغة ما فيها. لذلك لا يكفي أن تسأله عن الوثيقة بالاسم. اسأله بطرق غير مباشرة:

• سؤال لا جواب له إلا في الوثيقة: «ما قيمة الاتفاق مع الطرف [كلمة حقل الطرف]؟». المتوقع ألا يجيب، وألا يقول «توجد وثيقة لا يمكنني عرضها» إن كان الوجود سرًا في سياستكم.
• سؤال تجميعي: «لخص كل ما لدينا عن موضوع كذا»، حين يكون جزء من الإجابة في وثيقة سرية وجزء في وثائق مسموحة. المتوقع إجابة من المسموح فقط، ومصادر كلها مسموحة.
• سؤال بعد رفع المستوى: أعد السؤال الأول بعد الرفع. المساعد الذي يعتمد على فهرس أو ذاكرة مؤقتة قد يتأخر عن بقية القنوات.
• سجل الأسئلة: تحقق من أن أسئلة المستخدمين وإجاباتها تُسجل بطريقة تتيح المراجعة، وأن من يراجع هذا السجل يخضع هو أيضًا لمستويات السرية.

يعمل المساعد في نظامنا على الوثائق التي يملك المستخدم صلاحية الاطلاع عليها فقط، وكل إجابة مرتبطة بمصادرها. ومع ذلك، اطلب هذه الأسئلة من أي مورد على بيئتكم، فالتصميم الصحيح يُثبت بالاختبار لا بالوصف.

توثيق النتيجة: سجل الحالة ومعيار القرار

الاختبار الذي لا يُوثق لا يصلح أساسًا للاعتماد، ولا يمكن إعادته بعد تحديث النظام. سجّل لكل حالة:

معيار الاعتماد المقترح بسيط: لا حالة فاشلة بتسرب محتوى أو إتاحة في أي مستوى، ولا تسرب بيانات وصفية في المستويات التي تعدّها جهتك عالية، وكل تسرب وجود مطابق للسياسة المكتوبة. وأي حالة عولجت بإعداد تُعاد بعد التعديل، ويُعاد الجدول كله بعد كل تحديث رئيسي للنظام، لأن التحديث قد يضيف قناة جديدة كلوحة أو اقتراح بحث. ويمكن ضم هذه الحالات إلى سيناريوهات اختبار القبول لتصبح شرطًا تعاقديًا لا اختبارًا وديًا.

أخطاء تجعل الاختبار ينجح والنظام يتسرب

• الاختبار بحساب مسؤول النظام: المسؤول يرى أكثر من غيره، أو أقل بإعدادات خاصة. الاختبار الصحيح بحسابات مستخدمين عاديين بأدوار حقيقية.
• الاختبار في إدارة مختلفة فقط: منع إدارة أخرى من رؤية الوثيقة يختبر الصلاحيات، لا السرية. السرية تُختبر بزميل في الإدارة نفسها.
• البحث باسم الوثيقة فقط: الوثيقة قد لا تظهر بعنوانها، لكنها تظهر بكلمة من داخل صورتها الممسوحة. لهذا توضع الكلمات الفريدة في كل طبقة.
• تجاهل الإشعارات لأنها «بريد»: سطر الموضوع في بريد يصل إلى جوال شخصي خارج النظام تمامًا، ولا يمكن استرجاعه.
• ترك قرار «الوجود» للنظام: إن لم تكتب مسبقًا هل يجوز إظهار «وثيقة مقيدة» في الملف المجمع، فستقبل ما يفعله النظام افتراضيًا ثم تكتشف أنه يخالف سياستكم.
• اختبار مرة واحدة قبل الإطلاق: القنوات تزداد مع كل تحديث وتكامل جديد. الجدول أداة تشغيل دورية، لا وثيقة قبول تُحفظ وتُنسى.

الخطوة التالية: شغّل الجدول على مستويات جهتك

اكتب مستويات السرية لديكم وما يُسمح به في كل منها، وقرار إظهار الوجود لكل مستوى، ثم جهّز الحسابات ووثائق الطعم قبل أي عرض. واطلب من كل مورد تنفيذ الجدول كاملًا أمام فريقكم، لا عرض لقطات جاهزة.

تُطبق درجات السرية التي تحددها جهتك على الوصول والتنزيل والطباعة والمشاركة، ويسري البحث ضمن صلاحيات المستخدم فلا تظهر الوثيقة المحجوبة في النتائج ولا المقتطفات ولا إجابات البحث باللغة الطبيعية، ويُسجل كل اطلاع في سجل التدقيق. إن أردت أن تشغل الجدول على بيئة تحاكي هيكلكم، اطلب عرضًا توضيحيًا لمستويات السرية وصلاحيات الإدارات وأرسل معه مستوياتكم وقرارات الوجود، لنجهز الحسابات ووثائق الطعم قبل الجلسة.

أسئلة شائعة