فصل الصلاحيات بين الجهة والمتعهد والموردين في نظام الفعاليات

حين تنفذ جهة حكومية فعاليتها عبر متعهد، ويعمل المتعهد مع عشرة موردين أو أكثر، يصبح نظام الفعاليات مساحة مشتركة لأطراف مصالحها مختلفة: الجهة لا يجوز أن يعتمد عنها غيرها، والمتعهد لا يريد أن تنكشف أسعاره الداخلية لمورديه، والمورد لا يجوز أن يرى عرض منافسه. هذه المقالة موجهة لإدارة تقنية المعلومات ومن يقيّم النظام معها: كيف يُصمم فصل الصلاحيات بين الجهة والمتعهد والموردين، وما المصفوفة النموذجية، وأين تسقط الصلاحيات عادة، وكيف تختبر ذلك قبل التوقيع.

من يدخل النظام فعلًا: خمس فئات لا ثلاث

الحديث عن «ثلاثة أطراف» تبسيط مفيد لكنه يخفي فئات تحتاج كل منها معاملة مختلفة. عند تصميم الصلاحيات ابدأ بحصر من سيدخل النظام خلال دورة الفعالية كاملة، لا في يوم الإطلاق فقط.

ويحدد نموذج الملكية شكل الفصل: إن كانت الجهة تملك المنصة، يعمل المتعهد والموردون من بوابة المورد، ويكون مسؤول النظام موظفًا في الجهة. وإن كان المتعهد يملك منصته، تدخل الجهة من بوابة العميل، ويتحكم المتعهد في ما تراه الجهة وفق ما اتُّفق عليه في العقد. ما يجب أن تطّلع عليه الجهة من شؤون موردي المتعهد، وما يبقى له، قرار تعاقدي قبل أن يكون تقنيًا، وتفصّله مقالة موردي الفعاليات الحكومية وحدود رقابة الجهة. هنا نركز على ترجمة ذلك القرار إلى صلاحيات تعمل.

فصل الصلاحيات بين الجهة والمتعهد: أربع طبقات يُبنى عليها

الفصل الموثوق هو حاصل أربع طبقات تُقيّم معًا عند كل طلب وصول. أي نظام يكتفي بالدور وحده («هذا مورد») سيضطر إلى أحد خيارين سيئين: أن يرى كل الموردين كل شيء، أو أن تُنشأ مساحات منفصلة لكل مورد فتنقطع البيانات.

1. الدور: من أنت

الدور مجموعة صلاحيات تمثل وظيفة (ممثل الجهة، مدير مشروع المتعهد، مورد، مشرف ميداني). تُسند الصلاحيات إلى الأدوار لا إلى الأفراد؛ فإذا انتقل موظف من المشتريات إلى التشغيل تغيّر دوره ولم تتغير عشرون صلاحية فردية.

2. الإجراء: ماذا تفعل

لكل وحدة إجراءات مستقلة: عرض، وإنشاء، وتعديل، واعتماد، وحذف، وتصدير. الفصل بين «التعديل» و«الاعتماد» هو أساس فصل المهام (Segregation of Duties): مدير مشروع المتعهد يعدّل أمر التغيير ويرسله، وممثل الجهة يعتمده، ولا يجتمع الإجراءان في يد واحدة. والفصل بين «العرض» و«التصدير» مهم بالقدر نفسه: من يرى قائمة الضيوف على الشاشة ليس بالضرورة من يحق له تنزيلها ملفًا.

3. النطاق: على أي بيانات

النطاق يحدد مجموعة السجلات التي يعمل عليها الدور، ويتدرج في أربعة مستويات:

• الإدارة أو المنطقة: إدارة الاتصال المؤسسي ترى فعالياتها لا فعاليات إدارة الموارد البشرية.
• الفعالية: مدير مشروع المتعهد يرى المؤتمر الذي رُسّي عليه، لا الفعاليات الأخرى للجهة ولو كان المتعهد نفسه منفذًا لها بعقد مختلف.
• البند أو المتطلب: مورد الشاشات يرى بند «شاشة LED خلفية المسرح» وأمر عمله ومواعيد وصوله، لا بند الضيافة ولا ميزانية الفعالية.
• المستند: داخل ملف الفعالية نفسه، العقد الرئيسي بين الجهة والمتعهد ليس مستندًا يراه مورد الباطن، أما مخطط موقع التحميل فيراه.

4. الحقل: ما يُخفى داخل السجل

أحيانًا يحق للطرف أن يرى السجل ولا يحق له أن يرى حقلًا فيه. ممثل الجهة يرى بند الصوت والإضاءة وحالة توريده ونتيجة فحصه، دون سعر أمر عمل المتعهد مع مورده. ومشرف البوابة يرى اسم الضيف وفئته، دون رقم هويته أو جواله. إخفاء الحقول الحساسة حسب الدور هو ما يسمح بالعمل على سجل واحد بدل نسختين.

مصفوفة نموذجية: الدور × الإجراء × النطاق

المصفوفة التالية نقطة بداية لفعالية تملك الجهة منصتها ويعمل المتعهد والموردون من بوابة المورد. تُعدّل حسب العقد، وتصلح ملحقًا لمحضر جلسة تحليل المتطلبات بين تقنية المعلومات والإدارة المنظمة والمتعهد.

السطر الأكثر حساسية في هذه المصفوفة ليس سطر المورد كما يُتوقع، بل سطر مسؤول النظام. في كثير من الجهات يحصل مسؤول النظام على صلاحيات كاملة «لتسهيل الدعم»، فيصبح قادرًا على اعتماد تصميم أو محضر استلام نيابة عن غيره. افصل حساب الإدارة التقنية عن حسابات العمل، واجعل أي منح لصلاحية اعتماد تغييرًا يظهر في سجل التدقيق باسم من منحه.

حدود الاعتماد المالية حين يتعدد الأطراف

حد الاعتماد المالي هو أعلى مبلغ يستطيع مستخدم اعتماده في إجراء بعينه قبل أن يتحول القرار آليًا إلى مستوى أعلى. في فعالية متعددة الأطراف توجد سلسلتا حدود منفصلتان لا يجوز أن تتقاطعا: حدود المتعهد على مورديه، وحدود الجهة على المتعهد.

الحدود التالية افتراضية لتوضيح البنية، وتضع الجهة والمتعهد حدودهما وفق أنظمتهما وقراراتهما الداخلية.

مثال يوضح لماذا يجب ألا تتقاطع السلسلتان: قبل الافتتاح بأسبوع طلبت الجهة شاشة إضافية في قاعة الورش. أصدر مدير مشروع المتعهد أمر عمل لمورد الشاشات بمبلغ 38,000 ريال ضمن حده الداخلي، وهذا قرار يخصه. لكن إضافة الشاشة إلى نطاق العقد بين الجهة والمتعهد أمر تغيير يحتاج اعتماد الجهة. إذا كان النظام يعامل «الاعتماد» صلاحية واحدة بلا تمييز بين السلسلتين، فقد يظهر أمر العمل المعتمد كأنه موافقة على التغيير، ويُطالب المتعهد بقيمته في المستخلص دون أن يعتمدها أحد في الجهة.

تصميم مستويات الاعتماد داخل الجهة نفسها، والتفويض عند غياب صاحب الصلاحية، موضوع مفصل في مقالة موافقات الفعاليات الحكومية وسلسلة الاعتماد الداخلي.

أين تسقط الصلاحيات عادة: ثمانية مسارات تسرب

معظم أنظمة الفعاليات تفصل الأطراف جيدًا في الشاشة الرئيسية لكل وحدة. التسرب الحقيقي يحدث في المسارات الجانبية التي لا تُختبر في العرض التجريبي. هذه هي المسارات التي يجب أن يسأل عنها فريق تقنية المعلومات:

لاحظ أن ثلاثة من هذه المسارات (التصدير والإشعارات والتكاملات) تخرج البيانات من النظام أصلًا، فلا يعود فصل الصلاحيات داخله قادرًا على حمايتها. لهذا تحتاج هذه الثلاثة إلى تسجيل في سجل التدقيق يوضح من صدّر ماذا ومتى، وما الذي يجب أن يُسجل لكي يصمد السجل أمام المراجع تجده في مقالة Audit Trail للفعاليات.

دورة حياة الحساب: من الدعوة حتى الإيقاف بعد الإغلاق

الصلاحية الصحيحة يوم الإطلاق تصبح خاطئة بعد شهر إن لم تُدَر. في الفعاليات تحديدًا تتغير الأطراف بسرعة: يُرسّى بند على مورد جديد، ويُستبدل مورد متأخر، ويُضاف مئة من طاقم الورديات قبل يومين من الافتتاح، ثم تُغلق الفعالية ويبقى الجميع بحساباتهم.

1. الإنشاء بالمصدر الصحيح

   موظفو الجهة يدخلون بالدخول الموحد (SSO) عبر مزود هوية الجهة، فتُربط مجموعاتهم في Active Directory أو Microsoft Entra ID بأدوار النظام، ومن يُغلق حسابه في الجهة لا يعود قادرًا على الدخول. المتعهد والموردون يُدعون من البوابة بأدوارهم، ولا يُنشأ لهم حساب داخلي.

   تقنية المعلومات في الجهة
2. الإسناد بالنطاق لا بالدور فقط

   كل حساب خارجي يُسند إلى فعالية وبنود محددة. المورد الذي رُسّي عليه بند الشاشات في مؤتمر لا يرى تلقائيًا فعالية أخرى رُسّي عليه فيها بند آخر؛ كل إسناد مستقل.

   مدير الفعالية ومشتريات المتعهد
3. التحقق متعدد العوامل للأدوار الحساسة

   فرض MFA على من يعتمد أو يصدّر أو يرى بيانات كبار الشخصيات، وعلى الحسابات ذات الامتياز، مع إمكانية فرضه على الجميع إن كانت سياسة الجهة تتطلب ذلك.

   أمن المعلومات
4. التغيير عند تغير الدور

   استبدال مورد يعني إيقاف إسناد المورد السابق على البند فورًا، لا حين يتذكره أحد. وانتقال مدير مشروع المتعهد إلى فعالية أخرى يعني تعديل نطاقه، لا إضافة الفعالية الجديدة إلى القديمة.

   مدير الفعالية
5. المراجعة الدورية

   قائمة بكل حساب نشط، ودوره، ونطاقه، وآخر دخول له، تُرسل إلى مالك كل نطاق ليؤكد استمرار الحاجة. في فعالية تمتد أشهرًا تكفي مراجعة شهرية، ومراجعة إضافية قبل الافتتاح بأسبوع حين تُضاف أكثر الحسابات.

   مسؤول النظام مع مالكي النطاقات
6. الإيقاف بعد الإغلاق

   بعد محضر الاستلام النهائي تُوقف حسابات الطاقم المؤقت، ويُقلص نطاق المتعهد والموردين إلى ما يلزم لمتابعة الفواتير والمستخلص الأخير والضمانات، ثم يُوقف. الإيقاف لا يحذف السجل: ما فعله الحساب يبقى في سجل التدقيق.

   مسؤول النظام

هذه الخطوات ليست اجتهادًا تشغيليًا فقط. الضوابط الأساسية للأمن السيبراني (ECC-2:2024) الصادرة عن الهيئة الوطنية للأمن السيبراني تنص في مكون إدارة هويات الدخول والصلاحيات على أن تشمل متطلبات الجهة، كحد أدنى: منح الصلاحيات وفق مبادئ الحاجة إلى المعرفة والاستخدام وأقل صلاحية لازمة وفصل المهام، وإدارة الصلاحيات ذات الامتياز، والمراجعة الدورية للهويات وصلاحيات الدخول، والتحقق متعدد العوامل للدخول عن بعد وللحسابات ذات الامتياز. وتطلب في مكون الأطراف الخارجية أن تتضمن عقود الأطراف التي قد يؤثر خللها في بيانات الجهة بنودًا للسرية والحذف الآمن لبيانات الجهة عند انتهاء الخدمة. تحقق من انطباق الضوابط على جهتك ومن نسختها النافذة، فوجود الميزة في النظام لا يعني الامتثال؛ الامتثال يتحقق بإعدادات الجهة وإجراءاتها.

الاختبارات التي تطلبها من مورد النظام قبل التعاقد

قائمة الميزات لا تثبت الفصل. اطلب من كل مورد نظام أن يجهز بيئة عرض فيها فعاليتان وجهة ومتعهد ومورديْن متنافسين، وأن تُجرى الاختبارات التالية أمامك بحسابات حقيقية لا بحساب مدير يتنقل بين الشاشات:

اطلب أيضًا إجابات مكتوبة عن ثلاثة أسئلة لا يكشفها العرض: هل يمكن وضع تاريخ انتهاء للحساب الخارجي؟ وهل تُسجّل مطالعة البيانات الحساسة (لا تعديلها فقط)؟ وما الذي يستطيع فريق دعم المورد نفسه رؤيته في بيئة الجهة، وكيف يُسجّل دخوله؟ السؤال الأخير يُنسى كثيرًا، مع أن فريق دعم مورد النظام طرف رابع له وصول. وإن كانت جهتك تعد كراسة شروط كاملة، فهذه الاختبارات تكمل بند الصلاحيات متعددة الأطراف في مقالة متطلبات نظام فعاليات حكومي.

كيف يُطبق الفصل في إتمام

في المنصة تُبنى صلاحيات نظام الفعاليات على الطبقات نفسها التي شرحناها: الدور، والإجراء في كل وحدة، ونطاق الوصول بالفعاليات أو العملاء أو الإدارات أو المناطق، مع أدوار جاهزة وأدوار مخصصة تطابق هيكل الجهة.

ما لا يحسمه النظام وحده: من يملك قرار منح الصلاحية في جهتك، وما الذي اتفقت عليه مع المتعهد في العقد بشأن اطلاعك على مورديه، ومن يراجع الحسابات شهريًا. هذه قرارات تُكتب في جلسة تحليل المتطلبات قبل الإعداد، وتُراجع مع فريق أمن المعلومات، كما توضح صفحة الجهات الحكومية في خيارات التهيئة والاستضافة والدخول الموحد.

إذا كنت في مرحلة تقييم الأنظمة، فالطريقة الأسرع لاختبار ما سبق أن ترى المنصة بعيون الأدوار الثلاثة على فعالية تشبه فعالياتك. احجز جلسة تحليل متطلبات نبني فيها مصفوفة صلاحيات جهتك ونجري الاختبارات العشرة بحسابات ممثل الجهة والمتعهد والمورد.

أسئلة شائعة عن فصل الصلاحيات متعدد الأطراف