من يرى ماذا: التحكم في الوصول وسجلات التدقيق في أنظمة الأعمال
تحمي المعلومات السرية داخل نظام الأعمال أمران: من المسموح له أن يرى ماذا، وسجلٌّ بمن رأى فعلًا. الأول هو التحكم في الوصول — الأدوار والصلاحيات والقيود حتى مستوى الحقل والسجل. والثاني سجل تدقيق يوثّق القراءة لا التعديل فقط، ويُحفظ حيث لا يستطيع من يرصدهم تعديله.
ومعظم المنشآت المتوسطة لديها الأول بصورة تقريبية، ويكاد لا يوجد لديها الثاني. وفي عُمان صار لهذه الفجوة وزن قانوني. فسجل أنشطة المعالجة في قانون حماية البيانات يجب أن يبين المصرح لهم بالوصول إلى البيانات الشخصية. وقانون مكافحة جرائم تقنية المعلومات لعام 2026 يعاقب على تجاوز الدخول المصرح به، وبعقوبة أشد إن ارتكبه موظف أثناء عمله. والحماية التي يمنحها قانون الملكية الصناعية للأسرار التجارية تتوقف على اتخاذ خطوات معقولة للمحافظة على سريتها.
يتناول هذا المقال كيف تُصمَّم هذه العناصر داخل نظام مخصص أو نظام أعمال. أما جانب البنية التحتية — التحقق متعدد العوامل وصلاحيات المسؤولين والنسخ الاحتياطي — ففي الحد الأدنى الأمني الذي تحتاجه شركة عُمانية متوسطة الحجم.
الجواب المختصر
- امنح الوصول حسب الدور، وفق ما تحتاجه كل وظيفة، لا وفق من طلب بإلحاح أكبر.
- انزل تحت مستوى الشاشة: قيّد الحقول الحساسة، واحصر السجلات حسب الفرع أو الفريق أو الملكية.
- عامل التصدير صلاحيةً مستقلة. رؤية سجل وتنزيل عشرة آلاف سجل خطران مختلفان.
- افصل المهام حيث يستطيع شخص واحد أن يرتكب الخطأ أو الاحتيال ويخفيه معًا.
- سجّل القراءة لا الكتابة فقط للبيانات الحساسة، واحفظ السجلات بعيدًا عن متناول من ترصدهم.
- راجع الصلاحيات دوريًا، وأزلها يوم يغادر الشخص أو يتغير دوره.
لماذا صارت المسألة قانونية في عُمان
ثلاثة قوانين تلتقي على التصميم نفسه.
حماية البيانات. تشترط اللائحة التنفيذية لقانون حماية البيانات الشخصية سجلًا لأنشطة المعالجة يتضمن وصف فئات البيانات الشخصية وبيانات الأشخاص المصرح لهم بالوصول إليها. وتشترط أيضًا وضع أنظمة تحمي من الوصول غير المشروع إلى البيانات أو تسريبها أو العبث بها أو إساءة استخدامها. ولا تستطيع وصف المصرح لهم إن كان النظام نفسه لا يعرفهم.
الجرائم المعلوماتية. يطال قانون مكافحة جرائم تقنية المعلومات، الصادر بالمرسوم السلطاني رقم 61/2026، كل من دخل نظامًا عمدًا ودون وجه حق، أو تجاوز الدخول المصرح به، أو استمر فيه بعد علمه بذلك. والعقوبة الأساسية السجن من شهر إلى ستة أشهر و/أو غرامة من 100 إلى 1,000 ريال عماني، وتشتد إن نُسخت البيانات أو أُفشيت أو عُدلت، وتشتد أكثر إن كانت البيانات شخصية. ثم تقرر المادة 7 السجن من سنة إلى ثلاث سنوات و/أو غرامة من 3,000 إلى 7,000 ريال إن ارتُكبت الجريمة أثناء العمل أو بسببه، ولا يحول ترك الوظيفة دون تطبيقها.
وجريمة «تجاوز الدخول المصرح به» لا تحميك إلا إذا كان «المصرح به» محددًا. فنظام يستطيع فيه كل موظف فتح كل سجل يجعل إثبات التجاوز صعبًا جدًا.
الأسرار التجارية. تعتبر المادة 65 من قانون الملكية الصناعية (المرسوم السلطاني 67/2008) الكشف عن المعلومات غير المعلنة أو اكتسابها أو استخدامها دون موافقة صاحبها الشرعي، وبطريقة مخالفة للممارسات التجارية النزيهة، من أعمال المنافسة غير المشروعة. ومن عناصر التعريف أن يكون صاحبها قد اتخذ خطوات معقولة للمحافظة على سريتها. والوصول القائم على الأدوار والتسجيل من أوضح الأمثلة على الخطوات المعقولة التي يمكن لمنشأة أن تقدمها.
ابدأ من الوظائف لا من الأشخاص
ينجح التحكم القائم على الأدوار حين تصف الأدوار العمل. «موظفو مبيعات الفرع»، و«معتمد المالية»، و«مشرف المستودع»، و«مسؤول الموارد البشرية» أدوار. أما «صلاحيات أحمد» فليست دورًا.
ابنِ المصفوفة على ثلاث مراحل:
- عدّد الأدوار الموجودة في المنشأة، والإجراءات التي يجب أن يؤديها كل منها: عرض، وإنشاء، وتعديل، واعتماد، وحذف، وتصدير.
- امنح الحد الأدنى الذي يحتاجه كل دور لأداء عمله. وحين يطلب أحد المزيد، فالسؤال أي مهمة تتطلبه، لا هل هو موضع ثقة.
- عيّن الأشخاص في الأدوار. وحيث يحتاج شخص فعلًا إلى دورين، فامنحه الاثنين بدل اختراع دور هجين؛ فالأدوار الهجينة تتكاثر حتى لا يفهمها أحد.
وأبقِ عدد الأدوار صغيرًا بما يكفي ليقرأ مدير المصفوفة ويحكم على صحتها. فنموذج صلاحيات لا يستطيع شرحه إلا المطور الأصلي لن يُراجع، والنموذج غير المراجع ينحرف.
انزل تحت مستوى الشاشة: الحقول والسجلات
صلاحيات الشاشة — من يستطيع فتح صفحة العميل — هي الطبقة الخشنة. والسرية تكمن عادة في طبقتين أدق.
مستوى الحقل. يحتاج موظف خدمة العملاء اسم العميل وسجل طلباته وعنوان التوصيل، ولا يحتاج رقمه الوطني ولا حده الائتماني ولا ملاحظات مكالمة التحصيل. ويحتاج منسق الموارد البشرية أرصدة الإجازات لا الرواتب ولا الشهادات الطبية. فعلّم الحقول الحساسة في نموذج البيانات، ولا تجعل الأدوار تراها إلا حيث تتطلب الوظيفة.
مستوى السجل. مدير فرع صحار يرى عملاء صحار وموظفيها، لا عملاء صلالة. وموظف المبيعات قد يحتاج حساباته لا حسابات زملائه. وأوراق مجلس الإدارة للمجلس. فاحصر كل دور في السجلات التي يملكها، حسب الفرع أو الفريق أو الملكية أو التصنيف.
والطبقتان مكانهما الخادم لا الواجهة وحدها. فإخفاء حقل في الشاشة بينما الواجهة البرمجية ما زالت تعيده خطأ شائع، ويستطيع أي شخص يفتح أدوات المطور في المتصفح رؤية البيانات.
عامل التصدير صلاحيةً مستقلة
معظم التسربات الخطيرة لبيانات الأعمال تصديرٌ لا اختراق: قائمة عملاء نُزّلت في الأسبوع السابق لانتقال أحدهم إلى منافس، أو ملف رواتب أُرسل إلى بريد شخصي.
- اجعل التصدير صلاحية مستقلة عن العرض، تُمنح لأدوار أقل.
- سجّل كل عملية تصدير بمن، وماذا، وكم سجلًا، ومتى.
- نبّه على الأحجام: مستخدم يصدّر أكثر بكثير من نمطه المعتاد، أو يصدّر في ساعات غير معتادة.
- فضّل التقارير على المستخلصات الخام. فمعظم الاحتياجات يلبيها تقرير مجمّع لا يحمل بيانات شخصية.
والمنطق نفسه ينطبق على قنوات التصدير الجديدة. فلصق السجلات في أداة ذكاء اصطناعي خارجية تصدير أيضًا، ويتناوله مقال سياسة لاستخدام الموظفين لأدوات الذكاء الاصطناعي.
افصل المهام حيث يسهل الاحتيال
بعض تركيبات الصلاحيات تتيح لشخص واحد أن يرتكب المشكلة ويخفيها:
- إنشاء مورّد واعتماد الدفعات له؛
- تغيير بيانات الحساب المصرفي لعميل وإصدار استرداده؛
- تعديل جرد المخزون واعتماد الشطب؛
- منح صلاحيات المستخدمين واستخدام الصلاحية الممنوحة.
وزّع هذه بين أدوار مختلفة، واجعل النظام يفرض الفصل بدل الاعتماد على السياسات. وحيث لا يستطيع فريق صغير الفصل، فعوّض بالتسجيل ومراجعة شخص ثانٍ بعد الحدث.
سجّل القراءة لا الكتابة فقط
معظم الأنظمة تسجل من عدّل السجل، وقليل منها يسجل من اطلع عليه. وهذا مقبول للبيانات العادية. أما للبيانات الحساسة — الرواتب، والمعلومات الصحية، ووثائق هوية العملاء، واستراتيجية الأسعار، ومواد مجلس الإدارة — فالقراءة هي الحدث الذي تحتاج إلى رؤيته تحديدًا.
وسجل التدقيق المفيد يوثّق لكل حدث:
- من فعله، بوصفه شخصًا مسمّى — فالحسابات المشتركة تجعل السجلات بلا قيمة؛
- ماذا فعل — عرض، أو أنشأ، أو عدّل، أو اعتمد، أو صدّر، أو حذف؛
- أي سجل، وللتعديلات القيم قبل وبعد؛
- متى، ومن أين — الجهاز أو الشبكة.
وثلاث خصائص تجعل السجل جديرًا بالثقة:
- مقاومة العبث. احفظ السجلات حيث لا يستطيع مستخدمو التطبيق، ويُفضّل المسؤولون أيضًا، تعديلها أو حذفها: مخزن منفصل، أو إعدادات كتابة لمرة واحدة، أو خدمة سجلات.
- مدة احتفاظ تكفي للتحقيق. قد ينكشف الاختراق بعد شهور من بدايته، فاختر مدة الاحتفاظ بالسجلات عن قصد ووثّق سببها.
- شخص يقرؤها. السجلات التي لا يراجعها أحد تحميك في المحكمة لا قبلها. فحدّد تنبيهات قليلة مهمة — تصدير جماعي، ودخول خارج ساعات العمل، وحساب يطّلع على سجلات خارج نطاقه — وأرسلها إلى شخص مسمّى.
وبموجب قواعد حماية البيانات العُمانية، يجب إبلاغ الإدارة المختصة خلال 72 ساعة من العلم باختراق يهدد حقوق أصحاب البيانات. ودون سجلات للقراءة لا تستطيع أن تقول ما الذي اطُّلع عليه، فيصبح الافتراض الآمن هو الأوسع.
الالتحاق والتنقل والمغادرة
الصلاحيات تتآكل دون إجراء. وثلاث لحظات يجب ضبطها:
- الملتحقون يحصلون في اليوم الأول على الدور الذي تحتاجه وظيفتهم، لا على نسخة من الصلاحيات المتراكمة لسلفهم.
- المتنقلون يفقدون الدور القديم حين يحصلون على الجديد؛ فالترقية هي اللحظة التي يراكم فيها الناس بهدوء أكبر قدر من الصلاحيات.
- المغادرون يفقدون الوصول في يومهم الأخير — وقبل نهايته في الأدوار الحساسة — بما في ذلك تطبيقات الجوال ومفاتيح الواجهات البرمجية وكلمات المرور المشتركة التي عرفوها.
ثم راجع. كل ربع سنة أرسل لكل مدير قائمة بمن في فريقه وأي دور يحمل، واطلب تأكيدها. ومعظم العمل إزالة صلاحيات لم يتذكر أحد منحها.
الأطراف الخارجية: الموردون والمدققون والدعم
كثيرًا ما يحتاج الموردون إلى الوصول: مورّد البرمجيات للدعم، والمدقق للمراجعة، والمقاول لمشروع. امنحهم حسابات مسمّاة وأدوارًا محدودة وتاريخ انتهاء، وسجّل وصولهم بالدقة نفسها التي تسجل بها وصول الموظفين. فجرائم قانون 2026 تنطبق على كل من يتجاوز الدخول المصرح به، وعقدك يجب أن يحدد ما هو ذلك الدخول. ويتناول مقال كيف تتعاقد مع شركة برمجيات دون أن تسلّمها بياناتك شروط العقد.
أسئلة شائعة
ما التحكم في الوصول القائم على الأدوار؟ نموذج تُربط فيه الصلاحيات بأدوار تصف الوظائف — كمعتمد المالية أو مبيعات الفرع — ويُعيَّن الأشخاص في الأدوار. وهو يُبقي الوصول متسقًا وقابلًا للمراجعة وأسهل تغييرًا حين ينتقل شخص بين الوظائف.
هل نسجل من يطّلع على السجلات أم من يعدّلها فقط؟ للبيانات الحساسة سجّل الاطلاع أيضًا، فالقراءة هي الحدث المهم في خرق السرية. ومهلة الإبلاغ العُمانية البالغة 72 ساعة يصعب الوفاء بها إن لم تستطع أن تقول ما الذي اطُّلع عليه.
هل يرتكب الموظف الذي يطّلع على بيانات لا يحق له رؤيتها جريمة في عُمان؟ يعاقب قانون الجرائم المعلوماتية لعام 2026 على تجاوز الدخول المصرح به إلى نظام عمدًا، وتشتد العقوبة إن نُسخت البيانات أو أُفشيت، أو كانت شخصية، أو ارتُكبت الجريمة أثناء العمل. لكن ذلك لا يعمل إلا إذا حدد نظامك ما هو مصرح لكل شخص بالوصول إليه.
كيف يساعد التحكم في الوصول على حماية الأسرار التجارية؟ يحمي قانون الملكية الصناعية العُماني المعلومات غير المعلنة التي اتخذ صاحبها خطوات معقولة للمحافظة على سريتها. والوصول القائم على الأدوار وضوابط التصدير وسجلات التدقيق دليل ملموس على تلك الخطوات.
كم مرة تجب مراجعة الصلاحيات؟ مراجعة ربع سنوية من كل مدير لأدوار فريقه إيقاع عملي لمعظم المنشآت المتوسطة. وأزل صلاحيات المغادرين في يومهم الأخير، والدور القديم للمتنقل حين يُمنح الجديد.
هل يجب أن يملك مورّد البرمجيات وصولًا إلى نظام الإنتاج لدينا؟ بقدر ما يتطلبه الدعم فقط، عبر حسابات مسمّاة وأدوار محدودة وتاريخ انتهاء، مع تسجيل الوصول. فحسابات المسؤول المشتركة أو الدائمة للموردين من أصعب المخاطر رؤيةً.
يعرض هذا المقال الموقف وفق قانون حماية البيانات الشخصية ولائحته التنفيذية، وقانون مكافحة جرائم تقنية المعلومات الصادر بالمرسوم السلطاني رقم 61/2026، وقانون الملكية الصناعية، كما هي نافذة في 21 أكتوبر 2026، تاريخ نشره، وهو ليس استشارة قانونية أو أمنية؛ تحقق من وضعك لدى مستشار مؤهل.
المصادر: المرسوم السلطاني 61/2026 — قانون مكافحة جرائم تقنية المعلومات · القرار الوزاري 34/2024 — اللائحة التنفيذية لقانون حماية البيانات · المرسوم السلطاني 67/2008 — قانون الملكية الصناعية · OWASP — دليل التفويض · OWASP — دليل التسجيل
تحتاج أدوارًا وصلاحيات على مستوى الحقل وسجلات تدقيق في أنظمتك؟ تبني «ذوات» أنظمة أعمال وبرمجيات مخصصة يُصمَّم فيها التحكم في الوصول والتسجيل من الشاشة الأولى. احجز مكالمة.