نشرت شركة تقنية للرعاية الصحية SailPoint IdentityNow لحوكمة شاملة للهوية، تغطي جميع الموظفين الداخليين عبر التوفير المؤتمت ومراجعات الوصول وإدارة دورة الحياة المرتبطة بأحداث نظام الموارد البشرية. وخلال تدقيق امتثال، طلب المدققون من فريق الحوكمة إثبات تغطية حوكمة الهوية لجميع فئات الهوية التي تملك وصولًا إلى أنظمة تحتوي على بيانات المرضى. كان IGA يغطي ثمانمئة موظف داخلي بشكل شامل. لكنه لم يغطِّ ثلاثة وستين حسابًا للمورّدين والمتعاقدين موجودة أيضًا في تلك الأنظمة. كانت حسابات المورّدين تُدار عبر مزيج من جدول بيانات يُحدَّث يدويًا، وطلبات توفير مباشرة إلى مسؤولي الأنظمة، ومراسلات مراجعة وصول بالبريد الإلكتروني تُرسل فصليًا إلى مديري حسابات المورّدين. لم يُحدَّث جدول البيانات منذ أربعة أشهر، وكان يدرج سبعة عشر حسابًا، بينما احتوت البيئة على ثلاثة وأربعين. وحققت مراجعة البريد الإلكتروني الفصلية معدل استجابة بلغ ثلاثة وخمسين بالمئة في الدورة الأخيرة، أي أن ما يقارب نصف حسابات المورّدين لم يُراجع. كان برنامج IGA ناضجًا وشاملًا للفئة التي صُمم لحوكمتها. أما فئة هويات المورّدين فكانت خارج نطاقه وتُحكم بجزء ضئيل من ذلك المستوى من النضج.
ما هي فجوات حوكمة الهوية فعلًا؟
حوكمة الهوية هي برنامج السياسات والإجراءات والأدوات التي تضمن أن الهويات الرقمية، أي حسابات المستخدمين وحسابات الخدمة وبيانات اعتماد API وسائر كيانات الوصول، تُنشأ بشكل مناسب، وتُصان بشكل متناسب، وتُلغى في الوقت المناسب طوال عمرها التشغيلي. وعادةً ما تنشأ برامج حوكمة الهوية من متطلبات إدارة الموظفين الداخليين: توفير الوصول للموظفين عند التعيين، وتعديل الوصول مع تغيّر الأدوار، وإلغاء التوفير عند انتهاء الخدمة. وقد صُمم إطار الانضمام والتنقل والمغادرة لدورة حياة الموظف. وكثيرًا ما يأتي تطبيقه على هويات المورّدين والمتعاقدين والشركاء في مرتبة لاحقة، فيُنتج إجراءات حوكمة أضعف بكثير من تلك المطبّقة على الموظفين الداخليين.
مشكلة استثناء الفئات هي الجذر البنيوي لفجوات حوكمة الهوية. فعمليات نشر IGA يُحدَّد نطاقها عند التطبيق: فئة الهوية التي يُضبط النظام لإدارتها، وأنظمة الموارد البشرية التي يتكامل معها لأحداث دورة الحياة، والتطبيقات التي يحكمها في مراجعات الوصول. وعادةً ما تُستثنى هويات المورّدين من نطاق IGA لأنها ليست في نظام الموارد البشرية، أو لأنها تُدار عبر إجراءات انضمام مختلفة، أو لأن نشر IGA سبق إدراك أن هويات المورّدين تتطلب حوكمة مكافئة. وكثيرًا ما يكون الاستثناء مقصودًا عند التطبيق، ثم يُغفل بوصفه فجوة حوكمة.
عجز الحوكمة اليدوية هو النتيجة العملية لاستثناء الفئات. ففئات الهوية الواقعة خارج IGA تُحكم عبر إجراءات يدوية: جداول بيانات، ومراسلات بالبريد الإلكتروني، وتذكيرات مراجعة مرتبطة بالتقويم، وتقدير المسؤولين. وتُنتج هذه الإجراءات اليدوية حوكمة غير متسقة، معتمدة على الجهد المبذول، وأقل صرامة بشكل منهجي من الحوكمة المؤتمتة المطبّقة على الفئات الواقعة ضمن نطاق IGA. فمراجعات الوصول تحقق معدلات استجابة أدنى. وأحداث دورة الحياة تولّد إجراءات توفير وإلغاء توفير أقل موثوقية. وجرود الحسابات أقل دقة. وفجوة نضج الحوكمة بين الهويات المحكومة بـ IGA والهويات المحكومة يدويًا كبيرة، وتتسع مع الوقت لأن الفئة المحكومة بـ IGA تستفيد من تحسينات مستمرة بينما تبقى الفئة المحكومة يدويًا جامدة.
- استثناء هويات المورّدين من نطاق IGA: إجراءات حوكمة يدوية لفئات الهوية الواقعة خارج تغطية IGA
- غياب أحداث دورة الحياة التي تُطلقها الموارد البشرية لمغادرة موظفي المورّدين: إنهاء علاقة المورّدين غير مدمج مع إدارة دورة الحياة في IGA
- معدلات إتمام أدنى لمراجعات الوصول في حسابات المورّدين: مراجعات المورّدين بالبريد الإلكتروني تحقق معدلات استجابة أدنى بكثير من المراجعات المفروضة عبر IGA
- عدم دقة جرد الحسابات: قوائم حسابات المورّدين المحفوظة يدويًا أقل دقة بكثير من قوائم حسابات الموظفين المُدارة بـ IGA
- غياب الكشف المؤتمت عن الشذوذ لهويات المورّدين: عدم تطبيق تحليلات السلوك وتقييم المخاطر على الفئات الواقعة خارج نطاق IGA
لماذا يهم هذا
تكتسب فجوات حوكمة الهوية أهمية في TPRM لأنها تكشف فرقًا منهجيًا في نضج الحوكمة بين طريقة إدارة المورّد لهويات موظفيه وطريقة إدارته لهويات موظفي المورّد الذين يصلون إلى بيئات العملاء. فالمورّد الذي لديه برنامج IGA داخلي ممتاز يستثني حسابات المتعاقدين وموظفي المورّدين منه لديه وضع حوكمة هوية من مستويين: مستوى للموظفين الداخليين بحوكمة كاملة، ومستوى للموظفين الخارجيين بحوكمة يدوية. ويأتي تعرض العميل أساسًا عبر الموظفين الخارجيين الذين يصلون إلى بيئته، أي من المستوى الأضعف حوكمةً.
ولبُعد نتائج التدقيق صلة مباشرة أيضًا. فتغطية حوكمة الهوية تُفحص بشكل متزايد في عمليات التدقيق التنظيمية وتقييمات SOC 2 ومراجعات TPRM. والمدققون الذين يكتشفون أن هويات المورّدين التي تملك وصولًا إلى بيانات منظَّمة تُحكم عبر جدول بيانات آخر تحديث له قبل أربعة أشهر، بينما تُحكم فئة الموظفين الداخليين عبر IGA ناضج، سيجدون فجوة حوكمة كبيرة بصرف النظر عن نضج البرنامج الداخلي. فالتدقيق يتناول حماية البيانات عبر جميع فئات الهوية، لا نضج IGA للفئات التي يغطيها.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو المساواة بين نضج برنامج IGA وتغطية حوكمة الهوية. فنظام IGA الناضج الذي يغطي الموظفين الداخليين بشكل شامل ويستثني هويات المورّدين من نطاقه يتمتع بنضج عالٍ للفئة التي يغطيها، وبلا أتمتة للفئة التي لا يغطيها. تصف درجة النضج نشر IGA. وتصف فجوة التغطية فئات الهوية التي تعيش خارجه.
- المساواة بين نضج IGA وتغطية حوكمة الهوية
- التعامل مع استثناء هويات المورّدين من نطاق IGA على أنه مقبول
- عدم الاعتراف بالحوكمة اليدوية لحسابات المورّدين بوصفها فجوة في مستويات الحوكمة
- عدم تقييم دقة جرد الحسابات بشكل منفصل لفئتي المورّدين والموظفين
- معدلات إتمام مراجعات الوصول غير متتبَّعة حسب فئة الهوية
كيف تبدو الممارسة الجيدة
توسّع برامج حوكمة الهوية الناضجة تغطية IGA لتشمل جميع فئات الهوية التي تملك وصولًا كبيرًا إلى البيانات الحساسة، أي الموظفين الداخليين والمتعاقدين والمورّدين وحسابات الخدمة، مع نقاط تكامل مناسبة لأحداث دورة حياة كل فئة، وتطبيق متسق لمراجعات الوصول عبر جميع الفئات، وكشف موحد للشذوذ يغطي جميع الهويات المحكومة.
- توسيع نطاق IGA ليشمل هويات المورّدين والمتعاقدين: أدوات الحوكمة نفسها لجميع فئات الهوية
- دمج أحداث دورة حياة المورّدين: إشعارات المغادرة تُطلق إجراءات إلغاء التوفير في IGA بدلًا من الإجراءات اليدوية
- تطبيق متسق لمراجعات الوصول: مراجعات حسابات المورّدين بمتطلبات معدل الإتمام نفسها المطبّقة على مراجعات الموظفين
- جرد موحد للحسابات: حسابات المورّدين في المصدر المرجعي نفسه لحسابات الموظفين
- تغطية تحليلات السلوك لهويات المورّدين: تطبيق تقييم المخاطر وكشف الشذوذ على جميع فئات الهوية
الأدوات
حوكمة الهوية: SailPoint وSaviynt وOmada
تدعم منصات IGA المؤسسية أنواعًا متعددة من فئات الهوية، كالموظفين والمتعاقدين والمورّدين وحسابات الخدمة، مع نقاط تكامل قابلة للضبط لدورة حياة كل منها. وتعالج وحدة إدارة هويات غير الموظفين في SailPoint IdentityNow تحديدًا حوكمة هويات المتعاقدين والمورّدين بأحداث دورة حياة ومسارات عمل لمراجعة الوصول قابلة للضبط. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كان IGA لدى المورّد يغطي هويات المورّدين والمتعاقدين إلى جانب الموظفين الداخليين يكشف مسألة نطاق التغطية.
التكامل مع إدارة المورّدين: ProcessUnity، ServiceNow
تربط منصات إدارة المورّدين المتكاملة مع IGA أحداث دورة حياة علاقة المورّد، كبدء المهمة وانتهائها وتغيّر الموظفين، بمسارات عمل التوفير وإلغاء التوفير في IGA. ويستبدل التكامل إجراءات الإشعار اليدوية بمحفزات مؤتمتة لدورة الحياة تُنتج إدارة وصول أكثر موثوقية وأسرع توقيتًا. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كان IGA لدى المورّد متكاملًا مع نظام إدارة المورّدين لديه لأحداث دورة الحياة يوفر سؤالًا محددًا عن تغطية الأتمتة.
تحديات الحوكمة
يتمثل تحدي الحوكمة في فجوات حوكمة الهوية في تعقيد التكامل اللازم لتوسيع تغطية IGA لتشمل الفئات من غير الموظفين. فدورة حياة هوية الموظف مفهومة جيدًا: أحداث نظام الموارد البشرية تُطلق إجراءات IGA. أما دورة حياة هوية المورّد فلا تملك نقطة تكامل واضحة مكافئة؛ فإشعار مغادرة موظف المورّد قد يأتي عبر البريد الإلكتروني، أو عبر أنظمة إدارة العقود، أو لا يأتي إطلاقًا. ويتطلب بناء أتمتة مكافئة لدورة حياة هويات المورّدين إما دمج إجراءات إدارة المورّدين مع IGA، وإما تطبيق آلية إشعار خاصة بالمورّدين يستطيع IGA التصرف بناءً عليها بشكل موثوق.
- قيّم نطاق تغطية IGA: أي فئات الهوية مشمولة وأيها مستثناة
- اسأل تحديدًا عن حوكمة هويات المورّدين: كيف تُحكم حسابات المورّدين مقارنةً ببرنامج IGA الداخلي
- قارن دقة جرد الحسابات بين فئتي الموظفين والمورّدين
- قارن معدلات إتمام مراجعات الوصول بين الفئات المحكومة بـ IGA والفئات المحكومة يدويًا
- اشترط تغطية IGA لهويات المورّدين معيارًا لحوكمة وصول المورّدين
إذا كنت فريقًا صغيرًا
اطرح على أعلى مورّديك مخاطرة سؤالين يكشفان فجوة تغطية حوكمة الهوية مباشرةً. الأول: هل تغطي منصة حوكمة الهوية لديكم حسابات المورّدين والمتعاقدين التي تصل إلى بيئات العملاء، أم تُدار تلك الهويات عبر إجراءات يدوية منفصلة؟ والثاني: ما دقة جرد حسابات المورّدين لديكم، وتحديدًا، متى طابقتم آخر مرة قائمة حسابات المورّدين مع الحسابات النشطة فعليًا في الأنظمة التي يصل إليها أولئك المورّدون؟ يكشف هذان السؤالان ما إذا كانت هوية المورّد موجودة في IGA أم في جدول بيانات، وما إذا كان جدول البيانات محدّثًا.
- اسأل عمّا إذا كان IGA يغطي حسابات المورّدين والمتعاقدين إلى جانب الموظفين
- اسأل عن دقة جرد حسابات المورّدين وتاريخ آخر مطابقة
- اسأل عن معدلات إتمام مراجعات الوصول لحسابات المورّدين مقابل حسابات الموظفين
- اسأل عن دمج أحداث دورة حياة المورّدين مع IGA
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«هل تغطي منصة حوكمة الهوية لديكم حسابات المورّدين والمتعاقدين التي تملك وصولًا إلى بيئات العملاء، أم تُدار تلك الهويات عبر إجراءات يدوية منفصلة مثل جداول البيانات والمراجعات بالبريد الإلكتروني؟»
«ما دقة جرد حسابات المورّدين في بيئتكم، وتحديدًا، متى أُجريت آخر مطابقة بين توثيق حسابات المورّدين لديكم والحسابات النشطة فعليًا في أنظمتكم؟»
ما تتوقعه دليلًا
- توثيق نطاق تغطية IGA: فئات الهوية المشمولة
- جرد حسابات المورّدين مع تاريخ آخر مطابقة
- بيانات معدلات إتمام مراجعات الوصول حسب فئة الهوية
- دمج أحداث دورة الحياة لحسابات المورّدين
ينبغي أن يُسأل المورّد الذي يؤكد وجود نشر ناضج لـ IGA تحديدًا عمّا إذا كان IGA يغطي حسابات المورّدين والمتعاقدين أم الموظفين الداخليين فقط. فنضج IGA للفئة التي يغطيها لا يصف الحوكمة للفئات الواقعة خارج نطاقه. اسأل عن الفئات المشمولة بالنطاق. فالفئات الواقعة خارجه هي فجوة الحوكمة.
كيف تُثبت ذلك
- توثيق نطاق تغطية IGA بما يشمل هويات المورّدين والمتعاقدين
- سجلات مطابقة جرد حسابات المورّدين
- مقارنة معدلات إتمام مراجعات الوصول حسب فئة الهوية
- توثيق دمج دورة حياة المورّدين
الخلاصة الرئيسية
يحكم IGA الفئات التي صُمم لحوكمتها. أما هويات المورّدين المدرجة في جدول بيانات آخر تحديث له قبل أربعة أشهر فليست في IGA؛ إنها في جدول البيانات، يحكمها من يتذكر تحديثه، ويراجعها من يرد على البريد الإلكتروني الفصلي، ويزيلها من يلاحظ المغادرة. ثلاثة وأربعون حسابًا. سبعة عشر منها في جدول البيانات. فجوة الحوكمة هي الفرق بينهما. ويتطلب توسيع تغطية IGA لتشمل جميع فئات الهوية التي تملك وصولًا كبيرًا إلى البيانات الحساسة عمل تكامل لربط أحداث دورة حياة المورّدين بإجراءات IGA، لكن البديل هو الإبقاء الدائم على مستوى حوكمة أدنى للهويات الأكثر تأثيرًا المباشر في مخاطر العملاء.