المراجعة الأمنية في نهاية المشروع تستطيع اكتشاف ترويسات ناقصة وتهيئة ضعيفة ومدخلات غير مُتحقق منها. أما ما لا تستطيع اكتشافه — لأن الوقت تأخر على تغييره — فهو بنية لا يطابق فيها نموذج الصلاحيات طريقة توزيع المسؤوليات في المؤسسة، أو بنية انتشرت فيها بيانات حساسة إلى أماكن ما كان ينبغي أن تصلها.
نموذج الصلاحيات مُخرَج تصميمي
في الأنظمة التي تحمل بيانات إكلينيكية أو مالية أو شخصية، يُعد نموذج الصلاحيات من أكثر قرارات التصميم أثرًا في المشروع. فهو يحدد ما يراه كل دور، وما يستطيع سجل التدقيق إثباته، وما إذا كان الموظفون سيعملون داخل النظام أم حوله.
ويجب أن يُبنى من المسؤولية التنظيمية الفعلية، ما يعني الحديث مع الأقسام لا قراءة الهيكل. ويجب أن يُنفَّذ في مكان واحد — فالتحقق المكرَّر عبر التطبيق سيختلف مع نفسه في النهاية.
التشفير ليس ميزة تُفعَّل
للتشفير التطبيقي داخل أنظمة الأعمال — توقيع المستندات ومعالجة الرموز وتبادل البيانات بأمان مع جهة خارجية — دورة حياة. تُصدَر المفاتيح وتُدوَّر وتُلغى. وتنتهي صلاحية الرموز. وتحتاج بيانات الاعتماد مكانًا للعيش غير ملف تهيئة في المستودع.
- أين تعيش بيانات الاعتماد ومن يستطيع قراءتها؟
- ماذا يحدث حين ينتهي رمز في منتصف عملية؟
- كيف يجري التدوير دون توقف؟
- ما الذي يُسجَّل، وهل صار السجل نفسه يحتوي شيئًا حساسًا؟
والسؤال الأخير يوقع فرقًا أكثر مما ينبغي. فالتسجيل التشخيصي المُضاف أثناء عمل التكامل طريق شائع لانتهاء بيانات حساسة في مكان لم يُقصد لها قط.
التكاملات هي حيث تقع حدود الثقة فعلًا
كل تكامل حدّ ثقة. والبيانات العابرة إليه يجب التحقق منها عند الدخول بغض النظر عن سمعة المصدر، وما يُكشف عند الخروج يجب أن يكون الحد الأدنى الذي يحتاجه الطرف الآخر. وهذا مباشر في التصميم وثقيل في الإضافة اللاحقة، لأن أنظمة أخرى تكون قد اعتمدت على الشكل الحالي.
الأمن يجب أن ينجو من الصيانة
لا تُخترق الأنظمة في الحالة التي سُلِّمت بها. تُخترق بعد عامين من التغييرات تحت ضغط الوقت من أشخاص لم يحضروا محادثات التصميم الأصلية. ولهذا يجب أن يكون النموذج الأمني بسيطًا بما يكفي ليُفهم سريعًا، ومنفَّذًا مركزيًا، وموثقًا بطريقة تجعل القصد واضحًا.
والتصميم الأمني المعقّد الصحيح عند الإطلاق أسوأ من تصميم أبسط يظل صحيحًا خمس سنوات.