قائمة تحقق: مصفوفة صلاحيات تبدأ من المستخدم وتنتهي بالبيانات
اسم الدور يساعد الإدارة، لكنه لا يحل محل فحص الصلاحيات الفعلية ونطاق الفرع والسجل الرقابي عند كل عملية.
الغرض والمسؤولية
المسؤول المقترح
مسؤول الأمن ومالك العملية
نوع دليل الإثبات
طلبات API ناجحة ومرفوضة مع مرجع اختبار وسجل مناسب
رحلة العمل في خمس مراحل
- 01هوية المستخدممن يطلب العملية وما الحساب النشط؟
- 02القدرةهل مُنح هذا المستخدم هذا الفعل؟
- 03نطاق البياناتهل الشركة والفرع والمورد ضمن حدوده؟
- 04نتيجة الخادمسماح أو منع واضح قبل قراءة بيانات محمية
- 05تدقيقتسجيل الفعل المسموح أو المرفوض حيث يلزم
قائمة تحقق قبل اتخاذ القرار
يمكنك تعبئتها بالقلم بعد الطباعة، أو وضع علامات داخل المتصفح ثم الطباعة. لا تُحفظ الإجابات على خادم.
| تم | نقطة المراجعة | النتيجة / ملاحظة | مرجع الدليل |
|---|---|---|---|
| 01 · تحديد العمليات الحساسة | |||
| 02 · منح الصلاحيات للمستخدم أو عبر وسيلة مساعدة واضحة | |||
| 03 · إثبات صلاحية مستخدم عادي | |||
| 04 · اختبار طلب إلى فرع مصرح | |||
| 05 · اختبار طلب إلى فرع غير مصرح | |||
| 06 · مراجعة أذونات التصدير والتقارير | |||
| 07 · توثيق الموافقات والاستثناءات | |||
| 08 · مراجعة صلاحيات الحسابات عند نقل الموظف |
جدول إثبات الضوابط
| النقطة | كيف نتحقق؟ | ما يجب الاحتفاظ به |
|---|---|---|
| تجميع الأدوار | لا تُفترض الصلاحية من اسم الدور وحده | صلاحيات المستخدم النهائية |
| فصل الفروع | حجب البيانات في الاستعلام والخدمة لا في القائمة فقط | اختبار خادم متقاطع الفروع |
| إجراء حساس | اعتماد منفصل أو فصل مهام حسب السياسة | مرجع موافقة وسبب |
| تصدير البيانات | انضباط نطاق التصدير مثل نطاق العرض | تجربة export ونتيجة رفض |
مثال توضيحي — ليس بيانات نظام
مثال توضيحي: المستخدم نفسه في نطاقين
- فرع أ
- عرض فواتيره إذا منحته الصلاحية
- فرع ب
- مرفوض إذا لم يشمله التفويض
- زر المنيو
- إخفاؤه ليس وسيلة حماية كافية
- استجابة خدمة البيانات
- رفض مستقل قبل تقديم أي سجل
سيناريو أمني معياري يحتاج إثباتًا من API والاختبارات. لا يُعد وصفًا لنتيجة اختبار أمني على CloudyERP أو شهادة امتثال.
نقاط تتطلب تصحيحًا أو مراجعة
إخفاء زر وإبقاء API متاحًا
اختبر الطلب المباشر من دون المرور بالواجهة
منح واسع عبر مجموعة مساعدة
راجع أثر منح كل مستخدم فعليًا
تسريب عبر التقارير أو التصدير
استخدم نطاق التفويض نفسه لكل قناة بيانات
محضر مراجعة الفريق
اسم المنشأة: الفرع أو النطاق:
المسؤول: تاريخ المراجعة:
القرار / الإجراءات المتبقية:
المراجع / المعتمد:
هذا دليل تعليمي عام وأمثلة افتراضية. لا يمثل شهادة امتثال أو نتيجة اختبار وظيفي أو استشارة مالية أو قانونية، ولا يُثبت إتاحة ميزة تجارية في CloudySystem. تحقق من حالتك والسياسات واللوائح السارية قبل التطبيق.