إدارة الوصول المميّز (PAM)

يصف NIST الحساب المميّز بأنه حساب نظام يتمتع بصلاحيات مستخدم مميّز؛ ومن ذلك المسؤولون المحليون ومسؤولو النطاق، وحسابات الطوارئ (Break-Glass)، وحسابات التطبيقات والخدمات. وهذه الحسابات تحديدًا تتيح وظائف ذات صلة بالأمن محظورة على المستخدمين العاديين - ولذلك تُستهدف بشكل مقصود. ووفق Verizon DBIR 2025 تُعدّ إساءة استخدام بيانات الاعتماد بنسبة 22 بالمئة أكثر نواقل الدخول شيوعًا، واستخدمت 88 بالمئة من الهجمات على تطبيقات الويب بيانات اعتماد مسروقة.

تتمثل المكونات المركزية في الحفظ المشفّر (Vaulting) لبيانات الاعتماد ومفاتيح SSH ورموز API، وتدويرها بانتظام، إضافة إلى الوساطة (Proxying) والتسجيل المقاوم للتلاعب للجلسات المميّزة. ويمنح الوصول في الوقت المناسب (Just-in-Time) الصلاحيات بشكل مؤقت فقط وبعد التفعيل - وتُعرّف Microsoft نموذج JIT بأنه نموذج تُمنح فيه الصلاحيات حصرًا عند الحاجة ثم تنتهي صلاحيتها. والصورة المستهدفة هي Zero Standing Privilege: لا صلاحيات دائمة خاملة، مقترنًا بمبدأ أقل الصلاحيات وسير عمل الموافقة قبل كل منح.

يقوم Microsoft Enterprise Access Model على نموذج المستويات: يشكّل Tier 0 مستوى التحكم (Control Plane) لجميع ضوابط الوصول، ويفصل Tier 1 مستوى الإدارة عن مستوى أعباء العمل، ويميّز Tier 2 بين وصول المستخدمين ووصول التطبيقات. والقاعدة الأساسية هي التسلسل الهرمي المفروض - لا يجوز أبدًا أن يكون المستوى الأعلى قابلًا للتحكم من مستوى أدنى. ويُكمَّل النموذج بمحطات عمل الوصول المميّز (Privileged Access Workstations): أجهزة مخصصة ومحصّنة حصرًا للمهام المميّزة، معزولة عن البريد الإلكتروني وتصفح الويب العام.

يدير Microsoft Entra Privileged Identity Management (PIM) الأدوار المميّزة ويتحكم فيها ويراقبها، ويميّز بين «eligible» و«active»: إذ يتعين على المؤهَّلين تفعيل الدور أولًا - مع التحقق عبر MFA وتقديم مبرر وموافقة اختيارية، ولمدة محددة. ويتطلب PIM ترخيصًا عبر Entra ID P2 أو Entra ID Governance. وعبر Conditional Access يمكن فرض MFA مقاومة للتصيّد لأدوار مثل Global Administrator؛ وتربط «Protected Actions» الإجراءات الحساسة بشكل خاص بهذه الشروط أيضًا.

يتناول ISO/IEC 27001:2022 الوصول المميّز صراحةً في الضابط A.8.2، مُكمَّلًا بـ A.5.15 وA.5.18 وA.8.5. ويشترط NIS2 في المادة 21(2) سياسات للتحكم في الوصول واستخدام المصادقة متعددة العوامل؛ وينظّم DORA الوصول المميّز ووصول الطوارئ والمسؤولين في المادة 21 من اللائحة المفوضة (EU) 2024/1774 وفق مبدأ الحاجة إلى الاستخدام (Need-to-use). ويشترط مكوّن BSI ORP.4 مبدأ أقل الصلاحيات (A2)، وMFA للصلاحيات واسعة النطاق (A10)، ومبدأ العيون الأربع للأنشطة الإدارية (A24).

ترافق VamiSec مشاريع PAM بشكل محايد تجاه الشركات المصنِّعة: نُعدّ كتالوج المتطلبات وتقييمًا للوضع الراهن، ونطوّر مفهوم المستويات والمناطق، وندعم الاختيار المحايد للأدوات. ثم نرافق الطرح وتسليم التشغيل والتشغيل المستمر، بما في ذلك إعادة الاعتماد وإدارة الاستثناءات والتحضير للتدقيق. ويتكامل هذا النهج مع خدماتنا في ISO 27001 وNIS2 وعمليات تدقيق أمن تقنية المعلومات.