كثير من الشركات لا تلتفت إلى أساسيات أمان الموقع إلا بعد وقوع مشكلة. الأسلوب الأكثر راحة هو تثبيت عناصر الفحص والمسؤولين وأماكن التسجيل منذ مرحلة الفحص اليومي. بهذه الطريقة، عند تغيير المسؤولين لاحقًا، يمكن لأي شخص أن يتابع نفس المسار دون الحاجة إلى السؤال من جديد عن مكان كلمة مرور لوحة التحكم أو آخر التعديلات التي تمت.
التمييز أولاً بين ما يندرج تحت أساسيات الأمان وما هو مجرد تحديث محتوى يومي
عند الفحص اليومي للموقع، يسهل الخلط بين أمرين: الأول يتعلق بصحة المحتوى وإمكانية فتح الروابط؛ والثاني يتعلق بوجود مخاطر كامنة في الحسابات والمداخل والتحديثات والنسخ الاحتياطي. الأول يعد فحصًا تشغيليًا، بينما الثاني هو أساس الأمان. عند التخطيط، يُفضل فصل هذين المسارين حتى لا تؤدي تعديلات المحتوى إلى إغفال عناصر الأمان في الصيانة اللاحقة.
يمكن التقسيم وفق العناصر التالية:
- الحسابات والصلاحيات: كم عدد حسابات لوحة التحكم، وما أدوارها، ومن لا يزال يستخدمها، ومن غادر الشركة.
- مداخل لوحة التحكم والخادم: من يملك النطاق ومسار لوحة التحكم وطريقة الدخول إلى الخادم.
- تحديثات البرامج والإضافات: ما المكونات التي تحتاج تحديثًا، ومن يوافق قبل التحديث.
- النسخ الاحتياطي والاستعادة: أين تُحفظ النسخ، وكم مرة يُتحقق من إمكانية الاستعادة.
- مراقبة الحالات غير الطبيعية: عند تغيير الصفحات أو حدوث وصول غير معتاد، من يتلقى التنبيه أولاً.
لا يلزم تنفيذ كل هذه البنود يوميًا، لكن يجب تحديد وتيرة الفحص والمسؤول عن كل بند. قيمة التخطيط تكمن هنا: تحويل الفحص من "عندما نتذكر" إلى "عندما يحين الوقت نعرف ماذا نفحص".
تخطيط الحسابات والصلاحيات: القليل الواضح أسهل في الصيانة من الكثير الفوضوي
الحسابات هي الجزء الأكثر عرضة لتراكم المشكلات التاريخية في أساسيات الأمان. من الشائع في مواقع الشركات أنه عند الإنشاء تم فتح عدة حسابات مدير، ثم بتغير الموظفين تبقى الحسابات دون معرفة من يستخدمها. في الصيانة اللاحقة، لا يجرؤ أحد على حذفها أو استخدامها.
يمكن التخطيط عبر ثلاث خطوات:
- تسمية كل حساب في لوحة التحكم بالمستخدم والغرض، مثل "تشغيل - نشر المحتوى" و"تقني - تحديث الإضافات".
- فصل الصلاحيات حسب الدور، فلا يحتاج محرر المحتوى إلى صلاحيات الخادم أو إدارة الإضافات.
- عند مغادرة موظف أو تغيير منصبه، يُعطَّل الحساب أولاً ثم يُقرر نقل ملكية المحتوى.
المعيار بسيط: إذا تعذر تحديد من يستخدم حسابًا معينًا، فيجب إدراجه في قائمة المعلقات بدلاً من تركه. تخصيص دقائق في كل فحص يومي لمراجعة قائمة الحسابات يوفر جهدًا أكبر من التحقيق لاحقًا.
مدخل لوحة التحكم وطريقة الدخول: جعل الفحص بمسار ثابت
إذا تغير مدخل لوحة التحكم باستمرار دون تسجيل، تصبح الصيانة اللاحقة صعبة. عند التخطيط، يمكن جمع معلومات المدخل في مكان داخلي يمكن الرجوع إليه، مثل مستند داخلي أو قائمة تسليم، مع كتابة عنوان لوحة التحكم وطريقة الدخول ومن المسؤول عن عملية استعادة كلمة المرور.
يمكن أن يشمل الفحص اليومي بنودًا ثابتة: هل يمكن تسجيل الدخول بشكل طبيعي، هل توجد حسابات غير معتادة بعد الدخول، هل توجد سجلات دخول غير معروفة (إن توفرت)، هل تم تغيير عنوان لوحة التحكم بشكل عشوائي. لا حاجة لاختلاق قواعد أمنية محددة، فالأهم هو أن يكون للفحص مدخل ثابت بدلاً من الاعتماد على الذاكرة.
بالإضافة إلى ذلك، يجب فصل إدارة مدخل لوحة التحكم عن إدارة الواجهة الأمامية. تحديث المحتوى الأمامي مسؤولية التشغيل، بينما تعديلات مدخل لوحة التحكم ومستوى الخادم مسؤولية القسم التقني أو مزود الخدمة. وضوح المسؤوليات يحدد من يجب مخاطبته عند حدوث مشكلة.
التحديث والنسخ الاحتياطي والمراقبة: إدراج وتيرة الفحص في الجدول اليومي
تحديث البرامج والإضافات والقوالب، والتأكد من صلاحية النسخ الاحتياطي، من البنود التي تحتاج فحصًا بإيقاع ثابت. عند التخطيط، لا يُكتب فقط "تحديث دوري"، بل يُحدد من يفحص ومتى ومن يُبلَّغ عند اكتشاف مشكلة.
يمكن الترتيب على النحو التالي:
- قبل التحديث: التأكد من الإصدار الحالي وحالة النسخ الاحتياطي، وتسجيل المكونات المطلوب تحديثها.
- بعد التحديث: فتح الصفحة الرئيسية وصفحات الأقسام وصفحات النماذج للتأكد من عرض الصفحات بشكل طبيعي وعدم وجود خلل في وظائف الإرسال.
- فحص النسخ الاحتياطي: لا يقتصر على وجود ملفات النسخ، بل التأكد من ارتباطها بنقطة زمنية محددة ومن المسؤول عن تنفيذ الاستعادة.
- مراقبة الحالات غير الطبيعية: عند تغيير الصفحات أو ظهور روابط غريبة أو وصول غير معتاد، يُحفظ الوضع أولاً ثم يُفحص بترتيب المدخل والحسابات والتحديثات.
لا تحتاج هذه الإجراءات إلى لائحة معقدة، لكن يجب ربطها بأشخاص وأوقات محددة. سهولة الصيانة اللاحقة تعتمد غالبًا على استمرارية هذه السجلات.
تثبيت التخطيط عبر قائمة فحص
إذا كنت لا ترغب في إعادة التفكير في ما يجب فحصه كل مرة، يمكن الاحتفاظ بقائمة فحص بسيطة لأساسيات الأمان، مرتبة حسب العناصر، مع تسجيل التاريخ والنتيجة بعد كل فحص. لا تحتاج القائمة إلى الكثير، يكفي أن تجيب عن "من فحص آخر مرة، وماذا فحص، وهل توجد بنود معلقة".
لنفترض أن موقع شركة يديره موظف تشغيل يتولى أيضًا لوحة التحكم، فيمكن تقسيم القائمة كالتالي: مراجعة الحسابات والصلاحيات شهريًا، تأكيد مدخل لوحة التحكم وطريقة الدخول كل ربع سنة، فحص التحديثات والنسخ الاحتياطي وفق إيقاع التحديث الفعلي، ومراقبة الحالات غير الطبيعية أثناء الجولة اليومية. هذا الترتيب لا يسعى للتعقيد، بل يثبت المسؤوليات والوتيرة لتسهيل التسليم عند تغيير المسؤولين.
إذا لم تكن هذه القائمة موجودة بعد، يمكن البدء بترتيب قائمة الحسابات ومعلومات مدخل لوحة التحكم. وضوح هذين البندين يمنح نقطة انطلاق للفحص اليومي لأساسيات أمان الموقع، ثم تُضاف تدريجيًا سجلات التحديث والنسخ الاحتياطي والمراقبة.
