الأدوار والصلاحيات والأمان (2FA، سجل التدقيق): من يرى ماذا، ومن يغيّر ماذا

لمن هذه الوحدة، وما المشكلة التي تحلّها؟

هذه الوحدة موجَّهة إلى كل منشأة يصل فيها أكثر من شخص إلى بيانات الموارد البشرية؛ ويصبح دورها حاسمًا حين يجب ألا يطّلع على البيانات الحساسة، كالراتب ومستندات ملف الموظف والتقرير الطبي، إلا الأشخاص المعنيون. وحين لا تُعرَّف الصلاحيات بانتظام يظهر طرفان متناقضان: إما أن يرى الجميع كل شيء، وإما ألا يتمكن أحد من أداء عمله. ويبقى حساب الموظف المغادر مفتوحًا، وتتداول كلمات المرور المشتركة، ولا يُعثر على إجابة لسؤال «من غيّر هذا السجل؟».

• مالك الشركة ومدير النظام: يديران المستخدمين والأدوار وإعدادات الأمان.
• فريق الموارد البشرية والرواتب: يصل إلى البيانات اللازمة لعمله؛ ويُسجَّل عرض البيانات الحساسة.
• مدير الفريق: لا يطّلع إلا على البيانات المتعلقة بالعمل لفريقه.
• الموظف: لا يطّلع إلا على سجله ومستنداته وطلباته.

ماذا تقدّم وحدة الأدوار والصلاحيات والأمان؟

تجعل الوحدة مبدأ «الحد الأدنى من الصلاحيات» قابلًا للتطبيق: فلا يصل كل مستخدم إلا إلى السجلات اللازمة لعمله، ويترك الوصول الحساس والتغييرات أثرًا.

• الأدوار الجاهزة: مالك الشركة، ومدير النظام، والموارد البشرية، ومدير الفريق، والموظف. والصلاحيات الافتراضية لكل دور ثابتة، وتظهر في جدول للقراءة فقط في شاشة الإعدادات.
• الأدوار الخاصة: تُعرَّف أدوار خاصة بالشركة، مثل أخصائي الرواتب أو المستشار المالي أو موظف موارد بشرية بصلاحية القراءة فقط، بالاختيار من قائمة الصلاحيات؛ وبحد أقصى 50 دورًا لكل شركة. وصلاحيات المستخدم الذي يُسند إليه دور خاص هي صلاحيات ذلك الدور وحده؛ وبذلك يمكن تضييق الصلاحيات بقدر ما يمكن توسيعها. والصلاحيات المترابطة، مثل التعديل والقراءة، تُختار معًا.
• الحماية من رفع الصلاحيات: لا يستطيع أحد غير مالك الشركة أن يضع في دور صلاحيةً لا يملكها أو أن يمنحها لغيره؛ ولا يستطيع أحد إسناد دور إلى نفسه، ولا تعديل الدور المسند إليه.
• نطاق البيانات: الشركة كلها، أو فريق المستخدم (المباشر وغير المباشر؛ من علاقة الإدارة في الهيكل التنظيمي)، أو سجله وحده.
• فصل البيانات الحساسة: يُتاح الأجر والرواتب، والمستندات ذات الطبيعة الخاصة مثل التقرير الطبي وصحيفة السوابق العدلية، بصلاحيات مستقلة. ولا يظهر رقم الهوية في القوائم ولا لغير المخوَّل؛ ويُسجَّل إظهار رقم هوية شخص آخر صراحةً.
• قاعدة السجل الشخصي: لا يستطيع أحد غير مالك الشركة أن يُدخل في بطاقته الشخصية حركة إجازة أو سجل PDKS أو مستندًا أو أجرًا؛ ويُستثنى من ذلك طلبات الشخص نفسه وتسجيل حضوره وانصرافه.
• التحقق بخطوتين: رمز لمرة واحدة قائم على الوقت (TOTP) يُنتجه تطبيق التحقق، ورموز استرداد؛ ويُجري كل مستخدم الإعداد بنفسه. ويمكن لمالك الشركة جعل التحقق إلزاميًا لجميع مستخدمي الشركة؛ ولا يوجد اختيار حسب الدور أو المستخدم، ولا يغيّر الإعداد إلا مالك الشركة. ويمكن لمالك الشركة ومدير النظام إعادة تعيين إعداد مستخدم وفق تسلسل الأدوار؛ وتُغلق جلسات المستخدم الذي أُعيد تعيين إعداده.
• أمان كلمات المرور: تُحفظ كلمات المرور بعد تجزئتها بخوارزمية argon2id، ولا تُحفظ نصًا صريحًا.
• دورة حياة الحساب: يُدعى الموظف إلى Sora İK من بطاقته ضمن إجراء التعيين؛ وعند المغادرة يُغلق الحساب يدويًا أثناء تسجيل الخروج أو في أي وقت يُختار. وسيُضاف قريبًا إغلاق الحساب تلقائيًا في نهاية يوم المغادرة.
• سجل التدقيق: إنشاء السجلات وتعديلها وحذفها (مع أسماء الحقول التي تغيّرت)، وعرض رقم الهوية وسجل الأجر وتفاصيل الرواتب، وتنزيل المستندات، وعمليات التصدير، وتغييرات الأدوار الخاصة؛ أما تغييرات الأدوار الجاهزة فلا تظهر في هذه الشاشة. ويُصفّى على الشاشة حسب التاريخ والمستخدم والإجراء ونوع السجل، ويُنزَّل بصيغة CSV؛ ولا يمكن تعديله أو حذفه من الواجهة.
• سجل الدخول: تُسجَّل محاولات الدخول الناجحة والفاشلة بشكل مستقل؛ ويطّلع مالك الشركة ومدير النظام على آخر 90 يومًا للشركة.

عرض الجلسات المفتوحة وإنهاؤها، وتقرير الوصول الذي يجيب عن سؤال «من يمكنه الاطلاع على أجر هذا الموظف؟»، ونطاق البيانات حسب القسم أو الموقع، وضبط الصلاحيات على مستوى الحقل، وحفظ القيمة السابقة واللاحقة في سجل التدقيق؛ كلها غير متاحة حاليًا، وستُضاف قريبًا.

كيف تعمل الوحدة؟

تُبنى بنية الصلاحيات عند الإعداد الأول في خمس خطوات، ثم تُحدَّث مع حركة الموظفين.

1. راجعوا الأدوار. الحساب الأول الذي يُنشأ عند تسجيل الشركة يحمل دور مالك الشركة؛ وتُنفَّذ عمليات الباقة (الأسعار) بهذا الدور. وراجعوا الصلاحيات الافتراضية للأدوار الجاهزة في الجدول المعروض في شاشة الإعدادات.
2. ادعوا المستخدمين. ادعوا الشخص المعني بدوره من بطاقة الموظف. ويرسل الدعوةَ مالكُ الشركة أو مدير النظام؛ وبعد إنشاء أول سجل أجر أو كشف رواتب في الشركة تلزم أيضًا صلاحية قراءة الرواتب، وإذا كانت في البطاقة مستندات ذات طبيعة خاصة تلزم صلاحية الاطلاع عليها (ولا يملك مدير النظام أيًّا منهما؛ وفي هذه الحالة يرسل مالك الشركة الدعوة). ولا يمنح دور مدير النظام إلا مالك الشركة، وكذلك لا يمنح دور الموارد البشرية إلا مالك الشركة.
3. عرّفوا دورًا خاصًا عند الحاجة. في الحالات التي لا تناسبها الأدوار الجاهزة، أنشئوا دورًا خاصًا باختيار الصلاحيات وأسندوه إلى المستخدمين.
4. اجعلوا التحقق بخطوتين إلزاميًا. يفعّل مالك الشركة الإعداد لجميع مستخدمي الشركة؛ وحتى إن لم تجعلوه إلزاميًا، ينبغي للمستخدمين الذين يصلون إلى البيانات الحساسة إجراء الإعداد في حساباتهم.
5. راجعوا السجلات بانتظام. راجعوا سجل التدقيق على فترات محددة، وأغلقوا الأدوار والحسابات غير المستخدمة.

لماذا تكتسب الصلاحيات القائمة على الأدوار أهمية من منظور KVKK؟

يطلب قانون حماية البيانات الشخصية التركي رقم 6698 (KVKK) من المسؤول عن البيانات اتخاذ التدابير التقنية والإدارية المناسبة لمنع الوصول غير المشروع إلى البيانات الشخصية؛ ومن الأجزاء الأساسية لهذه التدابير تقييدُ من يمكنه الوصول إلى بيانات الموظفين ومراقبةُ عمليات الوصول. وتساعدكم الصلاحيات القائمة على الأدوار وسجل التدقيق على تطبيق هذه التدابير وعلى إثبات تطبيقها؛ أما مدى كفايتها فتقرره منشأتكم بصفتها المسؤولة عن البيانات.

يمكنكم الوصول إلى الأدلة التي نشرتها هيئة حماية البيانات الشخصية (Kişisel Verileri Koruma Kurumu) بشأن أمن البيانات عبر صفحة أدلة الهيئة. وسيدخل الحفظ والإتلاف، وسجلات الموافقة الصريحة، وطلبات الموظفين بصفتهم أصحاب بيانات، ضمن نطاق وحدة إدارة الامتثال لقانون KVKK القادمة قريبًا. وتجدون معلومات البنية التحتية، مثل التشفير والنسخ الاحتياطي وموقع الخوادم والمعالجين الفرعيين، في صفحة الأمان، ووحدات المنصة القادمة قريبًا مثل مركز الإشعارات وواجهة API المفتوحة في صفحة فئة المنصة والتكاملات.