الموضوع 4.2 — إدارة الهوية والوصول

في الصحة والرعاية، التحكم في من يستطيع رؤية وفعل ماذا بسجل مريض ليس مهمة تدبير منزلي لتقنية المعلومات بل مُحدِّد خط أمامي للسلامة السريرية، السرية، والثقة العامة.

لماذا يهم هذا في الصحة والرعاية#

يرتكز كل قرار سريري على افتراض أن السجل أمام طبيب هو السجل الصحيح، يخص المريض الصحيح، وتم الوصول إليه من الشخص الصحيح. إدارة الهوية والوصول (IAM) هي الآلية التي تجعل تلك الافتراضات الثلاثة حقيقية. عندما تعمل، يرى مسعف حساسية في الوقت المناسب، تصل ملاحظة حماية فقط لمن يحتاجونها، ويستطيع مسار تدقيق الإجابة على السؤال "من نظر لهذا السجل ولماذا؟" عندما تفشل، يتضرر مرضى من سجلات مفتوحة تحت الاسم الخطأ، يتلصص موظفون على أقارب أو مشاهير، وتُآكَل الثقة في المشروع الرقمي بأكمله.

تُصاعِد الصحة والرعاية المخاطر فوق الحالة المؤسسية العادية بثلاث طرق. أولًا، البيانات من بين أكثر ما سيُنشئه شخص حساسية على الإطلاق — صحة نفسية، صحة جنسية، تعاطي مواد، هوية جندرية، مخاوف حماية — لذا خرق السرية ليس إزعاجًا بل ضررًا دائمًا. ثانيًا، القوى العاملة متحركة، دورانية، ومتعددة المؤسسات: يدور الأطباء الصغار كل بضعة أشهر، يصل موظفو وكالة ومحل مؤقتين لنوبة واحدة، والرعاية المتكاملة تعني أن ممرضة منطقة قد تحتاج بشكل مشروع سجل مستشفى. ثالثًا، واجب الرعاية لا يرحم الاحتكاك: ضابط وصول بطيء جدًا في الساعة الثالثة صباحًا في الإحياء بحد ذاته خطر سلامة. IAM في هذا القطاع بالتالي مفاوضة مستمرة بين حبس البيانات والسماح للشخص الصحيح بالدخول بسرعة.

يتعامل هذا الموضوع مع عمق التحكم في الوصول الذي يجلس تحت الواجبات الأوسع المُغطّاة في الموضوع 1.7 — حوكمة المعلومات، حماية البيانات والأمن السيبراني. حيث يضع ذلك الموضوع الإطار القانوني والتنظيمي — اللائحة العامة لحماية البيانات في المملكة المتحدة، Data Security and Protection Toolkit، واجب السرية — هذا يتعلق بالآليات الملموسة لإثبات الهوية ومنح أقل وصول لازم لأداء المهمة.

مفاهيم جوهرية#

إدارة الهوية والوصول هي الانضباط ومجموعة التقنيات التي تضمن أن الأفراد الصحيحين يملكون الوصول الصحيح للموارد الصحيحة في الوقت الصحيح، وأن يمكن إثبات ذلك لاحقًا. ترتكز على تمييز سهل التمويه وخطير الفقدان: الفرق بين المصادقة والتفويض.

تُجيب المصادقة على "هل أنت من تدَّعي أنك؟" تُثبَت بعوامل: شيء تعرفه (كلمة سر أو PIN)، شيء تملكه (بطاقة ذكية، هاتف، رمز عتاد)، وشيء أنته (بصمة أو وجه). يُجيب التفويض على سؤال مختلف — "الآن أننا نعرف من أنت، ماذا يُسمَح لك رؤيته وفعله؟" قد يُصادِق استشاري وموظف استقبال كلاهما جيدًا، لكنهما مُفوَّضان لأجزاء مختلفة جدًا من سجل. خلط الاثنين يقود لأنظمة تتحقق من الهوية بقوة ثم تسمح لكل شخص برؤية كل شيء.

يُنظَّم التفويض في الصحة والرعاية عادة كـتحكم بالوصول قائم على الدور (RBAC)، حيث تلتصق الأذونات بأدوار — "ممرضة قسم طوارئ"، "طبيب أسرة"، "سكرتيرة طبية" — ويُورِّث الناس الأذونات بحمل دور، بدلًا من مُنحهم حقوقًا واحدًا تلو الآخر. يُحكَم RBAC بـمبدأ الامتياز الأدنى: ينبغي أن يحمل كل شخص، وكل حساب نظام، الحد الأدنى من الوصول اللازم لأداء المهمة، لا أكثر. الامتياز الأدنى يُقيِّد كلًا من الخطأ العرضي ونصف قطر انفجار حساب مُخترَق.

تُقوِّي المصادقة الحديثة خطوة "إثبات من أنت" بـالمصادقة متعددة العوامل (MFA)، تجمع عاملين أو أكثر بحيث كلمة سر مسروقة وحدها ليست كافية. تُقلِّل الاحتكاك بـتسجيل الدخول الواحد (SSO)، حيث تمنح جلسة مصادقة واحدة وصولًا لتطبيقات كثيرة دون تسجيلات دخول متكررة — فائدة سلامة حقيقية عندما يجب على طبيب التحرك بين دزينة من الأنظمة في ساعة. يعتمد SSO عبر الحدود التنظيمية على الهوية الفيدرالية: مؤسسة تشهد لمستخدم بحيث تستطيع أخرى الثقة به دون حمل بيانات اعتماده.

سباكة الفيدرالية والمصادقة الحديثة مبنية على معايير مفتوحة. OAuth معيار للتفويض المُفوَّض — يتيح لتطبيق التصرف بالنيابة عنك دون تسليم كلمة سرك. يُضيف OpenID Connect طبقة مصادقة فوق OAuth بحيث يستطيع تطبيق معرفة من المستخدم، ويفعل Security Assertion Markup Language (SAML) القائم على XML الأقدم وظيفة مشابهة لـSSO المؤسسي. تُعالَج دورة حياة هوية — منح، تغيير، وإلغاء الوصول مع انضمام، انتقال، ومغادرة الناس — بعمليات التوفير، تُسمَّى شائعًا الوافدون/المنتقلون/المغادرون أو JML.

الاتجاه الاستراتيجي للسفر هو بنية الثقة الصفرية: الافتراض بأن لا مستخدم أو جهاز موثوق فقط لأنه يجلس داخل الشبكة. يُصادَق كل طلب، يُفوَّض، ويُتحقَّق منه مقابل السياق — صحة الجهاز، الموقع، حساسية البيانات — بدلًا من الاعتماد على محيط مُحصَّن. في قطاع يعمل فيه الموظفون من عيادات، منازل، سيارات إسعاف، ومواقع شريكة، تحلَّل المحيط فعليًا، وتُسمّي الثقة الصفرية الاستجابة الأمينة لذلك.

أفضل الممارسات#

1. عامل المصادقة والتفويض كقرارات تصميم منفصلة. قرِّر أولًا كم بقوة يجب إثبات الهوية لنظام معين، وبشكل منفصل كم بدقة يجب التحكم في ماذا يستطيع كل دور فعله بعدها. تسجيل دخول قوي في نظام يمنح كل شخص وصولًا كاملًا راحة زائفة، وأذونات دقيقة خلف كلمة سر ضعيفة فارغة بالتساوي. وثِّق كلا القرارين صراحة لكل نظام سريري، وأعد زيارتهما عندما تتغير حساسية البيانات أو فئة المستخدم.

2. اجعل التحكم بالوصول القائم على الدور يُرآي الأدوار السريرية الحقيقية، ثم احفظه نظيفًا. صمِّم الأدوار حول كيف تُقدَّم الرعاية فعليًا — لا حول الهيكل التنظيمي أو نزوات تهيئة افتراضية لمورد — وارسم كل دور لأقل السجلات والوظائف التي يحتاجها. بمرور الوقت، يتحلل RBAC إلى "انفجار أدوار"، حيث تتراكم مئات الأدوار المتداخلة ولا يستطيع أحد قول ماذا يمنح أي منها. جدوِل ترشيد أدوار دوريًا، وقاوم إغراء حل كل طلب وصول بصك دور مخصص جديد.

3. طبِّق الامتياز الأدنى على الناس وحسابات الآلة بالتساوي. يُطبَّق الامتياز الأدنى بشكل روتيني على الأطباء ثم يُنسَى لحسابات الخدمة، محركات التكامل، وأدوات التقارير التي غالبًا تحمل أوسع وصول من الجميع. واجهة آلية تسحب بيانات للوحة معلومات نادرًا ما تحتاج وصول كتابة أو نص حر قابل للتعريف، لكن غالبًا تحصل عليه. اجرد الهويات غير البشرية، حدِّد نطاقها، وأدر بيانات اعتمادها على جدول.

4. فوِّض المصادقة متعددة العوامل للوصول عن بُعد والمُميَّز، واختر عوامل تناسب البيئة. كلمات السر وحدها لم تعد قابلة للدفاع لأي شيء يصل بيانات مريض من خارج جهاز موثوق، وMFA الآن توقع أساسي عبر أنظمة NHS. اختر عوامل تنجو من البيئة السريرية: رموز عتاد مقاومة للتصيد أو مُصادِقات منصة للوصول المُميَّز والبعيد، واحذر رموز SMS في الأجنحة حيث الإشارة ضعيفة والهواتف مُشترَكة. وازِن مكسب الأمن مقابل الواقع بأن طبيبًا في منتصف إحياء لا يستطيع التعثر بحثًا عن عامل ثانٍ.

5. استخدم تسجيل الدخول الواحد لإزالة الاحتكاك الذي يدفع الموظفين نحو حلول بديلة غير آمنة. عندما يجب على الموظفين تسجيل الدخول منفصلين لعشرة أنظمة، يكتبون كلمات السر على ملاحظات لاصقة، يُشارِكون بطاقات ذكية، ويتركون جلسات مفتوحة — كل واحدة خطر سلامة وسرية. SSO المُطبَّق جيدًا، مثاليًا مقرونًا بشارات قرب "اضغط للدخول، اضغط للخروج" في محطات العمل السريرية المشتركة، يُحسِّن الأمن ويُعيد وقتًا للأطباء. عامل SSO كتدخل سلامة مريض، لا راحة فقط، وقِس وقت تسجيل الدخول الذي تُزيله.

6. حدِّث هوية NHS بما يتجاوز البطاقة الذكية، دون كسر ما يعمل. يُصادِق NHS Care Identity Service (سابقًا Care Identity Service وقبله نظام Registration Authority المبني على البطاقات الذكية) موظفي NHS ويقود الوصول لأنظمة وطنية مثل Spine. التوجه الوطني الآن نحو مصادقة حديثة ومُستنَدة إلى معايير — CIS2 بMFA وOpenID Connect — تُقلِّل الاعتماد على بطاقات ذكية فعلية وقارئات بطاقات تفشل، تُشارَك، أو تُعطِّل الرعاية. خطِّط لهجرتك عمدًا: احفظ صرامة الضمان والتسجيل لنموذج البطاقة الذكية بينما تتبنى مرونة الرموز الحديثة.

7. شغِّل الوافدين/المنتقلين/المغادرين كعملية محكومة وقابلة للتدقيق — خاصة المغادرون. أشيع فشل IAM جدي واحد في الصحة والرعاية هو الحساب الذي يعيش أطول من حاجة الشخص إليه: الطبيب الصغير الذي دار، ممرضة الوكالة التي رحلت، المتعاقد الذي لم يُلغَ وصوله أبدًا. آلِ التوفير من مصدر موثوق (عادة السجل الإلكتروني للموظف) بحيث يُحرِّك بدء، تغيير، وإنهاء دور تغيير الوصول المطابق ضمن نافذة مُحدَّدة وقصيرة. عامل إلغاء نفس اليوم للمغادرين وللموظفين تحت تحقيق كمتطلب صارم، لا طموح.

8. أعد إثبات الوصول بانتظام واجعل المدراء مساءلين عنه. يتحول الوصول الذي كان مناسبًا في اليوم الأول مع تغيير الناس الفرق وتراكم حقوق لا يحتاجونها بعد — "تسلل الامتياز". شغِّل مراجعات وصول دورية (إعادة إثبات) حيث يُؤكِّد المدير المسؤول أو مالك النظام فعليًا أن كل شخص لا يزال يحتاج كل حق، بالصمت مُفتَرَضًا للإزالة بدلًا من الاحتفاظ. اجعل المراجعة ذات معنى بتقديمها بلغة دور سريري بسيطة، لا رموز أذونات خام لا يستطيع أي مدير تفسيرها.

9. احكم الوصول المُميَّز كفئة خاصة به. يستطيع المدراء، مالكو قواعد البيانات، ومهندسو البنية التحتية قراءة أو تغيير أي سجل وتعطيل الضوابط نفسها التي تحميه، لذا يحتاج وصولهم معالجة أقوى من المستخدمين العاديين. طبِّق إدارة الوصول المُميَّز: افصل هويات المدير عن الحسابات اليومية، امنح حقوقًا مرفوعة في-الوقت-المحدد ومُحدَّدة بالزمن بدلًا من دائمة، وسجّل جلسات مُميَّزة لمراجعة مستقلة. لا تدع أبدًا حساب مورد أو "كسر-زجاجي" يُصبح مفتاحًا رئيسيًا دائمًا وغير مُراقَب.

10. اجعل كل قرار وصول قابلًا للتدقيق، واقرأ التدقيق فعليًا. التحكم بالوصول الذي لا يمكن مراجعته لاحقًا فقط نصف ضابط؛ القدرة على الإجابة "من وصل لهذا السجل، متى، وعلى أي أساس؟" تدعم كلا تحقيقات السرية وسلامة المريض. هيِّئ تسجيل تدقيق شاملًا وواضح العبث، و— بشكل حاسم — زوِّد تدقيقًا استباقيًا، تشمل تنبيهات لبحث الذات، بحث زملاء أو مشاهير، وحجوم وصول غير عادية. مسار تدقيق لا يفحصه أحد لا يردع أحدًا.

11. صمِّم وصول كسر-زجاجي بحيث تُخدَم الطوارئ ويُكتشَف سوء الاستخدام. يحتاج الأطباء أحيانًا بشكل مشروع سجلًا لا يُفوَّضون عادة رؤيته — مريض فاقد وعي، طارئ عبر مؤسسات. قدِّم مسارًا "كسر-زجاجي" صريحًا يمنح وصول طارئ بسبب مطلوب، وضع علم فوري، ومراجعة إلزامية بعد الحقيقة، بدلًا من إجبار الموظفين على الاختيار بين القواعد والمريض. الهدف هو جعل الفعل الطارئ الآمن سهلًا وغير المُبرَّر مرئيًا.

12. تبنَّ الثقة الصفرية كاتجاه، ورتِّبها عمليًا. تحرَّك من "شبكة موثوقة، مفتوحة داخليًا" نحو التحقق من كل طلب مقابل الهوية، صحة الجهاز، والسياق، بحيث لا يُوثَق حاسوب محمول مُخترَق على شبكة الشركة اللمحلية آليًا بعد الآن. هذا رحلة متعددة السنوات من خلال هوية قوية، امتثال الجهاز، وصول شرطي، وتجزئة دقيقة — لا منتج تشتريه. رتِّبها خلف الأساسيات (MFA، الامتياز الأدنى، JML نظيف)، وواءمها مع عمل الأصول في الموضوع 4.0 — البنية المعمارية التقنية، السحابة والإرث.

أسئلة للمناقشة مع فريقك#

1. أين نتفاوض عمدًا على احتكاك الوصول مقابل السلامة السريرية، ومن قرَّر التوازن؟ كل تسجيل دخول إضافي، عامل ثانٍ، أو خطوة تفويض تحمي السرية لكن تُكلِّف ثوانٍ في حالة طارئة هي بحد ذاتها خطر سلامة. يفرض هذا السؤال على الفريق تسمية الأماكن المحددة التي يمكن أن تُؤخِّر فيها ضوابط الأمن الرعاية — تسجيل دخول الإحياء، محطة عمل الجناح المشتركة، النظام خارج ساعات العمل — والسؤال ما إذا كان التوازن الحالي مُختارًا من ناس يفهمون العواقب السريرية والأمنية، أو مُفتَرَض لإعداد مورد. ناقش التوتر بأمانة: ضابط شديد جدًا يدفع كلمات سر لاصقة وبطاقات ذكية مُشترَكة أسوأ من الخطر الذي يُعالِجه، بينما ضابط مُتراخٍ جدًا يدعو تلصصًا وخروقات. ابحث عن إشارات ملموسة لتوازن سيء — موظفون يُشارِكون بيانات اعتماد، جلسات تُترَك مفتوحة، كسر-زجاجي مُستخدَم روتينيًا. إجابة جيدة تُحدِّد من يملك كل مفاضلة، تُظهر أن الأطباء كانوا في الغرفة عندما حُدِّدت، وتُشير لأوقات تسجيل دخول مُقاسة ومعدلات حلول بديلة بدلًا من افتراضات. تلتزم أيضًا بإعادة زيارة التوازن مع تغير الأدوار، الأنظمة، والتهديدات.

2. كم نحن واثقون أن مغادرًا أو مُنتقِلًا يفقد الوصول الصحيح، في المدة الزمنية الصحيحة، كل مرة؟ الحساب الذي يعيش أطول من حاجته هو فشل IAM الكلاسيكي، وفي قوى عاملة صحية دورانية ومتعددة المؤسسات، الخطر حاد. يسبر هذا السؤال ما إذا كان الوافدون/المنتقلون/المغادرون عملية موثوقة وآلية مدفوعة من مصدر موثوق، أو مجموعة رسائل بريد إلكتروني يدوية تفشل بهدوء عندما يكون شخص مشغولًا. ناقش الحالات الصعبة: الطبيب الصغير الذي يدور بين مؤسسات ائتمانية، ممرضة الوكالة على نوبة واحدة، المتعاقد، عضو الموظفين المُعلَّق بانتظار تحقيق. فكّر ماذا تعني "المدة الزمنية الصحيحة" لكل منها — الإلغاء في نفس اليوم غير قابل للتفاوض للتعليق لكن قد يكون أخف لانتقال داخلي روتيني. إجابة جيدة تستطيع الإشارة لدليل، لا نية: نتائج تدقيق المغادرين الأخير، عدد الحسابات الخاملة المُوجَدة والمُغلَقة، الوقت بين مغادرة شخص وانتهاء وصوله. أمينة حول الثغرات وتُسمّي من مسؤول عن إغلاقها.

3. عندما يسوء شيء بسجل، هل نستطيع إعادة بناء من فعل ماذا فعليًا — وهل سنلاحظ سوء الاستخدام دون حادث يدفعنا؟ التدقيق هو الضابط الذي يجعل السرية والسلامة قابلة للتطبيق بعد الحقيقة، لكن يعمل فقط إذا كانت السجلات كاملة، محمية، ومُراجَعة فعليًا. يفصل هذا السؤال شيئين يخلطهما فريق غالبًا: القدرة على التحقيق تفاعليًا عندما تصل شكوى، والقدرة على اكتشاف سوء الاستخدام استباقيًا قبل أن يشتكي أحد. استكشف ماذا تلتقط سجلاتك فعليًا، ما إذا كان يمكن تغييرها، كم تُحفَظ، و— السؤال الأصعب — من ينظر إليها عندما لا يوجد حادث. فكّر في التهديدات الواقعية: موظف يبحث عن قريب، زميل، أو شخصية عامة؛ حساب مُخترَق يُصفِّي سجلات على نطاق واسع. إجابة جيدة تُظهر أن التدقيق مُزوَّد كوظيفة فعالة بتنبيه، لا أرشيف خامل، وتستطيع الاستشهاد بمثال حقيقي لسوء استخدام اكتشفته المؤسسة وتصرفت عليه. تربط أيضًا التدقيق بالعدالة، تضمن أن المراجعات لا تستهدف بشكل غير متناسب مجموعات موظفين معينة.

4. عندما يحتاج طبيب فعليًا سجلًا لا يُفوَّض عادة رؤيته، هل يجعل مسار كسر-زجاجيتنا الفعل الآمن سهلًا وغير المُبرَّر مرئيًا؟ تختلف الصحة والرعاية عن تقنية معلومات مؤسسية عادية بالضبط لأن القواعد يجب أن تُخضِع نفسها أحيانًا للمريض أمامك — وصول فاقد وعي، طارئ عبر مؤسسات، طبيب خارج ساعات العمل يُغطّي عبء حالات غير مألوف. يسأل هذا السؤال ما إذا كان الوصول الطارئ مُصمَّمًا كمسار صريح، معقول، وموسوم، أو ما إذا كان الموظفون مُجبَرون بهدوء على الاختيار بين سياسة الوصول ورفاهية المريض. اسبر أنماط الفشل على كلا الطرفين: مسار كسر-زجاجي مُرهِق جدًا بحيث يتجنبه الأطباء ويُشارِكون بيانات اعتماد بدلًا، أو واحد بلا احتكاك وغير مُراجَع بحيث يُصبح الطريقة الروتينية للدخول ويُخلِي RBAC تمامًا. ناقش من يُراجِع أحداث كسر-زجاجي، كم بسرعة، وأي نسبة تتبين أنها غير مُبرَّرة — معدل قريب من الصفر قد يعني أن الضابط غير مُستخدَم بدلًا من نظيف. إجابة جيدة تستطيع وصف الخطوات الدقيقة التي يتخذها طبيب، التقاط السبب، العلم الفوري لمؤسسة السجل الأصلية، والمراجعة بعد الحقيقة التي تُغلِق الحلقة، وتستطيع إظهار أن الطوارئ تُخدَم فعليًا وسوء الاستخدام يُكتشَف فعليًا. أمينة حول ما إذا كانت أحجام كسر-زجاجي تتجه باتجاه يُشير لفجوة تفويض أعمق.

5. هل نحكم الوصول المُميَّز وغير البشري بنفس صرامة الأطباء — أو هو حيث يجلس التعرُّض الحقيقي؟ الضوابط التي تحمي بيانات المريض يُديرها شخص، ويستطيع المدراء، مالكو قواعد البيانات، محركات التكامل، وحسابات التقارير غالبًا قراءة أو تغيير أي سجل وإيقاف الضمانات نفسها التي تُقيِّد كل شخص آخر. يسحب هذا السؤال للنور الوصول الذي انضباط الامتياز الأدنى الأكثر احتمالًا لتجاوزه: حسابات مدير دائمة، تسجيلات دخول دعم عن بُعد لمورد، حسابات خدمة بحقوق وضع-الإله، والواجهة الآلية التي تسحب بهدوء نصًا حرًا قابلًا للتعريف لم تحتجه أبدًا. ناقش ما إذا كانت هويات المدير مُنفصِلة عن الحسابات اليومية، ما إذا كان الرفع في-الوقت-المحدد ومُحدَّدًا بالزمن أو دائمًا، وما إذا كانت الجلسات المُميَّزة مُسجَّلة ومُراجَعة بشكل مستقل. فكّر في الأصول غير البشرية تحديدًا — من يملك كل حساب خدمة، متى دُورِت بيانات اعتماده آخر مرة، وما إذا كان أي أحد يستطيع تعدادها اليوم. إجابة جيدة تُعامل الوصول المُميَّز كفئة خاصة به بملاك مُسمّين، دليل رفع في-الوقت-المحدد، وجرد حقيقي لهويات الآلة، بدلًا من افتراض أن الأساسيات المُطبَّقة على الأطباء يجب أن تُغطّي المكتب الخلفي أيضًا. صريحة حول الموردين، وحول أي حساب أصبح مفتاحًا رئيسيًا دائمًا وغير مُراقَب.

6. كم من هويتنا تعتمد على أطراف خارج تحكمنا، وهل نحن متعمدون حول ذلك الاعتماد؟ الهوية الحديثة للصحة والرعاية فيدرالية بالتصميم — يثق سجل مشترك بتأكيدات من كل مؤسسة شريكة، تشهد خدمات وطنية مثل NHS Care Identity Service وCIS2 للموظفين، ويشهد NHS login للمواطنين — مما يعني أن قوة تحكمك بالوصول جيدة فقط بقدر مزودي الهوية اللذين تعتمد عليهم والمعايير التي تربطك معًا. يطلب هذا السؤال من الفريق رسم أين تُفوَّض الثقة: أي مؤسسات تُصادِق أي مستخدمين، ماذا يحدث عندما تفشل عملية وافدين/منتقلين/مغادرين لشريك، وكيف يُلغَى تسجيل دخول فيدرالي عندما يرحل موظف لدى صاحب عمل آخر. زِن الهجرة الجارية من البطاقات الذكية نحو مصادقة مُستنَدة إلى معايير (CIS2 بMFA وOpenID Connect)، والتوتر بين تبني التوجيه الوطني وحفظ سير العمل المحلي عاملًا في الساعة الثالثة صباحًا. فكّر في زاوية المرونة أيضًا: إذا كانت خدمة هوية وطنية غير متاحة، هل يستطيع الأطباء لا يزالون الوصول بأمان للسجلات التي يحتاجونها، أو تُصبح الفيدرالية نقطة فشل واحدة. إجابة جيدة تُظهر أن الفريق يعرف بالضبط ضمان من يعتمد عليه، اتفق كيف تُعالَج الإلغاءات والحوادث عبر المؤسسات، ويُرتِّب تحركه لمصادقة NHS الحديثة عمدًا بدلًا من أن يُحمَل به. واقعية حول أجزاء الأصول التي لا تستطيع الفيدرالية بعد وكيف تُربَط في الوقت الحالي.

في الممارسة: مثال من الصحة والرعاية#

يُطلِق نظام رعاية متكامل Meadowvale سجل رعاية مشتركًا بحيث يستطيع موظفو المستشفى، المجتمع، الصحة النفسية، طبيب الأسرة، والرعاية الاجتماعية للبالغين رؤية عرض موحد لكل شخص. مبكرًا في الاستكشاف، يُدرِك البرنامج أن خطره الحقيقي ليس بناء السجل بل التحكم في الوصول إليه: عرض واحد يمتد عبر خمس مؤسسات يُضاعِف كلًا من فائدة السلامة لرؤية الطبيب الصحيح المعلومات الصحيحة وضرر رؤية الشخص الخطأ لشيء حساس.

يجعل الفريق التحكم بالوصول تيار تصميم من الدرجة الأولى. يتفقون على نموذج دور مُعبَّر عنه بلغة سريرية — "ممرضة مجتمعية"، "مهني صحة نفسية مُعتمَد"، "مديرة دار رعاية" — ويرسمون كل دور لأقل البيانات التي يحتاجها، بسجلات صحة نفسية وصحة جنسية خاضعة لوصول أشد ومُفوَّض بشكل منفصل. المصادقة فيدرالية: تُصادِق كل مؤسسة شريكة موظفيها الخاصين من خلال NHS Care Identity Service أو مزود هويتها المحلي باستخدام OpenID Connect، ويثق السجل المشترك بتلك التأكيدات بدلًا من إصدار بيانات اعتماد خاصة به، لذا لا كلمة سر جديدة لإدارتها ويبقى الوافدون/المنتقلون/المغادرون مع المؤسسة المُوظِّفة حيث يعيش سجل الموظف الموثوق.

لأن مسعفًا أو طبيبًا خارج ساعات العمل سيحتاج أحيانًا سجلًا لا يُفوَّض عادة رؤيته، يبني الفريق مسار كسر-زجاجي صريحًا: يُمنَح الوصول الطارئ عند إدخال سبب، يُوسَم فورًا لمؤسسة السجل الأصلية، ويُراجَع في غضون 48 ساعة. يُقيمون وظيفة تدقيق وحوكمة معلومات مشتركة صغيرة تُراجِع أحداث كسر-زجاجي، تُشغِّل تنبيهات لبحث الذات وبحث أفراد موسومين، وتُبلِّغ فصليًا لمجلس نظام الرعاية المتكاملة.

بعد ستة أشهر من الإطلاق، يُشير تنبيه لمُنسِّق رعاية يفتح مرارًا سجل شخص بلا مشاركة نشطة في عبء حالاته. تُحقِّق وظيفة التدقيق، تجد أن الوصول شخصي بدلًا من مهني، وتتخذ المؤسسة المُوظِّفة إجراءً تأديبيًا. لم يحدث حادث سلامة مريض، اُكتُشِف الخرق استباقيًا، و— لأن الضوابط عملت بشكل واضح — صمدت الثقة العامة في السجل المشترك. يُلاحِظ المجلس أن نفس قدرة التدقيق تُضاعِف الآن كدليل لتقديم Data Security and Protection Toolkit (انظر الموضوع 1.7 — حوكمة المعلومات، حماية البيانات والأمن السيبراني).

عدسات قطاعية#

شركة ناشئة#

تملك شركة صحة رقمية صغيرة تبني، لنقل، تطبيق مراقبة عن بُعد ميزة عدم وجود إرث: تستطيع تبني مصادقة حديثة، MFA، وفيدرالية مُستنَدة إلى معايير من اليوم الأول، والتكامل مع NHS login للمواطنين وCIS2 للأطباء بدلًا من اختراع نظام هويتها الخاص. الخطر هو السرعة تتفوق على الانضباط — بيانات اعتماد مدير مُثبَّتة بشكل صلب، حساب "مؤسس" فائق مُشترَك، حسابات خدمة بوصول وضع-الإله، ولا عملية مغادرين لأن "كل شخص يعرف كل شخص". الامتياز الأدنى والتدقيق يشعران كعبء عند عشرة أشخاص لكن يُصبحان دَينًا تقنيًا غير قابل للتعافي عند مئة. التحرك العملي هو شراء الهوية كخدمة مُدارة، فرض MFA وRBAC من أول التزام، وعامل متطلبات DTAC (Digital Technology Assessment Criteria) كالعتبة الدنيا لأي نشر NHS.

شركة صغيرة#

يحمل مقدم خدمة صغير راسخ — عيادة طبيب عام، صيدلية مجتمعية، دار رعاية، وكالة رعاية منزلية، عيادة أحادية الموقع، أو مورّد تقنية صحية صغير تجاوز مرحلة ما قبل الإيرادات — نفس واجبات السرية والتحكم بالوصول كمؤسسة كبيرة لكن مرضى حقيقيين في السجلات، حفنة من الموظفين، وقليل أو لا قدرة تقنية معلومات مُخصَّصة للوفاء بها. الخطر العملي هنا ليس غريبًا: تسجيل دخول مُشترَك في مكتب الاستقبال، كلمة سر نظام سريري مُلصَقة على شاشة، محلٍ مؤقت يُعطَى بطاقة ذكية زميل لأن تسجيل واحدة جديدة يستغرق طويلًا، ومغادر لم يُعطَّل حسابه أبدًا لأن لا أحد يملك تلك الوظيفة. المسار العملي هو الاعتماد على ميزات الهوية المبنية بالفعل في الأنظمة التي يشترونها — فرض MFA وحسابات لكل شخص، تفعيل تسجيل تدقيق المورد، واستخدام NHS CIS2 وNHS login بدلًا من بيانات اعتماد منزلية الصنع — وكتابة روتين وافدين/منتقلين/مغادرين بسيط يُسمّي شخصًا واحدًا مسؤولًا، حتى لو كان ذلك الشخص مدير العيادة يفعله يدويًا. يهم الامتياز الأدنى وإلغاء المغادر في نفس اليوم بنفس القدر عند عشرة موظفين كما عند عشرة آلاف؛ الفرق هو أنه هنا يجب تحقيقها بالعملية والتهيئة بدلًا من فريق هوية مُخصَّص.

مؤسسة كبيرة#

تُشغِّل مؤسسة ائتمانية تابعة لـNHS كبيرة أو نظام رعاية متكامل عشرات الأنظمة السريرية بأعمار مختلفة بشدة، كل منها بنموذج هويته الخاص، وتحديها المركزي هو التكامل ودورة الحياة على نطاق واسع. البطاقات الذكية، SSO، سير عمل "اضغط للدخول، اضغط للخروج"، وخط أنابيب JML موثوق من السجل الإلكتروني للموظف كلها تهم أكثر هنا من أي ضابط ذكي واحد، لأن أنماط الفشل فشلات حجم: آلاف الحسابات الخاملة، انفجار الأدوار، وسجلات تدقيق لا يملك أحد القدرة على مراجعتها. إدارة الوصول المُميَّز حرجة بالنظر لعدد المدراء والموردين الذين يلمسون الأصول. يأتي التقدم من استراتيجية هوية تُرشِّد الأدوار، تُفدرل عبر الأنظمة، وتُزوِّد وظيفة تدقيق دائمة — لا حلولًا نقطية مُلحَقة بكل تطبيق.

حكومة#

تُشغِّل جهة وطنية مثل NHS England الهوية كبنية تحتية مشتركة للنظام بأكمله: NHS Care Identity Service وCIS2 للموظفين، NHS login للمواطنين، ونظم المعايير والضمان التي تتيح لمئات المؤسسات الثقة ببعضها. تضع قراراتها اتجاه السفر — التحرك من البطاقات الذكية للمصادقة الحديثة، تبني OpenID Connect، الدفع نحو الثقة الصفرية — ومساءلتها للبرلمان والجمهور عن الأمن والوصول العادل معًا. التوتر هو بين التوحيد المركزي والمرونة المحلية: فوِّض بصرامة كبيرة جدًا وتكسر سير العمل المحلي، فوِّض بمرونة كبيرة جدًا وتنهار الفيدرالية إلى عدم اتساق. عدسة الحكومة بالتالي تتعلق بوضع معايير قابلة للتشغيل البيني (انظر الموضوع 4.3 — قابلية التشغيل البيني ومعايير البيانات)، تقديم خدمات مشتركة موثوقة، وضمان الامتثال دون إدارة تفصيلية لكل مؤسسة ائتمانية.

أنماط فشل شائعة#

• حسابات يتيمة وخاملة. يحتفظ المغادرون، الموظفون المُدوَّرون، والمتعاقدون القدامى بوصول مباشر لأن JML يعتمد على إشعار يدوي. الحل هو إلغاء توفير آلي من مصدر موثوق بالإضافة إلى مسح حسابات خاملة منتظم.
• انفجار الأدوار وتسلل الامتياز. يتحلل RBAC إلى مئات الأدوار المتداخلة ويُراكِم الأفراد حقوقًا لا يستخدمونها بعد الآن. عالِج بإعادة إثبات دورية وترشيد أدوار مُجدوَل.
• مشاركة بيانات الاعتماد ومحطات العمل المشتركة. تسجيلات دخول بطيئة وبطاقات ذكية مُتعِبة تدفع الموظفين لمشاركة البطاقات وترك الجلسات مفتوحة. عالِج السبب الجذري بSSO، شارات القرب، والتبديل السريع بدلًا من نصح الموظفين بالتصرف.
• الوصول المُميَّز الدائم. يحمل المدراء والموردون حسابات وضع-الإله دائمة تستطيع تعطيل الضوابط نفسها. تحرَّك للرفع في-الوقت-المحدد، المُحدَّد بالزمن، والمُسجَّل.
• التدقيق كديكور. تُجمَع السجلات لكن لا تُراجَع أبدًا، بحيث يُوجَد سوء الاستخدام فقط تفاعليًا. زوِّد تدقيقًا استباقيًا بتنبيه لبحث الذات وبحث المشاهير.
• كسر-زجاجي كثغرة. الوصول الطارئ موجود لكن غير مُراقَب، بحيث يُصبح مسار المقاومة الأقل الروتيني. اطلب سببًا، ضع علمًا على كل استخدام، وراجع بعد الحقيقة.
• مسرحية MFA. MFA مُفعَّل لكن على عوامل ضعيفة وقابلة للتصيد، أو مُتنازَل عنه لأكثر المستخدمين المُميَّزين انشغالًا. فضّل عوامل مقاومة للتصيد حيث الخطر أعلى.

نموذج النضج#

قائمة التحقق#

• قوة المصادقة ونطاق التفويض مُقرَّران وموثَّقان بشكل منفصل لكل نظام سريري.
• MFA مُفوَّض لكل وصول عن بُعد ومُميَّز، باستخدام عوامل مناسبة للبيئة السريرية.
• تسجيل الدخول الواحد والتبديل السريع لمحطة العمل مُنتشِران لإزالة احتكاك تسجيل الدخول ومشاركة بيانات الاعتماد.
• نموذج دور مُعبَّر عنه بلغة سريرية، مُرسَم للامتياز الأدنى، ومُرشَّد على جدول.
• الوافدون/المنتقلون/المغادرون آليون من مصدر موظف موثوق، بإلغاء المغادر والتعليق في نفس اليوم.
• إعادة إثبات وصول دورية يُشغِّلها مدراء مساءلون، بافتراضي-للإزالة للوصول غير المؤكَّد.
• الوصول المُميَّز مُدار كفئة متمايزة: هويات مُنفصِلة، رفع في-الوقت-المحدد، تسجيل جلسة.
• الحسابات غير البشرية والتكامل مُجرَدة، محدودة النطاق للامتياز الأدنى، ومُدارة بيانات اعتمادها.
• تسجيل تدقيق شامل وواضح العبث موجود، بتنبيه استباقي لبحث الذات، الزملاء، والمشاهير.
• وصول طارئ كسر-زجاجي مُصمَّم بسبب إلزامي، وضع علم فوري، ومراجعة بعد الحقيقة.
• الهجرة من البطاقات الذكية لمصادقة NHS الحديثة (CIS2 / OpenID Connect) مُخطَّطة ومُرتَّبة.
• خارطة طريق الثقة الصفرية مُتَّفَق عليها ومُتَّسِقة مع استراتيجية البنية المعمارية التقنية.

المصادر الرئيسية#

• NHS England — NHS Care Identity Service and Care Identity Service 2 (CIS2) guidance
• NHS England — Data Security and Protection Toolkit
• National Cyber Security Centre (NCSC) — Zero Trust Architecture Design Principles
• National Cyber Security Centre (NCSC) — Multi-factor authentication and identity/access management guidance
• NIST — Special Publication 800-207, Zero Trust Architecture
• NIST — Special Publication 800-63, Digital Identity Guidelines
• NHS England / NHS login — citizen identity verification service documentation
• DTAC — Digital Technology Assessment Criteria for health and social care
• Caldicott Principles and the common law duty of confidentiality (UK)

المراجع#

1. Identity management (identity and access management) — ويكيبيديا — https://en.wikipedia.org/wiki/Identity_management
2. Authentication — ويكيبيديا — https://en.wikipedia.org/wiki/Authentication
3. Authorization — ويكيبيديا — https://en.wikipedia.org/wiki/Authorization
4. Role-based access control — ويكيبيديا — https://en.wikipedia.org/wiki/Role-based_access_control
5. Principle of least privilege — ويكيبيديا — https://en.wikipedia.org/wiki/Principle_of_least_privilege
6. Multi-factor authentication — ويكيبيديا — https://en.wikipedia.org/wiki/Multi-factor_authentication
7. Single sign-on — ويكيبيديا — https://en.wikipedia.org/wiki/Single_sign-on
8. Federated identity — ويكيبيديا — https://en.wikipedia.org/wiki/Federated_identity
9. OAuth — ويكيبيديا — https://en.wikipedia.org/wiki/OAuth
10. OpenID (and OpenID Connect) — ويكيبيديا — https://en.wikipedia.org/wiki/OpenID
11. Security Assertion Markup Language (SAML) — ويكيبيديا — https://en.wikipedia.org/wiki/Security_Assertion_Markup_Language
12. Provisioning (technology) — ويكيبيديا — https://en.wikipedia.org/wiki/Provisioning_(technology)
13. Zero trust architecture — ويكيبيديا — https://en.wikipedia.org/wiki/Zero_trust_architecture
14. NHS Care Identity Service 2 (CIS2) — NHS England — https://digital.nhs.uk/services/care-identity-service
15. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
16. Zero Trust Architecture Design Principles — National Cyber Security Centre — https://www.ncsc.gov.uk/collection/zero-trust-architecture
17. Special Publication 800-207: Zero Trust Architecture — National Institute of Standards and Technology (NIST) — https://csrc.nist.gov/pubs/sp/800/207/final
18. Special Publication 800-63: Digital Identity Guidelines — National Institute of Standards and Technology (NIST) — https://pages.nist.gov/800-63-3/
19. Digital Technology Assessment Criteria (DTAC) — NHS England — https://www.nhs.uk/digital-technology-assessment-criteria-dtac/
20. NHS login — NHS England — https://www.nhs.uk/nhs-services/online-services/nhs-login/