يُعدّ التحكم في الوصول أحد أهم قرارات إدارة البيانات وأكثرها تأثيرًا التي تتخذها المدرسة. فإذا تمّ تطبيقه بشكل صحيح، تبقى المعلومات الحساسة محمية، ويحصل الموظفون على ما يحتاجونه لأداء مهامهم، وتصبح عمليات التدقيق سهلة. أما إذا تمّ تطبيقه بشكل خاطئ - وغالبًا ما يكون ذلك بمنح صلاحيات وصول واسعة جدًا لعدد كبير جدًا من الأشخاص - فإن المدرسة تواجه مخاطر أمنية ومساءلة قانونية.

هذا الدليل مخصص لمسؤولي المدارس ومديري تقنية المعلومات المسؤولين عن تهيئة وصيانة صلاحيات المستخدمين في منصات مثل ManageBac+ و OpenApply و Atlas و SchoolsBuddy . وتنطبق المبادئ الواردة هنا بشكل عام، بغض النظر عن الأنظمة التي تستخدمها مدرستك.

مبدأ أقل الامتيازات: يجب أن يتمتع كل مستخدم بالحد الأدنى من البيانات والوظائف اللازمة لأداء عمله - لا أكثر. هذا هو أساس التحكم الفعال في الوصول.

مشكلة الإفراط في منح الصلاحيات

يُعدّ منح صلاحيات زائدة - أي منح صلاحيات تتجاوز متطلبات الدور - الخطأ الأكثر شيوعًا في إدارة الوصول في المدارس. ويحدث هذا عادةً لأنّ منح صلاحيات واسعة أسهل من ضبطها بدقة، لا سيما في ظلّ ضغط الوقت أثناء إطلاق النظام.

تشمل المخاطر ما يلي:

• الكشف غير المقصود عن البيانات - معلم يمكنه الاطلاع على جميع السجلات الطبية للطلاب، وليس فقط تلك الخاصة بفصوله الدراسية.
• تعديل البيانات غير المقصود - موظف لديه صلاحية تعديل السجلات التي من المفترض أن يكون بإمكانه فقط الاطلاع عليها
• مخاطر الامتثال - بموجب اللائحة العامة لحماية البيانات (GDPR) وقانون حماية البيانات الشخصية (PDPA) واللوائح المماثلة، يجب أن يقتصر الوصول إلى البيانات الشخصية على أولئك الذين لديهم حاجة مشروعة.
• صعوبة التدقيق - عندما يتم منح الأذونات بشكل غير دقيق، يصبح من الصعب للغاية تحديد من قام بالوصول إلى أي بيانات ومتى.

إن منح صلاحيات واسعة النطاق يؤدي إلى تفاقم المشكلة: فبمجرد منح صلاحيات واسعة، تميل إلى الاستمرار. وبدون عملية مراجعة فعّالة، نادراً ما تتقلص الصلاحيات الممنوحة أثناء عملية التسجيل بمرور الوقت، بل تتزايد فقط.

تصميم الوصول القائم على الأدوار

إن النهج الأكثر فعالية للتحكم في الوصول في منصات المدارس هو التحكم في الوصول القائم على الأدوار (RBAC): يتم تعيين الأذونات للأدوار، ويتم تعيين المستخدمين للأدوار، بدلاً من تكوين الأذونات بشكل فردي لكل شخص.

عادةً ما تتبع الأدوار المصممة جيداً في سياق المدرسة نمط الوظيفة بالإضافة إلى نطاق البيانات:

ينبغي تحديد الأدوار قبل إضافة المستخدمين إلى النظام، وليس تهيئتها أثناء عملية التسجيل. هذا يمنع التناقضات ويجعل عمليات التدقيق المستقبلية أسهل بكثير.

إجراء تدقيق للتصاريح

تُعدّ مراجعة الصلاحيات عملية دورية لتحديد من يملك صلاحية الوصول إلى ماذا، وما إذا كانت هذه الصلاحية لا تزال مناسبة. وتتمكن المدارس التي تُجري عمليات مراجعة منتظمة من رصد أي تفاوت في الصلاحيات - أي التراكم التدريجي لحقوق الوصول التي لم تعد تعكس الدور الحالي للشخص - قبل أن يُصبح ذلك مشكلة تتعلق بالامتثال.

ينبغي أن يشمل التدقيق الأساسي للأذونات ما يلي:

• المستخدمون النشطون - تأكد من أن كل من لديه حساب نشط لا يزال يعمل في المدرسة في الوظيفة ذات الصلة
• دقة تحديد الأدوار - التحقق من أن الدور المُحدد لكل مستخدم يتطابق مع وظيفته الحالية
• الصلاحيات المرتفعة - راجع أي مستخدمين لديهم صلاحيات المسؤول أو المستخدم المتميز وتأكد من أن هذا المستوى لا يزال مطلوبًا
• الحسابات غير النشطة - تحديد الحسابات التي لم يتم الوصول إليها خلال التسعين يومًا الماضية والتحقق مما إذا كان ينبغي تعطيلها.
• الحسابات المشتركة - قم بالإبلاغ عن أي حسابات مشتركة بين عدة أشخاص، مما يجعل التدقيق والمساءلة مستحيلين.

احرص على إجراء تدقيق شامل للصلاحيات مرة واحدة على الأقل في كل عام دراسي، ويفضل أن يكون ذلك في بداية العام الدراسي، حيث تكثر التغييرات في الكادر التدريسي. كما يُنصح بإجراء مراجعة مبسطة في منتصف العام للمدارس الكبيرة.

فئات البيانات الحساسة التي تستدعي عناية إضافية

لا تنطوي جميع البيانات على نفس القدر من المخاطر. تتطلب بعض فئات معلومات الطلاب والموظفين ضوابط وصول أكثر صرامة من السجلات الأكاديمية العادية. في معظم الأنظمة القضائية، تشمل هذه الفئات ما يلي:

• المعلومات الطبية والصحية - الحساسية، والحالات المرضية، والأدوية؛ يجب أن يقتصر الوصول إليها على موظفي الرعاية الاجتماعية المعينين والمعلمين المعنيين.
• سجلات الدعم التعليمي والاحتياجات التعليمية الخاصة - وثائق الاحتياجات التعليمية الخاصة؛ وعادةً ما تقتصر على منسق الاحتياجات التعليمية الخاصة والمعلمين المعنيين وأولياء أمور الطالب.
• السجلات السلوكية والرعوية - سجلات الحوادث وملاحظات الاستشارة؛ ينبغي أن يخضع الوصول إليها لسياسة واضحة بدلاً من إتاحتها لجميع الموظفين.
• المعلومات المالية - حالة الرسوم وسجلات الدفع؛ وعادةً ما تقتصر على الشؤون المالية والإدارة العليا.
• البيانات الشخصية للمتقدمين - في OpenApply ، يجب أن تكون معلومات المتقدمين قبل التسجيل متاحة فقط لموظفي القبول، وليس لمجتمع المدرسة الأوسع.

راجع إعدادات منصتك الحالية للتأكد من أنها تقيّد الوصول إلى هذه الفئات بشكل مناسب. يمكن FariaSupport تقديم المشورة بشأن إعدادات الأذونات المحددة ضمن إعدادات منصتك.

نصائح واعتبارات

• لا تستخدم أبدًا حسابات مشتركة أو عامة - يجب أن يكون لكل مستخدم بيانات تسجيل دخول خاصة به؛ فالحسابات المشتركة تجعل من المستحيل تتبع من قام بالوصول إلى البيانات أو تغييرها.
• وثّق تعريفات الأدوار - يُعدّ وجود سجل مكتوب لما يمكن لكل دور الوصول إليه وما لا يمكنه الوصول إليه أمرًا ضروريًا لعمليات التدقيق ولتسهيل عملية توظيف الموظفين الجدد بشكل متسق.
• يجب التعامل مع الموظفين المؤقتين بعناية - ينبغي منح المعلمين البدلاء والمتعاقدين والموظفين المؤقتين صلاحية وصول محدودة المدة تنتهي صلاحيتها أو تتم مراجعتها فور انتهاء فترة عملهم.
• قم بتسجيل ومراقبة الوصول كلما أمكن ذلك - توفر العديد من المنصات سجلات الوصول؛ قم بتمكينها ومراجعتها بشكل دوري، وخاصة للمستخدمين ذوي الصلاحيات المرتفعة.

في ملخص

• تطبيق مبدأ أقل الامتيازات: يحصل كل مستخدم على الحد الأدنى من الوصول اللازم لدوره، لا أكثر.
• صمم هياكل الوصول القائمة على الأدوار قبل إضافة المستخدمين - وليس على أساس مخصص لكل شخص.
• قم بإجراء تدقيق كامل للتصاريح مرة واحدة على الأقل سنوياً، ومراجعة أخف في منتصف العام للمدارس الكبيرة.
• تطبيق قيود إضافية على فئات البيانات الحساسة بما في ذلك السجلات الصحية، وسجلات ذوي الاحتياجات التعليمية الخاصة، والسجلات الرعوية، والسجلات المالية.

يُساهم نظام التحكم بالوصول المُهيأ جيدًا في ManageBac+ و OpenApply و Atlas و SchoolsBuddy في حماية بيانات الطلاب والموظفين، ويجعل مدرستك أكثر قدرة على الدفاع عن نفسها في حال إجراء مراجعة امتثال. تواصل مع FariaSupport للحصول على إرشادات حول تهيئة الأدوار ضمن إعدادات منصتك الخاصة.

مقالات ذات صلة

• من ينبغي أن يكون مسؤولاً عن أنظمة مدرستك؟ تحديد الأدوار قبل بدء التشغيل
• عند مغادرة أحد الموظفين: قائمة مراجعة لإنهاء خدمات البيانات
• ما ينبغي أن تعرفه المدارس عن اللائحة العامة لحماية البيانات (GDPR) وقانون حماية البيانات الشخصية (PDPA) والامتثال لقوانين حماية البيانات عبر الحدود
• أفضل الممارسات في إدارة البيانات