ربط مساعد ذكي بالبريد أو الملفات أو التقويم أو أنظمة العملاء يحوّل تجربة صغيرة إلى قرار وصول واسع. السؤال ليس هل يبدو التطبيق موثوقاً، بل هل كل صلاحية ضرورية لمهمة مسماة وفي حساب معتمد ولمدة محددة، وهل يمكن إلغاؤها بالكامل.
1. سمّي المهمة قبل قراءة شاشة الصلاحيات
اكتبي جملة واحدة تحدد المهمة وأقل قدر من البيانات اللازمة. «تلخيص ثلاث وثائق محددة» قابل للاختبار؛ أما «المساعدة في مساحة العمل» فليس كذلك. إذا كانت المهمة مبهمة فلن يمكن تقييم اتساع الصلاحية.
يعرّف NIST مبدأ أقل صلاحية بأنه تقييد الوصول بالحد الأدنى اللازم للمهمة. طبقيه على الربط نفسه: مالك واحد، حساب معتمد، مجموعة بيانات ضيقة، وتاريخ مراجعة.
- مهمة محددة
- مالك البيانات
- حساب اختبار معتمد
- أقل عينة لازمة
- تاريخ الإزالة
2. حوّلي كل صلاحية إلى فعل
أعيدي صياغة النطاق: عرض، تنزيل، إنشاء، إرسال، حذف، أو إدارة. افصلي القراءة عن الكتابة، والكتابة عن الإدارة؛ فالتطبيق القادر على التصرف باسمك ليس كقارئ لمجلد محدد.
لا تستنتجي الحدود من اسم الزر. افتحي تفاصيل التفويض ووثائق المورد، وسجلي ما يمنحه الحساب فعلاً بما فيه الوصول الموروث من المجلدات أو الصناديق المشتركة.
- قراءة
- إنشاء
- تعديل
- إرسال
- حذف أو إدارة
3. قلّلي النطاق قبل الموافقة
استخدمي مساحة اختبار أو مجلداً مخصصاً أو حساب خدمة محدوداً أو عينة صغيرة. ارفضي الربط إذا كانت المهمة المحددة لا تعمل من دون وصول واسع. تؤكد إرشادات CISA مبدأ أقل صلاحية للحسابات.
ابدئي بمواد اصطناعية أو غير حساسة. نجاح العرض يثبت تنفيذ المسار فقط، ولا يثبت ملاءمة التطبيق للبيانات السرية أو الشخصية أو المنظمة أو القرارات عالية الأثر.
- مجلد اختبار
- عينة غير حساسة
- لا دور إداري
- لا كتابة غير لازمة
- مراجعة بشرية
4. احفظي الأدلة لا الانطباعات
سجلي اسم التطبيق والناشر والنطاقات والحساب والخطة وصاحب الموافقة والروابط والتاريخ. افصلي ادعاء المورد عن التحكم الذي اختبر في الحساب الفعلي وعن الضمان التعاقدي.
بعد الربط اختبري إجراءً غير ضار وافحصي سجل النشاط ومكان ظهور التكامل. تتيح Google صفحة للاتصالات لمراجعة وصول الجهات الخارجية وإزالته، بينما تختلف القوائم في المنصات الأخرى.
- هوية التطبيق والناشر
- النطاقات الدقيقة
- الخطة والحساب
- صاحب الموافقة
- الدليل وتاريخ المراجعة
5. ألغِي الصلاحية وتحققي وراجعي
قد لا يلغي الفصل داخل تطبيق الذكاء الاصطناعي التفويض في مزود الهوية. أزيلي الوصول من إعدادات الحساب أو لوحة المسؤول ثم تأكدي أن التطبيق لم يعد يقرأ أو يتصرف. بدّلي الرمز أو المفتاح إذا كانت السياسة تتطلب ذلك.
راجعي الاتصالات دورياً واحذفي الخامل منها. سجلي النتيجة: إبقاء بسبب واضح، أو تقليل، أو إلغاء. هذا التدقيق يساعد القرار ولا يعتمد المنتج أو يستبدل الأمن والخصوصية والقانون والمشتريات.
- الإلغاء من المصدر
- تأكيد فشل الوصول
- تدوير الاعتماد عند الحاجة
- حذف التطبيقات الخاملة
- تسجيل القرار
المصادر والحدود
معايير أولية وإرشادات حساب رسمية روجعت في 19 سبتمبر 2026.
- NIST — Least Privilege glossary
- NIST SP 800-53 Rev. 5 — AC-6 Least Privilege
- Google Account Help — Manage connections between your Google Account and third parties
- CISA — Enhanced Visibility and Hardening Guidance
إرشاد تحريري لسير العمل، وليس نصيحة قانونية أو أمنية أو خصوصية أو مشتريات.