أهمية سجلات التدقيق في أنظمة الدعم الفني

سجل التدقيق ضابط لا يُلاحَظ إطلاقًا حتى تحتاجه. لا يمنع حادثة، ولا يسرّع تذكرة، ولا يظهر أثره في أي مؤشر تشغيلي. ثم تقع الحادثة، فيصبح الفرق بين جهة تعرف بالضبط أن ثلاث تذاكر انكشفت، وجهة تفترض أن الأربعين ألفًا كلها انكشفت لأنها لا تملك ما ينفي ذلك.

الفرق بين الحالتين ليس تقنيًّا فحسب — بل هو الفرق بين إشعار محدود لثلاثة أشخاص، وإعلان عام يمسّ سمعة الجهة كلها. هذا المقال يفصّل ما يجب أن يحتويه السجل في نظام الدعم الفني، وكيف يُحمى، وكم يُحفظ، وكيف يُقرأ.

لماذا سجل التدقيق ليس رفاهية؟

سجل التدقيق يخدم أربع وظائف متمايزة، وأغلب الجهات تدرك واحدة منها فقط:

الوظيفة الأولى هي الأثمن، وتظهر قيمتها في أسوأ لحظة ممكنة. مثال افتراضي للتوضيح: جهة اكتشفت أن حساب فنّي دعم كان مخترقًا لأسبوعين. السؤال الأول الذي ستواجهه هو: ماذا رأى المهاجم؟ إن وُجد سجل يبيّن أن الحساب فتح إحدى عشرة تذكرة بعينها، فالنطاق محدّد والاستجابة متناسبة. وإن لم يوجد، فليس أمام الجهة إلا افتراض أن كل ما كان في نطاق صلاحية ذلك الحساب قد انكشف.

الفارق بين السيناريوهين هو الفارق بين حادثة تُدار وحادثة تُدير الجهة. ولا يمكن استدراك ذلك بعد وقوع الحادثة — السجل إما كان يعمل قبلها أو لم يكن.

ماذا يجب أن يُسجَّل؟

الخطأ الأكثر شيوعًا هو تسجيل عمليات الكتابة دون عمليات القراءة. النظام يسجّل «فلان عدّل التذكرة» ولا يسجّل «فلان اطّلع على التذكرة». لكن التسريب فعل قراءة لا فعل كتابة. من يسرق البيانات لا يعدّلها — يقرأها ويصوّرها وينصرف، تاركًا سجلًّا نظيفًا تمامًا.

ولكل قيد في السجل حدّ أدنى من الحقول لا يكون مفيدًا بدونه: من (هوية المستخدم لا اسم العرض)، ماذا (الفعل والسجل المتأثّر بمعرّفه)، متى (طابع زمني دقيق بمنطقة زمنية موحّدة)، من أين (عنوان IP ومعرّف الجلسة)، والنتيجة (نجح الفعل أم رُفض). القيد الناقص لأحد هذه الحقول يكاد يكون بلا قيمة تحقيقية.

حماية السجل نفسه من التلاعب

سجل يستطيع مدير النظام تعديله ليس سجل تدقيق — هو ملاحظات. المبدأ الحاكم: الإلحاق فقط (Append-Only). يُكتب القيد ولا يُعدَّل ولا يُحذف من أحد، بما في ذلك أعلى صلاحية في النظام. أول ما يفعله مهاجم متمكّن هو محو أثره؛ فإن كان السجل قابلًا للمحو، سقط الضابط كله في اللحظة التي تحتاجه فيها.

مدة الحفظ ومشكلة الحجم

هنا تظهر مفارقة حقيقية. حماية البيانات تدفعك لتقليل ما تحتفظ به، والتدقيق الأمني يدفعك للاحتفاظ بأثر كل شيء — وسجل التدقيق نفسه يحوي بيانات شخصية عن موظفيك. المفارقة لا تُحلّ بالمبدأ بل بالتفصيل: صنّف السجلات، ولكلّ صنف مدةٌ ومسوّغ.

لا تُحدَّد المدد الفعلية من مقال — تُحدَّد من سياسة جهتك والمتطلبات النافذة عليها وطبيعة بياناتها. لكن المبدأ ثابت: التدرّج يوازن بين قدرة التحقيق وكلفة التخزين والتزام تقليل الاحتفاظ. وحدّة الأثر واضحة: سجل قصير المدة قد يعني اكتشاف اختراق مضى عليه أشهر بلا أي أثر يمكن فحصه. راجع سياسة الاحتفاظ ببيانات التذاكر وحذفها لبناء الجدول متكاملًا.

السجل الذي لا يقرأه أحد

أكثر سجلات التدقيق في العالم لم تُقرأ ولا مرة واحدة. تُفعَّل الخاصية، ويُوضع علامة صحّ في قائمة الامتثال، وتُترك تكتب في صمت إلى الأبد. وهذا يعطّل وظيفتين من الأربع: الكشف يستحيل بلا قراءة، والردع يزول حين يدرك الفريق أن أحدًا لا ينظر.

الخطوة الخامسة هي أنفع ما في هذه القائمة كلها. تمرين نصف ساعة يكشف أن حقلًا ناقص، أو أن الاطلاع لا يُسجَّل أصلًا، أو أن البحث في السجل يستغرق ساعات. الاكتشاف اليوم مجاني، والاكتشاف أثناء الحادثة باهظ. ولوحات التقارير والمؤشرات تجعل هذه المراجعة إجراءً روتينيًّا لا مشروعًا.

وللجهات الحكومية اعتبارات إضافية في هذا الباب تتعلق بالإثبات والتدقيق الخارجي، فُصّلت في سجل التدقيق في الجهات الحكومية.

الأسئلة الشائعة