إجابة مباشرة
سجّل لكل إجراء عالي الأثر ينفذه وكيل هويات المبادر والموافق والمنفذ بصورة منفصلة. واربطها بمعرّف الإجراء والهدف والمحتوى الموافق عليه أو بصمته الرقمية والنطاق والوقت وهويات الوكيل والأداة ونتيجة التنفيذ ودليل النظام المستهدف والحالتين قبل التنفيذ وبعده.
بلغة بسيطة
في تحويل مصرفي، قد يختلف من يصدر التعليمات ومن يوافق عليها والنظام الذي ينقل المال. ولا يوضح سطر يقول «اكتملت المعاملة» من طلبها أو ما الذي جرت الموافقة عليه.
لماذا يهم؟
إذا لم تُفصل الأدوار، قد يتعذر كشف موافقة أُعطيت بعد التنفيذ، أو صلاحية أُعيد استخدامها، أو نسبة الفعل كذباً إلى إنسان، أو موافقة مُنحت لعنصر واستُخدمت لعنصر آخر.
لا تخلط
- البدء: الحدث الذي ينشئ الإجراء أو المقترح.
- الموافقة: إذن لمحتوى وهدف محددين وضمن نطاق معلوم.
- التنفيذ: الأداء التقني للإجراء.
- الأثر في الهدف: النتيجة التي وقعت فعلاً في النظام الخارجي.
ماذا تفعل؟
- امنح كل إجراء معرّف action_id فريداً.
- سجّل المبادر ودليل البدء.
- احفظ هوية الموافق وصلاحيته مع الهدف والمحتوى والمدة وحالة الاستخدام لمرة واحدة.
- اربط هويات الوكيل المنفذ وبيئة التشغيل والأداة والأصل التقني.
- اطلب موافقة جديدة إذا تغير المحتوى أو الهدف أو المبلغ بعد الموافقة.
- احصل من النظام المستهدف على دليل النتيجة والحالتين قبل التنفيذ وبعده.
- احتفظ بإعادة المحاولة والتنفيذ الجزئي والتراجع والفشل في سلسلة الأدلة نفسها.
كيف تدقّق؟
- هل يمكن التحقق من هويات المبادر والموافق والمنفذ؟
- هل تنطبق الموافقة على الإصدار نفسه الذي نُفذ؟
- هل كان الشخص أو السياسة الذي منح الموافقة مخولاً بهذا الإجراء؟
- هل أُعيد استخدام الموافقة نفسها أو طُبقت على هدف آخر؟
- هل يتطابق سجل المصدر مع النتيجة في النظام المستهدف؟
- هل الجدول الزمني وسلسلة الجهات الفاعلة كاملان؟
- هل كان من الممكن تعديل السجل لاحقاً؟
الحد
لا يكفي معرّف التتبع أو لقطة الشاشة أو سطر سجل واحد بوصفه دليلاً كاملاً. احتفظ بسياق كافٍ للتدقيق مع احترام الخصوصية وتقليل البيانات.
تذكّر في جملة
يبين سجل الوكيل السليم ما حدث، ومن طلبه، ومن وافق عليه، ومن نفذه.
مصادر هذا السجل
- S23هيئة تكنولوجيا المعلومات والاتصالات التركية (BTK)، «التوقيع الإلكتروني — معلومات عامة»جهة رسمية
- S24NIST SP 800-63-4, *Digital Identity Guidelines*معيار
- S26NIST SP 800-53 Rev. 5, *Security and Privacy Controls*معيار
- S34IETF, RFC 8693, *OAuth 2.0 Token Exchange*معيار
- S35W3C, *PROV-O: The PROV Ontology*معيار
- S36W3C, *Trace Context*معيار
- S37OpenTelemetry, *General Trace Semantic Conventions*وثائق معيار أو مشروع