كيف نميّز بين هوية زائفة وصلاحية منتحلة وتزييف عميق وحساب مخترق وموافقة بشرية ملفقة، وكيف نثبت كل حالة؟

بلغة بسيطة

تخيل شخصاً يرتدي بطاقة شركة. قد تكون البطاقة صحيحة أو مسروقة أو باقية من دور لم يعد يشغله. ولا تخول بطاقة الباب فتح الخزنة تلقائياً. تحقق من الشخص، ثم البطاقة، ثم الإذن بذلك الفعل.

لماذا يهم؟

قد تؤدي موافقة بشرية منتحلة إلى تحويل مال أو كشف بيانات أو نشر أو تغيير وصول أو قرار معيب. ولا تثبت عبارة لاحقة مثل «كان الحساب مفتوحاً» من وافق أو تحت أي صلاحية.

لا تخلط

• يقرر ادعاء الهوية من يكون الشخص أو النظام؛ وتختبر المصادقة ذلك الادعاء.
• لا يكون الشخص المصادق عليه مخولاً بكل عملية.
• قد تُخترق جلسة صحيحة؛ وتُراقب الثقة بالجلسة بصورة مستقلة عن الهوية.
• التزييف العميق محتوى اصطناعي يشبه شخصاً أو صوته؛ وليس صلاحية معاملة.
• الموافقة العامة والموافقة المرتبطة بهدف ومبلغ ونطاق ووقت محدد ليستا الشيء نفسه.

ماذا تفعل؟

1. للعمليات عالية المخاطر، تحقق من الهوية والجلسة والدور الحالي وصلاحية الإجراء بضوابط منفصلة.
2. أكد طلباً صوتياً أو بصرياً أو كتابياً أحادي القناة عبر قناة ثانية مسجلة.
3. استخدم حيث أمكن مصادقة قوية وبيانات اعتماد قصيرة العمر ومحددة للمعاملة.
4. أظهر في شاشة الموافقة الهدف والإجراء ونطاق البيانات والمبلغ والأثر غير القابل للعكس بوضوح.
5. ألغِ الصلاحية سريعاً بعد تغيير الدور أو المغادرة أو الاشتباه في الجلسة.
6. اربط هوية الموافق والوقت والطريقة والجلسة والجهاز وملخص المعاملة بمسار أحداث محمي السلامة.
7. عند الاشتباه في انتحال، أوقف المعاملة واحفظ الأدلة وابدأ إجراء الحادث.

كيف تدقّق؟

• ما الدليل المستقل الذي تحقق من هوية مبادر الإجراء؟
• هل فُحصت إشارات خطر اختراق الجلسة؟
• هل ظل دور الشخص وصلاحيته ساريين وقت الإجراء؟
• هل شملت الموافقة الإجراء المحدد وأثره؟
• هل عومل وجه أو صوت أو بريد أو جلسة مفتوحة دليلاً حاسماً وحده؟
• هل استُخدم فصل المهام أو التحقق بقناة ثانية للمخاطر العالية؟
• هل حُفظ دليل كافٍ للإلغاء والاعتراض ومراجعة الحادث؟