سوالی که بعد از مشخصشدن مرز محتوا مطرح میشود
در مقاله اطلاعات ممنوعه دانشنامه سازمانی گفتیم برخی دادهها اصلاً نباید بدون کنترل دسترسی وارد دانشنامه شوند. اما بخش بزرگتری از دانش سازمان، نه ممنوع است و نه کاملاً عمومی — بلکه باید فقط در دسترس نقشهای خاصی باشد. سوال این مقاله همین است: چطور مشخص کنیم کدام کارمند به کدام بخش از دانشنامه دسترسی داشته باشد؟
چرا این طراحی نباید بر اساس فرد، بلکه باید بر اساس نقش باشد
رایجترین اشتباه، تعریف دسترسی برای هر فرد بهصورت جداگانه است — که هم زمان زیادی میبرد و هم با هر تغییر سازمانی (استخدام، ارتقا، جابهجایی) ازهم میپاشد. روش استاندارد صنعتی برای این مسئله، کنترل دسترسی مبتنی بر نقش (RBAC) است: بهجای اینکه به هر فرد جداگانه مجوز بدهید، ابتدا نقشها را تعریف میکنید و هر نقش مجموعهای از دسترسیهای ازپیشتعیینشده دارد؛ سپس هر کارمند بر اساس نقشش، همان دسترسی را میگیرد. با این روش، وقتی یک کارمند جابهجا میشود، فقط نقشش تغییر میکند — نه اینکه کل دسترسیهایش از نو تعریف شود.
قدم اول: نقشهای سازمانی را فهرست کنید، نه افراد را
اولین قدم، نوشتن فهرستی از نقشهای کلی سازمان است — نه اسم افراد، بلکه عناوینی مثل «کارشناس فروش»، «مدیر واحد نت»، «کارمند منابع انسانی»، «مدیر مالی». این فهرست باید آنقدر کلی باشد که هر کارمند جدیدی که در آینده استخدام میشود هم زیر یکی از همین نقشها قرار بگیرد، بدون نیاز به تعریف نقش جدید.
قدم دوم: برای هر نقش، دسترسی را بر اساس اصل حداقل امتیاز تعریف کنید
اصل حداقل امتیاز (Least Privilege) میگوید هر نقش باید فقط به همان بخشی از دانش دسترسی داشته باشد که برای انجام درست کارش لازم است — نه بیشتر. برای مثال، کارشناس فروش به اطلاعات محصول و وضعیت مشتری نیاز دارد، اما لزوماً به گزارشهای مالی داخلی یا سوابق پرسنلی نیاز ندارد. این اصل، هم ریسک افشای اطلاعات حساس را کم میکند و هم دانشنامه را برای هر نقش، مرتبطتر و کمشلوغتر نگه میدارد.
قدم سوم: یک ماتریس ساده «نقش × دسته محتوا» بسازید
پس از تعریف نقشها و دسترسی هرکدام، این اطلاعات را در یک جدول ساده مستند کنید — سطرها نقشها، ستونها دستههای محتوایی دانشنامه (مثلاً دستورالعملهای فروش، مستندات فنی، رویههای منابع انسانی، گزارشهای مالی)، و هر خانه مشخص میکند آیا آن نقش به آن دسته دسترسی دارد یا نه. این ماتریس، هم برای پیادهسازی فنی دسترسیها لازم است و هم بهعنوان سند مرجع، در آینده تصمیمگیری درباره دسترسی نقشهای جدید را سریعتر میکند.