مبدأ أقل الصلاحيات

مبدأ أقل الصلاحيات قاعدة بسيطة. كل موظف يحصل على الشاشات والأزرار التي يحتاجها عمله فقط، ولا شيء غير ذلك. سائق التوصيل يرى عناوين اليوم. المحاسب يرى الفواتير. ولا يستطيع أي منهما فتح شاشة الآخر. تبدو القاعدة قاسية حين تقولها بصوت عالٍ. لكنها في العمل اليومي أهدأ طريقة تُبعد المنشأة عن المشاكل.

خذ مثال الكاشير الذي يستطيع إلغاء عملية بيع. الإلغاء جزء عادي من اليوم. زبون يغيّر رأيه، أو صنف يُقرأ مرتين، أو سعر خطأ. فوجود الزر ضروري. السؤال الحقيقي هو من غيره يملك هذا الزر، وهل ينظر أحد في الأمر أصلًا. دخلت لينكي سوفت لنظم المعلومات محلات يستطيع فيها كل موظف الإلغاء، ولا أحد يعرف من ضغط الزر، ولا يظهر الفرق إلا عند الجرد. ومبدأ أقل الصلاحيات يعالج الجانبين. أعطِ الزر للشخصين اللذين يحتاجانه، واكتب اسم من نفّذ كل عملية إلغاء بجانبها.

السبب الثاني هو سرقة حساب، لا سرقة نقود. كلمة المرور تُخمَّن، أو تُنسخ من هاتف، أو تُكتب في صفحة دخول مزيفة. عندها يدخل اللص باسم صاحب الحساب. وما يحدث بعد ذلك يعتمد كليًا على ما كان مسموحًا لهذا الحساب بالوصول إليه. أمين مخزن لديه ثلاث شاشات يكلفك ثلاث شاشات. أما حساب مدير مشترك يستخدمه الجميع فيكلفك المنشأة كلها في خطوة واحدة.

الخطأ الأكثر شيوعًا ليس الكرم في اليوم الأول. الخطأ هو أن أحدًا لا يسترد شيئًا أبدًا. موظف يغطي زميلًا في إجازة، فيأخذ صلاحيات إضافية لأسبوعين، وتبقى معه أربع سنوات. الصلاحيات تكبر ولا تصغر. وتطبيق الويب المخصص يجب أن يعرض في شاشة واحدة كل ما يستطيع شخص واحد الوصول إليه، وأن يسمح بسحب أي جزء منه بضغطة واحدة.

يأتي ستوريك بأدوار جاهزة مرسومة على وظائف المحل الحقيقية، فيبدأ الكاشير الجديد بالشاشات الصحيحة بدل الشاشات كلها. وحين تبني لينكي سوفت نظامًا من الصفر، نطرح سؤالًا محرجًا مبكرًا. لو سُرق هذا الحساب الليلة، ماذا يستطيع غريب أن يفعل به حتى الصباح؟ الإجابة تختصر عادةً قائمة صلاحيات أحدهم قبل كتابة سطر برمجي واحد. اطرح السؤال نفسه على أي مورّد. فإن لم يجب عنه في دقيقة، فهو لا يعرف الإجابة أيضًا.