ما الذي ينكسر

«هذا المستخدم لا يرى موظفًا ينبغي أن يراه.» افحص بهذا الترتيب. أولًا: هل شُغّلت عملية إعادة توليد الأدوار بعد آخر تغيير؟ أولًا دائمًا، لأنها الأشيع. ثانيًا: هل يحمل دور البيانات ملف أمان أشخاص أصلًا — فالدور المبني على عجل، بأمان وظيفة بلا نطاق بيانات، ينتج هذا العَرَض بالضبط. ثالثًا: هل تشمل معايير الملف ذلك الموظف اليوم؟ رابعًا: إن كان مبنيًا على التسلسل الإداري، هل علاقة المدير على التعيين صحيحة وحديثة؟ خامسًا: هل حالة تعيين الموظف من الحالات التي يشملها الملف؟ سادسًا: هل ثمّة مشكلة تاريخ سريان — هل السجل مؤرَّخ في المستقبل؟

ثم سبع حالات فشل. المدير لا يرى مرؤوسين مباشرين — المدير غير معبّأ على التعيين، أو المستويات مضبوطة على صفر؛ ولاحظ أين يسكن المدير: على التعيين لا على سجل الشخص، وهو نموذج البيانات يصير ذا أثر تشغيلي. وكان كل شيء يعمل ثم توقف — إعادة هيكلة أخرجت موظفين من نطاق الملف. وهذه تهم لأنها تعمل كما صُمّمت: فلا شيء انكسر، وإنما كان التصميم ضيقًا وتحرك الواقع، وهذه هي الحجّة للتصميم القائم على المسؤولية حيثما كانت الفئة في حقيقتها عن المسؤولية.

ومسؤول الموارد البشرية يرى الشركة كلها — ملف مضبوط على «كل الأشخاص» كإجراء مؤقت أثناء الاختبار ولم يُضيَّق قط. وهذا شائع جدًا، ولعله أشيع خلل أمني حقيقي في بيئات الموارد البشرية الحيّة، ويحدث لأن «كل الأشخاص» هو ما تضبطه حين تحاول تشغيل شيء وتنوي العودة إليه. والموظف الجديد بلا حساب — خيارات الإسناد غير مضبوطة، أو العملية لم تُشغَّل. والموظف المنتهية خدمته ما زال يملك صلاحية — نزع الصلاحيات غير مضبوط، وهي ملاحظة تدقيق. ومسؤول الرواتب يرى بيانات دولة أخرى — لا ملف مجموعة بيانات تشريعية، وربما حادثة واجبة الإبلاغ. والأمان يعمل في الاختبار لا في الإنتاج — أدوار البيانات لم تُرحَّل، أو رُحِّلت بلا إعادة توليد.

وخمس من السبع يمكن تفاديها بمراجعة أمان من ساعتين قبل الإطلاق. اسرد كل دور بيانات، واسرد كل ملف، وأشِر إلى كل غير مقيَّد، واختبر تعيينًا، واختبر إنهاء خدمة، وسجّل الدخول بمستخدم واحد لكل شخصية. ساعتان — ولا يكاد أحد يجدولهما.