صلاحيات الوصول والأدوار (⁨RBAC⁩) في العيادة

لماذا تحتاج العيادة إلى أدوار وإلى مبدأ أقل الصلاحيات

في العيادة الخاصة يمرّ عبر النظام نفسه عشرات الأشخاص يوميًا: أطباء وممرضون وموظفو استقبال وموظفو الفوترة ومدير وأحيانًا مورّدون خارجيون. جميعهم يتعاملون مع بيانات المرضى، لكن لا ينبغي أن يرى الجميع الأمور نفسها. عندما يمتلك كل مستخدم صلاحية كاملة على كل شيء، يتحوّل أي خطأ بشري أو حساب مخترق إلى حادث يطال النظام بأكمله. الحل المعتمد في القطاع يُسمى ⁨RBAC⁩ (⁨Role-Based Access Control⁩) أي التحكم في الوصول القائم على الأدوار.

الفكرة بسيطة: بدلًا من ربط الصلاحيات بكل شخص على حدة، تُعرّف الأدوار، وتربط كل صلاحية بدور، ثم تُسند كل موظف إلى الدور المناسب. يحصل الموظف الجديد على دور فيمتلك فورًا الوصول الصحيح بالضبط، لا أكثر ولا أقل. ويكمّل ذلك مبدأ ⁨least-privilege⁩ أي أقل الصلاحيات: يُمنح كل دور الحد الأدنى اللازم لأداء العمل ولا شيء يتجاوزه. يقلّص هذان المبدآن معًا سطح الهجوم، ويبسّطان التدقيق، ويسهّلان الالتزام بمتطلبات خصوصية البيانات الصحية.

الأدوار الأساسية في العيادة

قبل بناء المصفوفة، من المفيد تحديد الأدوار النموذجية. هذه نقطة انطلاق وليست قائمة ملزمة — فكل عيادة تكيّفها حسب واقعها:

• الطبيب / المعالج — يقرأ ويكتب في الملف السريري، يفتح الزيارات، يكتب الوصفات، يطلب الفحوصات.
• الممرض — يوثّق العلامات الحيوية، يجهّز الزيارة، يدير الأدوية والتطعيمات، غالبًا بنطاق سريري أضيق من الطبيب.
• الاستقبال — يدير المواعيد والبيانات الديموغرافية والتواصل، دون محتوى سريري عميق.
• الفوترة / المالية — يعمل مع الفواتير والمطالبات والمدفوعات والأرصدة، ويحتاج فقط إلى التشخيص المبرِّر لا إلى الملف السريري الكامل.
• المدير — يضبط النظام والأدوار والصلاحيات، لكنه لا يدخل بالضرورة المحتوى السريري اليومي.
• المستخدم الخارجي — مستشار أو مدقق أو مورّد بوصول محدود ومؤقت فقط.

ما هي مصفوفة الصلاحيات

مصفوفة الصلاحيات جدول ثنائي الأبعاد: الأدوار في الصفوف، وكائنات الوصول (أنواع البيانات والإجراءات) في الأعمدة، وفي كل خلية مستوى الصلاحية — لا وصول، قراءة فقط، قراءة وكتابة، أو إدارة. تحوّل المصفوفة سؤالًا غامضًا („من يمكنه لمس ماذا؟”) إلى وثيقة صريحة يمكن مراجعتها وصيانتها وشرحها. وهي أيضًا العقد الذي يُقاس عليه كل طلب وصول غير معتاد.

مثال على المصفوفة

الكائن / الدور	طبيب	ممرض	استقبال	فوترة	مدير	خارجي
المواعيد	قراءة/كتابة	قراءة/كتابة	قراءة/كتابة	قراءة	ضبط	محدود
ملف المريض	كامل	سريري ضيق	ديموغرافيا فقط	محدود	لا شيء	محدود
الزيارات والنماذج	كتابة	كتابة جزئية	لا شيء	قراءة للترميز	لا شيء	قراءة محدودة
الوصفات	كتابة	قراءة	لا شيء	لا شيء	لا شيء	لا شيء
المالية	قراءة	لا شيء	قراءة	كامل	قراءة	لا شيء
الإدارة والصلاحيات	لا شيء	لا شيء	لا شيء	لا شيء	كامل	لا شيء

هذا الجدول نقطة انطلاق فحسب. في عيادة حقيقية يكون عدد الكائنات أكبر بكثير — فكل نوع نموذج وكل وحدة وكل إجراء حساس يمكن أن يكون كائنًا مستقلًا.

الصلاحيات على مستوى النموذج والحقل

لا يكفي دائمًا التحكم على مستوى الوحدة. قد يستطيع دوران كلاهما „كتابة زيارة”، لكن ينبغي أن يلمس أحدهما فقط نموذجًا نفسيًا-اجتماعيًا حساسًا أو ملاحظة داخلية. لذلك يتيح التحكم الناضج صلاحيات على مستوى النموذج المفرد، وأحيانًا على مستوى الحقل المفرد: حقل ظاهر لدور ومخفي عن آخر. تسمح هذه الدقة بفتح معظم النظام للفريق الواسع وإغلاق الأكثر حساسية فقط بدقة، دون تكرار الشاشات.

سجل التدقيق وكيفية رصد الشذوذ

تحدّد المصفوفة الجيدة ما هو مسموح؛ أما سجل التدقيق (⁨audit log⁩) فيوثّق ما حدث فعلًا. تُسجَّل كل عملية اطّلاع أو تعديل أو تصدير أو طباعة لمعلومات حساسة: من، ومتى، وأي سجل، وأي إجراء. تعتمد قيمة السجل على سلامته — فإن أمكن تعديله بهدوء صار بلا معنى. لذلك تُحمى الأسطر عادةً من التغيير الرجعي.

لرصد الشذوذ، ابحث عن الأنماط: وصول موظف إلى ملف لا علاقة علاجية له به، أو حجم اطّلاع غير معتاد في نافذة قصيرة، أو نشاط خارج ساعات العمل، أو تصدير كبير للبيانات. تحوّل المراجعة الدورية للسجل من أرشيف سلبي إلى أداة اكتشاف نشطة.

⁨break-glass⁩ — الوصول الطارئ كمفهوم

أحيانًا يلزم وصول عاجل إلى معلومات لا يسمح بها الدور العادي — مثل مريض في حالة طارئة ليس مريضًا معتادًا للطبيب الحالي. آلية ⁨break-glass⁩ هي فكرة „كسر الزجاج”: يسمح النظام باستثناء مضبوط، لكنه يتطلب تبريرًا صريحًا، ويعلّم الوصول بأنه غير معتاد، ويولّد تنبيهًا ومراجعة مشدّدة لاحقة. ⁨break-glass⁩ مفهوم تصميمي راسخ يُستحسن معرفته؛ تحقّق من المورّد كيف يعالج كل نظام تحديدًا الوصول الطارئ، ولا تفترض وجوده افتراضيًا.

مغادرة موظف أو تغيير دوره

الصلاحيات ليست ثابتة. عند تغيير موظف لدوره، حدّث إسناده وأزل الصلاحيات القديمة — وإلا تراكم „زحف الصلاحيات” حيث يجمع الأشخاص وصولًا من كل دور شغلوه يومًا. وعند مغادرة موظف، اسحب الوصول فورًا لا بعد أسبوع. من المهم تذكّر أن سحب الوصول لا يمحو أثر التدقيق: تُحفظ الإجراءات التاريخية للمستخدم للمراجعة حتى بعد تعطيل الحساب نفسه.

قائمة تحقق لضبط الصلاحيات

• حدّد كل الأدوار الفعلية، بما فيها الخارجية والمؤقتة.
• عرّف لكل دور الحد الأدنى اللازم من الصلاحية (⁨least-privilege⁩).
• ابنِ مصفوفة صلاحيات صريحة ووثّقها.
• أغلق النماذج والحقول الحساسة بدقة على مستوى الدور.
• تأكّد أن سجل التدقيق فعّال ومحمي من العبث.
• ضع إجراءً للوصول الطارئ (⁨break-glass⁩) مع المورّد.
• عرّف عملية واضحة للمغادرة وتغيير الدور مع سحب الوصول فورًا.
• جدوِل مراجعة دورية للصلاحيات ولسجل التدقيق.

ما هو مؤكَّد في ⁨CareOS⁩

تتضمن وحدة الإدارة في ⁨CareOS⁩ مصفوفة صلاحيات من ⁨65⁩ كائن وصول عبر ⁨6⁩ أدوار، إلى جانب ⁨492⁩ إعداد تهيئة حسب المجالات ومصمّم نماذج لا يتطلب تطويرًا (⁨F-M10⁩). ولا تتوقف الصلاحيات عند مستوى الوحدة: يمكن ضبطها على مستوى النموذج المفرد داخل الزيارة (⁨F-M3⁩). ويُسجَّل سجل التدقيق مع توقيع سلامة على كل سطر (⁨F-M10⁩)، ويتضمن توثيق العلاج سجل وصول كاملًا إلى التسجيل — من اطّلع ومتى (⁨F-M8⁩). صُمِّمت ⁨CareOS⁩ مع مراعاة متطلبات خصوصية البيانات الصحية في إسرائيل، لكنها لا تدّعي أي معيار أو اعتماد.

الخلاصة

مصفوفة الصلاحيات الجيدة ليست مشروعًا لمرة واحدة بل ممارسة مستمرة: تعريف الأدوار بوضوح، منح كل دور الحد الأدنى، توثيق كل شيء في مصفوفة صريحة، دعمها بسجل تدقيق موثوق، والمراجعة باستمرار. هكذا تحمي العيادة بيانات مرضاها دون أن تشلّ عمل فريقها.

هل تريد أن ترى كيف تبدو مصفوفة الصلاحيات عمليًا؟ احجز عرضًا توضيحيًا لـ ⁨CareOS⁩ ولنستعرض معًا الأدوار والصلاحيات على مستوى النموذج وسجل التدقيق في عيادتك.

العودة إلى المدوّنة