داده های تردد
انتقال سوابق تردد کارکنان به فضای ابری، مشکل ذخیره‌سازی را حل می‌کند، اما به‌تنهایی برای حاکمیت بر داده‌ها کافی نیست. سازمان‌ها باید برای کنترل دسترسی، مدت نگهداری اطلاعات، پشتیبان‌گیری و بازیابی داده‌ها، سیاست‌های مشخص و قابل اجرا داشته باشند. همچنین لازم است این سیاست‌ها به‌صورت شفاف مستندسازی شوند تا اطلاعات حاصل از نرم افزار حضور و غیاب همواره دقیق، ایمن و قابل بازیابی باقی بمانند.
تصور کنید مدیر یک شعبه استانی برای رسیدگی به یک اختلاف، اطلاعات حضور و غیاب یک ماه را استخراج و برای افراد دیگری ارسال می‌کند. چند هفته بعد، همان فایل ویرایش شده و دوباره برای افراد مختلف ارسال می‌شود. در چنین شرایطی ممکن است دیگر مشخص نباشد کدام نسخه معتبر است، چه کسانی فایل را مشاهده یا تغییر داده‌اند و آیا نسخه اصلی همچنان وجود دارد یا خیر. نرم‌افزار وظیفه خود را به‌درستی انجام داده است؛ مشکل از جایی آغاز شده که سیاست مشخصی برای نحوه استفاده و مدیریت داده‌ها وجود نداشته است.
یک سامانه ابری، محیطی متمرکز و در دسترس برای نگهداری اطلاعات حضور و غیاب کارکنان فراهم می‌کند؛ اما به‌طور خودکار تعیین نمی‌کند چه کسی مجاز به مشاهده یا تغییر اطلاعات است، داده‌ها چه مدت باید نگهداری شوند یا در صورت بروز اختلال و از دست رفتن اطلاعات، چگونه باید آن‌ها را بازیابی کرد. این موارد تصمیمات سازمانی هستند و باید از ابتدا، آگاهانه و بر اساس سیاست‌های مشخص تعیین شوند.
چرا کنترل دسترسی در سیستم‌های حضور و غیاب مبتنی بر فضای ابری اهمیت دارد؟
کنترل دسترسی به معنای تعیین دقیق این است که چه کسی می‌تواند به چه اطلاعاتی دسترسی داشته باشد و چه اقداماتی روی آن‌ها انجام دهد. سوابق حضور و غیاب در نگاه اول ممکن است اطلاعاتی ساده به نظر برسند، اما می‌توانند الگوی ساعات کاری، غیبت‌ها و حتی در برخی موارد اطلاعات مرتبط با وضعیت سلامت یا شرایط خانوادگی کارکنان را آشکار کنند. از سوی دیگر، استفاده مشترک از حساب‌های کاربری یا نام‌های کاربری، شناسایی فرد مسئول یک خطا یا دستکاری احتمالی را دشوار می‌کند.
مبنای اصلی در مدیریت دسترسی، اصل حداقل سطح دسترسی است؛ یعنی هر فرد فقط به اطلاعات و امکاناتی دسترسی داشته باشد که برای انجام وظایف شغلی خود به آن‌ها نیاز دارد. چارچوب‌های معتبر امنیت اطلاعات نیز این اصل را یکی از کنترل‌های اساسی برای حفاظت از اطلاعات می‌دانند.
چه کسانی باید به اطلاعات حضور و غیاب دسترسی داشته باشند؟
یکی از کاربردی‌ترین روش‌ها برای مدیریت دسترسی، کنترل دسترسی مبتنی بر نقش‌های سازمانی است. در این روش، مجوزها بر اساس نقش و مسئولیت شغلی تعیین می‌شوند، نه صرفاً بر اساس نام افراد. در نتیجه، با تغییر سمت یا مسئولیت یک فرد، سطح دسترسی او نیز متناسب با نقش جدید تغییر می‌کند.
کارکنان: امکان مشاهده سوابق حضور و غیاب خود و ثبت درخواست اصلاح اطلاعات را داشته باشند.
مدیران واحدها: فقط بتوانند اطلاعات کارکنان واحد یا تیم تحت مدیریت خود را مشاهده و تأیید کنند.
سرپرستان شعب: به اطلاعات مربوط به شعبه یا محل تحت نظارت خود دسترسی داشته باشند، نه اطلاعات کل سازمان.
کارکنان منابع انسانی: در چارچوب مسئولیت‌های خود امکان ویرایش، تطبیق و تهیه گزارش از اطلاعات واحدهای مختلف را داشته باشند.
مدیران سامانه: مسئول مدیریت تنظیمات، نقش‌ها و مجوزهای دسترسی باشند و تا حد امکان در محتوای اطلاعات حضور و غیاب دخالت نکنند.
پیمانکاران و نیروهای خارج از سازمان: فقط به اطلاعات مورد نیاز خود و برای مدت مشخص دسترسی داشته باشند و ترجیحاً امکان ویرایش اطلاعات برای آن‌ها محدود یا غیرفعال باشد.
دو اقدام برای حفظ اثربخشی این سیاست‌ها اهمیت ویژه‌ای دارند. نخست، ثبت سوابق فعالیت‌های کاربران است؛ به این معنا که مشخص باشد چه کسی، چه اطلاعاتی را مشاهده، تغییر، تأیید یا دریافت کرده است. این سوابق در زمان بررسی خطاها، اختلافات یا دسترسی‌های غیرمجاز، امکان پیگیری دقیق رویدادها را فراهم می‌کنند.
دوم، بازبینی دوره‌ای مجوزهای دسترسی است. مسئولیت‌های افراد تغییر می‌کند، برخی کارکنان به واحدهای دیگر منتقل می‌شوند، پروژه‌ها به پایان می‌رسند و همکاری برخی نیروها نیز خاتمه پیدا می‌کند. اگر مجوزهای قبلی به‌موقع اصلاح نشوند، دسترسی‌های غیرضروری به‌تدریج انباشته می‌شوند و می‌توانند امنیت اطلاعات سازمان را به خطر بیندازند.
اطلاعات حضور و غیاب کارکنان چه مدت باید نگهداری شود؟
نگهداری داده‌ها به معنای تعیین مدت زمانی است که سوابق پیش از حذف یا ناشناس‌سازی باید حفظ شوند. نگهداری همه اطلاعات برای همیشه ممکن است در نگاه اول رویکردی ایمن به نظر برسد، اما در صورت وقوع نشت اطلاعات، دامنه خسارت احتمالی را افزایش می‌دهد و هزینه و پیچیدگی نگهداری، مدیریت و ممیزی داده‌ها را نیز بیشتر می‌کند. اصول حفاظت از حریم خصوصی در چارچوب‌های معتبر نیز عموماً بر این اصل تأکید دارند که اطلاعات شخصی نباید بیش از مدت موردنیاز برای هدف مشخصی که به‌منظور آن جمع‌آوری شده‌اند، نگهداری شوند.
یک سیاست مناسب برای تعیین مدت نگهداری اطلاعات حضور و غیاب باید دست‌کم سه عامل اصلی را در نظر بگیرد:
نیازهای مربوط به حقوق و دستمزد و امور اداری
احتمال بروز اختلاف، شکایت یا دعوای حقوقی
الزامات قانونی و مقرراتی
پس از تعیین مدت نگهداری، این موارد باید به‌صورت شفاف در سیاست سازمان مشخص و اجرا شوند:
مدت و ضوابط نگهداری اطلاعات در یک سیاست مکتوب ثبت شود.
این سیاست به‌صورت یکسان در ستاد، شعب و سایر واحدهای سازمان اجرا شود.
سوابقی که مدت نگهداری آن‌ها به پایان رسیده است، به‌صورت ایمن حذف یا ناشناس‌سازی شوند.
آیا فضای ذخیره‌سازی ابری همان پشتیبان‌گیری است؟
خیر. ذخیره‌سازی ابری دسترسی به داده‌ها را فراهم می‌کند، اما پشتیبان‌گیری به معنای ایجاد یک نسخه مستقل و قابل بازیابی از اطلاعات است.
برای مثال، اگر فردی سوابق یک واحد سازمانی را حذف کند یا حساب کاربری یکی از کاربران مورد سوءاستفاده قرار گیرد، در یک سامانه همگام‌شده ممکن است همان تغییر یا آسیب به نسخه‌های همگام‌شده نیز منتقل شود. بنابراین، صرف نگهداری اطلاعات در فضای ابری، جایگزین یک راهکار مستقل و قابل اتکا برای پشتیبان‌گیری نیست.
یک سیاست قابل اعتماد برای پشتیبان‌گیری از داده‌های حضور و غیاب باید شامل چه مواردی باشد؟
یک راهکار جامع پشتیبان‌گیری باید به چند پرسش اساسی پاسخ دهد:
چه اطلاعاتی باید پشتیبان‌گیری شوند؟
دامنه پشتیبان‌گیری باید مشخص کند که سوابق حضور و غیاب، قوانین و تنظیمات شیفت‌ها، تأییدیه‌ها و سوابق فعالیت کاربران چگونه و تا چه حد در نسخه‌های پشتیبان نگهداری می‌شوند.
پشتیبان‌گیری با چه تناوبی انجام شود؟ دفعات پشتیبان‌گیری باید متناسب با میزان اطلاعات جدیدی تعیین شود که سازمان در صورت بروز حادثه، تحمل از دست دادن آن‌ها را دارد.
نسخه‌های پشتیبان کجا نگهداری شوند؟
نسخه‌های پشتیبان باید از سامانه اصلی مستقل باشند و ترجیحاً در زیرساخت یا مکانی جداگانه نگهداری شوند تا یک حادثه واحد، هر دو نسخه را هم‌زمان تحت تأثیر قرار ندهد.
چه کسانی مجاز به حذف یا تغییر نسخه‌های پشتیبان هستند؟
این سطح از دسترسی باید به‌صورت دقیق تعریف و تا حد امکان محدود شود.
بازیابی اطلاعات باید با چه سرعتی انجام شود؟
سازمان باید مشخص کند در صورت بروز اختلال، حداکثر چه مدت می‌تواند بدون دسترسی به اطلاعات حضور و غیاب فعالیت کند تا فرایند پرداخت حقوق و دستمزد و عملیات جاری با اختلال جدی مواجه نشود.
| حوزه سیاست‌گذاری | موارد قابل تعیین | هدف |
| کنترل دسترسی | سطح دسترسی برای مشاهده، ویرایش، تأیید و دریافت اطلاعات | جلوگیری از دسترسی غیرمجاز |
| نگهداری داده‌ها | نوع اطلاعات، مدت نگهداری و نحوه حذف | جلوگیری از نگهداری و افشای غیرضروری |
| پشتیبان‌گیری | اطلاعات مورد پشتیبان‌گیری، تناوب و محل نگهداری | کاهش خطر از دست رفتن داده‌ها |
| بازیابی | مراحل، مسئول اجرا و زمان‌بندی آزمون بازیابی | حفظ تداوم فعالیت‌ها |
| قابلیت حسابرسی | رویدادهای ثبت‌شده و مسئول بررسی آن‌ها | افزایش پاسخ‌گویی و امکان پیگیری |
| بازبینی | دوره بازبینی مجوزها و سیاست‌ها | رعایت مقررات جدید |
آیا سیستم حضور و غیاب شما آماده است؟
آیا می‌دانید چه کسی به سوابق حضور و غیاب ماه گذشته دسترسی داشته است؟ اگر اطلاعاتی حذف شود، می‌توانید آن را بازیابی کنید؟ آیا سیاست نگهداری داده‌ها در سازمان شما به‌صورت مکتوب و شفاف تدوین شده است؟
اگر پاسخ به این پرسش‌ها روشن نیست، ممکن است سیستم شما صرفا داده‌ها را ذخیره کند، بدون آنکه سازوکار مشخصی برای مدیریت و حفاظت از آن‌ها وجود داشته باشد.
نرم‌افزار مدیریت حضور و غیاب ما با قابلیت‌هایی مانند سطح‌بندی دسترسی، تفکیک دسترسی شعب و واحدها، ثبت سوابق فعالیت کاربران و پشتیبان‌گیری و بازیابی اطلاعات، به کاهش ریسک‌های مرتبط با داده‌های حضور و غیاب کمک می‌کند.
تنظیمات فعلی سیستم خود را بررسی کنید و برای انتخاب و پیاده‌سازی کنترل‌های متناسب با نیاز سازمان، با کارشناسان ما مشورت کنید.