ثبت تردد با گوشی شخصی یا سازمانی؟
فرض کنید کارمندی برنامه مدیریت تردد را روی گوشی شخصی خود نصب می‌کند. هنگام نخستین اجرای برنامه، از او خواسته می‌شود دسترسی به موقعیت مکانی را روی حالت «همیشه مجاز» تنظیم کند. در این شرایط، این پرسش برای او پیش می‌آید که آیا کارفرما می‌تواند خارج از ساعات کاری نیز به موقعیت مکانی او دسترسی داشته باشد؟ این نگرانی کاملاً منطقی است و پاسخ آن به نحوه تنظیم اپلیکیشن و سیاست‌های سازمان درباره دسترسی به اطلاعات کارکنان بستگی دارد.
اغلب، اپلیکیشن‌حضور و غیاب اطلاعاتی مانند شناسه کارکنان، زمان ثبت ورود و خروج، موقعیت مکانی و سوابق تردد را پردازش می کند. بااین‌حال، نوع و میزان اطلاعات جمع‌آوری‌شده به قابلیت‌های برنامه، مجوزهای دسترسی و سیاست‌های سازمان بستگی دارد.
بنابراین، انتخاب بین گوشی‌های شخصی و سازمانی برای ثبت تردد، صرفاً یک تصمیم فنی یا اقتصادی نیست؛ بلکه بر نحوه مدیریت تنظیمات امنیتی، میزان حفاظت از حریم خصوصی کارکنان و سطح اعتماد آن‌ها به سامانه حضور و غیاب نیز تأثیر می‌گذارد.
تفاوت گوشی شخصی و گوشی سازمانی چیست؟
در الگوی استفاده از دستگاه شخصی برای امور کاری، کارکنان وظایف شغلی خود را با گوشی‌های شخصی‌شان انجام می‌دهند. در مقابل، در الگوی استفاده از دستگاه‌های سازمانی، شرکت گوشی‌ها را تهیه می‌کند و مسئولیت مدیریت و پیکربندی آن‌ها را بر عهده دارد.
راهنمای مؤسسه ملی استاندارد و فناوری آمریکا درباره امنیت دستگاه‌های همراه در محیط‌های سازمانی، این دو روش را الگوهایی متمایز برای به‌کارگیری و مدیریت دستگاه‌ها می‌داند که هرکدام مزایا، محدودیت‌ها و ملاحظات امنیتی خاص خود را دارند.
| معیار | گوشی شخصی | گوشی سازمانی |
| هزینه | هزینه اولیه کمتر برای تهیه تجهیزات؛ احتمال پرداخت کمک‌هزینه به کارکنان | هزینه خرید، جایگزینی دستگاه و پشتیبانی فنی |
| سهولت راه‌اندازی و استفاده | آشنایی کارکنان با دستگاه و امکان راه‌اندازی سریع | نیاز به توزیع دستگاه‌ها و آموزش کارکنان |
| میزان کنترل سازمان | محدود به اپلیکیشن کاری یا محیط کاری مجزا | امکان مدیریت گسترده‌تر تنظیمات امنیتی و به‌روزرسانی‌ها |
| حفاظت از حریم خصوصی | لزوم حفاظت از اطلاعات شخصی کارکنان در کنار داده‌های کاری | تفکیک روشن‌تر اطلاعات شخصی و سازمانی، بدون سلب کامل محدودیت‌های حریم خصوصی |
| مفقودی دستگاه یا پایان همکاری | حذف اطلاعات سازمانی، بدون حذف یا دست‌کاری اطلاعات شخصی | امکان بازپس‌گیری دستگاه یا پاک‌سازی اطلاعات آن |
| موارد استفاده مناسب | کارکنان اداری، دورکار و دارای الگوی کاری ترکیبی | نیروهای میدانی، کارکنان شیفتی و محیط‌های کاری متکی بر دستگاه‌های مشترک |
هیچ‌یک از این دو الگو ذاتاً امن‌تر از دیگری نیست. گوشی شخصی که به‌درستی مدیریت و ایمن‌سازی شده باشد، ممکن است از گوشی سازمانی‌ای که به‌روزرسانی‌ها و تنظیمات امنیتی آن نادیده گرفته شده‌اند، امنیت بیشتری داشته باشد.
سازمان‌ها باید چه خطرات امنیتی را در نظر بگیرند؟
بسیاری از تهدیدهای امنیتی، هم در گوشی‌های شخصی و هم در گوشی‌های سازمانی وجود دارند. مهم‌ترین آن‌ها عبارت‌اند از:
- عدم به روزرسانی سیستم‌عامل
- استفاده از روش‌های ضعیف احراز هویت
- گم‌شدن یا سرقت گوشی
- دست‌کاری سیستم‌عامل و دور زدن سازوکارهای امنیتی دستگاه
- انتقال ناامن اطلاعات
- بازماندن نشست‌های کاربری روی دستگاه‌های مشترک و بدون نظارت
- تأخیر در لغو دسترسی کارکنان
برای مدیریت مؤثر این خطرات، باید منشأ هر تهدید را به‌درستی تشخیص داد. نوع مالکیت دستگاه عمدتاً بر میزان کنترل سازمان بر تنظیمات امنیتی آن تأثیر می‌گذارد؛ برای مثال، سازمان می‌تواند نصب به‌روزرسانی‌های ضروری را الزامی کند یا از دسترسی دستگاه‌های دارای آسیب‌پذیری امنیتی به سامانه جلوگیری کند.
در مقابل، اعطای مجوزهای دسترسی غیرضروری، رمزگذاری نامناسب اطلاعات و نبود محدودیت زمانی برای نشست‌های غیرفعال، به طراحی و پیکربندی اپلیکیشن مربوط می‌شوند و ممکن است در هر دو نوع دستگاه رخ دهند.
امنیت سامانه به امنیت دستگاه و اپلیکیشن، به‌صورت هم‌زمان، وابسته است. یک اپلیکیشن امن نمی‌تواند آسیب‌پذیری‌های گوشی آلوده یا ناایمن را جبران کند؛ همان‌طور که اعمال محدودیت‌های امنیتی سخت‌گیرانه روی گوشی، ضعف‌های اپلیکیشن را برطرف نمی‌کند.
هر اپلیکیشن حضور و غیاب باید چه کنترل‌های امنیتی داشته باشد؟
کنترل‌های امنیتی موردنیاز را می‌توان در سه گروه اصلی دسته‌بندی کرد: کنترل‌های تعبیه‌شده در اپلیکیشن، کنترل‌های تحت مدیریت سازمان و کنترل‌های وابسته به دستگاه. میزان سخت‌گیری در اجرای هر کنترل باید با حساسیت اطلاعات و سطح خطرات احتمالی متناسب باشد.
۱. کنترل‌های امنیتی اپلیکیشن
اپلیکیشن حضور و غیاب باید از قابلیت‌های امنیتی زیر برخوردار باشد:
کنترل دسترسی مبتنی بر نقش: دسترسی هر کاربر را به اطلاعات و امکانات ضروری برای انجام وظایف شغلی او محدود کنید.
رمزگذاری اطلاعات: اطلاعات را هم هنگام انتقال و هم هنگام ذخیره‌سازی رمزگذاری کنید.
مدیریت امن نشست‌های کاربری: برای پایان خودکار نشست‌های غیرفعال، محدودیت زمانی مناسب در نظر بگیرید.
ثبت سوابق فعالیت‌ها: دسترسی‌ها و تغییرات اطلاعات را ثبت کنید تا مشخص باشد چه کسی، در چه زمانی و چه عملیاتی انجام داده است.
احراز هویت چندمرحله‌ای: برای حساب‌های مدیریتی و اقدامات حساس، از چند مرحله تأیید هویت استفاده کنید.
۲. کنترل‌های تحت مدیریت سازمان
مسئولیت اجرای برخی اقدامات امنیتی بر عهده سازمان است، حتی اگر اپلیکیشن از قابلیت‌های فنی مناسبی برخوردار باشد.
تدوین ضوابط نگهداری و حذف اطلاعات: مدت نگهداری هر نوع داده و زمان حذف آن را مطابق الزامات قانونی و نیازهای عملیاتی تعیین کنید.
پشتیبان‌گیری و آزمون بازیابی اطلاعات: به‌طور منظم از داده‌ها نسخه پشتیبان تهیه کنید و امکان بازیابی موفق آن‌ها را با آزمون‌های دوره‌ای بسنجید. استفاده از زیرساخت ابری به‌تنهایی، نه امنیت اطلاعات را تضمین می‌کند و نه بازیابی آن‌ها را در زمان بروز اختلال.
بازبینی گزارش‌های فعالیت: گزارش‌های ثبت‌شده را به‌صورت دوره‌ای بررسی کنید، دسترسی به آن‌ها را محدود سازید و فعالیت‌های غیرعادی را مورد بررسی قرار دهید. ثبت گزارش، بدون نظارت و پیگیری، به‌تنهایی امنیت مؤثری ایجاد نمی‌کند.
۳. کنترل‌های وابسته به دستگاه
بخشی از الزامات امنیتی به سیستم‌عامل، قابلیت‌های دستگاه و امکانات مدیریتی آن بستگی دارد.
به‌روزرسانی سیستم‌عامل و بررسی وضعیت امنیتی دستگاه: از نصب به‌روزرسانی‌های ضروری و رعایت الزامات امنیتی اطمینان حاصل کنید. در صورت لزوم، دسترسی دستگاه‌های فاقد شرایط امنیتی لازم را به سامانه محدود کنید.
مدیریت از راه دور و پاک‌سازی انتخابی اطلاعات: امکان مدیریت دستگاه‌ها از راه دور را فراهم کنید. در صورت قطع همکاری یا بروز حادثه امنیتی، اطلاعات سازمانی را حذف کنید؛ اما در گوشی‌های شخصی، این فرایند نباید به اطلاعات شخصی کاربر آسیب برساند.
سازمان‌ها چگونه بین گوشی شخصی و گوشی سازمانی انتخاب کنند؟
استفاده از گوشی‌های شخصی برای سازمان‌هایی مناسب است که به اختیار کارکنان در انتخاب دستگاه، راه‌اندازی سریع سامانه و کاهش هزینه‌های تهیه تجهیزات اهمیت می‌دهند؛ مشروط بر اینکه بتوانند الزامات امنیتی را از طریق اپلیکیشن و محیط کاری مجزا اعمال کنند.
در مقابل، گوشی‌های سازمانی برای مجموعه‌هایی مناسب‌ترند که به تنظیمات یکسان، مدیریت متمرکز دستگاه‌ها، استفاده مشترک از گوشی در فرایندهای کاری یا کنترل دقیق‌تر بر اطلاعات سازمانی نیاز دارند. برای مثال، در برخی محیط‌های کاری، یک گوشی مشترک در محل مشخصی قرار می‌گیرد تا کارکنان از آن برای ثبت تردد استفاده کنند.
در بسیاری از سازمان‌ها، الگوی ترکیبی راهکار مناسب‌تری است. برای مثال، می‌توان برای نیروهای میدانی گوشی سازمانی در نظر گرفت و به کارکنان اداری اجازه داد با رعایت الزامات امنیتی، از گوشی شخصی خود استفاده کنند.
برای انتخاب الگوی مناسب، باید عواملی مانند تعداد کارکنان، نوع وظایف، تنوع دستگاه‌ها، کیفیت اتصال به اینترنت، توان پشتیبانی واحد فناوری اطلاعات و پیامدهای احتمالی گم‌شدن یا سرقت دستگاه را در نظر گرفت.
سیاست استفاده از گوشی همراه برای ثبت تردد باید شامل چه مواردی باشد؟
سیاست‌گذاری مؤثر در این زمینه، مستلزم تدوین ضوابط روشن و قابل اجراست. یک سیاست جامع باید دست‌کم موارد زیر را پوشش دهد:
دستگاه‌های مجاز و الزامات امنیتی: تعیین دستگاه‌های قابل استفاده و حداقل استانداردهای امنیتی موردنیاز.
مجوزهای اپلیکیشن و ردیابی موقعیت مکانی: مشخص‌کردن مجوزهای ضروری و محدودیت‌های مربوط به جمع‌آوری اطلاعات مکانی.
اطلاع‌رسانی به کارکنان: تشریح نحوه جمع‌آوری، استفاده و نگهداری اطلاعات و دریافت تأیید آگاهی کارکنان از این ضوابط.
احراز هویت و سطح دسترسی: تعیین روش‌های ورود به سامانه و حدود دسترسی هر کاربر.
نگهداری و بازیابی اطلاعات: تدوین ضوابط نگهداری و حذف داده‌ها و تعیین روش‌های پشتیبان‌گیری و بازیابی آن‌ها.
فرایند پایان همکاری: تعیین مراحل لغو دسترسی کارکنان و حذف اطلاعات سازمانی از دستگاه‌ها.
بازبینی دوره‌ای: بررسی منظم مجوزهای دسترسی، گزارش‌های فعالیت و میزان اثربخشی سیاست‌های امنیتی.
در نهایت، سازمان باید الگویی را انتخاب کند که ضمن پاسخگویی به نیازهای عملیاتی، امکان اجرای مؤثر الزامات امنیتی و حفاظت از اطلاعات و حریم خصوصی کارکنان را فراهم سازد. راهکار مناسب، لزوما استفاده از گوشی شخصی یا سازمانی نیست؛ بلکه الگویی است که با شرایط سازمان تناسب داشته باشد و امنیت و حریم خصوصی را به‌طور هم‌زمان تأمین کند.