أمن البيانات في برامج الأعمال: ما الذي يجب التحقق منه قبل اتخاذ القرار

يجمع نظام تخطيط موارد المؤسسات (ERP) كل ما هو ذو قيمة في أي مؤسسة تجارية في مكان واحد: سجلات العملاء، والأسعار، والهوامش الربحية، وشروط الموردين، والوضع المالي. ويُعد هذا التجميع جوهر النظام — كما أنه يمثل المخاطر الرئيسية التي ينطوي عليها. تتناول هذه المقالة الضوابط التي تستحق التحقق منها، مرتبة حسب أهميتها.

التحكم في الوصول

أكثر نقاط الضعف شيوعًا ليست الهجمات المتطورة؛ بل هي أن الجميع يمكنهم رؤية كل شيء. المتطلبات العملية:

• أذونات قائمة على الأدوار. أذونات مرتبطة بالأدوار، وليس بالأفراد. فعندما يغير شخص ما وظيفته، يمكنك تغيير دوره بدلاً من مراجعة العشرات من الإعدادات الفردية.
  
• تقييد على مستوى الحقول. قد يحتاج مندوب المبيعات إلى سجل العميل دون الحاجة إلى معرفة سعر التكلفة. وإذا كانت الأذونات تعمل فقط على مستوى الشاشة، فسيكون ذلك مستحيلاً.
  
• نطاق على مستوى السجل. يرى المدير الإقليمي منطقته فقط. وبدون ذلك، فإن «حق الوصول للقراءة» يعني حق الوصول للقراءة لكل شيء.
  
• قيود التصدير. تعد القدرة على تصدير قائمة العملاء الكاملة إلى جدول بيانات الطريقة الأكثر شيوعًا لتسرب البيانات من الشركة. لذا يجب تقييدها وتسجيلها.
  
• التعطيل الفوري. تُغلق حسابات الموظفين الذين غادروا الشركة في نفس اليوم. تساعد المراجعة الفصلية للحسابات الخاملة في اكتشاف ما فاتت عمليات الموظفين المغادرين.
  

تسجيل التدقيق

معرفة من قام بماذا ومتى أمر مهم للأمن ولحل النزاعات الداخلية على حد سواء. سجل التدقيق المفيد يسجل القيمة القديمة والجديدة عند التغييرات، وليس مجرد حدوث التغيير. يجب أن يشمل تغييرات الأسعار، وتجاوزات الخصومات، وتعديلات المخزون، وسجلات الدفع، وتغييرات الأذونات — ويجب ألا يكون قابلاً للتعديل من قبل الأشخاص الذين يسجلهم.

النسخ الاحتياطي والاستعادة

يقول كل مورد إنه يتم إجراء نسخ احتياطية. الأسئلة المهمة تتعلق بالاستعادة:

• كم مرة يتم إجراء النسخ الاحتياطية، وكم من البيانات قد تُفقد في حالة حدوث عطل؟ النسخ الاحتياطية الليلية تعني أن عمل يوم كامل معرض للخطر.
  
• كم من الوقت تستغرق عملية الاستعادة؟ هذا هو الرقم الذي يحدد مدة تعطل الخدمة، ونادرًا ما يتم ذكره ما لم يُسأل عنه.
  
• هل يتم الاحتفاظ بالنسخ الاحتياطية في مكان منفصل؟ النسخة الاحتياطية الموجودة على نفس البنية التحتية لن تنجو من أي حادث يؤثر على تلك البنية التحتية.
  
• متى تم اختبار عملية الاستعادة آخر مرة؟ النسخة الاحتياطية غير المختبرة هي مجرد افتراض، وليست ضمانة. اطلب معرفة تاريخ آخر اختبار ناجح لعملية الاستعادة.
  
• هل يمكنك الاحتفاظ بنسختك الخاصة؟ بشكل مستقل عن إجراءات المزود.
  

التشفير والنقل

يجب تشفير البيانات أثناء النقل من طرف إلى طرف — بما في ذلك أي عمليات تكامل مع الأسواق الإلكترونية أو البنوك أو مزودي الخدمات اللوجستية، والتي غالبًا ما يتم تجاهلها. بالنسبة للبيانات المخزنة، اسأل على وجه التحديد عما إذا كان التشفير على مستوى قاعدة البيانات مطبقًا وأين يتم الاحتفاظ بالمفاتيح.

موقع تخزين البيانات والامتثال

• الموقع الفعلي للخوادم، وما إذا كان ذلك يفي بالتزاماتك التنظيمية.
  
• المعالجون الفرعيون الذين يستخدمهم المزود، وأين يعملون.
  
• فترات الاحتفاظ بالبيانات الشخصية، وما إذا كان الحذف يُنفذ فعليًا عند انتهاء صلاحيتها.
  
• كيف يتم تلبية طلب الوصول أو الحذف المقدم من صاحب البيانات عمليًّا — من خلال شاشة، أو عن طريق فتح تذكرة دعم.
  

العادات العملية

• قم بتمكين المصادقة متعددة العوامل. خاصةً بالنسبة لحسابات المسؤولين وأي وصول خارجي.
  
• تقييد عدد المسؤولين. عادةً ما يكفي شخصان أو ثلاثة أشخاص. قد يكون من المريح أن يكون الجميع مسؤولين، إلى أن يصبح الأمر غير مريح.
  
• مراجعة الأذونات بشكل دوري. تتراكم الأذونات؛ ولا يقوم أحد بإزالتها. المراجعة مرتين سنويًّا تساعد في السيطرة على هذا الأمر.
  
[*]استخدم بيانات اختبار منفصلة. إن نسخ بيانات العملاء الفعلية إلى بيئة الاختبار يزيد من تعرضك للمخاطر دون أن تدرك ذلك.

باختصار

الأمن في برامج الأعمال يتعلق في الغالب بانضباط الوصول والاستعادة التي تم التحقق منها، وليس بالتهديدات الغريبة. اربط الأذونات بالأدوار، وقم بتقييد عمليات التصدير، واحتفظ بسجل تدقيق لا يمكن للمسؤولين تعديله، وأصر على الحصول على دليل يثبت أن عمليات الاستعادة قد تم اختبارها.

يسعدنا الرد على جميع هذه الأسئلة كتابةً عبر البريد الإلكتروني Mekjoy. تواصل معنا لمناقشة متطلباتك.