سياسة الاستخدام المقبول والأجهزة الشخصية (BYOD): ما الذي ينبغي تضمينه

دليل وليس استشارة قانونية

هذا المقال مخطط عملي لما تغطيه عادةً سياسة الاستخدام المقبول وإحضار الجهاز الشخصي (BYOD). وهو معلومات عامة من مزوّد تقنية معلومات وليس استشارة قانونية. وأي صياغة تمس شروط التوظيف والمراقبة والبيانات الشخصية ينبغي أن يراجعها مستشار قانوني مؤهل قبل إصدارها. وللاطلاع على خلفية حماية البيانات راجع أساسيات PDPL في الإمارات للشركات.

لماذا نحتاج إلى سياسة

تحوّل السياسة المكتوبة التوقعات غير المعلنة إلى شيء يستطيع الموظفون قراءته وتوقيعه وتذكّره. وهي تفيد عند وقوع حادث، وحين تحتاج إلى شرح قرار لموظف، وحين يسأل عميل أو شركة تأمين كيف تدير المخاطر. وهي تحمي الموظفين أيضاً بتوضيح ما تستطيع الشركة رؤيته وما لا تستطيع.

1. الغرض والنطاق

اذكر في فقرة قصيرة سبب وجود السياسة: حماية بيانات الشركة وأنظمتها وأفرادها. ثم حدد من تشمله (الموظفون والمتعاقدون والعاملون المؤقتون) وما تشمله (حواسيب الشركة وهواتفها، والأجهزة الشخصية المستخدمة في العمل، والبريد وTeams والتخزين السحابي وWi-Fi الشركة، ووسائل التواصل الاجتماعي حين يتحدث الشخص باسم الشركة).

2. الاستخدام المقبول

صف السلوك العادي المتوقع بلغة واضحة.

• استخدم أنظمة الشركة أساساً للعمل، مع تحديد واضح لأي استخدام شخصي محدود.
• حافظ على سرية كلمات المرور، واستخدم المصادقة متعددة العوامل، واقفل الشاشات.
• خزّن ملفات الشركة في أماكن معتمدة لا في حسابات شخصية.
• ثبّت البرمجيات المعتمدة فقط، وأبقِ الأجهزة محدّثة.

3. الاستخدام المحظور

اذكر ما هو غير مسموح دون محاولة تغطية كل حالة. ومن البنود المعتادة: مشاركة بيانات الدخول، وتجاوز ضوابط الأمان، واستخدام برمجيات بلا ترخيص، وتحويل بيانات الشركة إلى بريد شخصي، والاطلاع على مواد غير قانونية أو مسيئة، وتوصيل أجهزة غير معتمدة بالشبكة. وأضف سطراً عاماً بأن إساءة الاستخدام الأخرى قد تفضي كذلك إلى إجراء، واشرح العواقب بما يتفق مع إجراءات الموارد البشرية لديك.

4. الأجهزة الشخصية (BYOD)

هذا القسم هو الأكثر عرضة لإثارة الاحتكاك، فكن محدداً. قرر أولاً هل تُسمح الأجهزة الشخصية أصلاً، ولأي غرض: البريد فقط أم الملفات والمحادثات أيضاً. ثم ضع الشروط.

• قفل للشاشة، وتحديثات حديثة لنظام التشغيل، وتشفير للجهاز.
• الوصول إلى بيانات الشركة عبر تطبيقات معتمدة، لا نسخها إلى التخزين المحلي.
• التسجيل في ملف إدارة أو حماية للتطبيقات حيث تستخدم ذلك.
• ما تستطيع الشركة فعله إذا فُقد الجهاز: عادةً إزالة بيانات الشركة فقط لا مسح المحتوى الشخصي.
• من يدفع مقابل ماذا، إن وُجد، مثل باقات البيانات أو الملحقات.

ويشرح دليل إدارة الأجهزة المحمولة (MDM) (بالإنجليزية) الضوابط التقنية وراء هذه الخيارات.

5. المراقبة وشفافية الخصوصية

إذا كانت الشركة تراقب الأنظمة، فاذكر ذلك بوضوح. صف ما يُسجَّل (مثل نشاط تسجيل الدخول، وفحص أمان البريد، وتصفية الويب)، ولماذا، ومن يستطيع الاطلاع عليه، ومدة الاحتفاظ به. وكن صريحاً بشأن ما لا يُراقَب على الأجهزة الشخصية. فالصياغة الواضحة الصادقة تبني الثقة وتتجنب المفاجآت. وراجع هذا القسم بعناية مع مستشارك القانوني لأن توقعات الخصوصية والتوظيف تنطبق عليه.

6. الإبلاغ عن الحوادث

ينبغي أن يعرف الموظفون بالضبط ما يفعلونه حين يحدث خلل: هاتف مفقود، أو بريد مريب، أو رابط نُقر عليه، أو طلب غير متوقع لبيانات الدخول. حدد جهة اتصال واحدة أو صندوق بريد واحداً، واطلب الإبلاغ بسرعة، وبيّن أن الإبلاغ بحسن نية لن يُعاقَب عليه. فالإبلاغ السريع يحد من الضرر أكثر بكثير من إلقاء اللوم. وإن أردت مراقبة على مدار الساعة خلف هذه العملية، فراجع الأمن السيبراني المُدار وMDR.

7. إجراءات المغادرين

اشرح أنه عند انتهاء التوظيف يُزال الوصول، وتُزال بيانات الشركة من الأجهزة الشخصية، وتُعاد معدات الشركة. اربط السياسة بخطوات المغادرة لديك حتى تتحرك الموارد البشرية والمدير المباشر وقسم تقنية المعلومات معاً. وتغطي قائمة التحقق للانضمام والمغادرة التسلسل.

الأدوار والمسؤوليات

وضّح من يفعل ماذا. يلتزم الموظفون بالقواعد ويبلغون عن المشكلات. ويتأكد المديرون من أن فرقهم قرأت السياسة ويرفعون طلبات المغادرة وتغيير الأدوار بسرعة. ويطبق قسم تقنية المعلومات الضوابط التقنية ويعالج الحوادث. وتملك الموارد البشرية أو الإدارة السياسة نفسها وتبت في أي مسألة تأديبية. والمسؤوليات القصيرة المسماة تمنع سقوط المسائل بين الفرق.

اجعل اللغة مقروءة. فالسياسة المليئة بالبنود الكثيفة تُوقَّع وتُنسى، أما المكتوبة بجمل واضحة مع بعض الأمثلة الواقعية فتُتَّبع. وفكّر في ملخص من صفحة واحدة للموظفين الجدد إلى جانب الوثيقة الكاملة.

8. الإقرار والمراجعة

اطلب من كل مستخدم أن يقرأ السياسة ويقبلها عند انضمامه وعند تغييرها. وسمِّ مالكاً، وسجّل الإصدار والتاريخ، وراجعها مرة في السنة على الأقل، وبعد أي حادث أو تغيير تقني مهم. فالسياسة التي لا يحدّثها أحد سرعان ما تفارق الواقع.

من أين تبدأ

صُغ السياسة بلغة واضحة، وجرّبها مع بعض الموظفين، ثم اعرضها على المراجعة. يبين فحص صحة تقنية المعلومات المجاني الأجهزة والحسابات التي تحتاج السياسة إلى تغطيتها. وتدعم ميسان جلوبال المؤسسات في الإمارات منذ عام 2004.