تقنية المعلومات لشركات المحاماة والمحاسبة والاستشارات في الإمارات

لماذا تُعد الشركات المهنية هدفاً خاصاً

تحتفظ شركات المحاماة والمحاسبة والتدقيق والضرائب والاستشارات بمعلومات لا يريد العملاء أن توجد في أي مكان آخر: العقود والقوائم المالية والمراكز الضريبية وخطط الصفقات والبيانات الشخصية. ومنتجها الرئيسي هو الثقة. وقد تُلحق رسالة بريد أُرسلت إلى جهة خاطئة أو صندوق بريد مخترق ضرراً بالشركة أكبر من معظم الأعطال التقنية، ويزداد سؤال العملاء والبنوك وشركات التأمين عن كيفية حماية هذه المعلومات. وللاطلاع على الخدمة نفسها، راجع صفحة تقنية المعلومات للخدمات المهنية (بالإنجليزية).

المحاور أدناه هي الأهم، بترتيب تقريبي يصادفه الشريك أو مدير المكتب.

1. سرية العميل وفصل القضايا

السرية أكثر من إبقاء الغرباء في الخارج. داخل الشركة، لا ينبغي أن يطّلع كل شخص على كل عميل. فتعارض المصالح والجدران الأخلاقية وسرية المهام الخاصة تعني أن الوصول ينبغي أن يتبع العميل أو القضية، لا المكتب.

• نظّم الملفات بحيث يكون لكل عميل أو قضية موقع خاص بصلاحياته الخاصة، بدلاً من وحدة تخزين مشتركة مفتوحة لكل الموظفين.
• استخدم المجموعات لفرق المهام، لتكون إضافة شخص أو إزالته تغييراً واحداً.
• حيث يلزم جدار أخلاقي، قيّد الوصول صراحةً وسجّل من مُنح الوصول ومتى.
• أبقِ بيانات العملاء خارج البريد الشخصي والحسابات السحابية الشخصية وتطبيقات المراسلة. وإذا احتاج الموظفون إلى طريقة سريعة للمشاركة، فوفّر لهم طريقة معتمدة.

وهذا الفصل هو ما يتيح لك أيضاً الإجابة عن عميل يسأل من اطّلع على ملفاته.

2. ضبط الوصول وتسجيل الدخول

أكثر ضابط فعالية للشركة المهنية هو المصادقة متعددة العوامل على كل حساب، وخاصة البريد. ويلي ذلك وصول يتناسب مع الوظيفة: فالمستخدمون العاديون لا يحتاجون إلى صلاحيات المسؤول، وينبغي أن تكون حسابات المسؤولين منفصلة عن الحسابات اليومية. راجع الوصول عند تغيّر دور أحدهم، وأنهِه في يوم مغادرته. ويشرح دليل تفعيل المصادقة متعددة العوامل كيف تطبّقها دون تعطيل العاملين على مهام العملاء.

3. مشاركة المستندات الآمنة مع العملاء

تتبادل الشركات المهنية مستندات حساسة مع عملائها باستمرار، والمرفقات العادية في البريد وسيلة ضعيفة لذلك. والأفضل المشاركة عبر رابط خاضع للتحكم أو بوابة عملاء حيثما أمكن:

• شارك ملفات أو مجلدات محددة عبر رابط، لا بإرفاق نسخ، ليمكن سحب الوصول لاحقاً.
• اشترط تسجيل دخول المستلم حيث يكون المحتوى حساساً، وحدد تاريخ انتهاء.
• استخدم تصنيفات الحساسية أو التشفير للمواد الأشد سرية، لتنتقل الحماية مع الملف.
• قيّد من يملك داخل الشركة صلاحية المشاركة الخارجية، واحتفظ بسجل للمشاركة الخارجية يمكن مراجعته.

يوفر Microsoft 365 معظم هذه الضوابط إذا ضُبط عن قصد. وتسرد خط الأساس الأمني لـ Microsoft 365 الإعدادات التي ينبغي التحقق منها.

4. أمن البريد الإلكتروني واحتيال المدفوعات

البريد الإلكتروني هو المكان الذي تتعرض فيه الشركات المهنية للهجوم في أغلب الأحيان. ومن الأنماط المعتادة انتحال شخصية شريك يطلب من المالية دفع فاتورة، أو تعديل سلسلة رسائل مع عميل لتغيير البيانات المصرفية، أو رسالة تصيّد تسرق كلمة مرور ثم يُقرأ صندوق البريد أسابيع. والشركات التي تتعامل مع أموال العملاء أو تعليمات التسوية أكثر انكشافاً.

• انشر SPF وDKIM وDMARC لنطاقات الشركة وطبّقها كي لا ينتحل الآخرون هويتك بسهولة.
• رشّح البريد الوارد بحثاً عن التصيّد والمرفقات الخبيثة، ونبّه الموظفين إلى الرسائل القادمة من خارج الشركة.
• راجع قواعد إعادة توجيه صناديق البريد بانتظام. فكثيراً ما ينشئ المهاجمون قاعدة مخفية لنسخ البريد إلى الخارج.
• اعتمد قاعدة تقضي بتأكيد أي تغيير في البيانات المصرفية بمكالمة إلى رقم معروف، لا بالرد على الرسالة.

يتعمق دليل أمن البريد واحتيال المدفوعات (بالإنجليزية) في الموضوع، ويفحص فاحص أمن البريد المجاني نطاقاً بعينه.

5. الاحتفاظ بالسجلات والنسخ الاحتياطي

كثيراً ما يجب الاحتفاظ بالسجلات المهنية مدة محددة، وأن تكون قابلة للعثور عليها وغير معدّلة عند الحاجة: خطابات التعاقد وأوراق العمل والاتفاقيات الموقعة والفواتير. وتعتمد مدد الاحتفاظ على المهنة والجهة التنظيمية والعقد، لذا أكّدها مع مستشارك. ومن منظور تقنية المعلومات فالأهداف بسيطة: اعرف أين تقع كل فئة من السجلات، وامنع حذفها مبكراً، وكن قادراً على استعادتها.

• انسخ Microsoft 365 احتياطياً إلى جانب خوادم الملفات. فسلال المحذوفات وإعدادات الاحتفاظ الأصلية ليست بديلاً عن نسخة احتياطية منفصلة. اطّلع على لماذا يحتاج Microsoft 365 إلى نسخ احتياطي خاص به.
• احتفظ بنسخة واحدة على الأقل خارج النظام الرئيسي، واختبر استعادة مجلد عميل وفق جدول.
• للسجلات التي يجب ألا تتغير، فكّر في أرشيف مستندات بسجل يكشف أي عبث. وميسان جلوبال هي الشريك الحصري في الشرق الأوسط لحل windream.

6. العمل عن بُعد والأجهزة

يعمل الشركاء والعاملون على مهام العملاء من مواقع العملاء والمحاكم والمطارات والمنزل. وهذا يجعل الجهاز هو المحيط الجديد. ينبغي للشركات أن تقرر أي الأجهزة يجوز لها الوصول إلى بيانات العملاء وبأي حالة يجب أن تكون.

• فضّل الحواسيب المحمولة والهواتف التي تملكها الشركة وتديرها، المسجلة في إدارة الأجهزة ليمكن قفلها أو مسحها عند الفقدان.
• إذا سُمح بالأجهزة الشخصية، فاقصرها على التطبيقات المعتمدة وامنع حفظ ملفات العملاء محلياً.
• شفّر الأقراص، واشترط قفل الشاشة، وحافظ على تحديث أنظمة التشغيل والتطبيقات.
• استخدم وصولاً آمناً عن بُعد إلى الأنظمة الداخلية بدلاً من تعريضها للإنترنت.

يغطي دليل العمل عن بُعد والهجين (بالإنجليزية) ودليل إدارة الأجهزة المحمولة (بالإنجليزية) ذلك بمزيد من التفصيل.

7. سياسة مكتوبة للأجهزة والاستخدام المقبول

تفيد سياسة مكتوبة قصيرة الموظفين والعملاء معاً. ينبغي أن تحدد الأجهزة المسموح بها، وكيف يجوز تخزين بيانات العملاء ومشاركتها، وما يُفعل عند فقدان جهاز، وما يحدث عند مغادرة أحدهم. اجعلها صفحة أو صفحتين ليقرأها الناس فعلاً، وتأكد من أن يوقّعها الموظفون الجدد.

8. تسجيل جاهز للتدقيق، موصوف بصورة عامة

قد يطلب العملاء والجهات التنظيمية وشركات التأمين من الشركة أن تُظهر من وصل إلى ماذا ومتى. ولا يلزمك أن تَعِد بمعيار محدد لتكون مستعداً لهذا السؤال. فبصورة عامة، ينبغي أن تستطيع الشركة إثبات أن عمليات تسجيل الدخول مسجلة، وأن الوصول إلى ملفات العملاء يمكن ربطه بشخص، وأن إجراءات المسؤولين مسجلة، وأن السجلات تُحفظ مدة معقولة ومحمية من التعديل. ويسجل Microsoft 365 جزءاً كبيراً من ذلك عند تفعيل التدقيق. والخطوة العملية هي التأكد من تفعيله، وتحديد مدة الاحتفاظ بالسجلات، ومعرفة من يستطيع استرجاعها.

ويدخل قانون حماية البيانات في الصورة أيضاً. فقانون حماية البيانات الشخصية في الإمارات ينطبق على معظم الشركات، ولكل من DIFC وADGM نظامه الخاص، لذا أكّد مع مستشارك القانوني أيّها ينطبق عليك. ويشرح دليل قانون حماية البيانات الشخصية (بالإنجليزية) الالتزامات العامة.

من أين تبدأ

المراجعة المنظمة هي عادةً أسرع وسيلة لمعرفة موقع الشركة. ويغطي فحص صحة تقنية المعلومات المجاني Microsoft 365 وأمن البريد والنسخ الاحتياطي والوصول إلى ملفات العملاء. وتدعم ميسان جلوبال المؤسسات في الإمارات منذ عام 2004 من مقرها الرئيسي في المجاز بالشارقة.