قائمة التحقق لانضمام الموظفين ومغادرتهم في تقنية المعلومات للشركات في الإمارات

لماذا تستحق إجراءات انضمام الموظفين ومغادرتهم في تقنية المعلومات عملية مكتوبة

لدى معظم الشركات في الإمارات إجراء لانضمام الموظفين في الموارد البشرية. أما إجراء مماثل له في التفصيل لتقنية المعلومات فلدى قلة منها. والنتيجة نمط متوقع: يقضي الموظفون الجدد أيامهم الأولى في انتظار صلاحيات الوصول، ويترك الموظفون المغادرون وراءهم حسابات تبقى نشطة أسابيع، وأحياناً شهوراً.

والمخاطر ليست هيّنة. الحساب النشط لموظف سابق بيانُ دخول مفتوح. وإن غادر ذلك الشخص في ظروف سيئة، أو سبق أن أُعيد استخدام كلمة مروره أو شاركها، فالانكشاف مباشر. وبالنسبة إلى المؤسسات الخاضعة لقانون حماية البيانات الشخصية في الإمارات (PDPL) (بالإنجليزية)، فإن مغادرة غير مضبوطة تترك بيانات شخصية في متناول موظف سابق قد تشكل أيضاً خرقاً محتملاً للامتثال.

وتحل قائمة تحقق مكتوبة لانضمام الموظفين ومغادرتهم في تقنية المعلومات المشكلتين معاً. فهي تمنح فريق تقنية المعلومات عملية قابلة للتكرار، وتمنح الموارد البشرية نقطة تسليم واضحة، وتمنح القيادة ثقة بأن الوصول مضبوط.

قائمة التحقق لانضمام الموظفين في تقنية المعلومات

الانضمام ليس مجرد تسليم حاسوب محمول. إنه منح الموظف الجديد الوصول الذي يحتاج إليه، وهذا الوصول فقط، منذ اليوم الأول. ومنح صلاحيات زائدة من أكثر إخفاقات حوكمة تقنية المعلومات شيوعاً في الشركات الصغيرة والمتوسطة في الإمارات، وهو يتراكم مع كل توظيف.

قبل تاريخ البدء

• أكّد الدور والإدارة والمدير المباشر مع الموارد البشرية، فهذا يحدد الأنظمة التي ينبغي أن يصل إليها الموظف الجديد.
• أنشئ حساب Microsoft 365 وخصص له مستوى الترخيص الصحيح. لا تخصص ترخيص Copilot أو ترخيصاً مؤسسياً افتراضياً، بل اجعله متوافقاً مع احتياجات الدور الفعلية. (راجع دليلنا عن من يحصل على مقعد Copilot.)
• أضف الحساب إلى مجموعات Microsoft 365 وقنوات Teams ومواقع SharePoint الصحيحة للدور، لا إلى كل مجموعة في المستأجر.
• جهّز الجهاز: ثبّت عليه الصورة المعيارية، وطبّق سياسة الأمان الأساسية، وسجّله في Microsoft Intune أو منصة إدارة الأجهزة المحمولة (MDM) لديك، وتحقق من أن حماية الأجهزة الطرفية فعّالة.
• عيّن كلمة مرور مؤقتة وفعّل اشتراط تغييرها عند أول تسجيل دخول.
• تأكد من أن المصادقة متعددة العوامل (MFA) ستُفرض منذ أول تسجيل دخول، دون استثناءات بفترة سماح.
• أنشئ الحسابات في أي أنظمة أعمال خاصة بالدور (ERP وCRM وHRIS) وتأكد من أن الصلاحيات محددة بحسب وظيفته.

في اليوم الأول

• سلّم الجهاز مع توثيق: جهة اتصال تقنية المعلومات، وإجراء مكتب المساعدة، وملخص مكتوب قصير للاستخدام المقبول.
• أرشد الموظف خلال تسجيل المصادقة متعددة العوامل إن لم يكمله أثناء التهيئة المسبقة.
• تأكد من أن البريد والتقويم وTeams والمحركات المشتركة متاحة وتعمل بصورة صحيحة.
• سجّل الرقم التسلسلي للجهاز والمستخدم المعيَّن وتاريخ التسليم في سجل أصول تقنية المعلومات. وهذا ضروري للممارسة الأمنية الجيدة ولمساءلة قانون PDPL.
• سجّل تاريخ إنشاء الحساب والترخيص المخصص ومجموعات الوصول في سجل انضمام الموظفين لدى تقنية المعلومات.

خلال فترة التجربة

• راجع هل ينبغي تعديل أي وصول مُنح في اليوم الأول بعد أن يستقر الموظف في دوره الفعلي.
• تأكد من عدم تمرير كلمات مرور مشتركة بصورة غير رسمية. وهذا شائع في الفرق الصغيرة ويقوّض المساءلة.
• بالنسبة إلى الموظفين في المالية أو الموارد البشرية أو القيادة، تحقق من أن الوصول المميز محدد النطاق ومدقَّق بصورة سليمة.

وإن كانت مؤسستك تعتمد خدمة تقنية معلومات مُدارة منظمة، فينبغي أن يتولى مزوّدك هذه القائمة ضمن الخدمة، لا أن يُترك الأمر لمدير مكتب أو جهة اتصال منشغلة في تقنية المعلومات لتتذكره.

قائمة التحقق لمغادرة الموظفين في تقنية المعلومات

المغادرة أعلى خطراً من الانضمام. عندما ينضم موظف، تكون ثغرات الوصول مزعجة. وعندما يغادر موظف وحساباته نشطة، قد يكون الانكشاف خطيراً. وتنطبق القائمة أدناه على جميع حالات المغادرة: الاستقالات الطوعية والتسريح والفصل على حد سواء.

في آخر يوم عمل (أو لحظة المغادرة في حالات الخروج الفوري)

• علّق حساب Microsoft 365 فوراً، ولا تحذفه بعد. التعليق يمنع تسجيل الدخول مع الإبقاء على صندوق البريد وOneDrive وسجلات التدقيق.
• ألغِ كل جلسات Microsoft 365 النشطة ورموز التحديث. فالحساب المعلَّق تبقى له جلسات نشطة حتى تُلغى الرموز صراحةً في Entra ID (المعروف سابقاً بـ Azure AD). وهذه الخطوة تُنسى أكثر مما ينبغي.
• عطّل حساب الموظف أو أزله من جميع أنظمة الأعمال: ERP وCRM وHRIS وVPN وأي بوابات سحابية.
• ألغِ أي صلاحيات إدارية أو أذونات مرتفعة كان يملكها. افحص تعيينات الأدوار وعضويات المجموعات معاً، فالوصول الإداري يُمنح أحياناً بصورة غير رسمية عبر عضوية مجموعة.
• استرجع الجهاز، وتأكد من سلامته، وأعد ضبطه إلى إعدادات المصنع قبل إعادة تخصيصه. وسجّل تاريخ إعادة الجهاز في سجل الأصول.
• غيّر أي كلمات مرور مشتركة كان يصل إليها: Wi-Fi وحسابات الخدمة ورموز غرفة الخوادم. بيانات الدخول المشتركة ضعف بنيوي؛ والمغادرة فرصة لإزالتها.
• انقل ملكية صندوق بريد Microsoft 365 إلى المدير المباشر أو إلى صندوق بريد مشترك. وفعّل رداً تلقائياً يوجّه جهات الاتصال إلى الخَلَف المناسب.
• انقل محتويات OneDrive إلى المدير المباشر، وطبّق حجز احتفاظ إن كان هناك أي خطر قانوني.

خلال 30 يوماً من المغادرة

• استرجع ترخيص Microsoft 365 وأعد تخصيصه أو ألغه. ترخيص موظف مغادر يبقى مخصصاً هو مال مهدور، وهو في كثير من الأحيان أسرع توفير في التراخيص يمكن لشركة تحقيقه. ويغطي مقالنا عن ماذا تشمل خدمات تقنية المعلومات المُدارة حوكمة التراخيص بوصفها جزءاً من الإدارة المستمرة.
• راجع وأزل الحساب من أي تكاملات مع خدمات خارجية: Zoom وSlack وأدوات إدارة المشاريع وبرامج المحاسبة.
• احذف حساب Microsoft 365 أو أرشفه وفق سياسة الاحتفاظ بالبيانات لديك. تُبقي معظم الشركات في الإمارات صندوق البريد في حالة حذف مؤقت أو حجز قانوني 90 يوماً على الأقل قبل الحذف النهائي.
• حدّث سجل أصول تقنية المعلومات للتأكد من إعادة كل المعدات أو توثيق حالتها.
• أجرِ تدقيقاً نهائياً للوصول: تأكد من عدم بقاء عضويات مجموعات، ولا أجهزة مصادقة متعددة العوامل مسجلة باسم الحساب القديم، ولا قواعد إعادة توجيه في صندوق البريد.

التزامات PDPL للمنضمين والمغادرين

يفرض قانون حماية البيانات الشخصية في الإمارات التزامات تمتد عبر طرفي دورة حياة الموظف. فحين ينضم شخص، فأنت تعالج بياناته الشخصية، وتحتاج إلى أساس قانوني موثق، وسجل بما تحتفظ به، وضوابط على من يصل إليه.

وحين يغادر شخص، يتطلب القانون ألا يُحتفظ بالبيانات الشخصية مدة أطول من اللازم للغرض الذي جُمعت من أجله. وإن كان للموظف المغادر وصول إلى بيانات شخصية للعملاء أثناء دوره، فينبغي أن تتضمن إجراءات المغادرة التأكد من تحديد أي نسخ محلية من تلك البيانات على جهازه أو في مجلداته الشخصية والتعامل معها بصورة صحيحة.

وهذا ليس بيروقراطية لذاتها، بل هو الجواب العملي عن سؤال «ماذا يحدث لبيانات العملاء عندما يتبدل الموظفون؟». ويكشف فحص صحة تقنية المعلومات هل لدى مؤسستك أجوبة واضحة عن هذا السؤال أم أن العملية غير رسمية وغير موثقة.

اعتبارات تعدد المواقع وتعدد الكيانات

بالنسبة إلى الشركات في الإمارات التي تعمل عبر عدة مكاتب أو كيانات قانونية، وهو هيكل شائع في الشارقة ودبي وأبوظبي والإمارات الشمالية، يزداد تعقيد الانضمام والمغادرة في تقنية المعلومات بازدياد عدد الأنظمة ونقاط الوصول. فمدير مبيعات كان يصل إلى SharePoint مكتب دبي، وERP الشارقة، ومجلد مالي مشترك، وبوابة شركة لوجستية خارجية، يترك وراءه أربعة خيوط وصول منفصلة، لا خيطاً واحداً.

تجعل إدارة الهوية المركزية عبر Microsoft Entra ID هذا الأمر قابلاً للإدارة: فتعليق الحساب المركزي ينقل إزالة الوصول عبر الأنظمة المتكاملة. أما المؤسسات التي لم تركّز الهوية، واعتمدت بدلاً من ذلك حسابات محلية منفصلة في كل نظام، فتواجه عملية مغادرة يدوية كثيرة الأخطاء في كل مرة يغادر فيها موظف.

وإن كانت شركتك في الفئة الثانية، فإن معالجة تركيز الهوية من أعلى تحسينات حوكمة تقنية المعلومات عائداً. وتتضمن عادةً مهمة الأمن السيبراني المُدار مراجعة الهوية ضمن التقييم الأولي.

جعل العملية قابلة للتكرار

قائمة تحقق في مستند أفضل من لا شيء. وقائمة مدمجة في عملية خدمة تقنية المعلومات لديك، وتُفعَّل تلقائياً حين تُبلغ الموارد البشرية تقنية المعلومات بموظف منضم أو مغادر، أفضل بكثير. الهدف عملية لا يمكن نسيانها لأنها تعمل ضمن التشغيل العادي، لا عملية تعتمد على أن يتذكر أحد إرسال رسالة بريد.

وبالنسبة إلى المؤسسات التي تقيّم هل يدعم إعداد تقنية المعلومات الحالي لديها هذا النوع من الحوكمة التشغيلية، فنقطة البداية مراجعة منظمة. تقدم ميسان جلوبال الدعم المُدار لتقنية المعلومات للشركات في الإمارات منذ عام 2004؛ وتندرج إجراءات الانضمام والمغادرة وإدارة الهوية ضمن ما تغطيه خدمة تقنية المعلومات المُدارة المنظمة. ويوضح دليلنا لاختيار شريك تقنية المعلومات في الإمارات (بالإنجليزية) ما ينبغي البحث عنه عند تقييم قدرة مزوّد على تولي هذه العملية نيابةً عنك.