المغادرة حدث أمني
غالباً ما تُعامل مغادرة الموظف كإجراء للموارد البشرية: استرداد ممتلكات الشركة وإنهاء الأوراق وتعطيل البريد وإغلاق سجل الموظف. لكنها من منظور الأمن السيبراني حدث يتعلق بالهوية والوصول وحماية البيانات وتمثيل الشركة أيضاً.
قد يظل تطبيق سحابي منسي أو اعتماد API نشط أو جهاز شخصي متزامن أو قائمة عملاء متاحة أو هوية مهنية لا تزال فعالة مصدر تعرض بعد آخر يوم عمل بوقت طويل. ولذلك يجب أن تكون العملية منهجية لا معتمدة على تذكر شخص لكل حساب وقناة هوية استخدمها الموظف.
الموظفون المغادرون خطر جوهري على البيانات
أفاد بحث Proofpoint «صوت مسؤول أمن المعلومات 2025» بأن ثلثي المسؤولين المشاركين واجهوا خسارة جوهرية للبيانات في العام السابق. ومن بينهم قال 92٪ إن الموظفين المغادرين أدوا دوراً ما، مقارنة بـ73٪ في العام الأسبق. وربط تحليل سحابي منفصل من Proofpoint نسبة 87٪ من نشاط إخراج الملفات الشاذ المرصود خلال تسعة أشهر بموظفين مغادرين.
ليس كل حادث سرقة متعمدة. فقد يحتفظ الأشخاص بنماذج عمل أو جهات اتصال، أو يسيئون فهم ملكية المواد التي أنشؤوها، أو يتركون البيانات متزامنة دون قصد. وفي حالات أخرى يستمر الوصول ببساطة لأن حساباً أو مجلداً أو رمزاً أو جهازاً أو هوية خارجية لم تُعطّل.
مخاطر الداخل تشمل الأخطاء وسوء الاستخدام
حلل تقرير Verizon للتحقيقات في خروقات البيانات لعام 2025 أكثر من 22 ألف حادث أمني و12,195 خرقاً مؤكداً. ونسبت نتائجه في أوروبا والشرق الأوسط وأفريقيا 29٪ من الخروقات إلى جهات داخلية؛ وشملت 19٪ أخطاء غير مقصودة و8٪ سوء استخدام. لذا فإن ضوابط المغادرة المصممة فقط لمواجهة موظف خبيث تفوّت جزءاً كبيراً من المشكلة.
ينبغي أن يشمل الحصر البريد وتطبيقات الأعمال والسحابة ومستودعات التعاون وVPN والوصول البعيد والمستودعات البرمجية والحسابات المميزة وحسابات الخدمة ورموز API ومعلومات العملاء وتطبيقات الجوال والأجهزة المدارة. كما ينبغي أن يشمل البطاقات والملفات العامة ورموز QR وتوقيعات البريد وأصول الهوية ذات العلامة.
اطرح ثلاثة أسئلة أمنية مختلفة
يسأل الوصول عما إذا كان الموظف لا يزال يستطيع المصادقة على أنظمة الشركة. وتسأل البيانات عما إذا كان لا يزال يستطيع امتلاك المعلومات الحساسة أو مزامنتها أو تصديرها أو استرجاعها. وتسأل الهوية الخارجية عما إذا كان العملاء أو الموردون أو الشركاء لا يزالون يرون هوية مؤسسية تبدو صالحة لموظف سابق.
قد يجيب تعطيل Microsoft 365 وVPN عن السؤال الأول دون الإجابة عن السؤالين الآخرين. ويجب أن تعالج المغادرة الآمنة الطبقات الثلاث وتوثق الجهة المسؤولة عن كل إجراء.
احمِ الفترة الحرجة قبل المغادرة
قد يحدث التسرب قبل تعطيل الحساب. وصفت Proofpoint حالة في شركة محاماة عام 2025 أرسل فيها موظف قبل انتقاله إلى منافس كميات كبيرة من المعلومات الحساسة إلى حساب شخصي في يومه الأخير. كما لاحظت أن الموظفين المغادرين قد يزيدون حجم وتواتر نقل البيانات الحساسة قبيل المغادرة.
بالنسبة إلى الأدوار الحساسة أو المميزة، قد تبرر الفترة بين الإشعار والمغادرة مراقبة متناسبة ومراجعة للنشاط وفق السياسة والقانون المطبقين. هذا تحكم واعٍ بالمخاطر وليس افتراضاً بأن كل موظف مغادر خبيث.
نسّق الإلغاء عند انتهاء العمل
ينبغي للموارد البشرية وتقنية المعلومات والأمن السيبراني ومالكي التطبيقات ومدير العمل تنسيق التوقيت. وتحتاج المصادقة والجلسات النشطة وVPN والجلسات السحابية وحسابات التطبيقات والحسابات المميزة وتسجيلات MFA عند الحاجة والرموز وتفويضات البريد المشترك ووصول الأطراف الثالثة إلى مالك محدد ونتيجة مؤكدة.
يجب استرداد أجهزة الشركة أو التحكم بها عن بعد، كما يجب تدوير بيانات الاعتماد التي لا تنسب إلى شخص واحد، مثل كلمات المرور المشتركة أو أسرار التكامل المضمنة، بدلاً من الاكتفاء بإزالة حساب الموظف المسمى.
راجع مسار بيانات الشركة
عند الاقتضاء، راجع التنزيلات غير المعتادة وعمليات النقل الجماعي والتحويل إلى البريد الشخصي والمزامنة السحابية والمشاركة الخارجية ونشاط الوسائط القابلة للإزالة وصادرات CRM الكبيرة وتنزيلات المستودعات والتغييرات المشبوهة قرب المغادرة. واحفظ الأدلة ذات الصلة واتبع متطلبات القانون والخصوصية ومراقبة الموظفين.
الهدف هو تحديد ما إذا كانت معلومات الشركة لا تزال معرضة واحتواء ذلك، وليس مجرد تسجيل انتهاء الوصول في وقت معين.
لا تتجاهل الهوية المؤسسية الخارجية
قد يظل لدى مندوب مبيعات سابق بطاقة رقمية للشركة وملف QR يبدو صالحاً وشعار ومسمى وتوقيع بريد قديم ومواد اجتماعات تحمل العلامة وعلاقات عملاء قائمة. وحتى بعد إزالة الوصول الداخلي، قد لا يملك العميل وسيلة بسيطة لمعرفة أن الشخص لم يعد مخولاً بتمثيل المؤسسة.
تجيب منصات إدارة الهوية والوصول عما إذا كانت الهوية تستطيع دخول نظام. ويجيب التحكم في الهوية الرقمية للشركات عما إذا كانت الهوية المهنية لا تزال مخولة بتمثيل المؤسسة خارجياً. هذان الضابطان متكاملان ولا ينبغي الخلط بينهما.
دور CardIQ
يعالج CardIQ طبقة الهوية المهنية الظاهرة خارجياً. ويمكن للمؤسسات إدارة قنوات الهوية المدعومة والمعتمدة من الشركة مركزياً وتعطيل هوية CardIQ عند مغادرة الموظف، بحيث لا تعود البطاقات الرقمية والملفات العامة والتحقق عبر QR تعرض اعتماداً حالياً.
لا يستبدل CardIQ دليل Active Directory أو Microsoft Entra ID أو Okta أو أنظمة الموارد البشرية أو منع فقد البيانات أو إدارة الأجهزة الطرفية أو إدارة الوصول المميز. بل يعالج السؤال المكمل: هل لا يزال الموظف السابق يظهر عبر القنوات التي يتحكم بها CardIQ كممثل نشط للشركة؟
اجعل الإكمال قابلاً للتحقق
يجب أن يؤكد السجل الكامل حالة العمل وتعطيل الهوية الداخلية وإلغاء الجلسات وإزالة وصول التطبيقات والوصول المميز وإلغاء بيانات API واسترداد الجهاز أو التحكم به وأي مراجعة مناسبة للبيانات وتعطيل الهوية المهنية الخارجية والتدقيق النهائي. وقد تستدعي الأدوار عالية المخاطر تحققاً لاحقاً من أي وصول غير متوقع.
المشكلة الأوسع هي تشتت الملكية: تعرف الموارد البشرية أن الموظف غادر، وتتحكم تقنية المعلومات ببعض الحسابات، وتتحكم فرق التطبيقات بغيرها، ويراقب الأمن البيانات، وتملك المبيعات سجلات CRM، وتدير التسويق أصول العلامة. تغلق المغادرة الآمنة علاقة الموظف الكاملة بوصول الشركة وبياناتها وهويتها وتترك دليلاً على ذلك.