تسريب البيانات على يد موظف سابق: كيف تحمي منصة SaaS الخاصة بك

شخص ما استقال من شركتك هذا العام. هل تتذكر أنك قطعت وصول هذا الشخص إلى Drive، وإلى CRM، وإلى WhatsApp Business، وإلى لوحة المدفوعات؟ كلها؟ في اليوم نفسه؟ إن استغرقت الإجابة أكثر من ثانيتين، فهذا المقال لك. تسريب البيانات على يد موظف سابق ليس مشكلة العمالقة فقط. لكن العملاق الذي على الساحة الآن يساعد على فهم حجم الحفرة.

ما تقوله Apple، بلغة واضحة

في أغسطس 2026، أكدت Apple أمام القضاء أن مزيدًا من الموظفين السابقين ربما نقلوا معلومات سرية إلى OpenAI. بدأت القضية بمهندس عتاد غادر إلى OpenAI، وبحسب Apple، نسخ ملفات عن منتجات لم تُطلق بعد قبل رحيله. والآن تقول الشركة إنه لم يكن وحده.

انتبه إلى التفصيلة: Apple لديها بطاقات بشريحة، وشبكة مراقبة، وقسم قانوني بحجم مبنى كامل، وإدارة كاملة مخصصة للسرية فقط. ومع ذلك، ظهرت المشكلة بعد فوات الأوان. اكتشفتها بالتحقيق، لا بالوقاية.

إن لم تستطع Apple إيقاف الأمر عند الباب، فشركتك ذات 8 أو 20 أو 50 شخصًا لن توقفه عند الباب أيضًا. السؤال الصحيح مختلف: كم من الضرر يستطيع شخص إحداثه عند مغادرته، وكم من الوقت تحتاج لتلاحظ؟

أين يسكن الخطر الحقيقي في شركة صغيرة

على الأرجح ليس لديك شريحة سرية لتُسرَّب. لكن لديك أشياء تساوي مالًا حقيقيًا:

• قائمة العملاء بأرقام الهواتف ومتوسط الفاتورة ومن يجدد ومتى.
• جدول الأسعار وهوامش كل خدمة.
• الأوامر النصية والأتمتة وجداول البيانات التي تُشغّل العمليات.
• كلمات المرور المشتركة في مجموعة WhatsApp تلك من عام 2022.

رأيت حالة كهذه عن قرب. شركة خدمات فيها نحو 15 موظفًا. غادر مندوب المبيعات بشكل جيد، عناق، كعك، كل شيء على ما يرام. بعد ثلاثة أشهر، بدأ العملاء يتلقون عرضًا من منافس بخصم محسوب على أساس المبلغ الذي كانوا يدفعونه بالضبط. الرجل لم يخترق شيئًا. فقط صدّر CRM في ملف CSV في أسبوعه الأخير، وهو ما كان يفعله كل يوم اثنين لإعداد التقارير. لم يجد أحد الأمر غريبًا لأنه لم يكن غريبًا.

هذه هي النقطة التي يتجاهلها معظم الناس. التسريب نادرًا ما يكون هاكر بقلنسوة. إنه الروتين العادي، ينفذه شخص يملك المفتاح أصلًا، قبل أسبوع من إعادة المفتاح.

الأمن ليس منع الشخص من الخروج بالملف. بل ضمان أنك تعرف أنه خرج به.

لماذا جعل SaaS الأمر أسوأ (وأفضل)

قبل عشر سنوات، كانت البيانات على خادم في الغرفة الخلفية. أخذها كان يتطلب جهدًا. اليوم تعمل شركتك على 12 أداة SaaS مختلفة، لكل منها تسجيل دخول خاص، ونصفها يحمل زر "تصدير الكل" في زاوية الشاشة.

صار أسوأ لأن الاحتكاك اللازم للنسخ انخفض إلى الصفر. وصار أفضل لأن كل SaaS محترم تقريبًا يسجل ما فعله كل مستخدم. صدّر؟ هناك سجل. حمّل 400 ملف في الساعة 11 ليلًا؟ هناك سجل. شارك مجلدًا مع بريد إلكتروني خارجي؟ هناك سجل.

المشكلة أن لا أحد ينظر إلى السجل. وعندها تصبح مثل Apple: تكتشف من خلال الضرر، بعد أشهر.

قائمة إنهاء الخدمة التي تتسع لورقة واحدة

لا تحتاج إلى توظيف شركة استشارات. تحتاج إلى عملية مملة وقابلة للتكرار. قائمتي، مكيّفة للأعمال الصغيرة:

1. جرد الصلاحيات. جدول بسيط: الشخص، الأداة، مستوى الصلاحية. إن كنت لا تعرف أين يملك الشخص تسجيل دخول، فلا يمكنك القطع. افعل ذلك اليوم، قبل أن تحتاج إليه.
2. تسجيل دخول مركزي كلما أمكن. Google Workspace أو Microsoft 365 كبوابة واحدة. عطّلت الحساب، سقط كل ما هو معلق به. إجراء واحد بدلًا من اثني عشر.
3. صفر كلمات مرور مشتركة. إن كان Instagram الشركة له كلمة مرور يعرفها أربعة أشخاص، فهي مسرّبة أصلًا. مدير كلمات المرور يحل الأمر ويكلف أقل من وجبة غداء شهريًا.
4. الحد الأدنى من الصلاحيات حسب الوظيفة. مندوب المبيعات يرى عملاءه فقط. المالية لا تحتاج إلى أوامر التسويق النصية. كلما قلّ ما يراه كل شخص، قلّ ما يأخذه.
5. القطع في يوم الإبلاغ نفسه. ليس شكًا، بل إجراء. قل ذلك بوضوح عند التوظيف ولن ينزعج أحد لاحقًا.
6. مراجعة سجل آخر 30 يومًا. عمليات التصدير، التحميلات الجماعية، المشاركات الخارجية. تستغرق 20 دقيقة وهي حيث تكتشف قصة ملف CSV قبل المنافس.
7. اتفاقية سرية موقعة عند الدخول. لا تمنع شيئًا. لكنها الفرق بين القدرة وعدم القدرة على فعل شيء لاحقًا، وهذا بالضبط حيث تقف Apple الآن.

"لكنني أثق بفريقي"

ممتاز. أنا أيضًا أثق بفريقي. الثقة والإجراءات لا يتنافسان. حزام الأمان ليس إهانة للسائق.

الاعتراض الأصدق الذي أسمعه مختلف: "ليس لدي وقت لهذا". أفهم ذلك. لهذا الجزء الذي أحبه أكثر في هذا الموضوع هو أنه قابل للأتمتة. تدفق بسيط: عندما تضع الموارد البشرية علامة على شخص كمنتهي الخدمة في الجدول، يعطّل روبوت الحساب في Google، ويزيله من مجموعات WhatsApp عبر API، ويلغي الصلاحية في CRM، ويرسل لك ملخصًا لآخر عمليات وصول هذا الشخص. بمجرد إعداده، لن تنسى أبدًا، لأنه لا يعتمد على تذكّرك.

هذا النوع من الأتمتة أبنيه في أسبوع أو أسبوعين لشركة صغيرة. ليس مشروع أشهر. إنه ربط أدوات تدفع ثمنها أصلًا.

الدرس المستفاد من قضية Apple

ستنفق Apple الملايين على المحامين وربما تستعيد جزءًا مما خسرته. أنت لا تملك هذه الميزانية، لذا عليك أن تكسب بالوقاية الرخيصة. جرد، تسجيل دخول موحد، حد أدنى من الصلاحيات، قطع فوري، نظرة على السجل. لا شيء من هذا يتطلب تقنية جديدة. يتطلب قرارًا بالتنفيذ.

وإن أردت تحويل ورقة القائمة هذه إلى شيء يعمل من تلقاء نفسه بينما تهتم بعملك، فهذا هو نوع المشكلات التي أحلها.

شخص ما استقال من شركتك هذا العام. هل قطعت وصوله إلى Drive وإلى CRM وإلى WhatsApp Business وإلى لوحة المدفوعات في اليوم نفسه؟

Apple، التي تملك قسمًا قانونيًا بحجم مبنى كامل، اكتشفت الآن أن موظفين سابقين نقلوا معلومات سرية إلى OpenAI. اكتشفت ذلك بالتحقيق، لا بالوقاية.

رأيت الفيلم نفسه في شركة من 15 شخصًا: مندوب مبيعات غادر وسط العناق والكعك، وبعد ثلاثة أشهر بدأ العملاء يتلقون عروضًا من منافس بخصم محسوب بدقة على أساس المبلغ الذي كانوا يدفعونه. لم يخترق شيئًا. فقط صدّر ملف CSV الذي كان يصدّره كل يوم اثنين.

التسريب نادرًا ما يكون هاكر بقلنسوة. إنه الروتين العادي، ينفذه شخص يملك المفتاح أصلًا، قبل أسبوع من إعادة المفتاح.

ما ينجح مع الشركة الصغيرة: جرد الصلاحيات، تسجيل دخول موحد، الحد الأدنى من الصلاحيات حسب الوظيفة، القطع في يوم الإبلاغ، و20 دقيقة لمراجعة سجل آخر 30 يومًا. لا شيء من هذا يتطلب تقنية جديدة. يتطلب قرارًا بالتنفيذ.

إن أردت تحويل هذه القائمة إلى شيء يعمل من تلقاء نفسه، تواصل معي. هذا هو نوع المشكلات التي أحلها.

#أمن_المعلومات #SaaS #الأتمتة #إدارة_الصلاحيات #الشركات_الصغيرة