الحسابات المشتركة هي المكان الذي ينهار فيه الأمن غالباً: كلمة واحدة يعرفها الجميع، خروج موظف دون تغيير، أو رسالة قديمة تحتوي بيانات دخول. نتيجة ذلك ليست فقط اختراقاً، بل فوضى في تتبع المسؤولية: من فعل ماذا ومتى؟ هذا المقال يقدم إطار حوكمة عملياً للفرق الصغيرة دون تعقيد إداري، مع أدوات وروابط تساعدك في تطبيق السياسة.
1) أول قرار: هل تحتاج حساباً مشتركاً حقاً؟
قبل أي سياسة، اسأل: هل يمكن أن يكون لكل شخص حسابه؟ إن كان ذلك ممكناً فهذه أفضل خطوة. إن كان الحساب المشترك ضرورياً (مثل حساب إعلانات، أو بريد دعم)، فحوكمته يجب أن تكون صارمة.
2) تصميم أدوار الوصول (Roles)
لا تمنح الجميع صلاحيات كاملة. قسّم الوصول: مشرف، محرر، قارئ. اجعل العمليات الحساسة (تغيير كلمة المرور، تفعيل 2FA، إضافة أجهزة موثوقة) محصورة بعدد صغير. لإدارة هذا عملياً، استخدم خزنة كلمات المرور للفريق التي تسمح بتحديد الأدوار وتسجيل الوصول.
3) إنشاء كلمات مرور قوية للحسابات المشتركة
كلمة الحساب المشترك يجب أن تكون أقوى من المعتاد لأن سطح التعرض أكبر. ولّد كلمة عبر مولّد كلمات المرور بطول مرتفع، ثم قس القوة عبر حاسبة الإنتروبيا. لا تستخدم نمطاً قابلاً للتخمين مثل اسم الشركة مع رقم.
4) تفعيل 2FA للحسابات المشتركة: قاعدة غير قابلة للتفاوض
الحساب المشترك بدون 2FA هو باب مفتوح. فعّل 2FA واحفظ رموز الاسترجاع ضمن مكان آمن، ويفضل ضمن منظومة إدارة وصول الفريق. لتجنب فقدان الوصول، ضع سياسة واضحة: من يحتفظ بالرموز الاحتياطية؟ وكيف يتم تسليمها عند الطوارئ؟
5) تدوير كلمات المرور: متى وكم مرة؟
تدوير الكلمات مطلوب للحسابات المشتركة، لكن يجب أن يكون ذكياً كي لا يؤدي لفوضى. استخدم أداة انتهاء كلمة المرور لتحديد دورة تغيير مرتبطة بالمخاطر: كلما زاد عدد المستخدمين أو حساسية الحساب، قصّرت الدورة. وعند أحداث مثل خروج موظف أو فقدان جهاز، نفّذ تغييراً فورياً خارج الدورة.
6) الرصد الشهري: اكتشاف التسريبات قبل الاستغلال
اعتمد روتيناً ثابتاً: فحص البريد المرتبط بالحسابات المشتركة عبر فاحص الاختراق. إن ظهر تسريب، غيّر كلمة المرور فوراً، أعد تفعيل 2FA، وراجع الأجهزة الموثوقة.
7) الاستجابة للحوادث: خطة تُطبق خلال ساعة
الحوادث لا تنتظر الاجتماعات. جهّز خطة مختصرة بخطوات:
- تأكيد التسريب عبر فاحص الاختراق.
- تغيير كلمة المرور فوراً عبر المولّد.
- تفعيل أو إعادة ضبط 2FA وإغلاق الجلسات.
- مراجعة سجل الوصول عبر خزنة الفريق.
- ضبط دورة تغيير جديدة عبر الانتهاء.
ولتفاصيل أوسع، راجع دليل الاستجابة للحوادث: دليل الاستجابة لحوادث اختراق الحسابات.
8) تخزين كلمات المرور في أنظمة داخلية
إذا كان لديك نظام داخلي لإدارة الحسابات، لا تخزن الكلمات مباشرة. استخدم Bcrypt بعامل كلفة مناسب. إن كنت ترحّل نظاماً قديماً ولا تعرف نوع التجزئة، استخدم محدد نوع التشفير لتحديد النوع قبل التحديث.
9) أين يدخل البروكسي في الصورة؟
كثير من الفرق تصل إلى لوحات تحكم حساسة من شبكات عامة أو خارج المكتب. فهم دور Web Proxy يساعد في تقليل التعرض أثناء التصفح. ابدأ من شرح البروكسي ثم اقرأ آلية العمل خطوة بخطوة.
الخلاصة
الحوكمة ليست بيروقراطية؛ إنها طريقة لحماية الفريق من خطأ واحد. استخدم أدوات داخلية، حدّد أدواراً، ارفع الإنتروبيا، فعّل 2FA، وراقب التسريبات. بهذه الخطوات، يصبح الحساب المشترك أقل نقطة ضعف وأكثر نقطة انضباط.