مشاركة الملفات بأمان مع العملاء والموظفين: الأدوات والإعدادات

تخيّل أن موظفاً في الموارد البشرية أرسل قبل عامين رابط ملف رواتب إلى محاسب خارجي، واختار «أي شخص لديه الرابط» لأنه الأسرع. انتهى التعاقد مع المحاسب، وغادر الموظف الشركة، لكن الرابط ما زال يعمل، وربما مرّ عبر بريد أو مجموعة واتساب لا تعرف عنها شيئاً. هذا النوع من التسرب الصامت هو ما تمنعه سياسة واضحة لـمشاركة الملفات بأمان.

القاعدة المختصرة: شارك مع أشخاص محددين بدلاً من الروابط العامة، واجعل للوصول الخارجي تاريخ انتهاء، وامنع التنزيل حين يكفي العرض، واضبط الإعدادات الافتراضية من لوحة الإدارة حتى يكون الخيار الآمن هو الأسهل للموظف. أغلب هذه الإعدادات متاحة في أدوات تدفع ثمنها بالفعل.

هذا المقال جزء من خطة الأمن الرقمي للشركات الصغيرة، ويكمل مقارنتنا بين أدوات التخزين السحابي للشركات بالتركيز على الإعدادات لا على اختيار المنصة.

أين تحدث التسربات عادة؟

التسرب في الشركات الصغيرة نادراً ما يكون اختراقاً معقداً. غالباً ما يكون أحد هذه السيناريوهات:

• روابط عامة منسية على مجلدات فيها عقود أو بيانات عملاء أو كشوف رواتب.
• مرفقات بريد تُرسل إلى العنوان الخطأ بسبب الإكمال التلقائي للأسماء.
• مجموعات واتساب تُستخدم لتبادل الهويات والعقود مع أرقام لم تعد تعمل في الشركة.
• حسابات شخصية يرفع إليها الموظفون ملفات العمل «مؤقتاً» ليعملوا من المنزل.
• موظفون أو موردون غادروا ولم يُسحب وصولهم إلى المجلدات المشتركة.
• مواقع تحويل الصيغ المجانية التي يرفع إليها الموظف ملف PDF حساساً ليحوله إلى Word.

القاسم المشترك بين هذه السيناريوهات أن الموظف لم يكن يقصد الإضرار، بل كان يبحث عن أسرع طريقة لإنجاز عمله. لذلك لا يكفي التحذير؛ يجب أن تكون الطريقة الآمنة متاحة وسهلة بنفس القدر، وإلا سيعود الفريق إلى الواتساب والحسابات الشخصية.

مستويات المشاركة: من الأكثر أماناً إلى الأقل

كل منصات التخزين الكبرى تقدم خيارات متشابهة بأسماء مختلفة. رتّبها ذهنياً هكذا:

لاحظ أن الفرق بين المستوى الأول والرابع ليس في صعوبة الإعداد، فكلاهما نقرتان، بل في من يستطيع الوصول بعد ستة أشهر. الرابط العام لا يعرف أن التعاقد انتهى أو أن الموظف غادر، أما المشاركة مع بريد محدد فيمكن سحبها وتتبعها ومراجعتها في أي وقت.

أضف فوق ذلك مستوى الصلاحية: عارض أو معلّق أو محرر. امنح أقل صلاحية تكفي للمهمة، ولا تعطِ صلاحية التحرير لطرف خارجي إلا عند الحاجة الفعلية للتعاون على المستند.

إعدادات المنصات الثلاث الأشهر

Google Drive في Google Workspace

من وحدة تحكم المشرف في Google Workspace يمكنك التحكم في المشاركة الخارجية للمؤسسة كلها أو لوحدات تنظيمية معينة: إيقافها تماماً، أو قصرها على دومينات محددة مثل دومين المحاسب القانوني أو الشريك، أو إظهار تحذير للموظف عندما يشارك ملفاً خارج المؤسسة. ويمكن أيضاً ضبط الإعداد الافتراضي للروابط الجديدة ليكون «داخل المؤسسة» بدلاً من العام. بعض الخيارات المتقدمة تختلف حسب الإصدار، فراجعها في لوحة الإدارة الخاصة بخطتك.

OneDrive وSharePoint في Microsoft 365

في Microsoft 365 يحدد المسؤول من مركز إدارة SharePoint مستوى المشاركة الخارجية المسموح، ونوع الرابط الافتراضي، وإمكانية فرض تاريخ انتهاء على الروابط المفتوحة للجميع. وتتيح المنصة عند إنشاء الرابط خيارات مثل منع التنزيل أو تعيين كلمة مرور، بحسب ما يسمح به المسؤول. نصيحتنا أن تجعل الرابط الافتراضي «أشخاص محددون» أو «داخل المؤسسة».

Dropbox

في Dropbox تتوفر حماية الروابط بكلمة مرور وتحديد تاريخ انتهاء وتعطيل التنزيل في خطط Professional وEssentials وStandard وAdvanced وBusiness وBusiness Plus وEnterprise، ولا تتوفر في الخطة المجانية Basic ولا في خطة Plus، وفق مركز المساعدة الرسمي. إذا كان تسليم الملفات للعملاء جزءاً أساسياً من عملك، مثل الاستوديوهات ومكاتب الهندسة، فتأكد من أن خطتك تشمل هذه الخيارات.

سياسة مشاركة الملفات بأمان في صفحة واحدة

الهدف من السياسة ليس منع المشاركة، بل جعل المسار الآمن واضحاً وسريعاً. الموظفون لا يقرأون سياسات من عشرين صفحة. اكتب قواعد قصيرة واضحة، وعلّقها في قاعدة المعرفة الداخلية:

1. صنّف الملفات إلى ثلاثة مستويات: عام، وداخلي، وسري. الرواتب والهويات والعقود وبيانات العملاء «سرية» دائماً.
2. الملفات السرية تُشارك مع أشخاص محددين بالبريد فقط، ولا تُرسل كمرفقات أو عبر الواتساب.
3. أي مشاركة خارجية لها تاريخ انتهاء، ومدة افتراضية مقترحة 30 يوماً ما لم يكن هناك سبب لغيرها.
4. لا حسابات شخصية لملفات العمل، ولا مواقع تحويل مجانية للمستندات السرية.
5. المجلدات المشتركة مع العملاء تُنشأ من حساب الشركة وليس من حساب الموظف، حتى لا تختفي عند مغادرته.
6. مراجعة ربع سنوية للروابط العامة والمشاركات الخارجية المفتوحة.

الملفات الحساسة جداً: طبقات إضافية

بعض الملفات تستحق حماية أكبر من الروابط المقيدة، مثل ملفات المساهمين أو بيانات صحية أو وثائق مناقصات:

• تشفير الملف نفسه بكلمة مرور قوية قبل رفعه، بحيث يبقى محمياً حتى لو تسرب الرابط.
• تصنيف الحساسية وحماية المعلومات المتاحة في الخطط المتقدمة لبعض المنصات، والتي تمنع مثلاً طباعة المستند أو إعادة توجيهه.
• غرف البيانات الافتراضية للصفقات والاستحواذات، مع علامات مائية وسجل لكل من فتح كل صفحة.
• التوقيع الإلكتروني للعقود بدلاً من إرسال ملفات Word قابلة للتعديل ذهاباً وإياباً، وقد قارنّا أدواته في مقال التوقيع الإلكتروني للشركات.

وتذكر أن الملفات التي تحتوي بيانات شخصية تخضع لأنظمة حماية البيانات؛ ففي السعودية مثلاً يفرض نظام حماية البيانات الشخصية إجراءات حماية مناسبة ومهلة قصيرة للإبلاغ عن التسرب.

مراجعة المشاركات القائمة: تنظيف الماضي

الإعدادات الجديدة لا تعالج آلاف الروابط التي أُنشئت خلال السنوات الماضية. خصص يوماً للتنظيف:

1. استخرج من لوحة الإدارة تقريراً بالملفات المشاركة خارجياً أو بروابط عامة.
2. ابدأ بالمجلدات ذات الأسماء الحساسة: رواتب، هويات، عقود، عملاء، حسابات.
3. أغلق الروابط العامة غير الضرورية، وحوّل الباقي إلى مشاركة مع أشخاص محددين.
4. راجع قائمة الحسابات الخارجية التي لها وصول، واحذف الموردين والمستقلين المنتهية عقودهم.
5. انقل ملكية الملفات من حسابات الموظفين المغادرين إلى حساب الشركة أو مجلد مشترك.

عملية سحب الوصول يجب أن تصبح جزءاً ثابتاً من إجراءات المغادرة، وهذا ما نفصله في مقال إدارة صلاحيات الموظفين.

بوابات العملاء وتبادل الملفات مع الموردين

عندما يصبح تبادل الملفات مع العملاء يومياً، كما في مكاتب المحاسبة والمحاماة والاستشارات الهندسية، فإن الروابط المتفرقة تتحول إلى فوضى يصعب ضبطها. هنا تستحق بوابة العملاء التفكير: مساحة لكل عميل يدخل إليها بحساب خاص، ويرفع مستنداته ويستلم ملفاته، مع سجل واضح لمن رفع ماذا ومتى.

بعض برامج المحاسبة وأنظمة CRM وأنظمة خدمة العملاء تتضمن بوابة عملاء جاهزة، فراجع ما لديك قبل شراء أداة إضافية. وإن لم تتوفر، فمجلد مشترك لكل عميل على منصتك الحالية، باسم موحد ومالك هو حساب الشركة، حل بسيط وفعال.

أسئلة تطرحها قبل اعتماد أي أداة لتبادل الملفات:

• هل يمكن ربط الدخول بالمصادقة الثنائية أو رمز تحقق يصل للبريد؟
• هل يوجد سجل نشاط يوضح من فتح الملف أو نزّله؟
• هل يمكن سحب الوصول فوراً من طرف معين دون التأثير على الآخرين؟
• أين تُخزَّن الملفات، وهل يناسب ذلك متطلبات حماية البيانات في بلدك؟
• هل يسهل على العميل غير التقني استخدامها من الجوال؟

وإذا كانت المشكلة في ملفات ضخمة مثل الفيديو أو ملفات التصميم، فاختر أداة تدعم الروابط المؤقتة بكلمة مرور بدلاً من مواقع النقل المجانية مجهولة السياسات.

مقارنة سريعة للخيارات حسب الحالة

الخطوة التالية

ابدأ بتغيير الإعداد الافتراضي للروابط في منصتك إلى «داخل المؤسسة» أو «أشخاص محددون»، ثم فعّل تحذير المشاركة الخارجية، ثم خصص يوماً لتنظيف الروابط القديمة. هذه الخطوات الثلاث تغلق أغلب ثغرات التسرب دون أن يشعر الفريق بتعطيل في عمله، وتجعل مشاركة الملفات بأمان عادة يومية لا مشروعاً منفصلاً.

بعد شهر راجع النتائج: كم رابطاً عاماً أُغلق؟ هل اشتكى أحد من صعوبة التعاون مع العملاء؟ عدّل الإعدادات بناءً على الواقع، واجعل مراجعة المشاركات الخارجية بنداً ثابتاً في اجتماع التقنية ربع السنوي، فالروابط المنسية تتراكم من جديد بسرعة.

أسئلة شائعة

هل رابط «أي شخص لديه الرابط» آمن إذا لم أنشره؟

ليس آمناً للملفات الحساسة، لأن الرابط قد يُعاد توجيهه أو يُنسخ في بريد أو محادثة دون علمك، ويبقى فعالاً حتى تغلقه. استخدمه للمواد العامة فقط، وفضّل المشاركة مع أشخاص محددين لغيرها.

هل يمكن وضع كلمة مرور على رابط Dropbox في الخطة المجانية؟

لا. وفق مركز مساعدة Dropbox تتوفر كلمة مرور الرابط وتاريخ الانتهاء وتعطيل التنزيل في خطط Professional وEssentials وStandard وAdvanced وBusiness وما فوقها، وليس في Basic أو Plus.

هل إرسال العقود عبر الواتساب آمن؟

المحادثات مشفرة أثناء النقل، لكن الملف يبقى على جوالات الأطراف ونسخها الاحتياطية دون تحكم مركزي أو إمكانية سحب الوصول. للعقود والهويات والرواتب استخدم منصة الشركة أو أداة التوقيع الإلكتروني.

كيف أشارك ملفات مع عميل لا يستخدم Google أو Microsoft؟

استخدم رابطاً بكلمة مرور وتاريخ انتهاء إن كانت منصتك تدعمه، وأرسل كلمة المرور بقناة مختلفة. ويمكن أيضاً مشاركة الملف مع بريده ليصله رمز تحقق عند الفتح، حسب ما تتيحه المنصة.