احراز هویت کارکنان چیست و چرا برای امنیت سازمان مهم است

واقعاً می دانید چه کسی برای سازمان شما کار می کند؟

در دنیایی که استخدام آنلاین و دورکاری عادی شده، احراز هویت کارکنان دیگر یک مرحله تشریفاتی نیست. این فرایند مستقیماً با امنیت سازمان، جلوگیری از جعل هویت، کاهش تهدیدات داخلی و محافظت از اطلاعات حساس ارتباط دارد. اگر ندانید پشت یک رزومه جذاب و تصویر حاضر در جلسه ویدئویی چه کسی نشسته، ممکن است ناخواسته دسترسی شبکه شرکت را به یک مجرم سایبری بدهید.

مصاحبه مجازی، ارسال اینترنتی مدارک و شروع به کار از خانه، استخدام را سریع تر و ارزان تر کرده اند. بااین حال، همین راحتی به افراد ناشناس اجازه می دهد با مدارک سرقتی، سابقه کاری ساختگی یا حتی ویدئوی دیپ فیک وارد فرایند جذب شوند. مسئله فقط استخدام یک فرد کم تجربه نیست؛ گاهی پای سرقت داده، جاسوسی و انتقال پول وسط است.

مطالعه مقاله قبلی در دسته بندی بازی و سرگرمی با عنوان بررسی سریال Alice and Steve در Hulu با بازی نیکولا واکر.

چرا هویت نیروی کار به یک نگرانی جدی تبدیل شده است؟

مدل سنتی استخدام معمولاً بر دیدار حضوری، مشاهده اصل مدارک و حضور فرد در محیط شرکت تکیه داشت. امروز ممکن است کارمند، مدیر منابع انسانی و اعضای تیم فناوری اطلاعات در سه شهر یا حتی سه کشور مختلف باشند. این فاصله باعث شده کنترل های قدیمی دیگر به اندازه کافی قابل اعتماد نباشند.

مجرمان هم دقیقاً از همین شکاف استفاده می کنند. آن ها می توانند اطلاعات یک فرد واقعی را از شبکه های اجتماعی یا داده های افشاشده بردارند، یک رزومه قانع کننده بسازند و با شماره تلفن و ایمیل تازه وارد مصاحبه شوند. ابزارهای هوش مصنوعی نیز تغییر صدا، ساخت تصویر و پاسخ گویی هم زمان در مصاحبه را ساده تر کرده اند.

در برخی حملات، فردی که مصاحبه می کند حتی همان کسی نیست که بعداً کار را انجام می دهد. یک متخصص در جلسه فنی حاضر می شود، اما پس از عقد قرارداد، حساب کاربری در اختیار شخص دیگری قرار می گیرد. اگر سازمان فقط در روز استخدام هویت را کنترل کند، احتمال دارد این جابه جایی هیچ وقت دیده نشود.

خطر برای موقعیت های دورکار بیشتر است؛ مخصوصاً نقش هایی که به کد منبع، زیرساخت ابری، اطلاعات مشتریان یا سیستم های مالی دسترسی دارند. یک حساب معتبر سازمانی برای مهاجم بسیار ارزشمندتر از بدافزاری است که شاید ابزارهای امنیتی آن را شناسایی کنند.

احراز هویت کارکنان دقیقاً شامل چه مراحلی است؟

احراز هویت کارکنان یعنی سازمان با مجموعه ای از بررسی های هماهنگ مطمئن شود فرد متقاضی همان کسی است که ادعا می کند. این کار ممکن است شامل تطبیق مدرک شناسایی، بررسی زنده بودن تصویر، تأیید نشانی، کنترل سوابق شغلی و اعتبارسنجی اطلاعات تماس باشد.

البته صرفاً گرفتن تصویر کارت شناسایی کافی نیست. تصاویر مدارک را می توان ویرایش کرد و اطلاعات شخصی واقعی نیز ممکن است سرقت شده باشند. یک فرایند مطمئن باید مدرک، چهره و حضور زنده فرد را هم زمان بررسی کند و در صورت مشاهده تناقض، پرونده را برای ارزیابی انسانی کنار بگذارد.

بررسی سوابق هم بخش مهمی از ماجراست. تماس مستقیم با کارفرمای قبلی، بررسی واقعی بودن شرکت معرفی شده و مقایسه تاریخ های درج شده در رزومه می تواند تناقض های عجیب را آشکار کند. یک ایمیل از دامنه عمومی یا شماره ای که متعلق به دوست متقاضی است، نباید به عنوان تأییدیه قطعی پذیرفته شود.

نوع و شدت بررسی باید با میزان حساسیت شغل تناسب داشته باشد. کسی که به سامانه پرداخت یا پایگاه داده مشتریان دسترسی دارد، طبیعتاً به کنترل های بیشتری نسبت به یک پیمانکار کوتاه مدت با دسترسی محدود نیاز خواهد داشت.

رزومه جعلی فقط مشکل واحد منابع انسانی نیست

گاهی شرکت ها تصور می کنند جعل رزومه نهایتاً باعث یک استخدام ناموفق می شود. اما فردی که با هویت جعلی وارد سازمان شده، ممکن است از همان روز اول برای هدفی کاملاً متفاوت فعالیت کند. کپی کردن فایل ها، ایجاد دسترسی پنهان و جمع آوری اطلاعات حساب ها می تواند در چند ساعت انجام شود.

به همین دلیل، تیم منابع انسانی نباید در این مسیر تنها بماند. واحدهای امنیت، حقوقی، فناوری اطلاعات و مدیران استخدام باید روی یک روند مشخص توافق کنند. اگر هر تیم بخشی از اطلاعات را جداگانه نگه دارد، نشانه های هشداردهنده به سادگی میان چند سامانه گم می شوند.

برای مثال، منابع انسانی ممکن است تفاوت نام روی مدارک را ببیند، تیم فنی ورود از یک کشور غیرمنتظره را ثبت کند و مدیر مستقیم نیز متوجه رفتار عجیب فرد در تماس های تصویری شود. هرکدام از این موارد به تنهایی شاید بی اهمیت به نظر برسد، اما کنار هم تصویر متفاوتی می سازند.

اینجاست که امنیت سازمان به همکاری داخلی وابسته می شود. یک کانال گزارش دهی روشن و محرمانه به کارکنان اجازه می دهد نگرانی های خود را بدون متهم کردن مستقیم یک همکار مطرح کنند. بررسی باید حرفه ای، مستند و بدون قضاوت عجولانه انجام شود.

نشانه هایی که نباید ساده از کنارشان عبور کرد

قطع و وصل شدن مداوم دوربین، هماهنگ نبودن حرکت لب با صدا یا امتناع همیشگی از حضور در تماس تصویری می تواند نیازمند بررسی بیشتر باشد. البته اینترنت ضعیف یا اضطراب در مصاحبه دلیل جرم نیست. هیچ نشانه ای به تنهایی هویت جعلی را ثابت نمی کند.

تغییر ناگهانی محل اتصال، ورود هم زمان از چند موقعیت جغرافیایی و استفاده غیرعادی از ابزارهای دسترسی از راه دور نیز مهم اند. اگر کارمند برای انجام وظیفه اش به یک لپ تاپ در کشور دیگر متصل می شود، تیم امنیت باید دلیل آن را بداند.

تناقض در سوابق شغلی، ناتوانی در توضیح تجربه های درج شده در رزومه و ارائه پاسخ های بیش ازحد آماده هم ارزش توجه دارند. در مصاحبه فنی بهتر است به جای چند سؤال حفظی، از متقاضی خواسته شود مسئله ای واقعی را مرحله به مرحله حل کند.

در برخی پرونده ها، فرد اصرار دارد حقوق به حساب شخص دیگری یا یک سرویس مالی نامتعارف واریز شود. چنین درخواستی الزاماً مجرمانه نیست، اما باید طبق سیاست مالی شرکت و با مدارک معتبر بررسی شود. نادیده گرفتن استثناها همان چیزی است که مهاجمان روی آن حساب می کنند.

کنترل هویت نباید با روز اول کار تمام شود

یکی از اشتباهات رایج این است که سازمان فقط هنگام جذب، مدارک را کنترل می کند و بعد برای سال ها همان نتیجه را معتبر می داند. درحالی که حساب کاربری می تواند فروخته شود، دستگاه کاری ممکن است در اختیار شخص دیگری قرار بگیرد یا شرایط استخدام تغییر کند.

احراز هویت کارکنان بهتر است یک فرایند پیوسته و متناسب با ریسک باشد. این موضوع به معنای زیر نظر گرفتن دائمی افراد نیست. تأیید دوباره هنگام تغییر سمت، دریافت دسترسی حساس، تغییر حساب بانکی یا مشاهده رفتار غیرعادی معمولاً منطقی تر و کم دردسرتر است.

اصل حداقل دسترسی نیز نقش حیاتی دارد. هر کارمند باید فقط به اطلاعات و ابزارهایی دسترسی داشته باشد که برای کارش لازم است. اگر یک حساب به خطر افتاد، محدودبودن مجوزها اجازه نمی دهد مهاجم آزادانه در کل شبکه حرکت کند.

احراز هویت چندمرحله ای مقاوم در برابر فیشینگ، مدیریت دستگاه ها، ثبت رویدادها و بازبینی دوره ای مجوزها لایه های تکمیلی هستند. هیچ ابزار واحدی معجزه نمی کند؛ امنیت واقعی از کنار هم قرارگرفتن چند کنترل ساده و درست ساخته می شود.

حریم خصوصی را قربانی امنیت نکنید

جمع آوری مدارک هویتی مسئولیت بزرگی ایجاد می کند. سازمان باید دقیقاً مشخص کند چه اطلاعاتی را، برای چه هدفی و تا چه زمانی نگه می دارد. ذخیره بی دلیل تصویر مدارک، ویدئوهای چهره و اطلاعات زیستی می تواند خودش به یک ریسک امنیتی تبدیل شود.

دسترسی به این داده ها باید محدود باشد و اطلاعات حساس به صورت رمزگذاری شده نگهداری شوند. بهتر است متقاضی یا کارمند بداند کدام بررسی ها انجام می شود، نتیجه چگونه استفاده خواهد شد و در صورت ثبت اشتباه چه راهی برای اعتراض دارد.

نباید اجازه داد ابزارهای خودکار به تنهایی درباره افراد تصمیم بگیرند. نور نامناسب، کیفیت پایین دوربین یا تفاوت ظاهری با عکس قدیمی ممکن است نتیجه اشتباه ایجاد کند. بررسی انسانی برای پرونده های مشکوک، هم دقت را بالا می برد و هم رفتار منصفانه تری رقم می زند.

هدف از این کنترل ها ایجاد فضای بی اعتمادی نیست. اتفاقاً یک روند شفاف به نیروهای واقعی اطمینان می دهد که همکاران، داده های شخصی و آینده شغلی آن ها جدی گرفته می شود.

یک برنامه عملی برای کاهش ریسک استخدام

اول از همه، مسیر استخدام فعلی را روی کاغذ بیاورید. مشخص کنید چه کسی مدارک را دریافت می کند، چه کسی نتیجه را تأیید می کند و هنگام مشاهده تناقض چه اتفاقی می افتد. فرایندی که فقط در ذهن یک مدیر باشد، در زمان بحران درست کار نخواهد کرد.

بعد، مشاغل را براساس میزان دسترسی و اثر احتمالی دسته بندی کنید. کنترل یکسان برای همه افراد هم هزینه را بالا می برد و هم تجربه استخدام را خراب می کند. رویکرد مبتنی بر ریسک، بررسی های سخت گیرانه را روی نقش های واقعاً حساس متمرکز نگه می دارد.

آموزش مدیران استخدام هم ضروری است. آن ها باید با نشانه های جعل هویت، مصاحبه هدایت شده و روش گزارش مورد مشکوک آشنا باشند. این آموزش نباید افراد را بدبین کند؛ هدف این است که تصمیم ها فقط براساس حس شخصی گرفته نشوند.

در نهایت، فرایند را مرتب آزمایش و به روزرسانی کنید. روش های جعل سریع تغییر می کنند و سیاستی که دو سال پیش مناسب بوده، شاید امروز چند حفره جدی داشته باشد. تمرین سناریوهای واقعی کمک می کند تیم ها قبل از وقوع حادثه، وظیفه خود را بشناسند.

اعتماد خوب است، اما اعتمادِ بررسی شده بهتر است

دورکاری قرار نیست از بین برود و ابزارهای هوش مصنوعی نیز هر روز در دسترس تر می شوند. پس بازگشت کامل به روش های قدیمی راه حل واقع بینانه ای نیست. سازمان ها باید استخدام سریع و منعطف را با کنترل های هوشمند ترکیب کنند.

یک برنامه درست برای احراز هویت کارکنان هم احتمال نفوذ را کاهش می دهد و هم از نیروهای واقعی محافظت می کند. وقتی هویت، دسترسی و رفتارهای غیرعادی با روشی شفاف بررسی شوند، مهاجم فرصت کمتری برای پنهان شدن پشت یک رزومه حرفه ای خواهد داشت.

در نهایت، مهم نیست مصاحبه چقدر خوب پیش رفته یا پروفایل متقاضی چقدر کامل به نظر می رسد. برای حفظ امنیت سازمان باید بتوانید با اطمینان پاسخ دهید: آیا کسی که حقوق دریافت می کند، واقعاً همان فردی است که استخدام کرده اید؟

برای دریافت جدیدترین اخبار تکنولوژی با مجله هوش مصنوعی با ما همراه باشید