حماية حسابات التواصل الاجتماعي للشركات: الصلاحيات والتحقق الثنائي

حماية حسابات التواصل الاجتماعي للشركات تبدأ بقائمة تحقق قصيرة تراجعها دوريًا: أن يكون البريد المرتبط بكل حساب مملوكًا للشركة، وأن يكون التحقق الثنائي مفعّلًا، وأن يدخل كل شخص بصلاحيته الخاصة لا بكلمة مرور مشتركة، وأن تُسحب الصلاحيات فور مغادرة أي موظف أو وكالة. وفيما يلي البنود بالتفصيل، مع ما تفعله إن وجدت ثغرة في أي منها.

1. لماذا تحتاج حماية حسابات التواصل الاجتماعي إلى قائمة مكتوبة؟

لأن معظم مشكلات الحسابات لا تأتي من اختراق معقد، بل من تفاصيل إدارية أُهملت مع الوقت. وقائمة مكتوبة تُراجع بانتظام تكشف هذه التفاصيل قبل أن تتحول إلى فقدان حساب.

فالحساب الذي أنشأه موظف قبل سنوات ببريده الشخصي، وكلمة المرور التي تنتقل بين الفريق في رسائل نصية، والوكالة التي انتهى عقدها وما زالت تملك صلاحية الدخول، كلها ثغرات صامتة لا تظهر إلا عند وقوع المشكلة. وحين يُفقد الحساب يصعب استرجاعه، وقد يستغله المخترق لنشر محتوى مسيء أو احتيالي باسم الشركة. لذلك اجعل لهذه القائمة مسؤولًا واحدًا يراجعها كل ربع سنة، وعند كل تغيير في الفريق. وللجهات التي تخضع لضوابط الهيئة الوطنية للأمن السيبراني، يحسن الرجوع إلى ما تصدره الهيئة بشأن حسابات التواصل الاجتماعي واعتماده أساسًا للقائمة.

2. هل البريد ورقم الجوال المرتبطان بكل حساب ملك للشركة؟

يجب أن يرتبط كل حساب ببريد على نطاق الشركة يديره قسم تقنية المعلومات، لا ببريد شخصي لموظف. فمن يملك البريد يملك عمليًا استعادة الحساب وتغيير كلمة مروره.

• بريد مخصص للحسابات: عنوان مثل social@ يصل إليه أكثر من مسؤول، ولا يرتبط بشخص بعينه.
• رقم جوال مؤسسي: إن طلبت المنصة رقمًا للتحقق، فليكن رقمًا مسجلًا باسم الشركة.
• حماية البريد نفسه: البريد المرتبط يحتاج بدوره إلى كلمة مرور قوية وتحقق ثنائي.
• سجل للملكية: جدول يذكر كل حساب، والبريد والرقم المرتبطين به، وتاريخ آخر مراجعة.

وإن وجدت حسابًا مرتبطًا ببريد شخصي، فانقله إلى بريد الشركة الآن، بالتنسيق مع صاحبه وهو ما زال في الفريق.

3. هل فُعّل التحقق الثنائي على كل حساب وكل مستخدم؟

فعّل التحقق الثنائي على كل حساب رسمي، وعلى الحسابات الشخصية لكل من يملك صلاحية إدارة صفحات الشركة. فالمخترق قد يصل إلى صفحة الشركة من خلال الحساب الشخصي لأحد مديريها.

ويُفضل استخدام تطبيق مصادقة أو مفتاح أمان مادي على رسائل SMS، لأن الرسائل النصية أكثر عرضة للاعتراض أو لنقل الرقم إلى شريحة أخرى. واحفظ رموز الاسترداد الاحتياطية التي تمنحها المنصة في مكان آمن تعرفه الإدارة، لا في جوال موظف واحد. وتتيح بعض أدوات إدارة الأعمال، مثل Meta Business Suite، إلزام كل من يُضاف إلى الحساب التجاري بتفعيل التحقق الثنائي، فاستخدم هذا الخيار متى كان متاحًا. وراجع بعد التفعيل أن الأجهزة المسجلة الدخول كلها معروفة، وأخرج أي جهاز لا تعرفه.

4. هل يدخل كل شخص بصلاحيته الخاصة؟

الأصل ألا تُشارك كلمة مرور الحساب الرسمي مع أحد، وأن يُضاف كل موظف أو وكالة عبر نظام الأدوار الذي توفره المنصة، بصلاحية تكفي عمله فقط.

• المالك: شخصان على الأقل من الإدارة، حتى لا يتوقف كل شيء على شخص واحد.
• المسؤول الكامل: عدد محدود ممن يحتاجون فعلًا إلى إدارة الإعدادات والصلاحيات.
• صلاحية المحتوى: لمن ينشر ويجدول دون حاجة إلى تغيير الإعدادات.
• صلاحية الرسائل: لفريق خدمة العملاء عبر السوشيال ميديا الذي يرد على الرسائل والتعليقات.
• صلاحية الإعلانات والتقارير: للوكالة أو المحلل، دون ملكية الحساب نفسه.

وأضف الوكالة بوصفها شريكًا في حسابك التجاري، لا بإعطائها بيانات الدخول، حتى تبقى الملكية لك ويسهل إنهاء الوصول.

5. أين تُحفظ كلمات المرور وكيف تُكتب؟

تُحفظ كلمات المرور في مدير كلمات مرور تعتمده الشركة، وتكون طويلة وفريدة لكل حساب. أما الجداول والملاحظات ومجموعات المحادثة فليست أماكن لحفظها.

ومدير كلمات المرور يتيح مشاركة الوصول مع شخص بعينه دون أن يرى كلمة المرور أحيانًا، ويسمح بسحب المشاركة في أي وقت، ويحتفظ بسجل لمن وصل إلى ماذا. واجعل كلمة المرور عبارة طويلة لا ترتبط باسم الشركة أو تاريخ تأسيسها، ولا تكررها بين المنصات، لأن تسرب كلمة مرور واحدة يفتح عندها كل الحسابات. وغيّر كلمات المرور فور الشك في تسربها، وبعد مغادرة أي شخص كان يعرفها، حتى لو كانت مغادرته ودية. ولا تكتب كلمة المرور في رسالة بريد أو محادثة حتى بين زملاء، فهذه الرسائل تبقى محفوظة مدة طويلة وقد تصل إليها جهات لم تقصدها.

6. هل تُسحب الصلاحيات فور مغادرة الموظفين والوكالات؟

يجب أن تكون مراجعة صلاحيات التواصل الاجتماعي بندًا ثابتًا في إجراءات إنهاء الخدمة، تُنفذ في يوم المغادرة نفسه لا بعده بأسابيع.

مثال توضيحي: لنفترض أن منسقة المحتوى في شركة ناشئة انتقلت إلى عمل آخر. في يومها الأخير يفتح المسؤول القائمة: يزيلها من الحساب التجاري في كل منصة، ويزيلها من أداة الجدولة وأداة إدارة الرسائل، ويغير كلمات مرور أي حساب كانت تعرف بياناته، ويتحقق من أن بريدها الشخصي ورقم جوالها ليسا مرتبطين بأي حساب للاسترداد. ثم يراجع الأجهزة المسجلة الدخول ويخرجها منها. والإجراء نفسه يُطبق عند انتهاء التعاقد مع وكالة، مع طلب تأكيد مكتوب منها بأنها لم تعد تحتفظ بأي بيانات دخول. ويُسجل كل ذلك في جدول الملكية مع التاريخ واسم من نفذه.

7. ما التطبيقات الخارجية التي تملك صلاحية على الحساب؟

راجع في إعدادات كل حساب قائمة التطبيقات والأدوات المرتبطة به، واحذف ما لم تعد تستخدمه. فكل تطبيق مرتبط باب إضافي إلى الحساب، وقد يبقى مفتوحًا بعد توقف استخدامه بزمن طويل.

• أدوات الجدولة والنشر: أبقِ الأداة المعتمدة فقط، وأزل التجارب القديمة.
• أدوات الرد والأتمتة: كالتي تُستخدم في الرد الآلي على رسائل إنستغرام، فهي تصل إلى الرسائل وتحتاج إلى مراجعة صلاحياتها.
• أدوات الرصد والتحليل: تأكد أنها تطلب صلاحية القراءة فقط إن كان هذا ما تحتاجه.
• تطبيقات المسابقات والاختبارات: كثير منها يُربط لحملة واحدة ثم يُنسى.

وقبل ربط أي أداة جديدة، تحقق من الجهة المطورة لها، وامنحها أقل صلاحية تحتاجها.

8. هل يعرف الفريق كيف يتعرف على رسائل التصيد؟

رسائل التصيد هي الطريقة الأكثر شيوعًا لسرقة الحسابات التجارية، وتأتي غالبًا بصيغة تحذير عاجل من المنصة. والفريق الذي يعرف علاماتها يحمي الحساب أكثر من أي إعداد تقني.

ومن أشهر صيغها رسالة تدّعي أن الصفحة خالفت حقوق النشر أو ستُحذف خلال ساعات، وتطلب الدخول عبر رابط لـ«تقديم اعتراض»، أو عرض توثيق مجاني بشرط إدخال بيانات الحساب. والقاعدة التي يحفظها الجميع: لا تدخل بيانات الحساب عبر رابط وصلك في رسالة، بل افتح التطبيق أو الموقع الرسمي مباشرة وتحقق من التنبيهات في مركز الحساب. ودرّب الفريق على إبلاغ المسؤول عن أي رسالة مريبة بدل التعامل معها منفردًا، وراجع معهم أمثلة حقيقية من الرسائل التي وصلت إلى الشركة.

الخلاصة

تأمين الحسابات عمل إداري منتظم، لا مشروع تقني يُنجز مرة واحدة ثم يُنسى. راجع القائمة بندًا بندًا: البريد والرقم ملك للشركة، والتحقق الثنائي مفعّل للجميع، والصلاحيات موزعة بالأدوار لا بكلمات مرور مشتركة، والمغادرون يُزالون في يومهم الأخير، والتطبيقات المرتبطة محدودة ومعروفة، والفريق يعرف شكل رسائل التصيد. ثم حدد موعدًا ثابتًا لإعادة المراجعة، فالفريق يتغير والأدوات تتغير، والثغرة التي لم تكن موجودة قبل أشهر قد تكون موجودة اليوم. وابدأ بالبند الذي تشك فيه أكثر من غيره، فإصلاح ثغرة واحدة اليوم أنفع من خطة شاملة تنتظر وقتًا لا يأتي.