استفاده از اثر انگشت، چهره، عنبیه یا الگوی کف دست، ثبت تردد کارکنان را دقیقتر و سریعتر کرده است؛ اما همین فناوری یک مسئولیت جدی برای سازمان ایجاد میکند. داده بیومتریک فقط یک رکورد ورود و خروج نیست، بلکه اطلاعاتی مرتبط با ویژگیهای فیزیکی یا رفتاری فرد است که برای تشخیص یا تأیید هویت او پردازش میشود. به همین دلیل، امنیت داده های بیومتریک باید از لحظه ثبت اولیه تا انتقال، ذخیرهسازی، استفاده، پشتیبانگیری و حذف نهایی در نظر گرفته شود.
زمانی که یک مجموعه برای خرید دستگاه ساعت زنی برنامهریزی میکند، نباید انتخاب خود را فقط بر اساس سرعت شناسایی، ظرفیت کاربر یا قیمت انجام دهد. محل ذخیره اطلاعات، نوع قالب بیومتریک، روش رمزنگاری، سطح دسترسی مدیران، امکان حذف کامل اطلاعات و نحوه پشتیبانی فروشنده نیز بخشی از معیارهای اصلی خرید هستند. نادیده گرفتن این موارد ممکن است یک ابزار مدیریتی مفید را به نقطه آسیبپذیر شبکه و حریم خصوصی کارکنان تبدیل کند.
داده بیومتریک از پردازش فنی ویژگیهای جسمی، فیزیولوژیکی یا رفتاری افراد به دست میآید و میتواند برای شناسایی منحصربهفرد آنها استفاده شود. اثر انگشت و تصویر چهره از شناختهشدهترین نمونهها هستند. راهنمای رسمی ICO نیز میان ثبت نمونه بیومتریک، استخراج ویژگیها و ساخت قالب قابل مقایسه تفاوت قائل میشود.
حساسیت این اطلاعات از آنجا ناشی میشود که رمز عبور را میتوان پس از افشا تغییر داد، اما ویژگی زیستی فرد معمولاً قابل تعویض نیست. NIST نیز تأکید میکند که ویژگیهای بیومتریک ذاتاً «راز» محسوب نمیشوند و بعضی از آنها ممکن است از تصویر چهره یا اثر باقیمانده روی اشیا به دست آیند؛ به همین علت، استفاده امن از بیومتریک به کنترلهای تکمیلی و حفاظت از قالب نیاز دارد.
در یک سیستم حضور و غیاب، سه نوع داده باید از یکدیگر تفکیک شوند:
این تفکیک اهمیت زیادی دارد؛ زیرا ممکن است سازمان برای محاسبه کارکرد به رکورد تردد نیاز داشته باشد، اما نگهداری طولانیمدت تصویر خام هیچ ضرورت عملی نداشته باشد.
خیر. قالب معمولاً نسخهای پردازششده از ویژگیهای منتخب است، نه یک عکس ساده. بااینحال نباید تصور کرد هر قالبی بهصورت خودکار غیرقابل بازسازی یا بیخطر است. کیفیت حفاظت به معماری سیستم، الگوریتم تبدیل، مدیریت کلیدها و جداسازی اطلاعات بستگی دارد. راهکارهای حفاظت از قالب میتوانند امکان ابطال یا تولید مرجع جدید را فراهم کنند، اما NIST یادآور میشود که دسترسی و بلوغ این راهکارها در همه محصولات یکسان نیست.
خطر فقط به هک شدن مستقیم دستگاه محدود نیست. امنیت اطلاعات دستگاه حضور و غیاب به زنجیرهای از اجزا وابسته است: خود دستگاه، شبکه، نرمافزار مدیریت، رایانه اپراتور، پایگاه داده، نسخه پشتیبان، حسابهای مدیریتی و حتی فرایند خروج کارکنان از سازمان. ضعف در هر بخش میتواند محرمانگی، صحت یا دسترسپذیری اطلاعات را تحت تأثیر قرار دهد.
ممکن است پایگاه داده اصلی بهخوبی محافظت شده باشد، اما فایل خروجی اکسل، نسخه پشتیبان قدیمی یا پوشه اشتراکی شبکه بدون کنترل باقی بماند. نشت داده همیشه از مسیر پیچیده اتفاق نمیافتد؛ گاهی یک فایل کپیشده روی لپتاپ شخصی یا حافظه USB برای ایجاد حادثه کافی است.
کارشناس منابع انسانی برای مشاهده گزارش کارکرد، لزوماً نباید به قالبهای بیومتریک یا تنظیمات امنیتی دستگاه دسترسی داشته باشد. مدیر شبکه نیز ممکن است برای نگهداری زیرساخت به دسترسی فنی نیاز داشته باشد، اما نباید بتواند بدون ثبت رویداد، اطلاعات پرسنلی را استخراج کند. ترکیب سطح دسترسی زیاد و نبود گزارش حسابرسی، احتمال سوءاستفاده یا خطای انسانی را افزایش میدهد.
ارسال اطلاعات از دستگاه به نرمافزار از طریق شبکه داخلی یا بیسیم، یکی از نقاط مهم کنترل است. آدرسدهی اشتباه، استفاده از سرویسهای ناامن، رمزهای پیشفرض و قرار دادن دستگاه در شبکهای بدون تفکیک میتواند خطر شنود یا دسترسی غیرمجاز را بالا ببرد. برای مشکلات عملی اتصال، مقاله رفع خطاهای رایج شبکه LAN و Wi-Fi در دستگاه حضور و غیاب میتواند راهنمای مکمل باشد؛ اما پس از برقراری ارتباط، باید امن بودن مسیر انتقال نیز جداگانه بررسی شود.
اگر داده برای ثبت ورود و خروج جمعآوری شده است، استفاده ثانویه از آن برای نظارت رفتاری، تحلیل غیرضروری تصاویر یا اشتراکگذاری با واحدهای نامرتبط میتواند اعتماد کارکنان را از بین ببرد. اصل محدودیت هدف میگوید سازمان باید پیش از جمعآوری مشخص کند اطلاعات دقیقاً برای چه کاری استفاده میشود و هر کاربرد تازه را دوباره ارزیابی کند.
سامانههای بیومتریک بدون خطا نیستند. نتیجه منفی اشتباه ممکن است ورود کارمند را ثبت نکند و نتیجه مثبت اشتباه میتواند هویت فرد دیگری را تأیید کند. به همین دلیل، تصمیمهای مالی یا انضباطی نباید صرفاً بر خروجی خام دستگاه متکی باشند. راهنمای ICO نیز بر ارزیابی دقت، رسیدگی به خطا و جلوگیری از پیامدهای ناعادلانه تأکید دارد.
امنیت مؤثر با نصب آنتیویروس یا انتخاب یک رمز قوی کامل نمیشود. بهتر است حفاظت از داده از مرحله نیازسنجی و خرید در معماری سیستم قرار گیرد؛ رویکردی که با عنوان «حفاظت از داده در طراحی و بهصورت پیشفرض» شناخته میشود. در این رویکرد، تنظیمات اولیه سیستم باید کمترین جمعآوری، محدودترین دسترسی و کوتاهترین زمان نگهداری ضروری را اعمال کند. ICO نیز این رویکرد و انجام ارزیابی اثرات حفاظت از داده را از عناصر مهم انطباق در سامانههای تشخیص بیومتریک میداند.
سازمان باید پاسخ روشنی برای این پرسشها داشته باشد: چرا روش بیومتریک لازم است؟ آیا روش کمریسکتری همان هدف را تأمین میکند؟ چه کسانی به داده نیاز دارند؟ اطلاعات چه مدت نگهداری میشود؟ در صورت قطع همکاری چه زمانی حذف خواهد شد؟
هنگام خرید دستگاه حضور و غیاب اثرانگشتی نیز لازم است فروشنده دقیقاً توضیح دهد که نمونه اولیه و قالب پردازششده در کجا ذخیره میشوند، آیا امکان نگهداری محلی وجود دارد، اطلاعات با چه فرمتی منتقل میشوند و حذف کاربر از دستگاه چه اثری بر نسخههای نرمافزار و پشتیبان دارد.
حداقلسازی داده یعنی سازمان صرفاً اطلاعاتی را جمع کند که برای ثبت و محاسبه تردد لازم است. اگر قالب بیومتریک برای تطبیق کافی است، نگهداری تصویر خام نباید به یک عادت دائمی تبدیل شود. همچنین بهتر است اطلاعات هویتی کامل، قالب بیومتریک و گزارش کارکرد در یک جدول یا یک فایل بدون تفکیک ذخیره نشوند.
پاسخ به اندازه سازمان، تعداد شعب، نیاز گزارشگیری و معماری محصول بستگی دارد. نگهداری روی دستگاه میتواند حجم انتقال را کاهش دهد، اما مدیریت حذف، خرابی و دسترسی فیزیکی را دشوار کند. سرور مرکزی کنترل یکپارچهتری میدهد، ولی در صورت نفوذ، حجم بیشتری از داده در معرض خطر قرار میگیرد. تصمیم درست باید بر اساس ارزیابی ریسک و نه صرفاً راحتی نصب گرفته شود.
برای هر نوع داده زمان نگهداری جداگانه تعیین شود. رکوردهای کارکرد ممکن است به دلایل مالی و اداری مدتی موردنیاز باشند، اما این موضوع الزاماً به معنای نگهداری همانمدتِ قالب بیومتریک نیست. با پایان همکاری، تغییر روش احراز هویت یا رفع هدف اولیه، اطلاعات غیرضروری باید از دستگاه، نرمافزار، سرور و چرخه نسخههای پشتیبان حذف یا در موعد مشخص منقضی شوند.
یک سیاست دسترسی مناسب میتواند شامل موارد زیر باشد:
هر حساب فقط باید مجوزهایی را داشته باشد که برای انجام وظیفه فعلی لازم است. این اصل هم دامنه خطای انسانی را کاهش میدهد و هم در صورت سرقت حساب کاربری، میزان خسارت احتمالی را محدود میکند.
اطلاعات حساس باید هم هنگام ذخیرهسازی و هم در زمان انتقال محافظت شوند. کلیدهای رمزنگاری نباید در همان محل فایلهای داده و با همان سطح دسترسی نگهداری شوند. همچنین دستگاههای تردد بهتر است در بخش جداگانهای از شبکه قرار گیرند و فقط با سرورهای ضروری ارتباط داشته باشند. استاندارد OWASP MASVS نیز بر ذخیره امن داده حساس و جلوگیری از نشت ناخواسته آن تأکید میکند.
تداوم کار دستگاه هنگام قطع برق نیز مهم است، اما باطری بک آپ دستگاه حضور و غیاب نباید باعث شود کنترلهای امنیتی دور زده شوند. پس از بازگشت برق باید صحت ساعت، کامل بودن رکوردها، همگامسازی امن و وضعیت لاگها بررسی شود؛ زیرا دسترسپذیری بدون صحت و محرمانگی، امنیت کامل محسوب نمیشود.
جدول زیر یک چارچوب اجرایی برای ارزیابی وضعیت فعلی سازمان ارائه میدهد:
| حوزه کنترل | اقدام پیشنهادی | مسئول اصلی | زمان بازبینی |
|---|---|---|---|
| جمعآوری | ثبت فقط داده لازم و حذف نمونه خام غیرضروری | منابع انسانی و امنیت اطلاعات | پیش از راهاندازی |
| شفافیت | ارائه اطلاعیه روشن درباره هدف، نوع داده و مدت نگهداری | منابع انسانی و حقوقی | هنگام ثبتنام و هر تغییر |
| دسترسی | تعریف نقش، حساب مستقل و تأیید دومرحلهای برای مدیران | فناوری اطلاعات | فصلی |
| ذخیرهسازی | رمزنگاری پایگاه داده و جداسازی کلیدها | فناوری اطلاعات | ششماهه |
| انتقال | استفاده از ارتباط امن و محدودسازی مقصدهای شبکه | شبکه و امنیت | پس از هر تغییر شبکه |
| پشتیبانگیری | رمزنگاری بکاپ، محدودیت دسترسی و آزمون بازیابی | فناوری اطلاعات | ماهانه |
| حذف | حذف از دستگاه، نرمافزار و برنامه انقضای بکاپ | منابع انسانی و فناوری اطلاعات | پایان همکاری |
| حسابرسی | ثبت ورود مدیران، خروجیگیری و تغییر تنظیمات | امنیت اطلاعات | ماهانه |
| حادثه | تدوین سناریوی نشت، مهار، بررسی و اطلاعرسانی | تیم پاسخگویی به حادثه | سالانه و پس از حادثه |
حریم خصوصی حضور و غیاب زمانی رعایت میشود که کارمند بداند چه دادهای از او گرفته میشود، چرا این روش انتخاب شده، اطلاعات در کجا نگهداری میشود، چه افرادی به آن دسترسی دارند و در چه زمانی حذف خواهد شد. یک برگه مبهم با عبارت «اطلاعات شما محفوظ است» کافی نیست؛ اطلاعیه باید قابل فهم، دقیق و متناسب با فرایند واقعی سازمان باشد.
در برخی نظامهای حقوقی، داده بیومتریک مورد استفاده برای شناسایی منحصربهفرد در دسته اطلاعات حساس یا ویژه قرار میگیرد. برای نمونه، مقررات GDPR پردازش این داده را مشمول شرایط سختگیرانهتری میداند و راهنمای ICO نیز بر تعیین مبنای قانونی، شرط پردازش داده ویژه، شفافیت و ارزیابی ریسک تأکید دارد. این مقررات لزوماً در همه سازمانهای ایرانی اعمال نمیشوند، اما اصول آنها میتواند بهعنوان الگوی مدیریتی مفید باشد و شرکتهای بینالمللی باید الزامات محل فعالیت خود را جداگانه بررسی کنند.
در رابطه کاری، ممکن است میان کارفرما و کارمند توازن قدرت کامل وجود نداشته باشد؛ بنابراین اتکا به رضایت باید با دقت بررسی شود. سازمان باید مبنای معتبر پردازش را طبق قوانین حاکم مشخص کند و صرف امضای یک فرم را جایگزین ارزیابی ضرورت و تناسب نداند. راهنمای رسمی ICO نیز تصریح میکند که برای پردازش بیومتریک باید مبنای قانونی و شرط جداگانه مربوط به دادههای ویژه تعیین شود.
برای افرادی که به دلایل جسمی، فنی یا موجه نمیتوانند از روش اصلی استفاده کنند، باید مسیر جایگزین قابل کنترل وجود داشته باشد. استفاده از کارت، رمز یا دستگاه حضور و غیاب بدون تماس (Touchless) میتواند بسته به محیط و ارزیابی ریسک بخشی از راهحل باشد. روش جایگزین نباید کارمند را تحقیر کند، موجب تأخیر دائمی شود یا حقوق او را نسبت به دیگران کاهش دهد.
هر کارمند باید بتواند رکورد اشتباه را مشاهده و از مسیر مشخصی درخواست اصلاح کند. تصمیم درباره کسر کار، غیبت یا اقدام انضباطی بهتر است پس از بررسی برنامه کاری، مأموریت، مرخصی، خرابی دستگاه و شواهد تکمیلی گرفته شود. این موضوع بهویژه برای کارکنانی با برنامههای متغیر یا شیفت چرخشی اهمیت دارد؛ زیرا تفسیر اشتباه بازههای زمانی میتواند به محاسبه نادرست کارکرد منجر شود.
انتخاب محصول امن فقط به مشخصات کاتالوگ وابسته نیست. کیفیت نصب، تنظیمات اولیه، آموزش مدیر، بهروزرسانی نرمافزار، شیوه پشتیبانی و دسترسی شرکت ارائهدهنده به سامانه نیز اهمیت دارد. برای مثال، متقاضی خرید دستگاه حضور و غیاب در مشهد باید علاوه بر بررسی مدل مناسب، درباره زمان پاسخگویی پشتیبانی، نحوه حضور تکنسین، سطح دسترسی راه دور و فرایند تحویل اطلاعات هنگام تعمیر سؤال کند.
پیش از قرارداد، پاسخ مستند این موارد را دریافت کنید:
قرارداد باید مالکیت داده، محرمانگی، محل پردازش، سطح دسترسی پشتیبان، ممنوعیت استفاده ثانویه، مدت نگهداری، روش حذف، زمان اعلام حادثه و شیوه بازگرداندن اطلاعات در پایان همکاری را روشن کند. عبارتهای کلی مانند «رعایت امنیت بر عهده طرفین است» برای مدیریت یک حادثه واقعی کافی نیست.
دادههای تردد برای برنامهریزی نیروی انسانی، محاسبه کارکرد و شناسایی روندهای سازمانی ارزشمند هستند؛ اما هر گزارش مدیریتی نباید به قالب بیومتریک یا جزئیات غیرضروری هویتی متصل باشد. بهتر است لایه احراز هویت از لایه تحلیل منابع انسانی جدا شود؛ بهگونهای که مدیر برای دیدن نرخ تأخیر یا اضافهکاری، به اطلاعات زیستی کارکنان دسترسی نداشته باشد.
در تحلیل مهمترین KPIهای حضور و غیاب در منابع انسانی نیز بهتر است گزارشها تا حد امکان تجمیعی باشند. برای مثال، نرخ تأخیر یک واحد یا میانگین اضافهکاری ماهانه میتواند بدون نمایش الگوی چهره، اثر انگشت یا حتی نام همه کارکنان محاسبه شود. در گزارشهای راهبردی، ناشناسسازی یا استفاده از شناسههای جایگزین میتواند دامنه افشای اطلاعات را کاهش دهد.
ثبت موفق تردد فقط نشان میدهد یک هویت در زمان مشخص تأیید شده است. این رویداد بهتنهایی کیفیت کار، بهرهوری یا تعهد فرد را اثبات نمیکند. استفاده از داده حضور برای امتیازدهی عملکرد باید با شاخصهای شغلی مرتبط، بررسی انسانی و سیاست شفاف همراه باشد.
اگر هدف بررسی روند کلی سازمان است، نام و شناسه مستقیم کارمند از گزارش حذف شود. البته جایگزینی نام با یک کد همیشه به معنای ناشناسسازی کامل نیست؛ اگر امکان اتصال مجدد کد به فرد وجود دارد، داده همچنان باید محافظت شود.
سازمانی که داده بیومتریک جمعآوری میکند باید پیش از حادثه بداند چه کاری انجام خواهد داد. پاسخ عجولانه و بدون سناریو ممکن است شواهد را از بین ببرد یا دامنه نشت را بیشتر کند. برنامه واکنش بهتر است شامل این مراحل باشد:
در چنین حادثهای، حذف فوری همه فایلها همیشه بهترین اقدام نیست؛ زیرا ممکن است برای تحلیل فنی و تعیین دامنه نفوذ به شواهد نیاز باشد. مهار باید با حفظ زنجیره شواهد و مشورت تیم امنیتی انجام شود.
برای پیادهسازی عملی، سازمان میتواند مسیر زیر را دنبال کند:
مشخص کنید چه دادههایی در دستگاه، نرمافزار، سرور، رایانه اپراتور و نسخههای پشتیبان وجود دارند و هر داده از چه مسیری منتقل میشود.
دلیل استفاده از بیومتریک، گزینههای جایگزین، پیامد خطا، تهدیدهای داخلی و خارجی و اثر احتمالی نشت بر کارکنان بررسی شود. برای پردازشهای پرریسک، ارزیابی رسمی اثرات حریم خصوصی یا حفاظت از داده انجام شود. راهنمای ICO انجام DPIA را یکی از موضوعات کلیدی سامانههای تشخیص بیومتریک معرفی میکند.
رمزهای پیشفرض تغییر کنند، دسترسیها نقشمحور شوند، ارتباطات امن و شبکه تفکیک شود، نسخههای پشتیبان رمزنگاری و لاگهای مدیریتی فعال شوند.
سیاست حریم خصوصی کارکنان، روش اصلاح تردد، فرایند حذف اطلاعات، مسئولیت مدیران و نحوه گزارش حادثه به زبان ساده تدوین شود. اپراتورها نیز باید بدانند خروجی گرفتن بیدلیل یا ارسال فایل از پیامرسان شخصی قابل قبول نیست.
کنترلها پس از نصب رها نشوند. دسترسیها، لاگها، حسابهای بلااستفاده، نسخه نرمافزار، بازیابی بکاپ، زمان دستگاه و فهرست کارکنان فعال بهصورت دورهای بازبینی شوند.
امنیت داده های بیومتریک در سیستم حضور و غیاب فقط یک مسئله فنی نیست؛ این موضوع به خرید، قرارداد، شبکه، منابع انسانی، آموزش، حقوق کارکنان و مدیریت حادثه ارتباط دارد. سازمان باید بداند چه چیزی را جمعآوری میکند، چرا به آن نیاز دارد، چه کسی آن را میبیند، چگونه از آن محافظت میشود و در چه زمانی حذف خواهد شد.
یک سیستم قابل اعتماد، علاوه بر ثبت دقیق تردد، باید حداقلسازی داده، رمزنگاری، دسترسی نقشمحور، ثبت رویداد، روش جایگزین، اصلاح خطا و حذف قابل پیگیری را پشتیبانی کند. اجرای این اصول نهتنها احتمال نشت و سوءاستفاده را کاهش میدهد، بلکه اعتماد کارکنان به فرایند حضور و غیاب و تصمیمهای مبتنی بر آن را نیز افزایش میدهد.
