كثير من اختراقات الحسابات لا تحدث بذكاء، بل بكلمة مرور مسروقة من تسريب قديم أُعيد استخدامها. التحقق بخطوتين يضيف طبقة ثانية بعد كلمة المرور، فحتى لو عرف المهاجم كلمة المرور، يبقى الحساب مغلقاً في وجهه. والتحدي ليس تقنياً، بل في طريقة إدخاله للشركة وإقناع الفريق باستخدامه كل يوم.
كلمة المرور وحدها صارت رخيصة عند المهاجمين. تسريبات المواقع تنشر قوائم بملايين الحسابات، وكثير من الناس يعيدون استخدام كلمة المرور نفسها في البريد والبنك ونظام العمل. والبريد الإلكتروني تحديداً هو المفتاح لكل ما بعده، فمنه يعيد المهاجم تعيين كلمة المرور لأي خدمة أخرى.
لذلك التحقق بخطوتين أهم على البريد وأدوات السحابة والنظام المحاسبي، وليس على شبكات التواصل فقط. وهو أيضاً صار شرطاً أمنياً في كثير من العقود والمناقصات والتعاملات مع القطاع المصرفي، فتأجيله قد يكلّفك صفقة لا حساباً مسروقاً فقط.
لا تحاول تفعيله للشركة كلها في يوم واحد. ابدأ بالحسابات العشرين الأخطر، ثم وسّع تدريجياً كل أسبوع حتى يغطي كل ما يمسّ بيانات العملاء أو المال. وشركة كويتية مثل Q8DM تعمل في البرمجيات والتصميم والتدريب منذ 1998 ترى النمط نفسه: البداية المرتبة تنجح، والبداية الشاملة تتعثر.
رمز الرسائل النصية أسهل للبداية لكنه أضعف: يتأخر أحياناً، ويصعب عند تغيير رقم الموظف أو سفره خارج الكويت. تطبيق المصادقة على الجوال يعمل غالباً بدون إنترنت ويعطيك رمزاً جديداً كل ثلاثين ثانية. وللحسابات الحساسة جداً، مفتاح أمان مادي يُوصل بالجهاز ويُضغط عند تسجيل الدخول.
وفّر للفريق خيارين على الأقل حتى لا يتعطل أحد، واكتب خطوات التفعيل خطوة بخطوة مع صور شاشة. الموظف الذي لا يفهم لماذا يظهر له الرمز سيبحث عن طريقة لتجاوزه، والتوعية جزء من المشروع لا إضافة عليه.
إذا كان لديك تطبيق أو بوابة دفع أو نظام حجوزات، فحساب العميل نفسه يحتاج حماية: رمز يُرسل عند الدخول من جهاز جديد، وتنبيه عند تغيير كلمة المرور. الحسابات المخترقة لعملائك تضرب ثقتهم بعلامتك قبل أن تضرب نظامك.
وهنا يفرق التصميم الجيد: اجعل الخطوة سريعة وواضحة الشرح. العميل الذي يتعثر في رمز التحقق يغادر ويشتري من مكان آخر، فرمز واحد بسيط أفضل من ثلاث شاشات معقدة.
أكبر سبب لفشل التحقق بخطوتين ليس التقنية، بل موظف ضاع جواله أو خرج من الشركة دون تسليم. لهذا سجّل من فعّل التحقق على أي حساب، واحفظ أكواد الاستعادة في مدير كلمات المرور، وضع رمزاً احتياطياً لحسابات الأدمن في مكان لا يصل إليه إلا شخصان. وعند إنهاء خدمة أي موظف، ألغِ مفاتيحه وأعد تعيين أسرار الحسابات المرتبطة به في اليوم نفسه.
بهذا الترتيب: البريد أولاً، ثم التطبيق، ثم التدريب، ثم التكرار حتى يصبح عادة لا حدثاً موسمياً. ولمقالات عملية أخرى عن الأمن الرقمي وإدارة الأنظمة، تابع مدونتنا على https://q8dm.com.