امنیت داده‌ی مشتری در سرویس ابری: چه چیزی را از فروشنده بپرسید؟

پایگاه مشتریان معمولاً باارزش‌ترین دارایی یک شرکت فروش‌محور است و در عین حال بی‌محافظت‌ترین. کسی کلید انبار را دست همه نمی‌دهد، ولی فایل اکسل مشتریان روی چند لپ‌تاپ و دو گروه واتساپ پخش است.

وقتی این پایگاه را به یک سرویس ابری می‌سپارید، سوال درست «آیا امن است؟» نیست — این سوال جوابی جز «بله» نمی‌گیرد. سوال درست این است که چه چیزی را چطور تضمین می‌کنید و اگر خراب شد چه اتفاقی می‌افتد. این مقاله سوال‌های دقیق را می‌دهد، کنترل‌هایی که خودتان باید بگذارید، و نشانه‌هایی که یعنی همان‌جا بلند شوید و بروید.

دو ریسکی که مدام با هم اشتباه گرفته می‌شوند

خریدارها تقریباً همیشه نگران ریسک اول‌اند و ریسک دوم را اصلاً نمی‌بینند:

• ریسک ارائه‌دهنده: سرور هک شود، پشتیبان نباشد، شرکت تعطیل شود، کارمندِ ارائه‌دهنده به داده سرک بکشد.
• ریسک داخلی: کارشناس فروش قبل از رفتن، فهرست مشتریان را خروجی بگیرد؛ رمز مشترک بین سه نفر بچرخد؛ حساب کارمند رفته هنوز فعال باشد.

در عمل، نشت داده‌ی مشتری در کسب‌وکارهای کوچک بیشتر از مسیر دوم اتفاق می‌افتد تا اول. بنابراین اگر همه‌ی انرژی‌تان را صرف بازجویی از فروشنده کنید و بعد به کل تیم دسترسی مدیر بدهید، هیچ کاری نکرده‌اید.

نکته‌ی دیگری هم هست که معمولاً گفته نمی‌شود: وضعیت فعلی شما پایه‌ی مقایسه است، نه یک وضعیت ایده‌آل فرضی. اگر امروز فهرست مشتریان در چند فایل اکسل روی چند دستگاه پخش است و هیچ‌کس نمی‌داند آخرین نسخه کدام است، هر سرویس ابری که کنترل دسترسی و تاریخچه‌ی تغییرات داشته باشد، وضعیت را بهتر می‌کند نه بدتر. سوال درست «ابری یا نه» نیست؛ «کدام ارائه‌دهنده و با چه تعهدی» است.

شش پرونده‌ای که باید از فروشنده باز کنید

۱. داده کجا نگهداری می‌شود؟

بپرسید سرورها داخل ایران‌اند یا خارج، و اگر خارج است، وابستگی به سرویسی که ممکن است دسترسی‌اش قطع شود چقدر است. جواب باید مشخص باشد، نه «روی ابر». همچنین بپرسید نسخه‌ی پشتیبان کجا نگهداری می‌شود؛ گاهی سرور اصلی داخل است و پشتیبان جای دیگری. تفاوت مدل ابری و نصبی و ملاحظات هرکدام را در CRM ابری چیست باز کرده‌ایم.

۲. پشتیبان‌گیری با چه دوره‌ای و بازیابی در چه زمانی؟

«پشتیبان می‌گیریم» یک ادعای بی‌معنی است تا وقتی این سه عدد مشخص نشود: هر چند وقت یک‌بار پشتیبان گرفته می‌شود، چند نسخه نگه داشته می‌شود، و بازیابی کامل چقدر طول می‌کشد. سوال بعدی مهم‌تر است: آخرین باری که بازیابی را واقعاً تست کرده‌اید کِی بود؟ پشتیبانی که هرگز بازیابی نشده، فقط یک فایل است.

سناریوی دومی هم هست که معمولاً از قلم می‌افتد: اگر یکی از کاربران خودتان صد رکورد را اشتباهی حذف کرد، بازگرداندنش ممکن است؟ در چه بازه‌ای؟ خودتان می‌توانید یا باید تیکت بزنید؟

۳. داده‌ی شما از داده‌ی مشترکان دیگر چطور جدا می‌شود؟

در سرویس ابری چندمستأجری، داده‌ی همه‌ی شرکت‌ها روی یک زیرساخت است. بپرسید جداسازی در چه سطحی انجام می‌شود و چه چیزی مانع می‌شود یک خطای برنامه‌نویسی، داده‌ی شرکت دیگری را به شما نشان بدهد. جواب فنی درست چیزی شبیه این است: هر کوئری به‌صورت اجباری و در سطح چارچوب، به شناسه‌ی شرکت محدود می‌شود و این محدودیت با تست خودکار پوشش داده شده. اگر جواب «نگران نباشید، جداست» بود، یعنی طرف مقابل جواب را نمی‌داند.

۴. کارکنان ارائه‌دهنده چه دسترسی‌ای دارند؟

واقع‌بین باشید: تیم پشتیبانی برای رفع اشکال گاهی باید به داده نگاه کند. چیزی که باید بپرسید این است: چند نفر این دسترسی را دارند، آیا هر دسترسی ثبت و لاگ می‌شود، آیا برای ورود به حساب شما اجازه‌ی شما لازم است، و آیا کارکنان تعهدنامه‌ی محرمانگی امضا کرده‌اند. «هیچ‌کس دسترسی ندارد» معمولاً یعنی نمی‌دانند یا راست نمی‌گویند.

۵. اگر بروم، داده‌ام را چطور می‌برم؟

این مهم‌ترین بند است و باید قبل از امضا حل شود، نه وقتی ناراضی شده‌اید. بپرسید خروجی کامل شامل چه چیزهایی است — فقط مخاطبان، یا تاریخچه‌ی تماس‌ها، یادداشت‌ها، فایل‌های پیوست و فاکتورها هم؟ به چه فرمتی؟ خودتان از پنل می‌گیرید یا باید درخواست بدهید؟ هزینه دارد؟ چقدر طول می‌کشد؟ همین سوال‌ها از جهت مخالف، موضوع مهاجرت به CRM است.

۶. اگر رویداد امنیتی رخ دهد، چه می‌شود؟

بپرسید فرایند اطلاع‌رسانی چیست، در چه بازه‌ای به شما خبر می‌دهند و گزارش چه چیزی را شامل می‌شود. شرکتی که برای این حالت برنامه‌ی نوشته‌شده دارد، از شرکتی که فقط می‌گوید «چنین چیزی پیش نمی‌آید» قابل‌اعتمادتر است.

جواب قابل قبول در برابر جواب هشدارآمیز

سوال	جواب قابل قبول	جواب هشدارآمیز
محل نگهداری داده	نام مرکز داده و کشور، برای اصلی و پشتیبان	«روی سرورهای امن»
دوره‌ی پشتیبان	عدد مشخص + تاریخ آخرین تست بازیابی	«روزانه» بدون هیچ جزئیات دیگر
جداسازی مشترکان	توضیح سازوکار و تست خودکار	«دیتابیس هرکس جداست» بدون توضیح
دسترسی کارکنان	محدود، لاگ‌شده، با تعهد محرمانگی	«هیچ‌کس به داده دسترسی ندارد»
خروج داده	خروجی کامل و خودسرویس، رایگان	«با هماهنگی امکان‌پذیر است»
حذف داده بعد از فسخ	مهلت مشخص و تأییدیه‌ی کتبی	موضوع اصلاً در قرارداد نیست
رمز و ورود	ورود دومرحله‌ای و مدیریت نشست	فقط رمز، بدون هیچ کنترل دیگر

هرچه در این جدول توافق کردید، باید در متن قرارداد بیاید نه در ایمیل. بندهای لازم را در قرارداد نرم‌افزار فهرست کرده‌ایم.

نیمه‌ی دوم ماجرا: کنترل‌هایی که خودتان باید بگذارید

سطح دسترسی، نه دسترسی همگانی

پیش‌فرض بد این است که همه مدیر باشند تا «کارها گیر نکند». پیش‌فرض درست: هر نقش فقط چیزی را ببیند که برای کارش لازم است. کارشناس فروش لازم نیست کل پایگاه را ببیند؛ لازم است مشتریان خودش را ببیند. خروجی گرفتن از کل پایگاه هم باید فقط دست یک یا دو نفر باشد و ثبت شود.

روز اول و روز آخر کارمند

یک چک‌لیست دو خطی بنویسید و اجرا کنید. روز اول: ساخت حساب اختصاصی با نقش مشخص. روز آخر: غیرفعال‌کردن حساب در همان روز، انتقال مالکیت مخاطبانش به نفر بعدی، و بستن دسترسی‌های جانبی مثل پنل پیامک. حساب فعالِ کارمندِ رفته، رایج‌ترین حفره‌ی امنیتی کسب‌وکار کوچک است.

رمز مشترک را حذف کنید

حساب مشترکی که سه نفر با آن کار می‌کنند یعنی هیچ‌وقت نمی‌فهمید چه کسی چه کرد. تاریخچه‌ی تغییرات بدون حساب شخصی بی‌ارزش است. ورود دومرحله‌ای را هم دست‌کم برای حساب‌های مدیر روشن کنید.

گوشی و لپ‌تاپ شخصی

تیم فروش با گوشی شخصی کار می‌کند و این واقعیت را نمی‌شود حذف کرد؛ می‌شود مدیریتش کرد. سه قاعده‌ی حداقلی: گوشی رمز یا قفل زیستی داشته باشد، مرورگر اطلاعات ورود را روی دستگاه مشترک ذخیره نکند، و اگر گوشی گم شد بتوانید نشست فعال آن کاربر را از پنل ببندید. اگر ابزار شما امکان مشاهده و پایان‌دادن به نشست‌ها را ندارد، همین یک سوال ارزش پرسیدن دارد.

خروجی اکسل را جدی بگیرید

هر خروجی اکسل یک نسخه از پایگاه مشتریان شماست که از کنترل خارج می‌شود. اگر ابزارتان گزارش درست بدهد، نیاز به خروجی گرفتن هم کم می‌شود. چرا اکسل به‌عنوان پایگاه اصلی جواب نمی‌دهد را در اکسل مشتریان نوشته‌ایم.

کمتر جمع کنید

هر فیلدی که جمع نمی‌کنید، فیلدی است که نمی‌تواند نشت کند. کپی کارت ملی، شماره‌ی حساب و اطلاعات حساس مشتری را تا لازم نیست در CRM نگذارید. راهنمای انتخاب فیلدها در داده‌ی مشتری آمده است.

لاگ فعالیت را روشن نگه دارید

تاریخچه‌ی تغییرات وقتی به‌درد می‌خورد که قبل از حادثه روشن بوده باشد. بپرسید چه رویدادهایی ثبت می‌شوند — ورود، مشاهده، ویرایش، حذف، خروجی گرفتن — و این تاریخچه چند وقت نگه داشته می‌شود. یک لاگ سه‌ماهه که خودتان بتوانید ببینید، از یک وعده‌ی مبهم درباره‌ی «امنیت پیشرفته» ارزش عملی بیشتری دارد.

هفت نشانه‌ی ارائه‌دهنده‌ای که نباید به او اعتماد کنید

1. به سوال محل نگهداری داده جواب مشخص نمی‌دهد.
2. خروج داده را «مورد به مورد بررسی می‌کنیم» می‌گذارد و در قرارداد نمی‌آورد.
3. رمز شما را برای «تست» می‌خواهد، به‌جای آن‌که سازوکار دسترسی موقت داشته باشد.
4. هیچ سند مکتوبی درباره‌ی محرمانگی و پشتیبان‌گیری ندارد.
5. وقتی می‌پرسید «آخرین بار کِی بازیابی را تست کردید؟» سوال را نمی‌فهمد.
6. در دمو داده‌ی واقعی یک مشتری دیگر را نشانتان می‌دهد. اگر با داده‌ی آن‌ها این کار را می‌کند، با داده‌ی شما هم خواهد کرد.
7. سرویس بدون HTTPS یا با گواهی نامعتبر بالا می‌آید.

سه سناریو که قبل از امضا باید جوابشان را بدانید

1. فردا صبح سرویس بالا نمی‌آید. به چه کسی زنگ می‌زنید، تعهد پاسخ چیست، و تیم فروش تا زمان بازگشت با چه چیزی کار می‌کند؟
2. کارشناس ارشد فروش استعفا می‌دهد. چند دقیقه طول می‌کشد تا دسترسی‌اش بسته و مخاطبانش منتقل شود؟ آیا می‌فهمید هفته‌ی گذشته چه چیزی خروجی گرفته است؟
3. تصمیم می‌گیرید سرویس را عوض کنید. خروجی کامل را چطور و در چند روز می‌گیرید و بعد از فسخ، داده‌ی شما تا کِی نزد ارائه‌دهنده می‌ماند؟

اگر هر سه جواب روشن دارند، امنیت داده‌ی شما در حد یک کسب‌وکار کوچکِ حرفه‌ای است. اگر ندارند، مسئله فنی نیست؛ مسئله این است که هنوز تصمیم نگرفته‌اید.

گام عملی

این شش سوال را در یک ایمیل برای فروشنده بفرستید و جواب کتبی بخواهید. جواب کتبی دو فایده دارد: کیفیت پاسخ را بالا می‌برد و بعداً بخشی از پیوست قرارداد می‌شود. هم‌زمان چک‌لیست داخلی خودتان — نقش‌ها، خروج کارمند، حذف رمز مشترک — را همین هفته اجرا کنید؛ این یکی به هیچ فروشنده‌ای ربط ندارد و از فردا قابل انجام است. معیارهای کلی‌تر انتخاب هم در بهترین نرم‌افزار CRM ایرانی جمع شده است.

در روکا داده‌ی هر شرکت در سطح چارچوب و روی هر کوئری جدا می‌شود و دسترسی کاربران نقش‌محور است. خروجی معامله‌ها، سرنخ‌ها، فعالیت‌ها و اسناد مالی از بخش گزارش‌ها در اختیار خودتان است؛ خروجی گرفتن از خودِ دفترچه‌ی مخاطبان هنوز اضافه نشده و برایش زمان وعده نمی‌دهیم. جزئیات نگهداری مخاطبان را در صفحه‌ی مخاطبان ببینید.

همین سوال را از خودمان هم بپرسید: داده‌ی روکا روی سرور داخل ایران است، با یک استثنا که صریح می‌گوییم — اگر ثبت سرنخ از روی صوت روشن باشد، فایل صوتی تماس برای رونویسی به سرویس OpenAI بیرون از ایران می‌رود. فقط همان فایل، نه مخاطبان و فاکتورها؛ و این قابلیت برای هر شرکت کاملاً خاموش‌شدنی است. شرح کاملش در حریم خصوصی آمده است.