لماذا يجب على المؤسسات المالية أن تكون حذرة في إدارة البريد الإلكتروني؟

إدارة البريد الإلكتروني والتخزين في قطاع المالية

مع الانتقال إلى نموذج العمل الهجين في البيئة الرقمية، دفعت المؤسسات المالية إلى اتخاذ مسؤوليات أكبر في استراتيجيات إدارة البيانات، بما في ذلك استراتيجيات إدارة البريد الإلكتروني.

أحد أسباب هذا التحفيز المهم هو أن قطاع المالية أصبح الآن قطاعًا يتم تنظيمه بشكل أكثر صرامة من أي وقت مضى. على سبيل المثال، نسخة الثانية من اتفاقية الأسواق المالية الأوروبية (MiFID II) دخلت حيز التنفيذ في عام 2018، وتلزم الشركات التي تمارس الأنشطة في قطاع المالية داخل دولة عضو في الاتحاد الأوروبي (مثل شركات الاستثمار أو مؤسسات الائتمان أو مزودي خدمات تقارير البيانات) بضرورة الالتزام بمسؤوليات تسجيل البيانات.

وفقًا للبند 16 (6) من MiFID II، يجب على شركة استثمارية أن تضمن أن جميع الخدمات والأنشطة والعمليات التي تتحملها المؤسسة مسجلة بشكل كافٍ، مما يسمح للجهات الرقابية المختصة بتنفيذ مهامها الرقابية، وتحديد الامتثال لجميع التزامات المحددة. وبالتالي، من الواضح أن على المؤسسات المالية مراقبة كيفية إدارة وتخزين رسائل البريد الإلكتروني الخاصة بها عن كثب.

تأرشيف البريد الإلكتروني ونسخه احتياطيًا

الهدف الأساسي من تأرشيف البريد الإلكتروني هو الحفاظ على بيانات البريد الإلكتروني في شكلها الأصلي بحيث يمكن استخدامها مرة أخرى في أي وقت. يجب على المؤسسات تحليل ما نوع البريد الإلكتروني الذي يجب تأريخه وما المدة الزمنية التي يجب تأريخه فيها. يمكن أن تكون الأمثلة على المعلومات ذات الأهمية التجارية في البريد الإلكتروني فواتير أو عروض الأسعار أو استفسارات الدعم أو شكاوى الخدمات. ومع ذلك، يجب أن تأخذ استراتيجية إدارة البريد الإلكتروني في الاعتبار متطلبات قوانين الخصوصية مثل التنظيم الأوروبي للخصوصية (GDPR) والتشريعات المشابهة. في النتيجة، لا يُنصح بتأريخ جميع البريد الإلكتروني إلى الأبد.

يمكن أن تكون قدرات تأريخ البريد الإلكتروني مختلفة عن حلول النسخ الاحتياطي، التي تُستخدم فقط لخلق نسخ مؤقتة من بيانات خادم البريد الإلكتروني في بيئة تخزين خارجية أو سحابة. نظام النسخ الاحتياطي لحالات الكوارث يسمح بنسخ بيانات مؤقتة من التخزين الخارجي لاستعادة البيانات في حالة فقدان البيانات أو انقطاع النظام، على سبيل المثال نتيجة هجوم إلكتروني يسبب عطلًا في الأجهزة.

المتطلبات الأساسية لامتثال قوانين الخصوصية

يحتوي البريد الإلكتروني المرتبط بالعمل على بيانات شخصية أو معلومات حساسة في أغلب الأحيان. مثل هذه التنظيمات القطاعية وقوانين الخصوصية مثل GDPR كانت عاملاً حاسماً في زيادة الوعي لدى الشركات حول استراتيجيات إدارة البريد الإلكتروني خلال السنوات القليلة الماضية. تنص قوانين الخصوصية على أن حقوق الإنسان الأساسية والحرية يجب الحفاظ عليها عند معالجة بيانات شخصية. تشمل المبادئ العامة لـ GDPR الأوروبي محدودية الهدف، والحد من تخزين البيانات، بالإضافة إلى سلامة البيانات والسرية. يُعتبر المؤسسة التي تحدد أهداف ومعايير المعالجة "المسؤول" وتحمّل المسؤولية عن الامتثال لهذه المبادئ.

على سبيل المثال، يجب أن يسمح حل تأريخ البريد الإلكتروني بحذف البريد الإلكتروني المُسجّل تلقائيًا عند الضرورة، وبالتالي توفير مساحة تخزين وامتثال لمبادئ مثل الحد من المعالجة والحد من التخزين وفقًا للarticle 5 من GDPR الأوروبي.

توزيع البيانات، سيطرة البيانات والاعتماد على مزودي الخدمات الخارجية

يشمل إنشاء استراتيجية إدارة البريد الإلكتروني تقييم ما إذا كانت رسائل البريد الإلكتروني تخزن داخل البنية التحتية المعلوماتية الخاصة بالشركة أم أنها تخزن على خادم يُدار من قبل مزود خدمة مستقل أو مقاول. عند الحديث عن تخزين البيانات، فإن استخدام تقنية السحابة يُعد خيارًا ممتازًا نظرًا لسعة التوسع التي تقدمها. ومع ذلك، لا يأخذ هذا في الاعتبار أين توجد بيانات البريد الإلكتروني وكيفية حمايتها وإدارتها.

يجب على المؤسسات المالية التي تقيّم تنفيذ حل سحابة أن تأخذ بعين الاعتبار متطلبات قطاعية محددة مثل مكتب الإشراف الأوروبي على البنوك (EBA) أو مكتب الإشراف الأوروبي على التأمين والمعاشات المهنية (EIOPA) فيما يتعلق باستخدام مزودي الخدمات الخارجية.

من ناحية أخرى، يصبح تحديد أين تُعالج وتُحفَظ رسائل البريد الإلكتروني (أي مواقع مراكز البيانات ومكان الوصول إليها) ضروريًا. وهذا ينطبق وفقًا لـ المادة 44 وما يليها من GDPR الأوروبي حيث أن نقل البيانات الشخصية إلى دولة ثالثة يحدث فقط في الحالات التي لا يُضعف فيها مستوى الحماية داخل الاتحاد الأوروبي. في الماضي، كانت الشركات تستفيد من مبادئ سلامة الموانئ للخصوصية لضمان مستوى كافٍ من الحماية. لكن اتفاقية سلامة الموانئ قد تم إبطالها في عام 2015 من قبل محكمة العدل الأوروبية ("CJEU")، وهو أول قرار معروف باسم "Schrems" الذي يحمل اسم النشطية الأسترالية المعروفة Max Schrems. حاجز الخصوصية بين الاتحاد الأوروبي والولايات المتحدة استبدل "اتفاقية سلامة الموانئ" بعد أن تم إبطالها في قضية أخرى من قبل محكمة العدل الأوروبية، والتي تعرف باسم Schrems II في عام 2020. وبالتالي، أصبح نقل البيانات الشخصية إلى دولة ثالثة الآن أكثر تعقيدًا.

بالإضافة إلى ذلك، عند العمل مع مزود خدمة SaaS، يجب على الشركة أن تفكر في دخول اتفاقية مع اتفاقية معالجة البيانات (DPA). تُعتبر DPA اتفاقية تغطي متطلبات المادة 28 من GDPR الأوروبي. إنها مطلوبة في الحالات التي يُعين فيها طرف ثالث ("معالج") لمعالجة بيانات شخصية نيابة عن المسيطر. إلى جانب ذلك، يجب أن يتأكد المسيطر من أن المعالج يطبق تدابير تقنية وتنظيمية مناسبة للخطر.

تأريخ البريد الإلكتروني كجزء من استراتيجية استمرارية العمل

نوصي جميع المؤسسات المالية بتطبيق منهجية قوية لإدارة البريد الإلكتروني، بما في ذلك حلول تأريخ البريد الإلكتروني المستقلة كجزء من استراتيجيات العمل المتكاملة.

قد يكون تحديد وتدقيق مخاطر الأمان والبيانات داخل المؤسسة أيضًا صعبًا. يمكن أن يساعد تأريخ البريد الإلكتروني في تقليل المخاطر الداخلية عن طريق تعزيز الامتثال للتشريعات الخاصة بالقطاع أو الدولة أو المنطقة.

تقدم حلول تأريخ البريد الإلكتروني المهنية للشركات إمكانية الاختيار بين استراتيجيات مختلفة لتأريخ البريد الإلكتروني بناءً على احتياجاتها. ومع ذلك، اختيار استراتيجية التأريخ المناسبة يُعد أمرًا بالغ الأهمية. إذا كانت الامتثال القانوني نقطة التركيز الرئيسية، فقد يكون التأريخ اليومي خيارًا مثاليًا. بديلًا لذلك، إذا كان الهدف الرئيسي هو تفريغ خادم البريد الإلكتروني، فقد يكون تأريخ صندوق البريد مع قواعد حذف محددة خيارًا أفضل.

يمكن أيضًا دمج هذين النهجين معًا، مما يسمح للمؤسسات المالية باستخدام تأريخ البريد الإلكتروني كجزء لا يتجزأ من استراتيجياتها المؤسسية.

المصدر: لماذا يجب أن تكون ممنة بشأن إدارة البريد الإلكتروني في المؤسسات المالية؟ (mailstore.com)