دکتر علیرضا آگاهی
فهرست مطالب این مقاله
- ۱.اطلاعات مصاحبه را یک مجموعه یکسان نبینید
- ۲.سه هدف حفاظت را در نظر بگیرید
- ۳.جدول دسترسی را بر اساس نقش بنویسید
- ۴.ضبط جلسه را به تصمیمی آگاهانه تبدیل کنید
- ۵.بانک سؤال را چگونه مدیریت کنیم؟
- ۶.اطلاعات را تا چه زمانی نگه داریم؟
- ۷.ناشناس‌سازی را با حذف نام اشتباه نگیرید
- ۸.در صورت افشا یا گم‌شدن چه کنیم؟
- ۹.در ایران چه ملاحظه‌ای را فراموش نکنیم؟
رزومه‌ها در یک پیام‌رسان شخصی جابه‌جا می‌شوند، فایل ضبط جلسه روی لپ‌تاپ مصاحبه‌گر می‌ماند و بانک سؤال با پیوندی بدون محدودیت در اختیار همه مدیران قرار دارد. ممکن است هیچ اتفاق آشکاری رخ ندهد؛ اما سازمان نمی‌داند چه اطلاعاتی، نزد چه کسی و تا چه زمانی باقی مانده است.
محرمانگی و امنیت اطلاعات مصاحبه فقط به جلوگیری از انتشار عمومی رزومه محدود نیست. باید از دسترسی ناموجه، تغییر نادرست، گم‌شدن مستندات و استفاده خارج از هدف جلوگیری شود؛ درعین‌حال، اطلاعات لازم برای تصمیم و بررسی آن در دسترس افراد مسئول بماند.
راه‌حل، جمع‌آوری هرچه بیشتر اطلاعات یا حذف فوری همه مستندات نیست. باید برای هر نوع داده، هدف، مالک، دسترسی و چرخه نگهداری روشن داشته باشیم.
اطلاعات مصاحبه را یک مجموعه یکسان نبینید
- محتوای ابزار: سؤال‌ها، سناریوها، پاسخ‌های راهنما و مقیاس امتیازدهی.
- اطلاعات متقاضی: رزومه، پاسخ‌ها، یادداشت‌ها و گزارش ارزیابی.
- فایل‌های صوتی و تصویری: نسخه خام، رونویسی و خلاصه‌های حاصل از آن.
- اطلاعات حساس هماهنگی: درخواست تمهیدات یا اسناد تکمیلی مرتبط.
- سوابق تصمیم: نسخه معیارها، امتیازهای مستقل، جمع‌بندی و دلیل تصمیم.
دسترسی به یکی از این گروه‌ها، مجوز دسترسی به همه آن‌ها نیست. مصاحبه‌گر فنی ممکن است به سؤال و پاسخ تخصصی نیاز داشته باشد، اما لزوماً نباید اسناد حساس هماهنگی یا کل پرونده متقاضی را ببیند.
سه هدف حفاظت را در نظر بگیرید
تعریفمحرمانگی (Confidentiality) به دسترسی مجاز، تمامیت (Integrity) به حفظ درستی و کنترل تغییرات، و دسترس‌پذیری اطلاعات (Availability) به امکان استفاده افراد مجاز در زمان لازم مربوط است.
اگر سؤال‌ها محرمانه بمانند اما نسخه اشتباه مقیاس استفاده شود، تمامیت فرایند آسیب می‌بیند. اگر گزارش امن باشد اما هنگام بررسی اعتراض پیدا نشود، دسترس‌پذیری مناسب نداریم.
در طراحی، باید هر سه را ببینیم. حفاظت نباید فرایند را چنان پیچیده کند که افراد برای انجام کار به مسیرهای شخصی و کنترل‌نشده پناه ببرند.
جدول دسترسی را بر اساس نقش بنویسید
| نوع اطلاعات | دسترسی پیشنهادی | کنترل کلیدی |
|---|---|---|
| بانک سؤال و راهنمای ارزیابی | مالک ابزار و مصاحبه‌گران مأمور همان فرایند | نسخه مشخص و محدودیت دریافت و بازنشر |
| یادداشت و امتیاز فردی | ارزیاب و افراد مسئول جمع‌بندی | ثبت زمان و حفظ سابقه اصلاح |
| گزارش نهایی | تصمیم‌گیران دارای مسئولیت مشخص | جداسازی از جزئیات نامرتبط و حساس |
| صوت و تصویر | افراد دارای ضرورت تأییدشده | هدف، دسترسی و چرخه نگهداری جداگانه |
| اطلاعات حساس تمهیدات | مسئول تعیین‌شده و متخصص لازم | اشتراک دستور اجرا با پنل، به‌جای کل جزئیات |
اصل حداقل دسترسی (Least Privilege) یعنی هر فرد فقط به اطلاعات و امکان‌هایی دسترسی داشته باشد که برای مسئولیت او لازم است. دسترسی مدیر ارشد نیز باید دلیل کاری داشته باشد؛ عنوان سازمانی به‌تنهایی دلیل مشاهده همه پرونده‌ها نیست.
از حساب شخصی مشترک، پیوند عمومی و ارسال نسخه‌های پراکنده پرهیز کنید. دسترسی افراد پس از پایان مسئولیت یا خروج از سازمان باید بازبینی شود. کنترل‌های فنی مانند احراز هویت چندمرحله‌ای و ثبت دسترسی را با تیم فناوری متناسب‌سازی کنید.
ضبط جلسه را به تصمیمی آگاهانه تبدیل کنید
پیش از ضبط بپرسید چه مسئله‌ای بدون ضبط حل نمی‌شود. ضبط برای رونویسی، بررسی کیفیت یا آموزش، هدف‌های متفاوتی دارد و نباید خودکار به یکدیگر تبدیل شوند.
در رویه سازمان، پیش از شروع، هدف، نوع فایل، افراد دارای دسترسی، استفاده از ارائه‌دهنده بیرونی و روش نگهداری را روشن کنید. اخذ موافقت آگاهانه برای ضبط و پیش‌بینی مسیر جایگزین مناسب را در طراحی بگنجانید؛ الزامات حقوقی دقیق نیز باید برای همان سازمان بررسی شوند.
اگر ضبط انجام نمی‌شود، یادداشت‌برداری منظم همچنان لازم است. اگر انجام می‌شود، وجود فایل جای ثبت استدلال ارزیابی را نمی‌گیرد.
هشدارموافقت با ضبط برای یک هدف، مجوز خودکار استفاده در آموزش مدیران، انتشار نمونه یا ورود فایل به ابزار دیگر نیست. هدف تازه، دسترسی و شرایط پردازش باید جداگانه بررسی شوند.
در ابزارهای هوشمند، مسیر داده و استفاده احتمالی ارائه‌دهنده را هم بررسی کنید. موضوع در مقاله هوش مصنوعی در مصاحبه استخدامی تکمیل شده است.
بانک سؤال را چگونه مدیریت کنیم؟
برای هر نسخه، شناسه، معیارهای پوشش‌داده‌شده، تاریخ شروع استفاده، مالک و وضعیت فعال یا بازنشسته ثبت کنید. سؤال، پیگیری و مقیاس باید به نسخه مشخصی تعلق داشته باشند.
در یک دوره ارزیابی، تغییر بی‌اطلاع سؤال یا معیار می‌تواند مقایسه را مخدوش کند. اگر خطای مهمی پیدا شد، اثر آن بر ارزیابی‌های انجام‌شده را بررسی و تصمیم اصلاحی را ثبت کنید؛ صرف اصلاح فایل برای نفر بعد کافی نیست.
افشای سؤال نیز باید بر اساس اثر واقعی بررسی شود. انتشار یک موضوع عمومی مانند «تجربه همکاری» با دسترسی به سناریوی اختصاصی و پاسخ راهنما یکسان نیست. برای جایگزینی، به محتوای مرتبط و سطح دشواری قابل دفاع نیاز داریم.
مثالدر یک فرایند فرضی، مشخص می‌شود پاسخ راهنمای یک سناریوی اختصاصی در گروه غیرمجاز منتشر شده است. مالک ابزار، استفاده بعدی از همان نسخه را متوقف می‌کند، دامنه افشا را بررسی و درباره ارزیابی‌های متأثر تصمیم مستند می‌گیرد. حذف پیام، به‌تنهایی مسئله مقایسه و اعتبار ابزار را حل نمی‌کند.
اطلاعات را تا چه زمانی نگه داریم؟
برای همه سازمان‌ها و همه انواع پرونده، یک مدت ثابت نمی‌توان تعیین کرد. هدف نگهداری، الزامات قابل اعمال، امکان بررسی اختلاف، تعهد قراردادی و ضرورت واقعی باید در تصمیم دیده شوند.
جدول نگهداری حداقل این موارد را داشته باشد: نوع اطلاعات، هدف، مسئول، رویداد شروع دوره، مدت مصوب، استثنای توقف حذف و روش امحا. فایل خام، گزارش نهایی و نسخه ابزار لزوماً دوره یکسان ندارند.
اگر پرونده در بررسی رسمی یا اختلاف مرتبط قرار دارد، حذف عادی باید طبق تصمیم مسئول مجاز متوقف شود. پس از رفع علت، چرخه نگهداری دوباره بررسی شود. نگهداری بی‌پایان «برای شاید روزی لازم شود» نیز تصمیم روشنی نیست.
حذف نسخه اصلی باید با نسخه‌های دریافت‌شده، خروجی ابزار، پوشه مشترک و چرخه پشتیبان هماهنگ باشد. وعده حذف فوری از همه نسخه‌ها ندهید اگر سازوکار فنی آن فراهم نیست.
ناشناس‌سازی را با حذف نام اشتباه نگیرید
شناسه‌گذاری مستعار (Pseudonymisation) یعنی جایگزینی شناسه مستقیم، درحالی‌که امکان اتصال دوباره می‌تواند باقی بماند. ناشناس‌سازی (Anonymisation) مستلزم مدیریت خطر شناسایی دوباره است؛ حذف نام، به‌تنهایی آن را تضمین نمی‌کند.
برای آموزش، بهتر است تا حد امکان از پاسخ‌ها و پرونده‌های ساختگی استفاده کنید. جزئیات یک پروژه خاص یا ترکیب سمت و شهر ممکن است فرد را برای همکاران قابل شناسایی کند؛ حتی اگر نام حذف شده باشد.
در صورت افشا یا گم‌شدن چه کنیم؟
- مهار: دسترسی یا اشتراک نامجاز را از مسیر مسئول فنی محدود کنید.
- حفظ شواهد: زمان، نوع اطلاعات، گیرندگان و اقدامات انجام‌شده ثبت شوند؛ برای پنهان‌کردن مسئله، سابقه را از بین نبرید.
- بررسی اثر: خطر برای متقاضیان، محرمانگی ابزار و تصمیم‌های انجام‌شده ارزیابی شود.
- تصمیم هماهنگ: اطلاع‌رسانی و اقدام حقوقی یا قراردادی لازم، بر اساس الزامات قابل اعمال تعیین شود.
- اصلاح: علت تکرارپذیر، مالک اقدام و زمان پیگیری مشخص شود.
در ایران چه ملاحظه‌ای را فراموش نکنیم؟
مواد ۵۸ و ۵۹ قانون تجارت الکترونیکی مصوب ۱۳۸۲، در قلمرو خود درباره داده‌پیام‌های شخصی، رضایت و شرایط پردازش مقرراتی دارند. از جمله، موضوع داده‌های حساس و مشخص‌بودن هدف اهمیت دارد. این مواد نباید بدون بررسی قلمرو قانون، به حکم یکسان درباره همه مصاحبه‌های شفاهی یا همه شیوه‌های نگهداری تعمیم داده شوند.
همچنین قواعد خارجی درباره ضبط، نگهداری یا مهلت اطلاع‌رسانی را نمی‌توان خودکار به ایران منتقل کرد. سیاست سازمان باید با بررسی مقررات مرتبط، قراردادها و شرایط واقعی پردازش تکمیل شود.
از نگاه خانه منابع انسانی، یک کنترل ساده و مهم این است: مالک فرایند بتواند نشان دهد چه اطلاعاتی دارد، چرا دارد، چه کسی می‌بیند و چه زمانی درباره حذف یا ادامه نگهداری تصمیم می‌گیرد. اگر پاسخ روشن نیست، خرید ابزار جدید به‌تنهایی مسئله را حل نمی‌کند.
خلاصهاطلاعات را دسته‌بندی کنید، دسترسی را به مسئولیت محدود سازید، نسخه ابزار و سابقه تصمیم را حفظ کنید و برای ضبط، نگهداری و رخدادها رویه مشخص داشته باشید. امنیت اطلاعات بخشی از کیفیت فرایند مصاحبه است.
پرسش‌های متداول
پاسخ کوتاه به ۴ پرسش درباره «محرمانگی و امنیت اطلاعات مصاحبه استخدامی»
۱آیا می‌توان رزومه را در گروه مدیران ارسال کرد؟
اشتراک باید به افراد و اطلاعات لازم برای همان مسئولیت محدود باشد. گروه گسترده یا حساب شخصی، بدون کنترل دسترسی و نگهداری، مسیر مناسبی برای همه پرونده‌ها نیست.
۲آیا حذف نام، فایل را برای آموزش امن می‌کند؟
لزوماً خیر. جزئیات دیگر ممکن است فرد را قابل شناسایی کنند. نمونه ساختگی معمولاً انتخاب ساده‌تری برای آموزش است.
۳آیا همه فایلها باید پس از پایان جذب حذف شوند؟
خیر. نوع اطلاعات، هدف، مدت مصوب و الزامات مرتبط تعیینکنندهاند. حذف زودهنگام و نگهداری بیدلیل، هر دو میتوانند مسئله ایجاد کنند.
۴اگر سؤال افشا شد، فقط آن را عوض کنیم؟
باید دامنه افشا و اثر آن بر مقایسه بررسی شود. سؤال جایگزین و تصمیم درباره پرونده‌های متأثر نیاز به استدلال و ثبت دارند.
مراجع و منابع
- قانون تجارت الکترونیکی، مصوب ۱۳۸۲؛ مواد ۵۸ و ۵۹، با توجه به قلمرو و شرایط اعمال قانون.
- مؤسسه ملی استاندارد و فناوری ایالات متحده. کنترل‌های امنیت و حریم خصوصی برای سامانه‌های اطلاعاتی و سازمان‌ها؛ ویرایش پنجم، سند ۸۰۰ـ۵۳.
- کمیسیون خدمات عمومی کانادا. راهنمای اجرای مصاحبه؛ حفاظت از محتوای ابزار، مستندات و اطلاعات متقاضیان.
- دولت بریتانیا. حفاظت داده در کسب‌وکار: جذب و مدیریت سوابق کارکنان. الزامات قانونی منبع مختص قلمرو مربوط است؛ در این مقاله از آن برای اصول حرفه‌ای مدیریت اطلاعات استفاده شده است.
در اتاق‌های جلسات و راهروهای سازمان‌ها، خیلی زود فهمیدم پیچیده‌ترین معادله مدیریت، ابزارها نیستند؛ خودِ انسان‌ها هستند. من به عنوان مشاور مدیریت منابع انسانی و راهبر «خانه منابع انسانی»، کارم ساختن پل میان دو چیز است: منطق بی‌رحم کسب‌وکار و دنیای واقعی آدم‌ها. در این مجله، تئوری‌های خاک‌گرفته را کنار می‌گذارم و از راه‌حل‌هایی می‌نویسم که در دنیای واقعی کار می‌کنند.
این چالش در سازمان شما هم هست؟
اگر می‌خواهید آنچه خواندید را در سازمان خود به کار بگیرید، درخواست‌تان را بفرستید تا هم‌تیمی‌های خانه منابع انسانی برای هماهنگی با شما تماس بگیرند.
- تشخیص دقیق مسئلهپیش از هر راه‌حلی، ریشه را پیدا می‌کنیم
- طراحی راه‌حل متناسبنه نسخه آماده؛ متناسب با فرهنگ و اندازه سازمان شما
- همراهی تا اجرااز طراحی تا استقرار و سنجش نتیجه
میزگرد حرفه‌ای خانه منابع انسانی
اگر امروز یکی از مصاحبه‌گران از سازمان جدا شود، می‌دانیم به کدام نسخه‌های سؤال و اطلاعات متقاضیان هنوز دسترسی دارد؟