ดูแลรหัสผ่านของทีมงานร้านค้า ไม่แชร์บัญชีเดียวกัน
อ่าน 1 นาที
ไม่มีรูปภาพ
ร้านที่เริ่มโตมักมีผู้ช่วยหลายคน ทั้งแอดมินแชต คนแพ็กของ และคนดูบัญชี ความสะดวกที่สุดคือใช้อีเมลกับรหัสผ่านเดียวร่วมกันทั้งทีม แต่ความสะดวกนี้ซ่อนความเสี่ยงที่ใหญ่ เพราะเมื่อมีอะไรผิดพลาด จะไม่รู้เลยว่าใครทำ และเมื่อมีคนลาออก ก็ต้องเปลี่ยนรหัสให้ทุกคนพร้อมกัน
ปัญหาของการแชร์บัญชีเดียว
- ตรวจสอบย้อนหลังไม่ได้ว่าใครเป็นคนแก้ข้อมูลหรืออนุมัติรายการ
- รหัสผ่านหลุดง่าย เพราะถูกส่งต่อทางแชตหรือจดไว้หลายที่
- เปิด 2FA ยาก เพราะรหัสไปโผล่ที่มือถือเครื่องเดียว
- เมื่อพนักงานออก ต้องเปลี่ยนรหัสและแจ้งทุกคน มักลืมหรือเลื่อนไปเรื่อย ๆ
- ความรับผิดชอบคลุมเครือ ทำให้ทีมไม่ใส่ใจความปลอดภัย
หลักการ "หนึ่งคน หนึ่งบัญชี"
ถ้าระบบที่ใช้รองรับหลายผู้ใช้หรือแยกสิทธิ์ได้ ให้สร้างบัญชีแยกต่อคน หากระบบหนึ่งไม่รองรับ ให้พิจารณาว่าคนที่ต้องเข้าบัญชีเงินจริง ๆ มีกี่คน แล้วจำกัดให้น้อยที่สุด ส่วนงานที่ไม่ต้องแตะระบบเงิน เช่น การตอบแชต ควรใช้ช่องทางที่แยกจากระบบเงินออกไป เพื่อไม่ต้องให้รหัสสำคัญกับคนที่ไม่จำเป็น
ตัวช่วยจัดการรหัสผ่านทีม
โปรแกรมจัดการรหัสผ่านแบบทีม
เครื่องมือประเภทนี้ให้แชร์สิทธิ์เข้าถึงโดยไม่ต้องบอกรหัสผ่านเป็นข้อความ และยกเลิกการเข้าถึงได้ทันทีเมื่อคนออกจากทีม เลือกผู้ให้บริการที่คุณเชื่อถือและตรวจนโยบายความปลอดภัยของเขาเอง
ข้อตกลงภายในทีม
เขียนกติกาสั้น ๆ ไม่เกินหนึ่งหน้า เช่น ห้ามส่งรหัสผ่านทางแชต ห้ามจดไว้ในที่ที่คนอื่นเห็น ล็อกหน้าจอเมื่อลุกจากโต๊ะ และต้องแจ้งทันทีเมื่อทำอุปกรณ์หาย
ขั้นตอนเมื่อพนักงานลาออก
| ลำดับ | สิ่งที่ต้องทำ |
|---|---|
| 1 | ถอนสิทธิ์หรือปิดบัญชีของคนนั้นในทุกระบบ |
| 2 | เปลี่ยนรหัสผ่านของบัญชีที่เคยใช้ร่วมกัน |
| 3 | ย้ายหรือหมุนเวียนคีย์ API ที่คนนั้นเคยเข้าถึง |
| 4 | ตรวจรายการเปลี่ยนแปลงล่าสุดว่ามีอะไรผิดปกติ |
| 5 | เรียกคืนอุปกรณ์และบัญชีแชตของร้าน |
เรื่องคีย์ API ดูแนวทางที่ ความปลอดภัยของ API key
เช็กลิสต์สำหรับทีม
- นับว่าใครเข้าระบบเงินได้บ้างและเขียนรายชื่อไว้
- แยกบัญชีต่อคนเท่าที่ระบบเอื้อ
- เปิดยืนยันตัวตนสองชั้นกับทุกคนที่เข้าถึงข้อมูลเงิน
- ใช้โปรแกรมจัดการรหัสผ่านแทนการส่งในแชต
- ทบทวนรายชื่อและสิทธิ์ทุกไตรมาส
การอบรมสั้น ๆ ที่ได้ผล
ไม่จำเป็นต้องจัดอบรมยาว ใช้เวลาสิบห้านาทีในการประชุมทีมประจำเดือน ยกตัวอย่างข้อความหลอกลวงที่เพิ่งพบ แล้วถามว่าทุกคนจะทำอย่างไร วิธีนี้ทำให้ความปลอดภัยเป็นเรื่องปกติในที่ทำงาน ไม่ใช่เรื่องของฝ่ายไอทีฝ่ายเดียว และช่วยให้พนักงานใหม่ซึมซับกติกาได้เร็ว
ต่อยอดเรื่องการแบ่งสิทธิ์ได้ที่ แบ่งสิทธิ์พนักงานที่ดูแลเรื่องเงิน หรือเริ่มดูแลร้านอย่างเป็นระบบที่ หน้าเริ่มต้นใช้งาน