> ## Content Index > Fetch the complete content index at: https://arabroot.io/llms.txt > Use this file to discover other available public pages before exploring further. # BYOD: كيف تحمي بيانات الشركة على أجهزة الموظفين الشخصية - URL: https://arabroot.io/articles/الاجهزة-الشخصية-في-العمل-byod/ - Published: 2026-10-05T11:30:00.000Z - Updated: 2026-10-14T07:41:11.000Z - Description: كيف تختار طريقة وصول الموظفين من أجهزتهم الشخصية، وتعرف ما يحق للشركة أن تراه، وتكتب سياسة واضحة لذلك. - Author: فريق عرب رووت - Tags: الأدلة التقنية, الاستضافة الذاتية والتطبيقات, السيادة الرقمية والامتثال, الاستضافة الذاتية افتح هاتفك الآن وانظر إلى التطبيقات التي عليه، وغالب الظن أنك سوف تجد بريد العمل ومجموعة المحادثات الخاصة بالفريق وتطبيق الملفات المشتركة بجانب صور العائلة وتطبيق البنك، والأمر نفسه على الحاسوب المحمول الذي في البيت. فالموظفون يستخدمون أجهزتهم الشخصية في العمل منذ سنوات سواءً وافقت الشركة أم لم توافق، وهذا ما يسمى **استخدام الأجهزة الشخصية في العمل Bring Your Own Device**، واختصاراً BYOD. والمشكلة أن الشركة لا ترى هذه الأجهزة ولا تستطيع حمايتها، والموظف في المقابل لا يريد أن يدخل قسم تقنية المعلومات IT إلى حياته الخاصة، وكلا الطرفين محق. وفي مقال [إدارة أجهزة الموظفين وتأمينها MDM](https://arabroot.io/articles/%D8%A7%D8%AF%D8%A7%D8%B1%D8%A9-%D8%A7%D8%AC%D9%87%D8%B2%D8%A9-%D8%A7%D9%84%D9%85%D9%88%D8%B8%D9%81%D9%8A%D9%86-%D9%88%D8%AA%D8%A3%D9%85%D9%8A%D9%86%D9%87%D8%A7-mdm/) شرحنا التقنية نفسها: كيف يسجل الجهاز في نظام الإدارة، وكيف تعمل خدمات Apple وAndroid Enterprise وإدارة Windows، والأدوات التي تستطيع أن تستضيفها بنفسك. أما هذا المقال فهو عن القرار الذي يأتي قبل ذلك: هل تسمح بالأجهزة الشخصية أصلاً، وبأي شروط، وما الذي يحق للشركة أن تراه، وكيف تكتب السياسة التي يوقع عليها الموظف، وسوف نناقش في هذا المقال ما يلي: - ما الذي يحدث فعلاً عندما تصل بيانات الشركة إلى أجهزة لا تملكها، ولماذا لا ينفع المنع التام ولا الترك التام. - الخيارات المتاحة بين الطرفين، من الأجهزة المملوكة للشركة فقط إلى الوصول من المتصفح وسطح المكتب البعيد VDI وحماية التطبيقات MAM وقسم العمل في الجهاز Work Profile، مع نقاط القوة ونقاط الضعف لكل خيار. - الخصوصية: ما الذي تستطيع الشركة أن تراه وتفعله على جهاز Android أو iPhone شخصي، والفرق بين المسح الانتقائي Selective Wipe والمسح الكامل Full Wipe. - الحد الأدنى من الأمان للجهاز الشخصي المسموح به. - سياسة مكتوبة: الأقسام التي تحتاجها، مع مسودة عربية تبدأ منها. - ما تفعله عندما يغادر الموظف، وجدول يساعدك على اختيار الأنسب لنوع مؤسستك، ثم الأخطاء الشائعة وقائمة تحقق. ## ماذا يحدث عندما تصل بيانات الشركة إلى أجهزة لا تملكها؟ عندما يضيف الموظف حساب بريد العمل إلى هاتفه، فإن تطبيق البريد لا يعرض الرسائل فقط وإنما يحفظ نسخة منها على الجهاز حتى تعمل دون اتصال، والأمر نفسه مع تطبيقات المحادثة التي تحفظ السجل والمرفقات، ومع تطبيقات مزامنة الملفات Sync Clients التي تنزل المجلدات كاملة على القرص. وبالتالي فبيانات الشركة لم تعد في السيرفر وحده، وإنما توجد منها نسخة على كل جهاز فتح هذه التطبيقات، وهذه الأجهزة لا يعرف عنها قسم تقنية المعلومات شيئاً: لا يعرف نسخة النظام، ولا يعرف هل عليها قفل شاشة، ولا يعرف من يستخدمها غير الموظف. والصورة التالية تبين أشهر ما يحدث في هذه الحالة: ![مخطط يبين سيرفر الشركة وعليه البريد والمحادثات والملفات، ومنه نسخ متزامنة إلى أربعة أجهزة شخصية: هاتف مفقود عليه البريد والمحادثات، وحاسوب عائلي عليه برنامج خبيث، وحاسوب موظف سابق ما زالت عليه الملفات والجلسات، وهاتف شخصي أصبح جزءاً من نزاع أو تحقيق، وفي الأسفل أن قسم تقنية المعلومات لا يرى أياً منها](https://arabroot.io/content/images/2026/10/byod-01-problem.webp) المشكلة في مكان البيانات: نسخة منها على كل جهاز شخصي فتح البريد أو المحادثات أو الملفات - **هاتف مفقود والبريد متزامن عليه:** إذا لم يكن على الهاتف قفل شاشة قوي، فمن يجده يقرأ بريد العمل ومحادثات الفريق كما يقرؤها صاحبه، والشركة لا تملك أي طريقة لمسح بياناتها منه لأنها لم تسجله في أي نظام. - **موظف سابق ما زالت الملفات على جهازه:** تعطيل حسابه في يوم مغادرته يمنعه من الدخول مرة أخرى، ولكن الملفات التي نزلت على حاسوبه قبل ذلك تبقى عليه، وبعض التطبيقات تبقى فيها جلسة مفتوحة حتى تنتهي صلاحيتها. - **برنامج خبيث Malware على حاسوب العائلة:** الحاسوب الذي يستخدمه الأبناء للألعاب وتثبت عليه برامج من مصادر غير معروفة، وعليه نظام لم يحدث منذ سنة، هو نفسه الحاسوب الذي فتح عليه الموظف ملفات العملاء، وأي برنامج خبيث عليه يقرأ ما يقرؤه المستخدم. - **نزاع قانوني أو تحقيق:** عندما تكون بيانات العمل على هاتف شخصي، فأي نزاع أو تحقيق يحتاج إلى تلك البيانات قد يصل إلى الهاتف نفسه وما عليه من صور ورسائل خاصة، وهذا موقف لا يريده الموظف ولا الشركة. ولاحظ أن كل هذه الحالات سببها واحد، وهو أن البيانات خرجت من المكان الذي تتحكم فيه الشركة إلى مكان لا تراه، لذلك فالسؤال الصحيح ليس «هل نسمح بالأجهزة الشخصية؟» وإنما «أين تبقى بيانات العمل، ومن يتحكم في المكان الذي تبقى فيه؟». ## المنع التام أو الترك التام: لماذا لا ينفع أي منهما؟ أول حل يخطر على البال هو **المنع التام**: لا يدخل أحد إلى أنظمة الشركة إلا من جهاز تملكه الشركة. وهذا الحل صحيح من جهة الأمان، ولكنه في الواقع يفشل لسببين: الأول هو التكلفة، فشراء هاتف وحاسوب لكل موظف وإدارتهما ليس في متناول كل مؤسسة صغيرة، والثاني أن المنع على الورق لا يمنع الناس، فالموظف الذي يحتاج أن يرد على رسالة عاجلة في المساء سوف يحول البريد إلى حسابه الشخصي أو يصور الشاشة ويرسلها في تطبيق محادثة شخصي، وهذا ما يسمى تقنية المعلومات الخفية Shadow IT، وهي أسوأ من الأجهزة الشخصية لأن البيانات تخرج هنا إلى خدمات لا تعرف عنها الشركة شيئاً. وقد نبه [دليل المركز الوطني للأمن السيبراني البريطاني NCSC](https://www.ncsc.gov.uk/collection/device-security-guidance/bring-your-own-device?ref=arabroot.io) عن الأجهزة الشخصية إلى هذا الخطر بالتحديد: أن تجربة الاستخدام السيئة تدفع الموظفين إلى طرق جانبية غير معتمدة. والحل الثاني هو **الترك التام**: كل موظف يستخدم ما يشاء دون أي شروط، وهو ما تفعله أغلب الشركات الصغيرة دون أن تقرره صراحةً. وهذا الحل مريح للجميع حتى يضيع أول هاتف أو يغادر أول موظف غاضب، وعندها تكتشف الشركة أنها لا تعرف أين توجد بياناتها ولا تستطيع أن تسحبها من أي مكان. وبين هذين الطرفين توجد خيارات كثيرة، وكلها تجيب عن السؤال نفسه بطرق مختلفة: إما أن تبقى البيانات على السيرفر ولا تنزل إلى الجهاز أصلاً، وإما أن تنزل إلى قسم معزول في الجهاز تتحكم فيه الشركة وحده، وإما أن تنزل إلى تطبيقات تحمل سياسة الشركة بداخلها. ## الخيارات بين المنع والترك الصورة التالية ترتب الخيارات من الأشد على اليمين إلى الأكثر انفتاحاً على اليسار، ولكل خيار ثلاثة أسئلة: كم تتحكم الشركة في الجهاز، وهل تنزل بيانات العمل عليه، وكم يبقى للموظف من خصوصية: ![مخطط من ست بطاقات مرتبة من الأشد إلى الأكثر انفتاحاً: الأجهزة المملوكة للشركة فقط، وقسم العمل في Android أو User Enrollment في Apple، وحماية التطبيقات MAM، وسطح المكتب البعيد عبر Guacamole، والوصول من المتصفح فقط، ودون أي ضوابط، ولكل بطاقة مقدار تحكم الشركة ومكان بيانات العمل ومقدار خصوصية الموظف، وتحت الأربعة الوسطى أن Zero Trust يمكن أن يضاف فوق أي منها](https://arabroot.io/content/images/2026/10/byod-02-spectrum.webp) كلما زادت حساسية البيانات تحركت إلى اليمين، وكلما زادت حاجة الموظف إلى الخصوصية بحثت عن خيار لا يلمس جهازه ### الأجهزة المملوكة للشركة فقط COBO وCOPE في هذا الخيار لا يدخل إلى أنظمة الشركة إلا جهاز تملكه الشركة، وله صورتان: جهاز للعمل فقط Corporate-Owned Business Only، واختصاراً COBO، وجهاز تملكه الشركة ويسمح للموظف باستخدامه الشخصي Corporate-Owned Personally Enabled، واختصاراً COPE. والجهاز في الحالتين مسجل في نظام الإدارة MDM تسجيلاً كاملاً كما شرحنا في [مقال إدارة الأجهزة](https://arabroot.io/articles/%D8%A7%D8%AF%D8%A7%D8%B1%D8%A9-%D8%A7%D8%AC%D9%87%D8%B2%D8%A9-%D8%A7%D9%84%D9%85%D9%88%D8%B8%D9%81%D9%8A%D9%86-%D9%88%D8%AA%D8%A3%D9%85%D9%8A%D9%86%D9%87%D8%A7-mdm/). - **نقاط القوة:** تحكم كامل في الجهاز ونسخة النظام والتطبيقات، ومسح كامل عند الفقد أو المغادرة دون نقاش، وأسهل خيار في التدقيق Audit لأن الجهاز ملك الشركة. - **نقاط الضعف:** التكلفة، وأن الموظف يحمل هاتفين، وأن منع الأجهزة الشخصية يحتاج متابعة حقيقية وإلا تحول إلى Shadow IT كما ذكرنا. وفي صورة COPE تبقى خصوصية الموظف محدودة على هذا الجهاز، لذلك يجب أن يعرف ما الذي تراه الشركة قبل أن يضع عليه شيئاً شخصياً. ### الوصول من المتصفح فقط الفكرة هنا أن الموظف لا يثبت أي تطبيق للعمل على جهازه الشخصي، وإنما يفتح البريد والملفات والمحادثات من المتصفح عبر الدخول الموحد Single Sign-On، واختصاراً SSO، والبيانات تبقى على السيرفر ولا تنزل منها إلا الصفحة التي يقرؤها. ويتحقق ذلك بثلاثة أشياء: الأول أن تمر كل التطبيقات عبر مزود الهوية Identity Provider، واختصاراً IdP، مثل authentik أو Keycloak، وإذا كان تطبيق لا يدعم SSO فيمكن وضعه خلف [authentik Forward Auth](https://arabroot.io/articles/%D8%AD%D9%85%D8%A7%D9%8A%D8%A9-%D8%A3%D9%8A-%D8%AA%D8%B7%D8%A8%D9%8A%D9%82-%D8%A8%D8%A7%D8%B3%D8%AA%D8%AE%D8%AF%D8%A7%D9%85-authentik-forward-auth/). والثاني أن تكون الجلسات Sessions قصيرة على الأجهزة غير المدارة، مع طلب المصادقة متعددة العوامل MFA أو Passkey عند كل دخول جديد، وقد شرحنا كيف تعمل الجلسات والتوكنات في [الجلسات وملفات تعريف الارتباط وJWT](https://arabroot.io/articles/%D8%A7%D9%84%D8%AC%D9%84%D8%B3%D8%A7%D8%AA-%D9%88%D9%85%D9%84%D9%81%D8%A7%D8%AA-%D8%AA%D8%B9%D8%B1%D9%8A%D9%81-%D8%A7%D9%84%D8%A7%D8%B1%D8%AA%D8%A8%D8%A7%D8%B7-%D9%88-jwt-%D9%84%D9%84%D9%85%D8%A8%D8%AA%D8%AF%D8%A6%D9%8A%D9%86/). والثالث أن تمنع تطبيقات المزامنة على هذه الأجهزة، فمثلاً تطبيق [التحكم في الوصول إلى الملفات Files Access Control](https://docs.nextcloud.com/server/latest/admin%5Fmanual/file%5Fworkflows/access%5Fcontrol.html?ref=arabroot.io) في Nextcloud يرفض الطلبات بحسب مجموعة المستخدم وعنوان IP ونوع الكلاينت، ومنها تطبيقات Desktop وAndroid وiOS، وبالتالي تستطيع أن تسمح لمجموعة الأجهزة الشخصية بالمتصفح وحده. - **نقاط القوة:** لا تثبت الشركة شيئاً على جهاز الموظف ولا ترى منه شيئاً، والتكلفة شبه معدومة إذا كان عندك IdP، وإيقاف الوصول يتم من مكان واحد. - **نقاط الضعف:** المتصفح يستطيع أن ينزل الملفات ويطبعها ويصور الشاشة، ومنع التنزيل Download يعتمد على أن يدعمه كل تطبيق في إعداداته، والكثير منها لا يدعمه، كما أن العمل من المتصفح على الهاتف أقل راحة من التطبيقات، والإشعارات Notifications أضعف. وقد يتساءل البعض: إذا كان المتصفح يستطيع أن ينزل الملفات، فما الفائدة؟ والإجابة أن الفرق كبير بين ملف نزله الموظف عمداً ومجلد كامل يتزامن تلقائياً على القرص وتبقى نسخته بعد سنة من مغادرته، فالوصول من المتصفح يقلل الكمية التي تنزل على الجهاز، ولا يمنعها تماماً، وإذا كنت تحتاج أن تمنعها تماماً فالخيار التالي هو الأنسب. ### سطح المكتب البعيد VDI والتطبيقات البعيدة في البنية الافتراضية لأسطح المكتب Virtual Desktop Infrastructure، واختصاراً VDI، يعمل سطح مكتب الموظف أو التطبيق الحساس على سيرفر في مركز البيانات Data Centre، والجهاز الشخصي لا يستقبل إلا صورة الشاشة ويرسل ضغطات لوحة المفاتيح والفأرة، وبالتالي لا تنزل البيانات إلى الجهاز أصلاً. ومن الأدوات التي تستطيع أن تستضيفها بنفسك [Apache Guacamole](https://guacamole.apache.org/?ref=arabroot.io)، وهو بوابة لسطح المكتب البعيد Remote Desktop Gateway تعمل من المتصفح دون تثبيت أي برنامج على جهاز المستخدم، وتدعم البروتوكولات RDP وVNC وSSH. وفي [إعدادات الاتصال في Guacamole](https://guacamole.apache.org/doc/gug/configuring-guacamole.html?ref=arabroot.io) تستطيع أن توقف النسخ واللصق بالمعاملين `disable-copy` و`disable-paste`، ونقل الملفات في اتصالات RDP متوقف من الأساس إلا إذا فعلته بالمعامل `enable-drive`، وإذا فعلته فيمكنك أن تمنع التنزيل وحده بالمعامل `disable-download`، كما يدعم تسجيل الجلسات Session Recording للأنظمة الحساسة. ![مخطط من قسمين: على اليمين الوصول من المتصفح فقط حيث يفتح الحاسوب الشخصي البريد والملفات والمحادثات من الويب عبر مزود الهوية مع MFA وجلسات قصيرة ومنع تطبيقات المزامنة، مع تنبيه أن المتصفح ما زال يستطيع التصوير والطباعة والتنزيل، وعلى اليسار سطح المكتب البعيد عبر بوابة Guacamole حيث يبقى سطح المكتب والملفات في مركز البيانات ولا يصل إلى الحاسوب إلا صورة الشاشة، مع إيقاف النسخ واللصق ونقل الملفات وتسجيل الجلسات](https://arabroot.io/content/images/2026/10/byod-04-browser-vdi.webp) في الحالتين لا تثبت الشركة شيئاً على جهاز الموظف، والفرق في مقدار ما يمكن أن ينزل عليه - **نقاط القوة:** البيانات لا تغادر مركز البيانات، والجهاز الشخصي يبقى كما هو دون أي إدارة، ومغادرة الموظف لا تترك على جهازه شيئاً. - **نقاط الضعف:** تحتاج سيرفرات تشغل أسطح المكتب وتراخيصها إذا كانت Windows، والعمل يتوقف إذا انقطع الإنترنت، والاستخدام على شاشة الهاتف الصغيرة صعب، ولا يمنع شيء الموظف من تصوير الشاشة بهاتف آخر. ### حماية التطبيقات دون تسجيل الجهاز MAM في إدارة تطبيقات الجوال Mobile Application Management، واختصاراً MAM، لا تسجل الشركة الجهاز في أي نظام، وإنما تحمل تطبيقات العمل نفسها سياسة الشركة: رمز PIN لفتح التطبيق، ومنع نسخ البيانات منه إلى التطبيقات الشخصية، ومنع حفظ الملفات في مكان شخصي، ومسح بيانات العمل من التطبيق وحده عند الحاجة. وأشهر مثال عليه [سياسات حماية التطبيقات في Microsoft Intune](https://learn.microsoft.com/en-us/intune/intune-service/apps/app-protection-policy?ref=arabroot.io)، وتوثيقها ينص على أنها تعمل على الأجهزة الشخصية غير المسجلة في أي نظام إدارة. ولكن لنكن صريحين في هذا الجزء: هذه الطريقة تعمل لأن Microsoft تملك التطبيقات (Outlook وTeams وOneDrive) وتملك الحزمة البرمجية SDK التي تضيف السياسة إليها وتملك مزود الهوية Entra ID، وتحتاج ترخيص Intune لكل مستخدم. ولا نعرف أداة مفتوحة المصدر تستضيفها بنفسك تقدم الشيء نفسه لتطبيقات عامة مثل البريد والمحادثات والملفات دون تسجيل الجهاز، وما تستطيعه في البيئة المستضافة ذاتياً Self-Hosted هو ما يقدمه كل تطبيق في إعداداته (مدة الجلسة، ومنع بعض الكلاينت، وإلغاء الجلسات من لوحة الإدارة)، وهذا أقل بكثير من MAM. لذلك إذا كانت أنظمتك مستضافة ذاتياً فاختيارك العملي بين المتصفح وVDI وقسم العمل في الجهاز. - **نقاط القوة:** لا يحتاج الموظف أن يسجل جهازه، والسياسة تطبق في سياق العمل فقط ولا تلمس البيانات الشخصية حتى داخل التطبيق نفسه. - **نقاط الضعف:** مربوط عملياً ببيئة Microsoft 365 وتطبيقاتها وتراخيصها، ولا يغطي إلا التطبيقات التي تدعمه، ولا تتوفر له بدائل مفتوحة المصدر ناضجة. ### قسم العمل في الجهاز Work Profile وUser Enrollment هنا يسجل الموظف جهازه الشخصي في نظام الإدارة، ولكن بطريقة خاصة بالأجهزة الشخصية: ينقسم الجهاز إلى قسمين، قسم للعمل تديره الشركة وقسم شخصي لا تراه. وفي Android يسمى [قسم العمل Work Profile](https://support.google.com/work/android/answer/6191949?hl=en&ref=arabroot.io)، وتظهر تطبيقاته بعلامة حقيبة صغيرة، وفي iPhone وiPad وMac يسمى [التسجيل بحساب المستخدم User Enrollment](https://support.apple.com/guide/deployment/user-enrollment-and-device-management-dep23db2037d/web?ref=arabroot.io)، ويرتبط بحساب Apple مدار Managed Apple Account تنشئه الشركة. وطريقة التسجيل نفسها والأدوات التي تديرها شرحناها في [مقال إدارة الأجهزة](https://arabroot.io/articles/%D8%A7%D8%AF%D8%A7%D8%B1%D8%A9-%D8%A7%D8%AC%D9%87%D8%B2%D8%A9-%D8%A7%D9%84%D9%85%D9%88%D8%B8%D9%81%D9%8A%D9%86-%D9%88%D8%AA%D8%A3%D9%85%D9%8A%D9%86%D9%87%D8%A7-mdm/)، وما يهمنا هنا هو أثرها على القرار والخصوصية: ![مخطط لهاتف شخصي مقسوم إلى قسم العمل وفيه البريد والمحادثات والملفات والويكي تديره الشركة، والقسم الشخصي وفيه الصور والرسائل والبنك والمتصفح وهو خاص، وعلى اليسار ما تستطيعه الشركة مثل تثبيت تطبيقات العمل وطلب رمز للقفل وحذف قسم العمل، وعلى اليمين ما لا تستطيعه مثل رؤية التطبيقات والصور والرسائل الشخصية ومسح الهاتف كاملاً وقراءة الرقم التسلسلي](https://arabroot.io/content/images/2026/10/byod-03-work-profile.webp) الشركة تدير قسم العمل فقط، وعند المغادرة تحذفه وتبقى الصور والتطبيقات الشخصية كما هي - **نقاط القوة:** تطبيقات العمل الأصلية تعمل بكامل مزاياها ومنها الإشعارات والعمل دون اتصال، والشركة تستطيع أن تحذف قسم العمل وحده عند المغادرة أو الفقد، والموظف يرى في إعدادات جهازه ما الذي تديره الشركة بالضبط. - **نقاط الضعف:** يحتاج نظام إدارة يدعم هذا النوع من التسجيل وخبرة في تشغيله، ومن جهة Apple يحتاج حساب Apple Business أو Apple School Manager وحسابات مدارة، وبعض الموظفين يرفضون تثبيت أي شيء للشركة على هواتفهم مهما شرحت لهم، وهذا حقهم، لذلك يجب أن يبقى لهم بديل مثل المتصفح. ### Zero Trust: التحقق من حالة الجهاز مع كل طلب هذا الخيار ليس بديلاً عن الخيارات السابقة وإنما طبقة فوقها، والفكرة التي شرحناها في [قسم Zero Trust في مقال VPN](https://arabroot.io/articles/%D9%85%D8%A7-%D9%87%D9%88-vpn-%D8%B4%D8%B1%D8%AD-%D9%84%D9%84%D9%85%D8%A8%D8%AA%D8%AF%D8%A6%D9%8A%D9%86/#zero-trust) هي ألا يكون الدخول مرة واحدة مفتاحاً لكل شيء، وإنما يتحقق النظام مع كل طلب من المستخدم ومن حالة الجهاز Device Posture: هل هو مسجل في نظام الإدارة، وهل نسخة النظام مدعومة، وهل التشفير مفعل. وبالتالي تستطيع أن تقرر أن الجهاز الذي عليه قسم عمل مدار يفتح كل التطبيقات، والجهاز غير المدار يفتح البريد من المتصفح فقط. - **نقاط القوة:** القرار يتغير مع حالة الجهاز، فإذا تأخر الموظف في تحديث نظامه نقص وصوله تلقائياً دون أن يتدخل أحد. - **نقاط الضعف:** يحتاج مصدراً موثوقاً يعرف حالة الجهاز، وهذا غالباً نظام الإدارة نفسه أو برنامج على الجهاز، ويحتاج بوابة أو IdP تقرأ هذه الحالة، والربط بينهما في الأدوات المستضافة ذاتياً يحتاج عملاً أكثر من الحلول التجارية الجاهزة. وفيما يلي ملخص الخيارات في جدول واحد: | الخيار | ماذا يثبت على جهاز الموظف | أين تبقى بيانات العمل | ما تحتاجه | | ---------------------------------------- | ------------------------- | -------------------------------- | ------------------------------- | | أجهزة الشركة فقط COBO/COPE | الجهاز كله ملك الشركة | على جهاز الشركة | ميزانية أجهزة ونظام MDM | | قسم العمل Work Profile / User Enrollment | قسم عمل مدار | داخل قسم العمل فقط | نظام MDM يدعم الأجهزة الشخصية | | حماية التطبيقات MAM | تطبيقات العمل فقط | داخل التطبيقات المحمية | عملياً Microsoft 365 وIntune | | سطح المكتب البعيد VDI | لا شيء (متصفح) | في مركز البيانات | Guacamole وسيرفرات لأسطح المكتب | | المتصفح فقط | لا شيء | على السيرفر، إلا ما ينزله الموظف | IdP وSSO وإعدادات التطبيقات | | دون ضوابط | أي شيء | في كل مكان | لا شيء، وهذا هو الخطر | ## ماذا يحق للشركة أن ترى على جهاز الموظف الشخصي؟ هذا هو السؤال الذي يطرحه كل موظف قبل أن يوافق، والإجابة تختلف بحسب طريقة التسجيل، لذلك يجب أن تعرفها أنت أولاً وتكتبها في السياسة بوضوح. **في Android مع قسم العمل على جهاز شخصي:** تنص [صفحة Google عن السياسات التي تطبقها المؤسسة](https://support.google.com/work/android/answer/7502354?hl=en&ref=arabroot.io) على أن المؤسسة ترى تطبيقات قسم العمل وبياناته وتديرها، وترى نشاط الشبكة والموقع من تطبيقات قسم العمل، وترى معلومات عامة عن الجهاز مثل الطراز ونسخة النظام والمشغل، أما التطبيقات والبيانات والاستخدام في القسم الشخصي فلا تراها ولا تصل إليها، وتطبيقات العمل لا تقرأ رسائل SMS الشخصية منذ Android 11، وشبكة VPN المضبوطة في قسم العمل لا تمر بها حركة التطبيقات الشخصية. ومنذ [Android 12](https://developer.android.com/work/versions/android-12?ref=arabroot.io) لم يعد نظام الإدارة يصل إلى معرفات العتاد مثل IMEI والرقم التسلسلي Serial Number على الأجهزة الشخصية التي عليها قسم عمل، ولا يستطيع أن يراقب حركة الشبكة في القسم الشخصي. **في Apple مع User Enrollment:** ينص [دليل Apple للنشر](https://support.apple.com/guide/deployment/user-enrollment-and-device-management-dep23db2037d/web?ref=arabroot.io) على أن الشركة تستطيع أن تطبق مجموعة محدودة من الإعدادات والقيود فقط، وأنها تدير حسابات المؤسسة وإعداداتها ولا تدير حساب المستخدم الشخصي أبداً، وأن المستخدم يرى على جهازه ما الذي تديره الشركة. ويبين [شرح التسجيل بالحساب](https://support.apple.com/guide/deployment/account-driven-enrollment-methods-dep4d9e9cd26/web?ref=arabroot.io) أن النظام ينشئ مفاتيح تشفير منفصلة لبيانات العمل، وعند إلغاء التسجيل من المستخدم أو من نظام الإدارة يحذف النظام هذه المفاتيح ويحذف التطبيقات المدارة. كما ينص [دليل مسح الأجهزة](https://support.apple.com/guide/deployment/erase-apple-devices-dep0a819891e/web?ref=arabroot.io) على أن المسح الكامل Erase All Content and Settings غير ممكن للأجهزة المسجلة بطريقة User Enrollment. ومن هنا يأتي الفرق بين نوعين من المسح: - **المسح الانتقائي Selective Wipe:** حذف قسم العمل أو بيانات العمل وحدها، وتبقى الصور والتطبيقات الشخصية كما هي. وهذا هو المسح الوحيد المقبول على جهاز شخصي، وهو المتاح أصلاً مع Work Profile وUser Enrollment. - **المسح الكامل Full Wipe:** إعادة الجهاز إلى حالة المصنع وحذف كل ما عليه. وهذا مناسب لأجهزة الشركة فقط، ولا تقم به على جهاز شخصي حتى لو كان نظامك يسمح به في طريقة تسجيل أخرى، والسبب أنك سوف تحذف صور الموظف وبياناته الخاصة، وهذه مشكلة قانونية وإنسانية قبل أن تكون تقنية. وتذكر أن ما يستطيعه النظام شيء، وما تقرر الشركة أن تفعله شيء آخر، فالسياسة الجيدة تكتب ما تجمعه الشركة فعلاً، ومن يطلع عليه، ومتى تستخدم المسح الانتقائي، وتشرح ذلك للموظف قبل أن يسجل جهازه، لأن الموافقة Consent التي يعطيها الموظف وهو لا يعرف ما يوافق عليه لا قيمة لها. ⚠️ ما تجمعه الشركة من الجهاز الشخصي، مثل اسم الجهاز ونسخة النظام والموقع من تطبيقات العمل وسجلات الدخول، هو بيانات شخصية عن الموظف، وتخضع لأنظمة حماية البيانات الشخصية في بلدك، ففي السعودية مثلاً يوجد [نظام حماية البيانات الشخصية PDPL](https://dgp.sdaia.gov.sa/wps/portal/pdp/?ref=arabroot.io). لذلك لا تنشر سياسة الأجهزة الشخصية قبل أن تراجعها إدارة الموارد البشرية والإدارة القانونية في مؤسستك، فهما من يحدد ما يلزمك في هذا النظام وفي عقود العمل، وهذا المقال لا يغني عن تلك المراجعة. ## الحد الأدنى من الأمان للجهاز الشخصي المسموح به إذا قررت أن تسمح بالأجهزة الشخصية بأي صورة غير المتصفح فقط وVDI، فيجب أن يحقق الجهاز حداً أدنى من الشروط، وبعضها تفرضه بنظام الإدارة على قسم العمل، وبعضها تطلبه في السياسة وتتحقق منه عند التسجيل. وهذه الشروط قريبة مما يوصي به [دليل NIST SP 800-124 لأمن الأجهزة المحمولة في المؤسسات](https://csrc.nist.gov/pubs/sp/800/124/r2/final?ref=arabroot.io) و[دليل NIST SP 800-46 للعمل عن بعد والأجهزة الشخصية](https://csrc.nist.gov/pubs/sp/800/46/r2/final?ref=arabroot.io)، والجدول التالي يفرق بين ما تشترطه وما توصي به: | الشرط | مشترط أم موصى به | والسبب | | ---------------------------------------------------------- | ---------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | نسخة نظام ما زالت تتلقى التحديثات الأمنية Security Updates | مشترط | الجهاز الذي توقف تحديثه تبقى ثغراته المعروفة مفتوحة إلى الأبد. | | قفل شاشة Screen Lock برمز أو بصمة، وقفل تلقائي بعد دقائق | مشترط | هذا ما يحمي بيانات العمل عند فقد الهاتف، وأغلب حالات الفقد لا يحميها شيء غيره. | | تشفير الجهاز Device Encryption مفعل | مشترط | مفعل افتراضياً في الهواتف الحديثة عند وجود رمز قفل، أما الحواسيب فيجب التأكد من BitLocker أو FileVault أو تشفير القرص في Linux. | | MFA أو Passkey لحساب العمل | مشترط | كلمة المرور وحدها تسرق بالتصيد Phishing، وقد شرحنا البديل في [الدخول دون كلمة مرور Passkeys](https://arabroot.io/articles/%D8%A7%D9%84%D8%AF%D8%AE%D9%88%D9%84-%D8%AF%D9%88%D9%86-%D9%83%D9%84%D9%85%D8%A9-%D9%85%D8%B1%D9%88%D8%B1-passkeys-%D9%88-fido2/). | | جهاز غير معدل الحماية Jailbreak أو Root | مشترط | كسر حماية النظام يلغي العزل بين التطبيقات، وهو الأساس الذي يقوم عليه قسم العمل. | | قسم عمل منفصل أو المتصفح فقط | مشترط | لا تختلط بيانات العمل بالتطبيقات الشخصية. | | VPN العمل عبر إعداد مدار فقط | مشترط إذا كان هناك VPN | إعداد VPN ينسخه الموظف يدوياً لا تستطيع أن تلغيه عند المغادرة، أما المدار فيحذف مع قسم العمل. | | حساب مستخدم منفصل على الحاسوب العائلي | موصى به | حتى لا يفتح أفراد العائلة جلسة العمل أو ملفاته. | | تثبيت التطبيقات من المتاجر الرسمية فقط | موصى به | أغلب البرامج الخبيثة على Android تأتي من ملفات APK خارج المتجر. | | نسخ احتياطي Backup شخصي لا يشمل بيانات العمل | موصى به | بيانات العمل نسختها على سيرفر الشركة، ولا يجب أن تظهر نسخة أخرى منها في حساب سحابي شخصي. | ## السياسة المكتوبة: ما الأقسام التي تحتاجها؟ كل ما سبق لا قيمة له إذا لم يكتب في سياسة يقرؤها الموظف ويوافق عليها قبل أن يضيف حساب العمل إلى جهازه، والسبب أن السياسة هي ما يحمي الطرفين: الشركة تعرف ما يحق لها أن تفعله، والموظف يعرف ما الذي لن تفعله الشركة أبداً. وفيما يلي الأقسام التي تحتاجها السياسة مع صيغة مختصرة لكل قسم تستطيع أن تبدأ منها وتعدلها بحسب مؤسستك: 1. **الغرض والنطاق Scope:** «تنظم هذه السياسة استخدام الأجهزة المملوكة للموظفين في الوصول إلى أنظمة \[اسم الجهة\] وبياناتها، وتنطبق على الموظفين والمتعاقدين المسموح لهم بذلك». 2. **الأجهزة المسموح بها:** «يسمح بالهواتف والأجهزة اللوحية والحواسيب التي تعمل بنسخة نظام ما زالت تتلقى التحديثات الأمنية من الشركة المصنعة، ولا يسمح بالأجهزة المعدلة الحماية Jailbreak أو Root». 3. **البيانات والتطبيقات المسموح بها:** «يسمح بالوصول إلى \[البريد والمحادثات والتقويم\] من قسم العمل أو المتصفح، ولا يسمح بالوصول إلى \[بيانات العملاء أو الأنظمة المالية\] إلا من أجهزة الجهة أو عبر سطح المكتب البعيد، ولا يجوز نقل بيانات العمل إلى تطبيقات أو حسابات سحابية شخصية». 4. **الحد الأدنى من الأمان:** قفل الشاشة، والتشفير، وMFA أو Passkey، والتحديثات، كما في الجدول السابق. 5. **ما تراه الجهة وما لا تراه:** «ترى الجهة طراز الجهاز ونسخة نظامه وتطبيقات العمل وبياناتها فقط، ولا ترى الصور أو الرسائل أو التطبيقات أو التصفح في القسم الشخصي، ولا تحدد موقع الجهاز إلا عبر تطبيقات العمل وللأغراض المذكورة في هذه السياسة». 6. **حدود المراقبة Monitoring:** ما الذي يسجل من نشاط تطبيقات العمل، ومدة حفظ السجلات Logs، ومن يطلع عليها. 7. **الفقد والسرقة:** «يبلغ الموظف \[قسم تقنية المعلومات\] خلال \[عدد\] ساعات من فقد الجهاز أو سرقته، ويوافق على حذف قسم العمل منه عن بعد». 8. **ترك العمل والمسح الانتقائي:** «عند انتهاء العلاقة الوظيفية تحذف الجهة قسم العمل وبياناته من الجهاز، ولا تحذف أي بيانات شخصية، ولا تقوم بمسح الجهاز كاملاً». 9. **حدود الدعم الفني:** «يقتصر دعم \[قسم تقنية المعلومات\] على تطبيقات العمل وإعداداتها، ولا يشمل إصلاح الجهاز أو بياناته الشخصية». 10. **التكاليف والبدل:** من يدفع ثمن الجهاز والاتصال، وهل يوجد بدل شهري Stipend، ومن يتحمل تكلفة إصلاح الجهاز إذا تلف أثناء العمل. 11. **المخالفات:** ما يحدث إذا لم يلتزم الموظف بالسياسة، وأوله إيقاف وصول الجهاز. 12. **الإقرار Acceptance:** «اطلعت على هذه السياسة وفهمت ما تراه الجهة على جهازي وما لا تراه، وأوافق عليها»، مع الاسم والتاريخ ونوع الجهاز، وتجديد الإقرار عند كل تعديل جوهري على السياسة. ⚠️ هذه المسودة نقطة بداية تساعدك على ترتيب الأفكار، وليست استشارة قانونية Legal Advice. الصياغة النهائية وما يلزم مؤسستك من أنظمة العمل وحماية البيانات تحددها إدارتك القانونية وإدارة الموارد البشرية. ## عندما يغادر الموظف أكثر لحظة تظهر فيها جودة إعدادك هي يوم مغادرة الموظف، فإذا كانت الأجهزة الشخصية تعمل بالمتصفح أو بقسم العمل فالخطوات واضحة وتستغرق دقائق، وإذا كانت دون ضوابط فلا توجد خطوات أصلاً. والصورة التالية تبين الترتيب: ![مخطط من خمس خطوات من اليمين إلى اليسار: تعطيل الحساب في مزود الهوية، ثم إلغاء الجلسات والتوكنات، ثم حذف قسم العمل من الجهاز بالمسح الانتقائي، ثم تغيير كلمات المرور والمفاتيح المشتركة التي كان يعرفها، ثم مراجعة السجلات والصلاحيات، مع تنبيه أن تعطيل الحساب وحده لا يغلق الجلسات المفتوحة](https://arabroot.io/content/images/2026/10/byod-05-offboarding.webp) تعطيل الحساب أول خطوة وليس آخرها، فالجلسة المفتوحة والتوكن المحفوظ يعملان حتى تنتهي صلاحيتهما أو تلغيهما 1. **عطل الحساب في مزود الهوية:** خطوة واحدة توقف الدخول إلى كل التطبيقات المربوطة بالدخول الموحد، وهذه أهم فائدة لربط كل شيء بـ IdP كما شرحنا في [إدارة الهوية والوصول IAM](https://arabroot.io/articles/%D8%A7%D8%AF%D8%A7%D8%B1%D8%A9-%D8%A7%D9%84%D9%87%D9%88%D9%8A%D8%A9-%D9%88%D8%A7%D9%84%D9%88%D8%B5%D9%88%D9%84-iam-%D9%88%D8%A7%D9%84%D9%88%D8%B5%D9%88%D9%84-%D8%A7%D9%84%D9%85%D9%85%D9%8A%D8%B2-pam/). 2. **ألغ الجلسات والتوكنات:** تعطيل الحساب يمنع الدخول الجديد، ولكن التطبيق الذي أخذ توكن تحديث Refresh Token قد يستمر في العمل حتى تنتهي صلاحيته، لذلك ألغ الجلسات من مزود الهوية ومن كل تطبيق يحتفظ بجلساته، وألغ كلمات مرور التطبيقات App Passwords ومفاتيح API الخاصة بالموظف. وقد شرحنا الفرق بين الجلسة وتوكن الوصول وتوكن التحديث في [شرح OAuth وOpenID Connect](https://arabroot.io/articles/%D8%B4%D8%B1%D8%AD-oauth-%D9%88-openid-connect-%D9%84%D9%84%D9%85%D8%A8%D8%AA%D8%AF%D8%A6%D9%8A%D9%86/) و[الجلسات وJWT](https://arabroot.io/articles/%D8%A7%D9%84%D8%AC%D9%84%D8%B3%D8%A7%D8%AA-%D9%88%D9%85%D9%84%D9%81%D8%A7%D8%AA-%D8%AA%D8%B9%D8%B1%D9%8A%D9%81-%D8%A7%D9%84%D8%A7%D8%B1%D8%AA%D8%A8%D8%A7%D8%B7-%D9%88-jwt-%D9%84%D9%84%D9%85%D8%A8%D8%AA%D8%AF%D8%A6%D9%8A%D9%86/). 3. **احذف قسم العمل:** من نظام الإدارة، وهذا يحذف تطبيقات العمل وبياناتها وإعدادات VPN وشهاداتها، ويترك الجزء الشخصي كما هو. وإذا كان الوصول من المتصفح فقط فالخطوتان الأولى والثانية تكفيان لإغلاقه. 4. **غير الأسرار المشتركة:** كلمات المرور المشتركة التي كان يعرفها، ومفتاح شبكة Wi-Fi إذا كان مشتركاً، وحسابات الخدمة Service Accounts التي استخدمها، والسبب أن هذه الأسرار لا ترتبط بحسابه فلا يلغيها تعطيله. 5. **راجع ودقق:** آخر دخول له، وما نزله من ملفات في الأسابيع الأخيرة، وقواعد تحويل البريد Forwarding Rules التي قد يكون أضافها إلى عنوان خارجي، ثم راجع الصلاحيات التي كانت له حتى لا يبقى اسمه في مجموعة أو مشاركة. ولاحظ أن الخطوات نفسها تصلح عند فقد الجهاز أو سرقته، مع فرق واحد هو أنك لا تعطل حساب الموظف وإنما تغير كلمة مروره وتلغي جلساته على ذلك الجهاز وتحذف منه قسم العمل. ## أي خيار يناسب مؤسستك؟ لا يوجد خيار واحد يناسب الجميع، والقرار يعتمد على حساسية البيانات وعلى قدرة فريقك على تشغيل الأنظمة، والجدول التالي يعطيك نقطة بداية لأشهر أنواع المؤسسات: | نوع المؤسسة | الخيار المقترح | والسبب | | ---------------------------------- | ------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | شركة ناشئة صغيرة ببيانات غير حساسة | المتصفح للجميع عبر SSO مع MFA، وقسم العمل لمن يحتاج تطبيقات الجوال | التكلفة شبه معدومة، ومزود هوية واحد يعطيك نقطة إيقاف واحدة يوم المغادرة. | | مدرسة أو جامعة فيها طلاب | المتصفح للطلاب، وقسم العمل أو أجهزة المؤسسة للموظفين الذين يصلون إلى السجلات الأكاديمية والمالية | لا تستطيع ولا يجوز أن تدير أجهزة آلاف الطلاب، ولكن تستطيع أن تفصل ما يراه الطالب عما يراه الموظف. | | شركة تتعامل مع بيانات العملاء | قسم العمل للبريد والمحادثات، وVDI أو أجهزة الشركة لأنظمة بيانات العملاء، مع التحقق من حالة الجهاز | بيانات العملاء لا تنزل على جهاز شخصي، وأي تسرب منها له أثر على العملاء وعلى التزامات الشركة. | | جهة حكومية | أجهزة الجهة للأنظمة الداخلية، والمتصفح أو قسم العمل للبريد فقط إذا سمحت به ضوابط الجهات المختصة | الجهات الحكومية تلتزم بضوابط تنظيمية تحدد ما يجوز على الأجهزة الشخصية، وقد تحدثنا عن هذا السياق في [المصادر المفتوحة للجهات الحكومية](https://arabroot.io/articles/%D8%A7%D9%84%D9%85%D8%B5%D8%A7%D8%AF%D8%B1-%D8%A7%D9%84%D9%85%D9%81%D8%AA%D9%88%D8%AD%D8%A9-%D9%84%D9%84%D8%AC%D9%87%D8%A7%D8%AA-%D8%A7%D9%84%D8%AD%D9%83%D9%88%D9%85%D9%8A%D8%A9/). | وإذا كان البريد هو أول ما تريد أن تسمح به من الأجهزة الشخصية، وهو الحال في أغلب المؤسسات، فراجع أيضاً [دليل استضافة البريد للمؤسسات](https://arabroot.io/articles/%D8%AF%D9%84%D9%8A%D9%84-%D8%A7%D8%B3%D8%AA%D8%B6%D8%A7%D9%81%D8%A9-%D8%A7%D9%84%D8%A8%D8%B1%D9%8A%D8%AF-%D8%A7%D9%84%D8%A5%D9%84%D9%83%D8%AA%D8%B1%D9%88%D9%86%D9%8A-%D9%84%D9%84%D9%85%D8%A4%D8%B3%D8%B3%D8%A7%D8%AA/)، لأن طريقة دخول الكلاينت إلى سيرفر البريد (IMAP بكلمة مرور أم OAuth عبر IdP) تحدد هل تستطيع أن تلغي وصول الهاتف من مكان واحد أم لا. ## الأخطاء الشائعة - **سياسة على الورق دون أي ضبط تقني:** كتابة «يجب على الموظف أن يضع قفل شاشة» دون أي طريقة للتحقق تجعل السياسة أمنية وليست ضابطاً، فاربط كل شرط مهم بإعداد في نظام الإدارة أو في IdP. - **المسح الكامل لجهاز شخصي:** تسجيل الجهاز الشخصي بطريقة التسجيل الكامل التي تسمح بمسحه، ثم مسحه عند المغادرة، وهذا يحذف صور الموظف وبياناته، فاستخدم Work Profile أو User Enrollment الذي لا يسمح بذلك أصلاً. - **تعطيل الحساب ونسيان الجلسات:** الحساب معطل ولكن تطبيق البريد على الهاتف ما زال يستقبل الرسائل لأنه يدخل بكلمة مرور تطبيق أو توكن لم يلغ. - **جمع أكثر مما تحتاج:** تفعيل الموقع وقائمة التطبيقات وكل السجلات لأن النظام يسمح بها، وكل ما تجمعه بيانات شخصية تتحمل مسؤوليتها، فاجمع ما تحتاجه فقط واكتبه في السياسة. - **لا بديل لمن يرفض:** فرض تسجيل الجهاز الشخصي على كل الموظفين دون بديل، فيلجأ من يرفض إلى Shadow IT، فاعرض دائماً بديلاً مثل المتصفح أو جهاز من الشركة. - **إعداد VPN ينسخ يدوياً:** ملف إعداد VPN يرسل في البريد ويثبته الموظف بنفسه على جهازه الشخصي، ولا تستطيع أن تحذفه عند المغادرة، والحل أن يكون إعداداً مداراً داخل قسم العمل أو أن تلغي مفتاح ذلك الجهاز من السيرفر. - **نسيان الحاسوب الشخصي:** التركيز على الهواتف وترك الحواسيب الشخصية تزامن مجلدات الملفات كاملة، والحواسيب هي أكثر مكان تتراكم فيه الملفات. ## قائمة التحقق قبل أن تسمح بالأجهزة الشخصية - حددت البيانات المسموح بها على الأجهزة الشخصية والبيانات التي لا تخرج إلا إلى أجهزة الشركة أو VDI. - كل التطبيقات المسموح بها تمر عبر مزود هوية واحد مع MFA أو Passkey. - اخترت الطريقة لكل فئة: المتصفح، أو قسم العمل، أو VDI، أو أجهزة الشركة، ولمن يرفض التسجيل بديل واضح. - مدة الجلسة على الأجهزة غير المدارة قصيرة، وتطبيقات المزامنة ممنوعة لمن يعمل من المتصفح. - كتبت ما تراه الشركة وما لا تراه، وجربت ذلك على جهاز اختبار قبل أن تكتبه. - راجعت السياسة الإدارة القانونية والموارد البشرية، ووقع عليها الموظفون. - عندك خطوات مكتوبة للفقد والسرقة وللمغادرة، وجربتها على حساب اختبار. - تعرف أين تلغي جلسات المستخدم في كل تطبيق لا يعتمد على IdP في جلساته. ## الخلاصة وصلنا لنهاية الموضوع، وأهم ما فيه: - الأجهزة الشخصية موجودة في عملك سواءً سمحت بها أم لم تسمح، والسؤال الصحيح هو أين تبقى بيانات العمل ومن يتحكم في ذلك المكان. - المنع التام مكلف ويدفع الناس إلى Shadow IT، والترك التام يتركك دون أي طريقة لسحب بياناتك يوم يضيع هاتف أو يغادر موظف. - المتصفح عبر SSO هو أبسط بداية وأرخصها، وVDI عبر Guacamole عندما يجب ألا تنزل البيانات على الجهاز أبداً، وقسم العمل في Android أو User Enrollment في Apple عندما يحتاج الموظف تطبيقات الجوال، وMAM دون تسجيل الجهاز مربوط عملياً ببيئة Microsoft. - على الجهاز الشخصي تدير الشركة قسم العمل فقط، ولا ترى الصور والرسائل والتطبيقات الشخصية، والمسح المقبول هو المسح الانتقائي وحده. - السياسة المكتوبة هي ما يحمي الطرفين، ويجب أن تراجعها الإدارة القانونية والموارد البشرية لأن ما تجمعه من الجهاز بيانات شخصية. - يوم المغادرة: عطل الحساب، ثم ألغ الجلسات والتوكنات، ثم احذف قسم العمل، ثم غير الأسرار المشتركة، ثم راجع السجلات. [![](https://arabroot.io/content/images/2026/10/device-management-cover-cover.webp)دليلMDM: إدارة أجهزة الموظفين وتأمينها بأدوات مفتوحةكيف تدير الشركة حواسيب موظفيها وهواتفهم وتفرض عليها التشفير والتحديث، وما الذي تستطيع أن تراه فعلاً على كل جهاز.](https://arabroot.io/articles/%D8%A7%D8%AF%D8%A7%D8%B1%D8%A9-%D8%A7%D8%AC%D9%87%D8%B2%D8%A9-%D8%A7%D9%84%D9%85%D9%88%D8%B8%D9%81%D9%8A%D9%86-%D9%88%D8%AA%D8%A3%D9%85%D9%8A%D9%86%D9%87%D8%A7-mdm/)[![](https://arabroot.io/content/images/2026/10/iam-pam-cover-cover.webp)دليلإدارة الهوية والوصول IAM والوصول المميز PAMمن يملك صلاحية root على سيرفراتك ومنذ متى، وكيف تضبط حسابات المديرين بصلاحيات مؤقتة وجلسات مسجلة.](https://arabroot.io/articles/%D8%A7%D8%AF%D8%A7%D8%B1%D8%A9-%D8%A7%D9%84%D9%87%D9%88%D9%8A%D8%A9-%D9%88%D8%A7%D9%84%D9%88%D8%B5%D9%88%D9%84-iam-%D9%88%D8%A7%D9%84%D9%88%D8%B5%D9%88%D9%84-%D8%A7%D9%84%D9%85%D9%85%D9%8A%D8%B2-pam/)[![](https://arabroot.io/content/images/2026/10/passkeys-cover-cover.webp)دليلالدخول دون كلمة مرور: شرح Passkeys وWebAuthnلماذا لا تحميك رموز SMS وTOTP من التصيد الحديث، وكيف تحل Passkeys المشكلة بمفتاح خاص لا يغادر جهازك.](https://arabroot.io/articles/%D8%A7%D9%84%D8%AF%D8%AE%D9%88%D9%84-%D8%AF%D9%88%D9%86-%D9%83%D9%84%D9%85%D8%A9-%D9%85%D8%B1%D9%88%D8%B1-passkeys-%D9%88-fido2/)[![](https://arabroot.io/content/images/2026/10/vpn-basics-cover-cover.webp)دليلما هو VPN؟ الشبكة الخاصة الافتراضية من المشكلة إلى الأنواعلماذا تحتاج شبكة خاصة افتراضية VPN، وكيف تغلف حزمك وتشفرها داخل نفق، وأي نوع منها يناسب فريقك.](https://arabroot.io/articles/%D9%85%D8%A7-%D9%87%D9%88-vpn-%D8%B4%D8%B1%D8%AD-%D9%84%D9%84%D9%85%D8%A8%D8%AA%D8%AF%D8%A6%D9%8A%D9%86/)[![](https://arabroot.io/content/images/2026/10/sessions-cookies-jwt-cover-cover.webp)دليلكيف يتذكرك الموقع بعد تسجيل الدخول؟ الجلسات وJWTبروتوكول HTTP لا يتذكر أحداً، فكيف يبقى المستخدم مسجلاً بين الصفحات، ومتى تختار الجلسة على السيرفر ومتى تختار JWT.](https://arabroot.io/articles/%D8%A7%D9%84%D8%AC%D9%84%D8%B3%D8%A7%D8%AA-%D9%88%D9%85%D9%84%D9%81%D8%A7%D8%AA-%D8%AA%D8%B9%D8%B1%D9%8A%D9%81-%D8%A7%D9%84%D8%A7%D8%B1%D8%AA%D8%A8%D8%A7%D8%B7-%D9%88-jwt-%D9%84%D9%84%D9%85%D8%A8%D8%AA%D8%AF%D8%A6%D9%8A%D9%86/) ## سجل التحديثات - أكتوبر 2026: كتابة المقال.