תשובה קצרה: זו שאלה שעולה כמעט תמיד כשמדברים על תיקון 13, ורוב בעלי העסקים לא יודעים לענות עליה. אני רוצה להיות הוגן ולומר את זה מראש: לא פגשתי הרבה בעלי עסקים שמתעוררים בלילה בגלל השאלה איפה השרת יושב. זו שאלה שספקים מעלים יותר מלקוחות. עם זאת, יש בה גרעין מעשי אמיתי, והוא לא המיקום הגיאוגרפי אלא מי יכול לגשת, ואיך תדעו אם מישהו ניגש. זה מאמר על איך בודקים את זה לבד, בלי להאמין לאף אחד על המילה.
שלוש שאלות, בסדר יורד של חשיבות
אני מסדר אותן לפי כמה הן באמת משפיעות עליכם, ולא לפי כמה הן נשמעות רציניות.
1. מי בעסק שלכם יכול לראות מה. זו השאלה החשובה ביותר ופחות מדברים עליה, כי היא לא מאשימה אף ספק אלא אתכם. ברוב העסקים הקטנים כל מי שיש לו גישה, יש לו גישה להכל.
2. מי אצל הספק יכול לגשת, ובאילו תנאים. תמיכה טכנית לרוב יכולה. השאלה היא אם זה מתועד ואם זה דורש אישור.
3. איפה זה מאוחסן פיזית. הכי מדוברת, הכי פחות משפיעה על היומיום. עדיין שאלה לגיטימית, במיוחד אם אתם עובדים מול גופים שדורשים את זה.
איך בודקים את הראשונה, בעצמכם
פתחו את המערכת שאתם עובדים בה ונסו לענות על שלוש שאלות. אם אתם לא מצליחים, זו התשובה.
האם אפשר לתת למישהו גישה חלקית. למשל, עובד שרואה את הפניות שלו אבל לא את כל רשימת הלקוחות, או מתמחה שמעלה מסמכים אבל לא רואה סכומים.
צילום מסך מתוך הסיסטם
האם אפשר לראות מי עשה מה. כלומר, יומן פעילות. לא כדי לרגל אחרי אף אחד, אלא כדי שתדעו לענות אם תישאלו.
מה קורה כשעובד עוזב. אם התשובה היא "משנים את הסיסמה המשותפת", אין לכם ניהול גישה, יש לכם סיסמה.
הבדיקה הזאת לוקחת עשר דקות ומגלה יותר מכל שיחת מכירה.
ארבע שאלות לשאול כל ספק, בכתב
בכתב, לא בטלפון. תשובה בכתב היא תשובה שאפשר לחזור אליה.
מי מטעמכם יכול לגשת למידע שלי, ובאיזה מקרה.
האם יש תיעוד של גישה כזאת, ואוכל לראות אותו.
מה קורה למידע אם אעזוב: באיזה פורמט אקבל אותו, תוך כמה זמן, וכמה זמן אתם מחזיקים אותו אחרי.
מה קורה למידע אם אתם נסגרים. שאלה לא נעימה ולגיטימית לגמרי.
ובנוסף, בדיקה של שתי דקות שלא דורשת מהספק כלום: תפתחו את התקנון ואת מדיניות הפרטיות שלו. לא כדי לקרוא אותם מההתחלה לסוף, אלא כדי לראות שהם קיימים, שהם ספציפיים למוצר הזה ולא נוסח כללי, ושהם עונים בעצמם על ארבע השאלות למעלה. ספק שאין לו מסמכים כאלה, או שיש לו נוסח מתורגם שמדבר על חוקים שלא חלים כאן, כבר ענה לכם.
ספק שעונה על ארבע אלה בבירור נותן לכם משהו שווה יותר מהבטחה כללית על אבטחה. ספק שמתחמק אמר לכם את מה שרציתם לדעת.
הנקודה שאני חושב שהכי מוזנחת
לא הספק. הטלפון הפרטי.
ברוב העסקים הקטנים המידע הרגיש ביותר לא יושב בשום מערכת, הוא יושב בוואטסאפ של בעל העסק ושל העובדים. שם יש שמות, מספרים, כתובות, לפעמים צילומי תעודות ופרטי חשבון בנק. ואין שם הרשאות, אין תיעוד, ואין דרך למחוק כשעובד עוזב.
אם הייתי צריך לבחור פעולה אחת שמשפרת את המצב בפועל, זו לא הייתה החלפת ספק. זו הייתה להעביר את המידע הרגיש למקום שיש בו הרשאות, ולהפסיק להעביר צילומי מסמכים בהודעות.
שאלות נפוצות
זה תלוי במי הלקוחות שלכם ובאילו התחייבויות יש לכם כלפיהם. לרוב העסקים הקטנים זה לא הגורם המכריע, ושלוש השאלות על גישה משפיעות יותר. אם אתם עובדים מול גוף שדורש את זה במפורש, זו כמובן דרישה ולא שיקול.
אתם לא, ואף אחד לא יכול להוכיח לכם את זה במאמר. מה שאתם כן יכולים זה לבדוק דברים שנצפים: האם יש אימות דו שלבי, האם יש הרשאות אמיתיות, האם יש תיעוד גישה, ומה כתוב בהסכם על מה שקורה כשעוזבים. ארבעת אלה נבדקים בעשר דקות.
לרוב לא. מחשב פרטי מרוכז נראה בטוח כי הוא אצלכם, אבל אין בו גיבוי, אין הרשאות, אין תיעוד, והוא נעלם ביחד עם המחשב. הריכוז הוא היתרון האמיתי, לא המיקום.
