אבטחה באוטומציה לבעל עסק: מפתחות, הרשאות, ומה קורה כשעובד עוזב

אוטומציה היא, מבחינה מעשית, משתמש נוסף בעסק - כזה שיש לו גישה לכמה מערכות בבת אחת, עובד בלי השגחה, ואיש לא זוכר מי יצר אותו. זה לא הופך אותה למסוכנת, אבל זה כן אומר שהיא צריכה את אותן החלטות שמקבלים על עובד: מה מותר לה לראות, מי אחראי עליה, ומה קורה כשמישהו עוזב.

למה חיבור אוטומציה מסוכן יותר ממשתמש רגיל

לא כי הוא פגיע יותר, אלא כי הוא שקט. משתמש אנושי שמאבד גישה מתלונן; חיבור אוטומציה שממשיך לפעול חודשיים אחרי שהיה צריך להיסגר לא מתלונן על כלום. בנוסף, הוא לרוב מחזיק הרשאות רחבות יותר ממה שנדרש לו, מפני שנוח לתת "הכול" כשמקימים.

התוצאה המצטברת: בעסק שרץ שנתיים עם כמה אוטומציות יש בדרך כלל שלושה-ארבעה חיבורים פעילים שאיש לא יודע להסביר, לפחות אחד מהם על חשבון של אדם שכבר לא בעסק.

ארבע ההחלטות

השורה הראשונה היא זו שחוסכת את הבעיה הגדולה. חיבור שנוצר בחשבון האישי של עובד נסגר ביום שהחשבון שלו נסגר - כלומר האוטומציה נשברת בדיוק ביום שכולם עסוקים במשהו אחר, ולעתים קרובות איש אינו מקשר בין השניים.

מפתחות וסיסמאות: מה לא לעשות

• לא לשלוח מפתח בוואטסאפ או במייל - הוא נשאר שם לתמיד.
• לא לשמור מפתחות בגיליון משותף - הוא משותף בדיוק למי שלא צריך.
• לא להשתמש באותו מפתח לכמה שימושים - אי אפשר לבטל אחד בלי לשבור את השאר.
• לא להשאיר מפתח של ספק שהסתיים - הוא עדיין עובד.
• לא לתת מפתח מנהל כשקריאה בלבד מספיקה.

שתי השורות הראשונות מסבירות את רוב המקרים. מפתח שנשלח בצ'אט אינו "מוסתר" - הוא יושב בהיסטוריה של שני אנשים ובגיבוי של שירות הודעות, והוא ימשיך לעבוד גם כשאיש כבר לא זוכר שהוא קיים.

הרשאה מינימלית בפועל

הכלל פשוט: החיבור מקבל בדיוק את מה שהתהליך עושה, ולא יותר. אוטומציה שקוראת הזמנות ושולחת הודעה אינה צריכה הרשאת מחיקה; אוטומציה שכותבת לגיליון אחד אינה צריכה גישה לכל הכונן.

בפועל זה דורש דקה נוספת בהקמה ושאלה אחת: מה התהליך באמת עושה. רוב הכלים מציגים את ההרשאות המבוקשות בשלב החיבור, וזה המקום לקרוא אותן - לא אחרי שנה, כשמנסים להבין למה לחיבור יש גישה לתיקייה שאין לו קשר אליה.

מה נסגר ביום שעובד עוזב

ביום העזיבה, נוסף על החשבונות הרגילים, צריך לעבור על שלושה דברים: חיבורי אוטומציה שנוצרו בחשבונו, מפתחות שהוא הנפיק, וגישות לכלים חיצוניים שהוא הקים. אלה כמעט אף פעם לא נמצאים ברשימת העזיבה הסטנדרטית.

הדרך למנוע את החיפוש הזה היא הרשימה: מסמך אחד עם כל חיבור, באיזה חשבון הוא, מה הוא עושה, ומי אחראי. הרשימה הזו נדרשת גם מסיבות אחרות לגמרי - היא מה שמאפשר לענות על שאלת "איפה הנתונים שלנו", והנושא מפורט במפת נתונים אישיים בעסק קטן.

מה עם נתוני לקוחות שעוברים בין מערכות?

אוטומציה מעבירה לרוב נתונים אמיתיים של לקוחות, ולכן שווה לשאול שלוש שאלות תפעוליות: אילו שדות באמת נדרשים לתהליך, לאן הם נשמרים בדרך, וכמה זמן הם נשארים שם. פעמים רבות מתברר שהחיבור מעביר שדות שאין בהם צורך - וזו הפחתת סיכון שלא עולה דבר.

נקודה שנייה: לוגים. כלי אוטומציה שומרים לעתים את תוכן ההודעות בהיסטוריית הריצות, כולל פרטים אישיים, ולעתים לתקופה ארוכה. שווה לדעת מה נשמר שם ולכמה זמן - זו החלטה שמגדירים פעם אחת בהגדרות הכלי.

זהו תיאור תפעולי בלבד ואינו ייעוץ משפטי. להיבטי החובות החלות על עסק בישראל, המקור הוא הרשות להגנת הפרטיות, וההקשר המעשי מתואר בתיקון 13 וגיליון הלקוחות.

מה לתעד על כל חיבור

הרשימה שמונעת את רוב הבעיות כאן היא קצרה בכוונה - שש עמודות, ולא מסמך אבטחה. מה שנכנס בה: שם החיבור, מה הוא עושה במשפט, באיזה חשבון הוא נוצר, אילו הרשאות יש לו, מתי נוצר, ומי אחראי עליו היום.

העמודה החמישית נראית מיותרת עד שמסתכלים על רשימה בת שנתיים. חיבור שנוצר לפני שנה וחצי לצורך שכבר לא קיים ממשיך להופיע ברשימה ולהיראות לגיטימי, ורק התאריך מסגיר שהוא שריד. זה גם מה שהופך את הסקירה השנתית למהירה: מתחילים מהישנים.

איפה הרשימה יושבת פחות חשוב מכך שהיא אחת. גיליון משותף לצוות מספיק לרוב העסקים, בתנאי שהוא אינו מכיל את המפתחות עצמם אלא רק את קיומם - זו ההפרדה שהופכת אותו למסמך ניהולי במקום לסיכון בפני עצמו.

בדיקה שנתית של עשרים דקות

פעם בשנה, לפתוח את רשימת החיבורים ולשאול על כל אחד: עדיין נחוץ? עדיין בחשבון הנכון? עדיין עם ההרשאות המינימליות? כל חיבור שאין לו תשובה ברורה - לסגור ולראות מה נשבר. זו הדרך המהירה ביותר לגלות מה באמת בשימוש.

בעסקים שמעולם לא עשו זאת, הבדיקה מוצאת בממוצע חיבור אחד או שניים שאפשר לסגור מיד - לרוב של כלי שהוחלף או ספק שסיים. כל חיבור כזה שנסגר הוא סיכון שירד בלי שום עלות.

מה לבדוק לפני שנותנים גישה לספק חיצוני

כשמישהו חיצוני בונה או מתחזק אוטומציה הוא צריך גישה, וזה לגיטימי. מה שכדאי להחליט מראש הוא שלושה דברים: שהגישה ניתנת בחשבון ייעודי ולא בשיתוף סיסמה אישית, שהיא מוגבלת למה שנדרש, ושיש תאריך שבו בודקים אם היא עדיין נחוצה.

הסעיף האחרון הוא זה שנשכח בכל פעם. ספק שסיים פרויקט לפני שנה לרוב עדיין מופיע ברשימת המשתמשים, לא מתוך כוונה אלא מפני שאיש לא הגדיר מי סוגר ומתי. סיום פרויקט הוא נקודת בדיקה טבעית, וכדאי שהוא ייכלל במסירה.

מקורות

• אוטומציה לעסקים קטנים בישראל
• רשות המסים - מידע לעסקים