אם לקוח ישאל איפה המידע שלו נשמר - אתם יודעים לענות?

ואז מתחילים לברר. הדואר נמצא ב-Microsoft 365. הקבצים נמצאים בחלקם ב-OneDrive ובחלקם על שרת. מערכת הנהלת החשבונות יושבת במקום אחר. האתר אצל חברת אחסון. יש גיבוי, אבל לא לגמרי ברור איפה הוא נשמר ומי יכול להגיע אליו.

הכל עובד. אבל פתאום מתברר שאין תשובה אחת מסודרת לשאלה מאוד בסיסית: איפה המידע של העסק נמצא ומי אחראי עליו?

שאלון האבטחה פשוט חושף את מה שכבר היה שם

אנחנו פוגשים את השאלות האלה יותר ויותר אצל עסקים שעובדים מול חברות גדולות, ארגונים וגופים שמנהלים מידע רגיש. לפני שהם מאפשרים לספק להתחבר למערכות שלהם או מעבירים אליו מידע, הם רוצים לדעת עם מי הם עובדים.

איפה המידע נשמר? מי יכול לגשת אליו? איך מנהלים הרשאות? האם יש אימות דו-שלבי? האם יש גיבוי, ומתי בפעם האחרונה בדקו שאפשר באמת לשחזר ממנו? מה קורה כשעובד עוזב? ומי מטפל באירוע אבטחה אם משהו משתבש?

תיקון 13 לחוק הגנת הפרטיות והרחבת סמכויות האכיפה חידדו עוד יותר את האחריות של ארגונים בתחום הפרטיות ואבטחת המידע, על בסיס חובות אבטחת מידע שקיימות בדין עוד קודם. אבל גם בלי שאלון ובלי רגולציה, אלה דברים שכל עסק שמסתמך על מערכות מחשוב צריך לדעת.

אז איפה המידע של העסק באמת נמצא?

ברוב העסקים התשובה היא: בכמה מקומות. וזה בסדר.

יכול להיות שהדואר והמסמכים נמצאים ב-Microsoft 365, מערכת ה-ERP או הנהלת החשבונות פועלת על שרת, ה-CRM מסופק כשירות ענן, האתר נמצא אצל ספק אחסון והגיבויים נשמרים באתר נוסף. אין שום חובה לרכז הכל במקום אחד.

כן צריך לדעת מה נמצא בכל מקום, איזה מידע עובר בין המערכות, מי מורשה להגיע אליו ומה קורה כאשר אחת המערכות מפסיקה לעבוד. הבעיה מתחילה כשהתמונה הזו לא קיימת אצל אף אחד.

ברוב המקרים הבעיה היא ניהול, לא מיקום

אפשר להחזיק שרת בישראל ועדיין לנהל אותו בצורה גרועה. אפשר להשתמש ב-Microsoft 365 ולבנות סביבת עבודה מאובטחת, מתועדת ומנוהלת היטב. המיקום של המידע הוא חלק מהתמונה, הוא לא מחליף ניהול.

סביבת מחשוב מסודרת צריכה לכלול הרשאות לפי הצורך, אימות דו-שלבי, עדכוני אבטחה, ניטור, גיבויים, בדיקות שחזור ותהליך ברור לסגירת הרשאות כאשר עובד או ספק מסיימים את עבודתם.

צריך גם לדעת למי יש הרשאות מנהל. זו נקודה שאנחנו נתקלים בה לא מעט: לעסק יש ספק תוכנה, חברת מחשוב, מנהל אתר, איש שיווק ועוד כמה גורמים שקיבלו לאורך השנים הרשאות למערכות שונות. חלקם כבר אינם עובדים עם העסק, ואף אחד לא תמיד זוכר שהם עדיין שם.

מתי ענן ציבורי הוא הפתרון הנכון?

לעסק שעיקר העבודה שלו היא דואר, Office, שיתוף מסמכים ופגישות, Microsoft 365 שמוגדר ומנוהל נכון יכול להיות פתרון מצוין. אין סיבה להקים שרת פרטי רק כדי לומר שיש שרת פרטי.

אפשר לנהל משתמשים והרשאות, להפעיל אימות דו-שלבי, לשלוט בגישה למידע, לתעד פעולות ולבנות סביבת עבודה טובה בלי להחזיק שרת משלכם. במקרים כאלה זה בדרך כלל גם פשוט יותר לתפעול.

ומתי שרת ענן פרטי בישראל כן מתאים?

יש מערכות שבהן שרת הוא עדיין הפתרון הנכון. מערכות ERP, תוכנות הנהלת חשבונות, בסיסי נתונים, תוכנות רפואיות, מערכות הנדסיות ותוכנות עסקיות ותיקות דורשות לעיתים סביבת Windows Server או Linux מלאה.

במקרים אחרים העסק רוצה סביבה ייעודית ומבודדת שבה ניתן לשלוט ברשת, במשאבי המחשוב, בגישה, בגיבוי ובמדיניות האבטחה. יש גם ארגונים שבהם קיימת דרישת לקוח, התחייבות חוזית או דרישה רגולטורית מסוימת בנוגע למיקום המידע.

במצבים כאלה שרת ענן פרטי בישראל יכול להיות פתרון נכון. אבל גם כאן, עצם העובדה שהשרת נמצא בישראל אינה מספיקה. צריך לנהל אותו.

בהרבה עסקים הפתרון הנכון נמצא באמצע

זו למעשה אחת הסביבות הנפוצות שאנחנו מנהלים. Microsoft 365 משמש לדואר, Office ושיתוף מסמכים. המערכת העסקית המרכזית פועלת על שרת פרטי. העובדים מתחברים אליה בצורה מאובטחת. השרת מגובה למערכת נפרדת. הרשת מנוטרת. והרשאות הגישה מנוהלות, במקום להישאר פתוחות במשך שנים.

אין כאן מלחמה בין "ענן" ל"שרת". אלה כלים שונים שצריכים לעבוד יחד.

ומה לגבי גיבוי?

גם כאן חשוב לדעת בדיוק מה משמעות המילה "מגובה". הודעה שהגיבוי הסתיים בהצלחה עדיין לא מוכיחה שנוכל להחזיר את העסק לעבודה ביום שנצטרך אותו.

צריך לדעת מה מגובה, באיזו תדירות, לכמה זמן נשמרים עותקים, איפה הם נמצאים ומי יכול למחוק אותם. ומדי פעם צריך גם לבצע שחזור בפועל, כי הזמן הלא נכון לגלות שהגיבוי לא תקין הוא אחרי שהמידע כבר אבד.

מי מחזיק את התמונה המלאה?

זו אחת המשימות החשובות של חברת מחשוב שמנהלת עסק: לא לחכות לתקלה כדי להתחיל לברר איפה הדברים נמצאים. צריך להכיר את סביבת המחשוב, לתעד אותה, לדעת אילו מערכות קיימות, מי הספקים, מי מחזיק הרשאות ואיפה נמצאים הגיבויים.

כאשר זה נעשה באופן שוטף, שאלון אבטחת מידע שמגיע מלקוח גדול הוא כבר לא פרויקט חקירה. רוב התשובות כבר קיימות.

אנחנו ב-SrvIT מנהלים סביבות מחשוב של עסקים מאז 1996, גם על שירותי ענן ציבוריים כמו Microsoft 365 וגם על תשתיות ענן פרטי בישראל, ובונים את הסביבה לפי המערכות והצרכים של כל עסק. הפעילות מתבצעת במסגרת מערך אבטחת מידע ופרטיות המבוסס על ISO 27001 ו-27799, בליווי ממונה אבטחת מידע וממונה הגנת פרטיות.

יודעים לענות על השאלה?

אם לא ברור לכם איפה כל המידע של העסק נמצא, מי מחזיק בהרשאות אליו, איפה הוא מגובה ומי אחראי לכל מערכת - לא צריך לחכות לשאלון אבטחת המידע הבא כדי לברר. אפשר להתחיל ממיפוי מסודר של סביבת המחשוב, ולבדוק מה כבר מנוהל נכון ומה דורש טיפול.

קבלו שיחת היכרות