אבטחה ופרטיות במוצר SaaS: מה לתכנן מההתחלה?

מוצר SaaS צעיר צריך לתכנן מההתחלה שמונה יסודות של אבטחה ופרטיות: גישה מאובטחת, כולל אימות דו־שלבי לחשבונות רגישים; הרשאות מינימליות לכל משתמש ולכל עובד; הצפנה של מידע בתעבורה ובאחסון; גיבויים שנבדקים; תיעוד של מי ניגש למה; בדיקה של הספקים שהמוצר נשען עליהם; יכולת למחוק או לייצא מידע של לקוח לפי בקשה; ותוכנית תגובה לאירוע אבטחה. היסודות האלה אינם תחליף לבדיקה מקצועית, אבל הם קלים וזולים יותר לבנייה מההתחלה מאשר לתיקון אחרי אירוע.

המאמר מפרט את היסודות ברמה של החלטות עסקיות. הוא אינו ייעוץ משפטי או ייעוץ אבטחה. דרישות של חוקי הגנת פרטיות, תקנים ודרישות של לקוחות מסוימים כדאי לבחון עם גורמים מקצועיים.

למה זה עניין עסקי

ב־SaaS, הלקוחות מאחסנים אצלכם מידע: על הלקוחות שלהם, על העובדים, על הכספים. אירוע אבטחה פוגע לא רק במידע, אלא באמון, שהוא הבסיס של כל מודל מנוי. בנוסף, לקוחות עסקיים שואלים יותר ויותר שאלות על אבטחה לפני שהם קונים, ולעתים דורשים עמידה בתקנים.

על מקומה של האבטחה בעלויות של SaaS יש הרחבה במאמר הקמת SaaS.

שמונה יסודות

1. גישה מאובטחת

סיסמאות חזקות, ואימות דו־שלבי לפחות לחשבונות של מנהלים ושל הצוות הפנימי. גישה למערכות הייצור מוגבלת לאנשים שצריכים אותה.

2. הרשאות מינימליות

כל משתמש, וכל עובד, מקבל גישה רק למה שהוא צריך. גם בתוך המוצר: משתמש רגיל אצל לקוח לא צריך הרשאות של מנהל.

3. הצפנה

מידע מוצפן בזמן שהוא עובר ברשת ובזמן שהוא מאוחסן. רוב שירותי הענן מאפשרים את זה בקלות יחסית, אבל צריך לוודא שזה מוגדר.

4. גיבויים שנבדקים

גיבוי שלא נבדק הוא הנחה. כדאי לבדוק מדי פעם שאפשר לשחזר ממנו בפועל.

5. תיעוד גישה

רישום של מי ניגש למה ומתי, במיוחד לפעולות רגישות. התיעוד עוזר לאתר בעיות ולהבין אירועים.

6. בדיקת ספקים

המוצר נשען על שירותים חיצוניים: אחסון, דואר, תשלומים, כלי AI. כל אחד מהם רואה חלק מהמידע. כדאי לבדוק את התנאים שלהם, ולתעד איזה מידע עובר לכל ספק. על חיבורים בין מערכות יש הרחבה במאמר ממשקים לבעלי עסקים.

7. מחיקה וייצוא

לקוח שעוזב, או אדם שמבקש למחוק את המידע שלו, צריך לקבל מענה. כדאי לתכנן מראש איך מייצאים ומוחקים מידע של לקוח, במקום לגלות שזה קשה כשמגיעה בקשה.

8. תוכנית תגובה

מה עושים כשקורה אירוע: מי מחליט, איך עוצרים את הנזק, למי מודיעים ומתי. בחלק מהמקרים יש חובות דיווח לפי חוק. תוכנית קצרה שנכתבה מראש חוסכת זמן יקר ברגע הלחוץ.

דוגמה היפותטית: מערכת לניהול מרפאות

טעויות נפוצות

• "נטפל בזה כשנגדל". תיקון בדיעבד יקר יותר, ולעתים מאוחר מדי.
• הרשאות רחבות לנוחות. כל הרשאה מיותרת היא נקודת סיכון.
• גיבוי שלא נבדק. מגלים שהוא לא עובד ברגע שצריך אותו.
• להתעלם מספקים. המידע עובר לשירותים חיצוניים, והם חלק מהסיכון.
• בלי תוכנית. ברגע של אירוע, אין זמן לתכנן.

רשימת בדיקה

• אימות דו־שלבי לחשבונות רגישים ולצוות.
• הרשאות מינימליות, בתוך המוצר ובצוות.
• הצפנה בתעבורה ובאחסון.
• גיבויים, ובדיקת שחזור תקופתית.
• תיעוד גישה לפעולות רגישות.
• רשימת ספקים, ואיזה מידע עובר לכל אחד.
• תהליך לייצוא ולמחיקה של מידע לקוח.
• תוכנית תגובה כתובה לאירוע.
• הדרישות החוקיות והתקנים הרלוונטיים נבדקו עם גורם מקצועי.

שאלות נפוצות

האם מוצר קטן צריך את כל זה?

ברמה בסיסית, כן. רוב היסודות אינם יקרים, והם חלק מבניית מוצר שלקוחות יכולים לסמוך עליו.

מתי צריך תקן או הסמכה?

כשלקוחות דורשים, או כשהתחום מחייב. כדאי לברר מוקדם מה הלקוחות בשוק שלכם מצפים לו.

מה הקשר לכלי AI במוצר?

כלי AI שמעבדים מידע של לקוחות הם עוד ספק, עם תנאים משלו לגבי המידע. על הסיכונים יש הרחבה במאמר על סיכוני בינה מלאכותית לעסקים.

השורה התחתונה

אבטחה ופרטיות במוצר SaaS הן חלק מהמוצר, לא תוספת. שמונה יסודות, גישה, הרשאות, הצפנה, גיבויים, תיעוד, ספקים, מחיקה ותגובה, ניתנים לבנייה מההתחלה בעלות סבירה, ומגנים על האמון שכל מודל מנוי נשען עליו. ובכל מה שנוגע לדרישות חוקיות ולתקנים, הבדיקה המקצועית היא חלק מהעבודה.