סיכונים טכנולוגיים עסק: מדריך מקיף לזיהוי, ניהול ומניעת תקלות

שלושה ימים ללא מערכת הזמנות עלו לרשת מסעדות שליווינו כ-11% מהמחזור החודשי, והנזק הכספי המשמעותי לא נבע מאותם שלושה ימים אלא מהחודשיים שאחריהם, כשלקוחות קבועים שהתקשרו ולא קיבלו מענה עברו למתחרים ולא חזרו. מדובר באחד הפערים הבולטים שאנחנו פוגשים בשדה, ובכל הנוגע לסיכונים טכנולוגיים בעסק בינוני בישראל מנהל אותם בדרך כלל ללא מספרים, ללא סדר עדיפויות וללא בעל תפקיד מוגדר. אתה משלם על אנטי וירוס, אתה משלם על שרת, אתה משלם על מערכת ניהול, אבל אף אחד מהתשלומים הללו אינו נגזרת של חשבון כלכלי שנעשה מראש. הגם שהוא מוצג כתחום טכני, ניהול הסיכונים הזה שייך לשולחן ההנהלה, ולכל היותר נעזר במחלקת המחשוב לביצוע. המאמר הזה מסביר איך לתרגם את הנושא לשפה כלכלית, אילו מספרים חשוב לדעת, ואיך בונים תוכנית עבודה מעשית.

זמן קריאה: 8 דקות

מדוע ההחלטה על אבטחת מידע נחתמת אצל בעל העסק ולא אצל איש המחשוב

איש המחשוב יודע להגיד לך מה אפשר לעשות מבחינה טכנולוגית. הוא אינו יודע, ולא אמור לדעת, מה שווה לעסק שלך שעה של השבתה בשיא העומס, מה עלות אובדן לקוח קיים לעומת גיוס לקוח חדש, וכמה מרווח תפעולי אתה מוכן להקצות להפחתת הסתברות לאירוע. אלו שאלות כלכליות במובהק, ועל כן ההחלטה על היקף ההשקעה בגיבוי, בשרידות ובאבטחת מידע היא החלטה ניהולית שנחתמת אצלך.

לא פעם אנו נתקלים בעסקים שמשקיעים עשרות אלפי שקלים בהגנה על מערכת שנייה בחשיבותה, ובמקביל מותירים את המערכת שמייצרת 70% מההכנסות ללא כל מנגנון התאוששות. הפער הזה אינו נובע מרשלנות אלא מהיעדר תרגום, שכן הדיון מתנהל בשפה של תשתיות ולא בשפה של תזרים. כחלק מתהליך מקיף של ייעוץ עסקי אנחנו בוחנים את המוכנות הארגונית לאירועי קיצון דיגיטליים באותם כלים שבהם אנחנו בוחנים תמחור, שכר עבודה ומלאי, ובאשר לסדר העדיפויות התוצאה כמעט תמיד שונה ממה שהוצג בהתחלה.

ראוי לציין כי גם הרגולטור אינו מתייחס לנושא כעניין טכני. ההנחיות של הרשות להגנת הפרטיות בדבר אירועי כופרה והחובות הנגזרות מהם מטילות אחריות על מנהלי הארגון ועל בעלי המאגר, לא על ספק שירותי המחשוב.

שלושה ימים ללא קופה, ומה שקורה אחר כך לתזרים

כשעסק מחשב נזק של השבתה, הוא מחשב בדרך כלל את המחזור שלא נכנס באותם ימים. זהו חישוב חסר, ובפועל הוא מציג בין שליש למחצית מהנזק האמיתי. ההוצאות הקבועות ממשיכות לרוץ בזמן ההשבתה, שכר העובדים משולם גם כשאין מה לעשות, ספקים ממשיכים לספק סחורה שנרקבת או תופסת מקום, ובמקרים רבים נדרשת הוצאה חד פעמית של אלפי שקלים לשעות עבודה דחופות של גורם חיצוני שנקרא בבהילות.

מעל לכל אלו מרחף הנזק שאינו מופיע בשום חשבונית, והוא אובדן האמון. לקוח עסקי שגילה שאתה לא מצליח להפיק לו חשבונית במשך שבוע יתחיל לשאול את עצמו שאלות על היציבות שלך, ולקוח פרטי שלא קיבל מענה פשוט יעבור למי שכן ענה. אכן, בחלק מהמקרים ההשבתה גם מייצרת חוב מיידי, מפני שהתחייבויות מול ספקים ובנקים אינן מוקפאות בגלל תקלה במערכת. כל אלו ועוד יובילו לכך שאירוע של שלושה ימים יורגש בתזרים במשך רבעון שלם, ולכן החישוב הנכון של גובה ההשקעה במניעה נגזר מהנזק המלא ולא מהנזק המיידי.

כמה עולה יום אחד ללא מערכות בארבעה ענפים שונים

ההשוואה שלהלן מבוססת על מקרים שליווינו בענפים שונים, והיא ממחישה עד כמה אותה תקלה עצמה מייצרת נזק שונה לחלוטין בהתאם למודל העסקי. בין אם מדובר בעסק שכל הכנסתו נוצרת בנקודת המכירה ובין אם מדובר בעסק שמוכר פרויקטים ארוכים, המשקל של יום השבתה בודד שונה בסדר גודל.

הטבלה הזו היא נקודת הפתיחה של כל דיון רציני בנושא, שכן היא הופכת שאלה מופשטת בדבר רמת ההגנה הנדרשת לשאלה מדידה של כמה שווה לך לקצר את זמן ההשבתה בשעה אחת.

העסק הקטן אינו מתחת לרדאר, ודווקא בכך טמונה הסכנה

ההנחה השגויה שאנחנו שומעים בתדירות הגבוהה ביותר היא שמתקפות סייבר מכוונות לבנקים, לקופות חולים ולחברות ביטוח. בפועל, רוב מתקפות הכופרה אינן מכוונות לארגון מסוים אלא סורקות אוטומטית טווחי כתובות ומחפשות פרצה פתוחה, ומי שנמצא ראשון הוא מי שלא עדכן גרסה, מי שהשאיר חיבור מרחוק ללא אימות דו שלבי ומי שמשתמש באותה סיסמה בשלוש מערכות. עסק קטן ובינוני עונה על שלושת התנאים לעיתים מזומנות, וסכום הכופר שנדרש ממנו נקבע לפי יכולת התשלום המשוערת שלו.

דווקא מסיבה זו הפגיעה בעסק קטן חמורה יותר. לתאגיד יש צוות שיודע להפעיל אתר חלופי, יש לו ייעוץ משפטי פנימי ויש לו כיס עמוק שסופג רבעון חלש. לעסק עם 12 עובדים אין דבר מכל אלו, וההצפנה של תיקיית הנהלת החשבונות ושל בסיס נתוני הלקוחות עוצרת את הפעילות באופן מוחלט.

מה קורה כשהמידע דולף ולא רק מוצפן

תרחיש ההצפנה הוא רק חצי מהתמונה, ובשנים האחרונות התוקפים מעתיקים את המידע לפני שהם מצפינים אותו. הגם שהצלחת לשחזר את המערכות מגיבוי ולחזור לפעילות, נותרת בידיהם רשימת לקוחות עם פרטי התקשרות, נתוני תשלום ולעיתים מסמכים רגישים. במקרה כזה נוצרת חשיפה משפטית מול לקוחותיך, חובות דיווח מול הרשויות ופגיעה מוחשית במוניטין, ואת אלו לא פותר אף גיבוי.

לא כל השבתה היא מתקפה, וההבחנה הזו שווה כסף

בעלי עסקים רבים מדמיינים תוקף אלמוני, ובזמן שהם מדמיינים אותו נופלת אצלם המערכת מסיבה פרוזאית לחלוטין. תקלות טכנולוגיות שנובעות מכשל חומרה, מעדכון תוכנה שנכשל, מדיסק שהתמלא או מטעות אנוש של עובד שמחק תיקייה שלמה, מהוות בניסיוננו את הרוב המכריע של אירועי ההשבתה בעסקים קטנים ובינוניים. ההבחנה בין אירוע זדוני לכשל תפעולי אינה סמנטית, מפני שהיא קובעת גם את דרך התגובה וגם את חובות הדיווח, וגם רגולטורים בישראל מתייחסים לכשל טכנולוגי ולאירוע סייבר כשני סוגי אירועים נפרדים המחייבים טיפול שונה.

בין אם המערכת נפלה בגלל האקר ובין אם היא נפלה בגלל ספק שקיבל הודעת סירוב על אמצעי תשלום שפג תוקפו, הלקוח שלך רואה בדיוק אותו דבר. הוא רואה עסק שלא עובד. אנחנו ליווינו חברת שירותים שאיבדה גישה לתיבות הדואר של כל העובדים במשך יומיים, לא בגלל תקיפה אלא מפני שכרטיס האשראי שרשום במערכת הרישוי היה של מנהל שסיים את עבודתו בחברה חצי שנה קודם לכן.

התלות בספק אחד שאף אחד לא כתב במסמכי העסק

המעבר לענן העביר חלק מהאחריות לספק, אך העביר גם חלק מהשליטה. הטבלה שלהלן ממפה את חלוקת האחריות שרוב בעלי העסקים מניחים בטעות שהיא מלאה.

גיבוי שלא נבדק אינו גיבוי, וכך בודקים אותו

כפי שיודע כל בעל עסק, הגיבוי הוא ההשקעה שנראית מיותרת עד לרגע שבו היא הדבר היחיד שמחזיק את העסק. הכלל המקצועי המקובל דורש שלושה עותקים של המידע, על שני סוגי מדיה שונים, כשעותק אחד נשמר מחוץ לאתר או בענן ומנותק מהרשת השוטפת. הניתוק הזה קריטי, מפני שכופרה מודרנית מחפשת קודם כל את הגיבוי המקומי המחובר ומצפינה גם אותו.

הבעיה החמורה יותר אינה היעדר גיבוי אלא גיבוי שאיש לא ניסה לשחזר ממנו. בחצי מהמקרים שבהם נדרשנו לסייע בשעת אירוע, התברר שהגיבוי רץ באופן חלקי במשך חודשים, שהוא דילג על תיקייה מרכזית שהוסיפו אחרי ההתקנה, או שהשחזור עצמו אורך 40 שעות ולא ארבע שעות כפי שהניחו. תרגיל שחזור תקופתי, שבו בוחרים קובץ ובוחרים מערכת ומשחזרים אותם בסביבה מבודדת עד לאימות תקינות, הוא הפעולה בעלת התשואה הגבוהה ביותר בכל נושא ניהול הסיכונים הזה. ההנחיות המקצועיות בדבר שילוב עקרונות הגנת סייבר בתהליכי גיבוי ושחזור מדגישות בדיוק את הנקודה הזו, ובכל זאת מדובר בסעיף שנשמט כמעט תמיד.

שני מספרים שמתרגמים טכנולוגיה לכספים

שני מדדים מקצועיים מאפשרים לך לנהל את הנושא בשפה שלך. הראשון הוא זמן ההתאוששות היעד, כלומר תוך כמה זמן המערכת חייבת לחזור לפעולה, והשני הוא נקודת השחזור היעד, כלומר כמה נתונים אתה מוכן לאבד במקרה הרע. שני המספרים הללו נקבעים על ידי ההנהלה ולא על ידי הטכנולוגיה, והם אלו שקובעים כמה תשלם על הפתרון.

ברגע שהמספרים האלו קיימים על הנייר, הדיון עם ספק המחשוב משתנה מדיון על מוצרים לדיון על עמידה בדרישה מוגדרת.

נוהל תגובה, מיפוי נכסים וחלוקת אחריות בשעת משבר

ברוב העסקים שאנחנו נכנסים אליהם אין מסמך אחד שמסביר מה עושים בשעה הראשונה של אירוע. התוצאה צפויה, ובשעה הקריטית שלושה אנשים מתקשרים לספק במקביל, אחד מנסה להפעיל מחדש שרת ובכך משבש ראיות, ואף אחד לא מודיע ללקוחות הגדולים. נוהל תגובה טוב אינו מסמך של 40 עמודים, אלא דף אחד שמפרט מי מכריז על אירוע, מי מוסמך לנתק מערכות מהרשת, מי מדבר עם הלקוחות ומי מתעד את הפעולות לצורך דיווח מאוחר.

לפני הנוהל נדרש מיפוי נכסים, כלומר רשימה של המערכות והמידע שמחזיקים את ההכנסות, בדירוג לפי סדר החזרה לפעולה. מיפוי כזה חושף כמעט תמיד שני דברים מפתיעים, מערכת אחת שאיש אינו יודע מי אחראי עליה, ותלות של שלוש מערכות באותו רכיב יחיד. תקן ההמשכיות העסקית, ת״י 22301 לניהול המשכיות עסקית, ממסגר את הנושא כתהליך ניהולי מתמשך ולא כפרויקט חד פעמי, וזו בדיוק הגישה שאנחנו מיישמים גם בעסקים שאינם נדרשים להסמכה. להעמקה בהיבטים הניהוליים הנוספים של ניהול סיכונים ובקרה תוכל לעיין במאמרים מקצועיים שאנחנו מפרסמים באתר.

העובד שלוחץ על הקישור, וההדרכה שעולה פחות מיום השבתה אחד

הטכנולוגיה חסמה בשנים האחרונות חלק גדול מהאיומים, ולכן הדרך הנוחה ביותר להיכנס לעסק שלך היא דרך אדם. הודעה שנראית כמו פנייה מספק מוכר, בקשה לעדכון פרטי חשבון בנק לקראת העברה, קובץ שמוצג כהזמנת רכש, כל אלו מגיעים בעברית תקנית ומכוונים לעובד שמנסה לעשות את עבודתו. אין כאן כשל אינטליגנציה אלא כשל נוהל.

הגם שהדרכת עובדים נשמעת כהוצאה שאפשר לדחות, מדובר בהשקעה של שעתיים בשנה לעובד שמורידה משמעותית את הסיכון. בין אם מדובר במשרד עם ארבעה עובדים ובין אם מדובר בחברה עם שמונים, הכללים הבסיסיים זהים, ובכללם אימות טלפוני של כל שינוי בפרטי תשלום מול איש קשר מוכר, איסור מוחלט על שימוש בסיסמה עסקית באתרים אישיים, ואימות דו שלבי בכל מערכת שניתן להפעיל בה אימות כזה. נהלים אלו אינם עולים כסף כמעט, והם מונעים את התרחיש הנפוץ שבו עסק מעביר תשלום של מאות אלפי שקלים לחשבון של גורם עלום.

סקר סיכונים תקופתי כחלק מהתוכנית העסקית, לא לצידה

סיכונים טכנולוגיים שעסק נדרש להתמודד איתם אינם גזירת גורל, והם ניתנים לניהול באותה שיטתיות שבה מנהלים מלאי, גיוס עובדים או מדיניות אשראי ללקוחות. הפעולה המעשית הראשונה היא סקר סיכונים תקופתי, אחת לשנה, שבוחן שלושה דברים בלבד. מה המערכות שמחזיקות את ההכנסות, מה קורה לכל אחת מהן ביום שהיא נופלת, ומה עלות ההגנה לעומת הנזק הצפוי. תוצאות הסקר צריכות להיכנס לתקציב השנתי ולתוכנית העבודה, ולא להישאר במסמך נפרד שאיש אינו קורא.

בלוי יועצים אנחנו בוחנים את הנושא כחלק מהתמונה הכלכלית והתפעולית המלאה של העסק, מתוך ניסיון של מעל 20 שנה בעולם העסקי, מתוכן עשר שנות ייעוץ עסקי, ולמעלה מ-1000 עסקים שליווינו בכל תחומי הפעילות בישראל. בין אם מדובר במסעדה, בחברת טכנולוגיה, בשרשרת חנויות או במשרד מקצועי, הליווי נעשה באופן אישי על ידי ירון לוי ולא על ידי עובדים זוטרים, ומטרתו לבנות תוכנית עבודה מאוזנת שמאפשרת צמיחה יציבה במקום התאוששות מאירועים שהיה אפשר למנוע.

ניהול סיכונים טכנולוגיים אינו פרויקט טכני שאפשר להשאיר למחלקת המחשוב, אלא החלטה כלכלית שנוגעת ישירות לתזרים, ללקוחות ולהמשכיות העסק. סקר סיכונים תקופתי, נוהל תגובה ברור, גיבוי שנבדק בפועל ומדדים ניהוליים ברורים הופכים את הנושא משאלה מופשטת לתוכנית עבודה מדידה. מי שרוצה לבחון את המוכנות הטכנולוגית של העסק שלו כחלק מהתמונה הכלכלית המלאה מוזמן לפנות לקביעת פגישת ייעוץ ללא עלות בטלפון 03-5377088.

אודות הכותב

ירון לוי הינו כלכלן מומחה, יועץ עסקי והבעלים של חברת "לוי ייעוץ כלכלי ועסקי", בעל תואר ראשון בכלכלה בהצטיינות ותואר שני במנהל עסקים מאוניברסיטת ת"א. כותב מאמרים בנושאים של ייעוץ עסקי לגופי תקשורת מובילים ובעל ניסיון עשיר בעולם העסקי. ירון ליווה בהצלחה רבה מעל 1000 עסקים בישראל.