איך יודעים שתוכנת ניהול לחברת הובלות מאובטחת?

למה לא מספיק לשאול האם זה מאובטח

כל ספק יענה שהמערכת שלו מאובטחת. השאלה שמבדילה היא איך, ובאיזה מקום בקוד או בתשתית זה נאכף. הגנה שמיושמת רק במסך נשברת כשפונים ישירות לכתובת, ולכן ההבדל החשוב הוא בין מנגנון שנאכף בשכבת הנתונים לבין הסתרה של כפתור.

שבע שאלות לספק

השאלות האלה קצרות, ויש להן תשובה שאפשר לבדוק ולא רק לשמוע:

• איך מופרדים הנתונים של חברות שונות: בשכבת הנתונים או רק במסך?
• האם יש אימות דו-שלבי, והאם אפשר לחייב אותו למנהלים?
• מה קורה לשאר המכשירים כשמחליפים סיסמה, ומה קורה אחרי ניסיונות כושלים?
• האם יש יומן שמראה מי שינה מה ומתי, ויומן נפרד לאירועי אבטחה?
• איך מוגש קובץ או מסמך: האם כל מי שמחזיק את הקישור יכול לפתוח אותו?
• איפה הגיבוי, האם הוא מוצפן, והאם נבדק בפועל שאפשר לשחזר ממנו?
• האם הקוד והספריות נסרקים באופן שוטף לחולשות מוכרות?

הסמכות והצהרות: מה הן אומרות ומה לא

הסמכת אבטחה חיצונית היא איתות אחד מכמה, והיא לא תחליף לשאלות על המנגנונים עצמם. ספק בלי הסמכה יכול להיות מאובטח היטב, וספק עם הסמכה עשוי לא להתאים לצורך שלכם. מה שחשוב הוא לבדוק מה בדיוק מיושם, באיזה היקף, ואיך אפשר לוודא את זה בעצמכם.

איפה הנתונים יושבים ומי מעבד אותם

בנוסף למנגנונים, שאלו איפה הנתונים שלכם נשמרים, אילו ספקי תשתית נוגעים בהם, ומה קורה כשמחברים שירות חיצוני כמו וואטסאפ או מערכת חשבוניות. חיבור כזה מעביר לספק החיצוני את המידע הדרוש לפעולה, וההחלטה להפעיל אותו צריכה להיות שלכם. מדיניות פרטיות טובה מפרטת את כל אלה בשמות, ולא במשפט כללי על שמירה על פרטיות.

מה אפשר לבדוק בעצמכם בהדגמה על הנתונים שלכם

ההדגמה היא ההזדמנות לבדוק את הטענות במקום להאמין להן:

• פתחו שני משתמשים בתפקידים שונים ובדקו מה כל אחד רואה ומה הוא יכול לעשות.
• העתיקו כתובת של מסמך ופתחו אותה בדפדפן בלי להתחבר.
• הפעילו אימות דו-שלבי ובדקו איך מתנהגת הכניסה.
• החליפו סיסמה ובדקו אם מכשיר אחר נותק.
• עברו על יומן הפעולות ובדקו אם הוא מראה את מה ששיניתם.

מה כדאי לזכור

אין מערכת חסינה לחלוטין. מה שמבדיל ספק רציני הוא לא הבטחה שזה לא יקרה, אלא ההגנות בשכבות שמצמצמות את הנזק, והיכולת שלו להסביר מה קרה, מתי, ולמי. בקשו לשמוע גם איך הספק מטפל באירוע, ולא רק איך הוא מונע אותו.