מערכת שמזהה התחברות חריגה, מתעדת גישה לקובץ רגיש או מספקת תמונת מצב על שימוש בעמדות קצה יכולה להיות כלי אבטחה חיוני. אותה מערכת, כשהיא מופעלת בלי גבולות ברורים, עלולה להפוך למנגנון איסוף מידע אישי שחושף את הארגון לסיכון משפטי, תפעולי ומוניטיני. לכן השאלה האם ניטור עובדים עומד ברגולציה אינה מתחילה בבחירת מוצר, אלא בהגדרת המטרה, המידע הנאסף והשליטה בו.

בארגונים רבים ניטור עובדים נכנס בדלת האחורית: כלי ניהול תחנות קצה, פתרון גישה מרחוק, מערכת מניעת דלף מידע או פלטפורמת אבטחה אוספים לוגים כברירת מחדל. לעיתים הנתונים חיוניים לתחקור אירוע סייבר. לעיתים הם נשמרים חודשים ללא צורך, זמינים ליותר מדי בעלי תפקידים, או משמשים למדידת תפוקה שלא הוגדרה מראש. ההבדל בין שני המצבים הוא לא רק טכני.

האם ניטור עובדים עומד ברגולציה בישראל?

התשובה הקצרה היא: כן, בתנאים מסוימים. מעסיק רשאי להגן על נכסיו, על מערכות המידע שלו, על מידע מסחרי ועל מידע אישי של לקוחות ועובדים. הוא גם נדרש, במקרים רבים, ליישם בקרות אבטחה ולתעד אירועים. אבל זכות זו אינה מעניקה היתר לניטור בלתי מוגבל של עובדים.

בישראל, נקודת המוצא כוללת את הזכות לפרטיות, חוק הגנת הפרטיות, תקנות הגנת הפרטיות (אבטחת מידע), דיני העבודה והעקרונות שנקבעו בפסיקת בתי הדין לעבודה. בפועל, בוחנים האם הארגון פעל לתכלית לגיטימית, האם הניטור מידתי, האם העובדים קיבלו גילוי מתאים, האם נאסף רק המידע הנחוץ, והאם קיימת הגנה אפקטיבית על המידע שנאסף.

אין כלל אחד שמתאים לכל כלי. תיעוד התחברויות למערכת פיננסית, למשל, יהיה בדרך כלל קל יותר להצדקה מאשר הקלטה רציפה של מסך העובד. ניטור תעבורת רשת לצורך איתור נוזקה שונה מהקמת דירוג אישי לפי דקות פעילות, צילומי מסך והקלדות. גם עבודה היברידית משנה את התמונה: מחשב ארגוני בבית אינו מבטל את חובת המידתיות, ובוודאי כאשר יש אפשרות לשימוש אישי מוגבל.

קודם מגדירים צורך עסקי ואבטחתי

הטעות הנפוצה היא להתחיל מרשימת יכולות של מוצר: הקלטת מסך, רישום אתרים, צילום מסך, ניטור יישומים, מעקב אחר קבצים או איתור מיקום. הדרך הנכונה היא הפוכה. יש להגדיר אירוע או סיכון שהארגון מבקש לצמצם, ורק אחר כך לבחור את הבקרה המצומצמת שמטפלת בו.

לדוגמה, אם המטרה היא לאתר גישה לא מורשית למערכות קריטיות, לוגי הזדהות, כתובות רשת, אירועי העלאת הרשאות וגישה לקבצים רגישים עשויים להספיק. אין בהכרח צורך לצלם את מסך המשתמש או לתעד את תוכן כל פעילותו. אם המטרה היא תמיכה מרחוק, אפשר להפעיל גישה מאובטחת לפי צורך, עם תיעוד סשן, אישור משתמש והרשאות מוגבלות בזמן, במקום להשאיר גישה קבועה לכל תחנת קצה.

מסמך מטרות קצר, שמאושר על ידי אבטחת מידע, משאבי אנוש, ייעוץ משפטי ובעל המערכת, מונע הרבה בעיות בהמשך. הוא צריך לענות על ארבע שאלות: איזה סיכון מטפלים בו, איזה מידע הכרחי לצורך הטיפול, מי רשאי לצפות בו, ומתי מוחקים אותו.

שקיפות אינה סעיף קטן במדיניות

עובד אינו צריך לגלות בדיעבד שהארגון אוסף מידע על פעולתו. מדיניות שימוש במערכות מידע צריכה להסביר בשפה ברורה אילו מערכות מנוטרות, איזה מידע עשוי להיאסף, לאילו מטרות, מי עשוי לגשת אליו, כמה זמן הוא נשמר ומהן מגבלות השימוש בציוד ארגוני.

לא מספיק להחתים עובד פעם אחת ביום הקליטה על מסמך כללי. כאשר מכניסים כלי חדש, מרחיבים יכולת ניטור, מחליפים ספק או משנים מדיניות שמירת מידע, יש לבצע עדכון מסודר. לעובדים ולמנהלים צריך להיות ברור במיוחד ההבדל בין ניטור אבטחתי לבין הערכת ביצועים. שימוש בנתוני אבטחה לצורך משמעתי או ניהולי, בלי שהדבר הוגדר מראש ובלא בדיקה פרטנית, יוצר סיכון גבוה.

שקיפות גם משפרת את איכות הבקרה. כשעובדים מבינים שהארגון מנטר גישות חריגות כדי להגן על נתוני לקוחות ועל סביבת העבודה, ולא כדי לעקוב אחר כל דקה, ההתנגדות נמוכה יותר והדיווחים על חריגות משתפרים.

מידתיות: לאסוף פחות, להגן יותר

מידתיות היא העיקרון המעשי החשוב ביותר. מערכת יכולה technically לאסוף הכול, אך זו אינה סיבה להפעיל את כל המודולים. ארגון צריך להבחין בין טלמטריה חיונית לתפעול ואבטחה לבין מידע אישי עודף.

ניטור מאוזן בנוי בדרך כלל משכבות. בשכבה הראשונה אוספים נתונים מערכתיים כגון אירועי כניסה, שינויי הרשאות, התראות אנטי-וירוס, התקנת תוכנה, שימוש בהתקני אחסון ניידים וחריגות גישה. בשכבה השנייה מבצעים בדיקה ממוקדת לאחר התראה או חשד מבוסס. ניטור פולשני יותר, כמו צפייה במסך או איסוף תוכן תקשורת, צריך להיות חריג, מתועד ומוגבל בזמן ובהרשאה.

יש לשים לב במיוחד למידע רגיש או אישי שאינו קשור לעבודה: הודעות פרטיות, מידע רפואי, נתונים על התאגדות עובדים, תוכן מחשב אישי במסגרת עבודה מרחוק או מיקום רציף. ככל שהמידע פולשני יותר, כך נדרשת הצדקה חזקה יותר ובקרה הדוקה יותר.

בקרות טכניות שהופכות מדיניות למציאות

מדיניות ללא הגדרות מערכת היא מסמך שאינו נאכף. מנהל IT צריך לוודא שהפלטפורמה שנבחרה יודעת לממש את עקרונות הפרטיות והאבטחה בפועל: הרשאות לפי תפקיד, אימות רב-גורמי, תיעוד גישה ללוגים, הפרדת סביבות, הצפנה, הגבלת ייצוא, מחיקה אוטומטית ודוחות ביקורת.

במקום חשבון מנהל משותף, יש להקצות חשבונות אישיים וליישם הרשאות מינימליות. צוות התמיכה, למשל, אינו חייב לקבל גישה ללוגים מלאים של אבטחת מידע. מנהל קו אינו צריך גישה לפלטפורמת ניטור אם אין לו תפקיד מוגדר בתהליך. בכל גישה חריגה למידע על עובד, רצוי שיהיה תיעוד שמסביר מי נכנס, לאיזה נתון ולשם מה.

תקופת השמירה היא נקודה שבה ארגונים נכשלים לעיתים קרובות. לוגי אבטחה נשמרים שנים מתוך הרגל, למרות שהערך המבצעי שלהם נמוך אחרי תקופה מוגדרת. יש לקבוע זמני שמירה לפי סוג המידע, דרישות תחקור, דרישות רגולטוריות והיכולת הטכנית לאתר ולמחוק נתונים. גיבויים, ארכיונים ויצואי CSV נכללים גם הם במדיניות - לא רק המאגר הראשי.

ספק, רישוי ומיקום המידע

כאשר ניטור מתבצע באמצעות שירות ענן, יש לבחון לא רק את רשימת הפיצ'רים אלא גם את שרשרת עיבוד המידע. מי הספק, מי הם קבלני המשנה, באילו אזורים גאוגרפיים נשמרים הנתונים, האם קיימת הפרדה בין לקוחות, מהן יכולות המחיקה, ואילו לוגי ביקורת זמינים לארגון.

גם מודל הרישוי משפיע על התאימות. רישוי שאינו תואם את מספר המשתמשים, העמדות או הטכנאים עלול לדחוף צוותים להשתמש בחשבונות משותפים, לאבד יכולת ביקורת או להשאיר תחנות מחוץ לניהול. זו אינה רק בעיית רכש. זו נקודת חולשה באבטחה, בניהול הנכסים וביכולת להוכיח שליטה בתהליך.

בפרויקטים שבהם מעורבים כלי גישה מרחוק, ניהול עמדות קצה וניטור אבטחתי, כדאי לבצע התאמה משותפת של הארכיטקטורה והרישוי. ShalevSoft מסייעת לארגונים לבצע התאמה כזו מול פתרונות ארגוניים, כולל בחינת הרשאות, היקף פריסה ותפעול שוטף בעברית.

תהליך עבודה מומלץ לפני הפעלה

לפני שמפעילים יכולת ניטור חדשה, כדאי לנהל בדיקה ממוקדת ולא להסתפק בהגדרות ברירת מחדל:

1. מגדירים תכלית עסקית או אבטחתית מדויקת ובעלים לתהליך.
2. ממפים את קטגוריות המידע שהכלי אוסף, כולל נתונים שנאספים אוטומטית.
3. בודקים חלופה פחות פולשנית להשגת אותה תוצאה.
4. קובעים הרשאות גישה, תקופת שמירה, מנגנון מחיקה ותיעוד ביקורת.
5. מעדכנים את מדיניות העובדים ומנהלים תקשורת ברורה לפני ההפעלה.
6. מבצעים סקירה תקופתית: האם היכולת עדיין נחוצה, מי משתמש בה והאם חלה זליגה בהיקף האיסוף.

במערכות בעלות פוטנציאל השפעה משמעותי על פרטיות העובדים, נכון לערב ייעוץ משפטי כבר בשלב התכנון. צוות ה-IT מבין את הנתונים, הממשקים והלוגים; הגורם המשפטי בוחן את המסגרת; משאבי אנוש מביאים את ההקשר התעסוקתי. בלי שלושת הגורמים, קל לפספס הנחה קריטית.

לא כל אירוע מצדיק חשיפה מלאה

בעת חשד לאירוע אבטחה יש נטייה לפתוח גישה רחבה לכל המידע, כי הזמן קצר והלחץ גבוה. אבל גם בתחקור יש לפעול לפי צורך. מתחילים בנתונים הטכניים הרלוונטיים, מגבילים את צוות החקירה, מתעדים החלטות ומרחיבים את הבדיקה רק אם יש אינדיקציה ממשית.

גישה כזו מגינה על העובדים ועל הארגון באותה מידה. היא מצמצמת חשיפה של מידע לא רלוונטי, שומרת על אמינות הליך הבדיקה ומאפשרת להסביר בביקורת פנימית או חיצונית מדוע נאספו ונבדקו נתונים מסוימים.

ניטור עובדים הוא לא שאלה של מותר או אסור במנותק מהקשר. הוא מבחן ניהולי: האם הארגון יודע להסביר למה הוא אוסף מידע, להוכיח שהוא אוסף רק את הדרוש, ולהראות מי שולט בנתונים לאורך חייהם. אם התשובה לשלוש השאלות האלה אינה ברורה, הבעיה אינה רק רגולטורית - היא גם תפעולית ואבטחתית.