אבטחת מידע בעמותות: למה ארגונים חברתיים הפכו ליעד מועדף לתקיפות

כשמדברים על מתקפות סייבר, רוב האנשים חושבים על בנקים, חברות ענק או מוסדות ממשלתיים. אבל בשנים האחרונות מתברר שגם ארגונים קטנים, ובהם עמותות וארגונים חברתיים, נמצאים על הכוונת. עמותות מחזיקות לא פעם מידע רגיש במיוחד: פרטים אישיים של מוטבים, מידע רפואי או סוציאלי, פרטי תורמים ואמצעי תשלום. במקביל, רובן פועלות בתקציב מוגבל, בלי איש מחשוב במשרה מלאה ובלי צוות אבטחה. השילוב הזה הופך אותן ליעד נוח במיוחד.

למה דווקא עמותות

התוקפים אינם מחפשים תמיד את המטרה העשירה ביותר, אלא את המטרה הקלה ביותר. ארגון שאין לו גיבויים מסודרים, שהסיסמאות בו משותפות בין עובדים ומתנדבים, ושהמחשבים בו לא מתעדכנים באופן קבוע, הוא טרף קל. מתקפת כופר, שבה הקבצים מוצפנים ונדרש תשלום לשחרורם, עלולה לשתק את הפעילות של עמותה לימים ואף לשבועות.

מעבר לנזק הכספי, יש נזק תדמיתי. האמון של התורמים ושל הציבור הוא הבסיס לקיומה של עמותה. דליפת מידע על מוטבים או על תורמים עלולה לפגוע באמון הזה באופן קשה, ולהשפיע על גיוס הכספים לשנים קדימה. בנוסף, ייתכנו השלכות משפטיות הנוגעות להגנת הפרטיות ולחובת הדיווח על אירועי אבטחה.

הסיכונים הנפוצים

רוב האירועים בארגונים קטנים מתחילים בדברים פשוטים. הודעת דואר אלקטרוני מתחזה שמבקשת מהגזברית להעביר תשלום לספק בחשבון חדש. סיסמה חלשה שנגנבה בדליפה מאתר אחר ומשמשת גם בחשבון של הארגון. מחשב ישן שלא קיבל עדכוני אבטחה. מתנדב שעזב לפני שנה ועדיין יש לו גישה לתיבת הדואר המשותפת.

סיכון נוסף נוגע לשימוש בכלים חינמיים ובמכשירים פרטיים. עובדים ומתנדבים רבים משתמשים בטלפון האישי ובחשבונות הפרטיים שלהם לצורכי העבודה, ושומרים קבצים רגישים בשירותי אחסון שונים. כשאין מדיניות ברורה, קשה לדעת היכן נמצא המידע ומי יכול לגשת אליו.

הצעדים הבסיסיים שמשנים את התמונה

החדשות הטובות הן שרוב ההגנה אינה דורשת תקציב גדול. כמה צעדים בסיסיים מצמצמים מאוד את הסיכון, וכל עמותה יכולה ליישם אותם בתוך זמן קצר.

• להפעיל אימות דו שלבי בכל חשבונות הדואר, האחסון והבנק
• להשתמש במנהל סיסמאות ארגוני במקום סיסמאות משותפות בקובץ
• לבצע גיבוי קבוע של המידע החשוב, כולל עותק שאינו מחובר לרשת
• לעדכן מערכות הפעלה ותוכנות באופן אוטומטי
• להסיר גישות של עובדים ומתנדבים שסיימו את תפקידם
• לקבוע נוהל אימות טלפוני לכל שינוי בפרטי תשלום

כל אחד מהצעדים האלה פשוט יחסית, אבל יחד הם סוגרים את רוב הפרצות שדרכן מתבצעות התקיפות הנפוצות.

ניהול מידע אחראי

מעבר לטכנולוגיה, אבטחת מידע היא גם עניין של מדיניות. כדאי שכל עמותה תשאל את עצמה איזה מידע היא באמת צריכה לאסוף, כמה זמן היא שומרת אותו ומי צריך גישה אליו. עיקרון צמצום המידע קובע שמידע שלא נאסף לא יכול לדלוף. מחיקה מסודרת של מידע ישן שאינו נחוץ עוד מקטינה את הסיכון ואת האחריות.

חשוב גם להגדיר הרשאות לפי תפקיד. לא כל מתנדב צריך גישה לרשימת התורמים, ולא כל עובד צריך לראות את התיקים של המוטבים. מערכות ניהול לקוחות ותורמים מודרניות מאפשרות להגדיר הרשאות בקלות, וכדאי לנצל זאת. מומלץ להתייעץ עם יועץ מקצועי בתחום הפרטיות כדי לוודא שהארגון עומד בדרישות החוק החלות עליו.

הגורם האנושי

הטכנולוגיה הטובה ביותר לא תעזור אם האנשים בארגון לא מודעים לסיכונים. הדרכה קצרה ותקופתית, שבה מציגים דוגמאות להודעות מתחזות ומסבירים מה לעשות כשמשהו נראה חשוד, יכולה לעשות הבדל גדול. חשוב ליצור תרבות שבה עובד שלחץ בטעות על קישור חשוד ירגיש בנוח לדווח מיד, בלי חשש מנזיפה. דיווח מהיר מאפשר לצמצם נזק, בעוד הסתרה מגדילה אותו.

כדאי גם למנות אדם אחד בארגון, גם אם אינו איש מחשוב, שיהיה אחראי על הנושא: יעקוב אחר העדכונים, יוודא שהגיבויים מתבצעים, ויהיה הכתובת לשאלות. כשהאחריות מוגדרת, הדברים קורים.

מה עושים כשקורה אירוע

למרות כל ההכנות, אירוע אבטחה עלול לקרות. ארגון שיש לו תוכנית תגובה בסיסית יתמודד טוב יותר. התוכנית צריכה לכלול רשימה של אנשי קשר, כמו ספק המחשוב, הבנק והיועץ המשפטי, צעדים ראשונים כמו ניתוק המחשב הנגוע מהרשת והחלפת סיסמאות, ובדיקה האם נדרש דיווח לרשות הרלוונטית או לאנשים שהמידע שלהם נחשף. במקרים כאלה מומלץ מאוד להיעזר במומחה לאבטחת מידע.

משאבים ותמיכה

עמותות לא חייבות להתמודד לבד. קיימים גופים ציבוריים שמפרסמים הנחיות והמלצות לארגונים קטנים, ויש חברות טכנולוגיה שמציעות לעמותות רישיונות מוזלים או חינמיים לכלים מתקדמים. בנוסף, מתנדבים עם רקע בתחום המחשוב יכולים לסייע בהקמת התשתית הבסיסית, בתנאי שהגישה שלהם מוגדרת ומתועדת.

אתר האינטרנט וטופסי התרומה

נקודת תורפה נוספת שכדאי לא לשכוח היא אתר האינטרנט של העמותה. אתרים רבים נבנו לפני שנים על ידי מתנדב או ספק שכבר אינו בתמונה, והם מבוססים על מערכות ניהול תוכן ותוספים שלא עודכנו. אתר כזה עלול להיפרץ ולשמש להפצת תוכן זדוני, ולפגוע במוניטין של הארגון. מומלץ לוודא שיש גורם אחראי שמעדכן את האתר באופן קבוע, שהאתר מוגן בתעודת אבטחה, ושטופסי התרומה עוברים דרך ספק סליקה מוכר ולא נשמרים בשרת של האתר.

לסיכום, אבטחת מידע איננה מותרות של ארגונים גדולים. עבור עמותה, היא חלק מהאחריות כלפי המוטבים, התורמים והציבור. עם כמה צעדים פשוטים, מדיניות ברורה ותרבות של מודעות, גם ארגון קטן יכול להגן על עצמו ביעילות ולהמשיך להתמקד במה שהוא עושה הכי טוב: לעזור לאחרים.