חברות פינטק: למה אבטחת המידע מתחילה כבר בבחירת הבניין

רוב מנהלי הפינטק משקיעים הון בחומות אש, בהצפנה ובצוותי SOC, ואז חותמים על חוזה שכירות בבניין שבו כל שליח פיצה יכול להגיע לקומת השרתים בלי שאף אחד ירים גבה. זו לא הגזמה. מי שעבר תהליך הסמכה ל-ISO 27001 או עמד מול שאלון אבטחה של בנק אירופי יודע שהשאלות הראשונות לא עוסקות בקוד, אלא בדלתות. מי נכנס, מתי, איך מתועדת הכניסה, ומה קורה בחדר התקשורת בקומה. קווין מיטניק, ההאקר המפורסם שהפך ליועץ אבטחה, נהג להזכיר שהדרך הקלה ביותר לחדור לארגון היא לא דרך הרשת, אלא דרך הדלת, עם חיוך, ביטחון עצמי וקלסר ביד. עבור חברת פינטק שמחזיקה נתוני אשראי, חשבונות בנק ופרטים אישיים של לקוחות, בחירת הבניין היא החלטת אבטחת מידע לכל דבר, ולפעמים ההחלטה הקריטית ביותר שתתקבל בשנה הראשונה.

למה אבטחת המידע של חברת פינטק מתחילה בבחירת הבניין?

ההשלכה המעשית של זה היא סדר פעולות שונה בתכלית. במקום לבחור נכס לפי מחיר למטר ולנסות להתאים אליו נהלים, רשימת דרישות האבטחה מוגדרת מראש ומסננת נכסים כבר בשלב הסיורים. חברה שעושה את זה מגיעה לביקורת עם תיעוד מסודר, וחברה שלא עושה את זה מגלה את הפערים כשהמבקר כבר עומד בלובי.

הפרצה הפיזית: למה האקרים מתחילים בלובי ולא במחשב

תעשיית הסייבר אוהבת לדבר על פישינג ועל נוזקות, אבל בעולם ההנדסה החברתית יש מושג ותיק בשם Tailgating: פשוט להיכנס אחרי מישהו שפתח את הדלת עם הכרטיס שלו. בבניין משרדים עמוס, עם עשרות חברות ומאות עובדים שלא מכירים זה את זה, הטכניקה הזו עובדת בצורה מביכה. בודקי חדירות פיזיים, אלו שחברות שוכרות כדי לבחון את עצמן, מדווחים שוב ושוב שההצלחה שלהם לא תלויה בכישורים טכניים, אלא באיכות הבניין: האם יש עמדת קבלה מאוישת, האם המעליות דורשות כרטיס, האם דלת חדר המדרגות ננעלת מבפנים. בבניין שבו הניהול רופף, התוקף לא צריך לפרוץ כלום. הוא נכנס, מוצא עמדת עבודה לא נעולה או שקע רשת חשוף בחדר ישיבות, מחבר התקן קטן, ויוצא. כל ההשקעה בהצפנה מתגמדת מול חמש דקות כאלה.

ההבדל בין דלת לבין מערך בקרת כניסה

כשבאים לראות משרדים להשכרה, רוב האנשים בודקים את הדלת של המשרד עצמו ומסתפקים בזה. זו טעות בסיסית, כי אבטחה פיזית בנויה שכבות, בדיוק כמו אבטחת רשת. השכבה הראשונה היא הכניסה לבניין: עמדת קבלה מאוישת בשעות הפעילות, רישום מבקרים ותגי אורח. השכבה השנייה היא המעבר בין קומות, כלומר מעליות עם קורא כרטיסים וחדרי מדרגות שמאפשרים יציאה אך לא כניסה חופשית. השכבה השלישית היא הכניסה לקומה או לאגף, והרביעית היא דלת המשרד והאזורים הרגישים בתוכו. בניין שמספק רק את השכבה הרביעית מעמיס את כל האחריות על השוכר, וזה בדיוק מה שמבקרי אבטחה מחפשים כנקודת תורפה. בניין עם ניהול צמוד ובעלות ישירה, שבו יש כתובת אחת שאחראית על כל השכבות, מאפשר לחברת הפינטק להציג מערך הגנה שלם ולא טלאים.

בבניין שבו הניהול רופף, התוקף לא צריך לפרוץ כלום. הוא נכנס, מחבר התקן קטן, ויוצא.

מצלמות, תיעוד ומה שקורה כשצריך לשחזר אירוע

תרחיש שחוזר על עצמו: חברה מגלה גישה חשודה למערכת פנימית, והחקירה מעלה שההתחברות בוצעה מתוך המשרד, מחוץ לשעות העבודה. עכשיו מתחילות השאלות. מי נכנס לבניין באותו לילה, באיזו שעה, דרך איזו כניסה. אם לבניין יש מערך מצלמות תקין, לוגים של בקרת כניסה שנשמרים לאורך זמן, וגורם ניהול שיודע לשלוף את הנתונים תוך שעות, החקירה מתקדמת. אם המצלמה בלובי מקולקלת כבר חצי שנה ואף אחד לא שם לב, החקירה נתקעת, והרגולטור לא אוהב חקירות שנתקעות. שווה לשאול כבר בסיור הראשון כמה זמן נשמרות ההקלטות, מי מחזיק בגישה אליהן, ומה נוהל מסירת מידע לשוכר במקרה של אירוע. התשובות לשאלות האלה מגלות יותר על רמת הבניין מכל ברושור שיווקי.

תשתיות הבניין כקו הגנה: תקשורת, חשמל וחדר השרתים בקומה

אבטחת מידע היא גם שאלה של זמינות, לא רק של מניעת חדירה. חברת פינטק שמערכת הסליקה שלה נופלת בגלל הפסקת חשמל בבניין חוטפת נזק תדמיתי וכספי שלא נופל מפריצה. עקרון ה-CIA המוכר בתחום, Confidentiality, Integrity, Availability, שם את הזמינות כרגל שלישית ושוות ערך, ודווקא עליה לבניין יש את ההשפעה הגדולה ביותר. תשתית החשמל, מערכות הקירור וכניסות התקשורת לבניין הם דברים ששוכר לא יכול לתקן אחרי חתימה. אפשר לשדרג ריהוט, אפשר להוסיף דלת ממוגנת, אי אפשר להוסיף פיר תקשורת שני לבניין בן שלושים שנה שנבנה בלי לחשוב על זה. לכן הבדיקה הטכנית של הבניין צריכה לקרות לפני המשא ומתן המסחרי, לא אחריו.

יתירות תקשורת: כמה ספקים נכנסים לבניין ומאיפה

שאלה שמעט מאוד שוכרים שואלים וכל CISO היה רוצה שישאלו: כמה ספקי תקשורת שונים מגיעים לבניין בסיב פיזי, והאם הם נכנסים מכיוונים שונים. אם כל התקשורת של הבניין נכנסת דרך פיר אחד, חפירה אחת של קבלן ברחוב הסמוך מנתקת את כל החברה מהעולם, כולל הקו הראשי וכולל הגיבוי שקניתם מספק אחר, כי שניהם עוברים באותו צינור. בנייני משרדים ברמה גבוהה במרכזי העסקים מתוכננים עם כניסות תקשורת כפולות ועם חדרי תקשורת קומתיים מסודרים, נעולים וממוזגים. ההבדל הזה לא מופיע בתמונות של המשרד ולא במחיר למטר, אבל הוא ההבדל בין SLA של זמינות שאפשר לעמוד בו לבין הבטחה ריקה ללקוחות. מי שמחפש משרדים להייטק עם רכיב פיננסי חייב לקבל תשובות מתועדות על הנושא הזה, רצוי ישירות מבעל הנכס ולא מגורם שלישי שמעביר מסרים.

חשמל, גיבוי וקירור: הצד הפחות זוהר של האבטחה

גנרטור הוא לא מותרות עבור חברה פיננסית, הוא דרישה שתופיע כמעט בכל ביקורת. אבל קיום גנרטור הוא רק תחילת הבדיקה. צריך לדעת אילו מערכות הוא מגבה, האם הוא מכסה את מיזוג האוויר של חדרי התקשורת או רק תאורת חירום, מתי בוצעה הרצה אחרונה תחת עומס, ומי אחראי על התחזוקה השוטפת. חדר שרתים קטן בקומה שמתחמם כי המיזוג נפל יחד עם החשמל יכבה את עצמו תוך דקות, וה-UPS היקר שקניתם יחזיק ציוד שממילא נכנס להגנה תרמית. בבניינים שבהם בעל הנכס מנהל את התחזוקה בעצמו, עם צוות קבוע שמכיר כל מערכת, התשובות לשאלות האלה מגיעות מהר ועם תיעוד. בבניינים שבהם הניהול מתגלגל בין חברות תחזוקה מתחלפות, לרוב מגלים את הבעיות רק באירוע האמת.

רגולציה ותקינה: מה מבקרי ISO 27001 ו-PCI DSS בודקים בבניין עצמו

חברות פינטק חיות תחת עין רגולטורית צפופה, וחלק מפתיע מהדרישות נוגע ישירות למבנה הפיזי. תקן ISO 27001, שהוא כרטיס הכניסה לעבודה מול גופים פיננסיים, מקדיש פרק שלם בנספח A לאבטחה פיזית וסביבתית: הגדרת היקפי אבטחה פיזיים, בקרות כניסה, הגנה מפני איומים סביבתיים ואבטחת אזורי טעינה ופריקה. תקן PCI DSS, המחייב כל מי שנוגע בנתוני כרטיסי אשראי, כולל בדרישה 9 שלו סעיפים מפורטים על הגבלת גישה פיזית לנתונים, תיעוד מבקרים ומיקום מצלמות. דוח SOC 2, שלקוחות אמריקאיים דורשים כמעט אוטומטית, בוחן גם הוא בקרות גישה פיזיות. המשמעות המעשית פשוטה: המבקר יגיע למשרד, יסתובב בבניין, וישאל שאלות שהתשובות עליהן תלויות בבעל הנכס. בניין שלא מספק את התשתית הזו הופך כל ביקורת למאבק של הסברים וממצאים חריגים.

כשהלקוח הגדול שולח שאלון אבטחה של שמונים עמודים

לפני שבנק או חברת ביטוח חותמים עם סטארטאפ פינטק, מחלקת הרכש שלהם שולחת שאלון Due Diligence, ובו עשרות שאלות על הסביבה הפיזית: תיאור מערך בקרת הכניסה, נהלי אבטחת מבקרים, הגנות סביבתיות והסכמי רמת שירות מול מפעיל הבניין. חברות רבות מגלות בשלב הזה, כשהעסקה הגדולה כבר על השולחן, שאין להן תשובות טובות, כי הבניין שבחרו לפני שנתיים נבחר לפי מחיר ומרחק מתחנת רכבת בלבד. התיקון בדיעבד יקר ומסורבל, ולפעמים בלתי אפשרי בלי מעבר משרד, שהוא כשלעצמו פרויקט של חודשים. חברה שבחרה נכון מההתחלה עונה על השאלון תוך יומיים, מצרפת את נהלי האבטחה של הבניין, ועוברת לשלב המשפטי. ההבדל בין שני התרחישים האלה הוא לפעמים ההבדל בין סגירת רבעון מוצלח לבין עסקה שמתמסמסת.

השכנים בבניין הם חלק ממודל האיומים שלכם

נקודה שכמעט אף אחד לא חושב עליה היא מי עוד יושב בבניין. חברת פינטק שחולקת קומה עם חברות אקראיות, בתחלופה גבוהה וללא סינון, חשופה לסיכונים שאין לה שליטה עליהם. גישה משותפת לפירים, לחדרי תקשורת קומתיים ולמרחבים טכניים פירושה שרמת האבטחה שלכם היא רמת האבטחה של השכן הכי רשלן. בבניינים המנוהלים ברמה גבוהה, בעל הנכס מכיר כל שוכר, שולט בתמהיל, ויודע בדיוק למי יש גישה לאיזה חלל טכני. זה אחד היתרונות הפחות מדוברים של עבודה מול בעלות ישירה: יש מישהו שאכפת לו מהמוניטין של הבניין כולו, לא רק מגביית דמי שכירות. כשבוחנים משרדים להשכרה ברמת גן או בכל מוקד עסקים אחר, תמהיל השוכרים צריך להופיע ברשימת הבדיקות באותה רמת חשיבות כמו גובה התקרה.

איך בוחנים משרדים להשכרה ברמת גן לפני חתימה: צ'ק ליסט מעשי

בחירת משרד לחברת פינטק צריכה להתנהל כמו פרויקט אבטחה, עם בעלים ברור, רשימת דרישות כתובה ובדיקה מסודרת של כל מועמד. הטעות הנפוצה היא לתת לשיקול הנדל"ני הטהור, מחיר למטר ומיקום, להכריע לבד, ואז לגלות שהחיסכון בשכירות נבלע בעלויות התאמה, בביקורות שנכשלות ובעסקאות שמתעכבות. הטבלה הבאה מרכזת את ההבדלים המרכזיים בין בניין סטנדרטי לבין בניין שמתאים באמת לפעילות פיננסית רגישה, ואפשר להשתמש בה כבסיס להשוואה בין נכסים שאתם בוחנים.

שאלות שחייבים לשאול את בעל הנכס, לא את המתווך

כאן נכנס הבדל מהותי בין סוגי העסקאות בשוק. כשמולכם עומד גורם מתווך, כל שאלה טכנית עוברת תיווך כפול: אתם שואלים, הוא שואל מישהו, התשובה חוזרת מעובדת. כשמולכם עומד בעל הנכס עצמו, זה שמחזיק ומנהל את הבניין שנים, התשובות מגיעות ממקור ראשון. אלה השאלות שכדאי להביא לסיור:

• מתי הוחלף לוח החשמל הראשי ומתי בוצעה הרצת גנרטור אחרונה תחת עומס.
• מהו נוהל הכניסה של קבלני תחזוקה לחדרי התקשורת הקומתיים, ומי מחזיק את המפתחות.
• האם אפשר לקבל את תוכניות התקשורת של הקומה ואת מסלולי הסיב הנכנסים לבניין.
• כמה זמן נשמרות הקלטות המצלמות ומי מוסמך לשלוף אותן.
• מי איש הקשר הקבוע לאירועי תשתית ומהו זמן התגובה המחייב בחוזה.

InvesTeam, למשל, בנויה בדיוק על המודל הזה, בעלות וניהול ישירים של הנכסים בלי שכבות ביניים, כך שחברת פינטק שבוחנת אצלה משרדים להשכרה במרכז מקבלת גישה ישירה למי שמכיר כל ברז וכל פיר בבניין. בשאלוני אבטחה ובביקורות, היכולת להפנות את המבקר לאיש קשר אחד שעונה על הכול שווה זהב, תרתי משמע.

מיקום כשיקול אבטחתי ועסקי: המקרה של מתחם הבורסה

מיקום הוא גם שאלה של נוחות הגעה לעובדים, כי צוות אבטחת מידע טוב קשה לגייס ועוד יותר קשה לשמר כשהנסיעה למשרד מייאשת. מוקדי עסקים ותיקים ומבוססים כמו מתחם הבורסה ברמת גן מציעים משהו שאזורים חדשים עוד לא הספיקו לצבור: תשתיות תקשורת בוגרות שנפרסו לאורך שנים על ידי כל הספקים, קרבה פיזית לבנקים, לחברי בורסה ולמשרדי עורכי דין שמתמחים בפיננסים, וסביבה שבה פגישה עם שותף עסקי היא ירידה במעלית ולא נסיעה של שעה. חברות פינטק שמחפשות משרדים להשכרה במתחם הבורסה מקבלות בפועל גם אפקט של אמינות: כתובת שלקוח מוסדי מזהה ומכבד עושה עבודה שקטה בכל פגישת מכירות. חיבור של תשתית בשלה, נגישות תחבורתית וסביבה פיננסית צפופה הופך את המתחם לאחת הבחירות ההגיוניות לחברה שרוצה לגדול בלי לעבור משרד כל שנתיים.

הצעד הבא: מסמך דרישות פיזיות של עמוד אחד לפני הסיור הבא

לפני הסיור הבא בנכס, שבו עם ה-CISO או עם יועץ האבטחה שלכם ונסחו יחד מסמך דרישות פיזיות של עמוד אחד, מבקרת כניסה ועד יתירות תקשורת. קחו את המסמך לכל סיור, דרשו תשובות כתובות מבעל הנכס, ותנו לתשובות האלה משקל אמיתי בהחלטה, לצד המחיר והמיקום. חברה שעושה את זה נכון חוסכת לעצמה ביקורות כואבות, שאלוני לקוחות מתסכלים ולילות לבנים אחרי אירוע. הבניין הנכון לא יהפוך אתכם למאובטחים לבד, אבל הבניין הלא נכון יבטיח שלעולם לא תהיו.