תחלופת מתנדבים היא בעיה של בקרת גישה, לא רק בעיה של משאבי אנוש

המתנדב שעזב במרץ עדיין מחזיק את רשימת התורמים שלכם

ארגונים ללא מטרות רווח קטנים מתנהלים על אנשים שמגיעים ועוזבים. קדנציה בוועד מסתיימת, מתנדב סטודנט מסיים תואר, רכז שמומן על ידי מענק מסיים חוזה, ואף אחד לא חוזר לכבות את מה שאותו אדם יכול היה לראות. ניסיונות דיוג והשתלטות על חשבונות פגעו ב-94% מהארגונים ללא מטרות רווח שנסקרו עבור דוח אבטחת סייבר לשנת 2025 בתחום ההומניטרי והפיתוח, עלייה מ-74% בשנה הקודמת, וחוקרי טכנולוגיה לארגונים ללא מטרות רווח מצביעים שוב ושוב על אותו שורש - חשבונות וגישה שאף אחד לא בעל אחריות עליהם ברגע שהאדם שיצר אותם עבר הלאה ^[1].

התבנית מוכרת לכל מי שניהל ארגון קטן בישראל, ביוון או בספרד. סיסמה משותפת עוברת מגזבר אחד לבא אחריו כי יצירת חשבון חדש מרגישה כמו בירוקרטיה מיותרת. במחשב הנייד של מתנדב שעזב הייתה גיליון תורמים שמסונכרן לתיקיית OneDrive אישית, והוא עדיין שם. הדוא"ל של חבר ועדה לשעבר עדיין מעביר דוחות כספיים כי כיבוי שלו עלול לשבור משהו שאף אחד לא רוצה לבדוק. שום דבר מזה אינו זדוני. זה פשוט מה שקורה כשגישה עוקבת אחרי הרגל במקום אחרי תהליך.

למה סיסמאות משותפות וחשבונות יתומים הם הסיכון האמיתי

לסיסמה משותפת אין אחריות - אם נתוני תורמים יוצאו או תשלום אושר, אין דרך לדעת מי מבין ששת האנשים שיודעים את הסיסמה עשה זאת בפועל. חשבון יתום גרוע יותר, כי מדובר בסט פרטי גישה פעיל שאף אחד לא עוקב אחריו, יושב על הרשת הרבה אחרי שהאדם מאחוריו הפסיק לבדוק את הדוא"ל שלו. חוקרים במרכז ברקלי לאבטחת סייבר לטווח ארוך מצאו כי 46% מהארגונים ללא מטרות רווח מציינים תקציב כמכשול העיקרי לשיפור מצב האבטחה שלהם, וזה נכון, אבל הפתרון כאן אינו תקציב גדול יותר - הוא מספר קטן יותר של חריגים קבועים ^[1].

נתוני תורמים שנמצאים על כונן אישי של מתנדב שעזב הם גם בעיית הגנת מידע, לא רק בעיית אבטחה. לפי ה-GDPR, ארגון שמעבד מידע אישי חייב להחיל צמצום נתונים ואמצעי שלמות וסודיות על אותו מידע לאורך כל הזמן שהוא מחזיק בו, וזה לא מפסיק להיות נכון רק כי האדם שהוריד את הגיליון כבר לא מתנדב ^[2]. ארגון ביוון או בספרד שמעבד נתוני תורמים ומוטבים מהאיחוד האירופי נושא בחובה הזו ללא קשר לרמת הפורמליות שבה הגישה ניתנה מלכתחילה.

שגרת הצטרפות-מעבר-עזיבה, בגודל למשרד של חמישה אנשים

ארגונים גדולים קוראים לזה JML - joiner, mover, leaver - וזה לא דורש כוח אדם של ארגון גדול כדי לעבוד. זה דורש שלוש רשימות שמישהו באמת בודק.

1. 1הצטרפות - מתנדב או איש צוות חדש מקבל חשבון אישי משלו, מתווסף לקבוצה, אף פעם לא סיסמה משותפת. הקבוצה, לא האדם, נושאת את ההרשאות, כך שהסרת מישהו אחר כך היא לחיצה אחת במקום חיפוש בכל מערכת שהוא אולי נגע בה.
2. 2מעבר - מישהו משנה תפקיד, למשל מגיוס תרומות לתוכניות. חברותו בקבוצה משתנה יחד איתו. אף אחד לא מבטל ומעניק מחדש ידנית תריסר הרשאות בודדות, כי מעולם לא היו הרשאות בודדות מלכתחילה.
3. 3עזיבה - החשבון מושבת ביום שהאדם עוזב, לא מתי שמישהו נזכר. השבתה קודם, מחיקה אחר כך, כך שתיבות דואר וקבצים יכולים לעבור למי שיורש את התפקיד.

הנחיות ה-CISA לאבטחת חשבונות ממליצות על אימות רב-שלבי כבקרת בסיס בדיוק בגלל שסיסמה גנובה או משותפת אחת היא לעיתים קרובות הדבר היחיד שעומד בין תוקף לבין חשבון ^[3]. גישה מבוססת קבוצות לא מחליפה אימות רב-שלבי, אבל היא כן אומרת שכאשר האימות תופס כניסה חשודה, אתם יודעים בדיוק איזה חשבון ואיזו קבוצה לנעול, במקום לנחש מי עוד יודע את הסיסמה המשותפת.

גישה מבוססת קבוצות עדיפה על סיסמאות משותפות גם עבור צוות IT של שני אנשים

האינסטינקט בארגון קטן הוא לשמור על פשטות באמצעות פחות חשבונות - תיבת דואר משותפת אחת לתרומות, כניסה אחת לתוכנת הנהלת החשבונות, סיסמה אחת שכל חברי הוועד יודעים. הפשטות הזו היא בדיוק מה שהופך התאוששות מטעות או מפריצה לכמעט בלתי אפשרית, כי אין חשבון יחיד להשבית ואין יומן שמצביע על אדם אחד.

גישה מבוססת קבוצות הופכת את זה בלי להוסיף מורכבות עבור המתנדב. מי שמצטרף לקבוצת "גיוס תרומות" מקבל את מערכת ניהול הקשר עם תורמים, כלי רשימת התפוצה ותיקיית הכונן המשותף בצעד אחד. מי שעוזב מאבד את שלושתם בצעד אחד, כי הסרתו מהקבוצה מסירה את הגישה, במקום שמישהו ינסה להיזכר לאילו מבין חמש מערכות הוא בכלל נוסף. העומס עובר מ"לזכור כל מערכת שהאדם נגע בה" ל"לזכור לאיזו קבוצה האדם היה שייך" - רשימה קצרה בהרבה, כזו שרכז מתנדבים יכול לתחזק בלי כל רקע ב-IT.

רישוי שהופך את זה למשתלם עבור ארגון של חמישה אנשים

השגרה שתוארה למעלה מניחה ספרייה שתומכת בקבוצות ובאימות רב-שלבי, וארגונים קטנים לרוב מניחים שזה אומר תקציב של ארגון גדול. זה לא נכון. תוכנית הארגונים ללא מטרות רווח של מיקרוסופט מעניקה לארגונים זכאים גישה לרישוי Microsoft 365 במחיר לארגונים ללא מטרות רווח, בתנאי שהארגון יכול להראות שהוא ארגון ללא מטרות רווח במדינה שבה הוא פועל וכי מי שנרשם הוא עובד אמיתי או מתנדב אסטרטגי ולא ספק IT חיצוני הפועל מטעם הארגון ^[4]. גוגל מפעילה תוכנית מקבילה, ועמוד הזכאות שלה קובע שארגון שמגיש בקשה חייב להיות ארגון צדקה ללא מטרות רווח במעמד תקין ולעמוד בקריטריונים המלאים והמפורסמים של התוכנית לפני שהוא יכול לקבל גישה ל-Google Workspace for Nonprofits ^[5].

שני המסלולים מביאים ארגון קטן בישראל, ביוון או בספרד לאותו מקום - ספרייה אמיתית שבה חשבונות שייכים לאנשים בשם מלא, קבוצות נושאות את ההרשאות, וכיבוי מישהו הוא פעולה אחת במקום מבחן זיכרון. בדיקת הזכאות עצמה לוקחת אחר צהריים של ניירת, לא תהליך רכש, וזה הדבר בעל המנוף הגבוה ביותר שארגון של חמישה אנשים יכול לעשות לפני שהוא כותב מדיניות אבטחה שאף אחד לא יקרא.

מה לעשות החודש, לא השנה

שום דבר מכל זה לא דורש גיוס של אף אחד. זה דורש החלטה, פעם אחת, שחשבונות אישיים וקבוצות מחליפים סיסמאות משותפות וכוננים אישיים, ולאחר מכן שמירה על הקו הזה בכל פעם שמישהו מצטרף, משנה תפקיד או עוזב. התחילו עם מי שמטפל בנתוני תורמים ובאישורי תשלומים, כי שם חשבון יתום או סיסמה משותפת שדלפה עולים הכי הרבה, והתקדמו החוצה מזה ככל שהיכולת מאפשרת.