עמיתים לעבודה משתפים מידע רגיש כל היום: סיסמת ה-Wi-Fi של המשרד החדש, מספר הטלפון של לקוח כדי לחזור אליו, פרטי ההתחברות של מנהל המערכת לכלי כלשהו, סכום משכורת למכתב הצעת עבודה. כל זה נשלח ב-Slack, ב-Teams או באימייל, כי שם השיחה כבר מתנהלת, ואחר כך הוא נשאר שם: ניתן לחיפוש, מסונכרן ומגובה.
שיתוף מוצפן של מידע רגיש בין עמיתים לעבודה מתחיל בשינוי הרגל אחד: החלק הרגיש בהודעה עובר כקישור שנפתח פעם אחת, והשיחה סביבו נשארת איפה שהייתה. המדריך עוסק במה שנחשב רגיש, בסיבה שהערוצים הרגילים שומרים עותקים, במה שהצפנה מגינה עליו ובמה שלא, ובשגרה שהופכת את ההרגל הבטוח לקל מספיק כדי לדבוק בו.
מה הופך מידע בעבודה לרגיש
מיינו מידע לפי מה שיקרה אם הוא יועבר לאדם הלא נכון.
| קטגוריה | דוגמאות | הנזק אם הוא נחשף |
|---|---|---|
| גישה | סיסמאות, קודי גישה, מפתחות API, קודי גיבוי לאימות דו-שלבי | מישהו אחר יכול לפעול בשמכם או בשם החברה |
| מידע אישי | פרטי קשר של לקוחות, מספרי זהות, מידע רפואי או נתוני שכר | פגיעה בפרטיות, חשיפה רגולטורית |
| מידע עסקי חסוי | מספרים שעוד לא פורסמו, תנאי עסקאות, עניינים משפטיים | נזק תחרותי או משפטי |
| מידע על אנשים | הערות על ביצועים, עניינים של משאבי אנוש, המלצות | פגיעה בעמית, אחריות משפטית |
רוב ההודעות בצ'אט לא שייכות לאף אחת מהקטגוריות האלה. המטרה היא לא להצפין כל הודעה, אלא לזהות את ההודעה האחת מתוך עשרים שלא צריכה להישאר בהיסטוריה.
למה צ'אט ואימייל שומרים עותקים
כל הודעה שנשלחת ב-Slack, ב-Teams או באימייל נשמרת אצל השירות, מסונכרנת לכל מכשיר בשני הצדדים, נכללת בייצואים ובגיבויים, ולעיתים קרובות מצוטטת בהתראות שמופיעות על מסך הנעילה. מחיקה מסירה את ההודעה מהתצוגה, לא את העותקים. סיסמה שהודבקה בערוץ ב-2024 עדיין נמצאת בייצוא שמישהו יוריד ב-2027.
ההצפנה בזמן העברה, שקיימת בכל השירותים האלה, מגינה על ההודעה בדרך בין המכשיר לשרתים שלהם. היא לא משנה דבר לגבי העותקים השמורים, כי השירות מחזיק אותם במצב קריא. זה בסדר לשיחה. לסוד זו התכונה הלא נכונה.
על מה הצפנה מגינה, ועל מה לא
יש שלושה סוגים של הצפנה שעולים בהקשר הזה, ורק אחד מהם מתאים למידע רגיש.
- בזמן העברה (TLS): מגינה מפני מי שנמצא ברשת. לכל שירות רציני יש אותה.
- באחסון: מגינה על המידע השמור מפני מי שמחזיק בדיסק. השירות עדיין יכול לקרוא אותו, וכך גם כל מי שיש לו גישה לחשבון.
- בדפדפן, לנמען בלבד: הטקסט מוצפן במכשיר שלכם לפני שהוא נשלח, ורק מי שמחזיק בקישור יכול לפענח אותו. השירות שומר טקסט מוצפן שהוא לא יכול לקרוא. זו התכונה שחשובה לסיסמה או לפרט אישי.
אף אחת מהן לא מגינה מפני מכשיר פרוץ באחד הצדדים, צילום מסך או שליחה לאדם הלא נכון. ההצפנה מגבילה את מי שיכול לקרוא את הטקסט בזמן ההעברה ובאחסון. על בדיקת הנמען ועל המכשיר אתם עדיין אחראים.
השגרה: הטקסט בקישור, הקישור בצ'אט
קישור סודי חד-פעמי נותן הצפנה לנמען בלבד בלי לשנות את המקום שבו השיחה מתנהלת.
- הדביקו את הטקסט הרגיש בכלי ליצירת קישור סודי חד-פעמי. הטקסט מוצפן בדפדפן שלכם לפני שהוא נשמר, העותק השמור מושמד בפעם הראשונה שהקישור נפתח, ותוקף הקישור פג אחרי שעה, יום או שבוע אם אף אחד לא פתח אותו. לטקסט של עד 10,000 תווים לא צריך חשבון.
- שלחו את הקישור בצ'אט שבו כבר דיברתם, עם שורת הסבר אחת: מה זה ומתי פג התוקף.
- אל תכניסו את הפרטים המזהים לאותה הודעה כשהטקסט הוא פרטי התחברות: שם המשתמש בצ'אט, הסיסמה בקישור.
- הוסיפו ביטוי סיסמה בחשבון Pro לכל דבר שיהיה חמור אם הקישור יועבר הלאה, ומסרו את ביטוי הסיסמה בדרך אחרת.
- בדקו אם הסוד הוצג. אם לפי הקישור הוא כבר נפתח, והעמית אומר שלא פתח אותו, התייחסו לטקסט כאל מידע שנחשף.
לצוותים שעובדים ב-Slack, אפליקציית ה-Slack של LinkPilot חוסכת את המעבר בין לשוניות. /secret יוצר את הקישור מתיבת ההודעה ומשיב רק לכם, וקיצור הדרך Send as secret link מציל סיסמה שמישהו כבר הדביק, כשהוא מחליף אותה בקישור. הטקסט עובר דרך Slack ודרך שירות ה-Slack של LinkPilot, שמצפין אותו בזיכרון לפני האחסון. לכן במקרים המחמירים ביותר השתמשו בכלי באתר, שבו ההצפנה מתבצעת בדפדפן שלכם.
השוואה בין האפשרויות
| שיטה | עותקים שנשארים | מי יכול לקרוא | מתאים ל |
|---|---|---|---|
| צ'אט או אימייל רגילים | בכל מקום | השירות, מנהלי המערכת, כל מי שבשרשור | שיחה שגרתית |
| הודעות נעלמות | פחות, אבל יש צילומי מסך וגיבויים | ספק האפליקציה, במקרים מסוימים | שיחה יומיומית בסיכון נמוך |
| שיתוף ממנהל סיסמאות | בכספת, וזה מכוון | חברי הכספת שהוגדרו | פרטי התחברות שהצוות ממשיך להשתמש בהם |
| קישור סודי חד-פעמי | אף עותק אחרי פתיחה אחת | רק מי שמחזיק בקישור | מידע רגיש חד-פעמי לעמית |
פרטי התחברות שכל הצוות משתמש בהם במשך חודשים שייכים למנהל הסיסמאות. מידע חד-פעמי, כמו קוד איפוס, פרטי לקוח לשיחה חוזרת או סכום הצעה למשאבי אנוש, שייך לקישור חד-פעמי. המדריך קישורים סודיים מול מנהלי סיסמאות מסביר איפה עובר הגבול.
אחרי השיתוף
- בטלו את הקישור אם הוא לא נפתח ואין בו עוד צורך, במקום לחכות לתפוגה.
- נקו את הסביבה. טיוטות, תצוגות מקדימות של התראות ושרשורים מיוצאים יכולים להחזיק עותק של טקסט שהודבק לפני שהחלטתם להשתמש בקישור. השאירו את החלק הרגיש מחוץ להודעה מההתחלה.
- תעדו את המסירה, לא את התוכן. מי קיבל מה ומתי הוא תיעוד לביקורת. הטקסט עצמו צריך להתקיים רק במקום שבו יש בו צורך.
כשמשהו משתבש
ההשלמה האוטומטית בוחרת את השם הלא נכון וההודעה נשלחת. אמרו את זה מיד, בקשו מהנמען למחוק את ההודעה ולא לפתוח את הקישור, בטלו את הקישור אם הוא עוד לא נפתח, והתייחסו לכל מה שהוצג כאל מידע שנחשף: החליפו את פרטי ההתחברות, עדכנו את בעלי המידע אם מדובר במידע אישי, ופעלו לפי נוהל הדיווח של החברה. אחר כך הקשו על הטעות לחזור: העבירו את הטקסט הרגיש לקישור בכל פעם, כך שהודעה שנשלחה לכתובת הלא נכונה תכיל קישור מת ולא את הסוד עצמו.