תקשורת חסויה לאנשי מקצוע

בעיה שכמעט אף אחד לא רואה

עורך דין מקבל מסמך רגיש מהלקוח שלו. רופא דן באבחנה עם עמית. פסיכולוג מתאם טיפול של מטופל עם פסיכיאטר. יועץ מס שולח נתוני דוח. כולם עושים את זה דרך הודעות. וכמעט אף אחד מהם לא עצר לחשוב לאן ההודעות האלה מגיעות.

התשובה, ברוב המקרים, היא: על שרת שהם לא שולטים בו, במדינה שהם לא מכירים את החקיקה שלה, מנוהל על ידי חברה שהמודל העסקי שלה הוא בדיוק לצבור נתונים. ההודעה אולי מוצפנת בזמן השליחה, אבל ברגע שהיא מגיעה לשרת, היא עותק שמאוחסן בתשתית של צד שלישי.

מה אומר החוק

ה-GDPR האירופי ברור: מי שמטפל בנתונים אישיים של אחרים אחראי להגן עליהם באמצעים טכניים מתאימים. כוונות טובות לא מספיקות. לא מספיק שהאפליקציה אומרת שהיא מצפינה. אם הנתונים של הלקוח שלך נמצאים על שרת שלא עומד בתקנות האירופיות, אתה האחראי.

וזה לא רק ה-GDPR. סודיות מקצועית — שמוסדרת לעורכי דין, רופאים, פסיכולוגים, רואי חשבון ורבים אחרים — דורשת שהתקשורת עם הלקוח תהיה חסויה. לא חסויה "ככל האפשר". חסויה באמת. אם הערוץ שאתה משתמש בו לא יכול להבטיח את זה טכנית, אתה לוקח סיכון שלא כדאי לך לקחת.

מה צריך איש מקצוע?

מה שאיש מקצוע שמטפל במידע רגיש צריך הוא פשוט להפתיע. הוא צריך ערוץ שבו ההודעות עוברות ישירות מהמכשיר שלו למכשיר של הנמען, בלי לעבור דרך שום שרת מתווך. שבו לא נשאר עותק בשום ענן. שבו לא צריך לתת מספר טלפון אישי. ושבו התשתית עומדת במלואה בתקנות האירופיות.

הוא לא צריך אפליקציה מסובכת. הוא לא צריך הדרכה. הוא לא צריך לשנות את דרך העבודה שלו. הוא צריך בדיוק את מה שהוא כבר משתמש בו — הודעות מיידיות — אבל עם הערבות הטכנית שהמידע לא יוצא מהמכשירים של שני האנשים שמשתתפים בשיחה.

ההבדל בין להצפין לבין לא לאחסן

להצפין הודעה ולאחסן אותה על שרת זה כמו לשים מסמך בכספת ולהשאיר אותה בבית של זר. הכספת טובה, כן. אבל המסמך עדיין בבית של מישהו אחר. ואותו מישהו יכול לקבל צו בית משפט, יכול לסבול מתקיפת סייבר, או פשוט יכול לשנות את תנאי השירות שלו.

החלופה היא שהמסמך אף פעם לא יצא מהמשרד שלך. שיעבור ישירות מהשולחן שלך לשולחן של הלקוח שלך, בלי לעבור דרך שום מתווך. זה מה שתקשורת ישירה בין מכשירים עושה: מבטלת את המתווך. לא כי המתווך רע. אלא כי המתווך מיותר. ומה שמיותר, באבטחה, הוא תמיד סיכון.

עניין של אחריות

בסופו של דבר, השאלה שכל איש מקצוע צריך לשאול את עצמו היא: אם מחר תדלוף שיחה עם הלקוח שלי, האם אני יכול להוכיח שהשתמשתי בערוץ שהוא טכנית בטוח? האם אני יכול להוכיח שהנתונים אף פעם לא יצאו מהמכשירים שלנו? האם אני יכול להוכיח שלא הסתמכתי על רצון טוב של חברה ביבשת אחרת?

הכלי שאתה בוחר לתקשורת עם הלקוחות שלך אומר הרבה על איך אתה מעריך את האמון שלהם. ויש כלים שתוכננו בדיוק בשביל זה: כדי שהאמון לא יהיה תלוי בהבטחות, אלא בארכיטקטורה.