איך מיישמים פתרון אבטחה ברשת מבלי לפגוע בחוויית המשתמש?

כשמדברים על מערכות אבטחת מידע, בין הדברים החשובים ביותר נמצאת חוויית המשתמש, העובד בארגון. עובד שנתקל במערכות מסורבלות, שמקשות עליו את העבודה היומיומית, בבעיות בגלישה שדרושה לו לצורך עיסוקו וגם, יש להודות (הרי מי לא עושה את זה…), בגלישה מפעם לפעם לאתרים חיצוניים, הוא עובד פחות מרוצה. עובד שלוקח לו זמן רב יחסית להתחבר למערכות ולעבור מאתר לאתר, בין היתר בגלל האבטחה, ישקיע פחות בעבודה, בין אם במודע או שלא. וזה עולה לארגונים כסף – והרבה.

כמה וכמה חברות מנסות להציע פתרונות לבעיית הגלישה המאובטחת, עבור ארגונים רבים עוד יותר שמחפשים אותם. מעסקים קטנים ועד לארגונים בינוניים וגדולים. בין הארגונים שהתעורר אצלם הצורך במערכות כאלה הוא בית ההשקעות הגדול פסגות, שלדבריו הוא המוביל בישראל. החברה הוותיקה (הגלגול הראשון שלה נוסד ב-1963) עוסקת באחד הנושאים הרגישים ביותר – כסף: היא מציעה אפיקי השקעות וחיסכון פנסיוני שונים, וגם ביטוח. לכן, היא צריכה מצד אחד מערכת אבטחה חזקה ואמינה, שתשמור על המידע והכסף של אלפי הלקוחות, וכזו שמצד שני תעניק לעובדים חוויית משתמש נוחה, כדי שיוכלו לשרת טוב יותר את הלקוחות. על כל אלה מתווספות הדרישות הרגולטריות שעל פסגות לעמוד בהן.

"לקוח ששם את הכסף שלו אצלנו רוצה לדעת שהוא מנוהל בחברה ששומרת על סודיות המידע ומשקיעה בזה משאבים. שהמידע עליו לא נגיש לאף אחד מבחוץ. הלקוחות שומעים על שלל האיומים שיש בימינו על המערכות הקיברנטיות ורוצים להיות בטוחים", אומר עופר קריצ'מן, סמנכ"ל מערכות המידע של פסגות. "כמובן שזה חשוב גם למותג שלנו. המותג פסגות צריך להכיל גם את האמינות שתגרום ללקוח הפוטנציאלי להגיד: 'אני מוכן לשים שם את הפנסיה'".

עופר קריצ'מן, סמנכ"ל מערכות המידע של פסגות

לדבריו, "יש כאן התנגשות מסוימת, משום שלצד הדרישה שהמידע יהיה מאובטח, אנחנו צריכים לעבוד עם העולם הפתוח. צרכן השירותים שלנו רוצה שהאינטרנט יהיה אחד הכלים המרכזיים לעבודה מולנו".

"כאן נכנסת הגלישה המאובטחת", הוא אומר. "יש הרבה פתרונות בתחום, אבל לזה של אינטגריטי יש ערך מוסף, משום שמדובר בפתרון שהוא גם מאובטח וגם 'מדבר' בתוך הארגון, בניגוד לפתרונות אחרים, שעושים רק את אחד מהם", אמר קריצ'מן.

איך להפוך לארגון פתוח בלי לייצר בעיית אבטחה?

פסגות פנתה לחברת אינטגריטי שעוסקת בווירטואליזציה של תחנות קצה ובאבטחת מידע. לדברי המייסד והמנכ"ל שלה, ארז גולדשטיין, "משנת 2000 מתמודדים בעיקר ארגונים פיננסיים עם השאלה איך עובד בתוך הארגון יוצא מהדסקטופ לאינטרנט מבלי שהוא מייצר בעיה של אבטחת מידע. זאת השאלה המרכזית. הדפדפן מהרשת הפנימית, כל סוג של דפדפן, הוא בור גדול של סיכון אבטחתי, ובזה אינטגריטי באה לטפל. זה פער אבטחת המידע שעליו צריך לגשר".

לדבריו, "הפתרון, שנקרא Smart Browse, מאפשר לבודד את סביבת הגלישה כך שהיא מתנהלת דרך שרת טרמינל שנמצא מחוץ לרשת הארגונית. הפרדת הרשת הפנימית מסיכון הגלישה מגדיל בסדרי גודל את אבטחת המידע בארגון. Smart Browser מטפל בחוויית המשתמש, כולל: הפנייה אוטומטית של לינקים חיצוניים, ניהול הורדה והעלאה של קבצים, הזדהות SSO, טיפול בפלאש (Flash) ועוד. אחד האלמנטים הבולטים במערכת של החברה הוא שלא צריך להתקין כל עדכון על כל מחשב. הארכיטקטורה 'נטולת סוכן' לחלוטין. במקום להפיץ גרסה חדשה בארגון, ניתן לעשות שינוי בתוכנה הקיימת".

ארז גולדשטיין, מייסד ומנכ"ל אינטגריטי תוכנה

אינטגריטי הקימה עבור פסגות את הפתרון בפרק זמן של פחות מרבעון. הפריסה וההטמעה שלו בחברה לקחו מספר חודשים נוספים. גולדשטיין ציין כי המערכת מבוססת על תשתית של סיטריקס (Citrix) ובעלת אינטגרציה עם וובסנס (WebSense). היקף הפרויקט עמד על כמיליון שקלים, כאשר אינטגריטי נותנת לפסגות גם שירותי תמיכה במערכת.

קריצ'מן סיפר שבתחילה, לקח כ-15 עד 20 שניות עד שהדפדפן עלה, כשלא היה מה שסימן למשתמשים בארגון שהאתר בסביבה המאובטחת עוד מעט יעלה והם יוכלו לגלוש בו. "בתחילה, רוב המשתמשים לא אהבו את התהליך ואמרו לנו: 'אי אפשר עם זה, עליית האתר לוקחת הרבה זמן, זה בלתי נסבל'. פתרנו את זה על ידי פעולה 'פסיכולוגית' פשוטה – הוספת שעון החול שמסתובב והודעה שמסבירה שהאתר המאובטח יעלה עוד מעט. פתאום כולם הבינו שזה הגיוני. ההוספה של זה הורידה את ההתנגדות", ציין.

לסיכום, קריצ'מן וגולדשטיין ציינו כי גרטנר (Gartner) הכריזה על פתרונות הפרדה (Isolation), כמו זה של אינטגריטי, כעל אחד מעשרת פתרונות אבטחת המידע הרלוונטיים ביותר ב-10 השנים הקרובות, בכלל זה ניהול המותג מול העובדים והמשתמשים מבפנים ומבחוץ. לדברי גולדשטיין, "הארגונים יותר ויותר מאוימים והאינטרנט הוא אחד האיומים הגדולים. אחד המרכזיים שבהם הוא איום פנימי, מעובד בארגון, שבטעות מכניס למערכת איזה דיסק און קי נגוע בנוזקה, למשל. בגלל זה, ארגונים יותר ויותר נוטים לפתרונות אבטחה בתחום, גם אם הרגולציה לא מחייבת אותם. הם עושים את זה כי הם יודעים שפתרונות כאלה מאובטחים יותר. ארגונים מבינים שלאבטח כל תחנה ותחנה זה לא פתרון, והם הולכים לפתרונות של הפרדה מבלי לפגוע בחוויית המשתמש".