אבטחת חשבון עסקי בפייסבוק ואינסטגרם לצוות עם כמה אנשים

כשעסק גדל מבעלים אחד שמנהל הכול לרשת של כמה אנשים — עובד שיווק, מתמחה, סוכנות חיצונית — ההרגל הכי נפוץ הוא גם המסוכן ביותר: כולם משתמשים באותה סיסמה לאותו חשבון פייסבוק או אינסטגרם. זה נוח בטווח הקצר, אבל בטווח הארוך זו נקודת התורפה הכי גדולה של החשבון, גדולה יותר מרוב תרחישי הפריצה החיצוניים שאנשים מדמיינים כשהם חושבים על אבטחת רשתות חברתיות.

למה סיסמה משותפת היא הבעיה, לא הפתרון

• אי אפשר לדעת מי עשה מה. כשכולם נכנסים עם אותה סיסמה, אין דרך לדעת איזה שינוי בוצע על ידי מי, מה שהופך גם חקירת תקלה פשוטה למשימה בלתי אפשרית.
• כל מכשיר שנפרץ הוא נקודת כניסה. אם אחד מבעלי הגישה שומר את הסיסמה בפתק, בקובץ פתוח או בדפדפן במכשיר לא מוגן, כל פריצה למכשיר האישי שלו הופכת מיידית לפריצה לחשבון העסקי.
• עזיבת עובד לא באמת סוגרת את הגישה שלו. אם עובד עוזב והסיסמה לא מוחלפת, הוא עדיין יכול להתחבר לחשבון בעתיד — בין אם בכוונה רעה ובין אם רק כי אף אחד לא חשב לעדכן אותו שהגישה שלו בוטלה.
• אין אפשרות לתת הרשאה חלקית. עובד שאמור רק לענות להודעות לקוחות מקבל בפועל שליטה מלאה על החשבון, כולל יכולת למחוק תוכן או לשנות פרטי התחברות.

איך בונים מבנה הרשאות נכון

הפתרון האמיתי לא קשור לזיכרון או למשמעת — הוא מבני: לעבור מסיסמה משותפת אחת לניהול הרשאות מסודר דרך Meta Business Suite, שבו כל אדם מקבל גישה תחת חשבון המשתמש האישי שלו, ברמת ההרשאה שמתאימה לתפקידו בפועל:

• מנהל בכיר או בעל העסק מקבל הרשאת ניהול מלאה, כולל יכולת להוסיף ולהסיר אנשים נוספים.
• מי שאחראי על פרסום תוכן מקבל הרשאה לפרסם ולערוך פוסטים, בלי גישה לתקציבי פרסום או להגדרות תשלום.
• מי שאחראי על שירות לקוחות מקבל הרשאה לענות להודעות ולתגובות בלבד.
• סוכנות חיצונית שמנהלת פרסום ממומן מקבלת הרשאה ממוקדת רק לתחום הפרסום, לתקופה מוגדרת, ולא גישה כוללת לכל החשבון.

המבנה הזה לא רק מגן מפני שימוש לרעה, הוא גם פשוט הגיוני: אין סיבה שמי שכותב תגובות ללקוחות יוכל גם לשנות את פרטי ההתחברות של החשבון כולו.

מה עושים כשעובד עוזב — הצעדים המיידיים

1. הסירו את ההרשאה שלו לחשבון ולעמוד המקושר באותו יום שהוא עוזב, לא "בשבוע הבא".
2. החליפו כל סיסמה שהוא הכיר, גם אם הוא לא היה אמור לדעת אותה במקור.
3. בדקו את רשימת האפליקציות המחוברות לחשבון — אם העובד חיבר כלי תזמון פוסטים או אנליטיקס בחשבון האישי שלו, נתקו את החיבור.
4. אם הוא היה בעל הרשאת מנהל בעמוד הפייסבוק, ודאו שהוסר גם משם, ולא רק מהאינסטגרם.
5. עדכנו את שאר הצוות שהגישה שונתה, כדי שלא ינסו להשתמש בפרטים ישנים בטעות.

ההיגיון כאן פשוט: ברגע שהיחסים בין הצדדים משתנים, אין שום סיבה שגישה שניתנה בתקופה מסוימת תישאר פתוחה ללא הגבלת זמן.

מה עושים אם כבר יש חשד לגישה לא מורשית

אם אתם חושדים שמישהו — עובד לשעבר או גורם חיצוני — עדיין ניגש לחשבון בלי אישור, בדקו מיד את רשימת ההרשאות המלאה ב-Meta Business Suite ואת רשימת המנהלים בעמוד הפייסבוק המקושר, כי אלה שני מקומות נפרדים שבהם גישה יכולה להישאר פעילה. אם מתגלה גישה שאינכם מזהים, הסירו אותה ושנו את הסיסמה מיד, ואם החשבון כבר נפגע בפועל — כלומר תוכן פורסם בלי אישור או הגדרות שונו — יש מקום לפנות לגורם שמכיר את תהליכי האימות והשחזור מול מטא, כדי למפות את הנזק המלא ולוודא שלא נותרה גישה נסתרת נוספת.

הרגלים שכדאי לאמץ באופן קבוע

• הפעילו אימות דו-שלבי לכל בעל הרשאה בנפרד, לא רק לחשבון הראשי.
• ערכו סקירה תקופתית, פעם ברבעון לפחות, של כל מי שיש לו גישה לחשבון ולעמוד המקושר.
• תעדו במסמך מרכזי מי מחזיק איזו הרשאה ומתי היא ניתנה, כדי שקל יהיה לזהות חריגה.
• הימנעו משיתוף סיסמאות בהודעת וואטסאפ או במייל — אלה נשארים לתמיד בהיסטוריית ההודעות, גם אחרי שהעובד עוזב, ואף אחד לא באמת מוחק אותן ידנית בכל מקום שבו נשלחו.
• כשמצטרפת סוכנות חיצונית לניהול פרסום ממומן, הגבילו את ההרשאה שלה לתקופת ההתקשרות בלבד, ובטלו אותה באופן יזום כשההתקשרות מסתיימת ולא רק כשמישהו נזכר.

עסק שגדל וצריך יותר מזוג ידיים אחד לניהול הרשתות החברתיות שלו לא צריך לוותר על נוחות כדי לשמור על אבטחה — הפתרון הוא לא "פחות אנשים עם גישה", אלא הרשאות נכונות לכל אחד מהם.

למה חברות קטנות דווקא נוטות לדלג על השלב הזה

אירוני, אבל דווקא בעסקים קטנים ובינוניים, שבהם הצוות עדיין קטן וכולם מכירים אחד את השני היטב, הנטייה לוותר על הרשאות מסודרות חזקה יותר מאשר בחברות גדולות. ההיגיון הפנימי הוא "אנחנו סומכים אחד על השני, למה צריך בירוקרטיה של הרשאות". הבעיה היא שהסיכון האמיתי כמעט אף פעם לא נובע מחוסר אמון בין אנשי הצוות עצמם, אלא מזה שכל אחד מהם הוא נקודת כניסה פוטנציאלית נוספת עבור תוקף חיצוני. עובד אמין לגמרי עדיין יכול להיפרץ במכשיר האישי שלו, לפתוח בטעות קישור דיוג, או פשוט להשתמש בסיסמה חלשה בחשבון האישי שמשותפת גם לחשבון העסקי. ברגע שיש כמה אנשים עם גישה מלאה במקום אחד, הסיכוי שלפחות אחד מהם ייפול קורבן למשהו בעתיד רק גדל עם מספר האנשים, ולכן ככל שהצוות גדל, החשיבות של הרשאות ממוקדות דווקא עולה, לא יורדת. זו לא שאלה של אמון, אלא של הקטנת שטח החשיפה של החשבון כולו.