אבטחת מידע בבוט וואטסאפ: אילו שאלות לשאול את הספק לפני שחותמים?

כבעלת עסק וכמי שעוסקת בפיתוח טכנולוגיות, אני רואה יותר ויותר עסקים שמבינים את הערך של אוטומציה. הכנסת בוט לשירות הלקוחות או למערך המכירות היא כבר מזמן לא פריבילגיה של תאגידי ענק בלבד. עם זאת, בזמן שכולם מתמקדים בכמה זמן הבוט יחסוך להם או איך הוא ישפר את חוויית הלקוח, יש נושא אחד קריטי שלרוב נדחק לקרן זווית. הנושא הזה הוא אבטחת מידע בבוט וואטסאפ.

כאשר אתה מחבר בוט למספר העסקי שלך, אתה למעשה נותן לספק חיצוני גישה ישירה לשיחות הכי רגישות של העסק שלך. לקוחות שולחים שם מספרי טלפון, כתובות מגורים, פרטי אשראי, ולעיתים גם מידע רפואי או אישי רגיש. אם אתה מנהל משרד עורכי דין, סוכנות נדל״ן או קליניקה רפואית, המידע הזה שווה זהב עבור האקרים. לכן, לפני שאתה חותם על חוזה מול ספק אוטומציה או חברת פיתוח, יש כמה שאלות שאתה חייב לשאול. במדריך הזה, אני רוצה לעשות לך סדר ולתת לך את הכלים לבחון ספקים בצורה מקצועית.

למה אבטחת מידע בבוט וואטסאפ היא באחריותך?

הרבה בעלי עסקים נוטים לחשוב שאם הם משתמשים בפלטפורמה של Meta, אז הכל מאובטח. הרי ידוע שהודעות ב-WhatsApp מוצפנות מקצה לקצה. זה נכון כאשר שני אנשים מדברים זה עם זה דרך האפליקציה הרגילה. אבל כאשר אתה משתמש ב-WhatsApp Business API כדי לחבר בוט, ההצפנה עובדת קצת אחרת.

ההודעה מוצפנת מהמכשיר של הלקוח ועד לשרת של ספק הבוט שלך. ברגע שההודעה מגיעה לשרת של הספק, היא מפוענחת כדי שהבוט יוכל לקרוא אותה, להבין את התוכן, ולייצר תגובה. המשמעות היא שהספק שלך שומר את התוכן בצורה גלויה או במסד הנתונים שלו. אם השרת של הספק נפרץ, המידע של הלקוחות שלך דולף. מבחינה חוקית, האחריות על שמירת פרטיות הלקוחות חלה עליך כבעל העסק. לכן, בחירת ספק אמין היא לא רק עניין טכני, אלא ניהול סיכונים בסיסי.

שאלה 1: היכן המידע נשמר ואיך הוא מוצפן?

השאלה הראשונה שאתה צריך לשאול כל ספק היא איפה פיזית יושבים השרתים שלו. האם הם נמצאים בישראל, באירופה, או בארצות הברית? למיקום השרתים יש השלכות משפטיות, במיוחד אם אתה כפוף לתקנות פרטיות כמו GDPR באירופה או חוק הגנת הפרטיות בישראל.

מעבר למיקום, חשוב להבין איך המידע נשמר. בקש מהספק להסביר האם הנתונים מוצפנים במנוחה. הצפנה במנוחה אומרת שגם אם מישהו גונב את הכונן הקשיח של השרת, הוא לא יוכל לקרוא את הנתונים ללא מפתח פענוח. בנוסף, ודא שהתקשורת בין השרתים השונים של הספק נעשית בצורה מוצפנת. ספק רציני לא יגמגם כשתישאל אותו את השאלות האלו. הוא ישלוף מיד מסמך אבטחה או יסביר לך באילו שירותי ענן הוא משתמש כדי להבטיח את ההצפנה.

שאלה 2: כיצד הבוט מתממשק למודלי שפה חיצוניים (AI)?

היום, רוב הבוטים המתקדמים מבוססים על בינה מלאכותית ומחוברים למודלי שפה כמו ChatGPT של חברת OpenAI או Claude של חברת Anthropic. כאן מסתתרת נקודת תורפה משמעותית. כאשר הבוט מקבל הודעה מלקוח, הוא שולח אותה למודל השפה כדי לקבל תשובה. השאלה היא באילו תנאים המידע הזה נשלח.

חברות ה-AI מציעות שני סוגים של חיבורים. יש את הממשק הצרכני הרגיל, ויש את חיבור ה-API המיועד למפתחים. כאשר משתמשים ב-API ברמת אנטרפרייז, חברות כמו OpenAI מתחייבות שלא להשתמש במידע שעובר דרכו כדי לאמן את המודלים העתידיים שלהן. לעומת זאת, שימוש בממשקים חינמיים או זולים יותר עלול לחשוף את המידע של הלקוחות שלך ולהפוך אותו לחלק ממאגר הידע הכללי של המודל.

כשאני מתכננת את המערכות של TopicPen, אני תמיד מוודאת שהחיבור למודלי ה-AI מתבצע אך ורק דרך API מאובטח שאינו שומר נתונים לצורכי אימון. אתה חייב לדרוש את אותה רמת שקיפות מהספק שלך. שאל אותו מפורשות באילו מודלים הוא משתמש ומהי מדיניות שמירת המידע של אותם מודלים.

שאלה 3: מי מהעובדים של הספק יכול לקרוא את ההודעות?

הרבה בעלי עסקים שוכחים שמאחורי כל מערכת אוטומטית עומדים בני אדם. לספק הבוט שלך יש מפתחים, אנשי תמיכה טכנית ומנהלי תיקי לקוחות. מה מונע מאיש תמיכה טכנית להיכנס למערכת ולקרוא התכתבות רגישה בין הלקוח שלך לבין הבוט?

ספק איכותי יטמיע מערכת של בקרת גישה מבוססת תפקידים. זה אומר שלעובדי הספק אין גישה חופשית לתוכן ההודעות של הלקוחות שלך, אלא אם כן פתחת קריאת שירות ואישרת להם גישה זמנית לצורך פתרון תקלה. מעבר לכך, מערכת טובה מנהלת יומן רישום. כל כניסה למסד הנתונים מתועדת, כך שניתן לדעת בדיוק מי ניגש לאיזה מידע ובאיזו שעה. אל תתבייש לשאול את הספק לגבי נהלי העבודה הפנימיים שלו. אם מנכ״ל חברת הפיתוח יכול לקרוא את ההודעות שלך מהסמארטפון שלו בזמן הפנוי, זו נורת אזהרה בוהקת.

שאלה 4: מהי מדיניות שמירת הנתונים והמחיקה?

עסק לא צריך לשמור מידע לנצח. למעשה, אגירת מידע מיותר מגדילה את הסיכון המשפטי והעסקי שלך במקרה של פריצה. עליך להגדיר יחד עם הספק מדיניות ברורה של שמירת נתונים.

שאל את הספק כמה זמן הוא שומר את היסטוריית השיחות בשרתים שלו. האם ניתן להגדיר מחיקה אוטומטית של הודעות לאחר 30, 60 או 90 ימים? האם המערכת יודעת לזהות ולמחוק אוטומטית פרטי אשראי או מספרי תעודת זהות שמוזנים בטעות על ידי הלקוח? בנוסף, חשוב לברר מה קורה ביום שבו תחליט לסיים את ההתקשרות עם הספק. ודא שיש בחוזה סעיף המחייב את הספק להעביר אליך את כל המידע ולמחוק אותו לחלוטין מהשרתים שלו בתוך פרק זמן מוגדר.

שאלה 5: האם קיימים אישורים ותקני אבטחה מוכרים?

הדרך הטובה ביותר לוודא שהספק לא רק מדבר על אבטחה אלא גם מיישם אותה, היא לבקש לראות אישורים חיצוניים. התקן המקובל ביותר בעולם לאבטחת מידע הוא ISO 27001. ספק שמחזיק בתקן כזה עבר מבדקים חיצוניים קפדניים שמוכיחים שיש לו נהלים מסודרים לניהול סיכונים, טיפול באירועי סייבר והגנה על נתונים.

אם הספק הוא סטארט אפ קטן ועדיין אין לו תקן ISO, זה לא בהכרח פוסל אותו, אבל זה דורש ממך לבדוק אותו לעומק. במקרה כזה, שאל האם הוא מבצע בדיקות חדירות תקופתיות. בדיקת חדירות היא תהליך שבו חברת סייבר חיצונית מנסה לפרוץ למערכת באופן יזום כדי לאתר פרצות אבטחה לפני שההאקרים הרעים מוצאים אותן. ספק שמבצע בדיקות כאלו ומוכן לשתף איתך את התקציר של דוח הממצאים, מפגין בגרות מקצועית ואחריות.

איך לזהות נורות אזהרה אצל ספקים?

כדי לעזור לך לקבל החלטה, ריכזתי כמה תשובות נפוצות של ספקים שצריכות להדליק אצלך נורת אזהרה. אם אתה שואל ספק על אבטחת מידע בבוט וואטסאפ והוא עונה לך באחת מהדרכים הבאות, כדאי לשקול מחדש את העבודה איתו.

תשובה כמו הכל יושב בענן של גוגל אז זה מאובטח במאה אחוז היא תשובה מתחמקת. הענן של גוגל אכן מאובטח, אבל אם הספק השאיר את מסד הנתונים שלו פתוח ללא סיסמה חזקה, הענן לא יגן עליו. תשובה אחרת שכדאי להיזהר ממנה היא אל תדאג, אף אחד לא מסתכל על הנתונים שלך. אבטחת מידע לא נשענת על הבטחות בעל פה, אלא על נהלים כתובים ומערכות טכנולוגיות שמונעות גישה.

סיכום וצעדים להמשך

הכנסת בוט לשירות הלקוחות היא צעד חכם שיכול לשפר משמעותית את היעילות של העסק שלך. עם זאת, אי אפשר להתעלם מהאחריות שלך כלפי הלקוחות שסומכים עליך. אבטחת מידע בבוט וואטסאפ היא לא נושא למתכנתים בלבד, היא נושא עסקי ממדרגה ראשונה.

לפני שאתה חותם על הסכם התקשרות, קח את השאלות שהצגתי במדריך הזה ושלח אותן לספק. ספק איכותי ואמין ישמח לענות עליהן בצורה מפורטת, כי הוא יודע שאבטחת מידע היא יתרון תחרותי. ספק שינסה לנפנף אותך או יספק תשובות מעורפלות, כנראה מסתיר תשתית רעועה. זכור תמיד שהמוניטין של העסק שלך מונח על הכף, ושווה להשקיע עוד כמה ימי בדיקה כדי לישון בשקט בלילה.