פיתוח offshore – הסכנות הגדולות

"זו דאגה שאנחנו נדרשים לה כמעט עם כל לקוח" אומר ערן כהן, מנהל איזורי בחברת Ciklum, המציעה שירותי גיוס צוותי פיתוח במזרח אירופה במודל ייחודי עבור חברות בישראל ובעולם. "הסיוט של כל חברה הוא שהקוד היקר שהיא פיתחה ייגנב ויימכר למתחרה. זה מעיק על חברות בעיקר בגלל שאין דרך לבטח שום קוד במאה אחוז, לא בחו"ל ולא בארץ באותה המידה. מה שאפשר לעשות הוא ניהול הסיכון על ידי יצירת סביבת עבודה בה הסבירות שתקרה עבירת מידע היא נמוכה כל האפשר."

בגלל המרחק הגיאוגרפי, פעילות הצוותים החיצוניים דורשת מנגנוני ביקורת שלא תמיד יהיו הכרחיים כאשר הצוות נמצא בארץ. הקבלן שדרכו מקימים את צוות הפיתוח צריך להיות ערוך לדרישות אבטחת המידע של הלקוח. לכן, בין אם מדובר במודל של מיקור חוץ או בהעסקה ישירה דרך חברת צד שלישי כמו Ciklum, יש פרטים רבים שחשוב לשים לב אליהם לפני שחותמים על חוזה.

"קיימים תקנים בינלאומיים לאבטחת מידע," מסביר ערן. "בעולם הם נכללים תחת המטרייה של GRC* שזה רגולציה, ניהול סיכונים ותאימות. Compliance היא מילת המפתח. התקנים מאפשרים מעקב ומורידים משמעותית את הסיכון ללקוח. לצערנו, לא כל החברות שבונות צוותי פיתוח חיצוניים מקפידות לעמוד בתקנים, למעשה רובן המכריע כלל אינן מסוגלות לעמוד בסטנדרטים הרצויים. גם מידת האבטחה של תקשורת הנתונים היא גורם שלא כדאי להתפשר בו. חשוב לוודא עם החברה איתה עובדים שתקשורת הנתונים לא תהיה פרוצה לצדדים נוספים."

כמובן, החוליה החשובה ביותר בשמירה על אבטחת המידע היא הגורם האנושי. העובדים בצוותי פיתוח, בארץ ובעולם, הם אלו, שבמעשה או בהזנחה, יכולים להוביל לדליפה של מידע רגיש. בנוסף, חוקי זכויות על קניין רוחני משתנים בין מדינה למדינה ויכולים לגרום לבעיות בהמשך הדרך. הסביבה בה הצוות שלכם עובד, והרקע של האנשים שמרכיבים אותו, הם מרכיבים קריטיים במשוואה.

"כשמדובר באנשים שבנו את הקריירה שלהם בפיתוח תוכנה, נדיר שהם יסכנו קריירה כזאת, לכן חשוב לשכור אנשים מנוסים" מסביר ערן. "מומלץ להגדיר בחוזה ההעסקה את כל נושאי הקניין הרוחני ולהחתים את העובד על NDA כדי שלא יהיה בלבול לגבי מה מותר ומה אסור. הקבלן איתו עובדים צריך להיות מסוגל לספק רקע על העובדים ולהכיר את השוק המקומי. בחברה בעלת מוניטין, לא סביר שיהיה אפילו מקרה אחד של עבירת IP משמעותית כי המשמעות תהיה 'לשרוף את' המפתח בשוק כולו."

בשורה התחתונה, אבטחת מידע תלויה במידה רבה בעובדים, ולכן חשוב שתוכלו לסמוך על העובדים שלכם. עובד לא אמין יסכן את המידע שלכם בין אם שכרתם אותו בתל אביב או בקייב. המבחן של החברות הקבלניות הוא ביצירת התנאים שיאפשרו לכם לסמוך על העובדים שאתם שוכרים דרכן, ולהעניק לכם את תחושת הביטחון בהעסקת עובד בחו"ל כמו זו שבארץ. התנאים והתקנים אותם מספקת החברה הקבלנית, כמו גם השם הטוב שלה, מספר העובדים, והנסיון שלה בשוק, הם לא סתם תוספת לקישוט – הם הדרך שלכם להשיג ראש שקט, לוודא כי אתם עומדים בחוקים של המדינה בה אתם פועלים ולמנוע גניבה של המידע שלכם.

*Governance, Risk Management and Compliance