עקבו אחרי פעולה עסקית אחת מתחילתה
בחרו תהליך כמו פנייה מהאתר והגדירו אילו שדות, קבצים ונתונים נלווים עשויים להיכלל בו. בדקו גם מה המשתמש מקליד ומה נוסף אוטומטית לפי המערכת. תיבה ריקה במסך אינה הוכחה שאין רישום בשכבה אחרת. תארו סוגי מידע בלי להעתיק פניות אמיתיות למסמך המיפוי.
רשימת הנכסים מסבירה אילו מערכות קיימות; מפת המידע מסבירה מה עובר ביניהן. הרשות להגנת הפרטיות מספקת מדריך לתקנות אבטחת מידע ולתיעוד רלוונטי. המפה המוצעת כאן היא כלי עבודה טכני מקורי, ואינה מחליפה מסמכים או בחינת חובות שחלים על העסק.
לכל שלב רשמו מידע, יעד ואחריות
השתמשו בטבלה לכל זרימה, ולא רק לכל ספק. אותה מערכת יכולה לקבל כמה סוגי מידע למטרות שונות, ואותו סוג מידע יכול להישמר בכמה יעדים. לכל שורה צרפו מקור אימות, כמו הגדרה שנבדקה או ניסוי מורשה בנתונים מלאכותיים, ומציינים מה לא אומת.
| שלב | מה מתעדים | בדיקה שמקדמת החלטה |
|---|---|---|
| איסוף | שדות, קבצים ומידע נלווה | האם כל פרט נחוץ למטרה |
| העברה | מערכת יעד, חיבור וגורם מקבל | מה נשלח בפועל ובאיזה מסלול |
| שמירה | מיקום, עותקים ובעלים | מי יכול לקרוא, להוריד או לשנות |
| שימוש | פעולה ומורשי גישה | האם השימוש תואם לצורך שהוגדר |
| ייצוא וגיבוי | עותקים נוספים ואחראים | מה יקרה בהחלטת מחיקה או שחזור |
| סיום שימוש | כלל שמירה והחלטה מוסמכת | מי מבצע ואיך מאמתים |
דואר, ייצוא ולוגים הם חלק מהמפה
פנייה יכולה להישמר ביישום, להישלח לתיבה, להופיע ב-CRM ולצאת בהמשך לקובץ עבודה. גם תיעוד תקלה וצילום מסך יכולים להכיל פרטים אישיים. אם ספק מחזיק גישה או מעבד מידע, מציינים מה הוא מקבל ומה תפקידו; לא מסתפקים ברשימת שמות חברות.
מדריך הרשות להתקשרות עם גורם חיצוני מסייע בבחינת האחריות וההתקשרות בהקשר המתאים. הסקירה הטכנית צריכה להראות זרימות והרשאות, ולהפנות שאלות של תכלית, הסכם וחובה לגורם המוסמך. שם מוצר או הצהרת אבטחה באתר הספק אינם הוכחה שכל שימוש בו מתאים למידע של העסק.
דוגמה: פנייה אחת נשמרת בכמה מקומות
התרחיש להמחשה בלבד. טופס שומר הודעה באתר, שולח התראה לתיבה ומוסיף רשומה במערכת שירות. עובד מייצא קובץ למעקב, והנתונים נכנסים גם לגיבוי. צמצום השדות בטופס משפיע על איסוף עתידי, אך אינו משנה אוטומטית את כל העותקים שכבר קיימים.
מיפוי עם נתוני ניסיון בודק איזה שדה הגיע לכל יעד ומי רואה אותו. לא שולחים נתוני לקוחות דרך תהליך אמיתי רק לצורך הדגמה. אם מסלול מסוים אינו נגיש לבדיקה, מסמנים פער ובעלים לבירור. הניסוי הוא ראיה למדגם שנבדק, ולא הבטחה שאין זרימות נוספות.
חברו את המפה להחלטות על הרשאות ושמירה
לאחר המיפוי בוחנים שדות שאינם נחוצים, שיתופים רחבים ועותקים שאיש אינו אחראי להם. שינוי שדה או יעד דורש בדיקת תפקוד, במיוחד אם CRM או תהליך שירות מסתמכים עליו. ההחלטה על תקופת שמירה, סיווג או מסירה אינה נקבעת רק על בסיס קלות המחיקה הטכנית.
מפת מידע אינה הוכחת עמידה בכל דרישות הפרטיות. היא מאפשרת לבעלים ולגורם המקצועי לקבל החלטות עם תמונה טובה יותר. גם מידע שנשמר אצל ספק או בגיבוי נותר שאלה שיש לתעד. אל תכריזו שנמחק כל המידע אם נבדק רק מסד האתר.
עדכנו את המפה כשמשנים תהליך
הוספת טופס, חיבור AI, תוסף, כלי מדידה או ספק חדש יכולה לשנות מידע ויעדים. הגדירו בעלים למפה ומתי נדרשת בחינה מחדש. אין צורך לכתוב הכול מחדש בכל שינוי קטן, אבל צריך שהשורות המושפעות ישקפו את המצב שאומת ואת מועדו.
ב-CyberFixCrew אפשר להגדיר מיפוי טכני של האתר והחיבורים, עם רשימת פערים והמלצות לבדיקה. מסמך המסירה צריך להיות נגיש רק למורשים ולא להכיל פניות, סודות או קבצי לקוחות אמיתיים. התוצר הטוב הוא מפה שניתן לתחזק ולהשתמש בה בהחלטה הבאה.
