שילוב מומחים חיצוניים ופרילנסרים הפך לאחת מאסטרטגיות הליבה של ארגונים מודרניים שצריכים לשמור על גמישות תפעולית.
עם זאת, לצד היתרונות הברורים של גישה מהירה לכישורים ייחודיים לפרויקטים אד הוק, העסקת גורמים חיצוניים מציבה בפני הארגון חשיפה בטיחותית ומשפטית כבדה, לרבות סיכוני אבטחת מידע, דליפת נכסים דיגיטליים ופגיעה בסודיות המסחרית.
בעידן שבו מידע הוא המרכיב הערכי המרכזי של הארגון, הגנה על נתונים בארגונים שמשלבים פרילנסרים, מחייבת מעטפת ניהולית הדוקה ומודעת לאבטחת מידע.
הפיקוח הלקוי והאיומים הגוברים:
ממחקרים של חברות הייעוץ והאבטחה המובילות בעולם עולה, כי גורמים חיצוניים מהווים כיום את אחד מאפיקי הסיכון המרכזיים בשרשרת האספקה הדיגיטלית.
להלן 3 סיכוני אבטחת מידע הנובעים משילוב יועצים חיצוניים ופרילנסרים:
1 דליפות מידע מגורם שלישי:
מחקרים של חברת גרטנר מצביעים על כך שמשנת 2025 ולקראת 2027, כ-60% מאירועי אבטחת המידע ודליפות הנתונים בארגונים הגדולים מקורם בהרשאות גישה שניתנו לספקים, פרילנסרים ויועצים חיצוניים.
2 פערי מדיניות ואכיפה:
ממחקרים של PwC עולה, כי יותר מ-55% מהארגונים מודים שאין להם פרוטוקול אבטחת מידע מוגדר, המותאם ספציפית לעובדים חיצוניים.
במקביל, ממחקר של חברת מקינזי עולה, כי כ-32% בלבד מהחברות מנהלות מעקב רציף אחר הרשאות הגישה של פרילנסרים לאחר סיום הפרויקט.
3 נזק כלכלי ותדמיתי:
מנתוני ענף אבטחת המידע עולה, כי, אירוע אבטחת מידע שמקורו בספק או בפרילנסר חיצוני, עולה לארגון בממוצע כ-20% יותר מאירוע פנימי, בשל המורכבות המשפטית והקושי בתיחום מקור הדליפה.
יצירת מעטפת הגנה הרמטית:
כדי ליהנות מגמישות תעסוקתית (כלומר, כדי לאפשר לארגון לשכור יועצים חיצוניים ופרילנסרים) בלי לסכן את נכסי הארגון, על מנהלי משאבי אנוש, המחלקה המשפטית ומחלקת ה-IT ליישם 4 עקרונות:
1 הסכמי סודיות (NDA) וקניין רוחני נוקשים:
יש להחתים כל פרילנסר על הסכם סודיות מפורט לפני שניתנת לו גישה ראשונית למידע.
על ההסכם להגדיר מפורשות כי כל תוצר, קוד, חומר או תובנה שפותחו במסגרת ההתקשרות, הם בבעלות מלאה ובלעדית של הארגון.
2 מדיניות אפס אמון:
יש לתת הרשאות נגישות מוגבלות רק לפי הכלל של מידע על בסיס של 'חיוני לדעת לצורך ביצוע התפקיד'.
כלומר, פרילנסר צריך לקבל גישה אך ורק לקבצים ולמערכות הנדרשות הישירות לביצוע המשימה הספציפית שלו, תוך חסימת גישה למאגרי מידע ארגוניים רגישים.
3 אבטחה טכנולוגית וסביבות עבודה מבודדות:
יש לדרוש לשימוש באימות דו-שלבי, עבודה דרך רשתות VPN ארגוניות מוצפנות או סביבות עבודה וירטואליות (VDI).
מומלץ למנוע הורדת קבצים מקומיים למחשבים פרטיים של הפרילנסר.
4 ניהול מחזור חיים של הרשאות:
יש להגדיר תהליך אוטומטי של ביטול כולל ומידי של כל הרשאות הגישה, הסיסמאות והתיבות הדיגיטליות ברגע סיום הפרויקט או ההתקשרות.
בשורה התחתונה, שילוב פרילנסרים הוא מנוע צמיחה וחדשנות חשוב לארגונים, אבל ללא ניהול סיכונים קפדני הוא עלול להפוך לנקודת התורפה של הארגון.
ארגונים שישכילו לשלב בין חוזים משפטיים הדוקים, טכנולוגיית אבטחה מתקדמת ובקרה רציפה, יבטיחו את הגמישות העסקית לצד שמירה מלאה על נכסיהם הדיגיטליים.
