תקציר המאמר: ניהול נתונים במגזר החברתי דורש אחריות כבדה, במיוחד לנוכח אכיפת תיקון 13 לחוק הגנת הפרטיות. המאמר סוקר את החשיבות של הפעלת אימות דו-שלבי (2FA) במערכת מאנדיי Monday ככלי חיוני להגנה על מידע רגיש של מוטבים ותורמים. נבין מהו התהליך הטכני, אילו אפשרויות אימות קיימות וכיצד הנהלת הארגון יכולה לאכוף את המדיניות כדי לייצר תרבות ארגונית מאובטחת ואחראית.

כארגון חברתי, המידע שאתם מנהלים הוא הנכס היקר ביותר שלכם. נתונים על מוטבים, תורמים ותקציבים הם לא רק "שורות במערכת", הם הבסיס לאמון הציבור בכם. בעידן שבו תיקון 13 לחוק הגנת הפרטיות כבר נמצא בשלב האכיפה, אבטחת מידע היא כבר לא "רשות" – היא חובה חוקית וניהולית ממעלה ראשונה.

כחלק ממהלך רחב של התאמת העמותה לדרישות החוק והגנה על הפרטיות, מומלץ מאוד להפעיל אימות דו-שלבי (2FA) עבור כל מי שמשתמשים במערכת המאנדיי (Monday) של הארגון.

מה זה בכלל אימות דו-שלבי (Two-Factor Authentication)?

רובנו כבר מכירים את זה מהחיים האישיים: כשאנחנו נכנסים לאתר של מס הכנסה, של הביטוח הלאומי או לחשבון הבנק, המערכת לא מסתפקת רק בסיסמה. היא מבקשת מאיתנו "זיהוי נוסף" – בדרך כלל קוד שנשלח לטלפון. זהו האימות הדו-שלבי: שכבת הגנה שמוודאת שגם אם מישהו גנב לכם את הסיסמה, הוא לא יוכל להיכנס לחשבון בלי המכשיר הפיזי שנמצא אצלכם ביד.

למה זה הכרחי? (ולמה זה לא מספיק)

אימות דו-שלבי הוא מנעול איכותי על הדלת, אך חשוב לומר את האמת: הוא לא יהפוך קירות מנייר לקירות בטון. אם המערכת שלכם מאובטחת, אך העובדים ממשיכים לייצא דוחות אקסל רגישים למחשב האישי או לשלוח רשימות מוטבים בוואטסאפ – המנעול של מאנדיי לא ימנע דליפת מידע או קנסות רגולטוריים... הצעד הטכני הזה הוא רק התחלה של בניית תרבות ארגונית אחראית.

איך זה עובד?

לאחר יישום אימות דו-שלבי ע"י מנהל המערכת בארגון, תהליך ההתחברות למאנדיי יכלול שני שלבים:

1. שלב ראשון: הזנת כתובת המייל והסיסמה האישית כפי שנעשה עד היום.

2. שלב שני: הזנת קוד אימות חד-פעמי שיופק עבורכם.

הנחיות לביצוע (חד-פעמי)

בכניסה הבאה למערכת לאחר הפעלת ההגנה, תתבקשו לבחור את שיטת האימות המועדפת עליכם:

• אפליקציית אימות (מומלץ מאוד): שימוש באפליקציות חינמיות של חברות מוכרות כמו Google Authenticator או Microsoft Authenticator. סורקים את קוד ה-QR שמופיע על המסך ומזינים את הקוד המתחלף שמופיע באפליקציה. זו השיטה המאובטחת ביותר.

• הודעת טקסט (SMS): קבלת קוד ב-SMS בכל התחברות.

  • שימו לב: על פי הגדרות חברת מאנדיי, אפשרות זו אינה זמינה בחשבונות התנסות (Trial) או בחשבונות חינמיים (הנפוצים בעמותות עם פחות מ-10 משתמשים). במקרים אלו, חובה להשתמש באפליקציית אימות.

צילום מסך ממדור התמיכה של מאנדיי

דגשים חשובים להנהלה

• שליטה ניהולית באכיפה: מנהלת המערכת בארגון יכולה להחליט על מי בדיוק תחול חובת האימות הדו-שלבי. דרך הגדרות האבטחה (Security), ניתן לקבוע האם לאכוף את ה-2FA על כלל המשתמשים בחשבון, רק על חברי הצוות (Members) או רק על אורחים חיצוניים (Guests). ברגע שמופעלת האכיפה (Enforce), המערכת לא תאפשר למשתמשים שנבחרו גישה ללוחות העבודה עד שיסיימו להגדיר את אמצעי האימות שלהם.

• תדירות: המערכת תבקש את הקוד רק בחיבור ממכשיר חדש, לאחר יציאה יזומה מהחשבון (Log out), או פעם בתקופה מטעמי אבטחה.

• אובדן גישה: במקרה של החלפת טלפון או אובדן גישה לאמצעי האימות, על המשתמש ליצור קשר עם הנהלת המערכת בעמותה לצורך איפוס מאובטח.

• התמונה המלאה: הפעלת ה-2FA (אימות דו-שלבי), היא צעד טכני חיוני, אך היא חלק ממערך שלם הכולל מיפוי מאגרים, הגדרת הרשאות וריענון נהלים. [לעיון נוסף בהשלכות תיקון 13 על עמותות - לחצו כאן].

---

לסיכום - שאלות ותשובות FAQ:

מדוע חשוב להפעיל אימות דו-שלבי דווקא עכשיו?

הצורך נובע מתיקון 13 לחוק הגנת הפרטיות שנמצא בשלב האכיפה. אבטחת מידע על מוטבים ותורמים היא חובה חוקית וניהולית, ואימות דו-שלבי מהווה שכבת הגנה קריטית שמוודאת שגם במקרה של גניבת סיסמה, הגישה לחשבון תישאר חסומה ללא המכשיר הפיזי של המשתמש.

אילו שיטות אימות קיימות במערכת מאנדיי Monday?

קיימות שתי שיטות עיקריות: שימוש באפליקציית אימות (כמו Google Authenticator או Microsoft Authenticator), שהיא השיטה המאובטחת ביותר, או קבלת קוד ב-SMS. חשוב לציין שבחשבונות חינמיים או חשבונות התנסות של מאנדיי Monday, אפשרות ה-SMS אינה זמינה וחובה להשתמש באפליקציית אימות.

האם מנהל המערכת יכול לחייב את כלל העובדים להשתמש באימות דו-שלבי?

כן, מנהלת המערכת בארגון יכולה להגדיר אכיפה (Enforce) דרך הגדרות האבטחה. ניתן להחליט אם האכיפה תחול על כלל המשתמשים, רק על חברי הצוות או רק על אורחים חיצוניים. משתמש שלא יגדיר את אמצעי האימות לא יוכל לגשת ללוחות העבודה.

האם אצטרך להזין קוד אימות בכל פעם שאכנס למערכת?

לא בכל פעם. המערכת תבקש את קוד האימות רק בעת התחברות ממכשיר חדש, לאחר ביצוע יציאה יזומה מהחשבון (Log out), או פעם בתקופה מטעמי אבטחה תקופתיים.

מה קורה אם עובד מאבד את הגישה לטלפון או לאמצעי האימות שלו?

במקרה של אובדן גישה או החלפת טלפון, על המשתמש ליצור קשר עם הנהלת המערכת בעמותה. מנהלי המערכת הם אלו שמוסמכים לבצע איפוס מאובטח של הגדרות האימות עבור המשתמש.

האם הפעלת אימות דו-שלבי מספיקה כדי להגן על הארגון מדליפת מידע?

לא. אימות דו-שלבי הוא צעד טכני חיוני, אך הוא רק חלק ממערך שלם. הוא לא ימנע דליפת מידע אם עובדים מייצאים דוחות רגישים למחשבים אישיים או שולחים מידע בוואטסאפ. הגנה מלאה דורשת גם מיפוי מאגרים, הגדרת הרשאות וריענון נהלים ארגוניים.