דרישות אבטחה מומלצות לתוכנת הנהלת חשבונות בענן לעסקים

תוכנת הנהלת חשבונות בענן מרכזת את הנכס הרגיש ביותר של העסק — הספרים. כרטסת הלקוחות, יתרות הספקים, דפי הבנק, השיקים היוצאים, דוח המע"מ ודוח הניכוי במקור, כולם יושבים במקום אחד ונגישים מכל מכשיר ובכל שעה. היתרון התפעולי ברור, אבל הוא מגיע עם שאלה שכל בעל עסק חייב לשאול לפני החתימה: מי בדיוק שומר על המידע הזה, ואיך.

ריכזנו כאן את דרישות האבטחה שמומלץ להציב בפני כל ספק של תוכנת הנהלת חשבונות בענן — מהצפנה ואימות דו-שלבי, דרך הרשאות ומסלול ביקורת, ועד תשתית פיזית, גיבויים ורציפות עסקית. בסוף המאמר תמצאו רשימת שאלות מוכנה להנחה על השולחן מול הספק.

למה אבטחת המידע החשבונאי היא סיכון עסקי ולא רק סיכון טכנולוגי?

ברוב העסקים הקטנים והבינוניים נושא האבטחה נדחק הצידה עד לרגע שבו קורה משהו. הבעיה היא שמדובר במערכת הכספים, "משהו" מתורגם מיד לנזק עסקי מוחשי:

• שיבוש נתונים חשבונאיים — טעות או שינוי זדוני בכרטסת, ביתרות הספקים או בתנועות היומן פוגע ישירות באמינות הדוחות שעליהם מתקבלות ההחלטות.
• עצירת פעילות — כשמערכת הכספים לא זמינה, לא מפיקים חשבוניות, לא משלמים לספקים ולא סוגרים חודש.
• חשיפה של מידע עסקי רגיש — מחירונים, תנאי אשראי ללקוחות, מרווחים ופרטי בנק הם מידע שמתחרים ישמחו לקבל.
• חשיפה רגולטורית — דיווחים לרשויות המס מבוססים על נתוני המערכת. פגיעה בשלמות הנתונים או באפשרות לשחזר אותם היא בעיה מול הרשויות, לא רק מול ה-IT.
• פגיעה באמון — לקוחות וספקים שנחשפו לתקלה במערך הכספים שלכם זוכרים את זה זמן רב.

ההיגיון שמנחה מערכת ERP — מסד נתונים אחד, שרת אחד, מערכת אחת — הוא בדיוק מה שהופך את האבטחה לקריטית. ככל שהמידע מרוכז יותר, כך שכבת ההגנה עליו צריכה להיות מהודקת יותר.

מהן דרישות האבטחה שכל תוכנת הנהלת חשבונות בענן צריכה לעמוד בהן?

• הצפנת נתונים במעבר ובמנוחה

זו דרישת הבסיס. כל תעבורה בין המשתמש למערכת צריכה להיות מוצפנת בפרוטוקול מוצפן ומעודכן, וגם הנתונים השמורים בשרתים ובקבצי הגיבוי צריכים להיות מוצפנים. אל תסתפקו באמירה כללית — בקשו מהספק לפרט אילו רכיבים מוצפנים ובאיזו שיטה, וכיצד מנוהלים מפתחות ההצפנה.

• אימות דו-שלבי (MFA) בכניסה למערכת

סיסמה בלבד היא כבר לא הגנה מספקת למערכת שמכילה את ספרי החשבונות. אימות דו-שלבי הוא היום דרישת סף, במיוחד כשהגישה למערכת אפשרית מכל מקום ומכל מכשיר.

בענן המנוהל SAP Cloud של Menahel4U קיימת שכבת הגנה נוספת על הנתונים באמצעות אימות דו-שלבי בכניסה למערכת, בפתרון Duo Security.

• הרשאות לפי תפקיד והפרדת סמכויות

לא כל מי שנכנס למערכת צריך לראות הכול. תוכנת הנהלת חשבונות ראויה מאפשרת להגדיר, כבר בשלב היישום, אילו מסכים ואילו פעולות פתוחים לכל בעל תפקיד — כאשר חלק מהמסכים מיועדים לצפייה בלבד לצורך קבלת החלטות, וחלק מאפשרים לבצע פעולות המשפיעות על נתוני הארגון.

מעבר לכך, חשוב שהמערכת תתמוך בהפרדת סמכויות: מי שמזין חשבונית ספק אינו בהכרח מי שמאשר את התשלום. סבבי אישורים מובנים הם לא רק כלי ניהולי — הם בקרה אנטי-הונאה.

• מסלול ביקורת מלא — מי עשה מה ומתי

כל פעולה המתבצעת במערכת צריכה להירשם תחת שם המשתמש של מבצע הפעולה, כך שקיימת שקיפות מלאה בנוגע לאופי הפעילות והיקפה. זו הדרישה שמאפשרת לכם לחקור אירוע חריג, להוכיח תקינות מול רואה החשבון ולזהות דפוסי עבודה בעייתיים לפני שהם הופכים לנזק.

בדקו גם שהמערכת כוללת מנגנוני חוקיות מובנים ששומרים על אמינות המידע — למשל, חוסר אפשרות לבצע פעולה שאינה תקינה חשבונאית, ודרישת נימוק ושיוך לבעל תפקיד בכל פעולה חריגה.

• גיבויים סדירים ויכולת שחזור מוכחת

גיבוי שלא נבדק אינו גיבוי. מול הספק כדאי לברר שלושה דברים: באיזו תדירות מבוצע הגיבוי, כמה זמן לוקח שחזור, ומי אחראי לבצע אותו.

בשירות הענן של Menahel4U כל הנתונים החשבונאיים מגובים תמיד, כך שניתן לאחזר את המידע במהירות במקרה הצורך, והמידע מגובה פעמיים ביום.

• תשתית פיזית מאובטחת ועמידה בתקנים בינלאומיים

הענן הוא, בסופו של דבר, שרת פיזי במקום כלשהו. לכן חשוב לדעת היכן בדיוק יושבים הנתונים ומהי רמת האבטחה של המתקן.

חוות השרתים של Menahel4U נמצאת בבזק בינלאומי — מהמתקדמות, הגדולות והמובילות בישראל, מאובטחת לוגית ופיזית 24/7. המתקנים מוגדרים כאסטרטגיים למדינת ישראל ועומדים בתקנים מחמירים, ביניהם ISO/IEC 27001, ISO 9001, סטנדרט Tier 3+ ותקן PCI DSS.

ברמה הפיזית קיימות במתקנים מערכות זיהוי ביומטרי, תאי סינון, חיישני תנועה, מערך צילום פרואקטיבי, שיטות נעילה מגוונות לכלובים ולארונות, חומת בטון וגדרות תיל ושמירה מסביב לשעון. המתקנים נבנו בעומק של 5 מטרים מתחת לפני האדמה ומוגנים בפני רעידות אדמה והצפות.

• יתירות ורציפות עסקית

אבטחת מידע איננה רק הגנה מפני תוקף — היא גם הבטחה שהמערכת תמשיך לעבוד. דרשו מהספק לפרט את מנגנוני היתירות: כפילות מערכות, מקורות חשמל וקירור מגובים, וזמן פעילות אוטונומית במקרה של נתק.

בחוות השרתים שבה מאוחסן הענן של Menahel4U המערכות מגובות וכפולות ומספקות יתירות (N+N / N+1), גיבוי רשת החשמל מבוצע באמצעות מערכות אל-פסק כפולות (UPS) המגובות בגנרטורים, וקיימים מכלי סולר מוטמנים כפולים בנפח 60,000 ליטר כל אחד — המאפשרים פעילות אוטונומית למשך 72 שעות. בנוסף, קיימות במתקנים מערכות בקרה מתקדמות להתראה מיידית בפני כשלים.

• מיקום הנתונים וריבונות מידע

לעסק ישראלי יש יתרון ממשי בכך שהנתונים החשבונאיים שלו נשמרים בחוות שרתים בישראל: זמני תגובה מהירים יותר, כפיפות ברורה לדין הישראלי, ונגישות מול הרשויות במקרה של ביקורת. רשת ה-Data Centers של בזק בינלאומי מבוססת על תשתית כבל תת-ימי המאפשרת שרידות מרבית וחיבור מהיר אל שדרת האינטרנט העולמית.

• אבטחת ממשקים ואינטגרציות

מערכת הכספים לא עובדת לבד. היא מתחברת לסליקת כרטיסי אשראי, ליבוא דפי בנק, לתשלומי ספקים במס"ב, לחשבונית דיגיטלית ולמערכות נוספות. כל ממשק הוא נקודת חשיפה פוטנציאלית. ודאו שהחיבורים מוצפנים, שההרשאות שלהם מצומצמות לנדרש בלבד, ושהספק מתעד ומנטר אותם.

• עדכוני גרסה וניהול פגיעויות

תוכנה לא מעודכנת היא הפרצה הנפוצה ביותר. אחד היתרונות המשמעותיים של הענן המנוהל הוא שהאחריות לעדכונים עוברת לספק — אין צורך להחזיק חדרי שרתים וצוותי תמיכה פנימיים. שאלו במפורש מי מבצע את העדכונים, באיזו תדירות, וכיצד מתבצע תיאום מולכם.

• אבטחת גישה מרחוק ומכשירים ניידים

היכולת לגשת לתוכנת הנהלת החשבונות בכל שעה ומכל מקום — במחשב, בנייד או בטאבלט — היא יתרון תפעולי אמיתי, אבל היא מרחיבה את משטח התקיפה. הדרישות המינימליות: אימות דו-שלבי, ניתוק אוטומטי של סשן לא פעיל, ויכולת לבטל גישה מיידית של עובד שסיים את תפקידו.

• הסכם שירות (SLA), אחריות הספק ותנאי יציאה

זהו הסעיף שנשכח הכי הרבה. לפני החתימה ודאו שברור לכם מהו זמן התגובה המתחייב בעת תקלה, מהם דרכי ההתקשרות בשעת חירום, ומה קורה לנתונים שלכם ביום שבו תרצו לעזוב — באיזה פורמט תקבלו אותם, תוך כמה זמן, ובאיזו עלות.

השוואה: היכן מאוחסנת תוכנת הנהלת החשבונות שלכם?

היבט אבטחה	שרת מקומי בעסק	ענן גנרי / אחסון קבצים	SAP Business One בענן מנוהל של Menahel4U
אחריות על אבטחה	על העסק	מחולקת, לרוב לא מוגדרת	על הספק, מוגדרת בהסכם
גיבויים	תלוי בעסק, לרוב ידני	משתנה	מגובה פעמיים ביום
אבטחה פיזית	חדר שרתים במשרד	לא ידועה למשתמש	חוות בזק בינלאומי, אבטחה 24/7, 5 מ' מתחת לקרקע
תקנים	לרוב אין	תלוי ספק	ISO/IEC 27001, ISO 9001, Tier 3+, PCI DSS
יתירות חשמל וקירור	אין או חלקית	לא שקופה	N+N / N+1, UPS כפול, גנרטורים, 72 שעות אוטונומיה
אימות דו-שלבי	דורש הקמה עצמאית	לא תמיד קיים	Duo Security כשכבת הגנה נוספת
מיקום הנתונים	במשרד	לרוב מחוץ לישראל	בישראל
עדכוני אבטחה	באחריות העסק	חלקית	באחריות הספק, ללא צוות IT פנימי
עלות התחלתית	השקעה בשרתים ובתשתיות	נמוכה	ללא השקעה ראשונית בחומרה ותוכנה

אילו שאלות כדאי לשאול ספק ענן לפני החתימה?

• היכן פיזית מאוחסנים הנתונים שלנו, ובאילו תקנים עומדת חוות השרתים?
• באיזו תדירות מבוצעים גיבויים, ומה זמן השחזור המובטח?
• האם קיים אימות דו-שלבי, והאם הוא כלול בשירות או בתוספת תשלום?
• כיצד מוגדרות הרשאות לפי תפקיד, ומי מגדיר אותן בשלב היישום?
• האם כל פעולה במערכת נרשמת ומשויכת למשתמש?
• מי אחראי לעדכוני האבטחה ולעדכוני הגרסה, ובאיזו תדירות הם מבוצעים?
• מהו זמן ההשבתה הצפוי בעת תחזוקה, ומהם הפתרונות שהספק מציע לפרק זמן זה?
• מהו זמן התגובה בעת תקלה, ומהם ערוצי ההתקשרות בשעת חירום?
• אילו ממשקים למערכות חיצוניות נתמכים, וכיצד הם מאובטחים?
• מה קורה לנתונים שלנו בסיום ההתקשרות — פורמט, לוח זמנים ועלות?
• האם המערכת עומדת בדרישות הדיווח של רשויות המס בישראל?
• מהו הוותק של הספק, ומהי מידת שביעות הרצון של לקוחותיו הקיימים?

לתשומת לבכם: דרישות הדיווח והרגולציה בישראל — ובכללן דיווח מקוון למע"מ (PCN874), דוח 856 בגין ניכוי במקור מספקים, ומתווה הקצאת מספרי חשבונית על ידי רשות המיסים — מתעדכנות מעת לעת. מומלץ לוודא מול הספק ומול רואה החשבון של העסק שהמערכת עומדת בדרישות התקפות למועד ההתקשרות.

למי מיועד ענן מאובטח לתוכנת הנהלת חשבונות?

• עסקים קטנים ובינוניים שאין להם צוות IT פנימי ואינם רוצים להחזיק חדר שרתים.
• חברות עם מספר אתרים או עובדים בעבודה מרחוק שצריכות גישה מאובטחת לספרים מכל מקום.
• ארגונים בצמיחה שרוצים גמישות בהוספה וגריעה של משתמשים בהתאם לקצב ההתפתחות.
• חברות רב-חברתיות ורב-מטבעיות שמנהלות מספר ישויות תחת מטריית אבטחה אחת.
• עסקים שעברו אירוע סייבר או תקלת שרת ומבינים היום שרציפות עסקית היא לא מותרות.

למה Menahel4U?

Menahel4U היא שותפה עסקית מובילה ומנוסה של SAP בישראל בשוק ה-SMB — בייעוץ, מכירה, הטמעה ופיתוח של SAP Business One, מערכת ה-ERP של SAP העולמית לארגונים קטנים ובינוניים. מאז 2007 ברציפות נבחרה החברה ל"שותף המצטיין" של SAP, הן בהיקף גיוס הלקוחות החדשים והן בטיב השירות ואיכות הפתרונות.

בכל הנוגע לענן, אנחנו מתמחים אך ורק בשירות ענן ל-SAP Business One — מה שאומר שהצוות שמאבטח את הנתונים שלכם הוא גם הצוות שמכיר את המערכת שבה אתם עובדים. שירותי הענן שלנו הם מהמהירים בעולם, ומרכז התמיכה שלנו הוא הגדול בישראל ל-SAP Business One.

שאלות נפוצות על אבטחת תוכנת הנהלת חשבונות בענן

האם השימוש בענן בטוח?

לגמרי. חוות השרתים שלנו נמצאת באתר שחם של בזק בינלאומי — מהחוות המתקדמות והגדולות בישראל. האתר מאובטח לוגית ופיזית 24/7, ועומד בתקנים מחמירים ובהם ISO/IEC 27001, Tier 3+ ו-PCI DSS.

האם הנתונים החשבונאיים שלי מגובים?

כן. כל הנתונים מגובים תמיד, כך שניתן לאחזר את המידע במהירות במקרה הצורך. המידע מגובה פעמיים ביום.

האם קיימת הגנה מעבר לסיסמה?

כן. בענן המנוהל SAP Cloud מוצעת שכבת הגנה נוספת באמצעות אימות דו-שלבי בכניסה למערכת, בפתרון Duo Security.

האם אפשר להגביל מה כל עובד רואה במערכת הכספים?

בהחלט. עבור כל בעל תפקיד מוגדרים המסכים והיישומים המשמעותיים לעבודתו השוטפת — חלקם לצפייה בלבד וחלקם מאפשרים ביצוע פעולות. ההגדרה מתבצעת בשלב יישום המערכת וניתנת לעדכון בהמשך.

האם ניתן לדעת מי ביצע פעולה מסוימת בהנהלת החשבונות?

כן. כל פעולה המתבצעת במערכת נרשמת תחת שם המשתמש של בעל התפקיד, כך שקיימת שקיפות מלאה בנוגע לאופי הפעילות והיקפה.

מה קורה אם יש הפסקת חשמל או תקלת תשתית?

המערכות בחוות השרתים מגובות וכפולות ומספקות יתירות (N+N / N+1). גיבוי החשמל מבוצע במערכות אל-פסק כפולות המגובות בגנרטורים, ומכלי סולר מוטמנים מאפשרים פעילות אוטונומית למשך 72 שעות.

האם מעבר לענן מחייב אותי להחזיק אנשי IT?

לא. לא נדרשת השקעה ראשונית בחומרה, תוכנה ושירותי IT, ואין צורך בהחזקת חדרי שרתים וצוותי תמיכה. הגיבויים והתחזוקה מבוצעים על ידינו.

כמה זמן לוקח לעלות לאוויר?

העלייה לאוויר מתבצעת תוך ימים ממועד ההזמנה. תהליך היישום המלא — הגדרות, הסבות ובניית מסכים ודוחות — עשוי להימשך בין יום למספר שבועות, בהתאם למורכבות הפעילות העסקית.

האם המערכת עומדת בדרישות רשויות המס בישראל?

תוכנת הנהלת החשבונות של SAP Business One תומכת בהפקת קובץ PCN874 לשידור למע"מ ובהפקת דוח 856 בגין ניכוי במקור מספקים. מכיוון שדרישות הרגולציה מתעדכנות, מומלץ לוודא את הדרישות התקפות מול הספק ומול רואה החשבון של העסק.