הספקים שלכם מטפלים במידע של הלקוחות שלכם. האחריות נשארת שלכם.
DataCycles מגלה מה ספקי התוכנה שלכם עושים בפועל עם מידע אישי, ונותנת לכם את הראיות כדי לתת עליו דין וחשבון.
האחריות שלכם. ובכל זאת, אתם לא יודעים להשיב על שאלות.
לא במשותף. לא בחלקיות. אם כלי שאתם משלמים עבורו פוגע במידע של הלקוחות שלכם, החובה היא שלכם — אתם בחרתם את הספק, והחוק מתייחס לבחירה הזו כמשהו שעליכם לתת עליו דין וחשבון.
זו לא רשלנות — זה נייר עבודה שלא התעדכן
לא מתוך רשלנות: מדיניות הפרטיות נכתבה על ידי מישהו שמעולם לא ראה את המערכות, רשימת הספקים היא כל מה שהצטבר על כרטיס האשראי של החברה, ואף אחד לא בדק כבר שנתיים אם מה שהספקים האלה עושים תואם למה שהוסכם.
בינה מלאכותית הרחיבה את הפער מהר יותר ממה שמישהו עקב אחריו
כלים שאתם כבר משלמים עבורם הפעילו יכולות בינה מלאכותית והתחילו לשלוח מידע של לקוחות למקום חדש — בלי החלטה, בלי בדיקת חוזה ובלי הודעה. הצוות שלכם התחיל להשתמש בעוזרים חכמים שמעולם לא נבדקו. המערכת השתנתה מתחת לנייר העבודה.
החוק הפך את זה לחובה, לא לסיכון
הפער לא גדל כי מישהו היה רשלן. הוא גדל כי התוכנה השתנתה מהר יותר מהמסמכים שמתארים אותה. השאלה ששווה לשאול: אם לקוח, מבטח או הרגולטור היו שואלים לאן המידע של הלקוחות שלכם הולך — הייתם יכולים לענות, עם ראיות?
מה אנחנו עושים
שלושה שלבים. אפשר לעצור אחרי הראשון.
- 01
בדיקה
התקשרות בהיקף קבוע ובמחיר קבוע, בת שבועיים עד ארבעה שבועות. אנחנו ממפים איפה מידע אישי נמצא ולאן הוא זורם, בודקים מה הספקים שלכם מוגדרים בפועל לעשות איתו, ומזהים מה חשוף ומה נדרש כדי לסגור את זה.
- 02
תשתית
במקום שבו אתם מעדיפים לא להריץ את התיקון בעצמכם, אנחנו עושים את זה: הסכמי הספקים החסרים, ההגדרות השגויות, מנגנון ההסכמה שלא עובד, ההודעות והנהלים הפנימיים שלא תואמים את המערכות בפועל. מוגדר בהיקף על סמך הבדיקה, כך שאתם יודעים מה זה כולל לפני שזה מתחיל.
- 03
תפעול שוטף
עמידה בדרישות היא לא פרויקט שמסתיים. הסדר מתמשך שומר את התמונה מעודכנת: בדיקות חוזרות תקופתיות, בחינת ספקים חדשים לפני קליטתם, טיפול בבקשות נושאי מידע ובהתכתבות עם הרגולטור, ואיש קשר קבוע שכבר מכיר את המערכות שלכם כשמשהו קורה.
איך הבדיקה עובדת
רוב הבדיקות עובדות על ידי שאלות. הצוות שלכם עובר ראיונות, הספקים מקבלים שאלונים, והתשובות נכנסות לטבלה. זו שיטה סבירה והיא מפיקה מסמך אמיתי — היא פשוט לא יכולה לומר לכם אם התשובות נכונות. אנחנו בודקים.
מה אנחנו בודקים
- חשבונות הספקים שלכם, כפי שהם מוגדרים בפועל — לא כפי שהם מתוארים
- היכן מידע אישי מגיע למודל, ובאילו תנאי שימור
- מה נמצא באינדקס האחזור שלכם, והאם מחיקה אכן מגיעה אליו
- לאן המידע פיזית מגיע — אזורים, תת-מעבדים ובסיס ההעברה
- כיסוי חוזי — הסכמי עיבוד נתונים חתומים, תנאים שאושרו בלחיצה, והפערים ביניהם
- מיפוי מידע וסיווג רמת אבטחה לפי תקנות אבטחת המידע
שלוש הדרכים שבהן בינה מלאכותית נוגעת במידע אישי
- שימוש במודל (API וישיר) — הפיך: חוזה והגדרות
- RAG — מידע שנשמר באינדקס אחזור, הפיך עקרונית, לעיתים רחוקות בפועל
- כוונון עדין (Fine-tuning) — מידע שנספג במשקלי המודל, בלתי הפיך
מה מקבלים
- דוח כתוב על כל זרימת מידע שנמצאה
- ראיות מאחורי כל ממצא
- ממצאים מדורגים לפי חשיפה ולא לפי סעיף רגולטורי
- רשימת תיקונים מדורגת לפי מה שסוגר את הכי הרבה סיכון תמורת הכי מעט עבודה
למי זה מיועד
זה מיועד לכם אם:
אתם מחזיקים במידע שחשוב
אתם מחזיקים במידע אישי על לקוחות, מטופלים, עובדים או מועמדים, וחשוב להם שתחזיקו בו כמו שצריך.
ספקים מנהלים את התפעול שלכם, כמעט בלי פיקוח
ספקי תוכנה מנהלים את רוב התפעול שלכם, ואין לכם דרך פשוטה לדעת מה הם עושים עם המידע הזה. הצוות שלכם אימץ כלי בינה מלאכותית — או שהספקים הקיימים שלכם הוסיפו יכולות בינה מלאכותית — מהר יותר משמישהו בדק אותם.
מישהו כבר שואל
מישהו כבר התחיל לשאול — שאלון רכש של לקוח, מבטח בזמן חידוש פוליסה, בדיקת נאותות של שותף, מכתב שלא ציפיתם לו. אין לכם פונקציית פרטיות פנימית, וגיוס פרטיות פנימי לא פרופורציונלי לגודל שלכם.
אודות
קוראים לי מאיר. רוב הקריירה שלי עסקתי בבניית תוכנה — לאחרונה מערכות בינה מלאכותית ופלטפורמות מידע — ועברתי לתחום הגנת המידע בגלל בעיה אחת שרדפה אותי: מידע קל להפליא לאסוף וקשה להפליא לעקוב אחריו.
לצד DataCycles אני בונה מערכות בינה מלאכותית עבור חברות בריאות ופיננסים, כולל הנדסת הפרטיות — תהליכי הסכמה, מזעור מידע, שימור, ונתיבי המחיקה שצריכים להגיע לכל עותק. בגלל זה אני יודע איפה הפערים נמצאים. הייתי צריך לסגור אותם בסביבת ייצור, על מערכת אמיתית, עם אילוצים אמיתיים ולוח זמנים.
זה מה שאני מביא שיועץ פרטיות רגיל בדרך כלל לא יכול: אני יכול לפתוח את המערכות ולבדוק. כשאני אומר לכם מה ספק עושה עם המידע שלכם, זה כי קראתי את ההגדרות בפועל, לא כי הוא ענה על שאלון.
כשאתם מתקשרים איתי, אני הופך לאחד המעבדים שלכם. אז אני מגיע עם הסכם עיבוד נתונים משלי, הצהרת אבטחה משלי, ותשובות לשאלות שהייתם שואלים כל ספק. פרסמתי את כל זה — נראה לי הוגן להחזיק את עצמי לאותו סטנדרט שאני אבקש מהספקים שלכם לעמוד בו.
למידע יש מחזור חיים, ורוב הזמן זה קורה במקום שאף אחד לא מסתכל. זה החלק שמעניין אותי.
מה אנחנו מפרסמים על עצמנו
בדיקת חברה כרוכה בשאילת שאלות קשות לספקים שלה. יהיה מוזר לשאול אותן בלי לענות קודם על אותן שאלות בעצמנו. מדיניות הפרטיות שלנו והצהרת האבטחה שלנו שתיהן עדכניות ושתיהן פומביות.