ליווי של איש אבטחת מידע תוך כדי פיתוח: כן, לא, ומתי

למה בכלל ליווי, ולא בדיקה רק בסוף

תיקון בעיית אבטחה בשלב התכנון לוקח דקות. אותה בעיה אחרי השקה יכולה לדרוש שינוי של מבנה הנתונים, תיקון של עשרות מסכים והודעה ללקוחות על דליפה. בפיתוח עם AI זה חמור יותר: הסוכן כותב מהר, משכפל את אותה טעות לכל מקום, וכמעט אף אחד לא קורא את הקוד. ליווי טוב לא אומר "לעשות את העבודה במקומכם". המטרה היא לוודא שההחלטות הגדולות נכונות: מי רואה מה, איפה יושבים המפתחות, איך מגינים על תשלומים ומה קורה כשמשהו נכשל.

מתי כן לקחת ליווי

• המערכת שומרת מידע אישי, רפואי, פיננסי, מסמכים או מידע על ילדים.
• יש תשלומים, מנויים, זיכויים או העברות.
• הלקוחות שלכם הם ארגונים, או שיש דרישת רגולציה (הגנת הפרטיות, תקנים, ביטוח סייבר).
• אתם בונים לבד או עם צוות קטן, ואין אף אחד שמבין באבטחה.
• בונים מהר עם AI (Lovable, Cursor, Claude) ומשנים הרבה בכל שבוע.
• יש כמה סוגי משתמשים, כמו לקוחות, נותני שירות ומנהלים. דווקא בהרשאות קורות רוב הדליפות.

מתי לא צריך, ולמה

• פרויקט בלי מידע רגיש: אתר תדמית, דף נחיתה או כלי פנימי. צ'קליסט וסורק אוטומטי מספיקים.
• אב טיפוס לבדיקת רעיון, בלי משתמשים אמיתיים. עדיף לבנות נכון את הבסיס (RLS, מפתחות בצד שרת) ולקחת ליווי כשעוברים למוצר אמיתי.
• בצוות כבר יש מפתח או מנהל טכני עם ניסיון באבטחה, ומקפידים על review.
• התקציב מוגבל מאוד: במצב כזה עדיף להשקיע בבדיקה אחת טובה לפני ההשקה מאשר בליווי שטחי לאורך זמן.

איך נראה ליווי נכון (ולא יקר)

לא צריך מישהו שיושב איתכם כל יום. לרוב מספיקות ארבע נקודות מפגש:

1. לפני שמתחילים (שעה עד שעתיים): ממפים את המידע הרגיש, מגדירים תפקידים והרשאות, מחליטים איפה יושבים המפתחות ומה רץ בצד שרת.
2. אחרי בניית הבסיס: בודקים את מסד הנתונים, את ה־RLS, את ההתחברות ואת ה־Storage. כאן נמצאות רוב הבעיות.
3. לפני השקה: בדיקה מלאה, כמו בודק מבחוץ, ועוברים על הצ'קליסט.
4. אחרי כל שינוי גדול: תשלומים, API ציבורי או תפקיד משתמש חדש. בין המפגשים: שאלות קצרות בוואטסאפ או במייל, וסקירה של שינויים רגישים.

על מה לשים לב כשבוחרים מלווה

• מכיר את הכלים שלכם (Supabase, Firebase, Lovable, Next.js, WordPress), ולא רק מושגים כלליים.
• מסביר בשפה פשוטה, ומשאיר אתכם עם ידע ולא עם תלות.
• נותן פרומפטים וצעדים מעשיים, ולא רק רשימת בעיות.
• שקוף לגבי המגבלות שלו: ליווי לא מחליף בדיקת חדירות חיצונית כשהיא נדרשת.

ליווי מול בדיקת חדירות

ליווי מונע בעיות בזמן הבנייה. בדיקת חדירות מוצאת את מה שבכל זאת נשאר. במערכת רגישה עושים את שניהם: ליווי לאורך הדרך, ובדיקה חיצונית לפני השקה או לפי דרישה. ראו גם: מתי לעשות בדיקת חדירות.

שורה תחתונה

אם המערכת שלכם מחזיקה מידע של אנשים או כסף, ליווי קצר ומדויק בנקודות הנכונות זול בהרבה מתיקון אחרי דליפה. אם לא, התחילו מ־10 הדברים שאסור לדלג עליהם, וקחו ליווי כשהפרויקט יגדל.