לראשונה פלטפורמה פיננסית חרדית עם הסמכת ISO 27001: "אל תפקידו את הכלכלה של הבית בכלי שנבנה בסוף שבוע"

מכון התקנים הישראלי העניק השבוע לפלוס מינוס טכנולוגיות בע"מ הסמכה לתקן הבינלאומי ISO/IEC 27001:2022 לניהול אבטחת מידע, לאחר ביקורת מקיפה שנערכה על פי דרישות ISO/IEC 27006-1:2024. ההסמכה, שתוקפה עד ספטמבר 2029 ותיבדק מחדש מדי שנה, מוכרת על ידי גוף האקרדיטציה האמריקאי ANAB, על ידי הסכם ההכרה ההדדית הבינלאומי IAF ועל ידי רשת ההסמכה IQNET. היקף ההסמכה מכסה את הפיתוח, השיווק, המכירה והתחזוקה של מערכת הניהול הפיננסי של החברה.

ההסמכה מגיעה חודשיים אחרי שהמערכת עברה מבדק חדירה ידני מעמיק של חברת קליר גייט (Clear Gate), המתמחה בבדיקות אבטחה לחברות טכנולוגיה. המבדק, שנערך ביוני 2026 על סביבת הייצור החיה על פי מתודולוגיית OWASP בשיטות "קופסה שחורה" ו"קופסה אפורה", כיסה את יישום הרשת, את ממשקי ה-API, את היועץ הדיגיטלי המבוסס בינה מלאכותית ואת שרתי הקבצים של הפלטפורמה, ובדק בין השאר ניסיונות חדירה לחשבונות משתמשים, גישה בין חשבונות, הזרקות קוד, חוזק ההצפנה ותשתית הענן. לא נמצאו ממצאים ברמת סיכון גבוהה או קריטית, וכל הממצאים ברמה בינונית ונמוכה תוקנו ואומתו במבדק חוזר. בדוח הסופי מיולי 2026 קבעה קליר גייט כי המערכת מפגינה עמידות איתנה מול איומי סייבר נפוצים וכי הסיכוי לגישה בלתי מורשית למידע הוא מזערי.

פלוס מינוסצילום: יח"צ

מבדק חדירה, בשונה מתקן ניהולי, הוא ניסיון מבוקר של צוות תוקפים מקצועי לפרוץ למערכת בפועל, ולכן שני התהליכים משלימים זה את זה: האחד בודק שהארגון מנהל את אבטחת המידע שלו נכון, והשני בודק שהמערכת עצמה עומדת בתקיפה. שניהם מתחדשים מדי שנה.

התהליך שהסתיים כעת נמשך חודשים ארוכים וכלל, לדברי החברה, השקעה של מאות אלפי שקלים בתשתיות ובכלי הגנה. המידע של המשתמשים מאוחסן על שרתי AWS בישראל, אותה תשתית שעליה בנוי פרויקט נימבוס הממשלתי, ברשת פרטית סגורה שאינה חשופה לאינטרנט הציבורי, כשהוא מוצפן במנוחה ובתעבורה. סביבות הפיתוח והייצור מופרדות לחלוטין, המערכת מנוטרת בזמן אמת באמצעות כלי EDR ו-SIEM, וסריקות פגיעויות אוטומטיות פועלות על כלל רכיבי התשתית.

מייסד ומנכ"ל פלוס מינוס, פישל רוזנפלד, מנצל את ההזדמנות כדי לומר משהו על השוק כולו: "מאז שכלי הבינה המלאכותית הפכו למשהו שכל אחד יכול להפעיל, צצות אפליקציות פיננסיות חדשות כפטריות אחרי הגשם. חלקן נבנו בסוף שבוע אחד על ידי אדם אחד, וכולן כותבות בעמוד הנחיתה את אותו משפט קבוע: המידע שלכם מוצפן ומאובטח. אני מבקש מכל משפחה לשאול שאלה אחת פשוטה לפני שהיא מקלידה את המשכורת, את המשכנתא ואת ההלוואות שלה לכלי כזה: מי בדק את זה? לא מי אומר את זה, מי בדק. אם התשובה היא 'אף אחד', זה לא כלי שמתאים להחזיק את הכלכלה של הבית שלכם".

לדבריו, הבעיה אינה בטכנולוגיה עצמה, שגם פלוס מינוס משתמשת בה, אלא במה שנעדר סביבה. "כלי AI יודעים לכתוב קוד מהר. הם לא יודעים לקחת אחריות. תקן ISO 27001 אינו תעודה על הקיר, הוא מחייב את הארגון בנהלים, בהדרכות עובדים, בניהול סיכונים, בתגובה לאירועים ובביקורת חיצונית שחוזרת כל שנה. מבדק חדירה מחייב שמישהו ינסה לפרוץ אליך בכוונה, ימצא מה שיש למצוא, ותצטרך לתקן ולהוכיח שתיקנת. שני הדברים האלה עולים כסף וזמן, וזו בדיוק הסיבה שמי שבנה כלי מהיר לא עשה אותם. הציבור צריך להתרגל לדרוש אותם, בדיוק כמו שהוא דורש כשרות על מוצר מזון ולא מסתפק בהצהרה של היצרן".

ההסמכה נועדה גם לפתוח את הדלת לשלב הבא. פלוס מינוס מתכוונת להגיש לרשות ניירות ערך בקשה להתממשקות עם מערכות הבנקאות הפתוחה, כך שנתוני המשתמשים יוכלו לזרום לפלטפורמה ישירות מהבנקים ומחברות האשראי, בהסכמתם ובשליטתם המלאה. רוזנפלד מדגיש שגם אז המשתמש לא יוצא מהתמונה: "הנתונים ייובאו, אבל כל תנועה תעבור אישור ידני וסיווג עצמאי של המשתמש. אנחנו לא רוצים לחסוך למשפחה את ההקלדה, אנחנו רוצים לחסוך לה את הטעויות. המודעות הפיננסית נבנית ברגע שאדם מסתכל על ההוצאה ומחליט לאיזו קטגוריה היא שייכת, ואת הרגע הזה לא נוותר עליו. ובחרנו בכוונה לעשות את זה בסדר הזה: קודם מוכיחים שאפשר לסמוך עלינו עם המידע, ורק אחר כך מבקשים גישה למידע".

הפלטפורמה של פלוס מינוס, שצברה אלפי משפחות רשומות מאז השקתה, תושק במלואה בכנס "פלוס מינוס 2" שייערך ב-4 בנובמבר בבנייני האומה בירושלים, ומשתתפי הכנס יקבלו חצי שנה בפלטפורמה בחצי מחיר.

פלוס מינוסצילום: יח"צ