שבע שנים של ספרים: איך מגבים משרד רואי חשבון בלי לגלות מאוחר מדי שחסר חומר

גיבוי למשרד רואי חשבון צריך לעמוד במבחן השחזור. התרחיש הבא הוא להמחשה: השעה 8:15 בבוקר באמצע עונת הדוחות. לקוח מבקש מסמך מלפני חמש שנים. עובדת מחפשת אותו בתיקייה המשותפת, אבל אינה מצליחה לפתוח אותו. מערכת הנהלת החשבונות מציגה נתונים, אך תקלה פגעה בקובץ החברה. תוכנת הגיבוי מציגה חיווי ירוק. אלא שאיש לא בדק שחזור מאז מעבר המערכת לשרת החדש. רק עכשיו מתברר שהגיבוי כלל את התיקייה הלא נכונה.

במשרד רואי חשבון אירוע כזה אינו תקלה קטנה. תיק לקוח כולל חשבוניות, התאמות, דוחות, שכר, תכתובות, מסמכים חתומים ונתונים אישיים. המשרד זקוק לחלק מהחומר גם אחרי שנים. בתקופות עומס, אפילו שעה של השבתה פוגעת בעשרות תהליכים. לכן גיבוי למשרד רואי חשבון צריך לענות על שלוש שאלות. לכמה זמן שומרים את המידע? איך מחזירים גרסה נקייה? וכמה מהר חוזרים לעבודה? לתכנון מקום שמירת העותקים, קראו גם ההבדל בין גיבוי בענן לגיבוי בכונן חיצוני.

המאמר מסביר תכנון טכנולוגי וניהולי. הוא אינו תחליף לייעוץ משפטי או מקצועי לגבי תיק מסוים. יש להגדיר בהסכם ובנוהל מי אחראי לחומר: הלקוח, המשרד או ספק המערכת. כך כל צד מכיר את משימותיו, בלי להסתמך על הנחות.

שבע שנים הן תקופת שמירה, לא תוכנית גיבוי

מדריך “דע זכויותיך וחובותיך” של רשות המסים לשנת 2025 מציין שיש לשמור פנקסי חשבונות, רישומים ומסמכים אחרים הקשורים לניהול העסק במשך שבע שנים. בהוראות המפורטות למערכות חשבונות ממוחשבות מופיע ניסוח מדויק יותר: שבע שנים מתום שנת המס שאליה מתייחסת המערכת, או שש שנים מיום הגשת הדוח לאותה שנת מס — לפי המאוחר.

אותן הוראות כוללות גם דרישת גיבוי שוטף למערכת החשבונות הממוחשבת בשבוע הראשון בכל רבעון ושמירת הגיבוי במקום שונה מהמקום שבו מוחזקת המערכת. חוזר רשות המסים על מסמכים ממוחשבים מסביר שהמטרה היא לצמצם אובדן עקב וירוסים, כשלים טכניים או חבלה.

גיבוי רבעוני לבדו אינו נותן מענה תפעולי למשרד שעובד בכל יום. אם צוות המשרד גיבה בפעם האחרונה לפני חודשיים, גם שחזור תקין יחסר את עבודת החודשיים האחרונים. אחסון של שבע שנות חומר בשרת יחיד אינו מגן מפני תקלה בשרת. לכן מדיניות טובה מפרידה בין שמירה ארוכת טווח, גיבוי תדיר והתאוששות מהירה.

גיבוי למשרד רואי חשבון: מה צריך לכלול?

הטעות הנפוצה היא לגבות את תיקיית המסמכים ולהניח שזה מספיק. בפועל, המשרד עובד בכמה מערכות. התחילו בבסיסי הנתונים של הנהלת החשבונות, השכר והנוכחות. הוסיפו קובצי חברות ותצורה, סריקות, מסמכים חתומים וגיליונות Excel. בדקו גם דואר, יומנים, OneDrive, SharePoint ומערכת ניהול לקוחות. לבסוף תעדו הרשאות, תבניות ומפתחות הצפנה. רשמו גם את גרסת היישום שמאפשרת לפתוח את החומר הישן.

מערכות כמו חשבשבת, רווחית ומיכפל אינן רק אוסף קבצים. לעיתים צריך לתאם את הגיבוי עם בסיס הנתונים או לייצא מידע דרך היישום. העתקה בזמן שהמערכת משתמשת בקובץ עלולה לפגוע בעקביות העותק. לכן ספק הגיבוי צריך להכיר את המערכת ואת מיקום בסיס הנתונים. עליו לקבוע מועד גיבוי מתאים ולהוכיח שהיישום פותח את הנתונים אחרי השחזור.

חשוב למפות גם מידע אצל ספק חיצוני. “זה בענן” מתאר מיקום ושירות. הביטוי אינו מבטיח מדיניות שמירה שמתאימה למשרד. הספק והלקוח צריכים לחלק ביניהם אחריות לפי ההסכם. הספק מפעיל את תשתית השירות. המשרד מגדיר משתמשים, הרשאות, תקופות שמירה, יצוא וגיבוי בהתאם לסיכון ולחוזה.

שמירה, סנכרון וגיבוי הם שלושה דברים שונים

שמירה קובעת כמה זמן רשומה או גרסה נשארת זמינה. סנכרון מעתיק שינויים בין מכשיר לענן כדי לאפשר עבודה משותפת. גיבוי יוצר עותק שממנו מחזירים את המידע לאחר מחיקה, הצפנה, תקלה או טעות. סנכרון מצוין לשיתוף. עם זאת, הוא עלול להפיץ גם מחיקה או הצפנה למכשירים אחרים.

לשירותי Microsoft 365 יש סל מחזור, שמירת גרסאות ואפשרויות שחזור. לכל אפשרות יש מגבלת זמן ותנאים. לדוגמה, Microsoft מפרטת את מדיניות OneDrive לאחר מחיקת משתמש. ברירת המחדל היא שמירה למשך 30 יום. לאחר מכן השירות מחזיק את OneDrive במצב מחוק למשך 93 ימים. בשלב הזה רק מנהל SharePoint יכול לשחזר אותו. הגדרות הארגון עשויות לשנות את תקופת השמירה הראשונית. בנוסף, Microsoft 365 Backup הוא שירות בפני עצמו. לכן בדקו את ההגדרות בפועל לפני שמסתמכים עליהן לשמירת ספרים לשבע שנים.

אותו עיקרון חל על מערכות הנהלת חשבונות בענן. קראו את ההסכם ובדקו לכמה זמן הספק מחזיק גרסאות. בררו אם הוא מאפשר שחזור לנקודת זמן ומה קורה בסיום המנוי. בדקו איך מייצאים חומר ובאיזה פורמט תוכלו לפתוח אותו בעוד שבע שנים. לאחר מכן נסו לבצע יצוא ופתיחה. תשובה שתלויה באדם אחד או במסך שאיש לא בדק אינה מספיקה.

כמה עותקים צריך ואיפה שומרים אותם

כלל 3-2-1 מספק בסיס לתכנון: לפחות שלושה עותקים של המידע, על שני סוגי אחסון. עותק אחד צריך להיות מחוץ לאתר. למידע קריטי מוסיפים לעיתים “1-0”. הכוונה היא לעותק מבודד או עם הגנה משינוי, ולאפס שגיאות בבדיקת שחזור. המספרים אינם קסם. המטרה היא למנוע מאירוע יחיד למחוק גם את המקור וגם את כל העותקים.

• עותק עבודה: השרת, תחנת העבודה או שירות הענן שבו משתמשים ביום-יום.
• גיבוי מקומי: יעד ייעודי שמאפשר שחזור מהיר. מנהלים את הגישה אליו באמצעות הרשאות ייעודיות.
• עותק מחוץ לאתר: ענן גיבוי או אתר פיזי אחר. מגינים על העותק בהצפנה ועל חשבון הגישה באימות רב-שלבי.
• עותק בלתי ניתן לשינוי: אחסון עם נעילת מחיקה לזמן מוגדר, או מדיה שמנותקת לאחר הכתיבה.

מערך הסייבר הלאומי ממליץ לגבות במקביל להתקן חיצוני ולענן. הוא ממליץ גם לנתק את ההתקן בסיום ולהפעיל אימות דו-שלבי. שימוש באותו חשבון מנהל ובאותה סיסמה מסכן גם את הגיבוי. תוקף שמשתלט על החשבון עלול למחוק את המקור ואת העותק. לכן השתמשו בחשבונות ייעודיים, בהרשאות מינימום ובהתראות על מחיקה המונית.

גיבוי למשרד רואי חשבון: תדירות וזמן התאוששות

RPO מגדיר כמה רחוק בזמן מוכנים לחזור, ובהתאם כמה עבודה עלולים לאבד. נניח שהמשרד מגבה את מערכת השכר בכל יום בשעה 22:00. אם השרת קורס למחרת ב-17:00, המשרד עלול לאבד את כל פעולות היום. בעונת שכר או דוחות, אובדן כזה עלול להיות בלתי סביר. למערכות קריטיות אפשר לקבוע נקודות שחזור מדי כמה שעות ואף בתדירות גבוהה. לחומר ארכיוני שאינו משתנה אפשר להתאים מחזור איטי, לפי הסיכון.

RTO מגדיר את הזמן המרבי לחזרה לעבודה. גם עותק תקין אינו מספיק אם הורדתו מהענן אורכת יומיים. כך גם כשאין שרת חלופי להפעלת המערכת. לכן תוכנית ההתאוששות כוללת מחשוב חלופי, התקנת יישומים, רישיונות וחיבור מאובטח. מוסיפים סדר קדימויות ואיש קשר אצל הספק. לקראת תקופת עומס מחליטים מה מחזירים ראשון: דואר, תיקיות, הנהלת חשבונות, שכר או מערכת המשרד.

מדיניות מעשית אינה זהה לכל נתון. מגבים בסיסי נתונים פעילים בתדירות גבוהה ושומרים כמה גרסאות של מסמכים יומיים. קובעים מדיניות ייעודית לדואר ולענן. לצד זאת, שומרים ארכיון סגור לשנים ובודקים את תקינותו בקביעות. כך מתאימים את העלות לערך המידע ולסיכון, במקום להחיל פתרון אחיד על הכול.

איך מונעים מכופרה להצפין גם את הגיבוי

תוקפים מחפשים שרתי גיבוי, חשבונות מנהל, כונני רשת וקונסולות ניהול. משתמש שיכול למחוק גם קובצי לקוחות וגם עותקי גיבוי יוצר נקודת תורפה. תוקף שמשתלט על חשבונו מקבל את אותן יכולות. לכן אין לתת למשתמשי המשרד הרשאת מחיקה ליעד הגיבוי. אין להשתמש בחשבון הגיבוי לגלישה או לדואר. בנוסף, מגינים על הכניסה לקונסולה באמצעות MFA.

עותק עם נעילת שינויים מקטין את הסיכון, אך דורש הגדרות נכונות. בוחרים תקופת נעילה מספקת ומגבילים את הרשאות שינוי המדיניות. מגדירים גם התראה על עלייה חריגה בקצב השינויים. לצד זאת, מבודדים את רשת הגיבוי ומעדכנים את השרתים. עוקבים אחר כשלי משימות וזוכרים שאנטי-וירוס אינו תחליף לעותק נקי.

אם יש חשד לאירוע, אין לשחזר מיד אל אותה רשת. מערך הסייבר מזהיר שיש לזהות את נתיב התקיפה ולנקות את התשתית לפני העלייה מהגיבויים. כך מצמצמים את הסיכון שהאירוע יחזור לאחר השחזור. תוכנית המשרד צריכה לחלק משימות ברורות: מי עוצר סנכרון ומי פונה לספק. יש לציין גם מי מאשר שחזור ומתי מתקשרים ל-119.

גיבוי שלא נבדק הוא השערה

סימון ירוק אומר שתוכנת הגיבוי סיימה את משימת ההעתקה לפי בדיקותיה. הוא אינו מוכיח שהיא העתיקה את כל המידע הדרוש או שהקבצים תקינים. צריך גם לוודא שהצוות יכול לגשת למפתח ההצפנה ושהיישום פותח את בסיס הנתונים. בבדיקת שחזור מחזירים חומר לסביבה מבודדת ופותחים אותו. לאחר מכן מוודאים שהוא מאפשר לבצע את העבודה בפועל.

אחת לחודש אפשר לשחזר מדגם: מסמך סרוק, גיליון, תיבת דואר ותיקיית לקוח. בנוסף, כדאי לתרגל אחת לרבעון שחזור של מערכת קריטית בשלמותה. מתאימים את תדירות התרגול לסיכון ולשינויים במשרד. במהלך התרגיל פותחים חברה לדוגמה ביישום ומריצים דוח. בודקים את תאריך הנתונים האחרון ומתעדים את זמן השחזור ואת השגיאות.

מדריך הרשות להגנת הפרטיות לתקנות אבטחת מידע דורש במאגרים הרלוונטיים נהלים לגיבוי ולשחזור יעיל ומהיר ותיעוד של הליכי השחזור. במאגר ברמת אבטחה גבוהה נדרש גם לשמור עותק באופן שיבטיח את שלמותו ואת אפשרות השחזור, למשל באתר פיזי אחר. מעבר לחובה, התיעוד מונע תלות בזיכרון של טכנאי יחיד.

מה עושים כשעובד עוזב או מחליפים מערכת

חשבון העובד מרכז מידע רב: OneDrive אישי, תיבת דואר, כללים וקבצים בשולחן העבודה. יש לבדוק גם יצוא מקומי וסיסמאות עבודה. במסגרת העזיבה מעבירים בעלות, משמרים חומר לפי המדיניות ומבטלים גישה. בנוסף, מוודאים שהגיבוי ממשיך גם אחרי הסרת הרישיון. מבצעים את הבדיקה לפני מחיקת המשתמש, ולא שבוע לאחר מכן.

בהחלפת מערכת יש סיכון אחר: החומר הישן קיים, אך אין יישום או רישיון לפתיחתו. לכן מגדירים מראש יצוא בפורמט קריא ושומרים את מסד הנתונים המקורי. מתעדים את גרסת היישום ואת התלויות שלו. לאחר ההעברה מבצעים פתיחה ניסיונית. אם צריך להפעיל מערכת ישנה, משמרים סביבה מבודדת ומאובטחת. אין להסתמך על מחשב ישן ללא עדכונים או תחזוקה.

גם סיום התקשרות עם לקוח דורש תהליך מסודר. מגדירים אילו מסמכים מעבירים ללקוח ומה המשרד ממשיך להחזיק. קובעים תקופת שמירה, הצפנה, הרשאות גישה ומועד מחיקה, ומתעדים את הפעולות. מבססים את ההחלטה על הדין, כללי המקצוע וההסכם עם הלקוח. גיבוי ארוך טווח אינו היתר לשמור מידע אישי ללא הגבלה.

תוכנית פעולה ל-30 יום

שבוע ראשון: מיפוי ופערים

רושמים את כל המערכות, בעלי המידע והספקים. לכל מערכת מציינים תדירות גיבוי, תקופת שמירה, יעד והצפנה. מוסיפים בעלי הרשאה ואת מועד בדיקת השחזור האחרונה. בוחרים שלוש מערכות קריטיות ומגדירים להן RPO ו-RTO. מנהל המשרד מאשר את היעדים בהתאם לצרכים העסקיים.

שבוע שני: הפרדה והגנה

מוסיפים יעד מחוץ לאתר ועותק עם הגנה משינוי. מפרידים חשבונות מנהל, מפעילים MFA ומגבילים מחיקה. בודקים שהגיבוי כולל בסיסי נתונים ולא רק תיקיות. שומרים את מפתח ההצפנה בכספת מאובטחת ומגדירים גישה לשני בעלי תפקיד מורשים.

שבוע שלישי: שחזור אמיתי

משחזרים מערכת אחת לסביבה מבודדת. מודדים זמן, פותחים קבצים, מפיקים דוח ומשווים אותו למקור. מתקנים כשלים ומעדכנים הוראות עבודה עם צילומי מסך, אנשי קשר וסדר פעולות. אם היישום אינו פותח את הנתונים, ממשיכים לבדוק ולתקן לפני שמאשרים את התרגיל.

שבוע רביעי: אחריות ושגרה

קובעים דוח חודשי למנהל, בדיקת מדגם חודשית ותרגיל רבעוני. מגדירים תהליך לעזיבת עובד או לקוח ולהחלפת מערכת. משלבים את המשימות עם פתרונות המחשוב למשרדי רואי חשבון ועם תוכנית גיבוי והתאוששות עסקית. כך הגיבוי תומך בעבודה היומית, והצוות מכיר את אחריותו.

סיכום

גיבוי למשרד רואי חשבון דורש שגרה ברורה, מעבר לשמירת ספרים לאורך שנים. המשרד צריך לדעת מה הוא מחזיק וליצור עותקים בהתאם לקצב העבודה. עליו להפריד לפחות יעד אחד מהסביבה הפעילה ולהגן עליו ממחיקה ומתקיפות כופר. לבסוף, עליו להוכיח בתרגיל שחזור שהחומר באמת חוזר.

מדדו הצלחה לפי יכולת השחזור, ולא רק לפי נפח האחסון. בדקו שהצוות מצליח להחזיר תיק לקוח, בסיס נתונים או תיבת דואר לנקודה הרצויה. ודאו שהוא עומד בזמן שהמשרד הקצה לכך. כאשר הצוות מנהל מיפוי, שמירה, גיבוי ושחזור בשגרה אחת, קל להתמודד עם בקשות למסמכים ישנים.