הספק הטוב ביותר לאחסון נתונים רגישים: איך בודקים ספק

אם אתם בוחרים ספק אחסון למידע שמישהו אחר מפקח עליו, ההחלטה כמעט לא נוגעת לחומרה. היא נוגעת לשאלה אחת: האם הספק ייתן לכם דוח ביקורת עדכני של צד שלישי שההיקף שלו באמת מכסה את השירות שאתם קונים, חוזה חתום שנושא את החובות שהרגולטור מטיל עליכם, ורשימה של תת‑המעבדים שהמידע שלכם עובר דרכם. ספק שלא יכול להפיק את שלושת אלה איננו מועמד, גם אם המפרט נראה מצוין.

זו התשובה הקצרה. בהמשך תמצאו את הארוכה: מה PCI DSS, HIPAA, GDPR ו‑SOC 2 באמת דורשים מהסדר אחסון, אילו חלקים מהעבודה נשארים אצלכם בלי קשר לספק, אילו חמישה מסמכים לבקש בשמם המדויק, ואיך מבדילים בין תשובה אמיתית לתשובה שיווקית. בסוף נהיה ישירים גם לגבי המוצר שלנו, כי כשמדובר במידע תחת רגולציה התשובה הכנה היא לא תמיד זו שמוכרת אחסון.

עיקרי הדברים

• אף אחת מהמסגרות האלה לא מסמיכה ספק אחסון בצורה שהשיווק מרמז עליה. שתיים מהן מייצרות דוחות על היקף מוגדר בתקופה מוגדרת, ושתיים מייצרות חובות חוזיות. אין תו ממשלתי לחפש.
• בקשו את הדוח עצמו, ואז קראו את ההיקף, את התקופה ואת פרק החריגים. ספק שמציע רק לוגו או תקציר של עמוד אחד כבר ענה לכם.
• ספק שמאחסן מידע רפואי מוגן נחשב Business Associate תחת כללי HIPAA וחייב הסכם חתום. הצפנת הדיסק לא הופכת אותו לצינור העברה בלבד.
• סעיף 28 ל‑GDPR מחייב חוזה עיבוד בכתב, רשימת תת‑מעבדים ואישור מראש לשינויים. בנתוני כרטיסי אשראי, המהלך החזק ביותר הוא בדרך כלל לצמצם היקף כך שמספרי הכרטיס בכלל לא נוגעים בשרת שלכם.
• האחריות תמיד מחולקת. גם על ענן ציבורי גדול, מערכת ההפעלה, האפליקציה, בקרת הגישה ושמירת הלוגים נשארות שלכם.
• Devoster היא ספק אחסון כללי ואין לה הסמכות אבטחה. אם העומס שלכם תחת רגולציה, קנו מספק שיש לו. הפרק הזה נמצא לקראת הסוף והוא לא מכירה רכה.

מתחילים מהחוק, לא מהספק

רוב ההחלטות הגרועות בתחום הזה מתחילות בחיפוש אחסון מאובטח ונגמרות אצל הספק שהשתמש הכי הרבה במילה תואם. הפכו את הסדר: בררו איזה כלל מחייב אתכם, מצאו ספקים שיכולים לעמוד בו, ורק אחר כך השוו מפרטים בין הנותרים.

• נתוני כרטיסי אשראי. אם המערכות שלכם שומרות, מעבדות או מעבירות מספרי כרטיס, תקן PCI DSS חל עליכם דרך הסולק ומותגי הכרטיסים, לא דרך רגולטור ממשלתי.
• מידע רפואי בארצות הברית. אם אתם גוף מכוסה או מטפלים במידע רפואי מוגן עבור גוף כזה, כללי HIPAA חלים ומגיעים לספקים שלכם דרך חוזה.
• מידע אישי של תושבי האיחוד האירופי. GDPR חל עליכם כבעלי השליטה במידע ומגיע לספק האחסון כמעבד. הוא חל גם על עסק ישראלי שמציע שירותים לתושבי האיחוד או עוקב אחרי התנהגותם.
• מידע אישי בישראל. חוק הגנת הפרטיות ותקנות הגנת הפרטיות בנושא אבטחת מידע מטילים חובות לפי רמת הרגישות של המאגר, ודורשים הסדרה בכתב מול גורם חיצוני שמעבד מידע עבורכם. הפירוט המעודכן נמצא באתר הרשות להגנת הפרטיות.
• מידע רגיש שאינו מפוקח. סודות מסחריים, דוחות שטרם פורסמו, תיקים משפטיים. אף מבקר לא בדרך אליכם, אבל דליפה עדיין מסיימת את הקשר עם הלקוח הגדול שלכם.

הקטגוריה האחרונה היא זו שמסווגים לא נכון הכי הרבה, בדרך כלל לכיוון של קנייה מוגזמת. אם אף אחד לא יכול לקנוס אתכם ואף אחד לא יכול לבקר אתכם, אתם לא צריכים ספק שמתמחה בציות. אתם צריכים הנדסה טובה, וזה עולה הרבה פחות.

מה כל מסגרת באמת דורשת מהאחסון

PCI DSS: לצמצם היקף לפני שיוצאים לקניות

התקן מנוהל בידי מועצת התקנים של תעשיית כרטיסי האשראי וחל על כל גורם שמעורב בעיבוד תשלומים, כולל ספקי שירות. האימות מתבצע דרך מעריך מוסמך שמפיק Report on Compliance, או דרך שאלון הערכה עצמית, בהתאם לנפח ולאופן הטיפול בנתונים. המסמך שאתם אוספים מספק הוא ה‑Attestation of Compliance.

וכאן החלק שחוסך לרוב בתי העסק הקטנים הון. אם אתם משתמשים בעמוד תשלום מתארח או ב‑iframe של חברת הסליקה, מספרי הכרטיס לעולם לא מגיעים לשרת שלכם, ונטל ההערכה שלכם מצטמצם לשאלון הפשוט ביותר. אם בניתם עמוד תשלום מותאם שמקבל מספרי כרטיס, כל מה שנוגע בנתונים נכנס להיקף, כולל האחסון.

HIPAA: ההסכם החתום הוא כל הסיפור

ל‑HIPAA אין תוכנית הסמכה. משרד הבריאות האמריקאי לא מנפיק ולא מכיר בתו תאימות, כך שכל לוגו של הסמכה בתחום הזה הגיע ממעריך פרטי עם קריטריונים משלו. זה לא חסר ערך, אבל זה לא מה שהרגולטור ביקש.

מה שקובע הוא מעמד. ספק שיוצר, מקבל, מתחזק או מעביר מידע רפואי מוגן עבור גוף מכוסה הוא Business Associate, וצריך הסכם חתום לפני שביט אחד זז. חריג הצינור צר ומכסה שירותי העברה בלבד, כמו ספק תקשורת. הוא לא מכסה ספק שמאחסן את המידע, וכך נכתב במפורש בהנחיות משרד הבריאות האמריקאי בנושא מחשוב ענן. ספק ששומר רשומות מוצפנות ומעולם לא החזיק את המפתח עדיין נחשב Business Associate.

GDPR: חוזה, רשימה ומסלול העברה

תחת GDPR אתם בדרך כלל בעלי השליטה והספק הוא המעבד. סעיף 28 מחייב חוזה בכתב שמגדיר את נושא העיבוד, משכו, אופיו ומטרתו, סוגי המידע וקטגוריות נושאי המידע, ואוסר על המעבד להעסיק מעבד משנה בלי אישורכם מראש. הסעיף האחרון הוא זה שמדלגים עליו, ובגללו רשימת תת‑המעבדים חשובה לא פחות מהחוזה עצמו.

סעיף 32 דורש אמצעים טכניים וארגוניים מתאימים, בניסוח פתוח בכוונה. סעיף 33 נותן לכם שבעים ושתיים שעות לדווח לרשות המפקחת מרגע שנודע לכם על אירוע מדווח, וזה אפשרי רק אם הספק מתחייב חוזית ליידע אתכם מהר. בקשו את חלון הדיווח בשעות, בכתב.

אם מידע אישי יוצא מהאיחוד האירופי צריך גם מסלול העברה חוקי לפי פרק V, בין אם החלטת נאותות, תניות חוזיות תקניות או מנגנון אחר. לישראל יש החלטת נאותות שמאפשרת קבלת מידע מהאיחוד, אך מעמדן של החלטות כאלה נבחן מעת לעת, ולכן בדקו את הסטטוס העדכני ולא עמוד שנכתב לפני שלוש שנים.

SOC 2 ו‑ISO 27001: דוחות ותעודות, לא תגים

SOC 2 הוא בדיקת אימות שמבצעת פירמת רואי חשבון מורשית לפי תקני AICPA מול Trust Services Criteria. אף אחד אינו מוסמך SOC 2. יש לו דוח, והדוח שווה משהו רק אחרי שקראתם בו ארבעה דברים.

• סוג. Type I מתאר האם הבקרות תוכננו כראוי בנקודת זמן אחת. Type II בודק האם הן פעלו ביעילות לאורך תקופה, לרוב שלושה עד שנים עשר חודשים. Type I הוא נקודת פתיחה, לא תשובה.
• היקף. אילו מערכות ואילו שירותים. דוח שמכסה פלטפורמה ארגונית אחרת לא אומר דבר על מוצר האחסון שאתם קונים.
• תקופה. דוח שחלונו הסתיים לפני שנה וחצי הוא ישן. שאלו מתי מסתיימת הבדיקה הבאה.
• חריגים ובקרות משלימות. רשימת החריגים היא המקום שבו המבקר רשם מה נכשל. פרק ה‑Complementary User Entity Controls מפרט את מה שאתם חייבים לעשות כדי שבקרות הספק בכלל יעבדו. אלה שיעורי הבית שלכם.

ISO 27001 עובד אחרת: הוא מסמיך מערכת ניהול אבטחת מידע מול תקן, והתעודה מגיעה עם Statement of Applicability שמפרט אילו בקרות נכללו ואילו הוחרגו ומדוע. תעודה בלי המסמך הזה היא חצי מסמך.

חלוקת האחריות שאף אחד לא מסביר בהרשמה

כל שיחת ציות מתדרדרת בסוף לוויכוח על מי היה אמור לעדכן את מה. סגרו את זה מראש. הטבלה מציגה איפה האחריות יושבת בדרך כלל במודלים הנפוצים. זו תבנית כללית ולא חוזה, ומטריצת האחריות של הספק שלכם תמיד גוברת.

תחום בקרה	אחסון שיתופי	VPS לא מנוהל	פלטפורמה מנוהלת	ענן ציבורי גדול
אבטחה פיזית של המתקן	ספק	ספק	ספק	ספק
Hypervisor וליבת המארח	ספק	ספק	ספק	ספק
עדכוני מערכת הפעלה אורחת	ספק	אתם	ספק	אתם
קוד האפליקציה והתלויות	אתם	אתם	אתם	אתם
זהויות, הרשאות ואימות דו‑שלבי	אתם	אתם	משותף	אתם
מפתחות הצפנה והחלפתם	ברירת מחדל של הספק	אתם	משותף	אתם
שמירת לוגים ועמידות לשינוי	מוגבל, נקבע בידי הספק	אתם	משותף	אתם
בדיקות שחזור מגיבוי	אתם	אתם	משותף	אתם
דיווח על אירוע לרגולטור שלכם	אתם	אתם	אתם	אתם

קראו את השורה האחרונה פעמיים. שום חוזה אחסון לא מעביר את חובת הדיווח שלכם. הספק מיידע אתכם, אתם מיידעים את הרשות, והשעון התחיל לרוץ ברגע שנודע לכם.

חמישה מסמכים לבקש, בשמם המדויק

שלחו את זה כמייל אחד לפני שאתם משווים מחירים. מהירות התשובה וצורתה הן הסימן השימושי ביותר שתקבלו.

1. דוח הביקורת העדכני, תחת הסכם סודיות. לא התג ולא עמוד האמון. הדוח, עם הצהרת ההיקף, התקופה, החריגים והבקרות המשלימות.
2. ההסכם החתום שהמסגרת שלכם דורשת. Business Associate Agreement למידע רפואי, הסכם עיבוד מידע עם סעיפי סעיף 28 למידע אישי אירופי, או אישור התאימות לנתוני כרטיסים.
3. רשימת תת‑המעבדים, עם התחייבות להודעה על שינוי. מי עוד נוגע במידע, באיזו מדינה, לאיזו מטרה, וכמה התראה תקבלו לפני שהרשימה משתנה.
4. הצהרת מיקום ותושבות נתונים. איפה יושב המידע הראשי, איפה הגיבויים, ומאיפה יושבים אנשי התמיכה כשהם ניגשים למערכות. גישת תמיכה היא הפרט שנשכח, והמבקרים לא שוכחים אותו.
5. תהליך האירוע והדיווח. חלון הדיווח בשעות, למי פונים, אילו ראיות פורנזיות תקבלו, וכמה זמן נשמרים לוגים כברירת מחדל.

איך לנקד את התשובה

• אם שלחו את הדוח תחת הסכם סודיות תוך יומיים, הם עשו את זה כבר בעבר. עכשיו קראו את ההיקף.
• אם שלחו קישור לעמוד אמון עם לוגואים ובלי מסמך, בקשו שוב במפורש את הדוח. אם גם התשובה השנייה היא קישור, זו תשובה שלילית.
• אם ההיקף מכסה קו מוצר אחר מזה שאתם קונים, זה לא נחשב. זה התרגיל הנפוץ ביותר בקטגוריה.
• אם הדוח הוא Type I ואיש המכירות קורא לו ביקורת מלאה, או שהוא לא מבין או שהוא מקווה שאתם לא.
• אם הם מסרבים לנקוב בשמות תת‑המעבדים, אתם לא יכולים להשלים את רישום פעולות העיבוד שלכם, והעסקה נופלת בצד שלכם ללא קשר לאבטחה שלהם.

איזה סוג ספק באמת יכול לתת לכם את זה

ספקים בודדים משנים עמדה כל הזמן, ולכן השוו קודם קטגוריות ואמתו את החברה הספציפית אחר כך. כל מה שמופיע כאן דורש אימות מול התיעוד העדכני של הספק לפני חתימה.

סוג ספק	ראיות ביקורת אופייניות	חותם על BAA?	מודל בידוד	למי זה מתאים
ענן ציבורי גדול	מגוון רחב של דוחות, היקף מפורסם לכל שירות	בדרך כלל, לתת‑קבוצת שירותים מוגדרת	רשת וירטואלית פרטית לכל דייר	עומסים תחת רגולציה עם צוות הנדסה פנימי
ספק אחסון שמתמחה בציות	דוחות ממוקדים, לרוב לתחום רפואי או פיננסי	בדרך כלל, כחלק סטנדרטי מההצטרפות	שרתים ייעודיים או דייר יחיד	צוותים קטנים תחת רגולציה בלי מהנדס ענן
פלטפורמת אפליקציות מנוהלת	משתנה מאוד, לרוב יורשת מספק ענן עליון	לפעמים, רק בחבילות גבוהות	ברמת קונטיינר או חשבון	מי שרוצה שהפלטפורמה תחזיק בעדכונים
אחסון שיתופי ו‑VPS כללי	בדרך כלל אין	נדיר	ברמת חשבון או מכונה וירטואלית	אתרים ואפליקציות שאינם תחת רגולציה
קולוקיישן וברזל חשוף	ברמת המתקן בלבד, נדיר שמכסה את הסטאק שלכם	לפעמים עבור המתקן	פיזי	ארגונים עם צוות אבטחה משלהם

השורה שמפתיעה אנשים היא הפלטפורמה המנוהלת. ירושה של דוח מספק הענן שמתחת לא נותנת לכם את הבקרות של הפלטפורמה עצמה. שאלו אם הפלטפורמה נבדקה בעצמה, או שהיא מצביעה על שיעורי הבית של הספק שלה.

איפה Devoster מתאימה, ואיפה לא

אתם קוראים את זה בבלוג של חברת אחסון, אז הנה הגרסה הישירה.

Devoster היא ספק אחסון כללי. אנחנו מוכרים אחסון שיתופי עם cPanel, וורדפרס מנוהל, אחסון Node.js, שרתי KVM לא מנוהלים עם גישת root מלאה, אחסון ריסלר, שרתים ייעודיים ורישום דומיינים. השרתים הווירטואליים רצים על מעבדי Intel Xeon Gold 6138 עם אחסון NVMe וקו 1 Gbps, עם תעבורה ללא הגבלה, כתובת IPv4 אחת, הגנת DDoS והעברה חינם, במיקום אחד בדרום ארצות הברית. אחסון שיתופי מתחיל ב‑$2.90 לחודש בחבילת Lite ו‑$5.90 לחודש בחבילת Standard, ומעליהן חבילת Pro.

ועכשיו החלק שרלוונטי למאמר הזה. אין לנו שום הסמכת אבטחה. אין דוח SOC 2 לבקש, אין אישור תאימות PCI DSS ואין תעודת ISO 27001. אנחנו לא חותמים על Business Associate Agreement, לא מפרסמים הסכם עיבוד מידע כמוצר סטנדרטי, ולא מפרסמים הסכם רמת שירות או התחייבות לזמינות. השרתים הווירטואליים אינם מנוהלים, כלומר עדכוני מערכת ההפעלה, ההקשחה, שמירת הלוגים וניהול המפתחות הם כולם באחריותכם.

אם העומס שלכם נופל לאחת משלוש הקטגוריות הראשונות בראש המאמר, הרשימה הזו צריכה לסיים את הבדיקה שלנו, ואנחנו מעדיפים בהרבה שתגלו את זה בעשר דקות כאן ולא שלושה חודשים לתוך פרויקט עם מבקר על הקו. קנו מספק שאת הראיות שלו תוכלו להניח מול הרגולטור שלכם.

אם המידע שלכם רגיש אבל אף אחד לא מפקח עליו, זו שיחה אחרת לגמרי, ושרת וירטואלי כללי עם גישת root מלאה הוא מקום סביר בהחלט להריץ אותו.

רגיש אבל לא מפוקח: להנדס נכון

כאן נמצאים רוב הקוראים בפועל. אין מבקר, יש השלכות אמיתיות. הבקרות שחשובות אינן זוהרות ורובן בחינם.

• הקטינו את רדיוס הנזק קודם. אל תשמרו מה שאתם לא צריכים. מחקו קבצי ייצוא ישנים, הסירו עמודות שאינן בשימוש, קבעו תקופת שמירה לכל מידע אישי ואכפו אותה במשימה מתוזמנת.
• הפרידו סביבות באמת. סביבת בדיקות עם עותק של נתוני ייצור היא מערכת ייצור עם סיסמאות חלשות יותר. השתמשו בנתוני דמה מאונונימיים.
• ניהול מפתחות חשוב יותר מהצפנת דיסק. הצפנת דיסק מלאה מגנה מפני כונן גנוב ותו לא, כי בשרת פעיל הכרך כבר טעון. הצפנה ברמת האפליקציה לשניים או שלושה שדות שבאמת חשובים שווה יותר מהצפנה גורפת ורשלנית.
• שלחו לוגים מחוץ למכונה. תוקף עם root יכול לשכתב לוגים מקומיים. העבירו לוגי אימות ואפליקציה למקום ששרת הרשת לא יכול למחוק.
• בדקו שחזור, לא גיבוי. גיבוי שמעולם לא שוחזר הוא השערה. קבעו תרגיל שחזור רבעוני ומדדו כמה זמן הוא לוקח, כי זה יעד ההתאוששות האמיתי שלכם.
• נעלו גישה ניהולית. SSH במפתחות בלבד, בלי סיסמאות, בלי חשבונות משותפים, ואימות דו‑שלבי בלוח הבקרה וגם אצל רשם הדומיין. השתלטות על הדומיין היא מסלול מהיר יותר למידע שלכם מאשר חומת האש.

צ׳קליסט הקשחת ה‑VPS שלנו עובר על אלה כפקודות קונקרטיות, ומדריך אבטחת האתר מכסה את שכבת האפליקציה. אף אחד מהם לא הופך סביבה לא מפוקחת למפוקחת, וגם לא מתיימר לכך.

כמה זה באמת עולה

אחסון שמסוגל לתמוך בתוכנית ציות מתומחר אחרת, והפער הוא בעיקר אנשים ולא סיליקון. אתם משלמים על תוכנית ביקורת, על צוות משפטי שמוכן לחתום על הסכמים, ועל תמיכה שיודעת לענות בכתב לשאלה של מבקר. צפו לפער של סדר גודל בין חבילה כללית לבין סביבה ייעודית לתחום רפואי או פיננסי באותה כמות משאבים.

שלוש עלויות שנשכחות בתקציב הראשון: שכר המעריך אם אתם צריכים דוח משלכם, שעות ההנדסה ליישום הבקרות המשלימות שהדוח של הספק מטיל עליכם, ואחסון לוגים, שגדל בשקט ולרוב מחויב בנפרד ברגע ששמירה עוברת כמה שבועות.

בדיקת שפיות אחת לפני שמוציאים כסף: אם החלק המפוקח במערכת הוא טופס אחד או טבלה אחת, שקלו להעביר רק אותו לספק מתמחה או לשירות ייעודי, ולהשאיר את אתר השיווק, הבלוג והתיעוד על אחסון אתרים רגיל. פיצול הסביבה זול בדרך כלל מהעברת הכל לסביבה יקרה, וגם מקל מאוד על כתיבת הצהרת ההיקף.

שאלות נפוצות

אילו הסמכות יש ל‑Devoster?

אין. אין דוח אימות של צד שלישי, תעודה או תקציר ביקורת לבקש, כי בדיקה כזו לא בוצעה. אם מסגרת ציות מחייבת את הפרויקט שלכם, התשובה הזו צריכה להוציא אותנו מהרשימה, ואנחנו מעדיפים לומר זאת במפורש.

אפשר להריץ עומס תחת HIPAA על Devoster?

לא. אחסון מידע רפואי מוגן עבור גוף מכוסה הופך את הספק ל‑Business Associate, וזה מחייב הסכם חתום. אנחנו לא חותמים על הסכם כזה, ולכן אין הסדר חוקי לבנות עליו. בחרו ספק שמציע את ההסכם כחלק סטנדרטי מההצטרפות.

ספק עם דוח SOC 2 בטוח אוטומטית למידע שלי?

לא. הדוח מתאר היקף מוגדר בתקופה מוגדרת, ולא בהכרח מכסה את המוצר שאתם קונים. קראו את הצהרת ההיקף, את התקופה, את פרק החריגים ואת הבקרות המשלימות שמפרטות מה עליכם לעשות בעצמכם. דוח הוא ראיה, לא ערובה.

אם המידע מוצפן, הספק כבר לא Business Associate?

לא. חריג הצינור צר ומכסה שירותים שרק מעבירים מידע, כמו ספק תקשורת. ספק שמאחסן רשומות רפואיות מוצפנות עדיין מתחזק את המידע, ונשאר Business Associate גם בלי גישה למפתחות.

צריך אחסון מוסמך כדי לקבל כרטיסי אשראי?

בדרך כלל לא, אם אתם לא נוגעים במספר הכרטיס. שימוש בעמוד תשלום או ב‑iframe של חברת הסליקה משאיר את מספרי הכרטיס מחוץ לשרת ומצמצם את האימות שלכם לשאלון הפשוט ביותר. עמוד תשלום מותאם שמקבל נתוני כרטיס מכניס גם את האחסון להיקף.

מה עושים אם ספק מסרב להראות את דוח הביקורת?

מתייחסים לזה כתשובה. ספקים שמחזיקים דוחות אמיתיים משתפים אותם תחת הסכם סודיות שגרתי, לרוב תוך יום או יומיים. עמוד עם לוגואים, שקף מכירות או הבטחה שההסמכה בתהליך אינם ראיה שתוכלו להניח מול מבקר או מול לקוח.

מידע רגיש הוא תמיד מידע תחת רגולציה?

לא, וערבוב בין השניים מבזבז תקציב. סודות מסחריים, תיקים משפטיים ודוחות שטרם פורסמו ראויים להנדסה רצינית אך אינם מושכים מבקר. אם אף רגולטור לא יכול לקנוס אתכם ואף חוזה לקוח לא דורש אישור ביקורת, השקיעו בגיבויים, בבקרת גישה ובטיפול בלוגים ולא בחבילה שמתמחה בציות.

הצעד הבא

רשמו לאיזו מארבע הקטגוריות המידע שלכם שייך, ואז שלחו את מייל חמשת המסמכים לכל ספק ברשימה לפני שאתם מסתכלים על מחיר אחד. התשובות יקצרו את הרשימה מהר יותר מכל טבלת השוואה, כולל זו שכאן.

אם התשובה שלכם היא הקטגוריה הרביעית, רגיש אך לא מפוקח, אז VPS מוגדר היטב או חבילת אחסון שיתופי עם גיבויים ממושמעים ובקרת גישה הדוקה ישרתו אתכם היטב, ונשמח לארח אתכם. אם התשובה היא אחת משלוש הראשונות, קנו ממי שיכול להפיק את הניירת, וחזרו אלינו בשביל החלקים בסביבה שאינם בהיקף.