עובד שמתחבר מהבית למערכת הנהלת החשבונות, מנהלת שמאשרת מסמכים מהטלפון וספק חיצוני שמקבל גישה לתיקייה בענן – אלה מצבים שגרתיים כמעט בכל עסק. השאלה איך לנהל הרשאות עובדים מרחוק אינה רק שאלה טכנולוגית. היא משפיעה ישירות על אבטחת המידע, על זמינות המערכות ועל היכולת של העסק להמשיך לעבוד גם כשאנשים נמצאים מחוץ למשרד.
הרשאה רחבה מדי עלולה לחשוף מידע רגיש או לאפשר טעות אנוש עם השלכות משמעותיות. הרשאה מצומצמת מדי, לעומת זאת, מעכבת עובדים ופוגעת בשירות ללקוחות. המטרה היא לא לחסום גישה, אלא לנהל אותה באופן מדויק: האדם הנכון, למידע הנכון, בזמן הנכון ובאמצעי ההתחברות הנכון.
למה הרשאות מרחוק דורשות ניהול אחר
בתוך המשרד, סביבת העבודה נשלטת יחסית: הרשת מוכרת, המחשבים מנוהלים והעובדים נמצאים בקרבת צוות התמיכה. בעבודה מרחוק התנאים משתנים. העובד עשוי להתחבר מרשת ביתית, ממחשב נייד, מטלפון או אפילו ממכשיר פרטי. כל נקודת גישה כזו מוסיפה סיכון שיש לנהל.
הסיכון אינו נובע רק מתקיפה מתוחכמת. לעיתים הבעיה פשוטה יותר: עובד שעבר תפקיד ועדיין מחזיק בגישה למערכות קודמות; חשבון של עובד שעזב ונשאר פעיל; קובץ לקוחות שנשלח לתיקייה אישית בענן; או סיסמה שנשמרה בדפדפן במחשב ביתי משותף. כאשר ההרשאות אינן מסודרות, העסק מתקשה לדעת מי יכול לגשת למה, ומדוע.
בארגונים קטנים ובינוניים התופעה נפוצה במיוחד, משום שהניהול מתבצע לעיתים תוך כדי תנועה. מעניקים הרשאה כדי לפתור צורך דחוף, אך לא חוזרים לבחון אותה בהמשך. עם הזמן נוצרת הצטברות של גישות מיותרות, חשבונות כפולים וחריגות שקשה לאתר.
איך לנהל הרשאות עובדים מרחוק לפי תפקיד ולא לפי אדם
הבסיס לניהול תקין הוא הגדרת הרשאות לפי תפקיד. במקום להחליט מחדש עבור כל עובד אילו מערכות ונתונים הוא צריך, מגדירים מראש פרופילים ברורים: הנהלת חשבונות, מכירות, שירות לקוחות, מנהלים, משאבי אנוש או צוותים מקצועיים. לכל פרופיל משויכות הגישות הנדרשות לביצוע העבודה, ולא מעבר לכך.
לדוגמה, נציג שירות עשוי להזדקק למערכת CRM, לדואר הארגוני ולמאגר ידע, אך אינו זקוק לגישה מלאה לתיקיות הנהלת חשבונות. מנהל כספים זקוק לדוחות ולמערכות פיננסיות, אך לא בהכרח לכל מאגר המסמכים של מחלקות אחרות. ההפרדה הזו מצמצמת חשיפה בלי לפגוע ביכולת לעבוד.
עיקרון זה נקרא לעיתים "הרשאה מינימלית" – מתן רמת הגישה הנמוכה ביותר שמאפשרת לעובד לבצע את תפקידו. אין כאן חשדנות כלפי העובדים. מדובר באמצעי ניהולי שמקטין את היקף הנזק האפשרי במקרה של טעות, גנבת סיסמה או התחברות ממכשיר שנפרץ.
חשוב להבחין בין הרשאות קבועות להרשאות זמניות. עובד שמחליף קולגה בחופשה, רואה חשבון חיצוני שמבצע ביקורת או ספק שמטפל במערכת מסוימת יכולים לקבל גישה מוגבלת בזמן. בתום התקופה, ההרשאה צריכה לפוג אוטומטית או להיבדק מחדש. כך נמנעת גישה שנשארת פתוחה רק משום שאיש לא זכר להסיר אותה.
זהות המשתמש חשובה יותר מהמיקום שלו
בעבר, ארגונים רבים הסתמכו על כך שעובד נמצא בתוך רשת המשרד. כיום גישה מרחוק היא חלק קבוע מהפעילות, ולכן אין די בהנחה שמי שהתחבר לרשת הוא בהכרח משתמש מורשה. יש לאמת את זהות המשתמש בכל התחברות משמעותית.
אימות רב-שלבי הוא שכבת ההגנה המרכזית כאן. גם אם סיסמה נחשפה, התוקף עדיין יידרש לאישור נוסף דרך אפליקציית אימות, הודעה למכשיר מאובטח או מפתח אבטחה. עבור מערכות המכילות מידע פיננסי, נתוני לקוחות, מידע רפואי או מסמכים משפטיים, זהו צעד בסיסי ולא תוספת אופציונלית.
לצד זאת, יש להגדיר מדיניות סיסמאות מעשית. סיסמה מורכבת שאיש אינו זוכר מובילה לעיתים לרישום שלה על פתק או לשימוש חוזר באותה סיסמה במספר שירותים. עדיף לשלב סיסמאות ארוכות וייחודיות עם מנהל סיסמאות ארגוני ואימות רב-שלבי. כך משיגים אבטחה גבוהה יותר בלי להעמיס על העובדים.
ניהול המכשיר הוא חלק מניהול ההרשאה
גם משתמש מורשה עלול להתחבר ממכשיר שאינו עומד בדרישות האבטחה של העסק. מחשב ללא עדכונים, טלפון ללא נעילת מסך או מכשיר אישי שמותקנות עליו תוכנות לא מוכרות – כל אלה עלולים להפוך גישה לגיטימית לסיכון.
לכן כדאי להגדיר אילו מכשירים רשאים לגשת למערכות רגישות. בעסקים מסוימים נכון לעבוד רק עם מחשבים ארגוניים מנוהלים. בעסקים אחרים, שבהם יש צורך במודל גמיש יותר, אפשר לאפשר מכשירים פרטיים בתנאי שהם עומדים בכללים ברורים: הצפנת דיסק, אנטי-וירוס פעיל, מערכת הפעלה מעודכנת, קוד נעילה והפרדה בין מידע עסקי לפרטי.
הפתרון המתאים תלוי באופי הפעילות. משרד עורכי דין או מרפאה, למשל, יידרשו בדרך כלל לבקרה מחמירה יותר על מסמכים רגישים. עסק מכירות עם צוות שטח עשוי להעדיף גישה מאובטחת דרך יישומים בענן ומכשירים ניידים מנוהלים. בשני המקרים, העיקרון זהה: ההרשאה אינה ניתנת רק לאדם, אלא לאדם שמתחבר ממכשיר שעומד במדיניות.
בקרה שוטפת מונעת הרשאות שנשכחו
ניהול הרשאות אינו פרויקט חד-פעמי. עובדים מצטרפים, מחליפים תפקידים, יוצאים לחופשה ממושכת או מסיימים העסקה. גם מערכות חדשות נכנסות לארגון, ולעיתים נפתחות גישות במהירות כדי לענות על צורך תפעולי. בלי תהליך קבוע, התמונה מתערערת תוך חודשים ספורים.
מומלץ לבצע סקירת הרשאות תקופתית, לפחות אחת לרבעון במערכות הרגישות. בסקירה בודקים מי מחזיק בגישת מנהל, מי לא התחבר זמן רב, אילו חשבונות שייכים לעובדים לשעבר והאם ספקים חיצוניים עדיין זקוקים להרשאות שניתנו להם. מנהלי המחלקות צריכים להיות חלק מהתהליך, משום שהם יודעים טוב יותר מכל מערכת אם עובד עדיין זקוק לגישה מסוימת.
יש גם רגעים שבהם הבדיקה חייבת להיות מיידית: עזיבת עובד, שינוי תפקיד, חשד לדליפת מידע, אובדן מחשב או טלפון, ושינוי בהתקשרות עם ספק. במקרים כאלה, מהירות התגובה חשובה. השבתת חשבון, ניתוק הפעלות פעילות ואיפוס אמצעי אימות יכולים למנוע אירוע משמעותי.
תעדו את המדיניות, אבל שמרו עליה פשוטה
מדיניות הרשאות טובה אינה מסמך טכני שנשמר בתיקייה שאיש אינו פותח. היא צריכה להבהיר לעובדים ולמנהלים מי מאשר גישה, לאילו מערכות, באיזה תהליך ולכמה זמן. היא גם צריכה לקבוע מה עושים כאשר עובד עובד מחו"ל, משתמש במכשיר פרטי או זקוק לגישה חריגה מחוץ לשעות הפעילות.
כדאי שהמדיניות תכלול ארבעה נושאים ברורים: חלוקת אחריות לאישור גישות, דרישות אבטחה למכשירים, שימוש מחייב באימות רב-שלבי ותהליך מסודר להסרת גישה. אין צורך להעמיס בז'רגון. עובדים צריכים להבין מה מצופה מהם, ולדעת למי לפנות כאשר הם נתקלים בחסם.
הדרכה קצרה וממוקדת משלימה את המדיניות. עובדים צריכים לזהות הודעות התחזות, להימנע משיתוף סיסמאות, לדווח על מכשיר שאבד ולא להעביר מסמכים עסקיים לחשבונות פרטיים. הטכנולוגיה מספקת את שכבות ההגנה, אך התנהלות יומיומית נכונה היא זו ששומרת עליהן אפקטיביות.
להפוך הרשאות לחלק מרציפות עסקית
ניהול הרשאות מרחוק הוא חלק מהיכולת של העסק לפעול בביטחון גם בזמן שינוי, עומס או אירוע אבטחה. כאשר הגישות מסודרות, עובדים יכולים להתחבר במהירות לכלים שהם צריכים, מנהלים מקבלים שליטה, וצוות התמיכה יכול לאתר בעיות בלי לנחש היכן נמצאת הפרצה.
בפועל, ארגונים רבים מרוויחים מליווי של גורם IT שמרכז את ניהול המשתמשים, המכשירים, שירותי הענן וההגנה מפני איומים תחת אחריות אחת. Tuzali מסייעת לעסקים לבנות תהליכי גישה שמתאימים למבנה הארגוני ולרמת הסיכון שלהם, ולא רק להפעיל עוד כלי אבטחה.
הצעד הנכון להתחיל בו הוא מיפוי פשוט: אילו מערכות קיימות, מי ניגש אליהן, מאיזה מכשיר ומהי רמת ההרשאה הנדרשת. מהרגע שהתמונה ברורה, אפשר לעבור ממדיניות של "ניתן גישה כדי שהעבודה לא תיעצר" למדיניות שמאפשרת לעבודה להימשך – בלי להשאיר את העסק חשוף.