טלפון שאבד במונית, מחשב נייד שנשאר ללא השגחה בחדר ישיבות או אפליקציה שנראית תמימה אך מבקשת גישה לקבצים – אלה אינם אירועים שוליים. עבור עסק, הם עלולים לפתוח פתח למידע על לקוחות, למסמכים פיננסיים, לתיבות דואר ולמערכות ליבה. השאלה כיצד לאבטח מכשירים ניידים ארגוניים אינה טכנית בלבד: היא נוגעת ישירות ליכולת של העסק להמשיך לעבוד גם כאשר העובדים נמצאים מחוץ למשרד.
מכשירים ניידים הפכו לכלי עבודה מרכזי במשרדי עורכי דין, מרפאות, בתי ספר, רשתות קמעונאיות ועסקים מקצועיים. הם מאפשרים תגובה מהירה, גישה למידע ושירות רציף ללקוחות. אך אותה נגישות יוצרת גם נקודות כניסה רבות יותר לתוקפים, במיוחד כשאין גורם אחד שמנהל את הכללים, ההרשאות והעדכונים.
האבטחה מתחילה במיפוי, לא בהתקנת אפליקציה
הטעות הנפוצה היא לחפש מיד מוצר אבטחה. לפני כל כלי, צריך לדעת אילו מכשירים ניגשים למידע ארגוני, מי משתמש בהם ולאילו מערכות הם מחוברים. בארגון קטן, גם עשרה טלפונים ושישה מחשבים ניידים יכולים ליצור סביבת סיכונים מורכבת אם חלקם בבעלות העובדים, חלקם משותפים וחלקם אינם מתועדים כלל.
מיפוי טוב מבדיל בין מכשירים בבעלות החברה לבין מכשירים פרטיים שמשמשים לעבודה. הוא בודק מי מחזיק בהרשאות מנהל, אילו מכשירים ניגשים לדואר, לאחסון הענן, למערכת הנהלת החשבונות או למערכת הלקוחות, והאם קיימים מכשירים ישנים שעובדים עדיין משתמשים בהם. בלי תמונה זו, אי אפשר לאכוף מדיניות או להגיב במהירות במקרה של אובדן.
חשוב גם להגדיר את רמת הרגישות של המידע. מחשב של מנהל כספים, למשל, דורש מדיניות מחמירה יותר ממכשיר המשמש רק לקריאת דואר. לא כל משתמש זקוק לאותה גישה, והענקת הרשאות רחבות כברירת מחדל מגדילה את הנזק האפשרי מכל תקלה או פריצה.
כיצד לאבטח מכשירים ניידים ארגוניים באמצעות ניהול מרכזי
ניהול מכשירים ניידים מרכזי מאפשר לארגון לקבוע כללי אבטחה ולהחיל אותם באופן אחיד על טלפונים, טאבלטים ומחשבים ניידים. במקום להסתמך על כך שכל עובד יזכור להפעיל קוד נעילה, לעדכן מערכת הפעלה או לדווח על מכשיר אבוד, המערכת בודקת ומיישמת חלק מהדרישות באופן אוטומטי.
בפועל, ניהול כזה יכול לוודא שהמכשיר מוצפן, שמוגדר קוד גישה מורכב, ושמערכת ההפעלה מעודכנת לגרסה נתמכת. הוא גם מאפשר לחסום מכשיר שעבר פריצה, שמערכת ההפעלה שלו שונתה באופן לא מורשה או שאינו עומד בדרישות הארגון. כאשר עובד עוזב, ניתן להסיר את הגישה לחשבון הארגוני בלי להמתין שהמכשיר יוחזר למשרד.
במקרה של אובדן או גניבה, המהירות קריטית. יכולת לנעול את המכשיר מרחוק, לאתר אותו לפי צורך ולמחוק ממנו נתונים ארגוניים עשויה למנוע אירוע אבטחה משמעותי. במכשירים פרטיים, עדיף בדרך כלל להפריד בין סביבת העבודה לבין המידע האישי, כך שאפשר למחוק רק את נתוני העסק ולא לפגוע בתמונות ובקבצים של העובד.
מכשיר פרטי לעבודה: מותר, אך לא ללא תנאים
מדיניות שימוש במכשיר פרטי לעבודה יכולה לחסוך עלויות ולתת לעובדים גמישות, אך היא אינה פוטרת את הארגון מאחריות. צריך להבהיר מראש אילו אפליקציות מותרות, אילו דרישות אבטחה יחולו ומה יקרה אם המכשיר יאבד או אם העובד יסיים את עבודתו.
האיזון הנכון תלוי בסוג העסק ובמידע שהוא מחזיק. קליניקה או משרד שמטפל במסמכים רגישים עשויים לבחור במכשירים ארגוניים בלבד עבור בעלי תפקידים מסוימים. עסק שבו העובדים זקוקים בעיקר לדואר וליומן יכול לאפשר מכשירים פרטיים, בתנאי שהגישה מופרדת, מנוהלת ומאובטחת.
זהות המשתמש חשובה לא פחות מהמכשיר
גם מכשיר מוגן אינו מספק הגנה מספקת אם חשבון המשתמש נפרץ. סיסמה שנעשה בה שימוש חוזר, הודעת התחזות משכנעת או אישור התחברות שניתן בטעות יכולים לאפשר לתוקף להיכנס לדואר הארגוני ולשירותי הענן ממכשיר אחר לגמרי.
לכן יש להפעיל אימות רב-שלבי בכל שירות משמעותי, ובמיוחד בדואר, באחסון קבצים, בגישה מרחוק ובמערכות כספיות. אימות כזה מוסיף שכבת הגנה גם כאשר סיסמה דלפה. עדיף להשתמש באפליקציית אימות או במפתח אבטחה, ולא להסתמך רק על הודעת מסרון, כאשר הדבר אפשרי.
ניהול הרשאות צריך להישען על עקרון הגישה המינימלית. עובד מקבל גישה רק למה שנדרש לו לצורך תפקידו, ולא לכלל התיקיות והמערכות בארגון. כך, אם חשבונו נפגע, היקף החשיפה נשאר מצומצם יותר. בדיקת הרשאות תקופתית חשובה במיוחד לאחר שינוי תפקיד, יציאה לחופשה ממושכת או סיום העסקה.
עדכונים, הצפנה והגנת קצה אינם פרטים קטנים
עדכוני אבטחה מתקנים חולשות שתוקפים כבר מכירים. דחיית עדכונים שוב ושוב כדי להימנע מהפרעה קצרה לעבודה עלולה להשאיר את הארגון חשוף במשך שבועות. נכון לתאם חלונות עדכון, לבדוק תאימות של יישומים חשובים ולנהל חריגים, אך לא להפוך חריגים לשגרה.
הצפנת דיסק במחשבים ניידים והצפנת מכשירים ניידים מגנות על המידע אם החומרה עצמה נגנבת. ללא הצפנה, לעיתים ניתן לקרוא קבצים גם לאחר הוצאת הכונן מהמחשב. ההצפנה חייבת להיות מלווה בניהול מסודר של מפתחות השחזור, אחרת עסק עלול למצוא את עצמו נעול מחוץ למידע שלו.
הגנת קצה מתקדמת מוסיפה יכולת לזהות התנהגות חשודה, תוכנות זדוניות וניסיונות ניצול חולשות. היא אינה מחליפה גיבוי או ניהול הרשאות, אלא משלימה אותם. אבטחה יעילה נבנית משכבות: אם שכבה אחת נכשלה, אחרת אמורה לצמצם את הפגיעה.
גישה מרחוק ורשתות אלחוטיות דורשות כללים ברורים
עבודה מבית הלקוח, מהבית או מבית קפה היא חלק מהמציאות העסקית, אך רשת אלחוטית ציבורית אינה סביבת עבודה שאפשר לסמוך עליה. העובד צריך לדעת שלא מתחברים לרשתות פתוחות ללא הגנה מתאימה, שלא משתפים סיסמאות עם אחרים ושלא משאירים מחשב פתוח במרחב ציבורי.
כאשר נדרשת גישה למערכות פנימיות, יש לאפשר אותה דרך ערוץ מוגן, עם אימות רב-שלבי ובקרה על זהות המשתמש והמכשיר. לא כל מערכת חייבת להיות זמינה מכל מקום. לעיתים עדיף להגביל גישה למסד נתונים רגיש או לאפשר אותה רק למכשירים ארגוניים מנוהלים.
גם על נתבים ביתיים יש לחשוב כחלק מהסביבה הארגונית. אין לארגון שליטה מלאה על הרשת בבית העובד, אך אפשר לדרוש החלפת סיסמת ברירת מחדל, עדכון קושחה ושימוש ברשת אלחוטית מוצפנת. אלה פעולות פשוטות יחסית שמקטינות סיכונים מיותרים.
העובדים הם קו ההגנה הראשון, לא חוליה חלשה
הדרכת מודעות אינה מצגת שנתית שנשכחת למחרת. היא צריכה להתמקד במצבים שהעובדים באמת פוגשים: הודעת דואר שמבקשת לאפס סיסמה, קובץ שנשלח כביכול מספק, שיחת טלפון המבקשת קוד אימות או מכשיר שנעלם בדרך לפגישה.
הנחיות קצרות וברורות מועילות יותר ממסמך ארוך שאיש אינו קורא. עובדים צריכים לדעת למי לדווח, מה לדווח, ומה לעשות מיד במקרה של חשד. דיווח מהיר על לחיצה שגויה או אובדן מכשיר מאפשר לצוות הטכנולוגי לנטרל גישה לפני שהאירוע מתרחב.
חשוב ליצור תרבות שבה מדווחים בלי חשש מהאשמה. עובד שמסתיר טעות מתוך מבוכה נותן לתוקף זמן יקר. לעומת זאת, ארגון שמגיב במהירות ובאופן ענייני יכול להפוך גם אירוע לא נעים לאירוע נשלט.
אל תשכחו את היום שאחרי אירוע
אבטחת מכשירים ניידים אינה שלמה בלי גיבוי שנבדק בפועל ותוכנית תגובה לאירוע. אם תוכנת כופר מצפינה קבצים או אם מחיקה מרחוק נעשית בטעות, גיבוי זמין ומבודד יכול לקצר משמעותית את זמן ההשבתה. יש לבדוק לא רק שהגיבוי פועל, אלא שאפשר לשחזר ממנו מידע במהירות ובאופן תקין.
תוכנית תגובה צריכה להגדיר מי מוסמך לחסום חשבון, מי מתקשר לעובד, מי בודק את היקף החשיפה ואיך ממשיכים לספק שירות ללקוחות. עסקים קטנים אינם זקוקים בהכרח לחדר בקרה פנימי, אך הם כן זקוקים לאחריות ברורה ולגורם מקצועי שזמין לפעול. שירותי ניהול ואבטחה שוטפים, כמו אלה שמספקת Tuzali, מאפשרים לרכז את האחריות הזו תחת כתובת אחת.
הגנה טובה על ניידות ארגונית אינה אמורה להכביד על העבודה, אלא לאפשר אותה בביטחון. כשהכללים ברורים, המכשירים מנוהלים והעובדים יודעים כיצד לפעול, אפשר לתת לאנשים לעבוד מכל מקום בלי להפוך כל טלפון אבוד למשבר עסקי.