הגדירו מה העובד צריך לבצע ומאיזה מכשיר
רשמו פעולות כמו קריאת דואר, צפייה במסמך, עדכון אתר או ניהול שרת. לכל פעולה הגדירו שירות, סוג מידע ומכשירים מאושרים. לא כל משימה מצריכה גישה לרשת או לניהול תשתית. ההחלטה צריכה להתחשב במידע, ביכולת לתחזק מכשיר ובהרשאות שהעובד צריך בפועל.
NI Cyber Security Centre ממליץ לעובדים לפעול לפי מדיניות הארגון, לעדכן מכשירים ולברר שימוש במכשיר אישי. חשבון נפרד במכשיר יכול להיות שכבת הפרדה תפעולית, אך אינו אישור גורף לחבר כל מחשב למידע עסקי. כללי העסק צריכים להגדיר מה מותר ומה דורש חלופה.
בדקו מוכנות לפי תהליך ולא לפי כלי יחיד
הטבלה היא מסגרת בדיקה מקורית לעסק קטן. היא אינה תו תקן או רשימת התקנה. לכל שורה יש בעלים ודרך אימות. אם דבר אינו ידוע, מגדירים בירור במקום להניח שהספק או העובד כבר מטפלים בו. הכלים והדרישות המדויקות תלויים במערכת.
| תחום | שאלה להחלטה | בדיקת קבלה אפשרית |
|---|---|---|
| מכשיר | האם הוא מאושר, נתמך ומתוחזק | אימות הגדרות ויכולת עדכון בהיקף מורשה |
| חשבון | איזה משתמש ואמצעי אימות נדרשים | כניסה לחשבון הנכון בתפקיד המתאים |
| גישה | לאילו שירותים ופעולות יש צורך | פעולה מותרת מצליחה וחריגה נדחית |
| מידע | איפה שומרים ומשתפים | מסמך ניסיון נשמר רק ביעד המאושר |
| המשכיות | מה קורה באובדן מכשיר או אמצעי כניסה | איש קשר וחלופה נגישים |
| דיווח | למי פונים אם יש בקשה חשודה | המסלול עובד בלי חשיפת סודות |
VPN אינו הרשאה לכל שירות
חיבור מוצפן או כניסה לרשת אינם תשובה לשאלה מי רשאי לבצע פעולה בנכס מסוים. NIST SP 800-207 מתאר גישה שבה אין אמון אוטומטי רק מכוח מיקום רשת או בעלות במכשיר. גם כשנדרש VPN, בוחנים את הרשאות השירות ואת מצב הזהות והמכשיר לפי התכנון.
אין לפתוח שירות ניהול לציבור רק כי עובד מתקשה להתחבר מרחוק. תקלה בגישה נבחנת מול האחראי עם היקף ושינוי מבוקר. שינוי ברשת, במנגנון אימות או במדיניות אינו סיבה לבטל הגנות באופן רחב כדי לבדוק אם הבעיה נעלמת.
שמרו את המידע ביעדים ובסביבה מתאימים
בדקו איפה מסמך נשמר אחרי הורדה, איזה חשבון מסנכרן אותו ומי יכול להגיע אליו בסביבת העבודה. דואר אישי, קישור פתוח או כלי AI לא מאושר אינם פתרון אוטומטי לקושי בגישה. אם המערכת אינה מאפשרת את העבודה הנחוצה, מעלים זאת לבעלים במקום ליצור עותק לא מנוהל.
בסביבה משותפת נועלים מסך ושומרים על מכשיר ומסמכים בהתאם למדיניות. גם שיחות, הדפסות ושיתוף מסך יכולים לחשוף מידע. הנחיה צריכה להיות ישימה: אילו כלים משתמשים, איך מבקשים חריגה ולמי מדווחים על אובדן. אין לצפות שעובד ימציא מדיניות פרטיות בזמן תקלה.
דוגמה: צפייה בקבצים עובדת, עריכת האתר מקבלת גישה רחבה
התרחיש להמחשה בלבד. עובד צריך לעדכן תוכן באתר, אך מקבל גישת ניהול תשתית רחבה כדי לאפשר עבודה מהבית. הסקירה בודקת אם אפשר להעניק תפקיד מתאים ביישום בלי הרחבת הגישה לשירותים אחרים. ניסוי עם נתוני ניסיון מוודא את פעולת העריכה ואת גבולות התפקיד.
אם נדרשת פעולה ניהולית זמנית, היא מקבלת אישור, היקף ובדיקת סיום. בודקים גם מה קורה בניתוק ובחזרה לעבודה, ולא רק בכניסה הראשונה. ההחלטה מתועדת כך שמנהל חדש ידע להבחין בין גישה שוטפת לחריגה שניתנה לפתרון תקלה.
תרגלו אובדן, דיווח והסרת גישה
קבעו מה עושים כשמכשיר אבד, אמצעי MFA אינו זמין או התקבלה בקשת גישה לא צפויה. ציינו ערוץ קשר מוכר ומחליף. תרגול שולחני יכול לבדוק שהצוות יודע לאן לפנות בלי לנתק מכשירים או לחשוף מידע חי. חזרה לשירות ושאלת חשיפת מידע הן בדיקות נפרדות.
בסיומו של תפקיד או קשר עם ספק בוחנים חשבונות, קבוצות, יישומים ומידע שהועבר, לפי ההיקף. מדריכי ההרשאות והעזיבה מפרטים את ההמשך. CyberFixCrew יכולה לסייע במיפוי הגישה לנכסים הדיגיטליים ובבדיקות המתאימות לשירותים הקיימים; אין כאן הבטחה לניהול כל מכשיר או לניטור רציף.
