מחשב נייד שהוחלף, עובד שעזב, צוות חדש שנפתח או רכישה נקודתית של כלי אבטחה - כך מתחיל בדרך כלל פער רישוי. אף אחד לא מתכוון לייצר כאוס, אבל לאורך זמן רישיונות שנרכשו על ידי מחלקות שונות, מנויים שמתחדשים אוטומטית והרשאות שנותרו פעילות יוצרים חשיפה כספית ואבטחתית. רישוי מוסדי אינו רק משימה של רכש או הנהלת חשבונות. זהו מנגנון שליטה בתשתית התוכנה, בזהויות המשתמשים ובעלויות ה-IT.

בארגון בינוני או אנטרפרייז, כל מוצר יכול להימכר לפי לוגיקת רישוי אחרת: לפי משתמש, מכשיר, שרת, תיבת דואר, טכנאי תמיכה, נקודת קצה או צריכת שירות. לכן, ניסיון לנהל את כל הרישיונות באמצעות גיליון אחד בלבד עובד רק עד לנקודה שבה הסביבה משתנה. משם מתחילים חידושי יתר, שימוש חסר, רישיונות כפולים ולעתים גם שימוש שאינו עומד בתנאי היצרן.

מה כולל רישוי מוסדי בפועל

רישוי מוסדי הוא התאמה בין זכויות השימוש שרכש הארגון לבין המציאות התפעולית שלו. בפועל, הוא מחבר בין חוזה הרישוי, מספר המשתמשים או הנכסים, סוג ההתקנה, סביבת הענן, רמת התמיכה והדרישות הרגולטוריות. המטרה אינה רק להחזיק במספר רישיונות מתאים, אלא להבין מי משתמש במה, באיזו מהדורה, תחת איזה תנאי ולכמה זמן.

לדוגמה, כלי גישה מרחוק יכול להיות מתומחר לפי מספר הטכנאים, מספר המחשבים המנוהלים או שילוב ביניהם. פתרון לניהול סיסמאות ארגוני עשוי להימדד לפי משתמשים פעילים, קבוצות, יכולות SSO או דרישות MFA. כלי לגילוי נכסים ורישוי תוכנה צריך להביא בחשבון תחנות עבודה, שרתים, מכשירי רשת ולעתים גם נכסים וירטואליים. אם הרכש בוצע בלי מיפוי של מודל הרישוי, קל לשלם על קיבולת שלא נדרשת או להיתקל במגבלה תפעולית דווקא בזמן הרחבה.

הבלבול גדל כאשר ארגון מחזיק גם ברישיונות קבועים וגם במנויים. רישיון קבוע יכול להתאים למערכת יציבה עם אופק שימוש ארוך, אך לעתים הוא מחייב רכיב תחזוקה נפרד כדי לקבל עדכונים ותמיכה. מנוי מפחית הוצאה ראשונית ומאפשר התאמה קלה יותר לשינויים, אבל מחייב שליטה הדוקה במועדי חידוש ובכמות המושבים. אין מודל אחד שנכון לכל המוצרים. ההחלטה תלויה בקצב השינוי, בתקציב, במחזור החיים של המערכת ובחשיבות העדכונים השוטפים.

העלויות שלא מופיעות בהזמנת הרכש

עלות הרישיון היא רק שורה אחת בתמונה. העלות האמיתית כוללת זמן של צוות IT שמנסה לאתר מפתחות, ליישב פערים בין פורטלים, להסיר חשבונות של עובדים שעזבו ולהתמודד עם חידוש דחוף. כאשר לכל מחלקה יש ספק, תנאי חידוש ומסמך רכש משלה, קשה לראות את התמונה הכוללת וקל לפספס כפילויות.

הפער הנפוץ ביותר הוא בין משתמשים מוקצים למשתמשים פעילים. ארגון יכול להחזיק במאה רישיונות למוצר מסוים, בעוד שרק שבעים מהם נמצאים בשימוש אמיתי. מנגד, בארגון אחר עובדים משתמשים בחשבונות משותפים או בהתקנות שלא תועדו, והארגון חשוף לחריגה. שני המקרים בעייתיים: הראשון מבזבז תקציב, והשני פוגע בתאימות, באבטחה וביכולת לבצע ביקורת.

יש גם עלויות עקיפות של בחירת מהדורה לא נכונה. רכישת מהדורה בסיסית עשויה להיראות נכונה בתחילת הדרך, אך אם חסרים בה ניהול מרכזי, לוגים, אינטגרציה עם זהויות ארגוניות או יכולות Audit, צוות ה-IT נאלץ להשלים את הפער בתהליכים ידניים. במקרים כאלה, המחיר הנמוך ברכש הופך לעלות גבוהה בתפעול.

רישוי הוא גם החלטת אבטחת מידע

מנקודת מבט של CISO, רישוי מסודר משפיע ישירות על משטח התקיפה. חשבונות שאין להם בעלים ברור, משתמשים לשעבר שנותרו פעילים, תוכנה ללא עדכונים ורישיונות שלא כוללים יכולות ניהול מתאימות - כל אלה הם סיכונים מעשיים, לא רק בעיות אדמיניסטרטיביות.

לכן כדאי לבחון כל פתרון גם לפי יכולת הניהול שלו: האם ניתן להגדיר MFA? האם יש הפרדת תפקידים? האם קיימים לוגים שימושיים לחקירה? האם ניתן לבצע Provisioning ו-Deprovisioning מול מערכת הזהויות? והאם רמת הרישוי שנרכשה כוללת את היכולות הללו או דורשת הרחבה? לפעמים רכיב רישוי קטן הוא ההבדל בין מוצר שמנוהל בצורה מבוקרת לבין עוד מערכת מנותקת מהתשתית הארגונית.

בכלי גישה מרחוק, לדוגמה, לא מספיק לבדוק כמה טכנאים זקוקים לחיבור. צריך לבחון מדיניות גישה, אימות חזק, הרשאות לפי קבוצות, תיעוד סשנים לפי הצורך, יכולת פריסה לעמדות לא מאוישות ותמיכה בסביבת העבודה האמיתית. Splashtop, למשל, נבחן בארגונים לא רק לפי עלות, אלא גם לפי התאמה לניהול מרחוק מאובטח והיכולת לצמצם מורכבות מול פתרונות ותיקים יותר.

כך בונים בסיס ניהולי לרישוי מוסדי

השלב הראשון הוא לאסוף נתונים ממערכות קיימות, ולא להסתמך על זיכרון או על הזמנות רכש בלבד. צריך להשוות בין פורטלי היצרנים, חשבוניות, נתוני HR, מערכת ניהול הזהויות וכלי גילוי נכסים. המטרה היא ליצור רשומה אחת לכל מוצר: מה נרכש, באיזה מודל, מה תאריך החידוש, מי הבעלים העסקי, מי המנהל הטכני וכמה רישיונות נמצאים בשימוש.

בשלב השני, מפרידים בין בעלות תקציבית לאחריות תפעולית. מחלקה עסקית יכולה לממן מערכת, אך צוות IT צריך לדעת מי מנהל משתמשים, מי מאשר הגדלת כמות, מי מטפל בהסרת גישה ומי מקבל התראות לקראת חידוש. ללא הגדרה כזו, חידוש הופך לאירוע חירום והעברת אחריות בין עובדים מייצרת חורים.

השלב השלישי הוא לקבוע מחזור בקרה. לא כל מוצר דורש בדיקה חודשית, אך מערכות עם שינוי משתמשים גבוה, שירותי ענן לפי מושב וכלי אבטחה קריטיים ראויים לבקרה תכופה יותר. במוצרים יציבים אפשר לבצע בדיקה רבעונית, כל עוד מתקיימים תהליכי Joiner, Mover ו-Leaver מסודרים. כאשר עובד מצטרף, מחליף תפקיד או עוזב, סטטוס הרישוי שלו צריך להשתנות כחלק מאותו תהליך ולא כמשימה ידנית שנדחית לסוף החודש.

מדדים שמאפשרים לנהל ולא רק לדווח

מדד שימוש בסיסי הוא שיעור ניצול הרישיונות: מספר המשתמשים או המכשירים הפעילים מתוך הכמות שנרכשה. אבל המדד הזה לבדו מטעה. ניצול של 100% יכול להעיד על יעילות, או על כך שאין לארגון מרווח לצמיחה ולמשתמשים זמניים. ניצול של 60% יכול להצביע על בזבוז, או על רזרבה מוצדקת עבור מוקד תמיכה עונתי.

כדאי לבחון גם רישיונות לא פעילים לאורך תקופה מוגדרת, מספר מוצרים עם בעלים לא מזוהה, מספר חידושים ב-90 הימים הקרובים, מספר חשבונות ללא MFA ועלות לפי יחידה עסקית. מדדים אלה נותנים ל-IT ולרכש שפה משותפת. במקום ויכוח כללי על קיצוץ תקציב, אפשר לקבל החלטה על בסיס שימוש, סיכון ותוכנית צמיחה.

מתי רכש מרוכז באמת משתלם

רכש מרוכז אינו אומר שכל מוצר חייב להגיע מאותו יצרן. הוא אומר שיש נקודת שליטה אחת על תנאים, תאריכי חידוש, מסמכי רישוי ותמיכה. בארגון עם מספר ספקים בינלאומיים, זה מצמצם עבודה אדמיניסטרטיבית ומקל על התאמת הרכש לצורכי אבטחה ותפעול.

היתרון משמעותי במיוחד כאשר נדרשת תמיכה בעברית, כאשר יש צורך בהנפקת מסמכים מותאמים לארגון או כאשר צוות ה-IT צריך להבין במהירות את ההבדל בין מהדורות ותנאי שימוש. במקום לפתוח קריאת שירות מול כל יצרן ולפרש לבד את מודל הרישוי, אפשר לעבוד עם גורם שמכיר את המוצרים ואת ההקשר הארגוני. ShalevSoft מסייעת בדיוק בנקודה הזו: התאמת רישיונות, רכש מרוכז וליווי טכני למוצרים ארגוניים, בלי להעמיס על צוותי IT ורכש עוד שכבת תיאום.

עם זאת, ריכוז רכש אינו פוטר את הארגון מבקרה פנימית. ספק יכול לסייע בהבהרת תנאים ובהתאמת הכמות, אבל רק הארגון יודע מי באמת משתמש במוצר, מהו תהליך העזיבה שלו ומה צפוי להשתנות ברבעון הבא. השילוב הנכון הוא ספק שמספק שקיפות ותמיכה, לצד בעלות פנימית ברורה על הנתונים וההחלטות.

הדרך הנכונה להתחיל אינה פרויקט ענק של שנה. בחרו שלושה מוצרים עם הוצאה גבוהה, שינוי משתמשים תכוף או סיכון אבטחתי משמעותי. מיפוי מדויק שלהם יחשוף בדרך כלל את דפוסי הבעיה גם בשאר הסביבה. כשהרישוי מנוהל כמו נכס תפעולי ולא כמו אוסף חשבוניות, קל יותר לקבל החלטות רכש מדויקות, לסגור פערי תאימות ולפנות תקציב למה שבאמת מקדם את הארגון.