משתמש שעובד עם אותה סיסמה למייל, ל-VPN ולמערכת כספים לא צריך להיות יעד של תוקף מתוחכם. מספיק מייל דיוג אחד, סיסמה שדלפה משירות חיצוני, או עובד שעזב והחשבון שלו נשאר פעיל. אכיפת מדיניות סיסמאות היא השכבה שמונעת מהחריגות הקטנות האלה להפוך לאירוע אבטחה, השבתת שירות או חקירה לא נעימה מול הנהלה ולקוחות.

הבעיה היא שמדיניות כתובה בקובץ נהלים אינה אכיפה. אם המשתמש יכול לבחור סיסמה חלשה, לעקוף אימות רב-שלבי, לשמור סיסמה בדפדפן פרטי או לחלוק חשבון עם קולגה - בפועל אין לכם מדיניות. יש כוונה טובה, והרבה חשיפה.

למה מדיניות סיסמאות נכשלת בשטח

הכישלון הנפוץ מתחיל בדרישה מורכבת מדי: לפחות תו מיוחד, אות גדולה, אות קטנה, מספר והחלפה כל 30 יום. המשתמשים מגיבים בצורה צפויה: סיסמה כמו `Winter2026!`, שינוי של ספרה אחת בכל חודש, או פתק ליד המסך. מבחן התוצאה ברור - המדיניות מייצרת עומס על מוקד התמיכה בלי לשפר משמעותית את ההגנה.

הטעות השנייה היא לאכוף רק על סביבת הדומיין, בזמן שהמערכות החשובות נמצאות גם בענן. חשבון Microsoft 365, מערכת CRM, פורטל ספקים, כלי גישה מרחוק ומערכת הנהלת חשבונות הם כולם נקודות כניסה. אם לכל מערכת יש משתמשים מקומיים, כללים שונים וללא תצוגה מרכזית, צוות ה-IT לא באמת יודע מי מחזיק גישה ולאילו נתונים.

הטעות השלישית היא להתייחס לכל החשבונות באותו אופן. חשבון של עובד רגיל, חשבון מנהל מערכת, חשבון שירות וחשבון חירום אינם אותו סיכון. אכיפה אחידה מדי תיצור חריגות ועקיפות; אכיפה רכה מדי על חשבונות בעלי הרשאות גבוהות היא הזמנה לתקרית.

אכיפת מדיניות סיסמאות מתחילה במפת זהויות

לפני שמגדירים כלל אחד, צריך להבין איפה נמצאות הזהויות שלכם. רכזו את ספריית המשתמשים הארגונית, ספק הזהויות בענן, מערכות SaaS קריטיות, חשבונות מנהל, חשבונות שירות, חשבונות משותפים וחשבונות של ספקים חיצוניים. המטרה אינה לייצר עוד גיליון אקסל, אלא למצוא נקודות שבהן משתמש יכול להיכנס בלי לעבור דרך בקרה ארגונית.

בדקו במיוחד שלושה מצבים: עובדים שעזבו ועדיין פעילים, משתמשים עם הרשאות מנהל שלא נדרשות לתפקידם, וחשבונות מקומיים במערכות שאינם מחוברים לניהול הזהויות המרכזי. אלו המקומות שבהם מדיניות סיסמאות נראית תקינה בדוח, אבל נכשלת בפועל.

כאשר אפשר, חברו מערכות לספק זהויות מרכזי באמצעות כניסה אחודה. כך מדיניות אחת יכולה לשלוט באימות, בהסרת גישה ובדרישת MFA. יש מערכות ותיקות שלא יתמכו בכך, וזו בדיוק הסיבה שהמיפוי חשוב: עבורן תידרש בקרה ייעודית, לא התעלמות.

כך בונים מדיניות שאפשר באמת לאכוף

המדיניות הנכונה אינה המסמך המחמיר ביותר. היא המדיניות שהצוות שלכם יכול ליישם, למדוד ולתחזק לאורך זמן. תהליך העבודה צריך להיות מדורג:

1. הגדירו רמות חשבון. הפרידו בין משתמשים רגילים, בעלי הרשאות ניהול, חשבונות שירות, חשבונות חירום וספקים חיצוניים. לכל קבוצה הגדירו אופן אימות, תוקף גישה ובעלים עסקי ברור.

1. קבעו סיסמאות ארוכות במקום חידות מורכבות. עבור משתמשים, דרישה של 14 תווים לפחות עדיפה בדרך כלל על אילוץ לשילוב תווים שרירותי. משפט סיסמה ארוך שקל לזכור קשה יותר לניחוש מסיסמה קצרה ומסובכת לכאורה.

1. חסמו סיסמאות חלשות או דלופות. אורך לבדו לא מספיק. מנגנון האכיפה צריך למנוע סיסמאות נפוצות, וריאציות של שם הארגון, שם המשתמש ודפוסים צפויים. אם סיסמה הופיעה במאגר דליפות, אין סיבה לאפשר אותה גם אם היא עומדת בכללי האורך.

1. הפעילו MFA לפי סיכון, לא כתוספת קוסמטית. לכל גישה מרחוק, שירות ענן, פעולה ניהולית ושינוי בפרטי אבטחה נדרש גורם נוסף. לחשבונות מנהל כדאי לדרוש אימות עמיד יותר לדיוג, ולא להסתפק בהודעת SMS כאשר קיימת חלופה ארגונית מתאימה.

1. העבירו סיסמאות למנהל סיסמאות ארגוני. עובדים לא אמורים לזכור עשרות סיסמאות ייחודיות, ומנהלים לא אמורים לקבל אותן בצ'אט. פתרון ארגוני כמו Bitwarden מאפשר יצירה, שמירה ושיתוף מבוקר של סיסמאות, תוך ביטול הצורך בחשבונות משותפים ובקבצים לא מנוהלים.

החלפת סיסמה תקופתית אינה חייבת להיות ברירת מחדל לכל עובד. אם יש MFA, חסימת סיסמאות דלופות וניטור של כניסות חריגות, החלפה כפויה בתדירות גבוהה עלולה לגרום דווקא לדפוסים חלשים ולעומס קריאות שירות. לעומת זאת, החלפה מיידית נדרשת לאחר חשד לדליפה, שינוי בעלות על חשבון, פעילות חריגה או שימוש בחשבון בעל הרשאות גבוהות.

היכן מגדירים את האכיפה הטכנית

האכיפה צריכה להתבצע בשכבת הזהות המרכזית, ולא להסתמך על תזכורות למשתמשים. בסביבה מבוססת Active Directory מגדירים מדיניות סיסמאות, נעילה וסינון סיסמאות חלשות ברמת הדומיין או באמצעות מדיניות מפוצלת לקבוצות. בסביבות ענן, ספק הזהויות צריך להחיל את כללי האימות, הגישה המותנית וה-MFA על היישומים המחוברים.

חשוב להגדיר ספי נעילה בצורה מאוזנת. נעילה אגרסיבית מדי מאפשרת לתוקף לייצר מניעת שירות על ידי ניסיונות כושלים חוזרים; סף רך מדי נותן מקום לניחוש סיסמאות. ההגדרה תלויה במערכות שלכם, בנפח העובדים וביכולות הניטור. מה שלא תלוי בארגון הוא הצורך בהתראה לצוות כאשר יש רצף ניסיונות כושלים, כניסה ממיקום חריג או שינוי פתאומי בפרטי אימות.

לחשבונות שירות נדרש טיפול נפרד. אל תשתמשו בסיסמה סטטית שמוכרת לכל מי שעובד עם השרת. תעדו בעלים, מטרה, מערכות תלויות ותאריך בדיקה. שמרו את הסוד בכספת ארגונית, הגבילו את ההרשאות למינימום הנדרש, ובצעו רוטציה מבוקרת שלא תשבית אינטגרציות. חשבונות ללא בעלים הם חוב אבטחה שמצטבר בשקט.

חריגים הם חלק מהמדיניות, לא כשל שלה

יש משתמשים שיעבדו מאתר לקוח, ספק שזקוק לגישה זמנית, מערכת ישנה שאינה תומכת ב-MFA או תהליך תפעולי שעדיין תלוי בחשבון משותף. התשובה אינה לאשר חריגה בעל פה ולהמשיך הלאה. לכל חריגה צריך להיות בעלים, נימוק, תאריך תפוגה ובקרת פיצוי - למשל הגבלת כתובות IP, גישה מוגבלת בזמן, הרשאות מצומצמות או ניטור מוגבר.

תנו לחריגים מסלול אישור ברור וקצר. כאשר התהליך מסורבל, המשתמשים ימצאו מעקף. כאשר הוא מתועד ומוגבל בזמן, אתם מקבלים תמונה אמינה של החוב הטכני ויכולים לתעדף טיפול במערכת שאינה עומדת בדרישות.

איך מודדים שאכיפת מדיניות הסיסמאות עובדת

אל תסתפקו במדד של כמה משתמשים החליפו סיסמה. מדדים שימושיים יותר הם שיעור החשבונות ללא MFA, מספר חשבונות מנהל פעילים, חשבונות לא פעילים מעל פרק זמן שהוגדר, שימוש בחשבונות משותפים, ניסיונות כניסה כושלים, ומשך הזמן עד לביטול גישה לעובד שעזב.

בדקו את המדדים אחת לחודש מול בעלי המערכות, ואת חשבונות ההרשאות הגבוהות בתדירות גבוהה יותר. אם מספר קריאות איפוס הסיסמה עולה אחרי שינוי מדיניות, אל תניחו שהמשתמשים פשוט מתנגדים לשינוי. ייתכן שהדרישה מורכבת מדי, שההנחיות לא ברורות או שמנגנון האיפוס העצמי לא הוגדר כראוי.

גם רכש ורישוי נכונים משפיעים ישירות על האכיפה. ארגון שמחזיק רישיונות מפוזרים, משתמשים כפולים וכלים שנרכשו עצמאית מתקשה להחיל מדיניות אחידה. שליו סופט מסייעת לארגונים לעשות סדר בין רישוי, זהויות וכלי אבטחה ארגוניים, עם ליווי בעברית, זמינות בשעות הפעילות המקומיות וחשבונית מס ישראלית מסודרת - בלי לנהל פינג-פונג מול יצרן מעבר לים.

מדיניות טובה לא נמדדת בכמה סעיפים יש בה, אלא בכמה חשבונות מסוכנים כבר לא יכולים להיכנס. התחילו מחשבונות המנהל, מגישה מרחוק וממערכות שמכילות מידע רגיש, ואז הרחיבו את האכיפה לפי נתוני השטח. כך אתם מצמצמים סיכון בלי להפוך את אבטחת המידע למכשול תפעולי.