עסק קטן לא נפרץ כי חסר לו מוצר אחד. הוא נפרץ בדרך כלל בגלל שילוב מוכר: חשבון Microsoft 365 ללא MFA, מחשב נייד שלא עודכן, סיסמה ממוחזרת, גישת תמיכה מרחוק שאינה מנוהלת, או גיבוי שאיש לא בדק אם ניתן לשחזר. לכן, כשבוחנים פתרונות סייבר לעסקים קטנים, השאלה הנכונה אינה "איזו תוכנה לקנות?" אלא "איפה נמצאים הנתונים, מי ניגש אליהם, ומה קורה כשחשבון או תחנת קצה נפגעים?"

האתגר אינו רק טכנולוגי. בארגון קטן עד בינוני אותו אדם לעיתים אחראי על משתמשים, רכש, ספקים, גיבויים ותמיכה. התקציב מוגבל, אין צוות SOC שפועל מסביב לשעון, והמערכות גדלות מהר יותר מתהליך הניהול שלהן. הפתרון חייב להיות מדורג, מדיד וניתן לתפעול גם ביום עמוס - לא אוסף רישיונות שאף אחד לא יודע מי משתמש בהם ולמה.

מתחילים ממפת נכסים, לא מקטלוג מוצרים

לפני שמחליטים על EDR, XDR או כלי לניהול סיסמאות, צריך להבין מה קיים בפועל. כמה תחנות קצה פעילות? מי עובד מרחוק? אילו שרתים, שירותי ענן, מערכות ERP, קבצי לקוחות ומאגרי מידע נמצאים בסביבה? האם יש מחשבים של עובדים לשעבר, חשבונות אדמין ישנים או תוכנות שלא עודכנו חודשים?

זו אינה עבודת תיעוד בירוקרטית. נכס שלא מופיע במלאי אינו מקבל מדיניות, עדכון או ניטור. כלי ניהול נכסים כגון Lansweeper יכול לספק תמונת מצב של חומרה, תוכנות, גרסאות ומידע רישוי, ולהפוך שיחה כללית על "הגנת סייבר" לרשימת פעולות ברורה. הוא גם עוזר לזהות כפילויות רישוי ותוכנות שלא אמורות להיות מותקנות בארגון - נקודה שבה אבטחה ו-FinOps נפגשים.

כדאי לסווג את הנכסים לשלוש רמות: מערכות קריטיות לפעילות, מערכות שמכילות מידע רגיש, ונכסים תומכים. שרת קבצים, מערכת כספים וחשבון דואר של מנהל כספים אינם מקבלים אותו טיפול כמו עמדת הדרכה מנותקת. ההבחנה הזאת קובעת היכן להשקיע קודם.

זהות המשתמש היא קו ההגנה הראשון

רוב אירועי החדירה לעסקים קטנים אינם מתחילים בפריצה מתוחכמת לרשת. הם מתחילים בזהות שנגנבה - באמצעות פישינג, דף התחברות מזויף, סיסמה דלפה או אישור MFA שהמשתמש נתן בלי לבדוק.

MFA צריך להיות ברירת מחדל לכל שירות ענן, VPN, גישה מרחוק וחשבון בעל הרשאות ניהול. אך MFA לבדו אינו פותר את בעיית הסיסמאות החלשות, המשותפות או המועברות בוואטסאפ. מנהל סיסמאות ארגוני כמו Bitwarden מאפשר להקצות כספות, לשתף גישה בלי לחשוף את הסיסמה עצמה, לבטל גישה בעת עזיבת עובד ולייצר תיעוד בסיסי של מי קיבל הרשאה לאיזה שירות.

הטמעה נכונה מתחילה בחשבונות בעלי סיכון גבוה: הנהלה, כספים, אנשי IT, משתמשי Microsoft 365, ספקי ענן ומערכות סליקה. לאחר מכן מרחיבים לכלל העובדים. ניסיון להחליף לכל הארגון את כל הסיסמאות ביום אחד עלול ליצור התנגדות ולעקוף את הכלי החדש. עדיף מעבר מדורג, עם מדיניות ברורה ותהליך הצטרפות פשוט.

הרשאות מינימליות מצמצמות נזק

אין סיבה שמשתמש רגיל יעבוד עם הרשאות Local Administrator, ואין סיבה שחשבון אדמין יומיומי ישמש גם לקריאת דואר וגלישה. הפרדת חשבונות, עקרון ההרשאה המינימלית ובדיקת הרשאות תקופתית מפחיתים משמעותית את היכולת של תוקף להתקדם בתוך הסביבה.

גם חשבונות שירות, ספקים חיצוניים ועובדים זמניים צריכים להיות חלק מהבקרה. הרשאה ללא תאריך תפוגה היא בדרך כלל הרשאה שנשכחה. במקרים רבים, דווקא הספק שהוקם עבור פרויקט קצר הופך לדלת צדדית שנשארת פתוחה שנים.

הגנת תחנות קצה: לא להסתפק באנטי-וירוס

תחנות הקצה הן המקום שבו עובדים פותחים קבצים, מורידים מסמכים, מתחברים לשירותי ענן ומעבדים מידע. אנטי-וירוס מסורתי עדיין ממלא תפקיד, אבל הוא אינו מספק לבדו יכולת זיהוי ותגובה לאיומים מתקדמים, הצפנה, גניבת זהויות או פעילות חריגה של משתמש.

EDR מספק נראות עמוקה יותר על פעילות בתחנת הקצה: תהליכים שהורצו, קבצים חשודים, ניסיונות התמדה ותקשורת חריגה. XDR מרחיב את התמונה למקורות נוספים, למשל דואר, זהויות ורשת. לעסק קטן אין תמיד צורך במימוש XDR מורכב מהיום הראשון. אם אין מי שיטפל בהתראות, מערכת מתקדמת מדי הופכת לרעש תפעולי יקר.

הסדר הנכון הוא לוודא קודם כיסוי מלא לכל התחנות, מדיניות עדכונים, הצפנת דיסקים וניהול מרכזי. רק לאחר מכן בוחנים עומק ניטור ותגובה לפי רמת הסיכון, דרישות לקוחות ורגולציה. חשוב לבחון גם את יכולת התפעול: מי מקבל התראה, תוך כמה זמן, ומה הפעולה המוגדרת במקרה של חשד להצפנה או גניבת חשבון.

גישה מרחוק היא שירות קריטי, ולכן היא יעד

צוותי IT וספקים צריכים להתחבר מרחוק. הבעיה מתחילה כאשר משתמשים בכלים אישיים, בחשבונות משותפים או בהגדרות ללא בקרת הרשאות ותיעוד. גישה מרחוק צריכה להיות מנוהלת כמו כל מערכת רגישה אחרת: זיהוי משתמש, MFA, הרשאות לפי תפקיד, רישום פעולות ויכולת לבטל גישה מיד.

Splashtop, למשל, מתאים לארגונים שמחפשים תמיכה מרחוק וניהול גישה תחת מדיניות ברורה, עם מודלי רישוי שניתן להתאים למספר טכנאים, משתמשים או עמדות. הבחירה אינה צריכה להתבסס רק על עלות רישיון. יש לבדוק האם הפתרון מאפשר הפרדת לקוחות או מחלקות, ניהול מכשירים לא מאוישים, דוחות, בקרת הרשאות ותמיכה בתהליך העבודה של ה-IT.

בארגון שמסתמך על ספק תמיכה חיצוני, כדאי להגדיר במפורש מי מורשה להתחבר, לאילו מערכות, באילו שעות, והאם נדרש אישור משתמש. זו בקרה פשוטה יחסית שמצמצמת סיכון בלי לפגוע בזמינות התמיכה.

דואר, גיבוי והתאוששות: שלוש שכבות שלא כדאי להפריד

הדואר הארגוני הוא ערוץ התקיפה הנפוץ ביותר, ולכן הגנת דואר אינה יכולה להסתכם במסנן ספאם בסיסי. יש להגדיר אימות דומיין, מדיניות נגד התחזות, סריקת קבצים וקישורים, והליך ברור לדיווח על הודעה חשודה. הדרכת מודעות קצרה ומעשית לעובדים חשובה, אך אין להציג אותה כתחליף לבקרות טכנולוגיות. משתמשים טועים גם אחרי הדרכה טובה.

גיבוי הוא שכבת ההתאוששות, לא מנגנון המניעה. גיבוי טוב כולל עותקים מופרדים, הגנה מפני מחיקה או הצפנה, ושחזור שנבדק בפועל. השאלה הנכונה אינה "האם הגיבוי רץ?" אלא "כמה זמן ייקח להחזיר את מערכת הכספים, תיקיית הפרויקטים וחשבונות הדואר למצב עבודה?"

יש להגדיר RPO ו-RTO בצורה עסקית. כמה מידע מותר לאבד, וכמה זמן הפעילות יכולה להיעצר? עסק שמפיק חשבוניות כל היום זקוק ליעדים שונים ממשרד שבו המידע משתנה פעם ביום. הגדרות כאלה מונעות רכישת יתר מצד אחד, ומנגד מונעות אשליה שגיבוי בסיסי מספיק לכל תרחיש.

רישוי, תאימות וסייבר הם אותו דיון

רישוי לא מסודר יוצר סיכון אבטחתי בכמה דרכים. תוכנה ללא בעלים עסקי נשארת ללא עדכונים. רישיונות משותפים מקשים על ביטול גישה. כלי ענן שנרכשו עצמאית על ידי מחלקות יוצרים Shadow IT, ולעיתים איש אינו יודע היכן נמצא המידע או מי מחזיק בחשבון המנהל.

תהליך רכש נכון כולל קטלוג שירותים מאושר, בעלות ברורה לכל מערכת, תיעוד תנאי הרישוי ותהליך Offboarding לעובדים. הוא צריך לכלול גם בדיקה תקופתית של שימוש בפועל: האם מספר הרישיונות תואם את הצורך, האם קיימים מנויים כפולים, והאם משתמשים שכבר עזבו עדיין צורכים גישה. זהו חיסכון תפעולי, אבל גם חלק מהתאימות והגנת המידע.

בארגונים שאין להם צוות רכש טכנולוגי ייעודי, ספק שמבין גם רישוי וגם ארכיטקטורת IT יכול לחסוך טעויות בתכנון. ShalevSoft מסייעת לארגונים לרכז התאמת רישוי, רכישה ותמיכה בעברית, כך שהפתרון הנבחר יתאים לתהליך העבודה ולא רק למצגת היצרן.

איך מתעדפים פתרונות סייבר לעסקים קטנים

אין צורך לקנות הכול במקביל. ברוב הארגונים סדר העדיפויות צריך להתחיל במלאי נכסים, MFA וניהול סיסמאות; להמשיך לעדכוני אבטחה, הגנת תחנות קצה וגיבוי שנבדק; ואז לחזק גישה מרחוק, הגנת דואר וניטור. סדר זה משתנה אם הארגון מחזיק מידע רפואי, פיננסי או רגיש במיוחד, או אם לקוח גדול דורש בקרות מסוימות כתנאי התקשרות.

לכל רכיב צריך להיות בעלים, מדד הצלחה ותהליך תגובה. לדוגמה: שיעור התחנות המעודכנות, אחוז החשבונות עם MFA, זמן ביטול גישה לעובד שעזב, או הצלחת בדיקת שחזור רבעונית. בלי המדדים האלה, קשה לדעת אם ההשקעה באמת הורידה סיכון או רק הוסיפה עוד פורטל לניהול.

הצעד הבא אינו לבקש רשימת מוצרים. קבעו פגישת עבודה קצרה שבה ממפים את חמש המערכות הקריטיות, החשבונות בעלי ההרשאה הגבוהה ביותר ותרחיש ההשבתה שהארגון הכי פחות יכול להרשות לעצמו. משם, הבחירה הטכנולוגית נעשית הרבה פחות מעורפלת.