עובד מתחבר מהמשרד למערכת פנימית, ממשיך מהבית לשירות ענן, ובמקביל ספק חיצוני צריך גישה זמנית לממשק ניהולי. ברגע הזה נחשף הפער בין מדיניות אבטחה על הנייר לבין ניהול סיסמאות בשטח. השאלה איך ליישם את Bitwarden בסביבה היברידית אינה שאלה של התקנת תוסף לדפדפן. מדובר בפרויקט זהויות, הרשאות ובקרת סיכונים שצריך להתאים לאופן שבו הארגון שלכם באמת עובד.

בסביבה היברידית, סיסמאות אינן נמצאות במקום אחד: יש מערכות ענן, שרתים מקומיים, חשבונות שירות, ציוד רשת, פורטלים של ספקים ויישומים ותיקים שלא תמיד תומכים בהזדהות מודרנית. אם כל צוות מנהל את הגישה שלו בנפרד, תקבלו חשבונות כפולים, הרשאות שנשארות אחרי עזיבת עובדים, שיתופים לא מתועדים ועלויות רישוי שלא משקפות שימוש אמיתי.

מתחילים ממפת גישה, לא מייבוא סיסמאות

הטעות הנפוצה היא לפתוח כספת ארגונית, לייבא אליה את כל מה שנמצא בקבצי אקסל, ואז לנסות להבין מי אמור לגשת למה. התוצאה עלולה להיות מאגר מסודר לכאורה, אך עם הרשאות רחבות מדי ומידע ישן שאף אחד לא בדק. לפני ההטמעה, הצוות שלך צריך למפות את נקודות הגישה הקריטיות ואת הבעלות עליהן.

חלקו את הנכסים לפי שימוש ולא לפי מי שמכיר את הסיסמה. לדוגמה, גישת מנהלי מערכת לייצור צריכה להיות מופרדת מגישת צוות התמיכה, וחשבונות של ספקים חיצוניים צריכים להיות מופרדים גם מכספות צוותיות וגם מחשבונות אישיים של עובדים. ההפרדה הזו חשובה במיוחד כאשר חלק מהמערכות נמצאות במרכז הנתונים וחלקן מופעלות כשירות ענן.

בשלב המיפוי, בדקו לכל חשבון מי הבעלים העסקי, מי המשתמשים המורשים, מה רמת הרגישות, האם קיים מנגנון MFA, ומה יקרה אם הסיסמה תיחשף או אם בעל החשבון יעזוב. חשבונות שאין להם בעלים ברורים הם מועמדים ראשונים לביטול, איפוס או העברה לבעלות צוותית מבוקרת.

איך ליישם את Bitwarden בסביבה היברידית לפי קבוצות

המודל הנכון בארגון אינו בנוי על שיתוף ידני בין אנשים, אלא על קבוצות, אוספים ומדיניות. Bitwarden מאפשר לנהל פריטי גישה בתוך אוספים ולתת גישה לקבוצות בהתאם לתפקיד. כך, כאשר עובד עובר תפקיד או עוזב, אתם משנים את חברותו בקבוצה ולא צריכים לרדוף אחרי עשרות סיסמאות ומערכות.

מבנה שימושי יכול לכלול אוספים נפרדים לתשתיות, מערכות עסקיות, כספים, תמיכה, פיתוח, ספקים וחשבונות חירום. בתוך כל אוסף יש להחליט אם המשתמש רשאי רק לצפות בפריט, להשתמש בו, לערוך אותו או לשתף אותו הלאה. לא כל מי שצריך להיכנס למערכת צריך גם לדעת את הסיסמה או להיות מסוגל לשנות אותה.

כאן נכנס עיקרון ההרשאה המזערית. לצוות התמיכה, למשל, אין סיבה לקבל גישה גורפת לכל חשבונות מנהלי המערכת רק משום שהוא מטפל בתקלות. במקום זאת, הגדירו אוספים לפי מערכות, תפקידים וסביבות עבודה: ייצור, בדיקות, פיתוח ומערכות משרדיות. ההפרדה מפחיתה את היקף הנזק האפשרי במקרה של חשבון שנפרץ או מחשב קצה לא מאובטח.

זהויות ארגוניות במקום משתמשים מנותקים

אם הארגון כבר עובד עם ספק זהויות מרכזי, כדאי לחבר את תהליך הכניסה ל-Bitwarden למנגנון ההזדהות הקיים באמצעות SSO. כך העובד לא מקבל עוד חשבון מנותק שאף אחד לא מנהל, ואתם יכולים להחיל מדיניות גישה ארגונית, MFA ותנאי כניסה בהתאם לרמת הסיכון.

עם זאת, SSO לא מבטל את הצורך בתכנון התאוששות. צריך להגדיר מראש מי יכול לנהל את הכספת במקרה שספק הזהויות אינו זמין, מי מחזיק בהרשאות חירום, ואיך מתעדים שימוש בהרשאות הללו. חשבון חירום ללא נוהל הפעלה וביקורת הוא פשוט חשבון בעל הרשאות-על שמחכה להפוך לבעיה.

בארגונים שבהם ניהול המשתמשים מתבצע דרך ספרייה ארגונית, סנכרון משתמשים וקבוצות יכול לצמצם עבודה ידנית וטעויות. אבל הסנכרון צריך להיבדק מול תהליך ה-Onboarding וה-Offboarding הקיים. אם עובד מושבת בספרייה אך נשאר חבר בקבוצה בעלת גישה לכספת, לא פתרתם את הבעיה. הגדירו מי אחראי על הסנכרון, באיזו תדירות הוא נבדק ומהו תהליך החריגה כאשר עובד משנה תפקיד במהירות.

מדיניות אבטחה שלא מפריעה לעבודה

הכוח של מנהל סיסמאות ארגוני אינו רק בשמירת סיסמאות. הערך מגיע ממדיניות אחידה: דרישת MFA, הגבלות על שיתוף, כללי אורך ומורכבות, בקרת גישה לפי קבוצות, ודיווח שמאפשר לזהות שימוש חריג או הרשאות מיותרות.

המדיניות צריכה להיות פרופורציונלית. אם תכבידו על משתמשים ללא הבחנה, הם ימצאו מסלולים עוקפים: שמירת סיסמאות בדפדפן, צילום מסך, או שיתוף בהודעות. עבור צוותים בעלי הרשאות גבוהות, אפשר להחיל דרישות מחמירות יותר ולצמצם פעולות שיתוף. עבור עובדים עסקיים, המטרה היא להחליף הרגלים מסוכנים בתהליך פשוט יותר, לא ליצור עוד מערכת שהעובד מנסה להתחמק ממנה.

חשוב גם להגדיר מדיניות למכשירים. בסביבה היברידית עובדים נכנסים מכספם הארגוני, מהמחשב בבית ולעיתים ממכשיר נייד. החליטו אילו מכשירים מורשים, האם נדרש ניהול תחנות קצה, מהי מדיניות נעילת הכספת, ואיך מטפלים בעובד שהחליף טלפון או איבד מחשב. אלו שאלות תפעוליות, לא רק שאלות של אבטחת מידע.

חשבונות שירות וספקים: האזור שבו נוצרים סיכונים

חשבונות שירות, מפתחות גישה וחשבונות ניהול של ציוד רשת אינם עובדים כמו חשבון של עובד רגיל. לעיתים הם משותפים למספר מערכות, לעיתים הסיסמה שלהם אינה מוחלפת במשך שנים, ולעיתים אף אחד לא יודע מי תלוי בהם. אין להעביר אותם לכספת בלי בדיקת תלות ותוכנית מסודרת להחלפת סיסמאות.

לגבי ספקים חיצוניים, אל תשתפו חשבון צוותי קבוע רק משום שזה נוח. הגדירו גישה לפי משימה, תקופת זמן ואישור בעל המערכת. עם סיום העבודה, יש להסיר את הגישה ולבחון אם נדרשת החלפת סיסמה. במערכות קריטיות, כדאי לתעד מי ביקש את הגישה, מי אישר אותה ומה בוצע בפועל.

גישה זמנית אינה רק עניין אבטחתי. היא גם כלי בקרה מול רכש, תפעול ומחלקות עסקיות. כאשר לכל ספק יש בעלים, תקופת גישה ורישום מסודר, קל יותר לזהות שירותים שנשארו פעילים ללא צורך, חשבונות כפולים או רישיונות שאינם בשימוש.

הטמעה מדורגת מצמצמת התנגדות ותקלות

אל תעבירו את כל הארגון ביום אחד. התחילו בפיילוט עם צוות IT וקבוצה עסקית קטנה שמוכנה לתת משוב אמיתי. הפיילוט צריך לבדוק לא רק את ההתחברות, אלא גם יצירת אוספים, הצטרפות לקבוצות, עבודה מהמשרד ומהבית, שימוש במובייל, טיפול בעובד חדש והסרת עובד שעזב.

אחרי שהמודל עובד, הרחיבו לפי יחידות עסקיות. בכל גל הטמעה, נקו סיסמאות ישנות, הסירו כפילויות והגדירו בעלים לכל אוסף. הדרכה קצרה וממוקדת עדיפה על מצגת כללית: איך שומרים פריט, איך מבקשים גישה, מה אסור לשתף, ולמי פונים כשמשהו לא עובד.

כדאי לקבוע מראש גם מדדי הצלחה. בדקו כמה חשבונות הועברו מכספות אישיות או קבצים מקומיים, כמה משתמשים מופעלים בפועל, כמה הרשאות הוסרו, כמה חשבונות שירות קיבלו בעלים, וכמה רישיונות מוקצים למשתמשים שאינם פעילים. זהו החיבור בין אבטחת מידע ל-FinOps: לא לרכוש לפי הערכה, אלא לנהל הקצאה לפי שימוש, תפקיד ותהליך הצטרפות מסודר.

רישוי ותפעול: אל תשאירו את זה לסוף

בארגונים רבים, מנהל ה-IT מטמיע מערכת ואז מחלקת הרכש מקבלת חידוש רישוי שאין לה דרך לאמת. כדי למנוע את זה, הגדירו כבר בהתחלה מי מאשר הקצאת משתמשים, מי בודק שימוש בפועל, ומהו התהליך לפני חידוש. משתמש פעיל, משתמש מושעה, ספק זמני וחשבון חירום אינם אותו דבר מבחינת צורך תפעולי ורישוי.

גם התמיכה חשובה כאשר מתרחשת תקלה בזמן אמת. מול יצרן בינלאומי, בירור על הרשאות, סוג רישוי או חידוש יכול להימרח בין טפסים, אזורי זמן ומחלקות שונות. ליווי מקומי בעברית, חשבונית מס ישראלית מסודרת ואיש קשר שמכיר את מבנה הארגון יכולים לקצר את הטיפול במיוחד בפרויקט שיש בו כמה בעלי עניין - IT, אבטחה, רכש וכספים.

Bitwarden בסביבה היברידית עובד טוב כאשר הכספת משקפת את המבנה הארגוני ולא מנסה להחליף אותו. אם תגדירו בעלות, קבוצות, מדיניות ותהליך יציאה עוד לפני העלאת הסיסמה הראשונה, הצוות שלכם יקבל פחות בקשות חירום, פחות גישות לא מוסברות והרבה יותר שליטה ביום שבו משהו משתנה.