כשעובד מתחבר לשרת ייצור מבית מלון, כשספק חיצוני צריך גישה זמנית למערכת כספים, או כשאיש תמיכה נכנס לעמדת משתמש מרחוק - הגבול הארגוני כבר לא נמצא רק בחדר השרתים. מדריך לאבטחת גישה מרחוק חייב להתחיל בשאלה מעשית: מי באמת צריך להיכנס, לאילו מערכות, לכמה זמן, ואיך תדעו בדיעבד מה הוא עשה שם. אם אין לכם תשובה מהירה לכל אחת מהשאלות האלה, יש לכם חשיפה תפעולית ואבטחתית.

גישה מרחוק היא כלי עבודה קריטי לארגון, לא פריבילגיה. לכן המטרה אינה לחסום אותה, אלא להפעיל אותה תחת מדיניות ברורה, זהות מאומתת, הרשאות מצומצמות ותיעוד שאפשר לבדוק. הפתרון הנכון צריך גם להתאים לצוות ה-IT: אם הוא מורכב מדי לתפעול, אנשי הצוות ימצאו קיצורי דרך. וקיצור דרך בגישה מרחוק הופך מהר מאוד לעקיפת בקרה.

מדריך לאבטחת גישה מרחוק: מתחילים ממיפוי אמיתי

הטעות הנפוצה היא להתחיל מבחירת מוצר. לפני שמגדירים מערכת גישה מרחוק, צריך למפות את תרחישי השימוש בפועל. גישת עובד לעמדת המשרד אינה דומה לגישת מנהל מערכת לשרתים, ושתיהן אינן דומות לגישת ספק שמגיע לטפל במערכת אחת לזמן מוגבל.

מומלץ לבנות מטריצת גישה פשוטה: קבוצות משתמשים מול משאבים, שעות פעילות, רמת הרשאה וגורם מאשר. אל תסתפקו בכותרות כלליות כמו "צוות תמיכה" או "ספקים". כתבו אילו אנשים, לאיזו מערכת, ובאיזו סיבה עסקית. כך אפשר לזהות הרשאות שהצטברו עם השנים, חשבונות של עובדים שעזבו, וגישה קבועה של ספק שכבר מזמן לא צריך אותה.

בארגונים רבים תגלו גם כפילויות: כלי אחד לתמיכה בעמדות, חיבור אחר לשרתים, חשבונות מקומיים במערכות שונות וחיבורי VPN רחבים מדי. הכפילות אינה רק עניין של רכש. היא מקשה על ניטור, מגדילה את שטח התקיפה ויוצרת רישוי שלא תמיד משקף את מספר המשתמשים האמיתי.

הזהות היא קו ההגנה הראשון

סיסמה, גם אם היא מורכבת, אינה מספיקה לחשבון בעל גישה מרחוק. דרישת MFA צריכה לחול על כל משתמש בעל יכולת כניסה, כולל מנהלי מערכת, ספקים ומשתמשי שירות שבהם הדבר נתמך. אין חריגים קבועים רק כי למישהו "לא נוח" לאשר התחברות נוספת.

עם זאת, MFA לבדו אינו פותר הכול. אם משתמש נכנס מחשבון לגיטימי שנחטף, או אם ספק משתמש במחשב לא מנוהל, נדרשות בקרות נוספות. כאן נכנסת מדיניות גישה מותנית: אפשר להגביל כניסה למדינות רלוונטיות, לדרוש מכשיר מנוהל לתפקידים רגישים, לזהות התחברות חריגה ולהציב אימות מחודש כשיש שינוי סיכון.

חשוב במיוחד להפריד בין חשבון העבודה הרגיל של איש ה-IT לבין חשבון אדמיניסטרטיבי. איש צוות לא צריך לגלוש, לפתוח קבצים ולנהל שרתים מאותו חשבון בעל הרשאות גבוהות. הפרדה כזו מצמצמת משמעותית את הנזק האפשרי במקרה של פישינג או גניבת פרטי התחברות.

הרשאות לפי תפקיד, לא לפי היכרות אישית

גישה מרחוק מאובטחת נשענת על עקרון ההרשאה המינימלית. משתמש צריך לקבל רק את ההרשאה הנדרשת לביצוע המשימה שלו, ולא "גישה מלאה ליתר ביטחון". בפועל, זה אומר להפריד בין צפייה, תמיכה, העברת קבצים, גישה לשורת פקודה, הרשאות התקנה וגישה למערכות קריטיות.

לספק חיצוני, למשל, עדיף להגדיר חשבון אישי ומוגבל עם תוקף מוגדר, במקום לשתף חשבון צוות כללי. חשבון משותף אולי חוסך שתי דקות בהקמה, אבל הוא מבטל יכולת ייחוס: כשתרצו להבין מי נכנס למערכת או מי ביצע שינוי, לא יהיה לכם מענה אמין.

בחרו פלטפורמה שמתאימה לסביבה ארגונית

לא כל כלי שליטה מרחוק מתאים לארגון. בפתרון ארגוני צריך לבדוק מעבר לאיכות החיבור: האם אפשר לנהל משתמשים וקבוצות באופן מרכזי, להחיל MFA, לתעד הפעלות, להגדיר הרשאות פרטניות, לבטל גישה במהירות ולשלב את הפתרון בתהליכי זהויות קיימים.

Splashtop, למשל, יכול להתאים לארגונים שזקוקים לשליטה מרחוק מנוהלת, עם יכולות ניהול מרכזיות ותפעול פשוט לצוותי תמיכה. אבל גם כלי טוב לא יכסה על מדיניות חלשה. אם תאפשרו גישה בלתי מוגבלת לכל הטכנאים או תוותרו על ביקורת תקופתית, הבעיה תישאר אצלכם.

בעת בחירת רישוי, בדקו מה בדיוק נספר: משתמשים טכניים, עמדות מנוהלות, חיבורים מקביליים או יכולות מתקדמות. רישוי שלא תואם את דפוס העבודה שלכם יוביל או לחוסר בכיסוי או לרכישה עודפת. זהו חלק מהותי מניהול FinOps: לא רק להסתכל על עלות החידוש, אלא להבין אילו רישיונות נמצאים בשימוש, אילו הרשאות נחוצות ואיזה מודל ישרת אתכם גם בעוד שנה.

אל תפתחו את הרשת יותר ממה שצריך

גישה מרחוק אינה סיבה לחשוף שירותי ניהול לאינטרנט. ככלל, אל תאפשרו גישה ישירה ופתוחה לפרוטוקולי ניהול, לממשקי ציוד רשת או לשרתים קריטיים. השתמשו בפלטפורמת גישה ארגונית שמתווכת את החיבור, ובמקרים רגישים הוסיפו שכבת קפיצה מנוהלת ומבוקרת.

אם נדרש VPN, אל תתייחסו אליו כאל מפתח לכל הרשת. הגדירו פילוח רשת, כך שמשתמש שמתחבר מרחוק יקבל גישה רק ליעדים שהוא צריך. עובד שמגיע למערכת ERP, לדוגמה, אינו זקוק גם לנתיב לממשקי ניהול, לאחסון או לשרתים של צוות הפיתוח.

הגבלת העברת קבצים, הדפסה מרחוק, סנכרון לוח גזירים וניתוב התקנים צריכה להיקבע לפי רגישות התפקיד. בחלק מהתרחישים אפשר לאפשר העברת קובץ רק לאחר סריקה ובקרה. בתרחישים אחרים, בעיקר בגישה לנתונים רגישים, נכון לחסום אותה לגמרי. אין הגדרה אחת שמתאימה לכל הארגונים.

תיעוד וניטור: אם אין ראיות, אין שליטה

כל התחברות מרחוק צריכה לייצר נתון שימושי: מי התחבר, מתי, מאיזו כתובת או מכשיר, לאיזה יעד, כמה זמן נמשך החיבור והאם בוצעו פעולות חריגות. עבור מערכות קריטיות, שקלו גם הקלטת הפעלות בהתאם למדיניות הארגון, לחובות פרטיות ולרגולציה הרלוונטית.

האתגר אינו לאסוף אינסוף לוגים, אלא לדעת מה מחפשים. הגדירו התראות על כניסה בשעות חריגות, ניסיונות התחברות כושלים רבים, גישה ממיקום לא צפוי, יצירת משתמש אדמיניסטרטיבי, שינוי הרשאות והעברת נתונים בהיקף לא שגרתי. צוות האבטחה או ספק ה-XDR שלכם צריכים לקבל אירועים שאפשר לתעדף, לא רעש בלתי פוסק.

במקביל, קבעו תהליך תגובה ברור. אם חשבון של ספק נחשד כנגוע, מי משבית אותו? מי בודק את הלוגים? איך מחזירים פעילות בלי לפתוח הרשאות גורפות? תרגול קצר של התהליך הזה יחסוך שעות יקרות ביום שבו תצטרכו להפעיל אותו באמת.

ביקורת תקופתית ורישוי הם חלק מהאבטחה

הרשאות גישה מרחוק נוטות להישאר גם כשאין בהן צורך. לכן צריך לקבוע ביקורת מחזורית, לפחות אחת לרבעון עבור תפקידים רגישים. מנהל בעלים לכל מערכת צריך לאשר מי עדיין זקוק לגישה, אילו ספקים פעילים ומהו תוקף ההרשאות שלהם.

זו גם נקודת הבקרה הנכונה לרישוי. בדקו מי משתמש בפועל, אילו חשבונות כפולים, האם יש עובדים שעזבו ועדיין מוקצים להם רישיונות, והאם הרישוי הקיים כולל יכולות שאינן מופעלות. כשאבטחה, תפעול ורכש עובדים על אותו מיפוי, אפשר לצמצם חשיפה בלי ליצור צוואר בקבוק בצוות התמיכה.

עבור ארגונים בישראל, ליווי מקומי יכול לקצר את הפער בין החלטת רכש ליישום תקין. חשבונית מס ישראלית, תמיכה אנושית בעברית בשעות הפעילות המקומיות והבנה של מבנה הרישוי חוסכים התכתבויות ארוכות מול יצרן בחו״ל בדיוק כשצריך לפתור בעיה. שליו סופט יכולה לסייע בבחינת ההתאמה בין צורכי הגישה, סביבת הניהול והרישוי הארגוני.

גישה מרחוק מאובטחת אינה פרויקט שמסמנים עליו וי. היא משמעת ניהולית: להסיר הרשאות כשהצורך מסתיים, לבדוק לוגים כשמשהו נראה חריג, ולעדכן מדיניות כשהארגון משנה את צורת העבודה שלו. אם תבנו את התהליך סביב זהות, הרשאה מינימלית ובקרה שוטפת, הצוות שלכם יוכל לעבוד מרחוק בלי להפוך כל חיבור לנקודת חולשה.