חידוש רישוי מגיע לשולחן הרכש, הסכום גבוה מהצפוי, והתגובה הראשונה היא בדרך כלל לבקש הסבר מהיצרן. בפועל, הבעיה התחילה הרבה קודם: משתמשים שעזבו נשארו במנוי, פרויקט שהסתיים השאיר רישיונות פעילים, או כלי חדש נרכש בלי לבטל יכולת מקבילה. שבעה סימנים לרישוי תוכנה עודף יעזרו לכם לזהות את הפער לפני שהוא הופך לחשבונית, סיכון אבטחה או ויכוח מיותר מול ספק בחו״ל.

רישוי עודף אינו רק מספר רישיונות שלא נוצלו. הוא יכול להיות גם חבילת יכולות גבוהה מדי, הרחבה שנרכשה לכל הארגון למרות שרק צוות קטן משתמש בה, או מנויים שמנוהלים בכמה מערכות שונות בלי גורם אחד שמחזיק תמונת מצב. בארגון עם עשרות או מאות עובדים, הפערים האלה מצטברים מהר - במיוחד כשמחלקת IT, רכש, אבטחת מידע ומשאבי אנוש לא עובדים מאותו מקור נתונים.

שבעה סימנים לרישוי תוכנה עודף בארגון

1. מספר הרישיונות לא תואם למצבת כוח האדם

אם יש לכם 430 עובדים פעילים, אבל במערכת קיימים 510 משתמשים בעלי רישיון, זו לא בהכרח טעות. ייתכן שיש עובדי קבלן, חשבונות שירות או משתמשים זמניים. אבל זו בהחלט חריגה שדורשת בדיקה.

השוו בין מערכת ניהול הזהויות, נתוני משאבי אנוש ורשימת המשתמשים אצל כל יצרן. בדקו מי עזב, מי עבר לתפקיד שאינו דורש גישה ומי מחזיק בשני חשבונות בגלל שינוי דומיין, מיזוג או החלפת כתובת דוא״ל. תהליך סיום העסקה שלא כולל ביטול הרשאות ורישוי יוצר גם עלות מיותרת וגם חשבונות יתומים - נקודת תורפה אבטחתית מובהקת.

2. יש רישיונות מוקצים, אבל אין שימוש ממשי

הקצאת רישיון אינה הוכחה לצורך עסקי. במערכות רבות אפשר לראות מועד כניסה אחרון, שימוש בתכונות מרכזיות, מספר מכשירים מחוברים או פעילות בתקופה מוגדרת. משתמש שקיבל רישיון לפני שנה ולא התחבר מאז אינו בהכרח מועמד מיידי להסרה, אך הוא כן דורש בירור מול מנהל הצוות.

צריך להבחין בין כלי שנדרש לעבודה יומיומית לבין כלי שנפתח רק באירוע תפעולי או בביקורת. למשל, רישיון לגישה מרחוק עשוי להיות חיוני לצוות תמיכה גם אם הוא אינו פעיל בכל יום. לעומת זאת, רישיון מלא לעובד שאינו נותן תמיכה, אינו מנהל תחנות קצה ואינו מתחבר למערכת במשך חודשים, הוא סימן חזק לרישוי עודף.

3. אותה יכולת נרכשה ביותר ממוצר אחד

זה קורה הרבה אחרי צמיחה מהירה, רכישת חברה או החלטות מקומיות של יחידות עסקיות. צוות אחד רכש כלי לניהול סיסמאות, צוות אחר מנהל פתרון מקביל. מחלקה אחת מפעילה מערכת גילוי נכסים, ובמקביל צוות אחר מחזיק מנוי נוסף כדי לקבל נתוני מלאי דומים. כל מוצר בפני עצמו יכול להיות תקין, אבל הכפילות יוצרת עלויות, מורכבות תפעולית ופערי אבטחה.

אל תבדקו רק שמות מוצרים. בדקו יכולות: ניהול גישה, MFA, ניהול נכסים, שליטה מרחוק, חתימה והמרת מסמכים, סריקת חולשות או דיווח. לעיתים המסקנה תהיה ששתי מערכות נדרשות בגלל הפרדת סביבות או דרישות רגולציה. במקרים אחרים, אפשר לצמצם מוצר אחד באופן מבוקר ולרכז את התהליך סביב מערכת שמתאימה לצרכים הארגוניים.

4. רישיונות של פרויקט שהסתיים ממשיכים להתחדש

פרויקט הטמעה, מעבר לענן, הקמת מוקד שירות או סקר נכסים מתחיל לעיתים עם רכש מוגדל וזמני. הבעיה היא שביום שבו הפרויקט מסתיים, אף אחד לא תמיד ממונה להחזיר את הרישוי למצב שוטף. שנה לאחר מכן, אותו היקף זמני מתחדש אוטומטית כאילו מדובר בצורך קבוע.

לכל רכש שמחובר לפרויקט צריך להיות בעלים, תאריך בחינה ומדד סיום ברור. שאלו: האם הפרויקט עדיין קיים? האם מספר המשתמשים המתוכנן התממש? האם סביבת הבדיקות נשארה פעילה? האם הרחבות שנרכשו למיגרציה עדיין נדרשות? השאלות האלה פשוטות, אבל הן מונעות מצב שבו תקציב תפעולי סופג החלטות זמניות במשך שנים.

5. רוב המשתמשים נמצאים במסלול רישוי גבוה מדי

רישוי עודף לא נראה תמיד כרישיונות פנויים. לעיתים כל הרישיונות פעילים, אבל חלק גדול מהמשתמשים מקבל חבילה רחבה יותר ממה שהתפקיד שלו באמת דורש. דוגמה קלאסית היא הקצאת רישיון מנהל, רישיון מתקדם או תוספת אבטחה ייעודית לכל עובד, כאשר בפועל רק מנהלי מערכת, צוותי כספים או משתמשים עם דרישות תאימות מיוחדות זקוקים לה.

כאן חשוב להיזהר מקיצוץ רוחבי. הורדת שכבת הגנה או ביטול יכולת קריטית כדי לצמצם רישוי היא החלטה שגויה. במקום זאת, בנו פרופילי שימוש לפי תפקיד: משתמש קצה, מנהל צוות, טכנאי תמיכה, מנהל מערכת, גורם פיננסי ומשתמש חיצוני. לאחר מכן התאימו לכל פרופיל את היכולות הנדרשות בפועל, כולל דרישות MFA, הרשאות גישה ודיווח.

6. אין מקור נתונים אחד שמחבר בין רכש, שימוש ונכסים

אם רשימת הרישיונות נמצאת בגיליון של הרכש, נתוני המשתמשים במערכת זהויות, והמכשירים מנוהלים במערכת RMM או בניהול נכסים נפרד - אתם תלויים בעבודה ידנית כדי להבין מה באמת קורה. במצב כזה, טעויות קטנות הופכות במהירות לרישיונות עודפים, לחידושים שגויים ולגישה שנשארת פתוחה.

מערכת גילוי וניהול נכסים, למשל, יכולה להראות אילו תוכנות מותקנות, על אילו תחנות, ומי משתמש בהן. אבל גם היא אינה מספיקה לבדה: התקנה אינה תמיד שימוש, ורישיון בענן אינו תמיד מותקן על תחנה. המטרה היא לחבר בין שלושה נתונים: הזכאות שנרכשה, ההקצאה למשתמש או מכשיר, והצריכה בפועל. בלי החיבור הזה, כל החלטת חידוש מבוססת בעיקר על הערכה.

7. חידושים מגיעים כהפתעה ולא כתהליך מתוכנן

כאשר הודעת חידוש מגיעה שבועות ספורים לפני תאריך החיוב, אין לצוות מספיק זמן לבדוק שימוש, לשנות הקצאות או לקבל אישורים פנימיים. התוצאה היא בדרך כלל הארכה של המצב הקיים. זו אינה בהכרח החלטה מקצועית - זו תגובה ללוח זמנים.

נהלו לוח חידושים מרכזי עם התראה מוקדמת, בעלים עסקי ובעלים טכני לכל מוצר. עבור רישיונות מהותיים, התחילו בדיקת שימוש ומבנה רישוי לפחות 90 יום לפני החידוש. כך אפשר לזהות עובדים שעזבו, פרויקטים שנסגרו, הרחבות שלא נדרשות ושינויים צפויים בכוח האדם. חשוב גם לתעד תנאי רישוי: האם המדידה היא לפי משתמש, מכשיר, טכנאי, נכס מנוהל, תיבה או שימוש מקביל. בלבול במדד הוא מקור שכיח לרכישת יתר.

איך בודקים את התמונה בלי לפגוע בתפעול

בדיקת רישוי נכונה אינה מתחילה בהסרת משתמשים. היא מתחילה במיפוי: מה נרכש, מי זכאי להשתמש, מי מוקצה בפועל, ומהו דפוס השימוש. לאחר מכן מאמתים את הנתונים מול בעלי המערכות ומנהלי המחלקות. משתמש לא פעיל יכול להיות עובד בחופשה, חשבון חירום או תפקיד שמופעל רק בתרחיש חריג. לכן החלטות צריכות להתבסס על הקשר, לא רק על דוח טכני.

בארגונים גדולים, כדאי להגדיר ועדת רישוי מצומצמת שמחברת בין IT, רכש, אבטחת מידע וכספים. היא לא צריכה להפוך לעוד שכבת בירוקרטיה. תפקידה הוא לקבוע מי מאשר רכש חדש, מי אחראי להסרה, אילו נתונים נבדקים לפני חידוש ואיך מתעדים חריגים. אפילו פגישה תקופתית קצרה סביב המוצרים המרכזיים יכולה למנוע הצטברות של פערים.

היתרון של ליווי מקומי מתבטא בדיוק בנקודה הזאת. במקום לנסות לפענח תנאי רישוי מול מוקד גלובלי ובאזור זמן אחר, אפשר לקבל בדיקה מסודרת, תמיכה אנושית בעברית וחשבונית מס ישראלית כחוק. שליו סופט מסייעת לארגונים להתאים את מבנה הרישוי לכלי אבטחה, גישה מרחוק, ניהול נכסים וניהול סיסמאות, בלי להפריד בין השיקול הטכני לבין תהליך הרכש.

אל תחכו לחשבונית הבאה

רישוי מדויק הוא חלק מניהול תשתית, לא פעולה חשבונאית חד-שנתית. ככל שהנתונים על משתמשים, נכסים ושימוש נשארים מעודכנים, כך קל יותר לתת לצוות את הכלים שהוא צריך, לשמור על בקרת גישה נכונה ולהימנע מחידושים שמבוססים על היסטוריה במקום על צורך אמיתי. התחילו מהמוצר שבו אתם מרגישים הכי פחות שליטה - שם בדרך כלל מסתתר הפער הראשון שכדאי לפתור.