מי יכול לגשת למידע של הארגון שלכם?
עובד חדש צריך להגיע ביום הראשון לסביבה שבה הוא יכול לעבוד. עובד שמשנה תפקיד צריך לקבל את הגישה המתאימה, ולוותר על גישה שכבר אינה נחוצה. כשעובד או ספק מסיימים את עבודתם, צריך לדעת אילו חשבונות, מכשירים והרשאות דורשים טיפול. ניהול זהויות והרשאות, או IAM, מחבר בין המצבים האלה לתהליך אחד שאפשר להסביר, לבצע ולבדוק.
כדאי להתחיל במיפוי קצר: אילו מערכות מחזיקות מידע חשוב, מי אחראי לכל מערכת, איך המשתמשים מתחברים אליה ומי מאשר גישה. המיפוי צריך לכלול גם ספקים, חשבונות שירות ויישומים שמתחברים באמצעות API. כך אפשר לזהות גישה שאינה עוברת דרך המערכת המרכזית.
Active Directory ו-Entra ID: בוחרים לפי המערכות
Active Directory Domain Services משמש בארגונים לניהול זהויות ושירותים בסביבות מקומיות, לרבות תרחישים הנשענים על Kerberos, LDAP ומדיניות קבוצתית. Microsoft Entra ID הוא שירות זהויות בענן המשמש, בין היתר, לגישה ל-Microsoft 365 וליישומי SaaS. קיימים תרחישים שבהם משלבים ביניהם, אך אין מדובר בשני מוצרים זהים. השוואת Microsoft בין AD DS ל-Entra ID.
ההחלטה אינה נגזרת ממספר העובדים בלבד. לפני בחירה בודקים אילו יישומים תלויים בסביבת הדומיין, איך מנוהלים המכשירים, מה נדרש לעבודה מרחוק ומה משמעות השינוי למשתמשים ולתמיכה. כדאי לתעד את ההנחות ואת התלויות לפני שינוי ארכיטקטורה.
נותנים גישה לפי הצורך בתפקיד
לכל מערכת צריך להיות בעל אחריות שמחליט מי זקוק לגישה ולכמה זמן. קבוצות והרשאות לפי תפקיד מקלות על תחזוקה, אך גם אותן צריך לבדוק: האם חברי הקבוצה עדיין ממלאים את אותו תפקיד, והאם ההרשאות שלה מתאימות לעבודתם?
חשבונות ניהול דורשים תשומת לב נפרדת. כדאי למפות מי משתמש בהם, לאיזו משימה ואיך השימוש מתועד. אין צורך להעניק הרשאת מנהל רק משום שמשתמש נתקל בקושי; צריך לבדוק מה הפעולה הנחוצה ומה הדרך המצומצמת לאפשר אותה.
MFA ו-Conditional Access: משנים באופן מדורג
אימות רב-גורמי הוא רכיב מרכזי בהגנה על חשבונות. ביישום ארגוני צריך לבחור שיטות אימות מתאימות, לתכנן רישום משתמשים ושחזור גישה ולהדריך את הצוות. מדיניות גישה מותנית יכולה להתחשב באותות כגון מצב המכשיר והיישום, בהתאם ליכולות ולרישוי הקיימים. Microsoft מציינת דרישות רישוי שונות ל-Conditional Access ולמדיניות המבוססת על סיכון. תיעוד Conditional Access.
לפני אכיפה רחבה בודקים את ההשפעה על קבוצה מצומצמת, כולל עבודה מרחוק ויישומים חיוניים. מתכננים מראש גם גישה לשעת חירום: Microsoft ממליצה על חשבונות חירום נפרדים, הגנה חזקה, ניטור ובדיקות תקופתיות, עם החרגה ממדיניות שעלולה לחסום אותם בעת חירום. זהו חלק מתכנון הגישה, ולא היתר להשאיר חשבון מנהל בלתי מוגן. הנחיות Microsoft לחשבונות חירום.
קליטה, שינוי תפקיד ועזיבה: מגדירים מי עושה מה
בתהליך קליטה, משאבי אנוש או המנהל הישיר מגדירים את התפקיד ואת מועד תחילת העבודה; בעל המערכת מאשר את הגישה; והצוות הטכני מיישם ומתעד. בשינוי תפקיד בודקים גם מה צריך להסיר, ולא רק מה צריך להוסיף.
בתהליך עזיבה מתאמים את מועד ביטול הגישה, את האחריות למידע העסקי ואת הטיפול במכשירים ובחשבונות הקשורים למשתמש. צריך לוודא אילו מערכות מחוברות לתהליך המרכזי ואילו דורשות פעולה נפרדת, ולא להניח שפעולה אחת מכסה כל שירות.
לדוגמה, בתרחיש היפותטי של עזיבת איש מכירות, חסימת חשבון הדואר אינה מוכיחה שהגישה למערכת CRM חיצונית ולשירות חתימה דיגיטלית בוטלה. רשימת מערכות ובעלי אחריות מאפשרת לבדוק את השלמת הטיפול בכל אחת מהן. זו דוגמה לתכנון תהליך, לא תיאור של אירוע אצל לקוח.
סקירת הרשאות ורישוי: מפרידים בין התהליך לכלי
אפשר לקיים סקירת הרשאות אנושית מתועדת: בעל המערכת עובר על רשימת המשתמשים, מצדיק את הגישה ומאשר הסרה כשצריך. אם רוצים להשתמש בתכונת Microsoft Entra Access Reviews, יש לבדוק את הרישוי של היכולת המסוימת ושל המשתמשים הרלוונטיים. חלק מהיכולות דורשות Entra ID Governance או חבילה מתאימה, וחלקן זמינות תחת P2; אין להניח שכל יכולת כלולה ב-P1. דרישות הרישוי של Access Reviews.
גם תיעוד ובקרה דורשים החלטות ברורות: אילו אירועים נאספים מכל מערכת, מי בודק אותם, כמה זמן הם נשמרים ומה קורה כשהתראה דורשת טיפול. היקף הלוגים תלוי במוצר, בהגדרות וברישוי. הבטחה כללית של “הכול מתועד” אינה תחליף לבדיקה.
מה כדאי להכין לשיחת אפיון?
- רשימת מערכות ובעלי האחריות שלהן.
- רשימת מקורות הזהות ודרכי ההתחברות.
- תהליך קליטה ועזיבה קיים, גם אם הוא ידני.
- רשימת חשבונות ניהול, ספקים וחשבונות שירות.
- מצב האימות והרישוי, והקשיים שהמשתמשים פוגשים כיום.
DLTS מסייעת באפיון ניהול זהויות והרשאות, בחיבור התהליך לשירותי IT מנוהלים ובבניית אוטומציות עסקיות בהתאם לצורך. כדי להתחיל, אפשר ליצור קשר ולמפות יחד תהליך אחד שדורש שיפור.