התחברו אליפעם היה קל יחסית לחשוב על אבטחת מידע כעל בניית חומה סביב הארגון. העובדים נמצאים בתוך המשרד, השרתים נמצאים ברשת הפנימית, ומי שנמצא "בפנים" נחשב אמין יותר ממי שנמצא בחוץ.
המודל הזה כבר פחות מתאים לאופן שבו עסקים עובדים.
עובדים מתחברים מהבית, משתמשים במחשבים ניידים, עובדים עם שירותי ענן, ניגשים למערכות SaaS ומתחברים ממכשירים שונים. במקביל, ספקים ושותפים עסקיים עשויים לקבל גישה למערכות הארגון.
במצב כזה, עצם העובדה שמשתמש נמצא בתוך הרשת אינה סיבה מספקת לתת לו אמון.
כאן נכנסת תפיסת Zero Trust.
מה זה בעצם Zero Trust?
העיקרון פשוט:
לא סומכים באופן אוטומטי על אף משתמש, מכשיר או חיבור.
במקום להחליט שמשתמש "מהארגון" הוא משתמש אמין, המערכת בודקת בכל פעם מי המשתמש, מאיזה מכשיר הוא מתחבר, לאיזה משאב הוא מבקש להגיע והאם קיימת סיבה לאפשר את הגישה.
זה לא אומר שהעובד צריך להזדהות מחדש בכל שנייה.
הכוונה היא לבנות שכבות של אימות, הרשאות ובקרה סביב הגישה למידע.
למה סיסמה כבר לא מספיקה?
סיסמה יכולה להיגנב.
היא יכולה להיחשף בפישינג, להיות ממוחזרת באתרים אחרים או להיגנב ממחשב שנפרץ.
אם סיסמה היא המפתח היחיד למערכת, מי שמחזיק בה יכול להיראות למערכת כמו המשתמש האמיתי.
לכן, Zero Trust נשען על יותר מזהות אחת.
אימות רב-שלבי, למשל, מוסיף שכבה נוספת. גם אם הסיסמה נגנבה, התוקף עדיין צריך לעבור מנגנון אימות נוסף.
RVM כוללת בין שירותי האבטחה שלה פתרונות SSO, Host Checker, MDM, הקשחת מערכות וניהול מדיניות אבטחה ארגונית.
עקרון נוסף: הרשאות מינימליות
אחת הטעויות הנפוצות בארגונים היא לתת לעובדים יותר הרשאות ממה שהם באמת צריכים.
אם עובד צריך לגשת למערכת אחת, אין סיבה לתת לו הרשאה לכל השרת.
אם ספק חיצוני צריך גישה לתיקייה מסוימת, אין סיבה לאפשר לו לראות את כל המידע בארגון.
Zero Trust מקדם את עקרון ה-Least Privilege: כל משתמש מקבל את ההרשאות הדרושות לו לביצוע העבודה — ולא מעבר לכך.
כך, גם אם חשבון מסוים נפרץ, הנזק הפוטנציאלי מוגבל יותר.
ומה עם המכשיר?
גם משתמש לגיטימי יכול להתחבר ממחשב שאינו מאובטח.
לדוגמה, מחשב שלא קיבל עדכוני אבטחה, מכשיר ללא הצפנה או מחשב שבו מותקנת תוכנה זדונית.
לכן, גישה מאובטחת אינה יכולה להסתמך רק על זהות המשתמש.
צריך לבדוק גם את מצב המכשיר.
האם הוא מנוהל?
האם הוא מעודכן?
האם קיימת עליו הגנה?
האם הוא עומד במדיניות הארגון?
כלים לניהול מכשירים, מערכות EDR ופתרונות ניטור יכולים לסייע ביצירת שכבת בקרה נוספת.
Zero Trust מתאים במיוחד לעבודה היברידית
עבודה מרחוק היא אחת הסיבות המרכזיות לכך שמודל האבטחה המסורתי כבר אינו מספיק.
כאשר כל העובדים יושבים במשרד, קל יותר לשלוט בסביבת העבודה הפיזית.
אבל כאשר חלק מהעובדים עובדים מהבית, חלק ממשרד משותף וחלק נמצאים אצל לקוח — הארגון צריך לבסס את האבטחה על זהות והרשאות ולא רק על מיקום.
המשמעות היא שגם משתמש שמתחבר מתוך משרד החברה אינו מקבל אמון אוטומטי.
Zero Trust אינו מוצר שקונים
זו אולי הנקודה החשובה ביותר.
Zero Trust אינו תוכנה אחת שאפשר להתקין ולהכריז שהארגון "מאובטח".
מדובר בגישה ארגונית שמחברת מספר טכנולוגיות ותהליכים.
לדוגמה:
- MFA
- ניהול זהויות
- SSO
- הרשאות מינימליות
- ניהול מכשירים
- EDR
- ניטור
- פילוח רשת
- בקרת גישה
- מדיניות אבטחה
כל רכיב מטפל בחלק אחר של הבעיה.
איך מתחילים?
לא צריך להפוך את כל הארגון ביום אחד, אפשר להתחיל ממיפוי:
- מי המשתמשים?
- לאילו מערכות הם ניגשים?
- איזה מידע רגיש קיים?
- אילו חשבונות הם בעלי הרשאות גבוהות?
- אילו מכשירים מתחברים לארגון?
- אילו חיבורים מתבצעים מחוץ למשרד?
לאחר מכן ניתן לזהות את המקומות שבהם קיימת רמת סיכון גבוהה יותר.
לדוגמה, חשבון מנהל עם גישה למערכות קריטיות צריך לקבל עדיפות גבוהה יותר מאשר משתמש שמקבל גישה למערכת שאינה רגישה.
איך נראה מעבר ממודל מסורתי ל-Zero Trust?
|
||||||||||||||
המעבר אינו בהכרח מיידי, אבל הוא משנה את האופן שבו הארגון חושב על גישה למידע.
למה זה חשוב גם לעסקים קטנים?
Zero Trust נשמע לעיתים כמו פתרון שמתאים רק לארגונים גדולים.
אבל דווקא עסקים קטנים ובינוניים יכולים להיפגע משמעותית מאירוע אבטחה, משום שאין להם תמיד את המשאבים והיתירות שיש לארגונים גדולים.
RVM מציינת כי גם עסקים קטנים ובינוניים חשופים לאיומי סייבר, ומציעה שירותים הכוללים סקרי סיכונים, הקשחת מערכות, EDR, ניטור וגיבוי.
לא כל עסק צריך ליישם את כל שכבות Zero Trust באותה רמה. אבל כל עסק יכול להתחיל מהעקרונות הבסיסיים: לדעת מי מקבל גישה, למה הוא מקבל אותה, מאיזה מכשיר ומתי צריך לבטל אותה.
אבטחה שאינה מניחה אמון
העולם העסקי השתנה. המידע כבר לא נמצא רק בשרת שנמצא במשרד, והעובדים כבר לא עובדים רק מהמשרד.
לכן, גם תפיסת האבטחה צריכה להשתנות.
Zero Trust אינו פתרון קסם ואינו מבטל את הצורך ב-Firewall, גיבויים, EDR או ניטור. הוא מספק דרך אחרת לחבר בין כל השכבות האלה סביב עיקרון אחד: לא מניחים אמון מראש.
עבור ארגונים שרוצים לבחון את רמת ההגנה שלהם, אבטחת מידע צריכה להתחיל במיפוי של המשתמשים, המכשירים, המערכות וההרשאות — ומשם לבנות מודל שמתאים לסיכון האמיתי של העסק.
רישוי AutoCAD – כל מה שצריך לדעת לפני רכישת רישיון
רכישת AutoCAD יכולה להיראות לכאורה כמו פעולה פשוטה: בוחרים גרסה, משלמים ומתחילים לעבוד. בפועל, בארגון עם מספר משתמשים, הבחירה ברישוי משפיעה על אופן העבודה, ניהול המשתמשים, העלויות והתמיכה הטכנית.
העניין חשוב במיוחד במשרדי אדריכלים, חברות הנדסה וארגונים שבהם AutoCAD היא כלי עבודה מרכזי. כאשר התוכנה משמשת עשרות עובדים, גם החלטה קטנה בניהול הרישיונות יכולה להפוך להוצאה משמעותית או ליצור בעיות תפעול.
RVM מציגה את AutoCAD כפתרון מקצועי לשרטוט ותכנון ומציעה לצד הרישוי גם ליווי בהתקנה, הטמעה ותמיכה.
אז מה כדאי לבדוק לפני הרכישה?