אימות דו-שלבי וסיסמאות: ההגדרות שמונעות פריצות

רבות מהפריצות לחשבונות עסקיים מתחילות בסיסמה שנגנבה או נוחשה. כמה הגדרות פשוטות מורידות את הסיכון משמעותית.

סיסמאות חזקות

עדיף ביטוי ארוך (חמש מילים ומעלה) על סיסמה קצרה ומורכבת, וסיסמה ייחודית לכל שירות. כך דליפה באתר אחד לא פותחת את כל החשבונות.

סיסמה שנוצרה מפרטים אישיים כמו שמות או תאריכי לידה קלה לניחוש. תוקפים משתמשים ברשימות סיסמאות שדלפו כדי לנסות אותן בכל שירות אחר.

מנהל סיסמאות

מנהל סיסמאות ארגוני יוצר סיסמאות חזקות, שומר אותן מוצפנות, ומאפשר לשתף גישה בלי לשלוח סיסמה במייל או בוואטסאפ.

ארגונים רבים עדיין מאחסנים סיסמאות בגיליון משותף או בפתק. מנהל סיסמאות מחליף את ההרגל הזה בפתרון מאובטח עם הרשאות ויומן שימוש.

אימות דו-שלבי

מפעילים אותו בראש ובראשונה על דואר אלקטרוני, אופיס 365 או Google, בנק וניהול דומיין. עדיף אפליקציית אימות על פני הודעת SMS.

כדאי לשמור קודי גיבוי לאימות דו-שלבי במקום בטוח, כדי שאפשר יהיה להתחבר גם אם הטלפון אבד או הוחלף.

ניהול הרשאות

כל עובד מקבל רק את ההרשאות שהוא צריך. כשעובד עוזב, מבטלים את הגישה שלו באותו יום.

כשעובד מחליף תפקיד, בודקים מחדש את ההרשאות. עם הזמן עובדים צוברים גישות שאינן נחוצות להם, וזה מגדיל את שטח הסיכון.

איך מטמיעים את זה בארגון

הטמעה טובה מתחילה מאנשי המפתח: מנהלים, כספים ומנהלי מערכות. אחרי שהם עובדים עם מנהל סיסמאות ועם אימות דו-שלבי, קל יותר לשכנע את שאר העובדים.

כדאי לקבוע תאריך מעבר ברור, ולהציע ליווי אישי בימים הראשונים. הדרכה של עשר דקות על התקנת האפליקציה ועל התחברות ראשונה חוסכת פניות רבות למוקד התמיכה.

עקבו אחר ההטמעה. דוח קצר שמראה כמה משתמשים הפעילו אימות דו-שלבי מאפשר להתמקד במי שעדיין לא עשה זאת, ולהגיע בהדרגה לכיסוי מלא של כל הארגון.

שגיאות נפוצות בניהול סיסמאות

שגיאה נפוצה היא שיתוף סיסמה של שירות משותף בקבוצת ווטסאפ או במייל. הודעות אלו נשמרות לאורך זמן ואפשר למצוא אותן אחרי שעובד עוזב. מנהל סיסמאות מאפשר שיתוף מבוקר שאפשר לבטל.

שגיאה נוספת היא שימוש בסיסמת מנהל אחת לכל המערכות. אם היא נחשפת, התוקף מקבל שליטה מלאה. עדיף ליצור חשבונות נפרדים עם הרשאות מוגבלות, ולהשתמש בחשבון מנהל רק כשצריך.

ושגיאה שלישית היא התעלמות מהודעות על כניסה לא מוכרת. אם עובד מקבל התראה על התחברות ממקום חריג, עליו לדווח מיד ולהחליף סיסמה. הודעות אלו הן אחת ההזדמנויות הטובות לעצור פריצה בשלב מוקדם.

סיכום והמלצות

אימות דו-שלבי ומנהל סיסמאות הם שני הצעדים היעילים והזולים ביותר להקטנת הסיכון לפריצה. הם דורשים מעט זמן הטמעה אך מונעים חלק גדול מהמתקפות הנפוצות על חשבונות עסקיים.

כדאי להתחיל מהחשבונות החשובים ביותר: דואר, ענן ובנקאות. לאחר מכן להרחיב לכל העובדים ולכל המערכות, ולבדוק מדי רבעון שאין חשבונות שעוברים מתחת לרדאר.

טיפ מהשטח

במקרים רבים הפריצה מתחילה מחשבון ישן שאף אחד לא זכר שקיים, למשל משתמש של עובד לשעבר או שירות שאינו בשימוש. כדאי לעבור פעם ברבעון על רשימת המשתמשים בכל המערכות ולסגור חשבונות שאינם נחוצים. פעולה פשוטה זו מצמצמת את שטח התקיפה באופן ממשי.

בנוסף, הפעילו התראות על התחברות ממכשיר חדש. כך תקבלו הודעה מיד אם מישהו מנסה להיכנס לחשבון, ותוכלו לעצור אותו לפני שהוא מבצע נזק.

מה סוגי האימות הקיימים

אימות דו-שלבי מוסיף לסיסמה גורם שני: קוד בהודעה, אפליקציית אימות, מפתח חומרה או אישור בטלפון. כל אחד מציע רמת הגנה שונה ונוחות שונה.

אפליקציית אימות או מפתח חומרה בטוחים יותר מהודעה סלולרית, כי אפשר לעקוף הודעות באמצעות העברת מספר. מומלץ להתחיל באפליקציה לכל העובדים.

איפה חובה להפעיל

קודם כול בדואר הארגוני, כמו אופיס 365, ובגישה מרחוק ובמערכות כספים. אחר כך בכל שירות ענן שמכיל מידע על לקוחות.

חשבונות ניהול הם עדיפות עליונה. חשבון מנהל בלי אימות דו-שלבי הוא הפרצה שהכי כדאי לסגור.

מדיניות סיסמאות מודרנית

הגישה המקובלת היום היא סיסמאות ארוכות במקום מסובכות, ללא החלפה תקופתית מיותרת, עם בדיקה מול רשימות סיסמאות שדלפו. מנהל סיסמאות מאפשר סיסמה ייחודית לכל שירות.

איסור על שיתוף חשבונות בין עובדים הוא חיוני. חשבון משותף מבטל אחריות ואי אפשר לדעת מי עשה מה.

הטמעה בלי מרד

מתחילים בקבוצת פיילוט, מסבירים למה זה חשוב ומספקים הוראות כתובות. יום הפעלה מתואם עם תמיכה זמינה מצמצם תסכול.

תכננו מראש מה קורה כשעובד מאבד טלפון. שירותי IT מקצועיים כוללים קודי חירום ותהליך שחזור גישה מאובטח.

אתגרים בהפעלה ואיך מתגברים

אתגר נפוץ הוא עובדים שמאבדים או מחליפים טלפון ונתקעים מחוץ לחשבון. הכינו מראש קודי גיבוי, תהליך זיהוי בטוח ואדם שמוסמך לאפס אימות.

אתגר נוסף הוא עייפות מבקשות אישור. תוקפים שולחים הודעות אישור שוב ושוב עד שהעובד מאשר בטעות. מומלץ להפעיל אימות עם הצגת מספר או הקשר, ולהדריך עובדים לדחות ולדווח על בקשה לא צפויה.

יש גם אתגר של מערכות ישנות שלא תומכות באימות מודרני. במקרים כאלה מגבילים גישה לרשת פנימית או מחליפים את המערכת בהדרגה.

אימות דו-שלבי כחלק מאסטרטגיית אבטחה

אימות דו-שלבי אינו תחליף לשאר ההגנות אלא שכבה מהותית בהן. יחד עם גיבוי, עדכונים וסינון דואר הוא יוצר הגנה מעמיקה שקשה לעקוף.

ארגונים שמיישמים אותו על כל המשתמשים מדווחים על ירידה דרמטית בפריצות לחשבונות. זו אחת הפעולות הזולות והיעילות ביותר שאפשר לעשות כבר השבוע.

אם אתם רוצים לבדוק איפה האימות חסר אצלכם, אפשר לבצע סקר סיכונים קצר שימפה את החשבונות החשופים ויציע סדר עדיפויות.

מה עושים עם חשבונות שירות וחשבונות משותפים

חשבונות של מערכות, מדפסות ותוכנות ישנות לא תמיד תומכים באימות דו-שלבי. מומלץ לתעד אותם, להגביל את ההרשאות שלהם למינימום, להגדיר סיסמאות ארוכות וייחודיות ולשמור אותן בכספת מוגנת.

חשבונות משותפים שנוצרו מנוחות, כמו דואר כללי או חשבון משרדי, כדאי להחליף בתיבות משותפות שבהן לכל משתמש יש זהות אישית. כך אפשר לדעת מי עשה מה, ולבטל גישה של עובד שעזב בלי להחליף סיסמה לכולם.

ביצוע סקירה חצי שנתית של כל החשבונות מגלה משתמשים לא פעילים והרשאות עודפות, ומקטין את שטח התקיפה בעלות נמוכה.

מה מקבלים בסוף

עסק שמפעיל אימות דו-שלבי ומדיניות סיסמאות נכונה מקטין דרמטית את הסיכון לפריצה, לגניבת מידע ולהונאות בדואר. ההשקעה הראשונית קטנה בהשוואה לנזק שאפשר למנוע.

התהליך כולו לוקח בדרך כלל כמה ימים עד שבועות, תלוי בגודל הארגון. הדרכה קצרה וליווי של תמיכה מקצועית מבטיחים שהמעבר יהיה חלק, ושכל העובדים מבינים למה הוא נעשה.

אם תרצו שנבצע זאת עבורכם, אפשר לפנות אלינו ונתאם הטמעה מסודרת.

צעד קטן שמשנה הרבה

בחרו חשבון אחד חשוב, כמו הדואר של ההנהלה, והפעילו עליו אימות דו-שלבי היום. אחרי שהתהליך מוכר, הרחיבו לשאר המשתמשים בשבועות הקרובים עם הוראות כתובות ותמיכה זמינה.

טיפ אחרון להטמעה

בקשו מכל עובד לשמור קודי גיבוי במקום מאובטח ולא בטלפון עצמו, כדי שאובדן מכשיר לא יחסום גישה. הכללה של השלב הזה בהדרכה הראשונית חוסכת פניות דחופות בהמשך.

שאלות נפוצות

כל כמה זמן מחליפים סיסמה?

המלצות עדכניות מדגישות סיסמה ארוכה וייחודית והחלפה רק כשיש חשד לדליפה, ולא החלפה תקופתית כפויה.

האם אפשר להשתמש בסיסמה אחת לכמה שירותים?

לא. סיסמה משותפת הופכת פריצה בשירות אחד לפריצה בכולם.

מה עושים אם סיסמה דלפה?

מחליפים אותה מיד בכל מקום שבו הייתה בשימוש, מפעילים אימות דו-שלבי ובודקים פעילות חשודה בחשבון.

הצעד הבא

קלאודז מגדירה אימות דו-שלבי ומנהל סיסמאות לכל הארגון. השאירו פרטים ונתחיל.

קראו גם: אבטחת מידע וסייבר · אופיס 365 לעסקים · פישינג והונאות מייל