- כשעובדים מהבית, המשרד כבר לא הגבול של מערכות העסק. האבטחה צריכה לעבור עם העובד: לחשבון, למחשב ולחיבור.
- הבסיס: אימות דו-שלבי לכל החשבונות, מחשב של העסק ומנוהל, עדכונים והצפנה, וגישה מאובטחת למערכות המשרד.
- מחשב ביתי משותף הוא אחד הסיכונים הגדולים. אם אין ברירה, מגבילים מה אפשר לעשות ממנו.
- כללים פשוטים וכתובים לעובדים חוסכים הרבה תקלות ואירועים.
עבודה מהבית, מלאה או חלקית, הפכה לחלק רגיל מהשגרה בהרבה עסקים. זה נוח לעובדים ולעיתים גם לעסק, אבל זה משנה את תמונת האבטחה. כשכולם עובדים מהמשרד, יש רשת אחת, חומת אש אחת ומחשבים שהעסק מכיר. כשחלק מהצוות עובד מהבית, המידע של העסק נמצא גם בסלון, בבית קפה ובטלפון של העובד.
הבשורה הטובה: לא צריך פתרון מסובך כדי לעבוד מהבית בצורה בטוחה. צריך כמה החלטות נכונות, הגדרות מסודרות וכללים ברורים. במדריך הזה נעבור עליהם לפי הסדר.
למה עבודה מהבית משנה את תמונת הסיכון
- רשתות ביתיות פחות מוגנות: נתב עם סיסמת ברירת מחדל, קושחה שלא עודכנה, הרבה מכשירים אישיים על אותה רשת.
- מחשבים משותפים: מחשב שגם הילדים משתמשים בו, עם תוכנות שאף אחד לא בדק.
- קבצים מתפזרים: מסמכים נשמרים בשולחן העבודה, נשלחים למייל הפרטי או מועברים בדיסק און קי.
- פחות פיקוח טבעי: אין עמית ליד ששואל "המייל הזה נראה לך תקין?", ולכן פישינג מצליח יותר בקלות.
- גישה למערכות המשרד מבחוץ, שאם לא מוגדרת נכון, יכולה להיות דלת פתוחה גם לתוקפים.
לפני שמתחילים: שלוש שאלות לעסק
- מאיפה העובדים עובדים? רק מהבית, גם מבתי קפה ומנסיעות, או גם מחו"ל?
- מאילו מכשירים? מחשבים של העסק, מחשבים פרטיים, טלפונים?
- לאילו מערכות הם צריכים גישה? רק מייל וקבצים בענן, או גם שרת במשרד ותוכנות ייעודיות?
התשובות קובעות כמה מהשכבות הבאות צריך, ובאיזו רמה. עסק שכל העבודה שלו ב-Microsoft 365 צריך פתרון אחר מעסק עם שרת במשרד ותוכנה שמותקנת עליו.
שכבה 1: החשבון
החשבון הוא הדבר הראשון שתוקף ינסה לקחת, בלי קשר למקום שבו העובד יושב.
- אימות דו-שלבי (MFA) לכל החשבונות, ובראש ובראשונה למייל, ל-Microsoft 365 ולגישה מרחוק. מדריך מלא במאמר על אימות דו-שלבי.
- סיסמאות ייחודיות ומנהל סיסמאות, כדי שסיסמה שדלפה מאתר אחד לא תפתח את מערכות העסק. הרחבנו במדריך לסיסמאות ומנהל סיסמאות.
- הרשאות מינימליות: כל עובד ניגש רק למה שהוא צריך.
- התראות על התחברויות חריגות, למשל ממדינה אחרת או ממכשיר לא מוכר. ב-Microsoft 365 יש לכך כלים מובנים, בהתאם לתוכנית.
שכבה 2: המחשב
- עדיף מחשב של העסק. מחשב נייד שהעסק מספק, מנוהל ומעודכן, הוא הבסיס לעבודה בטוחה מהבית. כך אפשר לוודא עדכונים, הגנה והצפנה.
- הצפנת דיסק, כדי שמחשב שנגנב מהרכב לא יהפוך לדליפת מידע. ב-Windows זה BitLocker.
- הגנה על תחנת הקצה ועדכונים אוטומטיים.
- ניהול מרחוק: היכולת לעדכן, לבדוק ולנעול מחשב שלא נמצא במשרד. בתוכניות מסוימות של Microsoft 365 זה נעשה דרך Intune.
- חשבון משתמש רגיל, ולא חשבון מנהל, לעבודה היומיומית.
ואם העובד עובד ממחשב פרטי?
לפעמים אין ברירה. במקרה כזה כדאי להגביל: לאפשר עבודה דרך הדפדפן או דרך שולחן עבודה מרוחק, למנוע הורדה של קבצים רגישים למחשב, ולוודא שיש עליו לפחות עדכונים ואנטי-וירוס. חשוב לזכור שבמחשב פרטי, לעסק יש הרבה פחות שליטה. ככל שהמידע רגיש יותר, החשיבות של מחשב עסקי גדלה.
שכבה 3: החיבור
- הנתב הביתי: סיסמת ניהול שהוחלפה מברירת המחדל, קושחה מעודכנת, ורשת Wi-Fi עם הצפנה עדכנית וסיסמה חזקה.
- רשתות ציבוריות: בבית קפה או בשדה תעופה, עדיף להתחבר דרך נקודה חמה מהטלפון מאשר לרשת פתוחה.
- גישה למערכות המשרד: דרך חיבור מאובטח, כמו VPN מוגדר נכון או שולחן עבודה מרוחק מאחורי שער מאובטח. לא חושפים שולחן עבודה מרוחק (RDP) ישירות לאינטרנט. זו אחת הדרכים הנפוצות שבהן כופרה נכנסת לעסקים.
- ובכל מקרה, אימות דו-שלבי גם על הגישה מרחוק.
שכבה 4: הקבצים
- שומרים בענן של העסק, ב-OneDrive, SharePoint או בשרת, ולא בשולחן העבודה. כך הקבצים מגובים, נגישים, ולא הולכים לאיבוד עם המחשב.
- לא שולחים קבצים של העסק למייל הפרטי, ולא משתמשים בשירותי שיתוף פרטיים לקבצי עבודה.
- שיתוף מבוקר: קישורים עם הרשאות מוגבלות ותוקף, במקום "כל מי שיש לו את הקישור".
- גיבוי, כולל של Microsoft 365. ראו את כלל הגיבוי 3-2-1.
שכבה 5: האנשים
טכנולוגיה לא עובדת בלי כללים ברורים. מסמך קצר, עמוד אחד, שכל עובד שעובד מהבית מקבל:
- עובדים רק ממחשב העסק, או לפי מה שהוגדר.
- נועלים את המחשב כשקמים, גם בבית.
- לא נותנים לבני משפחה להשתמש במחשב העבודה.
- שיחות רגישות לא מנהלים במקום ציבורי.
- מייל חשוד? לא לוחצים, מדווחים.
- בקשה דחופה להעברת כסף או לשינוי פרטי בנק? מאמתים בטלפון, במספר מוכר.
- אובדן או גניבה של מחשב או טלפון? מדווחים מיד, כדי שאפשר יהיה לנעול ולנתק.
- תקלה? פונים לתמיכה, ולא מתקינים תוכנות לבד.
עובד שעוזב: גם זה חלק מעבודה מהבית
כשעובד שעבד מהבית עוזב, המידע של העסק נמצא גם אצלו. לכן, ביום העזיבה: חוסמים את החשבונות ומנתקים את כל החיבורים הפעילים, אוספים את המחשב והציוד, מוודאים שקבצים שנשמרו מקומית הועברו לעסק, ומבטלים גישה מרחוק ושיתופים פתוחים. אם המחשב מנוהל, אפשר גם למחוק ממנו את המידע של העסק מרחוק. צ'קליסט מלא במאמר על קליטה ועזיבה של עובדים.
מאיפה מתחילים
אם צריך לבחור שלושה צעדים לשבוע הקרוב: אימות דו-שלבי לכל החשבונות, בדיקה שאין שולחן עבודה מרוחק שחשוף לאינטרנט, ומסמך כללים של עמוד אחד לעובדים. אחריהם: מחשבים מנוהלים ומוצפנים, וגיבוי מסודר של הענן.
תמיכה כשהעובד לא במשרד
אחד האתגרים בעבודה מהבית הוא תמיכה. כשמשהו לא עובד, העובד לא יכול פשוט לקרוא לטכנאי. כאן נכנסת תמיכה מרחוק: התחברות מאובטחת למחשב, באישור העובד, ופתרון רוב התקלות בלי להגיע. חשוב לוודא שהעובדים יודעים איך נראית פנייה אמיתית מהתמיכה, כדי שלא ייפלו להונאת "טכנאי". הרחבנו במאמר על תמיכה מרחוק.
שאלות נפוצות
חייבים VPN כדי לעבוד מהבית?
לא תמיד. אם כל העבודה נעשית ב-Microsoft 365 ובמערכות ענן, לרוב לא צריך VPN, אבל כן צריך אימות דו-שלבי והגדרות אבטחה נכונות. אם יש שרת או מערכות במשרד, צריך גישה מאובטחת אליהם, למשל VPN מוגדר נכון.
מותר לעבוד מהמחשב הביתי?
זו החלטה של העסק. אם מאפשרים, כדאי להגביל מה אפשר לעשות ממנו ואילו קבצים אפשר להוריד. למידע רגיש, עדיף מחשב של העסק.
מה עושים אם עובד איבד מחשב נייד?
מדווחים מיד. אם המחשב מוצפן ומנוהל, אפשר לנעול אותו, לנתק את החשבונות ולהחליף סיסמאות. לכן הצפנה וניהול מרחוק כל כך חשובים.
איך יודעים שהנתב בבית של העובד מאובטח?
אי אפשר לנהל כל נתב ביתי. לכן מתמקדים במה שבשליטת העסק: מחשב מעודכן ומוצפן, חשבון עם אימות דו-שלבי וחיבור מאובטח למערכות. ובנוסף, נותנים לעובדים כמה הנחיות פשוטות לנתב.
צריך מדיניות כתובה לעבודה מהבית?
כן, ועדיף קצרה. עמוד אחד עם כללים ברורים עובד יותר טוב ממסמך ארוך שאף אחד לא קורא.
אפשר לעבוד מהבית עם שרת שנמצא במשרד?
כן, דרך חיבור מאובטח. מה שלא עושים הוא לחשוף את השרת ישירות לאינטרנט. כדאי לבדוק גם אם חלק מהעבודה יכול לעבור לענן.
איך ש.מ מחשבים יכולה לעזור
אנחנו מגדירים עבודה מהבית ועבודה היברידית מאובטחת: אימות דו-שלבי, מחשבים מנוהלים ומוצפנים, גישה מאובטחת למערכות המשרד, Microsoft 365 מוגדר נכון ותמיכה מרחוק לעובדים בכל מקום. פרטים בעמוד אבטחת מידע לעסקים ובעמוד Microsoft 365 לעסקים. רוצים שנבדוק איך העובדים שלכם מתחברים היום? השאירו פרטים.