- אימות דו-שלבי (MFA) מוסיף לסיסמה שלב נוסף, בדרך כלל אישור באפליקציה בטלפון. כך סיסמה שדלפה לא מספיקה לבדה כדי להיכנס לחשבון.
- מתחילים מהחשבונות הכי רגישים: מייל, מנהלי מערכת, גישה מרחוק, בנק ומערכות כספים.
- שיטה מומלצת: אפליקציית אימות כמו Microsoft Authenticator. SMS עדיף על כלום, אבל פחות בטוח.
- הצלחת ההטמעה תלויה בהכנה: הודעה מראש, עזרה צמודה ביום ההפעלה, ותהליך ברור למקרה שעובד מחליף טלפון.
רוב פריצות החשבונות לא מתחילות בהאקר גאון. הן מתחילות בסיסמה: סיסמה שדלפה מאתר אחר, סיסמה פשוטה מדי, או סיסמה שעובד הקליד בדף מזויף שנראה בדיוק כמו דף הכניסה של Microsoft. אימות דו-שלבי הוא אחד הצעדים הפשוטים והיעילים ביותר נגד כל אלה. במדריך הזה נסביר מה זה, מאיפה מתחילים, ואיך מטמיעים בלי שהצוות ירגיש שהעבודה נעצרה.
מה זה בעצם אימות דו-שלבי?
בכניסה לחשבון צריך שני דברים: משהו שאתם יודעים (סיסמה) ומשהו שיש לכם (הטלפון שלכם, או מפתח אבטחה). גם אם מישהו השיג את הסיסמה, בלי הטלפון יהיה לו קשה הרבה יותר להיכנס. זו לא חסינות מלאה: תוקפים מנסים גם לשכנע עובדים לאשר בקשה, ולכן לא מאשרים בקשת כניסה שלא ביקשתם. ברוב המקרים העובד מאשר את הכניסה פעם אחת במכשיר קבוע, והמערכת זוכרת אותו לתקופה, כך שלא מבקשים אישור בכל פעם.
איזו שיטה להפעיל
בקצרה: אפליקציית אימות עם התאמת מספרים לכל העובדים, ומפתח אבטחה או Passkey למנהלי מערכת ולחשבונות רגישים. SMS עדיף על כלום, אבל כדאי להשאיר אותו כשיטת גיבוי בלבד. השוואה מלאה בין השיטות, ומה מתאים לאיזה חשבון, נמצאת במאמר SMS, אפליקציה או מפתח אבטחה? השוואת שיטות אימות דו-שלבי. כאן נתמקד בהטמעה: מאיפה מתחילים, איך מכינים את הצוות, ומה עושים ביום שאחרי.
מאיפה מתחילים
לא חייבים להפעיל הכול באותו יום. סדר עדיפויות הגיוני:
- חשבונות מנהל ב-Microsoft 365 ובכל מערכת ניהול אחרת.
- המייל של כל העובדים. מייל פרוץ הוא נקודת התחלה להונאות מול לקוחות וספקים.
- גישה מרחוק לרשת המשרד או לשרת.
- בנק, מערכות כספים ושכר.
- מערכות ענן נוספות: CRM, הנהלת חשבונות, אחסון קבצים.
ב-Microsoft 365 יש אפשרות בסיסית בשם Security defaults שמפעילה אימות דו-שלבי לכל המשתמשים. לשליטה מדויקת יותר, למשל לדרוש אימות רק מחוץ למשרד או לחסום כניסה ממדינות מסוימות, יש Conditional Access. היא דורשת רישוי מתאים, וכלולה למשל ב-Business Premium.
איך מטמיעים בלי לשגע את הצוות
- להודיע מראש: מייל קצר שמסביר למה, מתי, ומה כל עובד יצטרך לעשות.
- להכין דף הוראות של עמוד אחד, עם צילומי מסך.
- להפעיל בקבוצות: קודם מנהלים וצוות קטן, ואחר כך כולם.
- לתת עזרה צמודה ביום ההפעלה, בטלפון או בתמיכה מרחוק.
- לחשוב על מקרי קצה: עובד בלי סמארטפון, עובד שמחליף מכשיר, חשבונות משותפים.
מה קורה כשעובד מחליף או מאבד טלפון
זו השאלה שהכי הרבה עסקים לא מתכננים מראש. כדאי להחליט:
- מי בעסק (או אצל ספק ה-IT) מוסמך לאפס את האימות לעובד.
- איך מוודאים שהבקשה באמת הגיעה מהעובד, למשל בשיחה ולא רק במייל.
- שכל עובד רושם שיטת גיבוי, כמו מספר טלפון נוסף או קודי שחזור.
ועוד דבר: כדאי שיהיו לפחות שני חשבונות חירום ניהוליים (break-glass), שמורים היטב ומנוטרים, למקרה שהגישה הרגילה לניהול נחסמת.
טעויות נפוצות
- להפעיל אימות דו-שלבי רק למייל ולשכוח את חשבונות הניהול.
- לשכוח מערכות ישנות שמתחברות למייל בשיטות התחברות ישנות (למשל מדפסת שסורקת למייל או תוכנה ותיקה). כדאי למפות אותן מראש, כדי שלא יפסיקו לעבוד ושלא יישארו פתח עוקף.
- לאשר כל התראה שקופצת. כדאי ללמד את הצוות: התראה שלא ביקשתם? לא מאשרים, ומדווחים.
השורה התחתונה
אימות דו-שלבי הוא צעד קטן עם השפעה גדולה. עם תכנון קצר והטמעה מסודרת, הצוות מתרגל אליו תוך ימים, והעסק מוגן הרבה יותר מפני פריצת חשבונות. הוא גם אחד משמונת הצעדים הבסיסיים לאבטחת מידע בעסק קטן.
איך ש.מ מחשבים יכולה לעזור
אנחנו מטמיעים אימות דו-שלבי כחלק מאבטחת מידע לעסקים ומניהול Microsoft 365 לעסקים: הגדרה, הודעה לצוות, ליווי ביום ההפעלה וטיפול שוטף בהחלפת מכשירים. אפשר להתחיל בשיחה קצרה.