- הבעיה הגדולה עם סיסמאות בעסקים היא לא שהן "חלשות", אלא שאותה סיסמה משמשת בכמה מקומות, ושסיסמאות משותפות מסתובבות בפתקים ובקבצים.
- ההמלצות העדכניות מעדיפות סיסמאות ארוכות על פני חוקים מסובכים, ולא מחייבות החלפה תקופתית אלא כשיש חשד לדליפה.
- מנהל סיסמאות עסקי מאפשר סיסמה ייחודית לכל שירות, שיתוף מבוקר בצוות, וביטול גישה מסודר כשעובד עוזב.
- סיסמה לבד לא מספיקה. אימות דו-שלבי הוא השכבה שמגינה גם כשסיסמה דלפה.
כמעט כל עסק שאנחנו פוגשים מחזיק איפשהו קובץ בשם "סיסמאות". לפעמים זה גיליון Excel, לפעמים מסמך Word, ולפעמים פתק מודבק מתחת למקלדת של מנהלת המשרד. בתוכו: הסיסמה לבנק, לאתר, לספק האינטרנט, למערכת הנהלת החשבונות ולתיבת הדואר הכללית. זה נוח, וזה עובד, עד היום שבו מישהו לא צריך לראות את זה רואה את זה.
במדריך הזה נסביר מה השתנה בהמלצות לגבי סיסמאות, למה מנהל סיסמאות הוא הפתרון המעשי לעסקים, ואיך מטמיעים אותו בצוות.
איך סיסמאות נפרצות בפועל
רוב פריצות החשבונות לא נעשות על ידי "ניחוש" סיסמה. הדרכים הנפוצות הן:
- שימוש חוזר. עובד משתמש באותה סיסמה במייל העבודה ובאתר קניות. האתר נפרץ, הסיסמה דולפת, ותוקפים מנסים אותה גם ב-Microsoft 365.
- פישינג. העובד מקליד את הסיסמה בדף מזויף. הרחבנו על זה במדריך לפישינג בעסק.
- סיסמאות נפוצות. "123456", שם העסק עם השנה, או סיסמת ברירת המחדל של נתב שאף אחד לא שינה.
- סיסמאות משותפות שלא מתחלפות. עובד עזב לפני שנה, והוא עדיין יודע את הסיסמה לתיבה הכללית ולחשבון הספק.
מה השתנה בהמלצות
בשנים האחרונות ההמלצות המקצועיות לגבי סיסמאות השתנו, וחלק מהכללים הישנים התגלו כלא יעילים. למשל, ההנחיות של NIST, מכון התקנים האמריקאי, שעודכנו ב-2025, ממליצות:
- אורך עדיף על מורכבות. משפט ארוך וקל לזכירה חזק יותר מסיסמה קצרה ומסובכת. ההנחיות דורשות לפחות 15 תווים לסיסמה שמשמשת לבדה, ולפחות 8 כשיש גם אימות דו-שלבי.
- בלי חוקי הרכב מאולצים. חובה של "אות גדולה, מספר וסימן" מובילה בדרך כלל לסיסמאות צפויות כמו Password1!.
- בלי החלפה תקופתית כפויה. מחליפים סיסמה כשיש חשד או ראיה לדליפה, לא כל 90 יום. החלפה כפויה גורמת לאנשים לבחור סיסמאות חלשות ולהוסיף להן מספר.
- בדיקה מול רשימות סיסמאות שדלפו. סיסמה שכבר הופיעה בדליפה לא אמורה להיות מאושרת.
השורה התחתונה: לא צריך להעמיס על העובדים חוקים מסובכים. צריך שכל סיסמה תהיה ארוכה וייחודית, ושיהיה אימות דו-שלבי. ובשביל זה בדיוק יש מנהל סיסמאות.
מה זה מנהל סיסמאות
מנהל סיסמאות הוא תוכנה ששומרת את כל הסיסמאות בכספת מוצפנת. העובד זוכר סיסמה ראשית אחת, חזקה, ומוגנת באימות דו-שלבי. כל השאר נשמר בכספת:
- יוצר סיסמאות ארוכות ואקראיות לכל שירות, כך שאין צורך לזכור אותן.
- ממלא אותן אוטומטית בדפדפן ובאפליקציות. זה גם מגן מפישינג, כי המנהל לא ימלא סיסמה בדף שהכתובת שלו לא תואמת.
- מתריע על סיסמאות חלשות, כפולות או כאלה שדלפו.
למה דווקא מנהל סיסמאות עסקי
מנהלי סיסמאות אישיים טובים לשימוש פרטי. בעסק צריך עוד כמה דברים:
- כספות משותפות. הסיסמה לחשבון הספק או לתיבה הכללית נשמרת בכספת של הצוות הרלוונטי, ולא נשלחת בוואטסאפ.
- הרשאות. מנהלת החשבונות רואה את סיסמאות הבנק, הצוות הטכני רואה את סיסמאות הציוד, וכל אחד רואה רק את מה שהוא צריך.
- ביטול גישה בעזיבה. כשעובד עוזב, מבטלים לו את הגישה לכספת, ויודעים בדיוק אילו סיסמאות משותפות הוא ראה ושכדאי להחליף. זה חלק חשוב מנוהל העזיבה.
- שחזור. אם עובד שכח את הסיסמה הראשית, יש תהליך שחזור מנוהל, ולא אובדן של כל הסיסמאות.
- ניהול מרכזי. מדיניות אחידה, דוחות, ואכיפת אימות דו-שלבי לכספת.
ומה עם הסיסמאות שנשמרות בדפדפן?
דפדפנים כמו Edge ו-Chrome יודעים לשמור סיסמאות, וזה עדיף על פתק. אבל בעסק יש להם מגבלות: קשה לשתף סיסמאות בצורה מבוקרת, אין הפרדה ברורה בין סיסמאות אישיות לעסקיות, ואין ניהול מרכזי של הרשאות ושל עזיבת עובדים. לרוב העסקים, מנהל סיסמאות עסקי ייעודי הוא פתרון מסודר יותר.
איך מטמיעים בצוות: חמישה צעדים
- בוחרים כלי שמתאים לגודל העסק ותומך בכספות משותפות, בהרשאות ובאימות דו-שלבי.
- מתחילים מהסיסמאות המשותפות. מעבירים את קובץ "הסיסמאות" לכספות לפי צוותים, ואז מוחקים את הקובץ.
- מחליפים סיסמאות רגישות. כל סיסמה שהייתה בקובץ פתוח או בפתק עדיפה כחדשה.
- מדריכים את הצוות בשיחה קצרה: התקנה, שמירת סיסמה, מילוי אוטומטי ושיתוף.
- מפעילים אימות דו-שלבי לכספת ולחשבונות הקריטיים. המדריך לאימות דו-שלבי מסביר איך.
כמה כללי זהב לסיסמאות בעסק
- סיסמה אחת, שירות אחד. בלי שימוש חוזר.
- חשבונות מנהל נפרדים מהחשבון היומיומי.
- לא שולחים סיסמאות במייל, ב-SMS או בוואטסאפ.
- מחליפים מיד את סיסמאות ברירת המחדל בציוד חדש: נתב, חומת אש, מצלמות ומדפסות.
- כשעובד עוזב, מבטלים גישה ומחליפים כל סיסמה משותפת שהוא הכיר.
סיסמאות שלא שייכות לאף עובד
חלק מהסיסמאות הרגישות ביותר בעסק לא שייכות לאף אדם מסוים: סיסמת הניהול של הנתב וחומת האש, חשבון מנהל בשרת, חשבון אצל רשם הדומיין, הגישה לפורטל של ספק האינטרנט או של מערכת הטלפוניה, וחשבונות של תוכנות ייעודיות. אלה בדיוק הסיסמאות שנוטות "להיעלם" כשמחליפים טכנאי או כשעובד ותיק עוזב.
הכלל פשוט: גם הסיסמאות האלה נשמרות במנהל הסיסמאות, בכספת ייעודית עם הרשאה מצומצמת, ולפחות שני אנשים בעסק, או העסק וספק ה-IT, יודעים איך לגשת אליהן. כך אף סיסמה קריטית לא תלויה באדם אחד. אם יש לכם ספק IT, ודאו שהסיסמאות האלה מתועדות גם אצלכם, ולא רק אצלו. הרחבנו על זה במדריך למעבר ספק IT.
לאן זה הולך: התחברות בלי סיסמה
בשנים האחרונות מתרחבת התמיכה במפתחות גישה (Passkeys) ובהתחברות בלי סיסמה, למשל באמצעות אפליקציית אימות, טביעת אצבע או זיהוי פנים במכשיר. היתרון הגדול: אין סיסמה שאפשר להקליד בדף מזויף, ולכן השיטות האלה עמידות הרבה יותר לפישינג. רוב העסקים עדיין לא שם, וסיסמאות יישארו איתנו עוד זמן רב. אבל כדאי לדעת שהכיוון קיים, ולשלב אותו בהדרגה בחשבונות שבהם הוא נתמך, במיוחד בחשבונות מנהל.
שלושה צעדים לשבוע הקרוב
אם לא עשיתם כלום עד היום, התחילו כאן: הפעילו אימות דו-שלבי על המייל של כל העובדים, בחרו מנהל סיסמאות עסקי והתחילו מהסיסמאות המשותפות, והחליפו כל סיסמה שאתם יודעים שנמצאת בשימוש ביותר מאתר אחד.
שאלות נפוצות
מנהל סיסמאות הוא לא "כל הביצים בסל אחד"?
במידה מסוימת כן, ולכן מגינים על הסל: סיסמה ראשית חזקה, אימות דו-שלבי והצפנה. בפועל, זה הרבה יותר בטוח מסיסמאות חוזרות, מפתקים או מקובץ Excel פתוח.
כל כמה זמן צריך להחליף סיסמאות?
לפי ההמלצות העדכניות, לא צריך להחליף באופן תקופתי כפוי. מחליפים מיד כשיש חשד לדליפה, כשעובד שהכיר סיסמה משותפת עוזב, או כשהמערכת מתריעה שהסיסמה דלפה.
מה עושים עם סיסמאות שמשותפות לכמה עובדים?
שומרים אותן בכספת משותפת במנהל הסיסמאות, עם הרשאות רק למי שצריך. במקרים רבים עדיף בכלל לתת לכל עובד חשבון אישי במקום חשבון משותף.
צריך מנהל סיסמאות אם יש אימות דו-שלבי?
כן. אלה שתי שכבות שמשלימות זו את זו: מנהל הסיסמאות מונע סיסמאות חלשות וחוזרות, ואימות דו-שלבי מגן כשסיסמה בכל זאת דלפה.
מה קורה אם עובד שוכח את הסיסמה הראשית?
במנהלי סיסמאות עסקיים יש בדרך כלל תהליך שחזור שמנוהל על ידי מנהל המערכת. כדאי לבדוק את זה כשבוחרים כלי.
אפשר להשתמש בסיסמאות ששמורות בדפדפן?
זה עדיף על פתק, אבל לעסק חסרים שם שיתוף מבוקר, הרשאות וניהול מרכזי.
איך ש.מ מחשבים יכולה לעזור
אנחנו עוזרים לעסקים לבחור ולהטמיע מנהל סיסמאות, להעביר את הסיסמאות המשותפות בצורה מסודרת, להפעיל אימות דו-שלבי ולהדריך את הצוות, כחלק מאבטחת מידע לעסקים. רוצים לדעת איפה אתם עומדים? עברו על צ'קליסט אבטחת המידע, או השאירו פרטים לשיחה קצרה.