המשרד עכשיו הוא המחשב הנייד: אבטחת עבודת יועצים על Wi-Fi של מלונות ושדות תעופה

המשרד הוא בכל מקום שבו נפתח המחשב הנייד

הנכס היקר ביותר של משרד ייעוץ מבלה את רוב הזמן שלו מחוץ למשרד. נתונים כספיים של לקוחות, טיוטות חוזים, מצגות דירקטוריון ומידע אישי - כל אלה חיים על מחשב נייד אחד שנפתח במרכז עסקים של מלון, בלאונג' בשדה תעופה, בחדר ישיבות אצל לקוח וגם על מושב ברכבת, לעיתים באותו שבוע ממש. אף אחת מהרשתות האלה לא שייכת לכם, ורובן לא נבנו מתוך מחשבה על חובות הסודיות של הלקוחות שלכם.

זה לא סיכון תיאורטי. ברחבי האיחוד האירופי, 92.76% מהעסקים משתמשים כיום לפחות באמצעי אבטחת IT אחד, אבל הפער נמצא בדיוק באמצעים החשובים ביותר עבור מחשב נייד שנוסע - אימות רב-שלבי ורשתות VPN ^[1]. סיסמאות חזקות נפוצות. VPN ואימות רב-שלבי הרבה פחות.

מה באמת משתבש בדרכים

התקלות שאנחנו רואים אצל לקוחות ייעוץ הן לרוב לא פריצות דרמטיות. אלה טעויות קטנות ושגרתיות, שרשת שאתם לא שולטים בה הופכת לאירוע אמיתי.

1. 1התחברות לרשת הלא נכונה בכוונה טובה. רשת האורחים של המלון ורשת מתחזה בעלת שם כמעט זהה מופיעות שתיהן ברשימה. ברשת עם דף כניסה שבוי, אין למחשב דרך לדעת מי אמיתי, ותוקף על אותו קטע רשת יכול לראות תעבורה לא מוצפנת ולהזריק דפי כניסה מזויפים.
2. 2מחשב נעול שבעצם לא נעול. משך הזמן עד נעילת המסך נדחה במרוצת השנים כי הוא קצת מעצבן, כך שמחשב שנשאר על שולחן בלאונג' לשתי דקות בזמן שהבעלים עומד בתור לקפה מחובר במלואו.
3. 3סיסמה אחת בכל מקום, התחברות מכל מקום. סיסמה שחוזרת על עצמה בכלי ניהול העבודה, בדוא"ל ובפורטל לקוח הופכת פרט חשבון שדלף מפריצה בלתי קשורה לגישה לשלושתם, וקל בהרבה לנסות זאת מכל רשת כשאין גורם אימות שני שעוצר את זה.
4. 4מחשב שנעלם, לא נגנב. נשכח במונית או מתחת למושב בשדה התעופה, רוב המכשירים האבודים לא נפרצים בשום מובן טכני. מי שמוצא אותו פשוט פותח את המכסה, ואם הדיסק לא מוצפן והחשבון ללא נעילת מסך, כל קבצי הלקוחות זמינים לקריאה.
5. 5רשת של אתר לקוח נחשבת בטוחה כי הלקוח סומך עליה. יועץ שנמצא על הרשת של הלקוח עדיין נמצא על רשת שהוא לא מנהל, וחומר סודי של לקוח אחר שיושב באותה תיבת דוא"ל חשוף לכל מה שהרשת הזאת יכולה לראות.

ההנחיות של NIST לעבודה מרחוק וגישה מרוחקת בארגונים מתייחסות לכל רשת מחוץ לגבולות הארגון עצמו, כולל רשת של לקוח, כלא מהימנה כברירת מחדל, וממליצות שמכשירים יאמתו ויצפינו ללא קשר לרשת שאליה הם מתחברים ^[2].

למה זה בעיה של סודיות לקוחות, לא רק בעיית IT

יועץ שאיבד מחשב נייד עם המודל הפיננסי של לקוח לא רק איבד מכשיר. אם המחשב הזה מכיל מידע אישי על עובדים, לקוחות או מטופלים, החובות שנגזרות מכך תלויות במיקום הלקוח, אבל לפי ה-GDPR, מפעיל חייב להודיע לרשות הפיקוח הרלוונטית ללא עיכוב מיותר, וככל שניתן, בתוך 72 שעות מרגע שנודע לו על אירוע דליפת מידע אישי ^[3]. משרד הפועל בישראל, ביוון ובספרד, עם לקוחות בשני צידי הכלל הזה, לא יכול להחליט אילו אירועים נחשבים זניחים.

הונאה הקשורה לפרטי חשבון גנובים וגישה לחשבונות נותרת אחת מקטגוריות ההפסד הגדולות ביותר שדווחו למרכז התלונות לפשעי אינטרנט של ה-FBI, שרשם 16.6 מיליארד דולר בהפסדים כוללים ב-2024, עלייה של 33% לעומת השנה הקודמת, כאשר הונאה מבוססת סייבר אחראית לכ-83% מהסכום הזה ^[4]. אף אחד מאלה לא דורש תוקף מתוחכם. בעיקר נדרשת התחברות חלשה אחת, שהגיעה מרשת שאף אחד לא השגיח עליה.

ההגדרה הרזה שסוגרת את הפער

אף אחד מאלה לא דורש מחלקת IT ייעודית או תקציב אבטחה בן שש ספרות. משרד ייעוץ קטן על Microsoft 365 Business Premium כבר מחזיק בכלים; העבודה היא להפעיל אותם ולכוון אותם לסיכון הנכון.

1. Conditional Access במקום אמון ברשת

Microsoft Entra Conditional Access בוחן אותות כמו תאימות מכשיר, מיקום וסיכון התחברות בכל כניסה, וחוסם או מאתגר גישה בהתאם, במקום להניח שהתחברות בטוחה רק כי הסיסמה הייתה נכונה ^[5]. עבור משרד עם יועצים נוסעים, מערך המדיניות המעשי קצר:

• לדרוש אימות רב-שלבי בכל התחברות, מכל רשת, בלי חריגים למיקומים "מהימנים" שהם בעצם רק ה-Wi-Fi של המשרד.
• לחסום התחברות ממכשירים לא מנוהלים או לא תואמים, כך שמחשב קיוסק משותף של לקוח לא יוכל למשוך דואר או קבצים אפילו עם סיסמה תקינה.
• לסמן ולאתגר התחברויות שמנגנון הסיכון של מיקרוסופט מדרג כחריגות, כמו דפוס נסיעה בלתי אפשרי בין שתי התחברויות בהפרש של דקות.

2. מכשירים מנוהלים ב-Intune, לא רק מכשירי חברה

כל מחשב נייד שנוגע בנתוני לקוחות צריך להיות רשום כך שהוא מדווח על מצב ההצפנה, רמת העדכונים ומדיניות נעילת המסך שלו, וניתן למחוק אותו מרחוק אם הוא הולך לאיבוד ^[5]. בפועל זה אומר:

• הצפנת דיסק מלאה (BitLocker בווינדוס, FileVault ב-Mac) מופעלת ומאומתת, לא רק מונחת כמובנת מאליה.
• נעילת מסך של דקה או פחות, נאכפת במדיניות ולא מושארת להרגל.
• עדכוני אבטחה אוטומטיים, מכיוון שמחשב לא מעודכן ברשת ציבורית חשוף להתקפות שמחשב מעודכן לא חשוף אליהן.

3. יחסו לכל רשת שאינה של המשרד כרשת ציבורית

במקום לנסות לבדוק כל רשת מלון ולאונג', ההגדרה הרזה מניחה שכולן עוינות. VPN פעיל תמידית או ניתוב מובנה של Microsoft Cloud App Security מכסה את זה בלי לדרוש מהיועץ לזכור להפעיל משהו לפני שהוא פותח את המחשב בלובי.

4. הפרדת נתוני הלקוח, לא רק המכשיר

SharePoint ו-OneDrive עם קבוצות הרשאה לפי לקוח אומרים שמחשב שאבד או נפרץ חושף רק את מה שהחשבון של אותו מחשב יכול היה לראות מלכתחילה, ולא את כל קבצי הלקוחות שהמשרד מחזיק.

כמה זה עולה וכמה זמן זה לוקח

עבור משרד של חמישה עד עשרים יועצים שכבר נמצא על Microsoft 365 Business Premium, הפעלת Conditional Access, רישום מחשבים קיימים ב-Intune והגדרת מדיניות תאימות הם פרויקט של שבוע עד שבועיים, לא מעבר פלטפורמה. אין רישיון חדש לקנות אם Business Premium כבר קיים, מכיוון ש-Entra Conditional Access ו-Intune כלולים; העלות היא זמן ההגדרה, בין אם בבית ובין אם דרך ספק מנוהל.

ההרגל שחשוב יותר מכל הגדרה

גם מדיניות Conditional Access הטובה ביותר מניחה שהיועץ מדווח על מחשב אבוד באותו יום. מחיקה מרחוק עובדת רק לפני שהמכשיר כובה והתנתק לצמיתות, כך שהתיקון המהיר ביותר כאן הוא תרבותי, לא טכני: מדיניות של שורה אחת שאומרת דווחו מיד, בלי יוצאים מן הכלל, בלי בושה. משרדים שבונים את ההרגל הזה מאבדים קבצים. משרדים שלא, לפעמים מאבדים לקוח.