נקודות עיקריות
- התקנות לא מכתיבות טכנולוגיה מסוימת — הן מחייבות נוהל כתוב שקובע איך מזהים משתמש ואיך מאמתים אותו.
- כשהזיהוי מבוסס סיסמה: חוזק, מספר ניסיונות כושלים ותדירות החלפה שלא תעלה על שישה חודשים.
- חובות האימות המדויקות תלויות ברמת האבטחה של המאגר — בסיסית, בינונית או גבוהה.
- נדרש מנגנון תיעוד אוטומטי של הגישה למערכות המאגר, שנשמר שנתיים לפחות.
- הכישלון הנפוץ אינו סיסמה חלשה אלא חשבון משותף שאי אפשר לייחס לאדם מסוים.
תוכן עניינים
- מה התקנות אומרות על זיהוי ואימות?
- מה נחשבת מדיניות סיסמאות תקינה?
- האם אימות דו-שלבי הוא חובה?
- מה חייבים לתעד ולכמה זמן?
- איפה עסקים נכשלים בפועל?
- איך מיישמים את זה בשבעה צעדים?
- מה עם מערכות ענן ושירותי SaaS?
- שאלות ותשובות
אימות גישה למאגר מידע הוא התהליך שבו המערכת מוודאת שהמשתמש המבקש להיכנס הוא אכן בעל ההרשאה שהוא טוען שהוא — להבדיל מהרשאות, שקובעות מה מותר לו לעשות אחרי שנכנס. הבלבול בין השניים הוא מקור שכיח לליקויים: ארגון משקיע בהגדרת הרשאות מדויקות, ומשאיר את הכניסה עצמה מוגנת בסיסמה שארבעה אנשים מכירים. מי שעוד לא קבע את רמת האבטחה של המאגר שלו כדאי שיתחיל בקביעת רמת האבטחה לפי התקנות, כי כל שאר החובות נגזרות ממנה.
מה התקנות אומרות על זיהוי ואימות?
התקנות דורשות שהגישה למערכות המאגר תיעשה רק בידי מי שהוסמך לכך, תוך זיהוי ואימות שייקבעו בנוהל אבטחת המידע של הארגון. הנוסח המלא נמצא בתקנות הגנת הפרטיות (אבטחת מידע), תשע״ז-2017, והרשות להגנת הפרטיות פרסמה גם מדריך יישום מקוצר לעצמאים ולעסקים קטנים.
שתי נקודות שכדאי להפנים. ראשונה, התקנות כתובות באופן טכנולוגית-ניטרלי: הן לא נוקבות מוצר או אלגוריתם, אלא דורשות שהארגון יקבע אמצעים הולמים לרמת הסיכון שלו ויתעד אותם. שנייה, החובות מדורגות לפי רמת האבטחה החלה על המאגר. מאגר ברמה בסיסית ומאגר ברמה גבוהה אינם נמדדים באותה אמה, וברמות הגבוהות נדרשים אמצעי זיהוי חזקים יותר, למשל אמצעי זיהוי פיזיים כמו כרטיס חכם.
מה נחשבת מדיניות סיסמאות תקינה?
כשהזיהוי נשען על סיסמה, נוהל האבטחה צריך להתייחס לשלושה דברים לפחות: חוזק הסיסמה, מספר ניסיונות הכניסה הכושלים המותרים, ותדירות החלפת הסיסמה לפי תפקיד בעל ההרשאה, כשהתקופה המרבית היא שישה חודשים. זהו המינימום הכתוב; ארגון רשאי להחמיר ולרוב עדיף שיעשה זאת.
נקודה שמבלבלת הרבה מנהלי מערכות: העולם המקצועי זז בשנים האחרונות מהחלפות סיסמה תכופות אל סיסמאות ארוכות שמוחלפות רק כשיש חשד לדליפה. אם אתם בוחרים בגישה הזו, עיקר העניין הוא שההחלטה תהיה מנומקת ומתועדת בנוהל — לצד פיצוי אמיתי כמו אימות רב-שלבי, חסימה אחרי ניסיונות כושלים וניטור כניסות חריגות. נוהל שסוטה מהמינימום בלי נימוק ובלי פיצוי הוא בדיוק מה שנראה רע בבדיקה.
האם אימות דו-שלבי הוא חובה?
התקנות אינן נוקבות ״אימות דו-שלבי״ כחובה גורפת על כל מאגר, אבל הן דורשות אמצעי אימות הולמים לרמת הסיכון — והרשות להגנת הפרטיות ממליצה על אימות דו-שלבי במפורש. בפרקטיקה המשמעות היא שעסק שמחזיק מידע רגיש ומסתפק בסיסמה בודדת יתקשה להסביר את הבחירה אחרי אירוע.
| אמצעי אימות | מה הוא מונע | מתי מתאים |
|---|---|---|
| סיסמה בלבד | כמעט כלום מול דליפת סיסמאות או פישינג | מערכות פנימיות בלבד, מידע לא רגיש |
| סיסמה + קוד ב-SMS | רוב הניסיונות האוטומטיים | מינימום סביר למערכות חיצוניות |
| סיסמה + אפליקציית אימות | גם החלפת כרטיס SIM ויירוט הודעות | ברירת המחדל לרוב העסקים |
| מפתח חומרה או כרטיס חכם | גם פישינג מתוחכם שמעתיק קודים | מנהלי מערכת ומאגרים ברמה גבוהה |
המקום הקריטי ביותר להתחיל בו הוא חשבונות המנהל וכל גישה מרחוק — נושא שמורחב במאמר על שמירה על מידע אישי בעבודה מחוץ למשרד.
מה חייבים לתעד ולכמה זמן?
נדרש מנגנון תיעוד אוטומטי שמאפשר בקרה וביקורת על הגישה למערכות המאגר, והתיעוד הזה נשמר לתקופה של שנתיים לפחות. היומנים האלה הם הדבר הראשון שמבקשים אחרי אירוע, והם גם מה שמבדיל בין ״ידענו בדיוק מה קרה״ לבין ״אנחנו מעריכים״. ברמות אבטחה מסוימות נדרשת גם ביקורת פנימית או חיצונית תקופתית, שבודקת אם אמצעי האבטחה הולמים את הנוהל ואת התקנות, מאתרת ליקויים ומציעה תיקונים.
הטעות הנפוצה היא להפעיל תיעוד ולא להסתכל עליו אף פעם. יומן שאיש לא בודק אינו בקרה — הוא ארכיון. קבעו מי עובר על חריגות, באיזו תדירות, ומה עושים כשמוצאים משהו.
איפה עסקים נכשלים בפועל?
רוב הליקויים אינם טכניים אלא ארגוניים — הטכנולוגיה קיימת, אבל איש לא אחראי עליה. אלה המקרים החוזרים:
- חשבון משותף לצוות — כשכולם נכנסים באותו משתמש, התיעוד חסר ערך ואין זיהוי של בעל ההרשאה.
- חשבונות של עובדים שעזבו — נשארים פעילים חודשים. זה הממצא השכיח בבדיקות.
- גישת ספקים — יועץ חיצוני עם חשבון קבוע וללא הגבלת זמן או היקף.
- הרשאות שנצברו — עובד שהתקדם בארגון ושמר את כל הגישות הישנות — ראו הרשאות גישה למאגר מידע.
- סיסמה זהה בכמה מערכות — דליפה בשירות אחד פותחת את המאגר.
איך מיישמים את זה בשבעה צעדים?
הסדר החשוב: קודם לדעת מי נכנס לאן, אחר כך לחזק את הכניסה.
- רשמו את כל המערכות שמחזיקות מידע אישי ואת דרך הכניסה אליהן.
- פרקו חשבונות משותפים למשתמש אישי לכל עובד.
- הפעילו אימות רב-שלבי תחילה למנהלים ולגישה מרחוק.
- כתבו את מדיניות הסיסמאות בנוהל — חוזק, ניסיונות כושלים ותדירות החלפה.
- הפעילו תיעוד גישה וודאו שהוא נשמר שנתיים לפחות.
- קבעו נוהל עזיבה — ביטול גישה באותו יום שבו עובד עוזב.
- בדקו מדי תקופה מי באמת מחזיק גישה — ובטלו מה שלא נדרש.
צעד משלים שכדאי לשקול במקביל: הצפנה של המידע הרגיש, כך שגם אם נפרצה הכניסה, מה שנלקח יהיה פחות שימושי.
מה עם מערכות ענן ושירותי SaaS?
עצם המעבר לענן אינו מעביר את חובת האימות לספק — הוא רק משנה את חלוקת העבודה. ספק ה-SaaS אחראי על אבטחת התשתית ועל העמדת מנגנוני אימות לרשותכם; אתם אחראים להפעיל אותם, להגדיר מי מקבל גישה ולבדוק את היומנים. מערכת ענן שהוגדרה בברירת המחדל ולא נגעו בה היא בדיוק המקרה שבו הארגון מוצא עצמו בלי הגנה.
שלוש בדיקות שכדאי לעשות בכל שירות ענן שמחזיק מידע אישי: האם אפשר לאכוף אימות רב-שלבי על כל המשתמשים ולא רק להמליץ עליו; האם קיים דוח שמראה מי נכנס ומתי, ואם אפשר לייצא אותו; והאם יש הפרדה בין משתמש רגיל למנהל מערכת. אם התשובה לאחת מהן שלילית, זה שיקול אמיתי בבחירת הספק — ונושא שצריך להופיע בהסכם עיבוד המידע מולו.
שאלות ותשובות
כל כמה זמן חייבים להחליף סיסמאות?
על פי התקנות, נוהל האבטחה קובע את התדירות לפי תפקיד בעל ההרשאה, כשהתקופה המרבית היא שישה חודשים.
האם מנהל סיסמאות עונה על הדרישה?
מנהל סיסמאות הוא כלי עזר מצוין ליצירת סיסמאות חזקות וייחודיות, אבל הוא אינו מחליף את הנוהל הכתוב ואת האימות הרב-שלבי.
האם אפשר לוותר על אימות דו-שלבי ברשת הפנימית?
במערכות פנימיות בלבד ובמידע לא רגיש זו יכולה להיות החלטה סבירה, אם היא מנומקת בנוהל. לגישה מרחוק ולחשבונות מנהל קשה להצדיק ויתור.
מה עושים עם מערכת ישנה שלא תומכת באימות רב-שלבי?
מצמצמים את הגישה אליה — רק מתוך הרשת הפנימית, רק למשתמשים ספציפיים — מגבירים תיעוד ומתעדים את המגבלה ואת הפתרון המתוכנן.
מי אחראי על זה בעסק קטן בלי מחלקת מחשוב?
האחריות נשארת אצל בעל המאגר. אפשר להיעזר בספק חיצוני לביצוע, אבל החלטות המדיניות והתיעוד הן באחריות העסק.
המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
להמשך קריאה
