ניהול הרשאות וזהויות: עקרונות Zero Trust ומה ליישם בארגון

ניהול הרשאות וזהויות: עקרונות Zero Trust ומה ליישם בארגון – כדי שהגישה תעבוד בשבילכם, לא נגדכם

ניהול הרשאות וזהויות הוא המקום שבו רוב הארגונים מגלים אמת קטנה ומצחיקה: קל מאוד לתת גישה, הרבה יותר קשה לקחת אותה בחזרה.

וכאן בדיוק Zero Trust נכנס לתמונה.

לא כאידאולוגיה מלחיצה, אלא כגישה פרקטית: לא סומכים אוטומטית על אף אחד, מאמתים כל דבר, ומאפשרים רק מה שצריך – לא מה שנוח.

Zero Trust על כוס קפה: מה זה באמת (ומה זה ממש לא)?

Zero Trust לא אומר ש״אף אחד לא אמין״.

זה אומר ש״אמון״ הוא לא מצב קבוע, אלא תוצאה של בדיקות מתמשכות.

אם משתמש עבר הזדהות לפני שעה, זה נחמד.

אבל מאז הוא החליף רשת, התחבר ממכשיר אחר, עבר למדינה אחרת (או לפחות ל-VPN עם מצב רוח), והאפליקציה פתאום מבקשת נתונים רגישים.

ב-Zero Trust, כל שינוי כזה הוא סיבה לבדוק שוב.

המטרה הכי פרקטית: להפוך גישה למשאב דינמי, שמותאם לסיכון בזמן אמת.

3 משפטים שמסכמים את זה בלי לעשות דרמה

אם אתם רוצים לזכור את זה בקלות, אלו שלושת הכללים:

• אימות תמידי – לא רק בכניסה.
• הרשאות מינימליות – רק מה שצריך, רק לכמה שצריך.
• הנחה שיש פריצה – לא כי אתם פסימיים, אלא כי זה מייצר תכנון חכם.

זהות היא ה״גבול״ החדש – אז למה עדיין מתנהגים כאילו הפיירוול מציל אותנו?

פעם היה קל: רשת פנימית נחשבה ״בטוחה״, ומחוץ לה היה ״מסוכן״.

היום? אין באמת ״פנימי״.

יש SaaS, יש ענן, יש מכשירי BYOD, יש ספקים, יש משתמשים מרחוק, ויש אפליקציות שמדברות זו עם זו בלי לבקש רשות.

הגבול עבר לזהות.

מי אתה?

מאיפה התחברת?

באיזה מכשיר?

לאן אתה מנסה להגיע?

ובואו נודה באמת: לפעמים גם ״למה אתה בכלל צריך את זה״.

הבדיחה העצובה של עולם ההרשאות

הסיבה שארגונים מסתבכים היא לא כי אין להם טכנולוגיה.

זה כי ההרשאות מצטברות כמו גרביים בודדים במגירה.

עובד עבר צוות, קיבל עוד גישה.

הוא עבר תפקיד, קיבל עוד.

הוא עזב? אה, נכון, צריך לטפל בזה.

ואז חודשיים אחרי מגלים שעדיין יש לו טוקן פעיל באיזה שירות צדדי שאף אחד לא זוכר.

לפני שמדברים על כלים: 7 עקרונות זהב לניהול זהויות והרשאות

אפשר לקנות מערכת IAM הכי נוצצת.

אבל אם העקרונות לא יושבים טוב, זה כמו לקנות מנעול חכם לדלת שלא נסגרת.

1) ״מי אתה״ זה לא שאלה חד פעמית

אימות רב-שלבי (MFA) הוא בסיס, אבל הוא לא סוף פסוק.

הכיוון המתקדם הוא אימות מבוסס הקשר:

• מיקום, רשת, וסיכון התחברות
• בריאות מכשיר (גרסאות, הצפנה, Jailbreak)
• דפוסי התנהגות (כן, גם זה נהיה סטנדרט)

2) הרשאות מינימליות – אבל בלי לשבור את העבודה

Least Privilege נשמע כמו משהו שכולם מסכימים עליו.

בפועל, הוא נכשל כשעושים אותו ״כאב ראש״.

הפתרון הוא לא לוותר.

הפתרון הוא ליישם חכם:

• תפקידים ברורים (RBAC) כשזה עובד
• הרשאות לפי מאפיינים (ABAC) כשצריך גמישות
• קבוצות דינמיות לפי זהות והקשר

3) גישה זמנית (Just-in-Time) במקום גישה קבועה

אם הרשאה רגישה נשארת קבועה, היא תדלוף מתישהו.

Just-in-Time Access מאפשר לתת הרשאה רק לזמן מוגדר, עם אישור, עם לוגים, ועם סיבה.

כן, גם לאדמין.

במיוחד לאדמין.

4) הפרדה בין זהות אנושית לזהות של שירותים

Service Accounts, מפתחות API, ו-Secrets הם בלאגן בפני עצמו.

ב-Zero Trust מודרני, מתייחסים לזהויות לא-אנושיות כמו לאזרחים לכל דבר:

• רוטציה קבועה לסודות
• הרשאות מינימליות לשירותים
• בידול בין סביבות (פיתוח, בדיקות, ייצור)

5) כל פעולה חשובה חייבת להיות ניתנת להסבר

לא בשביל להאשים.

בשביל להבין.

לוגים איכותיים, קורלציה בין אירועים, וחיווי ברור מי עשה מה, מאיפה ומתי.

זה ההבדל בין ״נחקור״ לבין ״ננחש״.

6) ניהול מחזור חיים לזהות – בלי חורים באמצע

Joiner-Mover-Leaver הוא לא מושג של HR בלבד.

זה הבסיס לכל מנגנון זהויות טוב:

• הצטרפות – יצירה אוטומטית, סטנדרטית, עם תפקיד ראשוני
• שינוי – עדכון הרשאות לפי מעבר תפקיד, לא ״תוספות״ אינסופיות
• עזיבה – סגירה מלאה ומהירה, כולל טוקנים, מכשירים, ואפליקציות צד

7) מדיניות היא מוצר – ואם היא לא נוחה, היא לא תעבוד

מדיניות שמייצרת עקיפות היא מדיניות שמכשילה את עצמה.

תכתבו כללים שאנשים יכולים לחיות איתם.

בקטע טוב.

מה ליישם בארגון בפועל? צ׳ק ליסט שלא נשאר על מצגת

כדי להפוך Zero Trust לניהול זהויות והרשאות שעובד באמת, צריך רצף צעדים.

לא מהפכה של לילה.

רצף.

שלב 1: מפת זהויות והרשאות – איפה הכאוס מתחבא?

לפני כל שדרוג, תייצרו תמונת מצב:

• אילו מאגרי זהות קיימים (AD, Entra ID, LDAP, מערכות HR)
• אילו אפליקציות מחוברות (SaaS, On-Prem, ענן)
• מי מחזיק הרשאות אדמין ובאיזה היקף
• איפה יש חשבונות יתומים, כפולים, או לא מנוהלים

זה השלב שבו מגלים דברים משעשעים.

כמו משתמש ״test-admin-final2״ שמנהל חצי מהענן.

שלב 2: לאחד הזדהות עם SSO – ולהפסיק עם סיסמאות בכל מקום

SSO טוב עושה שני דברים בו זמנית:

• מפשט למשתמשים את החיים (ואז הם פחות ממציאים פתרונות יצירתיים)
• נותן לכם שליטה מרכזית, מדיניות אחידה ולוגים

כאן גם מכניסים MFA באופן עקבי, ולא ״רק במערכת החשובה״.

שלב 3: לחזק הרשאות פריבילגיות עם PAM

אם יש מקום להשקיע בו תשומת לב, זה accounts עם כוח.

PAM טוב יאפשר:

• גישה זמנית ומאושרת
• הקלטה או תיעוד פעולות רגישות
• סיסמאות מנוהלות ורוטציה
• הפרדת תפקידים אמיתית

וזה גם המקום שבו אפשר להכניס קצת סדר תרבותי: אדמינים עובדים נקי יותר כשיש מסגרת ברורה.

שלב 4: מדיניות גישה מותנית – כן, גם באמצע היום

Conditional Access הוא הלב של Zero Trust בפועל.

דוגמאות למדיניות שעובדת יפה:

• חסימת התחברות ממכשיר לא מנוהל למערכות רגישות
• דרישת MFA מחדש כשיש שינוי מיקום או סיכון
• גישה מלאה רק ממכשיר תואם מדיניות, אחרת מצב ״קריאה בלבד״

זו לא ענישה.

זה מיגון שמרגיש טבעי.

שלב 5: לעשות סדר בבקשות הרשאה – עם תהליך שנעים להשתמש בו

הנוסחה היא פשוטה:

אם לבקש הרשאה זה סיוט, אנשים יעקפו.

אם לבקש הרשאה זה קל, הם ישתפו פעולה.

תבנו קטלוג גישות:

• בקשה עם תפקיד/חבילה מוגדרת
• אישור לפי בעלים עסקיים (לא רק IT)
• תוקף זמן מובנה
• ביקורת תקופתית אוטומטית

5 טעויות נפוצות שזורקות Zero Trust לפח (בקטע משעשע, אבל חבל)

הטכנולוגיה טובה.

הטעויות הן אנושיות.

טעות 1: ״נשים MFA וזהו״

MFA זה חובה.

אבל בלי ניהול הרשאות, בלי JIT, ובלי מדיניות גישה, זה כמו לשים אזעקה ולהשאיר חלון פתוח.

טעות 2: תפקידים כלליים מדי

״עובד-כללי״ עם הרשאות של חצי ארגון הוא לא תפקיד.

זה סימן שוויתרתם.

טעות 3: לא לגעת בזהויות של שירותים

שם יש הרבה כוח, מעט עיניים, והרבה ״רק אל תיגע, זה עובד״.

דווקא שם צריך משמעת.

טעות 4: ביקורות הרשאה ידניות בלי סוף

ביקורת רבעונית באקסל היא פעילות חברתית נחמדה.

היא גם לא תופסת בזמן.

אוטומציה, בעלי הרשאה מוגדרים, ותהליך רזה – זה המשחק.

טעות 5: Zero Trust בלי חוויית משתמש

אם המשתמש מרגיש שמישהו נלחם בו, הוא ינצח.

בעזרת עקיפות.

המטרה היא אבטחה שמרגישה כמו מוצר טוב.

שאלות ותשובות קצרות: כי ברור שיש לכם עוד 6 דברים על הראש

שאלה: האם Zero Trust אומר שצריך להחליף את כל התשתיות?

תשובה: לא. לרוב מתחילים מזהויות, SSO, MFA עקבי, ומדיניות גישה מותנית. אחר כך משפרים בהדרגה.

שאלה: מה עדיף – RBAC או ABAC?

תשובה: RBAC מצוין כשיש תפקידים יציבים וברורים. ABAC נותן גמישות כשיש הרבה הקשרים ותנאים. בהרבה ארגונים משלבים.

שאלה: איך מצמצמים הרשאות בלי לעצור צוותים?

תשובה: עוברים לחבילות הרשאה, נותנים גישה זמנית לפעולות רגישות, ומוסיפים תהליך בקשה מהיר עם אישור ברור.

שאלה: מה הדבר הראשון שמחפשים בביקורת הרשאות?

תשובה: אדמינים מיותרים, חשבונות יתומים, הרשאות קבועות לפעולות חריגות, וזהויות שירות עם מפתחות ישנים.

שאלה: האם צריך גם ניטור, או שמספיק ״לנעול״?

תשובה: חייבים ניטור. Zero Trust מניח שיהיו אירועים, ולכן לוגים, התראות וקורלציה הם חלק מהשיטה.

שאלה: איך גורמים לזה להחזיק לאורך זמן?

תשובה: מחברים את זה לתהליכי HR ו-IT, אוטומציה של מחזור חיים, וביקורות קלות שמתרחשות בלי כאב.

איפה נכנסים אנשים לתמונה? בדיוק כאן

Zero Trust הוא לא רק סט כלים.

הוא סט הרגלים.

בעלי מערכות שמגדירים מי אמור לקבל גישה.

צוותי IT שמאפשרים את זה בלי להפוך את היום-יום לבלתי אפשרי.

והנה פרט מעניין: לפעמים השיחה הכי חשובה היא בכלל עם מי שמנהל את ה״למה״ העסקי.

אם אתם מחפשים נקודת מבט נוספת על איך אנשים ותהליכים מתחברים לעולם הזהויות, אפשר להציץ גם בפרופיל של אילון אוריאל.

ואם בא לכם לראות זווית יותר רחבה של ליווי ותהליכים, גם איילון אוריאל מופיע בהקשר שיכול להדליק רעיונות על עבודה מסודרת מול אנשים ומערכות.

---

תכל׳ס – סט יישומים מומלץ שייתן לכם קפיצה אמיתית

אם צריך לבחור השקעה חכמה, הנה סדר עדיפויות שעובד בארגונים אמיתיים:

1. איחוד זהות – מקור אמת אחד ככל האפשר.
2. SSO + MFA עקבי – לכל המערכות המרכזיות, עם מדיניות אחידה.
3. Conditional Access – לפי מכשיר, סיכון, ומיקום.
4. PAM – לכל הרשאה פריבילגית, כולל JIT.
5. IGA – תהליכי בקשה, אישור, וביקורת הרשאות.
6. ניהול סודות וזהויות שירות – רוטציה, הרשאות מינימליות, ובידול סביבות.
7. נראות ולוגים – כדי להבין מה קורה באמת, בזמן אמת.

הקסם הוא לא בכל סעיף לבד.

הקסם הוא בחיבור ביניהם, כך שכל החלטת גישה נראית, מוסברת, ונשלטת.

הסוף הטוב: איך יודעים שהצלחתם?

כשניהול זהויות והרשאות עובד נכון בגישת Zero Trust, קורים דברים מפתיעים:

• משתמשים מפסיקים לבקש ״תן לי הכל״, כי ברור מה אפשר ומה לא.
• אדמינים עובדים עם פחות סיכון ויותר שקט.
• עזיבת עובד לא גורמת לכם להזיע.
• אירועים נראים מהר, ונחקרים בלי ניחושים.

והכי חשוב – הארגון זז מהר יותר, כי הגישה הופכת להיות משהו שמנוהל טוב, לא משהו שמפחדים לגעת בו.

בסוף, Zero Trust הוא לא ״לא לסמוך״.

זה ״לסמוך – אבל עם הוכחות, בהקשר הנכון, ובזמן הנכון״.

וזה, איכשהו, הרבה יותר רגוע.