אימות דו-שלבי בעסק: למה זה חובה ואיך עושים נכון

אימות דו-שלבי מוסיף שכבת אבטחה מעבר לסיסמה ומקשה על כניסה לחשבון באמצעות סיסמה גנובה בלבד. עם זאת, אין כאן הגנה מוחלטת. פישינג, אישור בקשה מזויפת או גניבת התחברות פעילה עדיין עלולים לסכן את החשבון. לכן משלבים אימות חזק עם הדרכת עובדים ובדיקת הרשאות.

למה סיסמה לבד כבר לא מספיקה

רוב האירועים לא מתחילים מ"האקר גאון", אלא מפישינג, דליפות סיסמאות ושימוש חוזר בסיסמאות. מספיק שחשבון אחד נופל — ולעיתים קרובות זה פותח דלת לעוד שירותים (מייל, ענן, הנהלת חשבונות, CRM).

מה זה אימות דו-שלבי בפועל

2FA = שני שלבים של אימות: משהו שאתה יודע (סיסמה) + משהו שיש לך (קוד חד-פעמי / אפליקציית אימות / מפתח פיזי). ההמלצה לעסקים: להשתמש באפליקציית אימות ולא ב-SMS כשאפשר.

איפה חובה להפעיל בעסק

• מייל עסקי: Gmail / Microsoft 365 — זה היעד מספר 1 לתוקפים.
• מערכות ענן: Google Drive / OneDrive / SharePoint.
• גישה מרחוק: VPN / Remote Desktop / כלי תמיכה.
• מערכות כספיות: הנהלת חשבונות, סליקה, בנק עסקי (אם נתמך).
• מנהלי סיסמאות ו-CRM: כדי למנוע דליפת גישה רוחבית.

איך עושים נכון בלי לפגוע בעבודה

1. מתחילים מהקריטי: מייל + ענן + גישה מרחוק.
2. מגדירים "שיטות גיבוי": קודי גיבוי שמורים במקום בטוח + מנהל נוסף.
3. מדיניות לעובדים: לא מאשרים "בקשות התחברות" שלא יזמו.
4. מנקים הרשאות: לכל עובד משתמש אישי, מבטלים משתמשים ישנים.
5. בודקים התראות: התראות על התחברויות ממיקומים חריגים.

איך בוחרים שיטת אימות?

לא כל שיטות האימות נותנות אותה רמת הגנה. קוד בהודעת SMS או באפליקציה יכול להוסיף הגנה, אך תוקף עלול לבקש מהעובד להקליד אותו באתר מזויף. כשהמערכת תומכת בכך, כדאי לבחון מפתח אבטחה או שיטת FIDO2 עמידה לפישינג. CISA ממליצה לארגונים להתקדם לאימות עמיד לפישינג.

תוכנית הטמעה שאפשר לנהל

תחילה רשמו את המערכות ואת בעלי החשבונות. בחרו קבוצה קטנה לבדיקה, ובדקו שהעובדים מצליחים להיכנס מהמשרד ומרחוק. תעדו למי פונים במקרה של קושי, ורק לאחר מכן הרחיבו את ההפעלה לשאר הצוות.

קבעו גם תהליך להחלפת טלפון או לאובדן אמצעי האימות. אחראי המחשוב צריך לוודא את זהות העובד לפני איפוס הגישה. את אמצעי השחזור שומרים במקום מוגן, ולא במסמך משותף שכל העובדים יכולים לפתוח.

מה עושים כשמגיעה בקשה שלא יזמתם?

אל תאשרו בקשת התחברות לא מוכרת ואל תעבירו קוד למי שמתקשר ומציג את עצמו כתמיכה. פנו לאחראי המחשוב בערוץ מוכר ודווחו על זמן האירוע. רצף בקשות בלתי צפויות מצדיק בדיקה, גם אם לא אישרתם אף אחת מהן.

לקריאה נוספת: הנחיות CISA לאימות עמיד לפישינג.

סיכום

אימות דו-שלבי הוא אחד השדרוגים הכי "זולים" בזמן והכי חזקים בתוצאה. כשמיישמים אותו נכון — מפחיתים דרמטית סיכון להשתלטות על חשבונות, גניבת מידע והונאות תשלום. לקריאה נוספת: בדיקה וביטול של הרשאות אפליקציות ישנות. לפרטי השירות: אבטחת מידע לעסקים.