פעם האבטחה של הארגון ישבה במשרד: חומת אש בכניסה, שרתים בחדר התקשורת ומחשבים שמחוברים לרשת הפנימית. מי שהיה "בפנים" נחשב בטוח.
היום רוב העבודה קורית במקום אחר. העובד עובד מהבית, מבית קפה או מחו"ל, המידע יושב באפליקציות ענן, וכלי AI פתוחים בדפדפן לצד המייל והמסמכים. המשרד, הרשת והמידע התכנסו כולם לנקודה אחת: המחשב של העובד והזהות שמחוברת אליו.
זה לא אומר שהאבטחה נעלמה. זה אומר שהיא עברה מקום. ומי שעדיין משקיע בעיקר בהיקף הרשת, מגן על דלת שרוב התנועה כבר לא עוברת דרכה.
בקצרה
- ההיקף החדש של הארגון הוא זהות + מכשיר. כל החלטת גישה צריכה לשאול: מי המשתמש, מאיזה מכשיר הוא מתחבר, ובאיזה מצב המכשיר הזה.
- AI הגדיל את הסיכון. עובדים מדביקים מידע לכלים שלא אושרו, מתקינים תוספים ומחברים "סוכנים" לתיבת המייל ולקבצים.
- הדגשים: זהות אחת לכל עובד, MFA חזק, גישה מותנית במצב המכשיר, ניהול מכשירים מלא, הרשאות מינימליות, נראות על SaaS ו-AI, ועזיבת עובד בתוך דקות.
- JumpCloud מחברת את הזהות, המכשיר והאפליקציות בפלטפורמה אחת, ו-ELPC מתכננת, מטמיעה ומנהלת אותה כך שהיא עובדת בארגון האמיתי ולא רק במצגת.
למה המחשב של העובד הפך למרכז האבטחה?
שלושה שינויים קרו במקביל, וכל אחד מהם הזיז עוד קצת מהסיכון אל תחנת הקצה:
1. עבודה היברידית
המחשב הנייד יוצא מהמשרד כל יום ומתחבר לרשתות שאף אחד בארגון לא מנהל. הוא כבר לא "מאחורי" חומת האש של החברה. ההגנה צריכה לנסוע איתו.
2. SaaS במקום שרתים
Microsoft 365, Google Workspace, Salesforce, Monday, Slack ועשרות אפליקציות נוספות נגישות מכל מקום, עם שם משתמש וסיסמה. מי שמחזיק בזהות של העובד, מחזיק בגישה למידע. לכן תוקפים מתמקדים היום בגניבת סיסמאות, הטעיית משתמשים לאשר MFA וגניבת "עוגיות" התחברות ממחשבים פרוצים.
3. בינה מלאכותית על שולחן העבודה
כלי AI הם כלי עבודה מצוין, אבל הם פתחו ערוץ חדש לזליגת מידע:
- עובדים מדביקים חוזים, קוד או נתוני לקוחות לכלים שהארגון לא בדק ולא אישר (Shadow AI).
- תוספים לדפדפן ו"עוזרים" מקבלים הרשאות קריאה למייל, ליומן ולקבצים.
- סוכני AI פועלים בשם המשתמש, עם ההרשאות שלו. משתמש עם הרשאות עודפות הוא סוכן עם הרשאות עודפות.
בשורה התחתונה: אם אתם לא יודעים מי מתחבר, מאיזה מכשיר ולאילו אפליקציות, אתם לא באמת יודעים איפה המידע שלכם.
על מה צריך לשים את הדגש?
1. זהות אחת לכל עובד
כל עובד צריך זהות אחת, בספרייה מרכזית אחת, שממנה נגזרת הגישה לכל המערכות. בלי זה כל אפליקציה מחזיקה רשימת משתמשים משלה, וחשבונות נשכחים פתוחים גם שנים אחרי שהעובד עזב.
- SSO לכל האפליקציות שאפשר, כדי שהכניסה תעבור דרך נקודת בקרה אחת.
- קליטה ועזיבה אוטומטיות, ובמידת האפשר סנכרון ממערכת משאבי האנוש (HRIS).
- הרשאות לפי תפקיד וקבוצה (RBAC) ולא לפי "תעתיק לו את מה שיש לדני".
2. MFA שמחזיק מול פישינג
MFA מבוסס SMS או אישור Push פשוט כבר לא מספיק מול מתקפות שמציפות את העובד בבקשות אישור. כדאי להעדיף מפתחות אבטחה ו-Passkeys (FIDO2), או לפחות Push עם התאמת מספר, ולהפעיל MFA על כל המשתמשים, ובמיוחד על מנהלי המערכות.
3. גישה מותנית במצב המכשיר (Conditional Access)
זה לב הגישה של Zero Trust: לא מספיק שהסיסמה נכונה. לפני שמאשרים גישה בודקים גם את ההקשר:
- האם המכשיר מנוהל על ידי הארגון?
- האם הדיסק מוצפן ומערכת ההפעלה מעודכנת?
- האם רכיב ההגנה (EDR) פועל?
- מאיפה מגיעה ההתחברות, ומאיזו רשת?
מכשיר פרטי לא מנוהל יכול לקבל גישה מוגבלת, למשל לדואר דרך הדפדפן בלבד, אבל לא להוריד את קבצי הכספים. הרחבה על הגישה תמצאו במאמר שלנו על Zero Trust.
4. ניהול המכשיר עצמו
אי אפשר להתנות גישה במצב המכשיר בלי לנהל את המכשיר. ניהול תחנות קצה (MDM) צריך לכסות את כל מערכות ההפעלה בארגון, Windows, macOS ו-Linux, ולכלול:
- הצפנת דיסק ושמירת מפתחות השחזור.
- עדכוני מערכת הפעלה ותוכנות במדיניות קבועה.
- מדיניות סיסמה, נעילת מסך וחסימת התקנות לא מאושרות.
- נעילה ומחיקה מרחוק של מחשב שאבד או נגנב.
5. הרשאות מינימליות, גם על המחשב
עובד שהוא מנהל מקומי (Local Admin) על המחשב שלו יכול להתקין כל דבר, כולל נוזקה ותוספי AI לא מאושרים. מומלץ להסיר הרשאות ניהול קבועות ולעבור לתהליך של בקשת גישה: העובד מבקש הרשאה מוגברת, מישהו מאשר, וההרשאה פגה אוטומטית אחרי זמן קצוב. כך גם צוות ה-IT לא הופך לצוואר בקבוק.
6. נראות על SaaS ועל AI
אי אפשר לנהל את מה שלא רואים. השלב הראשון הוא לגלות באילו אפליקציות וכלי AI העובדים באמת משתמשים. אחרי זה מחליטים:
- לאשר ולחבר כלים שעומדים בדרישות, דרך SSO, עם רישיון ארגוני והגדרות פרטיות מתאימות.
- לחסום כלים שלא עומדים בדרישות או שמשתמשים במידע להמשך אימון.
- להגן על המידע עצמו בכלי DLP, כדי שמידע רגיש לא יודבק לכלים חיצוניים.
מיפוי כלי ה-AI בארגון הוא גם הבסיס לכל מדיניות AI ארגונית, ולעמידה בדרישות כמו ה-EU AI Act לארגונים שפועלים מול אירופה.
7. עזיבת עובד, בתוך דקות
הרגע המסוכן ביותר בניהול זהויות הוא עזיבה. כשהזהות והמכשיר מנוהלים ממקום אחד, השבתת המשתמש סוגרת בבת אחת את הגישה לכל האפליקציות, מנתקת את ההתחברויות הפעילות ונועלת את המחשב. בלי זה, "עזיבה" היא רשימה של 20 מערכות שמישהו צריך לזכור לסגור.
8. תיעוד שעומד בביקורת
בקרת גישה, אימות והרשאות הם בדיוק מה שנבדק בביקורות ובאירועי אבטחה:
- תיקון 13 לחוק הגנת הפרטיות ותקנות אבטחת המידע דורשים ניהול הרשאות, אימות ותיעוד גישה למאגרי מידע.
- ISO 27001 מקדיש לזה בקרות מפורשות: בקרת גישה, ניהול זהויות, מידע אימות, זכויות גישה, תחנות קצה של משתמשים וזכויות גישה מיוחסות.
- SOC 2 בודק את אותם הנושאים תחת בקרות הגישה הלוגית.
מערכת אחת שמתעדת מי קיבל גישה, מתי ובאישור מי, חוסכת שבועות של איסוף ראיות לפני ביקורת.
איך JumpCloud מחברת את הכול?
JumpCloud היא פלטפורמה אחת לניהול זהויות, גישה ומכשירים בענן. במקום לחבר כלי זהויות, כלי MDM ושרת Active Directory מקומי, הכול מנוהל ממקום אחד:
| האתגר | מה צריך | ב-JumpCloud |
|---|---|---|
| זהויות מפוזרות | ספרייה אחת וקליטה ועזיבה אוטומטיות | ספריית משתמשים בענן, סנכרון מ-HRIS, SSO לאפליקציות |
| גניבת סיסמאות | MFA חזק לכולם | MFA ו-Conditional Access לפי משתמש, מכשיר ומיקום |
| מחשבים לא מנוהלים | מדיניות, הצפנה ועדכונים | ניהול Windows, macOS ו-Linux מאותה קונסולה |
| הרשאות עודפות | הרשאות מינימליות ובקשות גישה | Access Requests, כולל בקשות להרשאות מוגברות על מכשירים |
| Shadow IT ו-Shadow AI | נראות על האפליקציות בשימוש | גילוי אפליקציות SaaS וכלי AI בארגון |
| Wi-Fi ו-VPN | גישה לרשת לפי זהות | Cloud RADIUS ו-Cloud LDAP |
היתרון הוא לא רק בפחות כלים. כשהזהות והמכשיר יושבים באותה מערכת, ההחלטה "לאשר או לחסום" מתקבלת על בסיס התמונה המלאה. לסקירה מעמיקה יותר של הפלטפורמה ראו את עמוד JumpCloud.
למה לעשות את זה עם ELPC?
כלי טוב לא מבטיח תוצאה טובה. רוב הכשלים בפרויקטים של ניהול זהויות לא נובעים מהטכנולוגיה, אלא מתכנון חסר: הרשאות שהועתקו כמו שהן, מדיניות שחוסמת את ההנהלה ביום הראשון, או SSO שחובר רק לחצי מהאפליקציות.
- שותף GOLD של JumpCloud בישראל. צוות ELPC מטמיע ומנהל את JumpCloud בארגונים, ומכיר את הפלטפורמה לעומק.
- מתחילים מתכנון, לא מהתקנה. ממפים משתמשים, תפקידים, קבוצות ואפליקציות, ובונים מודל הרשאות (RBAC) ומדיניות Conditional Access שמתאימים לארגון.
- מעבר מדורג שלא מפיל את הארגון. מתחילים בקבוצת פיילוט, מודדים, ורק אז מרחיבים, כולל מעבר מ-Active Directory מקומי ואינטגרציה עם Microsoft 365, Google Workspace, Jira, Monday, Slack ועוד.
- תמונה אחת של אבטחה. ELPC מחברת את שכבת הזהויות עם הגנת תחנות הקצה, DLP, ניהול Microsoft 365 ושירותי IT מנוהלים, כך שאין "חורים" בין ספקים.
- רגולציה מובנית בתהליך. אנחנו בודקים את הספק מול תיקון 13, GDPR ו-ISO 27001 (SOC 2, הסכם עיבוד נתונים ומיקום אחסון המידע), ובונים את התיעוד שתצטרכו בביקורת.
- ליווי אחרי העלייה לאוויר. תפעול שוטף, קליטה ועזיבה, סקירות הרשאות תקופתיות ותמיכה למשתמשים, כך שהמערכת נשארת מעודכנת ולא נשחקת עם הזמן.
וובינר ELPC × JumpCloud: זהות, מכשירים ו-AI. ב-30.11.2026 בשעה 10:00 נראה בהדגמה חיה איך בונים Conditional Access, מגלים Shadow AI ומנהלים בקשות גישה, בתרחיש אחד מקצה לקצה. ההשתתפות ללא עלות. להרשמה לוובינר ←
שאלות נפוצות
האם JumpCloud מחליפה את Active Directory?
ברוב הארגונים כן. JumpCloud מספקת ספריית משתמשים בענן, כך שאפשר לצמצם או לבטל שרתי Active Directory מקומיים. בארגונים שצריכים להמשיך להחזיק AD אפשר לעבוד גם במודל משולב, והמעבר נעשה בהדרגה.
אנחנו עובדים עם Microsoft 365. JumpCloud מתאימה לנו?
כן. JumpCloud משתלבת עם Microsoft 365 ו-Google Workspace, ומתאימה במיוחד לארגונים עם סביבה מעורבת של Windows, macOS ו-Linux, שבהם ניהול של כל המכשירים מכלי אחד חוסך הרבה עבודה.
איך מתמודדים עם עובדים שמשתמשים בכלי AI שלא אושרו?
מתחילים בנראות: מגלים אילו כלים נמצאים בשימוש. אחר כך מאשרים ומחברים ל-SSO את הכלים שעומדים בדרישות, חוסמים את האחרים, ומגדירים מדיניות AI ארגונית שהעובדים מכירים. DLP משלים את התמונה ומונע הדבקה של מידע רגיש לכלים חיצוניים.
כמה זמן לוקחת הטמעה?
זה תלוי בגודל הארגון ובמספר האפליקציות והמכשירים. שלב הפיילוט מתחיל בדרך כלל אחרי מיפוי קצר, וההרחבה לכלל הארגון נעשית בשלבים, כדי שהעבודה השוטפת לא תיפגע.
מה הקשר לתיקון 13 לחוק הגנת הפרטיות?
תיקון 13 ותקנות אבטחת המידע דורשים מהארגון לשלוט במי ניגש למידע אישי, לאמת משתמשים ולתעד את הגישה. ניהול מרכזי של זהויות, הרשאות ומכשירים הוא אחת הדרכים הישירות לעמוד בדרישות האלה ולהראות זאת בביקורת.