"איזה MDM הכי טוב?" היא שאלה שאין לה תשובה אחת. הפתרון הנכון תלוי במחשבים שיש בארגון, במערכת הזהויות שכבר קיימת, בגודל צוות ה-IT ובדרישות הרגולציה. ארגון של 40 עובדים על Mac ו-Google Workspace צריך משהו אחר לגמרי מארגון של 300 עובדים על Windows ו-Microsoft 365.
במדריך הזה נעבור על מה פתרון ניהול מכשירים צריך לעשות, נשווה בין חמשת הפתרונות הנפוצים, ונראה איך כל אחד מהם עוזר לעמוד בדרישות ISO 27001, SOC 2 ותיקון 13 לחוק הגנת הפרטיות.
בקצרה
- Microsoft Intune מתאים לארגונים שעובדים בעיקר עם Windows ו-Microsoft 365. בחבילות רבות הוא כבר כלול ברישיון.
- Jamf מתאים לארגונים שמבוססים על Apple ורוצים שליטה עמוקה ב-Mac, ב-iPhone וב-iPad.
- Iru (לשעבר Kandji) מתאים לארגוני Apple שרוצים אוטומציה מהירה ותבניות ציות מוכנות.
- JumpCloud מתאים לסביבות מעורבות של Windows, Mac ו-Linux, כשרוצים זהויות ומכשירים בפלטפורמה אחת ובלי תלות ב-Microsoft או ב-Google.
- Google Endpoint Management מתאים לארגונים קטנים על Google Workspace שצריכים בעיקר שליטה בטלפונים ובגישה למידע.
מה פתרון ניהול מכשירים צריך לעשות?
MDM, או בשמו המודרני UEM (Unified Endpoint Management), הוא המערכת שמנהלת את המחשבים והטלפונים של הארגון ממקום אחד. בבסיס, הוא צריך לכסות שמונה יכולות:
- מלאי מכשירים: רשימה מעודכנת של כל המכשירים, למי הם שייכים ובאיזה מצב הם.
- הקמה אוטומטית (Zero-Touch): מחשב חדש נשלח ישירות לעובד ומוגדר אוטומטית בהפעלה הראשונה.
- מדיניות אבטחה: סיסמה, נעילת מסך, חומת אש, וחסימת התקנים והגדרות.
- הצפנת דיסק: הפעלה ואכיפה, ושמירת מפתחות השחזור במקום מאובטח.
- עדכונים: עדכוני מערכת הפעלה ותוכנות במועדים קבועים, עם דיווח על מכשירים שלא התעדכנו.
- ניהול אפליקציות: התקנת תוכנות מאושרות והסרת תוכנות אסורות.
- נעילה ומחיקה מרחוק: כשמחשב אובד, נגנב או כשעובד עוזב.
- ציות ודיווח: אילו מכשירים עומדים במדיניות, והעברת המידע הזה למערכת הזהויות כתנאי לגישה (Conditional Access).
היכולת האחרונה היא החשובה ביותר היום: MDM שלא מחובר להחלטות הגישה הוא רק כלי ניהול. MDM שמחובר לזהות הוא שכבת אבטחה. הרחבה על כך במאמר ניהול זהויות ומכשירים בעידן ה-AI.
קודם כל: מה הארגון צריך?
לפני שמשווים מוצרים, עונים על חמש שאלות:
| שאלה | למה זה חשוב |
|---|---|
| אילו מערכות הפעלה יש בארגון, ובאיזה יחס? | זה המסנן הראשון. פתרון של Apple בלבד לא ינהל מחשבי Windows. |
| איפה יושבת הזהות של העובדים? | Entra ID (Microsoft), Google Workspace, JumpCloud או Active Directory מקומי. החיבור בין המכשיר לזהות קובע את איכות ה-Conditional Access. |
| מה כבר כלול ברישיונות? | Intune כלול למשל ב-Microsoft 365 Business Premium וב-E3/E5. ייתכן שכבר שילמתם עליו. |
| מי ינהל את המערכת? | איש IT אחד, צוות פנימי או ספק מנוהל. יש פתרונות שדורשים יותר מומחיות מאחרים. |
| אילו דרישות ציות יש? | ISO 27001, SOC 2, תיקון 13 או דרישות של לקוחות. הן קובעות איזה דיווח ותיעוד צריך. |
השוואה בין הפתרונות
| Intune | Jamf | Iru | JumpCloud | ||
|---|---|---|---|---|---|
| הכי חזק ב- | Windows | Apple | Apple | סביבה מעורבת | טלפונים ו-ChromeOS |
| Windows | מלא | לא | בדקו תמיכה עדכנית | כן | בסיסי |
| macOS | כן | מלא ועמוק | מלא | כן | בסיסי |
| Linux | מוגבל | לא | לא | כן | לא |
| iOS ו-Android | כן | iOS בלבד | iOS בלבד | כן | כן |
| ניהול זהויות | דרך Entra ID | חיבור לספק זהויות חיצוני | בהרחבה, לפי הפלטפורמה | מובנה: ספרייה, SSO, MFA | דרך Google Workspace |
| Conditional Access | חזק, עם Entra ID | דרך שילוב עם Entra או Okta | דרך שילוב | מובנה | Context-Aware Access במהדורות מתקדמות |
| מתאים במיוחד ל- | ארגוני Microsoft 365 | ארגוני Apple בינוניים וגדולים | ארגוני Apple שרוצים אוטומציה | ארגונים מעורבים, בלי AD | עסקים קטנים על Workspace |
היכולות משתנות בין מהדורות ורישיונות, והספקים מוסיפים יכולות בקצב מהיר. לפני החלטה כדאי לאמת מול הגרסה העדכנית ומול הרישיון שאתם מתכוונים לרכוש.
Microsoft Intune
הבחירה הטבעית לארגון שעובד על Windows ו-Microsoft 365. Intune משתלב עם Entra ID, עם Microsoft Defender ועם Windows Autopilot להקמה אוטומטית של מחשבים, ומאפשר Conditional Access חזק במיוחד: מכשיר שלא עומד במדיניות לא נכנס ל-Outlook, ל-Teams או ל-SharePoint.
לשים לב: ניהול Mac אפשרי, אבל פחות עמוק מפתרונות ייעודיים ל-Apple. Linux נתמך באופן מוגבל. הממשק מורכב, והגדרה לא נכונה עלולה לנעול משתמשים או להשאיר פרצות. למידע נוסף ראו את עמוד Microsoft 365.
Jamf
הפתרון הוותיק והעמוק ביותר לניהול Apple. Jamf מקבל תמיכה ביכולות חדשות של Apple מהר, מציע שליטה מפורטת ב-macOS, iOS ו-iPadOS, ומשלים את התמונה עם כלים לאבטחת Mac ולהתחברות עם זהות ארגונית.
לשים לב: Apple בלבד. ארגון עם מחשבי Windows יצטרך פתרון נוסף, ומי שמנהל את Jamf צריך ידע מעמיק בסביבת Apple.
Iru (לשעבר Kandji)
Kandji, שנודעה בממשק הפשוט ובאוטומציה שלה לניהול Apple, מיתגה את עצמה מחדש כ-Iru והרחיבה את הפלטפורמה גם לזהויות וציות. החוזקות: הקמה מהירה, תבניות מדיניות מוכנות, ומיפוי הגדרות לבנצ'מרקים של אבטחה כמו CIS.
לשים לב: הבסיס הוא עדיין Apple. התמיכה במערכות הפעלה נוספות ויכולות הזהויות מתפתחות, ולכן חשוב לבדוק מה זמין בפועל ברישיון שלכם.
JumpCloud
JumpCloud משלבת ספריית משתמשים בענן, SSO, MFA וניהול מכשירים לכל מערכות ההפעלה: Windows, macOS, Linux, iOS ו-Android. היא מתאימה במיוחד לארגונים שרוצים להיפרד מ-Active Directory מקומי, לארגונים עם סביבה מעורבת, ולארגונים שלא רוצים להיות תלויים ב-Microsoft או ב-Google לניהול הזהויות.
לשים לב: בסביבה שהיא כולה Windows ו-Microsoft 365, Intune עם Entra ID עשוי להיות פשוט וזול יותר. ניהול Apple ב-JumpCloud טוב, אבל ארגון שמבוסס כולו על Apple עשוי להעדיף פתרון ייעודי. ELPC היא שותף GOLD של JumpCloud בישראל. פרטים נוספים בעמוד JumpCloud.
Google Endpoint Management
כלול ב-Google Workspace ומנוהל מאותה קונסולה. מספק שליטה טובה בטלפונים (Android ו-iOS) ובגישה למידע של Workspace, ושליטה מלאה ב-ChromeOS דרך Chrome Enterprise.
לשים לב: ניהול מחשבי Windows ו-Mac בסיסי יחסית ותלוי במהדורת Workspace. לארגון שצריך הצפנה מנוהלת, עדכונים ותוכנות במחשבים, זה בדרך כלל לא מספיק לבד, ונהוג לשלב אותו עם פתרון נוסף.
התאמה ל-ISO 27001, SOC 2 ותיקון 13
אף כלי לא "נותן" ציות. הכלי מאפשר ליישם בקרות ולהציג ראיות. מה שקובע בביקורת הוא שהמדיניות הוגדרה, נאכפת ומתועדת. כך הדרישות מתורגמות ליכולות MDM:
| דרישה | ISO 27001:2022 | SOC 2 | תיקון 13 ותקנות אבטחת המידע | יכולת MDM |
|---|---|---|---|---|
| מלאי נכסים | 5.9 מלאי מידע ונכסים | CC6.1 | מיפוי מערכות ומאגרים | מלאי מכשירים אוטומטי |
| אבטחת תחנות קצה | 8.1 התקני קצה של משתמשים | CC6.1, CC6.8 | אבטחת מערכות והתקנים ניידים | מדיניות, נעילה, חסימת התקנים |
| הצפנה | 8.24 שימוש בקריפטוגרפיה | CC6.1, CC6.7 | הגנה על מידע במכשירים ניידים | אכיפת הצפנת דיסק ושמירת מפתחות |
| עדכונים ופגיעויות | 8.8 ניהול פגיעויות טכניות | CC7.1 | עדכון ותחזוקת מערכות | ניהול עדכונים ודיווח |
| תצורה מאובטחת | 8.9 ניהול תצורה | CC7.1, CC8.1 | הקשחת מערכות | תבניות מדיניות ובנצ'מרקים |
| הגנה מנוזקות | 8.7 הגנה מפני נוזקות | CC6.8 | הגנה מפני תוכנות זדוניות | פריסה ובדיקה של EDR |
| בקרת גישה | 5.15-5.18, 8.5 | CC6.1-CC6.3 | בקרת גישה, הרשאות ואימות | Conditional Access לפי מצב המכשיר |
| עבודה מרחוק | 6.7 עבודה מרחוק | CC6.6 | גישה מרחוק מאובטחת | אכיפת מדיניות מחוץ למשרד |
| עזיבת עובד | 5.11 החזרת נכסים, 5.18 | CC6.2, CC6.3 | ביטול הרשאות | נעילה ומחיקה מרחוק |
טיפ לביקורת: שמרו דוחות תקופתיים מה-MDM, כמו אחוז מכשירים מוצפנים, מכשירים לא מעודכנים וחריגות שטופלו. מבקרי ISO 27001 ו-SOC 2 מחפשים ראיות לאורך זמן, לא צילום מסך מיום הביקורת.
אז מה לבחור?
- רוב המחשבים Windows, והזהות ב-Microsoft 365: Intune. אם יש כמה מחשבי Mac, אפשר לנהל אותם ב-Intune או להוסיף פתרון Apple ייעודי.
- רוב המחשבים Mac: Jamf לשליטה מעמיקה, או Iru לאוטומציה מהירה ותבניות ציות, יחד עם ספק זהויות.
- סביבה מעורבת של Windows, Mac ו-Linux, או מעבר מ-Active Directory: JumpCloud, עם זהויות ומכשירים בפלטפורמה אחת.
- עסק קטן על Google Workspace, בעיקר טלפונים וגישה למידע: Google Endpoint Management, ולהוסיף פתרון למחשבים כשהדרישות גדלות.
ולפעמים התשובה היא שילוב, למשל Intune ל-Windows ו-Jamf ל-Mac, עם ספק זהויות אחד מעליהם. העיקר שתהיה תמונה אחת של מצב המכשירים, ושההחלטות על גישה יתקבלו לפיה.
איך ELPC עוזרת לבחור ולהטמיע?
- אפיון ניטרלי: ממפים מערכות הפעלה, זהויות, רישיונות קיימים ודרישות ציות, וממליצים על הפתרון שמתאים, כולל מה כבר כלול ברישיונות שלכם.
- הטמעה מדורגת: פיילוט, מדיניות, הצפנה, עדכונים ו-Conditional Access, בלי להשבית את העבודה. ראו גם ניהול והקמת MDM.
- ניסיון בכמה פלטפורמות: Intune, JumpCloud וניהול Apple, ושילובים ביניהם.
- מוכנים לביקורת: מיפוי בקרות ISO 27001, SOC 2 ותיקון 13, ודוחות ראיות שוטפים.
- ניהול שוטף: כחלק משירותי IT מנוהלים, כולל קליטה ועזיבה של עובדים ומעקב אחר ציות המכשירים.
וובינר ELPC × JumpCloud: זהות, מכשירים ו-AI. ב-30.11.2026 בשעה 10:00 נראה בהדגמה חיה משתמש, מכשיר, אפליקציות ומדיניות גישה בתרחיש אחד. ההשתתפות ללא עלות. להרשמה לוובינר ←
שאלות נפוצות
מה ההבדל בין MDM ל-UEM?
MDM התחיל כניהול טלפונים ניידים. UEM (Unified Endpoint Management) הוא ניהול של כל סוגי המכשירים, כולל מחשבים, ממקום אחד. היום רוב הפתרונות הם בפועל UEM, והמונחים משמשים לעיתים קרובות כמילים נרדפות.
Intune כבר כלול ברישיון Microsoft 365 שלנו?
תלוי ברישיון. Intune כלול למשל ב-Microsoft 365 Business Premium וב-E3/E5, אבל לא בחבילות הבסיסיות. כדאי לבדוק את הרישיונות לפני שרוכשים פתרון נוסף.
יש לנו גם Mac וגם Windows. צריך שני פתרונות?
לא בהכרח. Intune ו-JumpCloud מנהלים את שתי מערכות ההפעלה. ארגונים עם הרבה מחשבי Mac ודרישות מתקדמות בוחרים לפעמים בשילוב של פתרון Apple ייעודי לצד פתרון ל-Windows, עם ספק זהויות אחד.
האם MDM מספיק כדי לעבור ביקורת ISO 27001 או SOC 2?
לא לבד. MDM מכסה בקרות חשובות של תחנות קצה, הצפנה, עדכונים ותצורה, אבל הביקורת בודקת גם מדיניות, ניהול סיכונים, הדרכות, ניהול ספקים ותהליכים. ה-MDM הוא מקור מצוין לראיות עבור הבקרות שהוא מכסה.
מה עם מכשירים פרטיים של עובדים (BYOD)?
בטלפונים פרטיים נהוג לנהל רק את האפליקציות והמידע של הארגון, בלי גישה למידע הפרטי של העובד. כך שומרים על המידע הארגוני ומכבדים את הפרטיות של העובד, כפי שנדרש גם לפי דיני הגנת הפרטיות.