הסיסמה של רשת ה-Wi-Fi במשרד נכתבה פעם על פתק ליד מכונת הקפה, נשלחה לספק חיצוני בוואטסאפ או נשמרה במכשיר של עובד שכבר עזב? זהו תרחיש שכיח הרבה יותר מכפי שנדמה. כששואלים איך לאבטח רשת אלחוטית משרדית, השאלה אינה רק טכנית. מדובר בהגנה על קבצי לקוחות, דוא"ל עסקי, מערכות כספים, שיחות טלפון בענן והיכולת של העובדים לעבוד בלי הפרעות.
רשת אלחוטית לא מאובטחת היא דלת כניסה אפשרית לארגון. תוקף לא חייב לפרוץ לשרת כדי לגרום נזק: לעיתים די בהתחברות לרשת אורחים שמחוברת בטעות למשאבים פנימיים, בניחוש סיסמה חלשה או בנקודת גישה ישנה שלא עודכנה. עבור משרד של 10, 25 או 45 עובדים, השבתה של כמה שעות עלולה להפוך במהירות לאובדן הכנסות, פגיעה בשירות ובאמון הלקוחות.
איך לאבטח רשת אלחוטית משרדית מהבסיס
אבטחת Wi-Fi טובה מתחילה בתכנון, לא בקניית ציוד יקר. המטרה היא פשוטה: כל אדם וכל מכשיר יקבלו רק את הגישה הנדרשת להם, ורק למשך הזמן הנדרש. כך מצמצמים את שטח התקיפה בלי להפוך את חוויית העבודה למסורבלת.
מתחילים במיפוי של המשתמשים והמכשירים
לפני שמשנים סיסמאות או הגדרות, כדאי להבין מה באמת מחובר לרשת. ברוב המשרדים קיימים מחשבים ניידים, טלפונים ניידים, מדפסות, מצלמות, מערכות חדרי ישיבות, שעוני נוכחות ולעיתים גם ציוד של ספקים חיצוניים. חלק מהמכשירים הללו אינם מנוהלים באופן קבוע, וחלקם משתמשים בתוכנה ישנה או בסיסמאות ברירת מחדל.
מיפוי מסודר מאפשר לזהות מכשירים לא מוכרים, חיבורים מיותרים ונקודות תורפה. הוא גם מונע מצב שבו עדכון אבטחה מנתק בטעות מדפסת חיונית או מערכת טלפוניה. בארגון מנוהל, הרשימה הזו צריכה להישאר מעודכנת כחלק מהתפעול השוטף ולא להישלף רק לאחר אירוע.
מפרידים בין רשת העובדים, האורחים והציוד
אחת הטעויות הנפוצות היא להשתמש באותה רשת לכל צורך: עובדים, אורחים, יועצים, טלפונים אישיים ומכשירי משרד. אם אורח מתחבר לאותה רשת שבה נמצאים שרת קבצים או מחשבי הנהלת החשבונות, כל תקלה במכשיר שלו עלולה להגדיל את החשיפה של העסק.
הפתרון הוא הפרדה לרשתות נפרדות, המכונה לעיתים הפרדת מקטעים. רשת העובדים מיועדת למחשבים ולמכשירים מנוהלים. רשת האורחים מספקת גישה לאינטרנט בלבד, בלי גישה לקבצים, למדפסות או למערכות פנימיות. ציוד כמו מצלמות, מדפסות חכמות ומערכות חדר ישיבות יכול לקבל רשת ייעודית עם הרשאות מצומצמות.
לא מספיק לתת לכל רשת שם אחר. ההפרדה צריכה להתבצע גם ברמת ההרשאות והחוקים בין המקטעים. אחרת, מדובר בעיקר בתחושת ביטחון ולא במחסום אמיתי.
בוחרים הצפנה מודרנית ומבטלים הגדרות חלשות
הצפנת WPA3 היא הבחירה המועדפת בציוד שתומך בה. כאשר יש מכשירים ישנים שלא תומכים בתקן זה, אפשר להגדיר תאימות מבוקרת ל-WPA2, אך לא להשתמש בפרוטוקולים מיושנים כגון WEP או WPA ישן. תקנים אלה ניתנים לפריצה בקלות יחסית ואינם מתאימים לרשת עסקית.
גם סיסמה ארוכה אינה מספיקה אם היא משותפת לכולם במשך שנים. ברשתות קטנות אפשר להשתמש בסיסמה ייחודית וחזקה, הנשמרת במנהל סיסמאות ומוחלפת בעת הצורך. ברשתות שבהן יש תחלופת עובדים, גישה של קבלנים או מידע רגיש במיוחד, עדיף לעבור להזדהות אישית לכל משתמש באמצעות WPA2 או WPA3 Enterprise. כך ניתן לבטל לעובד שעזב את הגישה שלו בלבד, בלי להחליף סיסמה בכל המחשבים במשרד.
יש כאן גם שיקול תפעולי. הזדהות אישית דורשת תכנון ולעיתים שרת או שירות זהויות מתאים, אך היא מעניקה שליטה טובה בהרבה. לעסק שמחזיק מידע רפואי, פיננסי, משפטי או מידע אישי של לקוחות, זו בדרך כלל השקעה מוצדקת.
ההגדרות שאסור להשאיר כברירת מחדל
נתב או נקודת גישה שמותקנים במהירות יכולים לעבוד היטב ביום הראשון, אבל להיות חשופים מאוד חודש לאחר מכן. שם המשתמש והסיסמה לממשק הניהול חייבים להיות ייחודיים וחזקים, ולא סיסמת היצרן. ממשק הניהול עצמו לא צריך להיות נגיש מהאינטרנט, אלא אם קיימת סיבה תפעולית ברורה והגישה מוגנת באמצעי הזדהות נוספים.
יש לבטל ניהול מרחוק שאינו נדרש, לכבות חיבור אוטומטי באמצעות WPS ולהימנע מהצגת פרטי הרשת לעובדים או אורחים ללא צורך. הסתרת שם הרשת אינה אמצעי אבטחה משמעותי בפני עצמו, אך שימוש בשם שאינו חושף את שם החברה או את סוג הציוד יכול לצמצם מידע מיותר שמוצג החוצה.
חשוב גם לעדכן את קושחת הנתבים ונקודות הגישה. עדכונים אלה מתקנים לעיתים חולשות אבטחה קריטיות. הבעיה היא שעדכון לא מתוכנן באמצע יום עבודה עלול לגרום לניתוק זמני, ולכן נכון לבצע אותו בחלון תחזוקה, לאחר גיבוי ההגדרות ובדיקת תקינות.
אבטחת רשת אלחוטית משרדית היא גם אבטחת משתמשים
מערכת Wi-Fi מאובטחת לא תגן על ארגון אם עובד מוסר סיסמה בדף התחברות מזויף או מחבר לרשת מחשב אישי לא מוגן. לכן, מדיניות שימוש פשוטה וברורה חשובה לא פחות מהציוד.
עובדים צריכים לדעת לאיזו רשת מתחברים, מתי להשתמש ברשת האורחים, ולמי פונים במקרה של הודעה חשודה או בעיית התחברות. אין צורך להפוך כל עובד לאיש סייבר. הדרכה קצרה ומעשית, שחוזרת מדי פעם, תורמת הרבה יותר ממסמך נהלים ארוך שאיש אינו קורא.
עבודה היברידית מוסיפה שכבה נוספת. מחשב נייד שעובד מהבית, מבית קפה וממשרד הלקוח צריך להיות מוגן גם מחוץ לרשת הארגונית: הצפנת דיסק, עדכוני אבטחה, הגנת נקודות קצה והזדהות רב-שלבית לשירותי הענן. במקרים מסוימים נדרש גם חיבור מאובטח למערכות פנימיות באמצעות רשת פרטית וירטואלית או פתרון גישה מודרני. הבחירה תלויה בסוג המידע ובאופן העבודה של הצוות.
לא מסתפקים בהתקנה – מנטרים ומגיבים
אבטחת רשת היא תהליך מתמשך. גם תשתית שהוגדרה נכון יכולה להשתנות כאשר מצטרפים עובדים, מחליפים ספק אינטרנט, מוסיפים מצלמות או עוברים משרד. בלי ניטור, תקלות וחיבורים חריגים מתגלים בדרך כלל רק כשהעובדים כבר לא מצליחים לעבוד.
ניטור מקצועי מאפשר לזהות עומסים חריגים, ניסיונות התחברות כושלים, נקודות גישה לא מוכרות ושינויים בהגדרות. לצד זאת, יש לשמור תיעוד של הגישה הניהולית, לבחון הרשאות באופן תקופתי ולוודא שעובדים שעזבו או ספקים שסיימו פרויקט אינם נשארים עם גישה פעילה.
בארגון קטן, לא בהכרח יש מנהל IT פנימי שיבצע את כל הפעולות האלה. זה בדיוק המקום שבו שירות IT מנוהל מסיר עומס מההנהלה: הצוות החיצוני בודק, מעדכן, מתעד ומטפל באירועים לפי SLA מוגדר, במקום להמתין לתקלה שתשבית את העבודה.
בדיקת מצב מעשית לרשת שלכם
אם אינכם יודעים בוודאות מי מחובר לרשת, איזו הצפנה פעילה, מתי בוצע עדכון אחרון או האם רשת האורחים מופרדת באמת – כדאי לבצע בדיקה מסודרת. סדר הפעולות הנכון הוא:
- לזהות את כל נקודות הגישה, הנתבים והמכשירים המחוברים.
- לבחון את ההצפנה, הסיסמאות, חשבונות הניהול והעדכונים.
- להפריד בין עובדים, אורחים, ציוד חכם וספקים חיצוניים.
- להגדיר הרשאות אישיות והסרה מסודרת של גישה בעת עזיבת עובד.
- לקבוע ניטור, גיבוי הגדרות ותהליך תגובה לתקלה או לחשד לאירוע סייבר.
אין פתרון אחד שמתאים לכל עסק. משרד עורכי דין עם מאגרי לקוחות, סוכנות ביטוח עם מסמכים אישיים וחברת שיווק שעובדת בעיקר בענן זקוקים לרמות שונות של הפרדה, בקרה וניהול. אבל בכל אחד מהמקרים, רשת אלחוטית צריכה להיחשב חלק מתשתית אבטחת המידע, ולא שירות נוחות שמתקינים ושוכחים.
הגישה הנכונה היא להפוך את ה-Wi-Fi לרכיב מנוהל עם בעלות ברורה, תיעוד ובקרה. כאשר יש צוות שמקבל התראות, מטפל בעדכונים ובודק הרשאות לאורך זמן, העובדים פשוט מתחברים ועובדים – וההנהלה יכולה להתמקד בעסק במקום לנחש אם הרשת הבאה שתיפול היא גם זו שתחשוף מידע.
רוצים להתקדם? קראו עוד על הקמת תשתיות IT ורשתות או הזמינו בדיקת IT חינם מצוות Cloud360.