איך מגינים על המייל של הארגון: רשימת בדיקה לפי תפקידים

המאמר הוא מידע כללי בלבד ואינו ייעוץ משפטי או הנחיה מקצועית מותאמת לארגון שלכם.

למה רשימה לפי תפקידים

מאמרים רבים על אבטחת מייל מפרטים מה צריך לעשות, אך לא מי צריך לעשות. בעסק קטן זה מביא למצב שבו כולם מניחים שמישהו אחר מטפל. הרשימה הבאה מחלקת את הפעולות לפי שלושה תפקידים: בעל העסק או המנהל, ה-IT (פנימי או ספק), והעובדים. אפשר להדפיס אותה ולסמן.

בעל העסק או המנהל

הוא אינו חייב להבין את הפרטים הטכניים, אבל הוא מחליט שהנושא חשוב.

• למנות אחראי. מי מקבל דיווח, ומי מוסמך לפעול כשיש אירוע.
• לדרוש אימות דו-שלבי לכולם, כולל ההנהלה. חריגים להנהלה הם נקודה חלשה.
• לקבוע נוהל תשלומים: שינוי פרטי תשלום או העברה חריגה מאומתים בטלפון למספר מוכר. התחזות למנהל.
• להקצות זמן להדרכה.
• לבקש מה-IT דוח קצר על מצב ההגדרות פעם בחצי שנה.
• לדעת למי פונים בשעת אירוע, כולל ייעוץ משפטי במקרה שנחשף מידע אישי.

ה-IT (פנימי או ספק)

• אימות דו-שלבי בכל התיבות ובמערכות המחוברות. עדיף שיטה עמידה מקוד בהודעת טקסט, אם הפלטפורמה תומכת.
• SPF: רשומה אחת, כוללת את כל השולחים, ומסתיימת במדיניות מתאימה.
• DKIM: מוגדר לכל שירות ששולח בשם הדומיין.
• DMARC: להתחיל במעקב עם כתובת לדוחות, לקרוא את הדוחות, לטפל בשולחים לגיטימיים שנכשלים, ולהדק בהדרגה ל-quarantine ו-reject. המדריך המלא.
• כללי העברה: לחסום העברה אוטומטית לכתובות חיצוניות כברירת מחדל, או לנטר אותה, ולבדוק כללי תיבה קיימים.
• אפליקציות מחוברות: לבדוק אילו אפליקציות קיבלו גישה לתיבות, ולהגביל אישורים חדשים.
• תיבות משותפות וחשבונות שירות: בלי סיסמה משותפת, עם אחראי לכל אחד. פירוט.
• עזיבת עובדים: נוהל שסוגר חשבון ביום העזיבה.
• סימון הודעות חיצוניות וסינון קבצים מסוכנים, אם המערכת תומכת.
• יומני כניסה והתראות על כניסות חריגות.

העובדים

• סיסמה ייחודית לכל שירות, ועדיף מנהל סיסמאות.
• לא לשתף סיסמה ולא קוד אימות, גם לא עם "תמיכה".
• לעצור לפני שלוחצים: שולח, קישור, דחיפות, בקשה חריגה. מדריך לעובדים.
• לדווח מהר על כל הודעה חשודה, גם אם לא לחצו.
• לנעול מכשירים ולדווח על אובדן.
• לאמת בקשות חריגות בערוץ אחר.

מה הצעד הראשון אם אין זמן לכל הרשימה

אם אפשר לעשות שלושה דברים בלבד: (1) אימות דו-שלבי לכולם, (2) נוהל לאימות שינוי פרטי תשלום בטלפון, (3) בדיקה של הגדרות הדומיין. את השלישי אפשר להתחיל בסריקה החינמית.

מה לא נפתר ברשימה

• פריצה דרך מכשיר נגוע או תוכנה זדונית אינה מכוסה כאן.
• דומיין דומה שנרשם בידי אחר דורש מעקב נפרד.
• גיבוי ושחזור הם נושא נפרד.

הרשימה מכסה את הבסיס של המייל, ואינה בדיקת אבטחה כוללת או אישור עמידה בתקן.

דוגמה לשימוש (תרחיש)

(תרחיש לדוגמה.) בעלים של משרד קטן מדפיס את הרשימה ושולח אותה לספק ה-IT עם בקשה: "תחזרו אליי עם מה סומן ומה לא". שבוע אחר כך הוא מקבל תשובה: אימות דו-שלבי מופעל, אך DMARC בשלב מעקב, וכללי העברה לא נבדקו. מכאן יש לו רשימת משימות, ותאריך לבדיקה הבאה.

ולסיום: הרגל

הגנת מייל אינה פרויקט חד-פעמי. כדאי לחזור על הבדיקה פעמיים בשנה, לעדכן אחרי כל שינוי במערכות, ולהדריך עובדים חדשים. ראו גם פריצה למייל: מה עושים.

שאלות נפוצות בעסקים קטנים

"אנחנו קטנים, למי יש עניין בנו?" הודעות פישינג נשלחות ברחבי הרשת, ולא תמיד לפי גודל. עסק קטן עם גישה לכסף או למידע הוא מטרה סבירה.

"ה-IT שלנו הוא ספק חיצוני, אנחנו לא מבינים." מצוין, ותנו לו את הרשימה. הוא לא צריך שתבינו את הפרטים, אלא שתדעו לשאול ולבקש תשובה.

"זה יפריע לעבודה." אימות דו-שלבי מוסיף שנייה או שתיים לכניסה. הידוק DMARC דורש מעקב אך לא פוגע בעבודה כשעושים אותו בהדרגה.

איך מודדים התקדמות

אין צורך במדדים מורכבים. מספיק לשמור לאורך זמן: אחוז התיבות עם אימות דו-שלבי, מדיניות ה-DMARC הנוכחית, מספר הדיווחים של עובדים, ומועד הבדיקה האחרונה של כללי ההעברה. כשהמספרים משתפרים, זה סימן שהתהליך פועל.