תיבת מייל משותפת וחשבונות שירות: הנקודה החלשה בארגון קטן

המאמר הוא מידע כללי בלבד ואינו ייעוץ משפטי או הנחיה מקצועית מותאמת לארגון שלכם.

למה דווקא התיבות שאף אחד לא "מחזיק"

כשחושבים על אבטחת מייל, חושבים על תיבת המנכ"ל או על הנהלת החשבונות. אבל בארגונים קטנים יש תיבות נוספות שקל להזניח: info@, office@, accounting@, support@, וגם חשבונות ישנים של עובדים שעזבו. הן נוחות לתוקף מאותה סיבה שהן נוחות לצוות: הרבה אנשים משתמשים בהן, אין בעלים אחד, ואף אחד לא שם לב כששינוי קטן קורה.

חמש נקודות חלשות נפוצות

1. סיסמה אחת לכמה אנשים

תיבה משותפת עם סיסמה אחת שמוכרת לכולם פירושה שאי אפשר לדעת מי נכנס, אי אפשר להפעיל אימות דו-שלבי אישי בקלות, וכל עובד שעזב עדיין מכיר את הסיסמה. הפתרון הנפוץ הוא תיבה משותפת אמיתית (shared mailbox) בפלטפורמת המייל, שאליה נכנסים עובדים בחשבון האישי שלהם, או קבוצת תפוצה במקום תיבה עם סיסמה.

2. חשבונות של עובדים שעזבו

חשבון שלא נסגר נשאר כניסה אפשרית. כדאי להחליט מה קורה לתיבה כשעובד עוזב: מעבירים תיעוד למי שממשיך, מגדירים הודעה אוטומטית, וסוגרים או מחליפים הרשאות. ראו גם את הסעיף על עזיבת עובדים בהמשך.

3. כללי העברה אוטומטית

כלל שמעביר עותק של כל הודעה לכתובת חיצונית הוא טכניקה מוכרת של תוקף שנכנס לתיבה, כי הוא ממשיך לעבוד גם אחרי החלפת סיסמה. כדאי לבדוק מדי פעם את כללי ההעברה והכללים בכל התיבות, כולל המשותפות. ראו גם מייל נפרץ: מה עושים.

4. חשבונות שירות ללא בעלים

מערכת חשבוניות, מערכת גיבוי או מדפסת סורקת שולחות מייל דרך חשבון ייעודי. לעיתים הסיסמה של החשבון הזה נכתבת פעם אחת ונשכחת, לא מוחלפת, ולפעמים אפילו מוגדרת לא לפוג. כדאי לרשום כל חשבון שירות, לקבוע לו אחראי, ולהגדיר לו הרשאות מינימליות.

5. אפליקציות מחוברות והרשאות

עובדים מאשרים לעיתים אפליקציות שמבקשות גישה לתיבה, ובעלי תפקיד מנהלי מוסיפים הרשאות. אחרי כמה שנים נשארים חיבורים שכבר לא בשימוש. אפשר לבדוק בהגדרות הניהול אילו אפליקציות מחוברות ולהסיר מה שאינו מוכר.

עזיבת עובד: רשימת בדיקה קצרה

(תרחיש לדוגמה, ולא מקרה אמיתי.) עובדת מכירות עוזבת את החברה. ביום האחרון:

1. מנתקים את החשבון מכל ההתחברויות הפעילות ומחליפים סיסמה, או חוסמים כניסה.
2. מעבירים את התיבה, את הקבצים ואת היומן לאחראי.
3. בודקים כללי העברה אוטומטית שהוגדרו בתיבה.
4. מסירים אותה מקבוצות, מתיבות משותפות ומאפליקציות חיצוניות.
5. מחליפים סיסמאות לתיבות משותפות או לחשבונות שירות שהיא הכירה.
6. רושמים בתיעוד מה נעשה ומתי.

כשהרשימה כתובה, אפשר לבצע אותה גם כשהאדם שמכיר את התהליך בחופשה.

מי עושה מה

• בעל העסק או המנהל: מחליט שהנושא חשוב ומגדיר אחראי על רשימת התיבות והחשבונות.
• ה-IT: מנהל את ההרשאות, בודק כללי העברה, מפעיל אימות דו-שלבי ומסיר חשבונות לא פעילים.
• העובדים: לא משתפים סיסמאות, מדווחים כשמשהו נראה שונה בתיבה, ופונים לפני שהם "פותרים" בעיה בעצמם בדרכים עוקפות.

בדיקה שאפשר לעשות השבוע

1. רשמו את כל כתובות המייל המשותפות ואת חשבונות השירות. אם הרשימה קצרה מדי, כנראה שחסר משהו.
2. לכל אחת: מי הבעלים, מי מורשה, ואיך נכנסים.
3. בדקו כללי העברה בכל התיבות.
4. בדקו חשבונות של עובדים שעזבו.
5. הפעילו אימות דו-שלבי בכל מקום שאפשר.

למה זה קשור להדרכה

חלק מהסיכון נובע מהרגלים: לשתף סיסמה "כי זה נוח", להשאיר חשבון ישן "למקרה שנצטרך". הדרכה קצרה שמסבירה למה זה חשוב מועילה לצד ההגדרות הטכניות. ראו גם רשימת בדיקה להגנה על המייל לפי תפקידים.

איך מחליטים אם להשאיר תיבה משותפת

לא כל תיבה משותפת צריכה להיעלם. ברוב המקרים צריך כתובת כמו info@ או support@ שכמה אנשים עונים לה. השאלה היא איך. בדרך כלל עדיפות אפשרויות שבהן כל עובד נכנס בזהות האישית שלו: תיבה משותפת שמוגדרת בפלטפורמה עם הרשאות לאנשים מסוימים, או קבוצת תפוצה שמעבירה לכמה אנשים. כך אפשר לראות מי פעל, להפעיל אימות דו-שלבי אישי, ולהסיר הרשאה בלחיצה כשמישהו עוזב. אם יש מערכת שחייבת סיסמה משותפת, כדאי לתעד זאת כחריג, לשמור אותה במנהל סיסמאות ולהחליף אותה בכל שינוי בצוות.

איך עושים סדר בלי להפסיק עבודה

התחילו בסקירה בלי לשנות דבר: רשימה של כל החשבונות המשותפים והחשבונות של מערכות. רק אחרי שיש רשימה מחליטים מה סוגרים ומה מתקנים. מומלץ להודיע לצוות מראש, כי שינוי סיסמה לתיבה שכולם משתמשים בה עלול לשבור מערכות שהתחברו אליה. ביצוע בשעה שקטה, עם גיבוי של ההגדרות, מקטין הפתעות. ואחרי הסדר, קבעו מועד לבדיקה חוזרת, למשל פעם ברבעון.

שאלות לשאול את ספק ה-IT

• כמה תיבות משותפות וחשבונות שירות יש לנו, ומי הבעלים של כל אחד?
• איך מתבצעת עזיבת עובד, ומי מאשר שהכול נסגר?
• האם יש כללי העברה אוטומטית לכתובות חיצוניות בשום תיבה?
• אילו אפליקציות מחוברות לתיבות שלנו?
• מי מקבל התראה על כניסה חריגה?