ממשל גישת אורחים ב-Microsoft 365: המדריך המלא

By Mirko Peters · 2026-02-24 · Updated 2026-09-13

ניהול גישת אורחים ל-Microsoft 365 בתוך Teams ו-SharePoint, כולל תהליך קליטה, סקירות גישה, Conditional Access, בקרות מחזור חיים וסיום גישה לאורחים.

Automatically translated with AI from the original post. Read the English original

נודה על האמת: לאזן בין שיתוף פעולה חיצוני לבין אבטחה הדוקה הוא אחד האתגרים הגדולים ביותר בשימוש ב-Microsoft 365 בכל ארגון רציני. גישת אורחים מאפשרת לפתוח את Teams, SharePoint ושאר שירותי ה-M365 לשותפים, לקבלנים וללקוחות, אבל כל דלת פתוחה היא סיכון פוטנציאלי. לכן ממשל גישת אורחים אינו רק רשימת בדיקות, אלא אסטרטגיה מתמשכת.

המדריך הזה מכסה את עיקרי הדברים: מההגדרה של גישת אורחים ב-Microsoft 365, דרך בקרות אבטחה וניהול מחזור חיים, ועד ניקוד סיכונים מתקדם ואוטומציה. אם אתם אחראים על אבטחה, על ציות או על תפעול ה-Microsoft 365, תמצאו כאן עצות מעשיות שיעזרו לכם לשמור על שיתוף פעולה, תוך נעילה הדוקה של הדלתות במקומות שחשוב. בלי מילים מיותרות, רק אסטרטגיות ברורות שיעזרו להגן על המידע ועל המוניטין שלכם, ולהישאר פרודוקטיביים.

1. אפשר להוסיף אורחים ל-Azure AD, והם מופיעים כמו משתמשים רגילים: חשבונות אורח (userType=Guest) קיימים ב-Azure AD ומופיעים ברשימות משתמשים, בחברויות בקבוצות ובסקירות גישה, מה שמשפיע על רישוי ועל הנראות לצורכי ממשל.
2. חשבונות אורח אינם דורשים רישיונות Microsoft 365 כדי לגשת לרוב המשאבים: אורחים יכולים להשתמש במשאבי Teams, SharePoint ו-OneDrive בלי לצרוך רישיונות משתמש מלאים, אם כי יתכן שחלק מהתכונות יהיו מוגבלות.
3. שיתוף פעולה B2B תומך בזהויות חיצוניות שאינן חשבונות Microsoft: אורחים יכולים להתחבר עם זהויות דוא"ל רבות (עבודה, לימודים, Gmail) דרך Azure AD B2B וספקי זהויות מאוחדים.
4. אפשר להחיל על אורחים Conditional Access: ניתן לאכוף MFA, תאימות מכשיר והגבלות מיקום לכניסות של אורחים באמצעות מדיניות Conditional Access, וכך להגביר את האבטחה עבור משתפי פעולה חיצוניים.
5. סקירות גישה יכולות להסיר אורחים לא פעילים באופן אוטומטי: Azure AD Access Reviews יכולות לכלול משתמשי אורח ולהסיר אותם לאחר פרקי זמן הניתנים להגדרה, כדי לצמצם גישה חיצונית מיושנת.
6. הגדרות השיתוף של אורחים מנוהלות בכמה שכבות: הגדרות Azure AD ברמת הדייר, מדיניות שיתוף של SharePoint ו-OneDrive, והגדרות האורחים של Teams פועלות יחד, ועלולות לייצר תוצאות גישה בלתי צפויות אם אינן מיושרות זו לזו.
7. אפשר להגביל גישת אורחים באמצעות תוויות רגישות: תוויות רגישות של Microsoft Information Protection יכולות למנוע שיתוף או להגביל גישה חיצונית, גם כאשר גישת אורחים מופעלת באתר או בצוות.
8. אפשר לאתר אורחים דרך Microsoft Graph: ניתן לשאול ולנהל משתמשי אורח והפעילות שלהם באופן תכנותי, מה שמאפשר לאוטומט משימות ממשל כמו דיווח ותיקון.
9. אורחים בערוץ פרטי של Teams שונים מאורחים בצוות: החברות בערוץ פרטי מוגבלת יותר, ובעבר היתה לה התנהגות נפרדת לאורחים והשלכות ניהוליות שונות בהשוואה לחברות מלאה בצוות.
10. הזמנת אורחים יוצרת מערכות יחסים שיתופיות חיצוניות שנשמרות: כאשר מזמינים אורח, Azure AD יוצר קשר שיתוף פעולה חיצוני ולעיתים מטא-נתונים של דייר הבית, כלומר הזמנה מחדש של אותה כתובת דוא"ל עשויה להשתמש שוב במערכות היחסים וההרשאות הקודמות.

הבנת גישת אורחים בסביבות Microsoft 365

כשפותחים את Microsoft 365 למשתמשים חיצוניים, הפלטפורמה הופכת מיד לגמישה יותר, אך גם למורכבת יותר. גישת אורחים היא הדרך הרשמית לאפשר לאנשים מחוץ לארגון לעבוד על הפרויקטים, המסמכים והשיחות שלכם. בין אם אתם בשיחה מרחוק עם ספק ב-Teams ובין אם אתם משתפים תיקייה ב-SharePoint עם יועץ, גישת אורחים היא מה שמניע את שיתוף הפעולה בין חברות.

אבל עם הגמישות מגיעים סיכונים גדולים עוד יותר. הגדרות שגויות, חשבונות שנשכחו והרשאות אורח מופרזות עלולים להוביל לפרצות אבטחה ולכאבי ראש בתחום הציות. לכן, להבין את המנגנונים הבסיסיים של פעולת גישת האורחים, ואת המקומות שבהם הדברים עלולים להשתבש, הוא חיוני לכל מי שאחראי על ממשל Microsoft 365.

אפשר לראות ש-Microsoft 365 מספקת כלים למעקב אחר משתמשי אורח ולניהולם, אבל התכנון של מסגרת שתתאים לרמת הסיכון ולצרכי שיתוף הפעולה בארגון שלכם הוא באחריותכם. מהרשאות ועד ניהול מחזור החיים, נדרשת גישה שמבטיחה שהכול יישאר מסודר. אם אתם לא בטוחים לגבי הסיכונים הסמויים או לגבי החשיבות של תהליך סיום שימוש מסודר, כדאי לקרוא את הסקירה הזו על הסכנות הסמויות של חשבונות אורח שנשארים פעילים, שממחישה עד כמה ממשל משתמשים חיצוניים חשוב באמת. בהמשך נפרק את היסודות ונראה כיצד גישת אורחים משתלבת בשירותים כמו Teams ו-SharePoint.

יסודות גישת אורחים והרשאות בהסבר

גישת אורחים ב-Microsoft 365 עוסקת באפשרות לשתף פעולה עם אנשים מחוץ לארגון, כמו שותפים, קבלני משנה, ספקים או לקוחות, בתוך סביבת העבודה הדיגיטלית שלכם. ה"אורחים" האלה יכולים להיות מוזמנים להשתמש בשירותים כמו Teams, SharePoint ושאר שירותי Microsoft 365, אך הגישה שלהם מוגבלת יותר מזו של עובדים או חברים מלאים בארגון.

העיקרון פשוט: כשמזמינים אורח, נוצר עבורו חשבון בספריית הארגון. בניגוד לחברים, לחשבונות אורח יש בדרך כלל הרשאות פחותות. הם יכולים להשתתף בצוותים, להצטרף לפגישות, לגשת לקבצים משותפים, לשוחח ולעבוד עם תוכן ששותף איתם במפורש. לעומת זאת, הם לא יכולים, למשל, ליצור צוותים חדשים או לגשת למשאבים פנימיים רגישים, אלא אם כן הרחבתם את ברירות המחדל של הבקרה.

התהליך מתחיל בהזמנה, שנשלחת בדרך כלל על ידי מנהל או על ידי משתמש שקיבל הרשאות מתאימות. האורח המוזמן מאמת את זהותו באמצעות פרטי ההתחברות של החברה שלו או פרטים אישיים, וחלות עליו מדיניות הארגון, החל מתפוגת הגישה ועד אימות רב-שלבי. דבר אחד שכדאי לשים לב אליו: בלי ניהול מחזור חיים הולם, חשבונות אורח עלולים להצטבר ולייצר משטח סיכון לא מסודר. כפי שמפורט בניתוח המעמיק הזה על סיכוני חשבונות אורח, חשבונות שנשארים פעילים אחרי סיום פרויקטים הופכים למוקד לבעיות תאימות ולפרצות אבטחה ממשיות.

תפקידי אורח וחבר שונים מטבעם. לחברים יש הרשאות מלאות שמוגדרות על ידי מדיניות פנימית, ואילו לאורחים גישה מוגבלת בדרך כלל לצוותים, לאתרים או למשאבים שהוקצו להם במפורש. ההרשאות יכולות להיות מדויקות או רחבות, בהתאם להגדרות שקבעתם ברמת הדייר, הקבוצה או האתר. הכלל המנחה? תמיד להגביל משתמשים חיצוניים לגישה המינימלית הנדרשת לתפקידם, ולאכוף סקירות קבועות והרשאות מוגבלות בזמן כדי להפחית את משטח האיום.

איך גישת אורחים משתלבת ב-Teams וב-SharePoint

Microsoft Teams ו-SharePoint הם נקודת המוצא לרוב האינטראקציות של אורחים ב-Microsoft 365. היתרון נובע מהאופן שבו היישומים האלה משתלבים במנגנוני גישת האורחים הרחבים יותר בפלטפורמה. כשמוסיפים אורח לצוות, הוא יכול לפרסם בערוצים, להצטרף לפגישות, לשתף קבצים ולהשתמש בצ'אט, אבל היכולות שלו נעצרות לפני שינוי הגדרות ברמת הארגון או יצירת צוותים עליונים חדשים. כך מבנה הממשל המרכזי שלכם נשמר, ושיתוף הפעולה ממשיך להתקדם.

ב-SharePoint, גישת אורחים פירושה שמשתמש חיצוני יכול לגשת לאתרים, לספריות או לקבצים ולתיקיות מסוימים, אם שיתפתם אותם, ואפילו לעבוד לצד העובדים שלכם. אבל יש כאן אזהרה חשובה: הגמישות של SharePoint היא גם יתרון וגם סיכון. אם לא תהיו זהירים, כפתורי "שיתוף" עלולים להוביל להתפשטות לא מכוונת של קבצים, להרשאות חלשות או לחשיפה חיצונית של מידע שעדיף להגן עליו בצורה מחמירה יותר. זו הסיבה שארגונים רבים נתקעים במעגלים אינסופיים של ממשל, מבלי להרגיש אי פעם שהשליטה מלאה. תופעה זו נידונה בהפרק הזה על אשליית השליטה בממשל של Teams.

והקש האחרון: בכל פעם שמחברים את Teams ו-SharePoint (כיוון ש-Teams יושב על גבי SharePoint לאחסון קבצים), יורשים את מוזרויות הממשל של שתי הפלטפורמות. אורחי Teams מקבלים אוטומטית גישה למסמכי SharePoint שמאחוריהם. אם אתם בונים אפליקציות על גבי רשימות SharePoint עבור המשתמשים האורחים, נהגו בזהירות – כפי שהוסבר כאן, רשימות SharePoint עלולות להפוך לסיוט ממשלי אם משתמשים בהן לפתרונות מורכבים, רגישים או ארוכי טווח. למנהלים יש כלים להגבלת הרשאות אורחים, אבל הכול תלוי באכיפת המדיניות שלכם ובבדיקות שוטפות.

ממשל גישה וגישות תאימות לגישה של משתמשים חיצוניים

אתגרי הממשל לא נעצרים בקליטת האורחים. ברגע שמזמינים גורמים חיצוניים לשתף פעולה ב-Microsoft 365, אתם אחראים לבדיקות תקופתיות, לניטור שוטף ולעמידה בכל רגולציה שרלוונטית לענף שלכם. לכן, אסטרטגיית ממשל גישה ברורה היא החצי השני של המשוואה.

האתגרים המרכזיים? שמירה על התאמה בין הגישה של האורחים לצרכים העסקיים בפועל, מניעת הצטברות הרשאות (privilege creep), והימנעות ממלכודת שבה חשבונות אורחים ישנים מצטברים והופכים לדגלים אדומים בביקורת או לפרצות אבטחה. יש לקשור את תהליכי העבודה התפעוליים – כמו קליטה, סקירות והסרה – באופן הדוק לפעילויות התאימות.

ניהול ההרשאות של משתמשים חיצוניים וביצוע סקירות גישה קבועות הם כיום שיטות עבודה מומלצות, ולא אופציונליות. כשהרגולטורים והמנהלים הבכירים עוקבים מקרוב, עליכם להיות מסוגלים להוכיח בכל רגע מי יש לו גישה למה, מדוע קיבל אותה ומתי היא אמורה לפוג. סטיית מדיניות, הרשאות שנשכחו או אירועי offboarding שהוחמצו עלולים במהרה להוביל לכאבי ראש תאימותיים, במיוחד אם התנהגויות סביב יצירת תוכן או תכונות שמירה אוטומטית מסתירות את המצב האמיתי של הנתונים שלכם. לתובנות על סיכוני תאימות נסתרים ב-Microsoft 365, כדאי לצפות בפרק הפודקאסט הזה על סטיית תאימות, שמראה מדוע צריך למדוד את התנהגות המשתמשים – ולא רק את תוצאות המדיניות – כדי לשמור על ממשל אמין.

הסעיפים הבאים מפרקים תהליכים לסקירות גישה חוזרות, ניהול מחזור חיים מתקדם, ושימוש בניהול זכויות (entitlement management) כמסגרת לאוטומציה ולשליטה במי מקבל גישה למה, לכמה זמן ובאילו תנאים.

בניית תהליכי סקירות גישה וניהול מחזור חיים

1. קביעת סקירות גישה קבועות: הגדירו קצב קבוע (חודשי, רבעוני, או לפי פרויקט/אירוע) לבדיקת אילו אורחים מורשים לגשת לסביבת Microsoft 365 שלכם. השתמשו בתכונות סקירת הגישה המובנות ב-Entra ID כדי להפעיל תזכורות אוטומטיות ולאסוף תשובות מבעלי המשאבים או ממנהלי המערכת.
2. קליטת אורחים עם נימוק והיקף מצומצם: במהלך הקליטה, ודאו שכל הזמנה לאורח מגובה בצורך עסקי ומוגבלת רק למשאבים שהוא זקוק להם – לא יותר ולא פחות. הימנעו ככל האפשר מגישה גורפת או מהרשאות פתוחות.
3. אוטומציה של התראות מחזור חיים ותפוגה: הגדירו מדיניות תפוגה לחשבונות אורחים, והפעילו התראות גם לאורח וגם לספונסר. כשהטיימר מסתיים, חסמו את הגישה או בטלו הקצאתה, אלא אם היא חודשה ידנית, כך מצטמצם הסיכון לחשבונות נשכחים שממשיכים להתקיים.
4. סקירה ופעולה לפי ממצאי סקירות הגישה: לאחר כל סקירה, נתחו את התוצאות ונקטו פעולה מיידית. הסירו או עדכנו הרשאות של אורחים לא פעילים או מיותרים, וודאו שהגישה תואמת את מצב פעילות העסק הנוכחי.
5. תיעוד כל הפעולות לצורך מוכנות לביקורת: השתמשו ב-Microsoft Purview Audit או בכלים מקבילים כדי לתעד סקירות גישה, אישורים, הסרות ואירועי שינוי. כפי שמוסבר במדריך הביקורת על פעילות משתמשים, שמירה על מסלולי ביקורת איכותיים מחזקת הן את התאימות והן את מצב האבטחה כשהרגולטורים דופקים על הדלת.

הפעלת ניהול זכויות (Entitlement Management) למשתמשים חיצוניים

ניהול הרשאות (Entitlement management) ב-Microsoft 365 מאפשר לך לאגד משאבים – כמו Teams, אתרי SharePoint או אפליקציות – לחבילות גישה ולנהל אותם כיחידה אחת. עבור משתמשים חיצוניים זה מייעל את התהליך: אורחים מבקשים חבילה או מקבלים אותה בהקצאה, האישורים מתבצעים באופן אוטומטי או מנותבים לפי הצורך, והגישה שלהם כפופה למדיניות מוגדרת (כמו משך זמן או טריגרים לסקירה). כך אתם יכולים לשלוט ולעקוב בדיוק אחר הנתונים והכלים שכל אורח יכול לגשת אליהם, לצמצם הקצאה ידנית ולהפחית את סיכוני ההרשאות היתרות, תוך שיפור היכולת לביקורת.

Microsoft Entra ID Governance ושיתוף פעולה מאובטח מסוג B2B

כשאתם רוצים לשדרג את גישת האורחים מ"פשוט עובד" ל"מאובטח וניתן להרחבה", Microsoft Entra ID הופך לכלי המרכזי. שירות הזהויות הזה בענן מהווה את הבסיס לאימות של כל המשתמשים והאורחים ב-Microsoft 365, ומאפשר לרכז בקרות, אישורים וניהול סיכונים. ל-Entra יש יכולות ממשל מובנות שעוזרות לכם לקבוע מי נכנס, לשמור על שקיפות לגבי מה שמתרחש ולאכוף כללים ברמת הארגון – בלי ליצור חיכוך מיותר בשיתופי פעולה לגיטימיים.

מדיניות חזקה ב-Entra ID היא הבסיס לשיתוף פעולה B2B (עסק לעסק) בטוח. הפלטפורמה מספקת כלים לא רק למעקב וביקורת, אלא גם להגבלת דליפות מידע, לאוטומציה של תהליכי הקצאת הרשאות ולקביעת גבולות הן לתרחישי אורחים חד-פעמיים והן לתרחישים חוזרים. צריכים להגיב במהירות לאיומים משתנים או למנוע סחף זהויות? המדיניות והאינטגרציות של Entra מאפשרות לכם להסתגל בלי לשבש את פעילות העסק.

כמובן, זהות כמישור הבקרה אינה חסינת טעויות – אם מצטברים חריגים או שמפגרים בסקירות מדיניות, "חוב זהויות" עלול להסתנן וליצור סיכונים בלתי צפויים. לעצות מעשיות לטיפול בסיכוני זהות, ראו הפרק הזה על לולאות אבטחה של גישה מותנית ב-Entra. בהמשך: מבט על האופן שבו Entra מתמודד עם ממשל זהויות באופן ישיר, ואחריו טקטיקות מהשטח לניהול אורחי B2B.

יכולות ממשל זהויות ב-Microsoft Entra

Microsoft Entra ID מספק יכולות ממשל זהויות חזקות הן לחשבונות פנימיים והן לחיצוניים. הוא מאפשר לשלוט בגישה באמצעות מדיניות, תהליכי אישור ולוגיקה מותנית המותאמת לכללי הארגון שלכם. עם Entra אפשר לאכוף אימות מבוסס סיכון, לאוטומט סקירות גישה ולהגדיר שרשראות אישור למשאבים רגישים. כך מובטח שרק המשתמשים הנכונים – כולל אורחים – יקבלו את הגישה הנכונה, כאשר כל בקשה ושינוי נרשמים לצורך מעקב וציות בענן של Microsoft.

שיתוף פעולה B2B וניהול יעיל של משתמשים חיצוניים

שיתוף פעולה B2B יעיל ב-Microsoft 365 מתחיל בהטמעה מבוקרת של אורחים. אפשר להאציל את תהליך ההזמנה לספונסרים פנימיים מהימנים, או לאוטומט אותו על בסיס צרכים עסקיים מתועדים, תוך הקפדה תמידית על בדיקות אבטחה ואישורים. הזמנות מאובטחות נשענות בדרך כלל על Entra B2B, שמאפשר לאורחים להשתמש בפרטי ההזדהות שלהם, ועדיין נמצאים תחת המטריה הרגולטורית שלכם.

ניהול נכון אינו מסתיים בהטמעה. נהלו את גישת האורחים באופן שיטתי: הגבילו תפקידים, קבעו הרשאות מוגבלות בזמן וסקרו את מצב הגישה הנוכחי באופן קבוע. חשוב להימנע מהקצאת יתר – הרבה מדי זכויות עלולות לחשוף את הסביבה שלכם לשימוש לרעה או לפריצות. אוטומציה יכולה לעזור, אבל פיקוח אנושי מבטיח שהאחריות נשארת במקום הנכון.

כשפרויקט מסתיים, יש לבצע הסרת גישה במהירות: לבטל הרשאות, להסיר מקבוצות או מאתרים, ולנקות כל הרשאה ישנה שנותרה. חשבונות שנשארו פעילים יכולים להתחמק מתשומת הלב, ולגרום לפערי ציות וסיכוני אבטחה. למדריך מעמיק לשמירה על שליטה בגישת אורחים, כולל התמודדות עם חשבונות לא פעילים או נשכחים, היכנסו לאסטרטגיות אלה לממשל מתמשך של חשבונות אורחים.

הגנה על גישת אורחים באמצעות גישה מותנית ואכיפת מדיניות

עם משתמשים חיצוניים שמסתובבים בסביבת Microsoft 365 שלכם, אכיפה חזקה של מדיניות היא קו ההגנה הראשון והאחרון. גישה מותנית ואימות רב-שלבי הם עמוד השדרה של בקרות האבטחה המודרניות, ומאפשרים להחיל מדיניות מודעת לסיכון בלי לחסום שיתוף פעולה לגיטימי. הגדרות הגישה בין דיירים מוסיפות שכבה נוספת, וקובעות אילו אורחים נכנסים ובאילו נסיבות.

בחירות המדיניות שלכם קובעות אם אורח יוכל לגשת למידע ממכשירים מסוימים, ממיקומים גיאוגרפיים מסוימים, או רק כאשר מתקיימים אותות סיכון מסוימים. העניין הוא למצוא את האיזון: מספיק הדוק כדי להרחיק איומים, ומספיק גמיש כדי שהעסק ימשיך לפעול בלי חיכוך מתמיד.

אבל היזהרו: המדיניות חייבת להישאר עדכנית. החרגות רחבות מדי, התראות שמתעלמים מהן או "קיצורי דרך" בתאימות יכולים להרוס את כל ההגדרה ולחשוף את הדייר שלכם לאיומים או לדליפות נתונים. לדיון מעשי על המלכודות והפתרונות בגישה מותנית, כדאי לקרוא את הניתוח הזה על בעיות אמון בגישה מותנית. עכשיו, בואו נעבור לעבודה מעשית עם גישה מותנית לאורחים ועם אסטרטגיות לניהול גישה בין דיירים.

יישום גישה מותנית ואימות רב-שלבי לאורחים

• החלת מדיניות גישה מותנית בסיסית: הגדירו כללי ברירת מחדל כך שכל משתמשי האורח יעמדו בדרישות אבטחה בסיסיות, כגון אימות ממכשירים תואמים או מרשתות מאושרות. אל תיפלו במלכודת של החרגות רחבות מדי. אלה הם מקור עיקרי לפערי אבטחה בלתי נראים, כפי שמפורט בניתוח הזה על בעיות אמון בגישה מותנית.
• אכיפת אימות רב-שלבי (MFA): דרשו MFA לכל כניסות האורחים. אורחים צריכים לאשר את זהותם באמצעות גורם שני כאשר הם ניגשים לתוכן או לכלים רגישים. כך מצטמצם הסיכון במקרה שפרטי ההתחברות העיקריים של האורח נפרצו.
• שימוש במסנני מיקום ומכשיר: הגדירו כללי גישה מותנית על בסיס מיקום גיאוגרפי או מצב המכשיר. אורחים שמנסים לגשת ממדינות מסוכנות או ממכשירים לא תואמים יכולים להיחסם או להיאלץ לעבור אימות נוסף.
• הסתמכות על טריגרים מבוססי סיכון: מנוע הסיכון של Microsoft Entra יכול לזהות דפוסי כניסה חשודים (כמו דפדפנים לא מוכרים או נסיעה בלתי אפשרית) ולבקש בדיקות נוספות, או לחסום לחלוטין את הגישה של חשבון האורח.
• ניטור יעילות המדיניות והתאמה: סקרו באופן קבוע את יומני האבטחה, אימותים מוצלחים ואי-מוצלחים, ואת פעילות האורחים בפועל, כדי לוודא שההגדרה של הגישה המותנית שלכם שומרת על איומים מרוחקים, בלי לגרום לכאבי ראש מיותרים למשתמשים חיצוניים לגיטימיים.

ניהול מדיניות גישה בין דיירים ובקרת גישה

מדיניות גישה בין דיירים ב-Microsoft 365 מאפשרת להגדיר כללים מפורטים לאורחים מארגונים או דומיינים מסוימים. בעזרת בקרות אלה תוכלו לקבוע אילו משאבים משתמשים חיצוניים מסוימים יכולים להגיע אליהם, להגביל שיתוף פעולה לצוותים או לפרויקטים מסוימים, ולחסום שיתוף לא מורשה. אכיפה של גישה מדויקת שומרת על הנתונים הרגישים שלכם מוגנים מעיניים לא רצויות, ובו בזמן שומרת על קשרי B2B פרודוקטיביים. מדיניות אלה תומכות בעקרונות הליבה של "Zero Trust by Design", גישה שמוסברת בפרק הזה על Zero Trust ב-Microsoft 365.

ביקורת וניטור גישת אורחים לצורכי אבטחה וציות

ממשל הגישה של אורחים לא מסתיים עם הגדרת המדיניות הראשונית. אבטחה שוטפת וציות לטווח ארוך תלויים במעקב אחר האופן שבו משתמשים חיצוניים מתקשרים עם סביבת Microsoft 365 שלכם. ביקורת פרואקטיבית וניטור קפדני עוזרים לזהות בעיות לפני שהן מתפוצצות, בין אם מדובר בהתנהגות שיתוף מסוכנת, בדפוסי פעילות חשודים, או פשוט באורחים שהגישה שלהם הייתה צריכה להיות מבוטלת מזמן.

הגדרת מסלולי ביקורת מתאימים וסקירות גישה מבוססות זהות היא ההגנה הטובה ביותר שלכם אם משהו משתבש. אתם צריכים לדעת לא רק מי ניגש למה, אלא גם מתי, מאיפה, ובאופן אידיאלי גם מדוע. ניטור מתמשך מאפשר לזהות שימוש חריג או חשבונות לא פעילים שעלולים להוות סיכון לציות או סיכון מצד גורמים מבפנים.

לאפשרויות רישום יומן ההתראות הסטנדרטיות יש את מקומן, אך הן עלולות להיכשל כשמדובר בזיהוי אירועים מורכבים או ספציפיים להקשר. כדי לסגור את הפערים הללו, ביקורת מתקדמת — כמו זו שמאפשר Microsoft Purview — היא הכרח בסביבות גדולות ומפוקחות. להעמקה מעשית בהגדרת ניטור פעילות אפקטיבי, ראו מדריך מקיף זה על שימוש בביקורת של Microsoft Purview. בהמשך נסקור כיצד לעקוב אחר היסטוריית הגישה של אורחים ולהגיב לחשבונות אורחים רדומים או בסיכון גבוה.

שימוש ביומני ביקורת וסקירות גישה למעקב אחר פעילות אורחים

יומני ביקורת ב-Microsoft 365, בתמיכת פלטפורמות כמו Microsoft Purview, מתעדים רשומות מפורטות של מי ניגש למה ומתי, כולל חשבונות אורחים. על ידי הפעלת יומנים אלה וייצוא דוחות באופן קבוע, ניתן לעקוב אחר פעילות אורחים ב-Teams, ב-SharePoint ובשירותים אחרים. סקירות גישה — אוטומטיות או ידניות — משלימות את יומני הביקורת, כשהן מבקשות מבעלי משאבים לאשר או לבטל הרשאות אורח קיימות, ובכך תומכות גם בתהליכי תאימות וגם בחקירות פורנזיות. להתחלה עם הנחיות ביקורת מדורגות, ראו המאמר הזה על ביקורת פעילות עם Microsoft Purview.

זיהוי משתמשים לא פעילים וסיכוני דליפת מידע

חשבונות אורח לא פעילים הם יעד מועדף לשימוש לרעה או לדליפת מידע. באמצעות הדוחות המובנים לפעילות ופתרונות הניטור של Microsoft 365, ניתן לסמן חשבונות שלא התחברו או לא אינטראקטיבו עם משאבים במשך תקופה מוגדרת. בנוסף, כלי ניטור איומים מסייעים לזהות דפוסי הורדה או שיתוף חריגים שעשויים להעיד על ניסיונות להוצאת מידע החוצה. מדיניות אוטומטית יכולה לאחר מכן להשבית או להסיר חשבונות רדומים, ולהבטיח שזכויות הגישה החיצונית נשארות מבוקרות בהדוק — צעדים שחיוניים גם לאבטחת פלטפורמות כמו Dataverse, כפי שמתואר במדריך זה למניעת דליפות חיצוניות ב-Dataverse.

העלאת ממשל גישת אורחים לרמה הבאה: ניקוד סיכונים ואוטומציה

אם יש לכם עשרות — ואף מאות — משתפי פעולה חיצוניים, ממשל ידני פשוט לא יספיק. אסטרטגיות מתקדמות כמו ניקוד סיכונים ואוטומציה הן הכרטיס שלכם להרחבת אכיפת המדיניות והפחתת שגיאות אנוש בסביבות מפוזרות ורב-דיירים. הטכניקות הללו חורגות מבקרת גישה סטטית, ומאפשרות לסביבה להגיב באופן דינמי לגורמי סיכון אמיתיים ולשינויים עסקיים.

ממשל אורחים מבוסס סיכון מתחיל בניתוח התנהגות המשתמשים ובסיווג הפעילויות לפי רגישות. אוטומציה, המופעלת על ידי כלים כמו Azure Logic Apps, לוקחת על עצמה את המשימות החוזרות — הפעלת סקירות גישה, שליחת התראות וייעול תהליכי הצטרפות ועזיבה. יחד, גישות אלה עוזרות לשמור על גישה המותאמת במדויק לצרכים העסקיים ולעקרונות האבטחה המומלצים, בלי להאט את הצוותים או להעמיס על מנהלים בסקירות מייגעות.

ארגונים רבים נתקעים בלוחות מחוונים או בדיווח אחיד לכולם, מבלי להתפתח באמת מבחינת בשלות הממשל. כדי להימנע מהמלכודת הזו — ולהשיג שליטה עמידה וסקלבילית על גישת אורחים — כדאי לשקול מסגרות וטכנולוגיות שנבנו לסביבות דינמיות ומונעות סיכון. לפרספקטיבה קדימה על ממשל בקנה מידה גדול (כולל הסיכונים של סוכני AI שאינם מנוהלים והחשיבות של מישור בקרה יציב), כדאי לצפות בפרק זה על אתגרי ממשל של סוכני AI.

יישום ניקוד סיכוני גישת אורחים ופרופיילינג התנהגותי

• ניתוח תדירות פעילות: עקבו אחר התדירות שבה משתמש אורח מתחבר ומתקשר עם תוכן משותף — הופעות נדירות או זינוקים פתאומיים עשויים להצדיק סקירה צמודה יותר.
• הערכת רגישות המידע: מפו את הרשאות האורחים לפי סיווג המידע שאליו ניגשים (למשל ציבורי, פנימי, סודי) כדי לאכוף עקרונות של הרשאות מינימליות.
• ניטור הפרות מדיניות: השתמשו בניתוח התנהגותי כדי לזהות ולנקד סימנים להתנהגות אורח מסוכנת, כגון הורדות מוגזמות, כניסות כושלות או ניסיונות לעקוף בקרות.
• עדכון פרופילי סיכון באופן דינמי: ציוני הסיכון של אורחים צריכים להתעדכן כשהפעילות או צורכי הגישה משתנים, כך שתוכלו להחיל בקרות הדוקות יותר או להפעיל סקירות ממוקדות בעת הצורך.

אוטומציה של סקירות גישה וממשל באמצעות Azure Logic Apps

1. הפעלת סקירות גישה אוטומטיות: בנו תהליכי עבודה ב-Azure Logic Apps שמתזמנים ומתריעים לבעלי המשאבים על סקירות גישה של אורחים, על בסיס משך ההיכרות, חוסר פעילות או סיכון מוגבר. טריגרים דינמיים פירושם שאתם סוקרים גישה כשזה חשוב באמת, ולא רק לפי לוח השנה.
2. ייעול תהליכי הצטרפות ועזיבה: חברו את Logic Apps לפלטפורמת הזהויות שלכם כדי לטפל בהזמנות אורחים חדשות, לנתב אישורים ולבצע הסרה אוטומטית כאשר חבילות גישה פגות תוקף או כאשר חוצים סף סיכון.
3. שילוב התרעות ותגובה לאירועים: הגדירו תהליכי עבודה ששולחים התרעות בזמן אמת לאבטחת IT כאשר מזוהה פעילות חשודה של אורחים, כגון כניסות כושלות חוזרות או ניסיונות לגשת למידע רגיש, כך שתגובה לאיומים תהיה מהירה יותר.
4. אוטומציה של דיווח תאימות: השתמשו ב-Logic Apps כדי לאסוף ולהרכיב ראיות עבור מבקרים, כגון יומני סקירות שהושלמו, חשבונות שפגו או שינויים בחבילות גישה, כך שתוכלו להוכיח נאותות ואפקטיביות של הממשל.
5. הרחבה על פני דיירים ועומסי עבודה: פרסו תבניות אוטומציה שמשתרעות על פני מספר דיירי Microsoft 365 ועומסי עבודה, כך שהממשל יישאר עקבי בכל מקום מבלי לדלל את משאבי המנהלים. אם אתם מחפשים השראה (או בדיקת מציאות) לגבי מוקשים באוטומציה, ראו את שיחות הממשל בפרקי הפודקאסט האחרונים של M365 FM שנוגעים לאתגרי אוטומציה ארגונית, גם כשאין תוכן ייעודי.

שאלות נפוצות על גישת אורחים: בצעו סקירת גישה כדי לנהל את הגישה של אורחים ולאבטח משתמשי אורח

מהו ממשל גישת אורחים ב-M365 ומדוע הוא חשוב?

ממשל גישת אורחים ב-Microsoft 365 הוא קבוצת המדיניות והתהליכים המשמשים לניהול הגישה של משתמשי אורח לצוותים, לאתרי SharePoint, לקבוצות Microsoft 365 וליישומים. הוא חשוב משום שאורחים (usertype מסוג guest) לרוב זקוקים לגישה זמנית או מוגבלת; ללא בקרות כגון סקירות גישה חוזרות של אורחים ותהליכי הסרת גישה, אתם עלולים לסכן הרשאות מוגזמות, חשיפת מידע וכשלי תאימות.

כיצד מבצעים סקירת גישה לאורחים באמצעות Microsoft Entra?

מבצעים סקירת גישה באמצעות סקירות גישה של Microsoft Entra (במרכז הניהול של Microsoft Entra או דרך השילוב עם מרכז הניהול של Microsoft 365). יוצרים סקירת גישה או סקירות גישה חוזרות של אורחים, על ידי בחירת הקבוצה או היישום, קביעת הסוקרים, התדירות ואפשרויות ההחלטה. הסקירה תשלח לסוקרים הודעת דוא"ל מ-Microsoft Entra ID או תופיע בפאנל הגישה, כדי לאשר אם חברי משתמשי האורח צריכים להמשיך לשמור על הגישה שלהם.

מתי כדאי ליצור ולבצע סקירת גישה לקבוצות עם משתמשי אורח?

יוצרים ומבצעים סקירת גישה כאשר מזהים קבוצות עם משתמשי אורח, לאחר סיום פרויקטים גדולים, או בלוח זמנים קבוע (חודשי/רבעוני) כשיטה מומלצת. סקירה סדירה של קבוצות מסייעת לוודא שהמשתמש עדיין זקוק לגישה, ומפחיתה הרשאות יתומות או מיותרות בקבוצות Microsoft 365 ובקבוצות ב-Microsoft Entra ID.

אילו סוקרים כדאי להקצות לסקירות גישה של משתמשי אורח?

הקצו סוקרים שמבינים את המשאב: בעלי קבוצות, בעלי יישומים או מנהלי תאימות מוסמכים. ניתן גם להקצות לאורח עצמו סקירה עצמית, או סקירות אוטומטיות באמצעות סקירות גישה של Microsoft Entra. בחרו סוקרים כך שייצרו איזון בין אחריותיות לעומס העבודה, ותמכו בניהול גישה על פני יישומים באמצעות Microsoft Entra access.

כיצד סקירות גישה עוזרות להסיר גישה של אורחים או למחוק חשבונות אורח בבטחה?

סקירות גישה מציגות גישה של משתמשי אורח שאינה נחוצה עוד; הסוקרים יכולים להסיר את הגישה (או לסמן להשאיר אותה) במהלך הסקירה. כאשר אורח מוסר מקבוצות Microsoft 365 או מיישום, הגישה בוטלה מבלי למחוק את חשבון המשתמש הבסיסי בדייר של הארגון. השתמשו בתכונות רישוי ממשל כדי לאוטומט פעולות כגון הסרת אורח או ביטול גישה לקבוצות או ליישומים לאחר סקירה.

האם נדרש רישיון מיוחד לסקירות גישה וממשל של Microsoft Entra?

חלק מהתכונות המתקדמות של ממשל Microsoft Entra ID ושל סקירות הגישה של Microsoft Entra עשויות לדרוש רישוי נוסף של ממשל Microsoft Entra ID או מכסות (SKU) של Microsoft 365. כדאי לעיין ב-entra id governance licensing fundamentals ב-Microsoft Learn כדי לקבוע אם הדייר שלכם זקוק לרישיונות נוספים עבור תכונות כמו תיקון אוטומטי, דיווח מתקדם ושילוב השיוך לחבילות גישה.

איך אפשר לנהל ביעילות את הגישה של משתמשי אורחים בקבוצות של Microsoft 365 וביישומים?

השתמשו בשילוב של מדיניות: הגבילו את הרשאות ההזמנה במרכז הניהול של Microsoft 365 או במרכז הניהול של Microsoft Entra, השתמשו בניהול זכאויות עם שיוך חבילות גישה לקליטה מבוקרת, ותזמנו סקירות גישה תקופיות כדי לבחון את הגישה לקבוצות או ליישומים. בנוסף, עקבו אחר הגישה של משתמשים ואורחים באמצעות יומני ביקורת, ודרשו מהמבקרים לאשר את הגישה של משתמשים באמצעות סקירות גישה של משתמשי אורחים.

אילו צעדים כדאי לבצע כדי לאבטח חשבונות של משתמשי אורחים ואת הגישה שלהם?

התחילו בסיווג המשאבים שמאפשרים גישה לאורחים, אכפו הרשאות מינימליות, הפעילו גישה מותנית למשתמשי אורחים, ודרשו אימות רב-שלבי היכן שמתאים. השתמשו בסקירות גישה כדי לאמת את הגישה של האורחים, הסירו גישה כשהיא כבר אינה נחוצה, ותעדו את ההחלטות בתהליכי הממשל של הארגון. ספקו קישורים לסקירת הגישה ולפאנל הגישה בתקשורת עם המבקרים כדי לפשט את תהליכי העבודה שלהם.

האם סקירות גישה יכולות לטפל גם בקבוצות של Microsoft 365 עם אורחים וגם בגישה ליישומים?

כן. סקירות הגישה של Microsoft Entra תומכות בסקירת קבוצות ובגישה לקבוצות או ליישומים. אפשר להגדיר כיעד קבוצות של Microsoft 365, קבוצות עם משתמשי אורחים ויישומים ארגוניים (יישומים עם Microsoft Entra access) כדי לבחון חברי משתמשי אורחים ושיוכי יישומים בזרימת ממשל אחת.

איפה אפשר ללמוד עוד או למצוא הדרכה מפורטת ליצירת סקירת גישה וביצועה?

Microsoft Learn מספקת תיעוד והדרכות על שימוש ב-Microsoft Entra ID וב-Microsoft Entra access reviews, כולל אופן יצירת סקירת גישה, הגדרת סקירות גישה תקופיות של אורחים ושילוב עם ניהול זכאויות. עיינו בהנחיות של Microsoft Learn ובנושאי העזרה של מרכז הניהול של Microsoft 365 או מרכז הניהול של Microsoft Entra לקבלת הוראות מפורטות.