מדיניות גישה מבוססת סיכון לעומת מדיניות סטטית: עתיד הזהות בסביבות Microsoft

By Mirko Peters · 2026-04-26

מדיניות גישה מבוססת סיכון לעומת מדיניות סטטית: עתיד הזהות בסביבות Microsoft

Automatically translated with AI from the original post. Read the English original

אם אי פעם גלגלתם עיניים מול עוד מדיניות גישה ב-Microsoft 365 או ב-Azure, אתם לא לבד. השאלה האמיתית היום היא אם הארגון שלכם עדיין נשען על בקרות גישה סטטיות, ואם כן, מה הוא משאיר על השולחן. מדיניות סטטית, כמו בקרת גישה מבוססת תפקידים (RBAC) מסורתית, מעניקה הרשאות על סמך תפקידים מוגדרים מראש, ללא קשר לתנאים או להקשר המשתנים. לעומת זאת, גישה מבוססת סיכון מעבירה את קבלת ההחלטות לזמן אמת, ומשתמשת באותות כמו התנהגות משתמש, מצב המכשיר והמיקום כדי להתאים את ההרשאות באופן דינמי.

ההבדל המהותי הזה מגיע לנקודת רתיחה, כאשר טרנספורמציה דיגיטלית, עבודה מרחוק ואיומי אבטחה משתנים מתנגשים זה בזה, במיוחד עבור בעלי עניין שמשקיעים ב-Microsoft 365, ב-Azure וב-Power Platform. מודלים ישנים פשוט אינם מצליחים לעמוד בקצב המהיר של היום או בדרישות הציות. מדריך זה מתעמק ב"למה" וב"איך" של השינוי הזה, ומפרק מסגרות טכניות, תוצאות עסקיות ושלבי אימוץ מהעולם האמיתי, כדי שתוכלו להבין מה חשוב באמת לעתיד הארגון שלכם.

המעבר ממדיניות גישה סטטית למודלים מבוססי סיכון בזמן אמת

המעבר ממדיניות גישה סטטית לגישה דינמית ומבוססת סיכון אינו איזו מגמה חולפת בעולם ה-IT, אלא תגובה למה שקורה בעולם האמיתי. ארגונים מודרניים מחוברים, מרוחקים ומבוססי ענן יותר מאי פעם, במיוחד בסביבות Microsoft. מנגנוני הגנה על זהויות ובקרות גישה שעבדו בעבר כבר אינם מסוגלים לעמוד באיומים שמשתנים במהירות, בסיכוני פנים ובקצב המסחרר של שיתוף הפעולה הדיגיטלי.

ככל שסביבות ה-IT מתפתחות ב-M365, ב-Azure וב-Power Platform, המגבלות של מודלים קבועים ומבוססי תפקידים נחשפות במלואן. RBAC והרשאות סטטיות אינם מסוגלים להבחין בין משתמש שנכנס בבטחה מהמשרד לבין משתמש שיושב על מכשיר לא מאובטח בבית קפה בצד השני של העולם. זו לא רק אי נוחות, אלא בעיה אמיתית מבחינת ציות ואבטחה. כשמוסיפים לכך דרישות רגולטוריות מחמירות ותוקפים שממשיכים להתחכם, מתקבל שילוב שדורש משהו חכם יותר מגישה סטטית.

מה שצומח במקומה הוא ניהול גישה בזמן אמת, שמעריך סיכון ברגע נתון ומשתמש בכל מה שזמין, החל מניתוח התנהגותי ועד מצב המכשיר ואותות איום. מודלים אלה מספקים הרשאות אדפטיביות, המסוגלות להעניק, להגביל או לאתגר גישה על בסיס התמונה המלאה, ולא רק על בסיס הקצאת תפקיד חד-פעמית. כשנצלול למכניקה ולהשפעות העסקיות, כדאי לזכור: חשיבה מחדש על גישה אינה עניין של סימון תיבה אבטחתית, אלא הכנה לעתיד של המערכת האקולוגית שלכם מבוססת Microsoft. לתצוגה מעשית של Zero Trust by Design וגישה אדפטיבית בסביבות Microsoft, כדאי לעיין בפרק הפודקאסט הזה ב-M365.fm.

תפקידים סטטיים, גישה בזמן אמת: הבנת הבעיות בהרשאות קבועות

תפקידים סטטיים והרשאות קבועות מהווים את הבסיס של ניהול הגישה המסורתי בפלטפורמות כמו Microsoft 365 וב-Azure. מגדירים תפקיד, למשל "מנהל משאבי אנוש" או "מנהל SharePoint", ומקצים לו בלוק גדול של הרשאות. הבעיה? התפקידים האלה הם "מידה אחת שמתאימה לכולם", וכמעט אינם מסתגלים כששינויים עסקיים או גורמי סיכון משתנים. המשמעות היא שמשתמש יכול לשמור על אותן הרשאות במשך שנים, גם לאחר שהחליף תפקיד, עבר לפרויקט אחר או עבר למכשיר אחר.

הנוקשות הזו מובילה לכאבי ראש משמעותיים: הקצאת הרשאות מופרזת, פערי ציות ו"גישה מיושנת" שנשארת הרבה אחרי שהפכה ללא רלוונטית. זהו סיוט של ממשל. כשלים מהעולם האמיתי, כמו גישת אורחים מוגזמת ב-SharePoint או תפקידי ניהול מוזנחים ב-Azure, נובעים לרוב ממודלים סטטיים שאינם מסוגלים לתקן מסלול בזמן אמת. אפילו כלים חזקים כמו גישה מותנית, מניעת אובדן נתונים או רישום ביקורת לא יפתרו את שורש הבעיה ללא ממשל דינמי ומכוון. לחקירה מעמיקה יותר של מלכודות בממשל ושיטות בנות-קיימא לניהול גישה, ראו ממשל גישה לנתוני Microsoft 365 וחשיפת אשליית הממשל.

למה הקשר גישה בזמן ריצה חשוב לעבודה דיגיטלית מאובטחת

בימים אלה, בכל הנוגע לאבטחה, ההקשר הוא המלך. הקשר גישה בזמן ריצה פירושו להעריך גורמים כמו תקינות המכשיר, התנהגות המשתמש, מיקום ואותות סיכון ברגע שבו משתמש מבקש גישה, ולא להסתמך רק על רשימה סטטית של הרשאות. זה קריטי, משום שהעסק פועל בכל מקום: עובדים מרחוק מתחברים מהבית, קבצים רגישים משותפים עם שותפים חיצוניים, ואיומים לא מחכים לסקירת הגישה המתוזמנת שלכם.

מדיניות סטטית לא יכולה להבחין בין התחברות שגרתית ממשרד מאובטח לבין ניסיון גישה חשוד ממכשיר לא מוכר במדינה אחרת. הקשר בזמן אמת, "זמן ריצה", מאפשר לאתגר, להגביל או להעניק גישה על סמך מה שקורה באותו רגע. הגישה הזו מגנה על הנתונים ותומכת בציות בסביבות היברידיות ובארגונים שמבוססים על Microsoft, בלי לפגוע בפרודוקטיביות. לאסטרטגיות מעשיות לצמצום סיכוני זהות ולשינוי גישה מותנית, עיינו בidentity as your Azure control plane ובM365 security settings without annoying users.

כך פועלת גישה דינמית מבוססת סיכון בפועל

המעבר לגישה מבוססת סיכון אינו עניין של מונחים מהפכניים או של הוספת מורכבות לשם המורכבות. מדובר בקבלת החלטות חכמה ובזמן אמת בכל בקרת גישה. ברמה הכללית, מערכות כאלה אוספות ומנתחות כל הזמן אותות סיכון, כמו דפוסי פעילות של משתמשים, תקינות מכשירים, מיקום גיאוגרפי ונתונים סביבתיים. מנועים מתקדמים מדרגים את הקלטים האלה ומחליטים מיד אם לאפשר גישה, לאתגר אותה או לחסום אותה.

במקום לסמוך בעיניים עצומות על קבוצת הרשאות סטטית, גישה מבוססת סיכון מספקת אכיפה רציפה והסתגלותית. חשבו על כך כעל שומר כניסה שבודק לא רק את תעודת הזהות שלכם, אלא גם אם התנהגתם שלא כרגיל, הגעתם מאזור מסומן או מנסים להיכנס דרך רציף הטעינה. מחסניות האבטחה המודרניות של Microsoft, בעיקר Conditional Access ו-Defender for Cloud, בנויות לשליטה מסתגלת מסוג זה. אם תרצו לראות מתקפות אמיתיות שחומקות מהגנות סטטיות, עיינו בhow attackers bypass MFA using stolen tokens and consented apps in Microsoft 365.

הפרק הזה ינתח איך המערכות האלה פועלות מאחורי הקלעים, מקליטת אותות סיכון, דרך אימות דינמי, ועד אכיפת מדיניות. כך תוכלו לראות בדיוק מדוע גישה בזמן אמת הופכת לנורמה החדשה באבטחת ארגונים.

מדריך לסיכון דינמי: רכיבים עיקריים וארכיטקטורה

1. איסוף אותות סיכון: מערכות דינמיות אוספות ללא הרף אותות כמו מיקום משתמש, דפוסי התחברות, מצב המכשיר, חריגות בסשנים ומודיעין איומים חיצוני. האותות יכולים להגיע מתוך המערכת האקולוגית של Microsoft או להישאב מכלים של צד שלישי המשולבים במחסנית.
2. מנוע סיכון ומודל ניקוד: כל הנתונים שנאספו מעובדים על ידי מנוע סיכון, בדרך כלל מבוסס למידת מכונה או אלגוריתמים מבוססי כללים. המנוע שוקל כל גורם, כמו פעילות בשעות לא שגרתיות או מכשיר לא מוכר, כדי לחשב ציון סיכון ייחודי לכל ניסיון גישה.
3. נקודת החלטת מדיניות (PDP): ציון הסיכון מועבר למנוע החלטות, שהוא לרוב נקודת ההחלטה של המדיניות, שמתאים את הסיכון המחושב מול כללים עסקיים ורגולטוריים מוגדרים מראש. אם הסיכון חוצה סף מסוים, המערכת יכולה לאתגר, לחסום או להעלות את הגישה לדרג גבוה יותר, לעיתים באמצעות דרישה לאימות מרובה גורמים (MFA) או לאישור מנהל.
4. אכיפת מדיניות: התוצאה נאכפת בשכבת היישום, הנתונים או המשאב. ב-Microsoft 365 או ב-Azure, המשמעות יכולה להיות מדיניות Conditional Access שחוסמת גישה לקבצי SharePoint, מאתגרת התחברות באימות נוסף, או מגבילה גישה עד שהסיכון יוסר.
5. לולאת משוב בזמן אמת וביקורת: לאחר האכיפה, כל הפעולות – אותות, החלטות וצעדי אכיפה – נרשמות ליומן לצורך ביקורת, עמידה בדרישות רגולציה ושיפור מתמשך. נתוני יומן זה יכולים להיות קריטיים לחקירות, לדיווח ולכוונון של כללי הגישה, כדי להפחית התראות שגויות ולשפר את מהירות התגובה. להנחיות בנוגע לטיפול ב-Shadow IT ולסיכוני ממשל הקשורים לגישה מונעת בינה מלאכותית, ראו ניהול סוכני AI כ-Shadow IT.

בשילוב של רכיבים אלה, גישה דינמית מבוססת סיכון מספקת הגנה גמישה ועמידה, המסתגלת להקשר המשתמש ולסביבה, וסוגרת את פערי האבטחה והרגולציה שמודלים סטטיים מיושנים משאירים פתוחים לרווחה.

אימות דינמי לעומת שיטות סטטיות

• אימות מדורג מותאם: מערכות דינמיות יכולות לבקש אימות נוסף – כמו אישור בדחיפה לנייד או סריקה ביומטרית – רק כאשר אותות הסיכון מצדיקים זאת. כך מצטמצמת חיכוכ מיותר למשתמשים לגיטימיים, והבקרות החזקות נשמרות.
• תגובה בזמן אמת לאיומים: במקום להסתמך על סיסמה קבועה מראש או על בקשת MFA קשיחה, גישה מבוססת סיכון יכולה להעלות את דרישות האבטחה על המקום בהתאם לחריגות שזוהו או לשינויים בהקשר הגישה.
• חוויית משתמש משופרת: שיטות סטטיות מתסכלות לא פעם משתמשים בבקשות אבטחה גורפות, בעוד שאימות דינמי מאזן את המצב – מאפשר גישה חלקה כאשר הכול נראה תקין, ומתערב רק כאשר הסיכון עולה.
• יישור לרגולציה ודיווח: היכולת לרשום מדוע, מתי וכיצד החלטות גישה משתנות בזמן אמת משפרת את יכולת הביקורת, השקיפות והאמינות לצורך עמידה במסגרות רגולטוריות. להנחיות מעשיות לצמצום עייפות אימות ולשיפור תכנון מדיניות הגישה, ראו בעיות אמון במדיניות Conditional Access והימנעות ממטרידות משתמשים באבטחת M365.

כימות ומדידה של סיכוני גישה: מודלים ומדדים

להבין סיכון זה דבר אחד – למדוד אותו ולשלב אותו במדיניות הגישה זה עניין אחר לגמרי. כאן נכנסים לתמונה ניקוד סיכונים ומדדים. במקום תחושות בטן או הכללות יתר, ארגונים יכולים כעת להפוך אותות מהתנהגות כניסה, מתאימות מכשירים ואיומים חיצוניים לציוני סיכון ממשיים וניתנים לפעולה. כשמבצעים זאת נכון, הגישה הזו הופכת את מערכת ניהול הגישה לכזו שניתנת למדידה, למעקב ולהגנה הרבה יותר טובה תחת בחינה – בין אם השואל הוא מבקר, רגולטור או ההנהלה הבכירה שלכם.

הקסם טמון בבניית מודלים שהופכים אותות גולמיים לציונים, בהקצאת משקלים להתנהגויות שונות וקביעת סף שקובע מתי הגישה תותר, תיחסם או תדרוש אימות נוסף. אין כאן פתרון אחד לכולם: מודלים מוצלחים לחברת פיננסים גלובלית שונים מאלה שמשמשים גופים ציבוריים או מערכות בריאות. השוואת המדדים שלכם – הן בתוך הענף והן בין סוגי גישה שונים (כמו משתמשים מורשים לעומת חשבונות אורח) – היא צעד משמעותי מאוד לקראת מדיניות גישה תקינה וניתנת לביקורת.

נפרק מסגרות מעשיות ומדדי השוואה מהעולם האמיתי, כדי שתדעו מה למדוד, כיצד לכייל את הציונים שלכם וכיצד ליצור יומנים שקופים ומוכנים לביקורת, שמקלים על מנהלי אבטחת המידע וצוותי הרגולציה כאחד. לעיון נוסף בציות אוטומטי ובתפקידו של Power BI בנראות הסיכונים, היכנסו לניטור ציות ב-Microsoft Defender for Cloud.

הגדרת מודלים לניקוד סיכונים עבור החלטות זהות וגישה

1. בחירת גורמי סיכון מרכזיים: זהו אילו גורמים משפיעים על הסיכון בסביבה שלכם – תדירות כניסה, התאמת מכשיר, מיקום גיאוגרפי, שעת הגישה, חריגות היסטוריות וכדומה.
2. הקצאת משקלי התנהגות: לא כל האותות חשובים באותה מידה. יש לתת משקל גבוה יותר לגורמים כמו כשלי כניסה ממיקומים חריגים, לעומת דפוסי שימוש רגילים.
3. קביעת ספי סיכון: הגדירו איזה ציון סיכון (סכום הגורמים המשוקללים) מפעיל בקשת אימות מדורג, חוסם גישה או רק רושם אירוע לבדיקה עתידית.
4. כיול מתמיד: השתמשו ביומני ביקורת וניתוח לאחר אירועים כדי לכוונן את המשקלים והספים, כך שיתאימו לאיומים משתנים ולשינויים עסקיים.

כאשר כל גורם מוצג במפורש, הארגון שלכם בונה מסגרת סיכון שקופה וניתנת להגנה, שעובדת גם לאבטחה וגם לציות.

השוואת מדדי סיכון בין מקרי שימוש וענפים

• פיננסים: נדרשים ספים מחמירים ויומני ביקורת מפורטים בשל הפיקוח הרגולטורי; צפויים אירועים בסיכון גבוה שמחייבים התערבות מיידית ודיווח.
• בריאות: נדרשים ניטור זהיר של תפקידי המשתמשים, הגנות חזקות על נתוני מטופלים ומודל גישה המותאם ל-HIPAA ולרגולציה של פרטיות מידע.
• המגזר הציבורי: לעיתים קרובות מתמודדים עם תהליכי אישור מורכבים יותר ותקופות שמירה ארוכות יותר, עם מודלי סיכון שמעדיפים מעקב ופיקוח חיצוני.
• משתמשים מיוחדים לעומת משתמשים רגילים: לתפקידים בסיכון גבוה מגיע ניטור נוסף וספי התערבות נמוכים יותר בהשוואה למשתמשי שיתוף פעולה יומיומיים.

השפעה עסקית: צמצום הרשאות מיותרות ושיפור תהליכי קליטה

המעבר מגישה סטטית למודלים דינמיים מבוססי סיכון אינו רק ניצחון עבור ה-CISO, אלא פותר כאבי ראש יומיומיים אמיתיים של צוותי IT, ציות וצוותים עסקיים כאחד. אחת התלונות הקולניות ביותר על הרשאות סטטיות היא הרשאות מיותרות: משתמשים מקבלים (ושומרים) הרבה יותר גישה ממה שהם באמת צריכים, מה שפותח דלת לאיומים מבפנים, לביקורות שנכשלות ולחשיפות יקרות. במקביל, הקצאה וביטול של גישה, במיוחד בארגונים גדולים שמלאים אורחים, ספקים ועובדים חדשים, יכולים להרגיש כמו משחק אינסופי של מכת חפרפרות.

מודלים דינמיים של גישה מודעת הקשר מפחיתים הרבה מהבלגן הזה באופן אוטומטי. ניתן להעניק, להתאים או לשלול הרשאות אוטומטית על סמך אותות בזמן אמת, מה שמפחית משמעותית את עומס התפעול, מצמצם חשבונות מיושנים מסוכנים והופך את סקירות הציות לניהוליות בהרבה. סקירות גישה מדויקות ובזמן, יחד עם ממשל ברור, חוסכות מכם מרדיפה אחרי הזמן כשמגיעה ביקורת או כשמתרחשת פריצה.

נראה כיצד השינויים האלה משפיעים על תהליכי הקליטה, שיתוף הפעולה החיצוני ותהליכי הסקירה הידניים, ועוזרים להשיג איזון אמיתי בין זריזות, אבטחה ומוכנות לביקורת. למידע נוסף על הרחבת הציות והביקורת, היעזרו במדידת ציות אמיתי מעבר למדיניות שמירה ובציות שוטף למע"מ באמצעות בקרות בזמן אמת.

הפחתת הרשאות מיותרות וכשלי סיכון של מודלים סטטיים

• צמצום איומים מבפנים: מערכות מבוססות סיכון מקטינות את הסיכוי שמשתמש ינצל הרשאות מיושנות או מוגזמות שנותרו מהקצאות תפקידים סטטיות.
• ביקורת יעילה יותר: רישום אוטומטי ומודע-הקשר מזהה גישה חריגה לפני שהיא הופכת לאירוע שחייב דיווח, ומקל על כאב הראש של סקירות הציות.
• הפחתת סיכון רגולטורי: על ידי שמירה רק על הרשאות הנחוצות, ארגונים מצמצמים באופן משמעותי את החשיפה לקנסות ולפיקוח רגולטורי. למדריך צעד-אחר-צעד לביקורת יעילה של פעילות משתמשים, ראו ביקורת באמצעות Microsoft Purview.

קליטה, תהליכי גישה ידניים ושיפור הדיוק

• קליטת משתמשים מהירה יותר: ניהול גישה אוטומטי יכול להקצות גישה לעובדים חדשים, לשותפים או לעומסי עבודה תוך דקות ולא תוך ימים, על בסיס לוגיקה המבוססת על תפקידים ועל סיכון אמיתיים ולא על תבניות סטטיות.
• פחות סקירה ידנית: במקום תהליכי הסמכת גישה רבעוניים, מדיניות מודעת-הקשר מפעילה סקירות או ביטול אוטומטיים כשההקשר או הסיכון משתנים.
• מחזור חיים מדויק לאורחים: ממשל אוטומטי מוודא שחשבונות חיצוניים לא נשארים פעילים לאחר סיום הפרויקט, ונועל גישה מסוכנת של אורחים או ספקים לפני שהיא הופכת לחבות. למדריך לבקרות טובות יותר על חשבונות אורחים, היעזרו בניהול סיכוני חשבונות אורחים נסתרים ב-M365.

שילוב AI ואוטומציה בתוכניות אבטחת זהויות

בינה מלאכותית כבר אינה רק מילת אופנה בתחום האבטחה. היא משנה בשקט את האופן שבו סביבות Microsoft מזהות איומים, מנתחות התנהגות ומקבלות החלטות יומיומיות על גישה. תוכניות זהות מודרניות נשענות על מודלים של למידת מכונה שמזהים דפוסים מסוכנים, מפעילים התראות בזמן אמת וממליצים על בקרות אדפטיביות, דבר שמנהלים אנושיים לא יכלו לאכוף ידנית, או שהיה איטי מאוד אם היו מנסים.

ההתפשטות של אוטומציה מאפשרת לעבד מיליוני רשומות גישה, אירועי סשן ואותות סיכון הקשריים בחלק קטן מהזמן. יחד עם זאת, התוכניות הטובות ביותר משלבות תובנות מונעות בינה מלאכותית עם פיקוח אנושי, כדי לתפוס מקרי קצה, להסביר החלטות ולהנחות שיפורים במדיניות. מקבלים את שני העולמות: ערנות מכונה בלתי פוסקת לצד השכל הישר והאמפתיה שרק צוות אבטחה יכול להציע.

נבחן את הרכיבים הטכניים ואת השיקולים העסקיים עבור ארגונים בשלבים שונים של המסע. למסגרות מעשיות לשמירה על התאמה בין סוכני בינה מלאכותית, אוטומציות וממשל Microsoft 365 לבין המציאות, ראו סיכוני סוכני בינה מלאכותית וממשל וממשל Microsoft Copilot ו-Power Automate.

זיהוי הונאות, רכיבי אבטחת זהות וניתוח חריגות

1. מנועי ניתוח התנהגות: מודלים של בינה מלאכותית בונים פרופיל של התנהגויות תקינות של משתמשים, מכשירים וסשנים. כל סטייה מהבסיס, כמו משתמש שנכנס לפתע ממיקום לא מוכר או משתמש בדפוסי ניווט חריגים, מסומנת כסיכון פוטנציאלי.
2. זיהוי חריגות בזמן אמת: המערכות הללו מנתחות ברציפות זרמי אירועים, כגון כניסות לחשבון או קריאות API, ומתריעות מיידית לצוותי האבטחה או מפעילות מדיניות אוטומטית על פעילות חשודה.
3. הפחתת הונאות משולבת: כלי הונאה מבוססי בינה מלאכותית סורקים סימנים מובהקים לפגיעה באישורי גישה, השתלטות על חשבון או העלאת הרשאות, ומגנים על צינורות נתונים ועומסי עבודה רגישים. שימוש ב-Azure Key Vault ובזהויות מנוהלות יכול לחזק עוד יותר את ההגנות הללו; לפרטים נוספים ראו אבטחת צינורות נתונים ב-Microsoft Fabric.
4. אכיפת גישה דינמית: כאשר מזוהה פעילות מסוכנת, המדיניות יכולה להתאים את הרשאות הגישה באופן אוטומטי, על ידי הגבלה, ביטול או אתגור הגישה, כדי למנוע פגיעה רחבה יותר.
5. משוב מתמשך ולמידה: המודלים מתפתחים עם הזמן, וקולטים לקחים לאחר אירועים וממצאי ביקורת, כדי למזער תוצאות שגויות חיוביות ולשפר את הזיהוי בעולם האמיתי.

כשמשלבים את הרכיבים הללו, הארגונים יכולים לעבור מבקרת גישה תגובתית לאבטחה פרואקטיבית, שמתעדכנת בקצב של העסק ושל האיומים. להסבר מפתיע על הסיבה שבגללה ממשל שמתמקד רק בפלטפורמה מפספס את המטרה, היכנסו לאשליית הממשל ב-Fabric.

שילוב גישות היברידיות וניהול שקיפות של מודלי בינה מלאכותית

1. קבלת החלטות משולבת: לצד מנועי גישה אוטומטיים, יש לבצע בדיקות אנושיות שוטפות או לקבל "חוות דעת שנייה" לאירועים בסיכון גבוה או חריגים, כדי לתפוס את המקרים הנדירים שמכונות עלולות לפספס.
2. בינה מלאכותית מוסברת ושקיפות מודלים: יש לוודא שכל החלטת גישה אוטומטית נרשמת יחד עם נימוקים קריאים לאדם, כך שתתמוך בביקורות תאימות ובחקירות פורנזיות. כלים כמו Microsoft Purview ו-Sentinel יכולים לעזור לצמצם את פער ההסברתיות; לטיפים מעשיים ראו שמירה על אבטחה ותאימות של Copilot.
3. ניטור מתמשך וכוונון: יש לבנות מנגנוני ניטור ומשוב לתוך מערך אבטחת הזהות, כך שמודלי הבינה המלאכותית וכללי האוטומציה יתפתחו לאורך זמן ולא יהפכו ל"קופסה שחורה".
4. ממשל מובנה בתכנון: יש להגדיר גבולות ברורים להחלטות שמקבלת בינה מלאכותית, באמצעות מישורי בקרה, הפרדת זהויות והקצאת אחריות. כך מצמצמים את הסיכון ל"בינה מלאכותית שיצאה משליטה", כפי שנדון בממשל בינה מלאכותית בסביבות ארגוניות.

תוכנית יישום: תכנון, שילוב והרחבה של גישה דינמית

המעבר מהרשאות סטטיות לגישה מבוססת סיכון עשוי להיראות מאיים, אבל מדובר יותר באסטרטגיה מאשר במדע טילים. המפתח הוא לתעדף: להתחיל מהאזורים הרגישים או החשופים ביותר, להגדיר היכן בקרות מודעות-הקשר ישפיעו הכי הרבה, ולתכנן את השילוב עם התשתית הקיימת. סביבות Microsoft, עם מורשת ה-RBAC העמוסה שלהן ותערובת של כלים מדור קודם וכלים מבוססי ענן, מציעות הזדמנויות רבות, אבל גם כאבי ראש בשילוב אם לא מתכננים מראש.

חלק מהמסע הוא להבין מאיפה להתחיל: תפקידי מנהל מיוחדים, חשבונות אורחים או יישומי Shadow IT בנפח גבוה הם לרוב נקודות התחלה קריטיות. מכאן, צריך למפות כיצד מדיניות דינמית תשתלב עם מסגרות הממשל על הזהויות, הציות והאוטומציה הקיימות. רגולציות, זרמי ביקורת ומיקום הנתונים, כל אלה צריכים לעבוד כיחידה אחת קוהרנטית וניתנת לביקורת.

סעיף זה מציג את השלבים ברמה גבוהה ואת הלקחים מהשטח להגדרת ההיקף, לשילוב עם IAM מדור קודם של Microsoft ולאיזון בין דרישות עסקיות לבין דרישות רגולטוריות. לייעוץ אסטרטגי בנושא ממשל Azure ובקרות ארגוניות, כדאי לקרוא מדריך האסטרטגיה לממשל ארגוני ב-Azure.

הגדרת היקף ומקרי שימוש לתוכניות IAM

• תרחישי גישה מיוחדת: בצעו ביקורת ותעדפו תפקידי מנהל או תפקידים רגישים במערכות, שמעניקים שליטה רחבה או גישה לנתונים קריטיים. אלה מועמדים מובהקים לבקרות דינמיות.
• ספקים וחשבונות חיצוניים: התמקדו במשתמשים חיצוניים ובשותפים בסיכון גבוה שנדרשת להם גישה זמנית או מצומצמת, תוך שליטה בהיקף ההרשאות והגבלת משך הזמן שלהן.
• Shadow IT וסיכוני אוטומציה: סרקו יישומים שאינם מנוהלים, חיבורי OAuth או כלי אוטומציה לא מורשים. אלה נקודות עיוורון נפוצות לסיכון ב-Microsoft 365. לתוכנית תיקון מדורגת, ראו זיהוי Shadow IT בתוך הדייר שלכם ב-M365.
• זהויות עומסי עבודה שאינן אנושיות: החליפו חשבוני שירות לא מנוהלים ב-Entra Workload Identities לצורך גישה granular וניתנת לביקורת של ישויות שאינן אנושיות. לפרטים, ראו תיקון סיכוני גישה של ישויות שאינן אנושיות.

שילוב עם IAM מדור קודם, ממשל זהויות וציות

1. שילוב עם מערכת IAM מדור קודם: מפו את הבקרות החדשות מבוססות הסיכון למודלי RBAC הקיימים, וודאו שהמדיניות מסתנכרנת בצורה חלקה הן עם מערכות ענן-נטיביות והן עם מערכות מקומיות.
2. יישור עם פרטיות מידע: וודאו שהנתונים שנאספים לצורך דירוג סיכון וניתוח הקשר עומדים בחוקי הפרטיות המקומיים (GDPR, CCPA) וניתנים לביקורת.
3. מיפוי ציות לרגולציה: שלבו מדיניות דינמית עם בקרות ציות כדי לעמוד בתקנים כמו SOX, HIPAA או EU AI Act. רישום לוגים איתן וממשל סמנטי של נתונים (כפי שנדון ב-סחף הממשל ב-Microsoft Fabric) הופכים זאת לישים.
4. יצירת יומני ביקורת ודיווח: בנו יומני גישה שמתעדים כל החלטה דינמית: מי, מה, מתי ומדוע, הן לצורך אירועי אבטחה והן לביקורות שגרתיות.
5. עמוד שדרה נתונים איתן: במקומות שבהם גישה ויכולת ביקורת חשובות באמת, כדאי לשקול מעבר מ-SharePoint Lists לפתרון מנוהל כמו Microsoft Dataverse (ראו היתרונות של ממשל ב-Dataverse).

מגמות עתידיות: Zero Trust, GenAI והדרך לזהות אוטונומית

הגל הבא בזהויות ובגישה כבר מתנשא, והוא לא פחות ממשבש. מודלי Zero Trust, שבהם לא לוקחים שום דבר כמובן מאליו וכל בקשה מאומתת, כבר שינו את הדרך שבה ארגונים ניגשים לאבטחה. אבל כעת אנחנו עדים לזינוק נוסף: עלייתם של בינה מלאכותית generative, מודלי שפה גדולים (LLMs) וכלי זהות חזויים ואוטונומיים שיכולים לצפות צרכים עסקיים ולהתאים הרשאות גישה באופן מתמשך מאחורי הקלעים.

מיקרוסופט נעה במהירות בתחום הזה, ומקדמת ארכיטקטורות שמשלבות אותות בזמן אמת, גישה אדפטיבית ובינה מלאכותית מוסברת. גישה מבוססת סיכון כיום מניחה את היסודות למערכות אוטונומיות של מחר, שבהן לא רק הרשאות שגרתיות, אלא גם הרשאות מורכבות שחוצות מערכות, הופכות לאוטומטיות לגמרי ומתייעלות בעצמן. השינויים האלה אינם תיאורטיים בלבד, והם כבר מופיעים בתחומים כמו Copilot for security, אוטומציות ב-Power Platform ומנועי ממשל דינמיים.

אם אתם רוצים הצצה לכיוון שאליו מתקדם ניהול הזהויות, ולהיערכות לעידן הבא של בקרות הגישה, כדאי לעקוב אחר ממשל היברידי, המלצות מונעות בינה מלאכותית ומדיניות שניתנת לבדיקה. להעמקה באיזון שבין אבטחה לפרודוקטיביות, קראו את Zero Trust vs. user freedom insights for M365.

החשיבות הגוברת של אמון וזהות אוטונומית חזויה

בקרות גישה מודרניות שואבות מאוד מעקרונות Zero Trust: לעולם לא לסמוך על בקשה באופן מובלע, ולאמת כל גישה בזמן אמת. מודל זה מתבסס על הזהות כמישור הבקרה החדש, בתמיכה של הקשר והחלטות מבוססות סיכון, כדי להגן על מידע ומשאבים רגישים. זהות אוטונומית חזויה לוקחת את העניין צעד אחד קדימה: היא משתמשת בבינה מלאכותית ובאוטומציה כדי להתאים הרשאות באופן דינמי, לצמצם התערבות ידנית ולחזות את צרכי המשתמשים והעומסים העבודה בענן של Microsoft.

ככל שמסגרות הרגולציה דורשות יכולת ביקורת והנהלה של בינה מלאכותית הולכות וגדלות (ראו Responsible AI guardrails), ארגונים שישלבו את העקרונות האלה בארכיטקטורה שלהם יישארו צעד אחד לפני האחרים, וכך האבטחה תהפוך לפונקציה שקופה ופעילה תמיד, ולא למחשבה שנייה. אמון, יכולת הסתגלות ובקרה פרואקטיבית הופכים במהירות לציפייה ולא לחריג. לעיון נוסף בגישת מישור הבקרה לממשל, חזרו אל Fabric governance best practices.

תפקידם של GenAI, מודלי שפה גדולים והמגמות המרכזיות באוטומציה של זהויות

• המלצות גישה מבוססות הקשר: בינה מלאכותית generative יכולה לנתח דפוסי משתמשים מורכבים ולהציע עדכוני מדיניות, למשל לסמן קבוצת הרשאות חריגה או להמליץ על בקרות מחמירות יותר בעקבות שינויים בדפוסי שיתוף הפעולה.
• אוטומציה אדפטיבית של מדיניות: מודלי שפה גדולים ייכתבו, ייעלו ויכוונו יותר ויותר את קוד מדיניות הזהויות, תוך למידה מדרישות תאימות, ממגמות אירועים ומהמשוב של המשתמשים.
• זיהוי איומים חכם: בוטים מונעי בינה מלאכותית יזהו איומים פנימיים עדינים ופריצות של "low and slow" על ידי קורלציה של מיליוני רשומות יומן, ויבצעו התאמות דינמיות בגישה מהר יותר מכל צוות אנושי.
• הפרדה בין מישור הבקרה למישור החוויה: ממשל ארגוני של בינה מלאכותית יאכוף בקרות בזמן אמת שמודעות לכוונה, ויגן מפני הסיכונים של התנהגות סוכנית ללא פיקוח, כפי שמתואר ב-securing AI agents in Microsoft.

מסקנה: למה חשוב לעבור מעבר לגישה סטטית

הטיעון בעד בקרת גישה דינמית ומודעת הקשר מעולם לא היה ברור יותר. מודלים סטטיים של גישה, יהיו מנוהלים בקפידה ככל שיהיו, פשוט לא יכולים לעמוד בקצב של נוף האיומים של היום, בסביבות ענן מפוזרות או בדרישות הרגולציה המחמירות. גישה מבוססת סיכון מכניסה נתונים בזמן אמת, הקשר ומודיעין לכל החלטת גישה, ובכך מפחיתה סיכון ומסייעת לעסק שלכם להישאר זריז.

ארגונים שמבוססים על Microsoft ועוברים לשיטה החדשה מוקדם כבר רואים שיפור בתנוחת האבטחה, במוכנות לביקורת וביעילות התפעולית. המתנה אינה אפשרות ניטרלית, והישארות במודלים סטטיים רק תגרום לפיגור הולך וגדל ככל שהסיכונים מתפתחים ומחסומי התאימות מתהדקים. עכשיו הזמן לחדש את תוכנית הגישה שלכם ולהישאר לפני העקומה.

התחלה מהירה: כלים מומלצים וצעדים ראשונים לניהול בקרות גישה

1. פיילוט עם פלטפורמות IAM מודרניות: התחילו בקטן, ובדקו כלי כמו Lumos לניהול גישה מודע הקשר ביישום או ביחידה עסקית שאינם קריטיים. לאפשרויות נוספות, ראו את Lumos Today.
2. השתמשו במסלולי למידה ובמשאבי ממשל: עיינו במדריכים צעד אחר צעד ובקטגוריות תוכן שנבנו במיוחד לניהול גישה ב-Microsoft ב-קטגוריות התוכן של M365.fm.
3. יישמו שיטות ממשל בנות קיימה: שלבו סקירות גישה עם אחריות בעלות על הנתונים, כדי להבטיח אבטחה לטווח ארוך, כפי שמפורט ב-שיטות עבודה מומלצות לממשל נתונים ב-Microsoft 365.
4. נטרו והתאימו: השתמשו ביומני ביקורת כדי לזהות בעיות בשלב מוקדם ולדייק מדיניות לאורך זמן, כך שבקרות מבוססות סיכון יישארו מותאמות לסביבה העסקית המשתנה שלכם.
5. התחילו בקטן, התרחבו מהר: הריצו פיילוט של מדיניות דינמית עם קבוצה ממוקדת, כמו משתמשים מורשים או ספקים חיצוניים, ואז מדדו את התוצאות והרחיבו על בסיס מה שלמדתם.