המטרה של 100%: למה המיתוס של Microsoft Secure Score חייב לגווע

By Mirko Peters · 2026-08-22

ברוכים השבים לבלוג! אם אתם מנהלים דייר של Microsoft 365, סביר להניח שחוויתם את התחושה המטרידה של חרדה ברגע שפותחים את פורטל Microsoft Defender. אתם נכנסים לקטע Exposure Management, מעיפים מבט על ציון Microsoft Secure Score של הארגון, ומרגישים מיד גל של פאניקה. האם 42% זה רע? האם אמורים להגיע ל-90% עד סוף הרבעון? למה Bob מ-IT עוד לא לחץ על הכפתור כדי לטפל בהמלצות שנותרו? נודה על האמת: מנהלי IT ואנש

Automatically translated with AI from the original post. Read the English original

ברוכים השבים לבלוג! אם אתם מנהלים דייר של Microsoft 365, סביר להניח שחוויתם את התחושה המטרידה של חרדה ברגע שפותחים את פורטל Microsoft Defender. אתם נכנסים לקטע Exposure Management, מעיפים מבט על ציון Microsoft Secure Score של הארגון, ומרגישים מיד גל של פאניקה. האם 42% זה רע? האם אמורים להגיע ל-90% עד סוף הרבעון? למה Bob מ-IT עוד לא לחץ על הכפתור כדי לטפל בהמלצות שנותרו? נודה על האמת: מנהלי IT ואנשי אבטחה רבים נופלים למלכודת מסוכנת, והם מתייחסים אל Secure Score כמו אל ציון בבית ספר. אנחנו מניחים שכל מה שנמוך מציון מושלם פירושו שהרשת שלנו פגיעה, שהתפקיד שלנו בסכנה, ושהאקרים עוקפים את ההגנות שלנו בפועל.

גישה כזו לא רק שגויה, אלא גם עלולה לפגוע בפועל ביעילות התפעולית ובתנוחת האבטחה של הארגון. בפוסט הזה נפריך את המיתוס של ציון Secure Score מושלם של 100%, נפרק את אופן החישוב בפועל, נבחן את עמודי התווך המרכזיים, ונראה איך להשתמש בכלי הזה כמפת דרכים מעשית ולא כמדד יהירות. אם תרצו להעמיק בנושא ולשמוע פירוט של המושגים המרכזיים, כדאי להאזין לפרק הפודקאסט הנלווה, Microsoft Secure Score - Simply Explained.

מהו Microsoft Secure Score בעצם?

כדי להבין מדוע המרדף אחרי ציון של 100% הוא מסע טיפשי, קודם צריך להגדיר מהו בדיוק Microsoft Secure Score. יש אנשים רבים שמתייחסים אליו ככלי לסריקת פגיעויות או כבדיקת חדירות אוטומטית. זה לא נכון. Secure Score הוא למעשה כלי למדידת תצורה, שבודק כמה מבקרות האבטחה המומלצות של Microsoft הופעלו בדייר של Microsoft 365 שלכם. הוא בוחן את ההגדרות שלכם, ולא איומים מהעולם האמיתי.

חשבו על זה כעל רשימת בדיקה אינטראקטיבית וחכמה, המותאמת לסביבת הרישוי הספציפית שלכם ב-Microsoft. הוא עונה על שאלות יסוד של ארכיטקטורה ותפעול, כמו האם Multi-Factor Authentication נאכף בכל הארגון, האם פרוטוקולי אימות מדור קודם חסומים, והאם מדיניות אבטחה פעילה על פני המשתמשים וההתקנים שלכם. הוא מספק תמונה מתעדכנת באופן רציף של מצב התצורה האבטחתית, ומשמש כמדד בסיס ולא כהבטחה שלעולם לא תחוו אירוע סייבר.

איך Secure Score מחושב בפועל

הבנת החישוב שמאחורי Secure Score עוזרת להבין מדוע המספרים משתנים, ומדוע שלמות כמעט ולא ניתנת להשגה. הנוסחה הבסיסית פשוטה: נקודות שנצברו חלקי סך כל הנקודות הזמינות שווה לאחוז Secure Score שלכם. עם זאת, אופן הענקת הנקודות משתנה בהתאם לסוג ההמלצה הספציפית.

ארגונים צוברים נקודות בשני מנגנונים עיקריים:

• בקרות בינאריות: אלה המלצות של הכול או כלום. לדוגמה, חסימת אימות מדור קודם או אכיפת ברירות המחדל הבסיסיות של האבטחה מתבצעת או לא מתבצעת. אם הבקרה מופעלת במלואה, מקבלים את כל הנקודות הזמינות. אם היא נשארת כבויה, מקבלים אפס נקודות.
• בקרות יחסיות: המלצות אלה מעניקות זיכוי חלקי בהתאם לשיעורי האימוץ. לדוגמה, אם הצפנת BitLocker מותקנת ופעילה ב-80% מההתקנים המנוהלים שלכם, Secure Score יעניק כ-80% מהנקודות הזמינות לבקרה הספציפית הזו. מנגנון זה מאפשר לארגונים לראות התקדמות הדרגתית ככל שהם מפיצים מדיניות אבטחה על פני בסיסי משתמשים גדולים או צי התקנים.

למה ציון של 100% הוא מיתוס

הנה האמת הקשה שכל מנהל IT צריך לשמוע: אם לארגון שלכם יש ציון Secure Score של 100%, כנראה שאתם עושים משהו לא נכון, או שאתם פועלים בסביבה פשוטה ו הומוגנית בצורה מוזרה. Microsoft עצמה אינה מצפה מארגונים להגיע ל-100%. להשיג ציון מושלם בכל התחומים זה כמעט בלתי אפשרי עבור הרוב המוחלט של הארגונים המודרניים, בשל מספר גורמים בלתי נמנעים.

ראשית, מגבלות רישוי משחקות תפקיד מרכזי. המלצות אבטחה מתקדמות רבות דורשות רמות רישוי מסוימות, כמו Microsoft 365 E5, או תוספות ייעודיות. אם הארגון שלכם פועל בעיקר על תוכניות Business Standard או E3, חלק מההמלצות בעלות הערך הגבוה ייוותרו תמיד בלתי נגישות, וזה יגביל את הציון המקסימלי האפשרי שלכם.

שנית, דרישות עסקיות מתנגשות לעיתים קרובות עם תצורות אבטחה מחמירות. ייתכן שיש לכם יישומי קו עסקיים מדור קודם שמסתמכים על פרוטוקולים ישנים, או דרישות של שותפים חיצוניים שמונעות הפעלה של מדיניות בסיס מסוימת. יתרה מכך, סיכונים עסקיים מקובלים ומורכבות תפעולית פירושם שסימון מכני של כל תיבה עלול לשבש את הפרודוקטיביות ולתסכל משתמשי קצה. ארגון בריא מאזן בין אבטחה לשימושיות, וזה יוצר באופן טבעי פערים בציון Secure Score שלכם.

ארבעת עמודי התווך של Secure Score

כדי לנהל את מצב האבטחה שלכם בצורה יעילה, Microsoft מארגנת את המלצות Secure Score לארבעה עמודי תווך עיקריים. הבנת הקטגוריות הללו עוזרת לצוותי האבטחה לתעדף את המאמצים במקומות שחשובים ביותר.

זהות

הזהות היא עדיין היקף ההגנה בארכיטקטורת הענן המודרנית. עמוד תווך זה מתמקד בעיקר באימות רב-שלבי (MFA), במדיניות גישה מותנית, בכללי הגנת סיסמאות חזקים ובביטול מלא של אימות מדור קודם. מאחר שפרטי התחברות שנפרצו הם וקטור התקיפה הנפוץ ביותר של תוקפים, קטגוריה זו נושאת בדרך כלל משקל משמעותי בציון הכולל שלכם.

מכשירים

אבטחת נקודות קצה היא קריטית ככל שכוח העבודה מתפזר יותר. המלצות למכשירים כוללות הגדרת Microsoft Defender Antivirus, הפעלת כללי Attack Surface Reduction (ASR), אכיפת הצפנת BitLocker והפעלת Tamper Protection, כדי למנוע ממשתמשים מקומיים או מסקריפטים זדוניים לכבות תכונות אבטחה במחשבים ניידים ובתחנות עבודה ארגוניות.

נתונים

ממשל נתונים נזנח לעיתים קרובות עד שמתרחשת פריצה. עמוד תווך זה נסוב סביב תוויות רגישות, מדיניות מניעת אובדן נתונים (DLP), הצפנה אוטומטית ותכונות הציות של Microsoft Purview. בקרות אלו עוזרות לארגונים לסווג, להגן ולעקוב אחר קניין רוחני ארגוני רגיש ומידע מזהה אישי.

יישומים

אבטחת יישומי ענן בוחנת ממשל יישומים, הרשאות של יישומי צד שלישי, מדיניות הסכמת OAuth ושימוש ב-Shadow IT. מאחר שמשתמשים מחברים באופן חופשי כלי פרודוקטיביות של צד שלישי לחשבונות M365 שלהם, מעקב אחר הרשאות היישומים חיוני כדי למנוע גישה בלתי מורשית לנתונים.

תפיסות שגויות נפוצות לגבי מדדי אבטחה ב-M365

אי-הבנות סביב מדדי אבטחה עלולות להוביל להחלטות גרועות ולהאשמות שגויות. בואו נבהיר כמה מהמיתוסים הנפוצים:

מיתוס 1: ציון גבוה פירושו שאי אפשר לפרוץ אליכם. זה שקר מוחלט. ציון Secure Score גבוה פירושו שהתצורה שלכם תואמת לשיטות העבודה המומלצות של Microsoft. הוא אינו מגן עליכם מפני ניצולי zero-day מתוחכמים, איומים מבפנים, או עובדים שלא הוכשרו היטב ונופלים קורבן להתקפות פישינג מתוחכמות.

מיתוס 2: ציון נמוך פירושו שהארגון אינו מוכשר. ארגונים רבים ומאובטחים לחלוטין שומרים על ציונים בין 70% ל-85%, בעוד שעסקים קטנים בתחילת דרכם נמצאים לרוב סביב 30% עד 45%. ההקשר חשוב מאוד.

מיתוס 3: חובה ליישם כל המלצה, ללא יוצא מן הכלל. כפי שנדון, חלק מההמלצות שוברות תהליכי עבודה מדור קודם, דורשות רישיונות שאינם קיימים, או מפרות מדיניות חברה. תיעוד החריגים הללו הוא חלק טבעי מניהול IT.

שימוש ב-Secure Score כמפת דרכים מעשית

במקום לראות ב-Secure Score דוח ציונים מאיים, מנהלים מצליחים משתמשים בו כתור עבודה מתועדף. הסעיף Recommended Actions בתוך פורטל Microsoft Defender מספק פרטים טכניים שימושיים מאוד, כולל ההשפעה הפוטנציאלית על האבטחה, שלבי התצורה הנדרשים וקישורים ישירים לחלונות הניהול המדויקים במרכז הניהול.

חשוב מאוד לציין ש-Microsoft מאפשרת למנהלים לשנות את הסטטוס של ההמלצות. אם בקרה מסוימת אינה רלוונטית למודל העסקי שלכם, אתם יכולים לסמן אותה כ-Risk Accepted או כ-Resolved through Alternative Mitigation. לפונקציונליות הזו יש שני יתרונות: היא מבטלת את ההשפעה השלילית על הציון, והיא יוצרת תיעוד קבוע (audit trail) שמסביר מדוע התקבלה החלטה מסוימת. התיעוד הזה חשוב מאוד לאנשי IT שיגיעו אחריכם, למבקרים פנימיים ולחברות הביטוח לסייבר.

שילוב Secure Score באסטרטגיית האבטחה הרחבה שלכם

חשוב לזכור ש-Secure Score הוא רק חלק אחד מפאזל אבטחה גדול. הוא מודד עמידה בתצורה סטטית, אבל הוא אינו מחליף פתרונות לחיפוש איומים פעיל ולניטור בזמן אמת. Secure Score מניב את התוצאות הטובות ביותר כשהוא משולב עם כלי טלמטריה מתקדמים כמו Microsoft Defender XDR, Microsoft Sentinel ו-Microsoft Entra ID Protection.

בעוד ש-Secure Score דואג שיהיו מותקנים המנעולים הנכונים בדלתות ובחלונות שלכם, כלים כמו Defender for Endpoint ו-Microsoft Purview מזהים ניסיונות פריצה בפועל ומנטרים התנהגות חשודה בתוך הגדר. אבטחת סייבר אמיתית דורשת גישה הוליסטית, הכוללת ניטור מתמיד, הדרכת מודעות אבטחה למשתמשים, ניהול עדכונים (patch management) קפדני וממשל תפעולי עמיד.

סיכום: התמקדו בשיפורים משמעותיים ולא במדדי יוהרה

בסופו של דבר, המטרה העיקרית שלכם כאנשי IT אינה להשיג 100% נוצץ בלוח המחוונים של Microsoft. המטרה שלכם היא להגן על הנתונים של הארגון, לאבטח את זהויות המשתמשים, להבטיח עמידות תפעולית ולאפשר פרודוקטיביות עסקית בלי חיכוכים מיותרים. המרדף אחר מדדי יוהרה שרירותיים מוביל לעיתים קרובות ליישומים שנעשו בחופזה, לתהליכי עבודה שנשברים אצל המשתמשים ולצוותי IT מותשים.

במקום להתאמץ על כל נקודת אחוז חסרה, התמקדו בשיפורים מתמשכים ושלביים שמעלים באמת את רמת האבטחה שלכם. טפלו קודם בבקרות הזהות והמכשירים בעלות ההשפעה הגבוהה ביותר, תעדו בקפידה את החריגים העסקיים שלכם, והתייחסו ל-Secure Score כמדריך שלכם ולא כאדון שלכם.

כדי לשמוע דיון מעמיק ומעשי על הנושא הזה בדיוק, כולל עצות ניהול מהשטח ותובנות ארכיטקטוניות, מומלץ להאזין לפרק הפודקאסט הקשור: Microsoft Secure Score - Simply Explained. עד הפעם הבאה, שמרו על הדיירים שלכם מאובטחים ועל תהליכי העבודה שלכם חלקים!