למה Copilot הופך שיתוף יתר לבעיה דחופה
אתר שהוגדר "ציבורי" לפני שלוש שנים, קישור "כל מי שבארגון" שהועבר הלאה, אורח מפרויקט שהסתיים: עד היום אף אחד לא מצא אותם, כי היה צריך לדעת מה לחפש. Copilot יודע לחפש. הוא מכבד את ההרשאות הקיימות, ולכן כל מה שהעובד יכול לפתוח יכול להופיע בתשובה. זה הצעד השני ב5 הצעדים לאבטחת Microsoft 365 Copilot, כאן בפירוט.
מה נוצר כשנוצר אתר, ולמה זה חשוב
- אתר צוות (Team Site) נוצר יחד עם קבוצת Microsoft 365. מי שחבר בקבוצה חבר באתר, ולקבוצה יש גם כתובת מייל.
- צוות ב-Teams שמחברים לאתר משתמש בו כאתר האב. ערוץ רגיל שומר את הקבצים בתיקייה באותו אתר.
- ערוץ פרטי וערוץ משותף יוצרים כל אחד אתר SharePoint נפרד. הגדרה שמחילים ישירות על אתר האב לא חלה עליהם מעצמה.
תווית רגישות על אתר: מה היא קובעת ומה לא
תווית רגישות על אתר קובעת את ההגדרות של סביבת העבודה כולה: האתר, הקבוצה והצוות. דרך Purview היא קובעת את פרטיות הקבוצה, אם מותר להוסיף אורחים, את רמת השיתוף החיצוני, את הגישה ממכשירים לא מנוהלים (מלאה, דפדפן בלבד או חסימה), Authentication Context, ועם אילו צוותים מותר לשתף ערוצים משותפים. דרך PowerShell היא קובעת גם את קישור השיתוף שמוצע כברירת מחדל, מי רשאי לשתף, וחסימת הורדות.
מה היא לא עושה: היא לא מסווגת את הקבצים שבתוך האתר. קובץ באתר "סודי ביותר" לא הופך לסודי ביותר, וכשמורידים אותו ההגנה לא עוברת איתו. תוויות על קבצים, DLP ומדיניות שמירה הן שכבה נפרדת.
ושתי מלכודות: שינוי התווית לחסימת אורחים לא מוציא את האורחים שכבר נמצאים באתר. ופרסום תוויות לבעלי אתרים נותן להם לשנות הגדרות שבדרך כלל רק מנהל משנה, ולכן גם ההחלטה למי מפרסמים כל תווית היא חלק מהאבטחה.
בקרות שהתווית לא מכסה
- Restricted Access Control: רק חברי קבוצה מאושרת נכנסים לאתר, גם אם מישהו אחר קיבל הרשאה או קישור בטעות. כדאי להפעיל גם את ההגדרה שחוסמת שיתוף עם מי שמחוץ לקבוצה, כדי שהעובד יידע מיד שהשיתוף לא אפשרי. שימו לב: משתתפים חיצוניים בערוץ משותף לא נבדקים מול RAC.
- הגבלת דומיינים: שיתוף חיצוני רק עם ספקים מאושרים.
- תוקף לאורחים ולקישורי Anyone: גישה של ספק מתחדשת רק באישור, וקישור אנונימי לא נשאר פתוח לנצח.
- ביטול קישורי "כל מי שבארגון": קישור כזה עובד לכל עובד שמקבל אותו בהעברה.
- Restricted Content Discovery: מסתיר אתר מהחיפוש הארגוני ומ-Copilot בזמן שמסדרים את ההרשאות שלו. זו בקרה זמנית, והיא לא משנה הרשאות.
את הבקרות האלה מגדירים בנפרד, ידנית או באוטומציה שמזהה אתרים לפי התווית ומחילה עליהם את שאר הפרופיל. מיקרוסופט לא מחברת אותן לתווית בעצמה.
ארבעה פרופילים שמכסים את רוב האתרים
| בקרה | רגיש פנימי | פנימי | שיתוף רגיש עם ספקים | שיתוף כללי |
|---|---|---|---|---|
| פרטיות | פרטי | לבחירת היוצר | פרטי | לבחירת היוצר |
| אורחים | חסום | חסום | מותר | מותר |
| שיתוף חיצוני | רק בארגון | רק בארגון | אורחים | אורחים, Anyone רק בצורך מוצדק |
| מכשיר לא מנוהל | חסום או דפדפן בלבד | גישה מלאה | דפדפן בלבד או מלאה | גישה מלאה |
| קישור ברירת מחדל | אנשים מסוימים, צפייה | אנשים מסוימים, עריכה | אנשים מסוימים, צפייה | אנשים מסוימים, עריכה |
| מי משתף | רק בעלי האתר | כל החברים | לפי רמת האמון בספקים | כל החברים |
| Restricted Access Control | כן | לא | לפי הצורך | לא |
| הגבלת דומיינים | לא רלוונטי | לא רלוונטי | כן | לא |
| קישורי "כל מי שבארגון" | חסומים | מותרים | חסומים | מותרים |
אלה נקודות פתיחה, לא דרישות של מיקרוסופט. אפשר להוסיף פרופילים, למשל אחד לספקים משפטיים ואחד לספקי הנדסה, כדי שלא כל ספק מאושר יקבל גישה לכל אתר רגיש. חסימת הורדות מלאה כבויה בכל הפרופילים: ההשפעה על העבודה גבוהה, ושומרים אותה לדרישה מיוחדת כמו אתר של הדירקטוריון.
שלושה שלבים בלי לעצור את העבודה
- תווית לפי המצב הקיים. אוספים לכל אתר את הפרטיות, רמת השיתוף, האורחים, הקישורים האנונימיים וההרשאות הישירות, ומצמידים לו את הפרופיל שמתאר את מה שהוא כבר עושה. מחילים תווית רק אם היא לא חוסמת שום דבר שעובד היום.
- הקשחה לפי שימוש בפועל. יומני הביקורת של Purview נשמרים 180 יום ברישוי הבסיסי. בודקים אם אורחים באמת נכנסו, אם הרשאות ישירות באמת שימשו, ואם קישורי Anyone באמת נפתחו. מה שלא שימש בחצי שנה הוא מועמד להסרה, והאתר עובר לפרופיל מחמיר יותר.
- הקשחה לפי התוכן. מנהלי מחלקות וכלי הסיווג של Purview מאתרים אתרים עם מידע רגיש, כמו שכר, לקוחות או מסמכים משפטיים, ומעבירים אותם לפרופיל המחמיר, גם במחיר של שינוי בעבודה.
ובמקביל, שלא ייווצר בלגן חדש: תווית חובה לכל אתר חדש, התווית המוקשחת כברירת מחדל, ותוויות מקילות שמפורסמות רק למנהלים. עובד שצריך אתר משותף עם ספקים ממלא בקשה קצרה, ומנהל מאשר.
Teams: שש הגדרות שכדאי לבדוק
- ערוצים משותפים: יצירה והזמנה של חיצוניים פתוחות כברירת מחדל. סוגרים במדיניות הגלובלית, ופותחים במדיניות נפרדת רק למי שצריך.
- אפליקציות: רק אפליקציות שאושרו, ורק למי שצריך. אישור אפליקציה ב-Teams הוא לא אישור של הרשאות Microsoft Graph, וגם אותן צריך לבדוק.
- אחסון ענן חיצוני: מכבים כל ספק שהארגון לא משתמש בו.
- חשבונות Teams לא מנוהלים: חוסמים, או מאפשרים רק לעובדים ליזום את השיחה.
- הלובי בפגישות: לא "כולם". "אנשים בארגון ואורחים" הוא בסיס סביר.
- מייל לערוצים: מכבים אם לא משתמשים בו.
את כל זה אנחנו עושים בשירות אבטחת Copilot בארגון, כחלק מפרויקטי אבטחת מידע ב-Microsoft 365.
תווית רגישות על אתר מצפינה את הקבצים בו?
לא. היא קובעת את ההגדרות של האתר, הקבוצה והצוות. הצפנה של קבצים מגיעה מתוויות על הקבצים עצמם.
צריך רישוי נוסף?
חלק מהבקרות, כמו Restricted Access Control, Restricted Content Discovery וחסימת הורדות, דורשות SharePoint Advanced Management. גישה ממכשירים לא מנוהלים דורשת Conditional Access, כלומר Entra ID P1. נבדוק איתכם מה הרישוי שלכם כבר כולל.
אפשר להתחיל בלי לפגוע בעובדים?
כן. השלב הראשון רק מתאר את המצב הקיים, והשני מסיר רק הרשאות שאף אחד לא השתמש בהן חצי שנה.
רוצים לדעת מה Copilot יראה אצלכם? נבדוק איתכם את ההרשאות ב-SharePoint וב-Teams.
דברו איתנו