האתגר
- ניהול מכשירים כפול. המכשירים נוהלו גם ב-SCCM וגם ב-Intune, וזה יצר עבודה כפולה לצוות.
- מדיניות ישנה. הצטברו GPO ישנים שכבר לא היה בהם צורך, וחלקם פגעו באבטחה.
- התחברות עם סיסמה בלבד. גם למשתמשים וגם למנהלים.
- תלות בתשתית מקומית. שרתי Domain Controller שהגבילו את הגמישות ודרשו תחזוקה.
מה עשינו יחד
1מכשירים: מעבר מלא ל-Intune ו-Autopilot
כל ניהול המכשירים עבר ל-Intune, ו-SCCM הוסר. מחשבים חדשים נרשמים בעזרת Windows Autopilot.
היתרון: פלטפורמה אחת במקום שתיים. צוות ה-IT מנהל את כל 800 המכשירים ממקום אחד. מחשב חדש מגיע לעובד ומתקין לבד את ההגדרות, המדיניות והאפליקציות של הארגון, בלי שמישהו מ-IT צריך לגעת בו.
2הקשחה: ניקוי המדיניות הישנה וסטנדרט אחיד
ניקינו את ה-GPO הישנים, החלנו Security Baselines של מיקרוסופט ל-Windows, ל-Defender for Endpoint ול-Edge, והפעלנו הצפנת BitLocker.
היתרון: במקום הגדרות שהצטברו לאורך שנים, ושאף אחד כבר לא ידע למה הן שם, כל המכשירים מוגדרים לפי ההמלצות של מיקרוסופט. אם מחשב נייד הולך לאיבוד, הנתונים עליו מוצפנים.
3גישה: רק מכשיר תקין ומשתמש מזוהה נכנסים
הגדרנו מדיניות תאימות למכשירים ומדיניות Conditional Access, עם MFA, דרישה למכשיר תקין ובקרת סשן.
היתרון: גם אם סיסמה דולפת, היא לא מספיקה כדי להיכנס. מכשיר שלא עומד בדרישות האבטחה לא מקבל גישה למידע של הארגון.
4התחברות: פחות סיסמאות, פחות פניות לתמיכה
הפעלנו איפוס סיסמה עצמי, Windows Hello for Business להתחברות עם PIN, MFA עמיד לפישינג למנהלים, והתחברות בלי סיסמה לעובדים חדשים.
היתרון: עובד ששכח סיסמה מאפס אותה לבד, בלי לפנות ל-IT. ה-PIN שמור רק על המחשב של העובד, ולכן גם אם מישהו גונב אותו הוא לא יעבוד ממחשב אחר. וחשבונות המנהלים, שהם המטרה הראשונה של תוקפים, מוגנים גם מפני פישינג.
5מנהלים: מעט מנהלים, ודרך חירום מוגדרת
מספר ה-Global Admins ירד ל-2, והגדרנו חשבונות חירום (break-glass).
היתרון: פחות חשבונות עם הרשאות מלאות, כלומר פחות נקודות שתוקף יכול לנצל. וגם אם משהו משתבש, הארגון לא ננעל מחוץ לסביבה שלו.
6אפליקציות: עדכונים אוטומטיים
הגדרנו עדכון אוטומטי לאפליקציות.
היתרון: פרצות אבטחה בתוכנות נסגרות בלי שמישהו צריך לרדוף אחרי כל מחשב.
7תשתית: בלי שרתים מקומיים
בסוף הפרויקט הורדנו את שרתי ה-Domain Controller, והארגון עבר לניהול בענן בלבד.
היתרון: אין יותר שרתים לתחזק, לגבות ולעדכן. העובדים עובדים מכל מקום באותה רמת אבטחה, והסביבה גדלה עם הארגון בלי לקנות חומרה.
מה השתנה
כראש צוות ה-IT באגף מערכות מידע, שמחויב לקידום הארגון באמצעות חדשנות, אני גאה שהובלנו ראשונים את המעבר של הארגון לניהול מלא בענן, בלי צורך בדומיין מקומי. במסגרת הפרויקט צמצמנו מערכות רבות וריכזנו את הניהול בפלטפורמה אחת. זה הקל מאוד על העבודה של הצוות ושיפר את השירות שאנחנו נותנים לעובדים.
רוצים לבדוק אם הארגון שלכם מוכן לניהול בענן בלבד? נתחיל בפגישת היכרות טכנית.
קביעת פגישה