ראוטר של ספק האינטרנט או חומת אש מנוהלת? הציוד לבדו לא מספיק

נניח שעשיתם הכל נכון. קניתם מספק האינטרנט קו יקר, ועליו ציוד אבטחה של מותג מוכר, מהסוג שמופיע בכל השוואה. שילמתם, זה הותקן, וזה עובד.

עכשיו שלוש שאלות. מתי בפעם האחרונה מישהו בדק שכלי האבטחה שבתוכו מעודכנים? שהם בכלל מופעלים? ושהם מוגדרים לפי איך שהעסק שלכם עובד היום, ולא לפי איך שהוא עבד ביום ההתקנה?

ברוב העסקים שאנחנו נכנסים אליהם, התשובה לשלושתן זהה: אף אחד לא בדק. וזה נכון בדיוק באותה מידה לקופסה שספק האינטרנט השאיר ולציוד היקר שנבחר בקפידה.

ולמי שהגיע לכאן בדיוק עם השאלה הזו: הראוטר של ספק האינטרנט נועד בראש ובראשונה לחבר את העסק לאינטרנט. חומת אש עסקית מוסיפה על כך הפרדת רשתות, חיבורי VPN, קו גיבוי, כללי גישה, תיעוד וניטור. אבל גם חומת האש הטובה בעולם לא תגן על העסק אם היא הוגדרה פעם אחת ומאז איש לא בדק אותה. זה ההבדל בין ציוד מותקן לציוד מנוהל, וזה מה שהכתבה הזו עוסקת בו.

ציוד טוב לא מגן על עצמו

חומת אש היא לא מכשיר שקונים ומדליקים. היא מערכת שמוגדרת לפי מה שהעסק עושה, ומתעדכנת כשהעסק משתנה. ההגדרה נעשתה פעם אחת ביום ההתקנה, לפי מה שהיה נכון אז.

ובינתיים העסק גדל. נוספו מערכות, מצלמות, עובדים שמתחברים מהבית, אולי סניף שני. עובדים הגיעו ועזבו, וההרשאות שלהם נשארו. אף אחד לא חזר לעדכן את הכללים, כי לאף אחד זה לא היה בתפקיד.

יש גם צד שקט יותר: יכולות שכלולות בציוד או ברישיון ומעולם לא הופעלו. אם לא בדקתם, סביר שאתם משלמים על משהו שלא רץ.

חמישה דברים שנשארים פתוחים, גם עם ציוד טוב

1. הכל יושב באותה רשת

כשהמחשבים, המצלמות, המדפסות, הטלפונים ורשת ה-Wi-Fi נמצאים באותה רשת, מכשירים רבים יכולים לתקשר ישירות זה עם זה, בלי שהתעבורה תעבור דרך חומת האש. במצב כזה חומת האש פשוט לא רואה את מה שקורה בין המכשירים, ולכן גם לא יכולה לשלוט בו.

למה זה חשוב: מצלמות, שעוני נוכחות, מדפסות וציוד חכם אחר לא תמיד מקבלים את אותה תשומת לב ואת אותם עדכוני אבטחה שמקבלים המחשבים. לכן הם עלולים להפוך לנקודת כניסה קלה יחסית. תקלה או פריצה באחד מהם עלולה לאפשר ניסיון להתקדם משם אל מערכות רגישות יותר.

2. אין דרך בטוחה לעבוד מבחוץ

עובד שצריך קבצים מהבית, או סניף שצריך להגיע לשרת במשרד הראשי. כשאין פתרון מסודר, נוצרים פתרונות מאולתרים: תוכנת שליטה מרחוק שהותקנה בלי ניהול מרכזי ובלי אימות רב שלבי, תיקייה שנפתחה לאינטרנט, או סיסמה משותפת שעברה בוואטסאפ.

הכלים עצמם לגיטימיים, ואנחנו משתמשים בהם מדי יום. ההבדל הוא בין כלי שמנוהל, עם הרשאות אישיות, אימות רב שלבי ותיעוד, לבין התקנה חד פעמית שאיש כבר לא זוכר, ושהגישה של עובדים שעזבו עדיין פתוחה בה.

3. כשהאינטרנט נופל, העסק עוצר

המערכות בענן לא נגישות, הטלפונים לא מצלצלים, ואף אחד לא יודע כמה זמן זה ייקח. אפשר להחזיק קו גיבוי שנכנס לפעולה לבד תוך שניות, ורוב העסקים פשוט לא יודעים שזו אפשרות זמינה.

4. היומנים נכתבים, ואף אחד לא קורא אותם

ציוד טוב דווקא מתעד הרבה. הבעיה מתחילה אחר כך: היומנים נשמרים בדרך כלל על המכשיר עצמו ומתחלפים לאחר פרק זמן מוגבל. אם הם לא מועברים למערכת מרכזית שמרכזת, שומרת ומנתחת אותם, ואם אף אחד לא הוגדר לקבל התראה כשמשהו חורג, אירוע חשוב עלול להיעלם לפני שמישהו בכלל הבחין בו.

זה ההבדל בין "נראה לי שמישהו ניסה להיכנס" לבין תשובה עם תאריך, שעה ומאיפה - גם חודשיים אחורה. ברגע שאתם מחזיקים מידע של לקוחות, זו כבר לא שאלה טכנית.

5. אף אחד לא מעדכן אותו

כל ציוד תקשורת הוא בעצם תוכנה שרצה בתוך קופסה, ותוכנה חייבת לקבל תיקוני אבטחה באופן שוטף. כדאי מאוד לבדוק דבר אחד: מתי המכשיר שיושב אצלכם קיבל עדכון בפעם האחרונה? אם התשובה היא "לפני כמה שנים", או "אין דרך לדעת", זו בדיוק התשובה הלא נכונה. וכדאי לבדוק את זה גם לגבי ציוד יקר, לא רק לגבי מודם פשוט של ספק האינטרנט.

הבעיה האמיתית היא לא הציוד

הציוד שקניתם כנראה טוב, ובחלק מהמקרים אפילו חזק ממה שאתם צריכים. הכלל הזה לא תלוי במותג - הוא נכון לכל חומת אש, כולל ציוד Netgate עם pfSense Plus שאנחנו עצמנו מתקינים. גם קופסה שיצאה מאיתנו לא מתחזקת את עצמה. מי שנמצא בשירות ריטיינר מקבל את החלק הזה - מישהו שמעדכן, בודק שהכללים עדיין מתאימים לעסק ומקבל התראה כשמשהו חורג. מי שרכש ציוד בלבד, לא. בלי החלק הזה, גם הציוד הטוב ביותר ייראה בעוד שנתיים בדיוק כמו היום, מסיבה אחת: אין אף אחד שזה התפקיד שלו.

רוב העסקים שאנחנו נכנסים אליהם לא סובלים מציוד גרוע. הם סובלים מזה שהכל הוגדר פעם אחת, על ידי מישהו שכבר לא שם, ומאז אין מי שבודק, מכוון ומעדכן. ציוד חדש בלי מישהו שמנהל אותו הוא אותו סיפור, רק עם קופסה חדשה יותר.

איך זה נראה כשמישהו באמת אחראי על הנושא

• הרשת מנוטרת ונבדקת. יודעים שהקו נפל או שמשהו לא תקין לפני שאתם מרימים טלפון.
• העדכונים נעשים. באופן קבוע ומתוזמן, בלי שתצטרכו לזכור.
• יש תמונה עדכנית של הרשת. מה מחובר, אילו כללים פעילים באמת, ומה השתנה מאז הפעם הקודמת.
• יש עם מי לדבר. צוות שמכיר את הרשת שלכם, ולא מישהו שרואה אותה בפעם הראשונה כשכבר קורה נזק.
• הבדיקה נעשית גם כשהכל תקין. זה ההבדל בין תחזוקה שוטפת לבין כיבוי שריפות.

ומה אם יש לנו שלושה מחשבים

עסק עם שלושה מחשבים, בלי סניף נוסף ובלי עובדים שמתחברים מבחוץ, לרוב לא צריך להחליף ציוד. זו גם התשובה שתקבלו במקרה כזה, בלי ניסיון למכור לכם קופסה שלא תשנה לכם דבר.

אבל מה שקובע כאן הוא לא גודל העסק, אלא של מי המידע שיושב אצלכם. משרד עורכי דין עם שלושה מחשבים מחזיק את תיקי הלקוחות שלו. רואה חשבון מחזיק את הספרים של הלקוחות שלו. מרפאה קטנה מחזיקה מידע רפואי של מטופלים. סוכנות ביטוח מחזיקה צילומי תעודות זהות. בכל אחד מהמקרים האלה המידע הוא לא שלכם - הוא של הלקוחות שלכם, הוא שווה הרבה יותר מהמחשבים שהוא יושב עליהם, ומי שמחפש אותו לא סופר כמה עובדים יש לכם.

ויש גם צד חוקי. החובה להגן על מידע אישי כבר קיימת בחוק הגנת הפרטיות ובתקנות אבטחת המידע. תיקון 13, שנכנס לתוקף באוגוסט 2025, הרחיב משמעותית את סמכויות הפיקוח, האכיפה והעיצומים הכספיים. היקף הדרישות משתנה לפי סוג המאגר ורמת הסיכון, אבל האחריות לא נעלמת רק מפני שמדובר בעסק קטן.

מה שכן צריך שם זה בדיוק אותם דברים, בקנה מידה קטן יותר: להפריד את רשת ה-Wi-Fi מהמחשב שמחזיק את התיקים, לוודא שהמכשיר בקצה עדיין מקבל עדכונים, להגדיר גישה מרחוק מוצפנת לפי משתמש במקום פתרון מאולתר, ולוודא שמישהו יבחין אם מתחילות התחברויות מכיוונים לא צפויים. גם משרד של שלושה אנשים צריך שמישהו יבדוק, יכוון ויעדכן. כתבנו על זה בהרחבה בכתבה על שער אבטחה לסניף קטן, כולל איפה נגמר הכוח שלו.

שלוש בדיקות שאפשר לעשות היום, לבד

• האם אורחים ועובדים מתחברים לאותה רשת Wi-Fi. כשספק, לקוח או טכנאי שמגיע למשרד מקבל את אותו שם רשת ואת אותה סיסמה שהעובדים משתמשים בהם, אין הפרדה בין מי שעובד אצלכם לבין מי שרק ביקר. אפשר לענות על זה בלי להיכנס לשום מסך ניהול.
• איך עובדים מתחברים מהבית. אם אין חיבור מוצפן שמוגדר לכל משתמש בנפרד, ומה שיש זה תוכנת שליטה מרחוק או תיקייה שנפתחה החוצה, זה הפער.
• מי אחראי לעדכן את הציוד, ומתי זה נעשה בפעם האחרונה. גם לזה לא צריך להיכנס לשום מקום - מספיק לשאול את מי שהתקין. אם אין למי לפנות, אם אף אחד בעסק לא יודע מי בכלל מחזיק את פרטי הגישה למכשיר, או אם התשובה היא "לא נגענו בזה מאז ההתקנה", זו כבר התשובה.

שאלות נפוצות

האם ראוטר של ספק האינטרנט מספיק לעסק?

לעסק קטן מאוד, בלי סניף נוסף ובלי עובדים מרחוק, לרוב כן. ברגע שיש מידע רגיש, גישה מבחוץ, או יותר מסוג אחד של ציוד ברשת, חסרות בו הפרדת רשתות, חיבורי VPN מוגדרים, כללי גישה ותיעוד.

מה ההבדל בין חומת אש לחומת אש מנוהלת?

חומת אש היא הציוד. חומת אש מנוהלת היא הציוד ועוד מישהו שאחראי עליו: מעדכן אותו, בודק שהכללים עדיין מתאימים לעסק, ומקבל התראה כשמשהו חורג. ההבדל מתגלה בדרך כלל אחרי שנתיים.

כל כמה זמן צריך לעדכן חומת אש?

אין תאריך קבוע. חלק מהיצרנים מוציאים גרסאות במחזור מתוכנן, ואחרים מפרסמים עדכון אבטחה בכל פעם שמתגלה ליקוי. מה שכן צריך להיות קבוע זה הצד שלכם: שמישהו עוקב אחרי ההודעות של היצרן לדגם שיושב אצלכם, בוחן כל עדכון לגופו, ומתקין את הקריטיים במהירות ואת השאר בחלון זמן מתואם שלא עוצר לכם את יום העבודה.

האם גם משרד קטן צריך הפרדת רשתות?

אם יושב בו מידע של לקוחות, ומחובר אליו גם ציוד שלא ברור מתי עודכן לאחרונה - מצלמות, מדפסות, שעון נוכחות - ההפרדה היא הצעד הזול והמשמעותי ביותר שאפשר לעשות. היא לא תלויה במספר העובדים.

בדיקת מצב חומת האש והרשת

אם אחת משלוש הבדיקות האלה נשארה אצלכם בלי תשובה ברורה, אז זה שווה שיחה של עשרים דקות. נבדוק מה מותקן, מה פעיל, מה דורש טיפול ומה אין צורך להחליף.

לתיאום בדיקת מצב · אפשר גם לקרוא על השירות המנוהל שלנו.