לקוח מגיע לפגישה ומבקש את סיסמת ה־Wi-Fi. בקבלה נותנים לו את אותה סיסמה שמשמשת את מחשבי העובדים. זה נוח, אבל האם הטלפון שלו יכול עכשיו להגיע גם למדפסת, לשרת הקבצים או למסך הניהול של הנתב? השאלה החשובה אינה רק מי יודע את הסיסמה, אלא לאן מותר למכשיר מחובר להגיע.

רשת אורחים היא הפרדה, לא רק שם אחר

רשת אורחים מיועדת לתת גישה לאינטרנט בלי לחשוף את משאבי העבודה. שם רשת נפרד וסיסמה נפרדת הם התחלה, אך אינם מוכיחים שיש בידוד. צריך לוודא שהציוד אוכף הפרדה בפועל. הנחיות ה־FTC להגנת Wi-Fi מסבירות את היתרון של רשת אורחים נפרדת; בעסק נדרש להתאים את העיקרון גם לשרתים, למדפסות ולמערכות הניהול.

לדוגמה, במשרד ייעוץ שמקבל לקוחות, מחשבי החברה צריכים להגיע לתיקיות משותפות. המבקרים צריכים רק גלישה. טלוויזיית חדר הישיבות עשויה להזדקק לשירות מסוים, אבל לא לכל הרשת. זו דוגמה לתכנון, לא תיאור של אירוע אצל לקוח: מגדירים לכל קבוצת מכשירים את הגישה הנחוצה לה בלבד.

איך נראית הפרדה נכונה במשרד

בציוד עסקי אפשר למפות את רשת האורחים ל־VLAN — מקטע לוגי נפרד — ולהגביל מעבר ממנו באמצעות חוקי חומת אש או ACL. עצם יצירת ה־VLAN אינה מספיקה אם הניתוב עדיין מאפשר גישה חופשית בין המקטעים. מדריך Cisco לרשת אורחים מדגים שילוב של הפרדת רשת ובידוד אלחוטי. זהו הסבר לעיקרון, לא המלצה לרכוש את הדגמים הוותיקים שבמדריך.

  • עובדים: גישה למשאבים עסקיים בהתאם לתפקיד, ולא הרשאת ניהול גורפת.
  • אורחים: גישה לאינטרנט ולשירותי הרשת הנחוצים לחיבור, בלי גישה לשרתים ולממשקי ניהול.
  • ציוד מחובר: בחינה נפרדת של מצלמות, מדפסות ומסכי ישיבות, עם חריגות ממוקדות לפי צורך.

בידוד בין מכשירי האורחים עצמם הוא שכבה נוספת. הוא אינו תחליף לחסימת גישה לרשת הפנימית. גם עמוד כניסה מעוצב עם לוגו העסק אינו הוכחה לבידוד: אפשר להציג עמוד כזה ועדיין להשאיר גישה רחבה מדי.

מה לבדוק מעבר לסיסמת הרשת

לפי הנחיות ה־FTC, יש להשתמש בהצפנת WPA3 או WPA2, להחליף פרטי ניהול ברירת מחדל ולעדכן את תוכנת הנתב. סיסמת הניהול וסיסמת ה־Wi-Fi משרתות מטרות שונות. בדקו עם ספק ה־IT מי אחראי לעדכונים ומתי מסתיימת תמיכת היצרן; ציוד שאינו מקבל תיקוני אבטחה מחייב תכנון החלפה.

בקשו מסמך קצר שמפרט מי רשאי לשנות הגדרות, היכן נשמר גיבוי התצורה ואיך מבטלים גישה של ספק שעזב. אל תשנו את הגדרות המשרד במהלך יום עבודה בלי גיבוי ותוכנית חזרה: שינוי שנראה קטן יכול לנתק טלפוניה, קופה או מדפסת.

בדיקת קבלה: חמש שאלות לפני שמסיימים

את הבדיקה מבצעים בתיאום עם איש ה־IT, על מכשיר בדיקה מורשה ורק מול משאבים השייכים לעסק. מבקשים תוצאה מתועדת, לא רק צילום של הגדרה המסומנת כפעילה.

  • האם אורח מצליח לגלוש באינטרנט, אך אינו מצליח להתחבר לשרת קבצים או לממשק ניהול פנימי?
  • האם הבידוד נשמר בכל נקודות הגישה ובכל מקטעי הרשת הרלוונטיים, כולל IPv6 אם הוא פעיל?
  • האם עובדים עדיין יכולים להדפיס, לשתף מסך ולקיים שיחה בלי לפתוח מחדש גישה רחבה לאורחים?
  • האם ההגדרות נשמרות אחרי אתחול מתוכנן של הציוד, והאם קיים גיבוי שניתן לשחזר?
  • האם יש תיעוד של חריגות: מי ביקש אותן, לאיזה שירות ומתי בודקים שוב שהן נחוצות?

האם צריך קו אינטרנט נוסף?

לא בהכרח. אפשר לתכנן רשתות מופרדות המשתמשות באותו חיבור אינטרנט, אם הציוד והמדיניות תומכים בכך. קו נוסף הוא החלטה נפרדת שיכולה לנבוע מצורכי זמינות או עומס. גם קו נוסף אינו מחליף בדיקה של החיבורים הפנימיים במשרד.

ומה אם אחרי ההפרדה שיתוף המסך לא עובד?

לא מבטלים את כל הבידוד כדי לפתור תכונה אחת. מתעדים איזה מכשיר צריך לגשת לאיזה שירות, ובוחנים פתרון ממוקד עם ספק ה־IT. זו בדיוק הסיבה לכלול חדרי ישיבות ומדפסות במיפוי לפני השינוי ולא לגלות את התלות באמצע פגישה.

הצעד הבא: מיפוי קצר לפני שינוי הציוד

התחילו ברשימה של נקודות הגישה, קבוצות המשתמשים והמערכות שצריכות לתקשר זו עם זו. במסגרת שירותי חומות אש ותקשורת אפשר לתכנן את ההפרדה; תחזוקת התשתיות מסייעת לשמור על התצורה לאורך זמן, ו־תמיכת IT לעסקים נותנת מענה לתקלות שימוש יומיומיות.

לא בטוחים אם רשת האורחים שלכם באמת מבודדת? דברו עם צוות SecureOps על מיפוי הרשת ותוכנית בדיקה מותאמת לעסק. המטרה היא לא להוסיף עוד סיסמה, אלא לתת לכל מכשיר את הגישה שהוא צריך — ולא מעבר לכך.