[{"data":1,"prerenderedAt":179},["ShallowReactive",2],{"publication:he:P094":3},{"meta":4,"copy":16,"relatedArticles":137,"terms":171,"term":172,"resourceParent":173,"glossaryParent":176},{"id":5,"path":6,"kind":7,"keyword":8,"title":9,"seoTitle":9,"description":10,"incoming":11,"updated":14,"preparedOn":15},"P094","\u002Fblog\u002Fvendor-access-review","article","איך בודקים הרשאות של ספק אתר","איך בודקים הרשאות של ספק אתר ומצמצמים גישה עודפת","בדיקת הרשאות לספק אתר: חשבונות, קבוצות, חיבורים ומפתחות, צורך עסקי, גישה זמנית ובדיקת מסירה. בלי לנתק תהליך חי באופן גורף.",[12,13],"\u002Fservices\u002Faccess-2fa-audit","\u002Fservices\u002Fwordpress-support","2026-05-29","2026-10-29",{"intro":17,"sections":18,"checklist":90,"faq":96,"sources":106,"links":112,"cta":132},"כדי לבדוק הרשאות של ספק אתר, משווים בין המשימה שהספק מבצע לבין החשבונות, התפקידים והחיבורים שזמינים לו בפועל. בוחנים גם קבוצות, מפתחות וגישה לאחסון או לדומיין, ולא רק משתמש במערכת הניהול. צמצום גישה דורש סמכות ובדיקת תפקוד, כדי שלא להפוך סקירה לתקלה עסקית.",[19,28,63,72,77,82],{"title":20,"paragraphs":21,"sources":24},"הגדירו צורך ובעלים לכל סוג גישה",[22,23],"שאלו מה הספק אמור לעשות כעת: עריכת תוכן, תחזוקת רכיבים, טיפול בשרת או בירור תקלה. הרשאה שנדרשה בהקמה אינה בהכרח נחוצה לתמיכה שוטפת. לכל משימה הגדירו מי בעסק מאשר, מי אצל הספק משתמש בגישה ומתי בוחנים אותה שוב.","NIST SP 1305 מדגיש אחריות ודרישות ספקים לפי החשיבות וההשפעה. הבדיקה המוצעת כאן מתמקדת בגישה טכנית לנכסי אתר. היא אינה סקר מלא של כל פעילות הספק או מסקנה על רמת האבטחה של החברה כולה. תעדו גבול היקף כדי שהמסירה לא תטען שנבדק מה שלא נבדק.",[25],{"label":26,"url":27},"NIST SP 1305: ניהול סיכוני ספקים ושרשרת אספקה","https:\u002F\u002Fnvlpubs.nist.gov\u002Fnistpubs\u002FSpecialPublications\u002FNIST.SP.1305.pdf",{"title":29,"paragraphs":30,"table":32},"מפו את כל מסלולי הגישה לנכס",[31],"חשבון אישי, חשבון משותף, קבוצה ויישום יכולים לאפשר פעולות שונות. הסרת משתמש ממסך אחד אינה מבטלת בהכרח מסלול אחר. הטבלה היא רשימת בירור מקורית, לא הוראת ביטול אוטומטית. בוחרים מה רלוונטי לפי התשתית ומאמתים את המצב בכל מערכת שבהיקף.",{"caption":33,"headers":34,"rows":38},"מסלולים שצריך לברר עם ספק האתר",[35,36,37],"מסלול","שאלה לבדיקה","ראיית מסירה נדרשת",[39,43,47,51,55,59],[40,41,42],"משתמש ניהול","איזה תפקיד ולמי הוא שייך","זהות, תפקיד ומשימה מאושרת",[44,45,46],"קבוצה או הזמנה","איזו חברות מעניקה גישה","מקור ההרשאה ובעל הקבוצה",[48,49,50],"אחסון, שרת או רשם","האם נחוצה גישה מחוץ לאתר","היקף וסמכות לשכבה המתאימה",[52,53,54],"API או יישום","איזה חיבור פועל בשם הספק","פעולות מותרות ובעלים למפתח",[56,57,58],"ערוץ שחזור","מי יכול לאפס או לקבל קוד","ערוץ ארגוני מנוהל ומורשה",[60,61,62],"גישה זמנית","למה ניתנה ומתי מסתיימת","אחראי ובחינה לאחר המשימה",{"title":64,"paragraphs":65,"sources":68},"בדקו גישה אפקטיבית ולא רק את שם התפקיד",[66,67],"תפקיד בשם עורך עשוי להתלוות לגישה נוספת דרך תוסף, חיבור או חשבון אחסון. לעומת זאת, ספק עשוי להזדקק זמנית לפעולה מסוימת שאינה מתאימה לתפקיד הרגיל. ההחלטה צריכה להתבסס על היכולת והמשימה, ולא על שם כללי כמו מנהל או תמיכה.","כשיש מידע אישי, בודקים גם מה הספק יכול לקרוא, להוריד ולהעביר. לא נותנים גישה מלאה לנתוני פניות רק כדי לתקן עיצוב בטופס. ההסכמות, האחריות והחובות הרלוונטיות דורשות בירור מתאים; דוח הרשאות טכני אינו מחליף אותן. אפשר להשתמש בנתוני ניסיון כשהמשימה אינה דורשת מידע אמיתי.",[69],{"label":70,"url":71},"הרשות להגנת הפרטיות: מדריך התקשרות עם גורם חיצוני, נוסח לאחר תיקון 13","https:\u002F\u002Fwww.gov.il\u002FBlobFolder\u002Freports\u002Fguide_section_15\u002Fhe\u002FTakna15%20_Tikon13.pdf",{"title":73,"paragraphs":74},"דוגמה: תחזוקת תוסף משתמשת בחשבון המנהל הראשי",[75,76],"התרחיש להמחשה בלבד. ספק מתחבר בחשבון שמחזיק גם הרשאות נוספות שאינן נחוצות לעדכון הרכיב. הצוות ממפה מי עוד משתמש בחשבון, מה תלוי בו ואיזה מסלול נתמך מאפשר גישה מתאימה. לא מחליפים סיסמה בלי לבדוק אם יישום עסקי עדיין משתמש באותו אישור.","לאחר שינוי מאושר בודקים שהמשימה הנחוצה מצליחה ושפעולה מחוץ לתפקיד אינה מותרת. מוודאים גם שערוצי שחזור וגישות זמניות טופלו. המטרה היא לא לשלול מספק יכולת לעבוד, אלא לתעד מדוע יש לו כל הרשאה ומה יקרה כשלא יהיה בה צורך.",{"title":78,"paragraphs":79},"גישה זמנית ושינוי ספק דורשים בדיקת סיום",[80,81],"במשימה רגישה מגדירים היקף, מאשר ודרך חזרה. בסיומה בודקים אילו הרשאות נשארו, האם מפתח צריך החלפה והאם קיים תיעוד שינוי. מעבר לספק חדש מחייב גם הבנת בעלות ויכולת המשכיות, לא רק פתיחת משתמש חדש. מדריך עזיבת עובד עוסק בהיבט האישי; כאן הבדיקה היא של הקשר עם ספק השירות.","אם יש חשד שנעשה שימוש לא מורשה, מסלול האירוע מקבל עדיפות לפי הסיכון. סקירה תקופתית אינה תחליף לצמצום פגיעה פעילה. אין למחוק ראיות או לסגור חשבון מתוך הרשימה בלבד בלי להבין את ההשלכות ואת הסמכות הנדרשת.",{"title":83,"paragraphs":84,"example":87},"תוצר שימושי קושר הרשאה למשימה ולבדיקה",[85,86],"רשמו אילו נכסים ומסלולים נבדקו, מה נשאר פתוח, מה שונה ומי אישר. לכל חריגה קבעו נימוק ואחראי לבחינה. בדיקת קבלה כוללת תפקוד מותר, גבול גישה והמשך עבודה של חיבורים רלוונטיים. צילום מסך של רשימת משתמשים אינו לבדו הוכחה שהסקירה הושלמה.","ב-CyberFixCrew אפשר להגדיר סקירת גישה לנכסים שבתחום השירות ולהפריד המלצות משינויים לביצוע. מסמך המסירה אינו מכיל מפתחות, סיסמאות או קודי שחזור. הוא צריך לאפשר לבעל העסק להבין מי פועל בנכס, לשם מה ואיך בוחנים זאת בעתיד.",{"title":88,"text":89},"כרטיס הרשאה לספק","ספק ואיש קשר: __. נכס ומשימה: __. מסלול וזהות: __. יכולות נדרשות: __. בעל אישור: __. שינוי מאושר: __. בדיקת תפקוד וגבול: __. חריגה, אחראי ומועד בחינה: __.",[91,92,93,94,95],"כל הרשאה קושרה למשימה נוכחית.","נבדקו משתמשים, קבוצות וחיבורים.","בעלות ושחזור נבחנו בנפרד מתפקיד.","שינוי נבדק גם לתפקוד וגם לגבול גישה.","חריגות זמניות קיבלו אחריות ובחינה.",[97,100,103],{"question":98,"answer":99},"אפשר פשוט למחוק כל ספק ישן?","קודם בודקים אם השירות הסתיים, אם יש תלות ומי מוסמך לשנות גישה. במקרה של חשד פעיל נדרשת תגובה מתאימה, ולא ניקוי גורף בלי מיפוי.",{"question":101,"answer":102},"ספק טוב לא צריך חשבון נפרד?","אמון אישי אינו תחליף לזהות ניתנת לניהול, היקף ותיעוד. משתמשים במנגנון שהמערכת תומכת בו ומצמצמים חשבונות משותפים ככל האפשר.",{"question":104,"answer":105},"רשימת משתמשים במערכת הניהול מספיקה?","לא תמיד: גישה יכולה להגיע מאחסון, קבוצה, יישום, מפתח או שחזור. ההיקף הנכון תלוי בנכסים ובתשתית.",[107,108,111],{"label":26,"url":27},{"label":109,"url":110},"הרשות להגנת הפרטיות: מדריך תקנות אבטחת מידע","https:\u002F\u002Fwww.gov.il\u002Fhe\u002Fpages\u002Fdata_security_guide",{"label":70,"url":71},[113,116,119,122,125,127,129],{"path":114,"label":115},"\u002Fblog\u002Fsmall-business-asset-inventory","רשימת נכסים ובעלי אחריות",{"path":117,"label":118},"\u002Fblog\u002Femployee-offboarding-access","הבדיקה כשעובד עוזב",{"path":120,"label":121},"\u002Fglossary\u002Fleast-privilege","משמעות הרשאה מזערית",{"path":123,"label":124},"\u002Fblog\u002Fapi-keys-secrets","ניהול מפתחות וחיבורים",{"path":12,"label":126},"סקירת חשבונות ואמצעי גישה",{"path":13,"label":128},"תחזוקת WordPress בהיקף מתואם",{"path":130,"label":131},"\u002Fblog\u002Fchoose-website-security-provider","שאלות לפני בחירת ספק אבטחת אתר",{"title":133,"description":134,"button":135,"type":136},"רוצים להבין מה הספקים יכולים לעשות בנכסי העסק?","נגדיר היקף ונמפה גישה, תלות וחריגות לפני שינויים, עם בדיקת תפקוד מתאימה.","לתיאום בדיקה וטיפול","check",[138,147,155,163],{"id":139,"path":140,"title":141,"description":142,"category":143,"artwork":144,"order":145,"publishedOn":146},"P120","\u002Fblog\u002Fremote-work-security","איך מאבטחים עבודה מרחוק בעסק קטן בלי להסתמך רק על VPN","אבטחת עבודה מרחוק: מכשיר מאושר, זהות, גישה, מסמכים, גיבוי ודיווח. מטריצת מוכנות וניסוי מורשה לתהליך עבודה בלי הרחבת הרשאות גורפת.","access","websites",16,"2026-05-13",{"id":148,"path":149,"title":150,"description":151,"category":143,"artwork":152,"order":153,"publishedOn":154},"P084","\u002Fblog\u002Fbusiness-phishing-exercise","איך עושים תרגול פישינג לצוות קטן ומפיקים לקחים שימושיים","תרגול פישינג מורשה לצוות קטן: מטרת למידה, תרחיש שולחני, נתוני ניסיון, דיווח ומדידה בהקשר. בלי איסוף סיסמאות או האשמת עובדים.","plan-care",23,"2026-06-14",{"id":156,"path":157,"title":158,"description":159,"category":143,"artwork":160,"order":161,"publishedOn":162},"P116","\u002Fblog\u002Fphishing-link-clicked","לחצתי על קישור פישינג: מה לעשות לפי הפעולה שבוצעה","צעדים אחרי קישור פישינג: הבחנה בין פתיחה, מסירת סיסמה, אישור MFA, הרשאת יישום, קובץ או תשלום. כולל טבלת מיון ותיעוד לאחראי.","security",28,"2026-06-30",{"id":164,"path":165,"title":166,"description":167,"category":143,"artwork":168,"order":169,"publishedOn":170},"P087","\u002Fblog\u002Fdeepfake-payment-call","איך מאמתים בקשת תשלום בקול מזויף בלי להסתמך על זיהוי הקול","אימות בקשת תשלום בשיחה: חזרה במספר מוכר, סמכויות ואישור נפרד. למה קול, וידאו ומספר מוצג אינם תחליף לתהליך עסקי מאומת.","support",32,"2026-07-16",[],null,{"path":174,"label":175},"\u002Fresources","כלים ורשימות בדיקה לאבטחת העסק: משאבים שימושיים",{"path":177,"label":178},"\u002Fglossary","מילון סייבר בעברית: מושגים עם הסברים מעשיים",1794134061857]