מדיניות גישה מותנית ל - Azure Active Directory

מדיניות גישה מותנית ב‑Azure AD: מי באמת נכנס למערכות שלכם?

עוד לילה במוקד ה‑IT. על פניו, הכול שקט: האימיילים עובדים, ה‑VPN מחובר, המשתמשים בבית. ואז, פתאום, התראה אדומה – ניסיון כניסה לחשבון של סמנכ"ל הכספים, הפעם ממדינה שאף אחד בארגון לא טס אליה.

תכלס, זה הרגע שבו מתברר אם הארגון שלכם נשען על "שם משתמש וסיסמה" או על ארכיטקטורה רצינית של גישה מותנית. אם יש לכם Conditional Access ב‑Azure Active Directory, הסיפור הזה בדרך כלל נגמר בחסימה אוטומטית – הרבה לפני שמישהו מספיק לפתוח קובץ אקסל אחד.

מאחורי הקלעים של ניסיון כניסה אחד

בואי נגיד שהמשתמש באמת סמנכ"ל הכספים, אבל המכשיר? מחשב אישי בבית, בלי הצפנה, בלי אנטי‑וירוס מנוהל, מחובר ל‑Wi‑Fi פתוח בקפה. Azure AD רואה את כל זה בזמן אמת – את זהות המשתמש, את סוג המכשיר, את הכתובת הגיאוגרפית ואת דפוסי הגישה שלו.

בפועל, Conditional Access בודק שורה של תנאים במקביל: מי מבקש גישה, מאיפה, לאיזה יישום, מאיזה מכשיר ומה רמת הסיכון שנמדדה עכשיו. אם משהו לא מסתדר – המערכת לא "מקווה לטוב", אלא משנה את חוקי המשחק: מבקשת MFA, חוסמת, או מעבירה את כל הסשן למצב מוגבל.

מי משחק בזירה של Conditional Access

המשתמשים: לא כולם נולדו שווים

בלב הסיפור נמצאים המשתמשים – עובדים, מנהלים, ספקים, פרילנסרים ואפילו אפליקציות שירות (service principals). כל אחד מהם מקבל פרופיל גישה אחר, גם אם על פניו כולם רק "נכנסים לאימייל".

השאלה המרכזית: האם אנחנו מתייחסים לאדמין מערכת כמו למתמחֵה בשירות לקוחות? גישה מותנית מאפשרת שכבת הבחנה עדינה – לפי תפקיד, קבוצה, מיקום, שעות עבודה ואפילו רמת סיכון שמחושבת דינמית.

המכשירים: הלפטופ הארגוני מול הטאבלט בבית

מצד שני, המכשירים: מחשבים ארגוניים מאובטחים, סמארטפונים פרטיים, טאבלטים ישנים. כל אחד מהם עלול להפוך ברגע אחד לצוואר בקבוק אבטחתי אם אין עליו שליטה ונראות.

Azure AD בשילוב Intune (או מערכת ניהול מכשירים אחרת) יודע לסמן מה מנוהל, מה מוצפן, ומה בכלל לא אמור לראות נתונים רגישים. אלא שבאופן מוזר, בארגונים רבים עדיין אין הפרדה חדה בין המכשירים האלה – וזה בדיוק המקום שבו Conditional Access עושה סדר.

היישומים והנתונים: לא כל אפליקציה באותה רמת רגישות

לדוגמה, כניסה ליישום דיווח שעות לא באמת שקולה לכניסה ל‑CRM שמכיל נתוני לקוחות, או למערכת פיננסית עם דוחות רווח והפסד. זה מזכיר איך פעם הכול ישב בתוך הרשת הפנימית, וכל מי שהיה "בפנים" קיבל גישה כמעט חופשית.

בעידן הענן, יישומים מפוזרים בין Azure, SaaS חיצוניים ואפליקציות On‑Prem שמחוברות לענן דרך פרוקסי. גישה מותנית מאפשרת להחליט ברזולוציה גבוהה: מי נכנס לאן, באילו תנאים, ובאיזו רמת אימות.

האבטחה הדינמית: מה קורה כשמשהו נראה חשוד

ובינתיים, ברקע, מנועי ניתוח הסיכון של Microsoft Entra (לשעבר Azure AD) בוחנים כל ניסיון כניסה: מיקום חריג, כתובת IP חשודה, דפוסי גישה מואצים, או מחשב שנראה פתאום "אחר" מהרגיל.

כל הסימנים מצביעים על כך שהמודל הישן של "או שמחוברים או שלא" כבר לא רלוונטי. במקום כן/לא, Conditional Access עובד במוד של "כן, אבל…" – כן, אם אתה מאומת ב‑MFA; כן, אם המכשיר תואם; לא, אם המיקום בסיכון; או "כן, אבל רק גישה מוגבלת".

איך עובדת גישה מותנית ב‑Azure AD

הבסיס: תנאים ובקרות

Azure AD Conditional Access בנוי כשילוב של שני חלקים: תנאים (Conditions) מצד אחד, ובקרות (Access Controls) מצד שני. התנאים מגדירים "מתי" המדיניות מופעלת, והבקרות מגדירות "מה קורה" כשהיא מופעלת.

אז מה זה אומר בפועל? אתם מנסחים מדיניות בסגנון: "כאשר משתמש מקבוצת כספים ניגש ל‑SAP מחוץ לרשת הארגונית, וממכשיר שאינו תואם – דרוש MFA, ואם רמת הסיכון גבוהה – חסום לחלוטין".

המרכיבים המרכזיים של המדיניות

זהות המשתמש

כל ניסיון גישה מתחיל בזהות. Azure AD מאמת את המשתמש עם סיסמה, תעודה, או ספק זהות חיצוני – ובמקרים רבים גם עם MFA. תכלס, בלי שכבה חזקה של אימות, כל שאר ההגנות הופכות לקוסמטיקה.

Conditional Access מאפשר ליצור מדיניות שונות לקבוצות שונות: אדמינים תמיד עם MFA, עובדים כלליים רק ליישומים מסוימים, ספקים חיצוניים עם מגבלות נוספות. זה כבר לא "אחד לכולם".

מצב המכשיר

כאן נכנסת שאלת התאימות (Compliance). האם המכשיר רשום ל‑Intune? האם הדיסק מוצפן? יש סיסמת מסך? מותקנים עדכוני אבטחה אחרונים? רק מכשירים שמסומנים כ"תואמים" עוברים את השער ליישומים הרגישים.

אז מה זה אומר לארגון? אפשר להחליט שמחשב ביתי לא מנוהל יקבל רק גישה ל‑Outlook בענן דרך דפדפן, אבל לא יורשה להוריד קבצים או לפתוח גישה ל‑SharePoint הרגיש.

היישום או המשאב

כל אפליקציה ב‑Azure AD – בין אם SaaS (כמו Salesforce, ServiceNow) ובין אם אפליקציה פנימית – יכולה לקבל מדיניות גישה ייעודית. ל‑Teams אפשר להגדיר כלל אחד, ולמערכת משכורות כלל אחר.

ככה יוצרים מדרג רגישות אמיתי: יישומי ליבה, יישומי תמיכה, שירותים חיצוניים, פורטל עובדים. כל אחד מהם נבדק מול סט תנאים אחר, בהתאם לרמת הסיכון שארגון מוכן לקחת.

מיקום ורשת

גישה ממשרד החברה לעומת גישה מבית קפה בתאילנד – זה לא אותו דבר. Azure AD מאפשר להגדיר "מיקומים מהימנים" (Trusted Locations), רשתות מאושרות, ואפילו לחסום מראש מדינות מסוימות.

לדוגמה, אפשר להגדיר שכניסה מפנים הרשת הארגונית תעבור בלי MFA ליישומים בסיסיים, אבל כל כניסה מחוץ לרשת – תמיד עם MFA, ורק ממכשירים תואמים. אם מגיע ניסיון ממדינה שלא עובדים ממנה – נחסם אוטומטית.

סיכון בזמן אמת

כאן נכנס הממד הדינמי. מנועי Identity Protection בודקים כל התחברות ומקצים לה "רמת סיכון": נמוכה, בינונית או גבוהה. זה יכול להיות בגלל דליפת סיסמאות מוכרת, IP חשוד, או שימוש חריג בחשבון.

במדיניות גישה מותנית אפשר לקבוע: אם רמת הסיכון גבוהה – כופים איפוס סיסמה מיד, דורשים MFA מחודש, או חוסמים גישה לגמרי. בסופו של דבר, לא מסתמכים רק על מה שהמשתמש "אומר" שהוא, אלא גם על מה שההתנהגות שלו משדרת.

תרחישי שימוש: איפה Conditional Access פוגש את היום‑יום

1. אימות רב‑גורמי ליישומים רגישים

כשעובד מנסה להיכנס ל‑ERP, למערכת בנקאית או לפורטל הנהלה – מתקבלת דרישת MFA. אבל אם הוא במשרד, במחשב ארגוני תואם, ובשעות עבודה רגילות – ייתכן שלא תופיע דרישה נוספת, כדי לשמור על חוויית עבודה רציפה.

זהו אחד המקומות שבהם מרגישים את היתרון: אבטחה מוגברת בלי להפוך כל כניסה לייסור מתמשך של SMS וקודים.

2. חסימת גישה ממכשירים לא מנוהלים

עובד מנסה לפתוח SharePoint ארגוני מהלפטופ הפרטי בבית. Conditional Access בודק – המכשיר לא רשום, לא מנוהל, לא תואם. התוצאה: או חסימה מלאה, או מעבר למצב "גישה מוגנת בדפדפן" בלי יכולת הורדת קבצים.

כך אפשר לאפשר גישה בסיסית לתוכן, אבל בלי לסכן דליפת מידע למכשירים שלא בשליטת הארגון. על פניו זה נשמע מגביל, אבל בפועל זה מה ששומר על הנתונים בפנים.

3. הגבלת גישה גיאוגרפית

ארגון שפעילותו רק בישראל ובאירופה יכול להחליט שכניסות ממדינות אחרות – נחסמות, או דורשות שכבת אימות נוספת. אם מופיעה התחברות פתאומית מסין או מרוסיה – Azure AD מיישם את המדיניות באופן אוטומטי.

השילוב הזה, בין מיקום פיזי למדיניות גישה, מאפשר לצמצם מראש שטח תקיפה שלם, בלי לגעת בשום שרת מקומי.

4. מדיניות מבוססת סיכון דינמי

עובד שמנסה להתחבר ממכשיר חדש, בשעה לא שגרתית, ממדינה אחרת – גם אם כל אחד מהפרמטרים האלו לגיטימי בפני עצמו, השילוב ביניהם מעלה את רמת הסיכון. כאן Conditional Access על בסיס "User Risk" ו‑"Sign‑in Risk" נכנס לפעולה.

לדוגמה, אפשר להגדיר שברמת סיכון בינונית נדרוש MFA נוסף, וברמת סיכון גבוהה נחסום ונדרוש מה‑Help Desk בדיקה ידנית. השאלה המרכזית היא כמה אוטומציה הארגון מוכן להכניס, מול כמה שליטה ידנית הוא מעדיף.

הערך העסקי: למה זה לא רק עוד פיצ'ר טכני

שליטה ונראות

במקום אוסף כללים מפוזרים, מנהל אבטחת המידע מקבל לוח בקרה אחד שבו מוגדרים כל חוקי הגישה. דוחות גישה, ניסיונות כושלים, מדיניות שמופעלת בפועל – הכול במקום אחד.

זה מקל על חקירת אירועים, על דיווח להנהלה, ועל עמידה בביקורות פנימיות וחיצוניות. מאחורי הקלעים, הארגון צובר היסטוריית גישה עשירה שמאפשרת לשפר את המדיניות לאורך זמן.

הפחתת סיכונים

כשגישה תלויה בו‑זמנית בזהות, במכשיר, במיקום וברמת סיכון – כל חוליה בשרשרת האבטחה נבדקת. תוקף יצטרך גם סיסמה, גם שליטה במכשיר תואם, גם חיבור ממיקום לגיטימי וגם התנהגות "נורמלית".

בסופו של דבר, זה בדיוק הרעיון של Zero Trust – לא לסמוך על אף רכיב בפני עצמו, אלא לדרוש הוכחות מכמה כיוונים במקביל.

חוויית משתמש טובה יותר

אלא שבאופן מוזר, כשמיישמים Conditional Access נכון, המשתמשים דווקא מרגישים פחות הפרעה. במקום MFA על כל פעולה, הארגון מגדיר תרחישים חכמים: דרישה חזקה כשיש סיכון, וגישה חלקה כשהכול נראה תקין.

התוצאה: פחות תקלות ל‑Help Desk, פחות תסכול של עובדי שטח, ויותר תחושה של מערכת שעובדת "עם" המשתמש, לא נגדו.

עמידה ברגולציה ותקנים

תקני אבטחה ורגולציות כמו GDPR, HIPAA או ISO 27001 דורשים שליטה וניהול גישה ברמה גבוהה. Conditional Access מספק שכבת הוכחה: מדיניות מתועדת, דוחות מפורטים, היסטוריית אכיפה.

כשמגיע מבקר חיצוני ושואל "איך אתם מוודאים שרק משתמשים מורשים ניגשים לנתוני בריאות/כספים?", אפשר להראות מדיניות גישה במקום להסתפק בסיסמאות.

סיפור מהשטח: חברת הביטוח "SafeGuard"

איך זה נראה ביום עבודה אמיתי

"SafeGuard" היא חברת ביטוח בינונית‑גדולה, עם מאות סוכנים בשטח ועובדי מטה במרכז הארץ. המעבר לענן פתח את הדלת ליעילות, אבל גם לסיכונים חדשים.

החברה החליטה ליישם Conditional Access סביב שלושה צירים: זהות, מכשיר ומיקום. כל כניסה למערכת ניהול הפוליסות מחייבת MFA, ללא יוצא מן הכלל. גם אם העובד נמצא במשרד – ליישום הזה הסיכון נחשב גבוה.

המדיניות בפעולה

מכשירים ארגוניים נרשמו ל‑Azure AD ו‑Intune, עברו הצפנה והוגדרו כ"תואמים". רק מהם אפשר לגשת ליישומי ליבה. סוכן שמנסה להיכנס מהטלפון הפרטי – יקבל גישה מוגבלת לפורטל מידע בלבד, בלי אפשרות לשנות נתוני פוליסה.

חיבורים מחוץ למשרדי החברה מחויבים לעבור דרך VPN מאושר, או דרך חיבור מאובטח שמוגדר כ‑Trusted Location. ניסיון גישה מחו"ל – כמעט תמיד מסומן כסיכון ומאומת ב‑MFA, לעיתים גם נחסם אוטומטית עד בירור.

פתאום, ניסיון כניסה בשתיים בלילה ממכשיר חדש וממדינה לא צפויה קופץ ישר לדשבורד האבטחה. במקום לגלות על פריצה אחרי שבוע, האירוע מטופל בזמן אמת.

מה כדאי לזכור כשנכנסים לעולם Conditional Access

גישה הדרגתית, לא "ביג בנג"

זה מפתה להפעיל "מדיניות ברזל" ביום אחד, אבל תכלס – זו בדרך כלל טעות. נכון יותר להתחיל בפיילוט מצומצם: קבוצה קטנה של משתמשים, כמה יישומים קריטיים, מדיניות ברורה – ורק אחר כך להתרחב.

השאלה המרכזית בכל שלב: איזה סיכון אנחנו מורידים, ובאיזה מחיר מבחינת חוויית המשתמש. מדיניות טובה היא כזו שמצליחה לשמור על איזון עדין בין השניים.

שקיפות והסברה למשתמשים

כדי שלא ירגישו שהמערכת "מתנכלת" להם, חשוב להסביר למה פתאום חייבים MFA, למה לא נכנסים ממחשב ביתי לא מנוהל, ולמה ניסיון גישה מחו"ל מעורר בדיקה. כשהעובדים מבינים את ההיגיון – רמת ההתנגדות יורדת.

זהו לא רק שינוי טכנולוגי, אלא שינוי תרבותי: הארגון עובר מחשיבה של "אני סומך על הרשת הפנימית" לחשיבה של "אני בודק כל ניסיון גישה לגופו".

טבלת תמצית: אבני הבניין של Azure AD Conditional Access

בטבלה רואים איך כל נדבך – זהות, מכשיר, יישום, מיקום וסיכון – תופס חלק בפאזל אחד שלם. השילוב ביניהם הוא זה שהופך את Conditional Access ממנגנון טכני לכלי אסטרטגי בניהול אבטחת מידע.

לאן ממשיכים מכאן?

להפוך את הגישה המותנית לסטנדרט הארגוני

המעבר ל‑Conditional Access ב‑Azure AD הוא לא "עוד פרויקט IT", אלא שינוי הסתכלות על גישה ומשאבים. במקום לשאול "מי בתוך הרשת?", מתחילים לשאול "מי מבקש גישה, באילו תנאים, והאם זה הגיוני עכשיו?".

כשמגדירים מדיניות חכמה, בונים שלבים מדורגים ומדברים עם המשתמשים בגובה העיניים – האבטחה עולה דרמטית, בזמן שחוויית העבודה נשארת זורמת. בסופו של דבר, זה בדיוק המקום שבו טכנולוגיה נכונה פוגשת ניהול נכון.