קחו משרד רואי חשבון בפתח תקווה, נניח עם 60 עובדים מול מחשב. ביום שישי בצהריים עובדת מסיימת דוח. כדי להמשיך מהבית היא שולחת לעצמה למייל הפרטי קובץ אקסל עם שמות, מספרי זהות ופרטי חשבון בנק של 300 לקוחות (המספרים להמחשה). לא הייתה פריצה, לא היה וירוס ולא הייתה כוונה רעה. ובכל זאת, המידע יצא מהמשרד. מערכות DLP נבנו בדיוק בשביל הרגע הזה.
מי שמגיע לעמוד הזה מגיע בדרך כלל עם שלוש שאלות. מה זה DLP, ולמה פתאום כולם מדברים על זה? האם זה רלוונטי לעסק בגודל שלי? ומה ההבדל בין זה לבין האנטי-וירוס שכבר מותקן אצלנו? נעבור עליהן לפי הסדר, עם דוגמאות מ-Teramind, ובלי להעמיד פנים שהכלי מתאים לכולם. העמוד הזה הוא חלק מהמדריך המלא ל-Teramind בעברית.
התשובה הראשונה: מה זה DLP
DLP (ראשי תיבות של Data Loss Prevention, מניעת דליפת מידע) היא מערכת שמזהה מידע רגיש ומונעת את אובדנו, שימוש לרעה בו או גישה לא מורשית אליו. זו ההגדרה שספקי התחום משתמשים בה, למשל Forcepoint.
כדאי להבין את זה כבר בהתחלה: DLP לא שואלת "האם הקובץ הזה מסוכן?". היא שואלת "האם המידע הזה אמור לצאת לשם?". הקובץ של העובדת מפתח תקווה תקין לגמרי. הבעיה היא היעד שאליו הוא נשלח. לכן מערכת DLP מסתכלת על שלושה דברים ברצף: מה יש בקובץ או בטקסט, לאן הוא הולך, ומה עושים עם התשובה.
במנוחה, בתנועה ובשימוש: שלושה מצבים של מידע
אנשי אבטחה מחלקים מידע לשלושה מצבים. החלוקה הזאת עוזרת להבין מה כלי DLP מסוים מכסה ומה לא.
- במנוחה קבצים שיושבים על דיסק, בתיקייה משותפת או בענן. השאלה כאן היא איפה הם נמצאים ומי ניגש אליהם.
- בתנועה מידע שעובר ממקום למקום: מייל עם קובץ מצורף, העלאה לאתר או העתקה לדיסק-און-קי.
- בשימוש מידע שפתוח כרגע על המסך: הדבקה מה-Clipboard, טקסט שמוקלד בצ'אט או Prompt (הבקשה שכותבים לכלי AI).
Teramind הוא DLP של תחנת הקצה. כלומר, יש סוכן (Agent) שמותקן על המחשב של העובד ובודק מה קורה בו. לכן הכוח שלו הוא בשני המצבים האחרונים. הוא רואה קבצים שמועתקים, נשלחים או עולים לאתר. הוא בודק טקסט שמודבק או נשלח לכלי AI. והוא יכול לעצור העלאה לאתר לפני שהמידע נשלח. אם הצורך העיקרי שלכם הוא למפות איפה יושב כל מסמך רגיש ב-SharePoint או ב-OneDrive, המיקוד של Microsoft Purview, שמכסה את Exchange, SharePoint, OneDrive ו-Teams, יתאים יותר.
שלושה כלים ששואלים שאלות שונות: אנטי-וירוס, גיבוי ו־DLP
זו כנראה השאלה הנפוצה ביותר בשיחות עם בעלי עסקים: "יש לנו אנטי-וירוס וגיבוי בענן, אז למה צריך עוד משהו?" התשובה היא שכל כלי שואל שאלה אחרת:
| כלי | השאלה שהוא שואל | מה הוא עוצר | מה הוא לא רואה |
|---|---|---|---|
| אנטי-וירוס | האם הקוד הזה זדוני? | תוכנה זדונית שנכנסת למחשב | עובד מורשה ששולח קובץ אמיתי החוצה |
| גיבוי | האם אפשר לשחזר? | כלום. הוא מחזיר מידע אחרי שנמחק או הוצפן | עותק שכבר יצא מהארגון |
| DLP | האם המידע הזה אמור לצאת לשם? | מידע רגיש שיוצא לערוץ לא מורשה | קוד זדוני, ושחזור של מה שנמחק |
גיבוי מחזיר לך את המידע. DLP דואגת שלא יהיה לאף אחד אחר עותק שלו.
שלושת הכלים נחוצים, ואף אחד מהם לא מחליף את האחרים. זה כמו ביטוח רכב וחגורת בטיחות: ההבדל מתברר בדרך הכי פחות נעימה.
איך המערכת יודעת שמשהו רגיש: זיהוי לפי תוכן מול זיהוי לפי התנהגות
יש שתי דרכים מרכזיות לזהות שמשהו לא בסדר, ו-Teramind מחלק את הכללים שלו בהתאם:
- Content Sharing rules (לפי תוכן) בודקים את התוכן עצמו: קובץ, Prompt לכלי AI, מייל, צ'אט, Clipboard או טקסט שמופיע על המסך. אתם מגדירים מה נחשב רגיש, למשל רשימת מילים או ביטוי רגולרי (Regex, תבנית שמתארת מבנה של מספר או מחרוזת). את אלה אפשר לרכז ב-Shared Lists, כך ששינוי אחד מתעדכן בכל הכללים.
- Activity rules (לפי פעולה) מסתכלים על הפעולה ולא על התוכן: כניסה לאתר, פתיחת תוכנה, העתקת קובץ, חיבור USB, שליחת מייל או הדפסה. לא משנה מה כתוב בקובץ. מה שמעניין הוא שהוא הועתק לדיסק חיצוני.
- Anomaly rules (לפי חריגה) מזהים חריגה מההתנהגות הרגילה: סף כמותי או סיכון שמצטבר. לדוגמה, עובד שמעלה לענן עשרות קבצים ביום, כשבדרך כלל הוא מעלה שניים.
בפועל משלבים בין השתיים: התוכן אומר "זה רגיש", וההתנהגות אומרת "זה חריג". כשהשניים מופיעים יחד, הסיכוי שמדובר באירוע אמיתי ולא באזעקת שווא עולה.
מה קורה ברגע האמת: התראה מול חסימה
כשכלל מזהה הפרה, צריך להחליט מה המערכת עושה. לפי התיעוד של Teramind, אלה האפשרויות המרכזיות:
| פעולה | מה היא עושה | מה חשוב לדעת |
|---|---|---|
| Notify | שולחת מייל לאחראי | עד 15 כתובות לכל Notify |
| Warn | מציגה לעובד הודעת אזהרה | אפשר לעצב אותה ב-HTML ולצרף קישור למדיניות |
| Block | עוצרת את הפעולה לפני שהיא מסתיימת | יכולה לעצור העלאה לאתר לפני שהמידע נשלח |
| Record | מקליטה קטע מלפני ההפרה ומאחריה | דורשת להגדיר Record only when rule was violated |
| Lock User | נועלת את חשבון העובד | לא מחליפה נעילה ב-Entra או ב-AD |
| Command | מבצעת פקודה או סקריפט | Windows בלבד. הרשאה חזקה ומסוכנת |
הדרך הנכונה היא להתחיל ב-Notify, כלומר רק לראות מה הכללים תופסים. אחר כך עוברים ל-Warn, שמלמד את העובדים את המדיניות בזמן אמת. את Block מגדירים רק לכללים שהוכיחו שהם לא חוסמים עבודה לגיטימית. ב-Advanced mode אפשר לקבוע ספים. בתיעוד של Teramind מופיעה דוגמה: Warn מעל 5 העלאות, ו-Block יחד עם Notify מעל 50 ביום. זו דוגמה של היצרן, לא סף מומלץ. והצלחה היא לא מספר גבוה של חסימות. הצלחה היא פחות אירועים אמיתיים, מעט חסימות שגויות ותהליך מתועד לאישור חריגים. את המעבר המדורג מפרט העמוד הטמעת DLP ב-Teramind ב-30 יום.
איך זה נראה כשזה עובד: כלל אחד והפרה אחת ב־Teramind
בממשק של Teramind (באנגלית בלבד) העבודה מתחלקת לשלושה מסכים:
- Configurations › Monitoring Profiles כאן קובעים מה בכלל מותר לאסוף, באילו שעות ואצל מי. זה המקום להחריג מידע פרטי עוד לפני שכותבים כלל אחד.
- Configurations › Behavior Policies כאן נמצאים המדיניות, הכללים, התנאים ופעולות האכיפה. יש כללים מוכנים מסוג DLP שאפשר לפתוח, להבין ולהתאים.
- Dashboards › Overview כאן רואים את ההפרות בפועל. הדשבורד Behavior Alerts הוא תור העבודה היומי של מי שאחראי על האבטחה.
כשכלל כמו Block Credit Card Sharing נתפס, ההפרה מופיעה ב-Behavior Rule Violations עם שם העובד, הכלל והפעולה שבוצעה. שימו לב: רוב הנתונים בדשבורדים הרגילים עשויים להתעדכן רק אחרי עד ארבע שעות. לכן באירוע חמור צריך להסתמך על ההתראות עצמן, ולא לחכות שהגרף יתעדכן.
האם זה רלוונטי לעסק בגודל שלך: מתי לא צריך DLP
DLP מתאימה כשיש לכם מידע של לקוחות או עובדים שיכול לצאת דרך מייל, ענן אישי, USB או כלי AI, וכשיש מי שיטפל בהתראות. אבל יש מצבים שבהם עדיף לחכות:
- אין מי שיקרא את ההתראות. מערכת שמתריעה ואף אחד לא מגיב לה היא קישוט יקר. לפני הרכישה, תחליטו מי בעל התפקיד שמטפל בהתראות.
- הבסיס עוד לא קיים. אם עדיין לא ברור למי יש הרשאה לאיזו תיקייה, DLP רק תתעד את הבלגן. קודם מסדרים הרשאות.
- המידע הרגיש מצומצם ויושב במערכת אחת שכבר מנהלת הרשאות ומתעדת גישה. לפעמים מספיק להדק את ההגדרות שם.
- העבודה נעשית בעיקר בטלפון או בטאבלט. ל-Teramind אין תמיכה רשמית ב-Android או ב-iOS.
בכנות: מתי Teramind גדול מדי או לא מתאים
- אתם עובדים כולכם ב-Microsoft 365. כאן Microsoft Purview נותן DLP על Exchange, SharePoint, OneDrive ו-Teams, יחד עם תוויות סיווג, בתוך הסביבה שכבר יש לכם.
- אתם ארגון מוסדר עם צוות אבטחה ייעודי. Forcepoint בנוי ל-DLP ארגוני בכמה ערוצים: תחנות קצה, רשת, מייל, Web וענן.
- מה שאתם רוצים בעצם הוא למדוד זמן ופרודוקטיביות. Insightful עושה את זה בלי הקלטת הקשות, וזה פחות פולשני.
- רוב הצוות על Mac או Linux. לפי מטריצת התמיכה של Teramind, פגישות מקוונות, רשתות חברתיות ומסרים מיידיים לא נתמכים שם באופן מלא.
גם המחיר הוא שיקול. חבילת DLP, שכוללת בדיקת תוכן וחסימה, מוצגת ב-32 דולר למושב לחודש, עם מינימום של 5 מושבים. אם מה שאתם צריכים הוא בעיקר חקירה והתראות, חבילת UAM, שמוצגת ב-28 דולר, עשויה להספיק. המחיר מתעדכן באתר הרשמי, ויש לבדוק הצעת מחיר לפני רכישה. פירוט נוסף בעמודים מחיר Teramind וחלופות ל-Teramind.
השורה התחתונה: מה זה אומר עליך
אם אתה אחראי על מידע של לקוחות ועובדים, השאלה היא לא אם יש לך אנטי-וירוס. השאלה היא אם תדע כשקובץ רגיש יוצא למקום שהוא לא אמור להגיע אליו. ואם תדע, מה יקרה אז. תתחיל במיפוי: איזה מידע רגיש יש לך ובאילו ערוצים הוא יכול לצאת. אחר כך תגדיר כללים במצב התראה בלבד, ורק אחרי שתלמד את התמונה תעבור לחסימה. ואם אין לך עדיין מי שיטפל בהתראות, זה הצעד הראשון. לא הרכישה.
המידע בעמוד הוא כללי ולא מהווה ייעוץ משפטי או התחייבות לתוצאה. כל הערכה לגבי התאמה ויעילות תלויה בהגדרות ובסביבה שלכם.
מקורות
- Teramind: Defining Rule Actions
- Teramind: Content Sharing Rules
- Teramind: Dashboards
- Teramind: Monitoring Profiles
- Teramind: Windows/Mac/Linux feature matrix
- Teramind User Guide
- Forcepoint DLP
- Microsoft Purview
נכון ל-31/10/2026