בקצרה
- USB: אין צורך לבחור בין ״הכול פתוח״ ל״הכול חסום״. ב-Teramind אפשר לנטרל התקני USB חוץ ממקלדת ועכבר, או לבנות כלל קבצים על כוננים חיצוניים, ולהחיל כל אחת מהאפשרויות על מחלקה אחרת.
- ענן פרטי: כלל Block עוצר העלאה דרך הדפדפן לפני שהמידע נשלח. כדאי להתחיל מדומיינים אישיים, ולא לחסום את הדרייב העסקי.
- חריגה: הודעת Warn עם קישור לנוהל, קבוצת חריגים מוגדרת ומאשר בשם. ״תפתח לי רגע״ בטלפון אינו נוהל.
לדוגמה: משרד רואי חשבון ברמת גן, 60 עובדים ואלפי תיקי לקוחות. מנהלת ה-IT מחזיקה גם את אבטחת המידע בחצי משרה, ומגיעה לישיבת ההנהלה עם שלוש שאלות. האם לחסום דיסק-און-קי לכל העובדים? איך מונעים העלאה של קובץ לקוח לדרייב הפרטי של מישהו? ומה קורה בפעם הראשונה שמנהל חשבונות צריך להעביר קובץ ליועץ חיצוני, והכלל החדש חוסם אותו באמצע סוף רבעון?
העמוד הזה בנוי לפי שלוש השאלות האלה. הוא חלק ממדריך מלא ל-Teramind בעברית. המסגור לאורך כל העמוד הוא הגנה על מידע של לקוחות ועובדים, בשקיפות מול העובדים. המטרה אינה לדעת מי גלש לאתר ספורט בהפסקה.
לפני שחוסמים משהו: מידע יוצא בשלושה ערוצים
כמעט כל קובץ שעוזב את המשרד בלי אישור עובר באחד משלושה ערוצים:
- התקן נייד: דיסק-און-קי, כונן חיצוני, ולפעמים גם טלפון שמחובר בכבל רק לטעינה.
- העלאה לענן: גרירת קובץ לדרייב, לתיבת אחסון או לכל אתר שמקבל קבצים.
- אתר: אתרים שאין להם מקום במחשב עבודה, למשל שירותי העברת קבצים אנונימיים.
לכל ערוץ יש שלוש רמות תגובה. תיעוד בלבד: הפעולה נרשמת ואף אחד לא מקבל הודעה. התראה: מנהל מקבל הודעת מייל (Notify), או שהעובד רואה אזהרה על המסך (Warn). חסימה (Block): הפעולה נעצרת לפני שהיא מסתיימת. ההחלטה החשובה היא איזו רמה מתאימה לכל ערוץ בכל מחלקה, ולא אם להפעיל את Teramind בכלל.
מי רואה מה ואיפה חוסמים: שני מסכים, Access Control ו-Behavior Policies
שני המסכים נמצאים תחת Configurations, ולכל אחד תפקיד אחר.
Access Control מנהל את ההרשאות בתוך הקונסולה עצמה, כלומר מי מאנשי הצוות רואה את הנתונים של מי ומי רשאי לשנות כללים. כאן מפרידים בין IT, משאבי אנוש ומי שאחראי על האבטחה, למשל באמצעות תפקידים כמו Administrator או Department Head/Manager. זה המקום להגן גם על המידע שהכלי אוסף: ראש מחלקה צריך לראות את ההתראות של המחלקה שלו, לא של כל המשרד.
Behavior Policies הוא המסך שבו מגדירים את הכללים: Policies, ובתוכם Rules עם תנאים ופעולות. כדי שכלל קבצים יראה בכלל USB וענן, ערוץ Files צריך להיות פעיל ב-Monitoring Profiles. הערוץ הזה מכסה סוגי קבצים, פעולות, תיקיות, USB וכונני ענן.
הפעולות שאפשר לחבר לכלל, לפי תיעוד פעולות-הכלל:
- Notify הודעת מייל לעד 15 כתובות בכל Notify.
- Warn אזהרה לעובד. אפשר לעצב אותה ב-HTML ולצרף קישור למדיניות.
- Block עוצר את הפעולה לפני שהיא מסתיימת, כולל העלאה דרך הדפדפן.
- Redirect מפנה מאתר אחד לכתובת אחרת. עובד ב-Windows ובכללי Webpages בלבד.
- Record מקליט קטע לפני ההפרה ואחריה, בתנאי שהוגדר Record only when rule was violated.
לחסום לכולם או רק לתעד: מדיניות USB לפי מחלקה
יש שתי דרכים עיקריות לטפל ב-USB. הדרך הראשונה גורפת: האפשרות Disable USB devices except keyboard and mouse, שמשאירה רק מקלדת ועכבר. הדרך השנייה מדויקת יותר: כלל מסוג Files על %EXTERNALDRIVES%. הכלל מזהה העתקה לכונן חיצוני ומגיב לפי הרמה שבחרת, תיעוד, אזהרה או חסימה.
התשובה לשאלה הראשונה היא אפוא תלוי במחלקה. החלוקה בטבלה היא דוגמה למשרד כמו זה שברמת גן, ולא המלצה גורפת:
| מחלקה (לדוגמה) | מה מחזיקה | תגובה ל-USB |
|---|---|---|
| הנהלת חשבונות | תיקי לקוחות, תלושים | Block, חוץ ממקלדת ועכבר |
| מכירות | הצעות מחיר, רשימות פניות | Warn עם קישור לנוהל |
| IT | כלי התקנה וגיבויים | תיעוד בלבד, וחריגה מתועדת |
כך מי שמחזיק את המידע הרגיש ביותר נחסם, ומי שצריך USB לעבודה ממשיך לעבוד, אבל לא בלי שאיש יודע.
דרייב פרטי מול דרייב עסקי: איך עוצרים העלאה לענן פרטי
כאן קל לשתק את המשרד. חסימה גורפת של OneDrive או Google Drive תעצור גם את הדרייב העסקי שכולם עובדים בו. הכללים של Teramind מאפשרים להבחין לפי מקור הקובץ (File Origin), לפי ספק הענן (Cloud provider) או לפי כתובת (URL). Block עוצר העלאה דרך הדפדפן לפני שהמידע נשלח, ולא אחרי שהקובץ כבר נמצא בחוץ.
כדי לא לנהל עשרות כללים, כדאי להחזיק את רשימת הדומיינים האישיים ב-Shared Lists שתחת Configurations. שינוי אחד ברשימה מעדכן את כל הכללים שמשתמשים בה.
במצב Advanced אפשר גם לקבוע ספים. התיעוד מביא כדוגמה Warn מעל 5 העלאות, ו-Block יחד עם Notify מעל 50 העלאות ביום. זו דוגמה של היצרן ולא סף מומלץ. את הסף הנכון קובעים לפי מה שתראה בפועל במשרד שלך.
ומה עם אתרים?
לאתר שאין לו מקום במחשב עבודה מגדירים כלל Webpages עם Block, או Redirect לדף פנימי שמסביר למה האתר סגור. Redirect עובד ב-Windows בלבד. את התוצאות בודקים בדשבורדים Web File Events ו-File Events. רכיבי דשבורד רגילים עשויים להתעדכן באיחור של עד ארבע שעות, ולכן אירוע דחוף צריך להגיע אליך גם כהתראה.
צעד אחר צעד: מדיניות ערוצים לפי מחלקה
- ממפים מחלקות ב-Configurations › Departments. לכל מחלקה רושמים איזה מידע היא מחזיקה ובאילו ערוצים היא באמת משתמשת.
- מוודאים שערוץ Files פעיל ב-Monitoring Profiles, ומגדירים החרגות פרטיות לפי תפקיד.
- בונים Shared List של דומיינים אישיים ושל אתרים שאין להם מקום במחשב עבודה.
- יוצרים כללים במצב Notify ל-USB ולהעלאות לענן אישי, ומחילים אותם על המחלקות הרלוונטיות.
- בודקים את ההתראות בשבוע-שבועיים הראשונים, ומפרידים בין התראות אמת להתראות שגויות.
- עוברים ל-Warn עם קישור לנוהל. העובדים לומדים את הכלל לפני שהוא חוסם אותם.
- מפעילים Block רק על כללים שהתייצבו. לוח זמנים מלא מופיע בהטמעת DLP ב-30 יום.
כשעובד צריך יותר: מסלול חריגה עם מאשר ותאריך תפוגה
השאלה השלישית היא זו שמכריעה אם המערכת תחזיק מעמד. בלי מסלול חריגה, ההנהלה תבקש לכבות את זה רגע כבר בשבוע הראשון, ואחרי חודש אף אחד לא יזכור להדליק את זה שוב. מסלול סביר נראה כך:
- הבקשה מתחילה בהודעת Warn: הקישור בהודעה מוביל לנוהל ולדרך להגיש בקשה, כך שהעובד יודע מה לעשות ולא נשאר תקוע.
- מאשר בשם: ראש המחלקה מאשר את הצורך העסקי, והאחראי על האבטחה מאשר את הערוץ. שני אנשים, לא אחד.
- קבוצת חריגים: מוסיפים את העובד לקבוצה או לרשימה שמוחרגת מהכלל, ולא מכבים את הכלל לכולם.
- תאריך תפוגה: כל חריגה זמנית, ומישהו אחראי להסיר אותה כשהיא נגמרת.
- עקבות: הדשבורד Audit מתעד שינויים בקונסולה, כך שאפשר לראות מי הוסיף חריגה ומתי.
בכנות: מתי Teramind גדול מדי או לא מתאים
- אם כל מה שאתה צריך הוא נטרול USB, ייתכן שהכלים שכבר יש לך מספיקים. כדאי לבדוק את זה לפני שרוכשים מערכת שלמה.
- אם המשרד כולו בנוי על Microsoft 365 ואתה רוצה תוויות סיווג על מסמכים, Purview עשוי להתאים יותר. ההשוואה המלאה בחלופות ל-Teramind.
- אם חלק גדול מהעובדים על Mac או Linux: התמיכה במערכות האלה חלקית, ו-Redirect, למשל, עובד רק ב-Windows. כדאי לבדוק את טבלת התמיכה לפי מערכת הפעלה. אין תמיכה רשמית בטלפונים ובטאבלטים.
- אם אין מי שיטפל בהתראות, כללי חסימה רק ייצרו תסכול בלי הגנה אמיתית.
- עלות: חסימה לפי תוכן נמצאת בחבילת DLP, במחיר מוצג שנבדק של 32 דולר למושב לחודש, עם מינימום 5 מושבים. המחיר מתעדכן באתר הרשמי, ויש לבדוק הצעת מחיר לפני רכישה. פירוט במחיר Teramind.
בשורה התחתונה: מה זה אומר עליך
אם אתה אחראי על מידע של לקוחות ועובדים ואין לך צוות אבטחה, אינך צריך לחסום הכול ביום הראשון. אתה צריך לדעת איזה מידע יושב בכל מחלקה, להתחיל בהתראות, ולחסום רק את מה שהתייצב. וחשוב לא פחות: לתת לעובדים שלך דרך מכובדת לבקש חריגה, כדי שהם יבינו שהמערכת מגינה על המידע ולא עוקבת אחריהם. המסלול הזה הוא הערכה כללית ואינו ייעוץ משפטי או התחייבות לתוצאה. ההתאמה לעסק שלך תלויה במבנה, בכלים ובמידע שאתה מחזיק.
מקורות
- Teramind User Guide
- Teramind — Defining Rule Actions
- Teramind — Monitoring Profiles
- Teramind — Content Sharing Rules
- Teramind — Dashboards
- Teramind — Windows/Mac/Linux feature matrix
- Teramind — Licensing
נכון ל-31/10/2026.