הטמעת DLP ב-Teramind: 30 יום מהתראה עד חסימה

נניח משרד רואי חשבון ברמת גן עם 80 עובדים (המספר הוא לדוגמה). המשרד מחזיק דוחות כספיים של לקוחות, תלושי שכר וצילומי תעודות זהות. מנהל ה-IT כבר קנה רישיון DLP של Teramind, והוא מגיע לכאן עם שלוש שאלות: מאיפה מתחילים להגדיר, איך לא חוסמים לעובד את הקובץ שהוא באמת צריך לשלוח, וכמה זמן לוקח עד שזה עובד. העמוד בנוי לפי שלוש השאלות האלה.

העמוד הוא חלק מהמדריך המלא ל-Teramind בעברית, והוא מתמקד במשימה אחת: להדליק כללי DLP בהדרגה. אם המונח עדיין חדש לך, כדאי לקרוא קודם את ההסבר על מה זה DLP.

השאלה הראשונה: מאיפה מתחילים, ולמה לא בחסימה

DLP פירושו מניעת דליפת מידע. ב-Teramind כל כלל בנוי משני חלקים: תנאי ופעולה. התנאי מתאר מה קרה, למשל העלאת קובץ לאתר, חיבור USB או הדבקת טקסט לכלי AI. הפעולה קובעת מה הכלי עושה כשהתנאי מתקיים. לפי התיעוד, הפעולה Block עוצרת את הפעולה של העובד לפני שהיא מסתיימת, כולל העלאה לאתר לפני שהמידע יוצא. זה הכוח שלה, וזו גם הסכנה שבה. כלל חסימה שנכתב לפני שמבינים איך נראה יום עבודה רגיל עלול לעצור, למשל, את הקובץ שמחלקת השכר מעלה כל חודש לאתר הבנק. כלל כזה שורד בדרך כלל עד הטלפון הראשון מהמנכ״ל.

לכן מתחילים מהפעולות הרכות ועולים בהדרגה:

• Notify שולחת מייל לאחראי, עד 15 כתובות לכל Notify. העובד לא מרגיש כלום. זה שלב ההתראה.
• Warn מציגה לעובד הודעה על המסך. אפשר לעצב אותה ב-HTML ולצרף קישור לנוהל הכתוב, כך שהיא משמשת גם לשקיפות ולא רק לאכיפה.
• Block עוצרת את הפעולה לפני שהיא מושלמת. את הפעולה הזאת שומרים לסוף.
• Record מקליטה קטע לפני ההפרה ואחריה. היא דורשת להגדיר Record only when rule was violated, כך שההקלטה מתבצעת רק כשיש סיבה.

שתי פעולות כדאי להשאיר בצד בחודש הראשון. הראשונה היא Lock User, שנועלת את חשבון העובד, מיועדת בעיקר לסוכן Stealth ואינה תחליף לנעילה ב-Active Directory או ב-Entra. השנייה היא Command, שמריצה פקודה או סקריפט ב-Windows. זו הרשאה עוצמתית ומסוכנת.

השאלה השלישית: כמה זמן לוקח עד שזה עובד

בכותרות הבאות, המילה ״שבוע״ היא תווית מעוגלת לשלב, לא שבוע קלנדרי מדויק.

שבוע 1: רק לראות, דרך Monitoring Profiles

• ממפים איפה המידע נמצא רושמים היכן נמצאים תיקי הלקוחות ותלושי השכר, ובאילו ערוצים הם עלולים לצאת: USB, ענן אישי, מייל חיצוני וכלי AI.
• מודיעים לעובדים בוחרים סוכן Standard, שמציג הודעת אישור בהתקנה, או Revealed, שהוא גלוי לגמרי. לצד זה מפרסמים נוהל כתוב. ההבדלים בין הסוגים מוסברים בעמוד על סוכן גלוי או חשאי.
• בונים פרופיל לפי מטרה במסך Configurations › Monitoring Profiles מדליקים רק את הערוצים שנחוצים למטרה שהוגדרה. הפירוט נמצא בתיעוד של Monitoring Profiles.
• מחריגים את מה שלא צריך לראות מכבים הקשות של סיסמאות ומחריגים יישומים, אתרים, כתובות IP ותיקיות. חלון שהוחרג מושחר אוטומטית בהקלטה. אפשר גם להגביל את הניטור לשעות העבודה. עוד באותו נושא: ניטור שמכבד פרטיות.
• מסתכלים, ולא נוגעים הדשבורד Insider Threat Detection מרכז העלאות, קבצים מצורפים, הדפסות ומילים רגישות. בשלב הזה רק לומדים איך נראה יום רגיל. שים לב: דשבורדים רגילים עשויים להתעדכן באיחור של עד ארבע שעות.

שבוע 2: כללים מוכנים במצב התראה

את הכללים בונים במסך Configurations › Behavior Policies. ב-Teramind יש ארבעה סוגי כללים. Activity rules מתייחסים לפעולה עצמה, למשל קובץ, USB או אתר. Content Sharing rules בודקים את התוכן: קובץ, הנחיה לכלי AI, מייל, צ׳אט, Clipboard או טקסט שמופיע על המסך. לצידם יש כללי חריגה מהתנהגות רגילה וכללים לפי שעות.

לא חייבים להתחיל מדף ריק. הדשבורד Use Case Catalog כולל 16 תרחישים מוכנים, ובהם איתור דליפה והגנה על מידע פנימי. הם עוזרים להחליט אילו כללים לבנות קודם. בשבוע הזה מגדירים ארבעה כללים, וכולם עם פעולת Notify בלבד:

• חיבור התקן USB לא מוכר.
• העלאת קבצים לשירות ענן אישי.
• מייל חיצוני עם קובץ מצורף.
• הדבקת מידע רגיש לכלי AI. זה כלל Content Sharing שבו סוג התוכן הוא LLM, ובוחרים לו שירותים כמו ChatGPT Web או Gemini Web. הפירוט נמצא בעמוד על Shadow AI.

השאלה השנייה, איך לא חוסמים עבודה לגיטימית: רשימות של מה מותר ב-Shared Lists

ב-Configurations › Shared Lists שומרים רשימות משותפות: טקסט, ביטויי Regex, כתובות וישויות. כל כלל יכול להשתמש באותה רשימה.

שינוי אחד ברשימה מעדכן את כל הכללים שמשתמשים בה. זה מה שמונע מהמשרד לבנות מחדש עשרה כללים בכל פעם שמגיע לקוח חדש.

במשרד מהדוגמה, הרשימות יכולות להיראות כך:

• הדומיינים של שירותי הענן העסקיים שהמשרד אישר.
• ביטוי Regex שמזהה מספר בן 9 ספרות, כמו מספר תעודת זהות.
• שמות פרויקטים או לקוחות שאסור שיופיעו בהנחיה לכלי AI.

לצד הרשימות מגדירים קבוצת חריגים ותהליך לאישור זמני. רואה חשבון שצריך לשלוח קובץ גדול ללקוח מבקש אישור, מקבל אותו לפרק זמן מוגדר, והבקשה מתועדת.

שבוע 3–4: חסימה רק היכן שהמידע רגיש

בימים 21–25 משנים את הכללים מ-Notify ל-Warn. העובד רואה הודעה שמסבירה למה הפעולה סומנה, עם קישור לנוהל. במקרים רבים ההודעה הזאת לבדה משנה הרגלים. בימים 26–28 עוברים ל-Block, ורק בכללים שכמעט לא ייצרו התראות-שווא בשבועות הקודמים.

ב-USB יש שתי דרכים. אפשר לבחור Disable USB devices except keyboard & mouse, ואפשר להגדיר כלל Files על %EXTERNALDRIVES%. בענן חוסמים דומיינים אישיים, ולא חוסמים באופן גורף את OneDrive או את Google Drive העסקיים. הפירוט נמצא בעמוד על חסימת USB, ענן ואתרים. בימים 29–30 עורכים תרגיל דליפה מורשה, עם רשימת לקוחות מדומה, דיסק-און-קי והנחיה רגישה לכלי AI. אחרי התרגיל מקבלים אישור הנהלה וכותבים נוהל תגובה שמפנה לחקירה אחרי דליפה.

כשהכלל טועה: איך מטפלים בהתראות-שווא

הדשבורד Behavior Alerts הוא תור העבודה. כל התראה עוברת ארבעה צעדים:

• מסווגים אותה: דליפה אמיתית, עבודה לגיטימית או רעש.
• אם זו עבודה לגיטימית, מוסיפים את היעד ל-Shared List או את העובד לקבוצת החריגים.
• אם זה רעש, מצמצמים את הכלל למחלקה או למחשבים מסוימים, או מעלים את הסף.
• מתעדים כל חריג: מי אישר, למה ועד מתי.

המדד להצלחה הוא לא מספר החסימות. המדד הוא ירידה באירועים אמיתיים, מעט חסימות שגויות ותהליך חריגים מתועד. שגרת בוקר קצרה מתוארת בעמוד על הדשבורדים.

בכנות: מתי לא צריך את Teramind

חסימה לפי תוכן דורשת את חבילת DLP. המחיר המוצג שנבדק הוא 32 דולר למושב לחודש, במינימום של 5 מושבים. המחיר מתעדכן באתר הרשמי, ויש לבדוק הצעת מחיר לפני רכישה. הפירוט נמצא בעמוד על המחיר, וההשוואה המלאה בעמוד על החלופות.

בשורה התחתונה: מה זה אומר עליך

אתה לא צריך צוות אבטחה כדי להטמיע DLP. אתה צריך סבלנות של שלושה שבועות לפני החסימה הראשונה. אם תתחיל בצפייה, תודיע לעובדים מראש ותנקה את ההתראות לפני שתחסום, כשתגיע החסימה העובדים כבר יבינו למה היא שם. כך יוצא כלי שמגן על המידע של הלקוחות שלך ולא מרגיש כמו ריגול. אם תדלג על השלבים, תקבל את הטלפון מהמנכ״ל כבר ביום השני.

מקורות

1. Teramind User Guide
2. Teramind: Dashboards
3. Teramind: Monitoring Profiles
4. Teramind: Defining Rule Actions
5. Teramind: Content Sharing Rules
6. Teramind: סוגי הסוכן והתקנתו
7. Teramind: OCR
8. Teramind: רישוי

נכון ל-31/10/2026