המאמר מיועד לבעלי עסקים ולמי שאחראי אצלם על החשבונות הדיגיטליים. הוא מתאר את הצעדים הבסיסיים לאבטחת כל חשבון משתמש, ושגרה פשוטה לבדיקה של מי מחזיק גישה לנכסים. בסופו תוכלו להפעיל אימות חזק בחשבונות החשובים, ולבנות טבלת הרשאות שנבדקת כל רבעון.
חשבונות Google של עסק מחזיקים נכסים שקשה לשחזר: נתוני מדידה של שנים, פרופיל עם ביקורות, חשבון פרסום עם היסטוריה ואמצעי תשלום. ההגנה עליהם נשענת על שני דברים: אבטחה של כל חשבון משתמש, ובקרה על מי מקבל גישה לנכסים.
המאמר מתמקד בצעדים שכל עסק יכול לבצע, לפי התיעוד הרשמי של Google. הוא לא עוסק בהגדרות של Google Workspace ברמת ארגון, שהן נושא נפרד.
חלק א: אבטחת כל חשבון משתמש
אימות דו־שלבי
אימות דו־שלבי (2-Step Verification) מוסיף שלב נוסף אחרי הסיסמה. לפי התיעוד, האפשרויות כוללות:
- מפתחות גישה (Passkeys) ומפתחות אבטחה פיזיים.
- הודעות Google בטלפון מחובר.
- אפליקציית קודים, כמו Google Authenticator.
- קודים בהודעת טקסט או בשיחה קולית.
- קודי גיבוי.
שיטות שמבוססות על המכשיר, כמו מפתחות גישה, הודעות Google או אפליקציית קודים, נחשבות בדרך כלל עמידות יותר מקוד בהודעת טקסט. עדיף להפעיל שיטה כזו כשיטה ראשית.
מפתחות גישה (Passkeys)
לפי התיעוד, מפתח גישה מאפשר להתחבר באמצעות טביעת אצבע, זיהוי פנים או נעילת המסך של המכשיר, והוא עמיד יותר בפני פישינג מסיסמה. שתי הערות מהתיעוד שחשובות לעסק:
- מפתח גישה אינו מחליף את אמצעי השחזור ואת האימות הדו־שלבי שכבר מוגדרים.
- יוצרים מפתח גישה רק במכשירים שבבעלותכם, לא במחשב משותף.
פרטי שחזור
אם החשבון ננעל, פרטי השחזור הם הדרך חזרה. כדאי לוודא שמוגדרים מספר טלפון ודוא"ל לשחזור שעדיין בשימוש, ולשמור קודי גיבוי במקום בטוח מחוץ לחשבון. בדיקת האבטחה של Google (Security Checkup) מרכזת את ההגדרות האלה במקום אחד.
חלק ב: בקרת הגישה לנכסים
טבלת הרשאות
הבסיס לבקרה הוא רשימה מתועדת של מי מחזיק גישה לכל נכס. מספיק גיליון אחד עם העמודות: כלי, נכס, משתמש, רמת הרשאה, סיבה, תאריך הוספה. על רמות ההרשאה בכל כלי ראו בעלות והרשאות בחשבונות Google.
שגרה רבעונית
אחת לרבעון עוברים על כל כלי ומשווים לטבלה:
- Google Analytics 4: משתמשים ברמת החשבון וברמת הנכס.
- Google Ads: משתמשים, רמות גישה ואמצעי תשלום.
- Search Console: בעלים ומשתמשים, וגם שהאימות עדיין תקף.
- Google Business Profile: בעלים ומנהלים, ומי הבעלים הראשי.
- Tag Manager: משתמשים ברמת החשבון והמכולה, ובמיוחד מי מחזיק בהרשאת Publish.
- Merchant Center, אם יש.
כל משתמש שאינו ברשימה, או שהסיבה שלו כבר לא קיימת, מוסר או מורד ברמה.
כשעובד או ספק מסיים לעבוד
עזיבה היא הרגע שבו רוב הבעיות נוצרות. רשימה קצרה ליום האחרון:
- הסרת הגישה בכל הכלים שבטבלה.
- אם העובד היה בעלים יחיד בכלי כלשהו — העברת הבעלות לפני ההסרה.
- בדיקה שאמצעי התשלום ב-Google Ads אינו קשור לחשבון אישי של העובד.
- בדיקה שאימות ה-Search Console אינו תלוי בקובץ או בתג שהעובד שולט בו.
- עדכון טבלת ההרשאות.
דוגמה בדיונית: בבדיקה רבעונית של חנות אונליין נמצאו שלושה משתמשים בחשבון ה-Google Ads: שני עובדים ופרילנסר שסיים לעבוד לפני חצי שנה, ועדיין החזיק הרשאת Standard. ההרשאה הוסרה והטבלה עודכנה. בעיה כזו לא נראית בשגרה, ומתגלה רק כשמחפשים אותה.
חשבונות משותפים: למה לא
מפתה לפתוח חשבון Google אחד עם סיסמה שכל הצוות מכיר. הבעיות:
- אי אפשר לדעת מי ביצע פעולה.
- אי אפשר להסיר גישה של אדם אחד בלי להחליף סיסמה לכולם.
- אימות דו־שלבי במכשיר של אדם אחד חוסם את האחרים.
עדיף שלכל אדם יהיה חשבון משלו, עם הרשאה מתאימה בכל כלי.
רשימת בדיקה מסכמת
- בכל חשבון שמחזיק בעלות על נכס מופעל אימות דו־שלבי, עם שיטה מבוססת מכשיר.
- פרטי השחזור עדכניים, וקודי הגיבוי שמורים במקום בטוח.
- בכל כלי יש לפחות שני בעלים או מנהלים מהעסק.
- קיימת טבלת הרשאות, והיא נבדקת אחת לרבעון.
- יש רשימת פעולות לעזיבת עובד או ספק.
- אין חשבונות משותפים לכמה אנשים.
הצעד הבא
היום: בדקו שבכל חשבון שמחזיק בעלות על נכס של העסק מופעל אימות דו־שלבי. השבוע: בנו את טבלת ההרשאות. בעוד שלושה חודשים: הסבב הרבעוני הראשון. על תחזוקת הדומיין, ה-DNS והדוא"ל ראו דומיין, DNS ודוא"ל עסקי, ועל ניהול החשבונות ראו חשבון Google לעסק.
מקורות
- Google Account Help – Turn on 2-Step Verification
- Google Account Help – Sign in with a passkey instead of a password
- Google Account – Security Checkup
- Google Analytics Help – GA4: Access and data-restriction management
- Google Ads Help – About access levels in your Google Ads account
- Tag Manager Help – Managing users and permissions
שאלות ותשובות
IBASTOM.CO.IL
אימות דו־שלבי עם SMS מספיק?
הוא טוב בהרבה מסיסמה בלבד, אבל אפליקציית אימות, מפתח אבטחה או מפתח גישה (Passkey) עמידים יותר להתחזות ולהשתלטות על מספר טלפון. לחשבונות עם הרשאות בעלים כדאי להשתמש באחת מהן.
למה לא להשתמש בחשבון אחד משותף לכל הצוות?
כי אי אפשר לדעת מי עשה מה, אי אפשר לבטל גישה לאדם אחד בלי להחליף סיסמה לכולם, והאימות הדו־שלבי קשור למכשיר של אדם אחד. הרשאה אישית לכל משתמש פותרת את שלוש הבעיות.
עובד עזב. מה עושים קודם?
מסירים את ההרשאות שלו מכל הכלים, ובודקים שהוא לא היה הבעלים היחיד באף אחד מהם. אם היה, מעבירים קודם בעלות לחשבון של העסק. טבלת ההרשאות מראה איפה לחפש.
מה בודקים בשגרה הרבעונית?
מי יש לו גישה לכל כלי, האם כל אחד מהם עדיין צריך אותה, ושיש לפחות שני בעלים מהעסק. מוסיפים בדיקה של פרטי השחזור בחשבון העסק, כי מספר טלפון או כתובת ישנים יכולים לנעול אתכם בחוץ.
קיבלנו הודעה שמישהו נכנס לחשבון. מה עושים?
נכנסים ישירות לחשבון, לא דרך קישור בהודעה, ובודקים בהגדרות האבטחה את הפעילות האחרונה. אם הכניסה לא מוכרת, מחליפים סיסמה, מנתקים מכשירים לא מוכרים ובודקים שלא נוספו משתמשים או בעלים בכלים העסקיים.
