רשימת בדיקות אבטחה לתוכנות מצגות ואירועים

איפשהו בין הזמנת האולם לחזרה על המצגת, מישהו בארגון שואל את השאלה שעוצרת את הפרויקט במקום: "מה קורה לנתונים שלנו כשאנחנו משתמשים בזה?" אם הפקת אירועים, הדרכות או שיחות משקיעים היא העבודה שלכם, אבטחת תוכנות מצגות היא לא סעיף שמסמנים בדיעבד. היא מה שקובע אם הכלי יאושר בכלל.

רשימת הבדיקות הזו נכתבה בשביל מי שבאמת עונים על השאלה הזו: מנהלי AV, מנהלי IT ומפיקי אירועים שצריכים תשובה ישירה לפני שהם יכולים לאשר כלי חדש. נעבור על מה לבדוק, למה זה חשוב ואיך Cliqer עונה על כל סעיף, כך שאפשר להשתמש בה ישירות או לקחת את המסגרת לכל כלי אחר שאתם בוחנים.

במה "תוכנת מצגות" נוגעת בפועל

לפני שאפשר לאבטח משהו, צריך לדעת מה הוא עושה. שלט למצגות או כלי לשליטה בשקפים נוגע בדרך כלל בשלושה דברים: החיבור בין המכשירים, התוכן שעל המסך של המציג, והזהות של מי שמתחבר.

הטעות שרוב הבודקים עושים היא להניח שכל השלושה מטופלים באותה דרך. בדרך כלל זה לא כך. כלי יכול להצפין את דף ההתחברות בצורה מושלמת ובמקביל להעלות את כל המצגת שלכם לשרת שמעולם לא הסכמתם לו. כדאי לבקש תרשים זרימת נתונים לפני שמבקשים הדגמה.

רשימת הבדיקות

זו הרשימה המקוצרת שאנחנו נותנים לצוותי רכש. כדאי להתייחס אליה כרף מינימלי, לא כבדיקה כולה.

תוכן שלא יוצא מהחדר

היתרון האבטחתי הגדול ביותר בתוכנות מצגות הוא ארכיטקטוני, לא נוהלי: פשוט לא להעלות את השקפים בכלל. אפליקציית שולחן העבודה של Cliqer מפעילה את PowerPoint, Keynote, Google Slides ותוכנות מצגות אחרות ישירות על המחשב של המארח. מציגים וצופים מתחברים דרך WebRTC מוצפן, כך שפקודות מעבר שקף, מיקומי סמן וכל שידור מסך או מצלמה עוברים ישירות בין העמיתים (peer to peer), או דרך ממסר מוצפן ברשתות נעולות. התוכן עצמו לעולם לא נשמר בשרת של Cliqer.

זה חשוב למצגות דירקטוריון, מפות דרכים של מוצרים וכל דבר שכפוף להסכם סודיות (NDA). למי שרוצה את הגרסה המעמיקה של הטיעון הזה, אנחנו מרחיבים עליה בהצגת תוכן חסוי.

אימות ובקרת גישה

ההצפנה מגינה על הצינור. האימות קובע מי רשאי להשתמש בו. בחשבון צוות מדובר בשתי שאלות נפרדות: איך כל משתמש מתחבר, ומה מותר לו לעשות אחרי הכניסה.

בהתחברות, כדאי לחפש תמיכה במפתחות גישה (ביומטריים או מבוססי מכשיר, עמידים בפני פישינג מעצם התכנון) לצד סיסמאות או במקומן. כתבנו הסבר מלא על איך מפתחות גישה עובדים למי שרוצה להבין את המנגנון.

בהרשאות, כדאי לחפש גישה מבוססת תפקידים במקום התחברות משותפת אחת. תפקידי הצוות של Cliqer מעניקים לכל חבר צוות הרשאות של בעלים, מנהל או חבר כברירת מחדל, וגם תפקידים מותאמים אישית שמעניקים בדיוק את השילוב הנדרש, למשל ניהול מפתחות API בלי ניהול חיוב. כל בדיקת הרשאה מתבצעת בצד השרת, כך שמגבלות התפקיד חלות גם על קריאות API, ולא רק על מה שכפתור בלוח הבקרה מסתיר. לצוותים שעובדים עם ספק זהויות, כניסה יחידה (SSO) מאפשרת לאכוף את המדיניות הזו באופן מרכזי במקום לסמוך על סיסמאות אישיות.

שיקולי רשת וחומת אש

לתוכנות אירועים יש נטייה להיחסם בדיוק כשהכי חשוב: ברשת ה-Wi-Fi לאורחים של האולם או מאחורי פרוקסי ארגוני. בדיקת אבטחה צריכה לכסות את זה לפני יום האירוע, לא במהלכו.

כדאי לשאול אם הכלי דורש העברת פורטים נכנסים (הוא לא אמור), אילו פורטים ושרתים יוצאים הוא צריך, ומה קורה כש-UDP חסום. כלי שעובד רק כשהאולם פותח כללי חומת אש מיוחדים יאכזב אתכם בדיוק באירוע שבו ה-IT לא יספיק לאשר חריגה בזמן. אנחנו מסבירים את המנגנון בלמה חומות אש ארגוניות חוסמות כלי מצגות ובאיך שרתי TURN מעבירים וידאו דרך רשתות מגבילות.

איך להריץ את רשימת הבדיקות עם Cliqer

אם אתם בוחנים את Cliqer באופן ספציפי, כאן אפשר למצוא את התשובות בלי לחכות לשיחת מכירה:

1. לקרוא את תוכנית הפתרון לסקירת הארכיטקטורה: מה רץ איפה, ואילו נתונים עוברים ביניהם.
2. לקרוא את תרשים זרימת הנתונים לפרטי ההצפנה והאחסון שמאחורי כל חיבור.
3. בתהליך הערכה של Enterprise, להגדיר SSO והקצאת SCIM דרך לוח הבקרה ← צוות ← אבטחה, שניהם בשירות עצמי.
4. להגדיר תפקידי צוות כך שלאף אחד לא תהיה יותר גישה ממה שהתפקיד שלו דורש.
5. אם הרכש צריך את זה בכתב, ליצור איתנו קשר ונענה סעיף אחר סעיף, כולל תחת הסכם סודיות (NDA) כשצריך.

כל אחד מהעמודים האלה קיים כי בודק אבטחה ביקש אותו קודם. אם הבדיקה שלכם מעלה פער, המאמר קבלת אישור IT לתוכנת AV עוסק בתהליך האישור הרחב שמסביב לרשימת הבדיקות הטכנית.

שאלות נפוצות

להתחיל

כדאי להריץ את רשימת הבדיקות הזו על כל כלי שבו אתם משתמשים כרגע, ואז לנסות את Cliqer בחינם על המחשב שלכם. תוכנית Free מכסה מכשיר אחד ללא צורך בכרטיס אשראי, ואפשר להשוות את כל התוכניות, כולל תכונות האבטחה של Enterprise, בעמוד המחירים.