SharePoint ישן בעסק: איך בודקים אם פורטל הקבצים הפך לסיכון אבטחה

בעסקים רבים בישראל יש מערכת אחת שאף אחד כבר לא ממש מדבר עליה, אבל כולם עדיין משתמשים בה: פורטל קבצים ישן, SharePoint Server מקומי, אתר פנימי לעובדים, או שרת שמחזיק טפסים, נהלים וקבצי לקוחות. הוא “פשוט עובד”, ולכן לא נוגעים בו. כמו מזגן במשרד באוגוסט: כל עוד הוא מקרר, אף אחד לא שואל שאלות.

הבעיה היא שמערכות כאלה יכולות להפוך עם הזמן מנכס שימושי לנקודת תורפה. ביולי 2026 הופיעה בקטלוג CISA חולשה ב-Microsoft SharePoint Server שמדגישה שוב את הנקודה: גם מערכות מוכרות, ותיקות ולגיטימיות צריכות תחזוקה, עדכונים ובדיקת חשיפה. לא צריך להיכנס לפאניקה, אבל כן צריך לדעת מה יש לכם בארון התקשורת, בענן או אצל ספק האחסון.

למה SharePoint Server עדיין רלוונטי לעסקים קטנים?

SharePoint Server הוא גרסה מקומית של SharePoint: מערכת לניהול מסמכים, אתרים פנימיים, הרשאות ותהליכי עבודה, שפועלת על שרת של העסק או של ספק. בניגוד ל-SharePoint Online בתוך Microsoft 365, כאן האחריות על עדכונים, גיבוי, תעודות, שרתים והרשאות תלויה הרבה יותר במי שמתחזק את הסביבה.

גם אם העסק עבר ל-Microsoft 365, לפעמים נשאר מאחור פורטל ישן:

• אתר פנימי עם נהלים וטפסים.
• תיקיות לקוחות או פרויקטים היסטוריים.
• מערכת שמחוברת ל-Active Directory, כלומר למשתמשים והסיסמאות של העסק.
• קישורים שנשלחו ללקוחות או ספקים לפני שנים.
• שרת שנשאר פתוח “רק זמנית” לגישה מבחוץ. זמנית, במקרה הזה, היא מילה עם זקן.

אם הפורטל מכיל מידע עסקי, הוא עדיין חלק ממשטח התקיפה של העסק.

מה האות הטרי שכדאי להכיר?

לפי אותות אבטחה עדכניים, CISA הוסיפה לקטלוג Known Exploited Vulnerabilities שלה חולשה ב-Microsoft SharePoint Server, ו-Microsoft ממשיכה לפרסם עדכוני אבטחה במוצרים עסקיים כמו SharePoint, Active Directory Federation Services ו-Copilot. המקורות המומלצים לבדיקה שוטפת הם CISA Known Exploited Vulnerabilities Catalog, Microsoft Security Update Guide ועמודי CVE רשמיים כמו NVD.

המסר לעסק קטן אינו “כל שרת SharePoint מסוכן”. המסר הוא: אם יש מערכת ישנה שמחוברת למידע עסקי או לאינטרנט, צריך לדעת האם היא מעודכנת, מי אחראי עליה ומה קורה אם היא נופלת או נפרצת.

בדיקה ראשונה: האם בכלל יש לכם SharePoint Server?

בעלי עסקים לא תמיד יודעים את שם המערכת. מבחינתם זו “התיקייה של הנהלים”, “הפורטל של העובדים” או “האתר הפנימי”. התחילו מבדיקה פשוטה:

• האם יש כתובת פנימית כמו portal, intranet, sharepoint או docs?
• האם עובדים נכנסים דרך דפדפן לקבצים או טפסים פנימיים?
• האם יש שרת Windows שמריץ IIS, SQL Server או SharePoint?
• האם ספק IT קודם התקין מערכת מסמכים לפני המעבר לענן?
• האם יש קישורים ישנים במסמכי הדרכה או חתימות מייל?

אם התשובה לא ברורה, זו כבר סיבה למיפוי. לא כדי להאשים מישהו, אלא כדי להפסיק לנהל תשתית לפי זיכרון בעל פה.

ארבעת הסיכונים העיקריים בפורטל ישן

1. עדכונים שלא הותקנו

מערכות שרת דורשות עדכוני אבטחה שוטפים. אם אף אחד לא יודע מתי עודכן השרת בפעם האחרונה, העסק לא באמת יודע את רמת הסיכון שלו. זה נכון במיוחד למערכות שמחוברות לאינטרנט או מאפשרות התחברות מרחוק.

2. הרשאות שהתרחבו עם השנים

קבוצות כמו “כל העובדים”, “מנהלים”, “ספקים” או “משתמשים זמניים” נוטות להתנפח. עובד עוזב, ספק מסיים פרויקט, אבל ההרשאה נשארת. בנושא הזה כדאי לקרוא גם את המדריך על סגירת גישה לעובד שעוזב.

3. חיבור לזהות הארגונית

אם הפורטל מחובר ל-Active Directory או למערכת הזדהות אחרת, בעיית אבטחה בו עלולה להשפיע גם על חשבונות משתמשים. זה לא אומר שכל תקלה הופכת מיד לאירוע חמור, אבל זה כן אומר שצריך לבדוק גבולות גישה, MFA ולוגים.

4. גיבוי שלא נבדק

גם אם יש גיבוי, השאלה החשובה היא האם מישהו ניסה לשחזר. פורטל קבצים בלי שחזור בדוק הוא כמו מטרייה בלי בד: נחמד לדעת שהיא קיימת, פחות נחמד בגשם.

צ׳קליסט מעשי לבעל עסק או מנהלת משרד

בקשו מאיש ה-IT או מהספק לענות בכתב על השאלות הבאות:

• איזו גרסת SharePoint או מערכת פורטל קיימת בעסק?
• האם היא מקומית, בענן פרטי או חלק מ-Microsoft 365?
• האם היא נגישה מהאינטרנט או רק מתוך הרשת המשרדית?
• מתי הותקנו עדכוני האבטחה האחרונים?
• מי המשתמשים והקבוצות עם הרשאת ניהול?
• האם קיימים משתמשים חיצוניים או ספקים ישנים?
• אילו סוגי מידע שמורים שם: לקוחות, כספים, HR, חוזים, סיסמאות?
• האם יש גיבוי מלא, וכל כמה זמן נבדק שחזור?
• האם קיימים לוגים שמראים התחברויות ופעולות חריגות?
• מי אחראי על התחזוקה השוטפת: עובד פנימי, ספק, או אף אחד רשמי?

אם התשובה האחרונה היא “אף אחד רשמי”, זו לא דרמה. זו משימת סדר.

מתי כדאי לסגור, לשדרג או להעביר לענן?

לא כל מערכת ישנה חייבת להימחק. לפעמים היא עדיין חיונית לעסק. אבל כדאי לקבל החלטה מודעת:

• אם המערכת לא בשימוש: לארכב מידע, לגבות ולסגור גישה.
• אם היא בשימוש קל: לשקול מעבר ל-SharePoint Online או פתרון מסמכים מודרני.
• אם היא קריטית: להגדיר תחזוקה, ניטור, גיבוי ובדיקת הרשאות תקופתית.
• אם היא נגישה מבחוץ: לבדוק הקשחה, MFA, Firewall ועדכונים בדחיפות גבוהה יותר.

החלטות כאלה מתחברות ישירות לתחזוקת IT שוטפת. אם אתם בודקים את המצב הרחב יותר של המשרד, כדאי לעבור גם על שירותי IT לעסקים, על מאמרי אבטחת מידע לעסקים ועל המדריך בנושא תוכנות שליטה מרחוק בעסק.

מה לא כדאי לעשות?

יש שלוש טעויות נפוצות:

• לא לסגור שרת בלי להבין מה תלוי בו. לפעמים מערכת הנהלת חשבונות, סורק או תהליך פנימי עדיין משתמשים בו.
• לא לפתוח גישה זמנית לאינטרנט בלי הגנות. זמני הופך קבוע מהר מאוד.
• לא להסתפק במשפט “זה מאחורי Firewall”. Firewall עוזר, אבל הוא לא תחליף לעדכונים, הרשאות וגיבוי.

הגישה הנכונה היא מיפוי קצר, בדיקת סיכון, ואז פעולה מדורגת.

FAQ: שאלות נפוצות על SharePoint Server בעסק קטן

האם SharePoint Online ו-SharePoint Server הם אותו דבר?

לא בדיוק. SharePoint Online הוא שירות ענן כחלק מ-Microsoft 365, שבו Microsoft מנהלת חלק גדול מהתשתית. SharePoint Server הוא התקנה מקומית או ייעודית, שבה העסק או הספק אחראים יותר לעדכונים, שרתים, גיבוי והקשחה.

אם הפורטל פנימי בלבד, עדיין צריך לעדכן אותו?

כן. מערכת פנימית יכולה להיחשף דרך VPN, מחשב נגוע, משתמש פנימי או הגדרה שגויה. סיכון פנימי אינו זהה לחשיפה מלאה לאינטרנט, אבל הוא עדיין דורש תחזוקה.

איך יודעים אם חולשה חדשה רלוונטית לעסק?

בודקים גרסה, רכיבים מותקנים, חשיפה לאינטרנט, הגדרות הרשאה ועדכונים אחרונים. מומלץ להיעזר במקורות רשמיים כמו Microsoft Security Update Guide ו-CISA, ולא להסתמך רק על כותרות ברשת.

האם כדאי להעביר הכול ל-Microsoft 365?

לעיתים כן, אבל לא אוטומטית. צריך לבדוק נפח קבצים, הרשאות, תהליכי עבודה, גיבוי, רגולציה פנימית והרגלי עובדים. מעבר טוב מתחיל במיפוי, לא בכפתור “העבר הכול”.

סיכום: מערכת ישנה לא חייבת להיות בעיה, אבל היא חייבת בעלים

SharePoint Server או פורטל קבצים ישן יכולים להמשיך לשרת את העסק, בתנאי שמישהו אחראי עליהם: עדכונים, הרשאות, גיבוי, ניטור והחלטה האם להשאיר, לשדרג או לסגור.

אם אתם לא בטוחים אילו פורטלים, שרתים או מערכות קבצים עדיין פעילים בעסק, לימי פתרונות מחשוב יכולה לעזור בבדיקת מצב מסודרת ולבנות תוכנית פעולה בלי לעצור את העבודה. אפשר ליצור קשר עם גל לשיחת ייעוץ חינם בטלפון 0542395928 או במייל limicompute@gmail.com.