הרבה ארגונים שעובדים על Google Workspace בטוחים שהפתרונות של מיקרוסופט לניהול זהויות, ניהול מכשירים והגנה על תחנות קצה מתאימים רק למי שעבר ל-365. זה מיתוס.
מיקרוסופט מוכרת חבילה בשם Enterprise Mobility + Security (EMS), שנבנתה בדיוק בשביל זה. היא כוללת ניהול זהויות, ניהול מכשירים, הגנת מידע ושליטה על אפליקציות ענן, בלי אופיס ובלי תיבות דואר. הדואר והמסמכים נשארים בגוגל, ושכבת האבטחה עוברת למיקרוסופט.
במאמר הזה נסביר מה כלול בחבילה, איך היא מגינה גם על Google Workspace עצמו, איך נראה פרויקט הטמעה טיפוסי, ולמה זה משתלם יותר מארבעה מוצרים נפרדים.
מה כלול ב-EMS
EMS היא חבילה אחת שמכסה ארבעה תחומים שבדרך כלל קונים מארבעה ספקים שונים:
| תחום | הרכיב ב-EMS | מה הוא עושה |
|---|---|---|
| ניהול זהויות | Microsoft Entra ID | כניסה אחידה (SSO) לכל האפליקציות, MFA ו-Conditional Access |
| ניהול מכשירים | Microsoft Intune | ניהול מחשבי Windows ו-Mac וטלפונים, מדיניות תאימות והתקנת תוכנות |
| הגנת מידע | Microsoft Purview Information Protection | סיווג קבצים והצפנה לפי רמת רגישות |
| אפליקציות ענן (ב-E5) | Microsoft Defender for Cloud Apps | גילוי Shadow IT ושליטה על מה שעובדים עושים באפליקציות SaaS |
החל מ-1 ביולי 2026 מיקרוסופט צירפה לחבילה גם את Intune Plan 2, את Remote Help ואת Advanced Analytics, בלי תוספת מחיר. מה שבעבר היה תוספת בתשלום כלול היום בחבילה הבסיסית.
הגנה על תחנות קצה: תוספת אחת שמשלימה את התמונה
חשוב לדעת: EMS לא כוללת הגנה על תחנות קצה (EDR). את זה מוסיפים עם Microsoft Defender for Endpoint, או עם Defender for Business בארגונים של עד 300 משתמשים.
היתרון הוא שההגנה מתחברת ישירות ל-Intune. מצב הסיכון של המחשב, כפי ש-Defender מזהה אותו, הופך לחלק ממדיניות התאימות. מחשב שנפגע מסומן אוטומטית כלא תקין, ו-Conditional Access חוסם ממנו גישה לאפליקציות, כולל Google Workspace.
Defender תומך ב-Windows, ב-macOS, ב-Linux, ב-iOS וב-Android, כך שגם ארגון עם הרבה מחשבי Mac מכוסה במלואו.
Zero Trust גם על Google Workspace
כשמחברים את Google Workspace ואת שאר אפליקציות ה-SaaS ל-Entra ID, כל כניסה עוברת דרך Conditional Access. בכל כניסה המערכת בודקת מי המשתמש, מאיזה מכשיר הוא מתחבר ומה רמת הסיכון, ורק אז מחליטה אם לאשר.
הבדיקות שאפשר להפעיל על כל אפליקציה, כולל Gmail ו-Google Drive:
- MFA: אימות רב-שלבי לכל כניסה, או רק בתנאים מסוימים.
- MFA עמיד לפישינג: דרישה למפתח FIDO2, ל-passkey או ל-Windows Hello for Business. גם תוקף שגנב סיסמה וקוד לא יוכל להיכנס.
- תאימות מכשיר: גישה רק ממחשב שמנוהל ב-Intune, מוצפן ומעודכן.
- סיכון מכשיר: חסימה אוטומטית של מכשיר ש-Defender זיהה בו איום.
- סיכון משתמש וכניסה (ב-E5): חסימה או דרישה לאימות נוסף כשמזוהה התנהגות חריגה, למשל כניסה ממדינה לא צפויה.
התוצאה היא מדיניות גישה אחידה לכל האפליקציות של הארגון, במקום הגדרות נפרדות בכל מערכת.
איך נראה פרויקט הטמעה
פרויקט כזה מתבצע בשלבים, כך שהעבודה השוטפת של העובדים לא נפגעת:
- חיבור אפליקציות ה-SaaS ל-Entra ID. מגדירים כניסה אחידה (SSO) לכל האפליקציות של הארגון ומפעילים Conditional Access, בהתחלה במצב ניטור בלבד.
- מעבר הדרגתי של האימות של Google Workspace ל-Entra ID. Entra הופך לספק הזהויות של גוגל. המעבר נעשה בקבוצות משתמשים, מקבוצת פיילוט ועד כל הארגון.
- צירוף המכשירים ל-Intune. מחשבי Windows ו-Mac נרשמים לניהול, ומוגדרות מדיניות תאימות, הצפנה ועדכונים.
- צירוף ה-EDR. Defender מותקן דרך Intune, ומצב הסיכון של המכשיר נכנס למדיניות התאימות.
- הקשחת מדיניות הגישה. מעבירים את Conditional Access ממצב ניטור לאכיפה: MFA עמיד לפישינג, דרישת מכשיר תקין וחסימה לפי סיכון.
EMS E3 או EMS E5
לרוב הארגונים E3 מספיקה כדי להתחיל. E5 מתאימה כשצריך גם זיהוי סיכונים אוטומטי, ניהול הרשאות מנהלים ושליטה מלאה על אפליקציות ענן.
| יכולת | EMS E3 | EMS E5 |
|---|---|---|
| מחיר מחירון (למשתמש לחודש) | 12 דולר | 18 דולר |
| Entra ID: SSO, MFA ו-Conditional Access | כלול | כלול |
| Intune, כולל Plan 2 ו-Remote Help | כלול | כלול |
| סיווג והצפנת מידע | ידני | גם אוטומטי |
| Conditional Access לפי סיכון משתמש וכניסה | לא | כלול |
| PIM: הרשאות מנהל זמניות ובאישור | לא | כלול |
| Defender for Cloud Apps | לא | כלול |
E5 כוללת גם את Defender for Identity, אבל הוא מגן בעיקר על Active Directory מקומי. בארגון שעובד כולו בענן על Google Workspace התרומה שלו קטנה.
חבילה אחת במקום ארבעה מוצרים
החלופה הנפוצה היא לקנות ארבעה מוצרים מארבעה ספקים: אחד לניהול זהויות, אחד לניהול מכשירים, אחד להגנה על תחנות קצה ואחד לאפליקציות ענן. EMS עם Defender מחליפה את כולם. היתרונות הם לא רק במחיר:
- רישיון אחד במקום ארבעה חוזים, ארבעה חידושים וארבעה ספקים לנהל.
- מערכות שמדברות זו עם זו. הסיכון ש-Defender מזהה משפיע מיד על הגישה ב-Entra. בין מוצרים של ספקים שונים זה דורש אינטגרציות, ולפעמים לא אפשרי בכלל.
- ממשק ניהול אחד וצוות שלומד מערכת אחת במקום ארבע.
- מדיניות אחידה לכל האפליקציות, כולל Google Workspace.
לסיכום
ארגון על Google Workspace יכול לקבל את רמת האבטחה של מיקרוסופט בלי לוותר על גוגל. עם EMS ו-Defender מקבלים ניהול זהויות, ניהול מכשירים, הגנה על תחנות קצה ושליטה על אפליקציות ענן, הכל בחבילה אחת ובמדיניות Zero Trust אחת.
ב-OnCloud אנחנו מלווים את כל הפרויקט: התאמת הרישוי, חיבור Google Workspace ואפליקציות ה-SaaS ל-Entra ID, צירוף המכשירים ל-Intune והטמעת Defender. רוצים לבדוק אם זה מתאים לארגון שלכם?