סקר אבטחת מידע – הצעד הראשון להגנה האמיתית על הארגון

העולם העסקי מתנהל בסביבה דיגיטלית מורכבת, שבה איומי סייבר הופכים תכופים ומתוחכמים יותר. כל ארגון – גדול או קטן – חשוף לסיכונים של דלף מידע, פרצות אבטחה או מתקפות כופרה. כדי להתמודד עם אתגרים אלו, יש לבצע סקר אבטחת מידע יסודי ומקצועי. כזה שמספק תמונת מצב מלאה על רמת ההגנה הקיימת ומזהה נקודות תורפה הדורשות טיפול.
סקר מסוג זה אינו רק דרישה רגולטורית או "צ'ק ליסט", אלא מדובר בתהליך עסקי־אסטרטגי.
מטרת הפרויקט הינה לבצע סקר מיפוי מוקדי סיכון וחשיפות בתחום אבטחת המידע וסייבר בארגון על מנת:

1. לשקף מפה ראשונית של סיכוני סייבר של החברה, לרבות השלכתם של מוקדי הסיכון על תהליך ניהול סיכונים וקבלת החלטות בתחום אבטחת המידע.
2. למפות מוקדי סיכון מהותיים, בהם נדרשת העמקה והרחבת הסקר.
3. לסייע בגיבוש מתודולוגיה להערכת הסיכון העומדת בכפיפה אחת עם המתודולוגיה המתפתחת בארגון לניהול סיכונים.

במהלך הפרויקט ימופו מוקדי הסיכון המרכזיים בתחום אבטחת המידע הקיימים במסגרת פעילות החברה.

מתודולוגיית ניהול הסיכונים

הייעוץ ניתן בהתייחס לאסטרטגיה העסקית ומטרות הארגון ובכך אנו מסייעים לו באמצעות:

1. הערכת חשיפה – זיהוי סיכונים, ניתוח ומדידה של השפעת הסיכונים והערכת יעילות הבקרות.
2. יישום בקרות – יישום בקרות אמינות בעלות יחס עלות תועלת גבוה להקטנת סיכונים.
3. ניהול הסיכון – ניטור הבקרות וסביבת הסיכון ומדידת ביצועים שיבטיחו רמת חשיפה סבירה.

יתרונות ניהול הסיכונים:

• נראות ברורה של סיכונים ידועים ובעיות.
• תשומות לתהליך הדיווח.

באמצעות מתודולוגיות הערכת סיכונים ניתן לדרג איומים לפי רמת חומרה והסתברות.
לדוגמה: פרצת אבטחה במערכת ניהול הלקוחות עלולה לגרום לנזק חמור בהרבה מאשר חוסר עדכון במחשב שאינו מחובר לרשת. ניתוח זה מאפשר למנהלים לקבל החלטות מושכלות לגבי סדרי עדיפויות, חלוקת משאבים ותוכניות עבודה לטווח קצר וארוך.

סקר סיכוני אבטחת מידע טכנולוגי מחולק לשלושה חלקים עיקריים, על מנת להבטיח שסקירת הארגון תבוצע בצורה מיטבית ומקיפה.

הסקר מחולק לשלושה חלקים בהתאם למודל PPT (People, Processes, Technology)
מטרת המודל, להדגיש שכל פתרון או סיכון בתחום אבטחת המידע חייב להיבחן דרך שלושה מימדים שלובים:

1. People (אנשים) – גורם אנושי, הדרכות, מודעות, תרבות ארגונית
2. Processes (תהליכים) – מדיניות, נהלים, בקרות, רגולציה
3. Technology (טכנולוגיה) – מערכות מידע, תשתיות, כלים, אוטומציה

זהו מודל מקובל בניהול סיכונים ובאבטחת מידע שמטרתו להעריך את כלל מרכיבי הארגון ולא רק את ההיבט הטכנולוגי.
שימוש במודל PPT מאפשר ניתוח הוליסטי של סיכוני אבטחה, זיהוי כשלים לא טכנולוגיים, והתאמת פתרונות מאוזנים ומותאמים לכל ארגון שלא נשענים רק על טכנולוגיה.
למשל, אין טעם להשקיע בפיירוול מתוחכם אם האנשים לא מודעים לאיומי פישינג.

מה הם עיקרי תיחום סקר הסיכונים?

1. תצורת הארכיטקטורה וטופולוגיה תומכת תהליכים עסקיים עיקריים.
2. בחינת הפרדת הרשתות (תקשורת, שרתים, משתמשים ועוד) .
3. בחינת הפרדת הסביבות (סגמנטציה).
4. בחינת תצורת הרשת בחלוקה (LAN, DMZ, WAN).
5. בחינת הגישה המרוחקת לתשתית הארגונית.
6. בחינת הממשקים החיצוניים (אתרים, דואר, שירותים שונים).
7. תצורת ניהול המשתמשים – בחינת מדיניות ניהול המשתמשים בארגון.
8. תצורת ניהול ההרשאות – בחינת מדיניות ניהול ההרשאות בארגון.
9. תצורת תהליך ההזדהות – בחינת תהליך ההזדהות ומדיניות הסיסמאות של הארגון.
10. בחינת תצורת ההצפנה של המידע – בחינת יישום מנגנוני הצפנה של הנתונים הן בתנועה והן במנוחה.
11. תצורת התיעוד וניטור המערכות – בחינת מנגנון התיעוד והניטור של פעולות רגישות בתשתית הארגונית.
12. תצורת הגיבוי – בחינת היקף שיטה ויישום, תוך התמקדות בקבועי RTO, RPO שנקבעו במדיניות.
13. תצורת הגנת הפרימטר (Firewall)- בחינת גרסה, יישום, חוקים וכלי הגנה המוטמעים במערכת זו.
14. בקרות אבטחה -בחינת אפקטיביות רשימת הבקרות הקיימות בארגון והמלצות לשינוי ושיפור.

בסיום הפרויקט החברה תקבל דו״ח מסכם אשר יכלול את כל הממצאים שנאספו במהלך הבדיקות, המלצות לתיקון הכשלים שנתגלו ואופן המענה. הדו״ח ייכתב בפירוט רב ויכיל בנוסף לממצאים גם רקע טכנולוגי ופירוט מתודולוגי לבדיקות. כמו כן בחלקו הראשון של הדו"ח יוגש תקציר מנהלים, ובו יפורטו עיקרי הדו׳׳ח לטובת כוח אדם שאינו בהכרח בקיא ברזי הטכנולוגיה. הממצאים העיקריים בדו"ח יסווגו על פי רמת סיכון וסבירות למימוש האיומים, והן על פי חומרת הפגיעה במקרה של מימושו.
בכך ניתן לא רק לשפר את רמת ההגנה, אלא גם לבנות תרבות ארגונית מודעת סיכונים, שבה כל עובד מבין את חלקו בשמירה על המידע.

לסיכום, במציאות שבה מתקפות סייבר מתרחשות מדי יום, אין מקום להסתפק בתחושת ביטחון. סקר אבטחת מידע, הכולל הן סקר טכנולוגי, תשתיתי והן סקר מנהלתי תשאולי, הוא הדרך היעילה ביותר לאתר חולשות, לנהל סיכונים ולבנות מערך הגנה אמין ויציב.
בחירה בגורם מקצועי נכון ומותאם לארגון, לביצוע סקר אבטחת מידע מאפשרת לארגון להקדים תרופה למכה, לשמור על רציפות עסקית ולהבטיח את המשאב היקר ביותר – המידע הרגיש בארגון.