סיכוני סייבר וסיכוני אבטחת מידע – זיהוי, הערכה וניהול. המדריך לסיכוני סייבר
ארגונים מנהלים כיום מידע, מערכות ותהליכים עסקיים בסביבה דיגיטלית מורכבת. עובדים מתחברים מרחוק, ספקים מקבלים גישה למערכות, מידע עובר לענן, אפליקציות מתקשרות זו עם זו, וכל תקלה או חולשה עלולות להשפיע על הפעילות העסקית כולה.
לכן ארגון אינו יכול להסתפק ברכישת מוצרי אבטחה או בביצוע בדיקות טכניות נקודתיות. עליו לזהות את סיכוני הסייבר וסיכוני אבטחת המידע שרלוונטיים לפעילות שלו, להעריך את עוצמתם, לתעדף את הטיפול בהם ולבדוק באופן שוטף אם הבקרות הקיימות אכן מצמצמות אותם.
ניהול נכון של סיכוני סייבר מאפשר להנהלה לקבל החלטות מבוססות, להפנות תקציבים למקומות הנכונים, לצמצם חשיפה להשבתה ולדליפת מידע, ולשמור על עמידה בדרישות חוק, רגולציה ולקוחות.
במדריך זה נסביר מהם סיכוני סייבר וסיכוני אבטחת מידע, כיצד הם נוצרים, איך ארגון מעריך אותם, מה ההבדל בין סקר סיכונים לסקר פערים, ואילו פעולות הופכות מסמך אבטחה לתוכנית עבודה מעשית.
מהם סיכוני סייבר?
סיכון סייבר מבטא את האפשרות שאיום דיגיטלי ינצל חולשה ויגרום נזק לארגון. הנזק עשוי לפגוע במידע, במערכות, בשירותים, בלקוחות, בעובדים, במוניטין או ביכולת הארגון להמשיך לפעול.
במילים פשוטות, הסיכון נוצר מהמפגש בין ארבעה מרכיבים:
- נכס שחשוב לארגון – מידע אישי, מערכת תפעולית, אתר, מערכת כספית, קניין רוחני או שירות מרכזי.
- איום אפשרי – תוקף חיצוני, עובד שוגה, ספק שנפרץ, כופרה, פישינג או תקלה תפעולית.
- חולשה או פער – הרשאות עודפות, מערכת לא מעודכנת, היעדר הצפנה, תהליך שחזור שלא נבדק או מדיניות שאינה נאכפת.
- השפעה עסקית – השבתת שירות, אובדן הכנסות, דליפת מידע, פגיעה בלקוחות, הפרת חוזה או חשיפה רגולטורית.
סיכון אינו זהה לחולשה. חולשה טכנית יכולה להתקיים גם בלי ליצור סיכון עסקי גבוה, ואילו תהליך עסקי קריטי עלול לשאת סיכון משמעותי גם כשלא זוהתה בו חולשה טכנית חריגה. הארגון צריך לבחון תמיד את ההקשר המלא.
מהם סיכוני אבטחת מידע?
סיכוני אבטחת מידע מתייחסים לכל אירוע שעלול לפגוע בשלושה עקרונות מרכזיים:
- סודיות – רק גורמים מורשים נחשפים למידע.
- שלמות – המידע נשאר מדויק, מלא ואמין.
- זמינות – המערכות והמידע זמינים בזמן שהארגון זקוק להם.
לדוגמה, שליחת מסמך רגיש לנמען שגוי פוגעת בסודיות. שינוי בלתי מורשה של נתונים פיננסיים פוגע בשלמות. השבתת מערכת שירות למשך יום שלם פוגעת בזמינות.
המונחים "סיכוני סייבר" ו"סיכוני אבטחת מידע" חופפים במידה רבה, אך אינם זהים לחלוטין. סיכוני סייבר מתמקדים בדרך כלל באיומים שמקורם במרחב הדיגיטלי ובמערכות מקושרות. סיכוני אבטחת מידע כוללים גם היבטים פיזיים, תהליכיים ואנושיים, כגון מסמכים מודפסים, גישה לחדרים רגישים, שמירת מידע או השמדת מדיה.
יש המשתמשים גם בביטוי סיכוני הבטחת מידע. בשיח המקצועי בישראל הביטוי המקובל הוא בדרך כלל "אבטחת מידע", אך שני הניסוחים מתייחסים לצורך להגן על מידע ועל המערכות שמעבדות אותו.
מדוע ניהול סיכוני סייבר הפך לנושא ניהולי?
אירוע סייבר אינו נשאר בתוך מחלקת ה־IT. הוא עלול לעצור מכירות, לשבש אספקה, לפגוע בשירות לקוחות, לחשוף מידע אישי, להפעיל חובות דיווח ולהעמיד את הנהלת הארגון בפני החלטות מורכבות.
לכן הנהלה אחראית אינה שואלת רק "האם יש לנו מערכת הגנה?", אלא:
- אילו תהליכים עסקיים חשופים ביותר?
- איזה מידע הארגון חייב להגן עליו?
- מה עלול להשבית את הפעילות?
- אילו ספקים יכולים להשפיע עלינו?
- האם אנחנו עומדים בדרישות החוק והחוזים?
- כמה סיכון הארגון מוכן לקבל?
- מי אחראי לכל פעולת טיפול?
- איך נמדוד אם רמת הסיכון ירדה?
מסגרת NIST Cybersecurity Framework 2.0 מדגישה את הצורך לשלב ממשל וניהול סיכוני סייבר בתהליך ניהול הסיכונים הארגוני. המסגרת מאפשרת לארגונים להבין, להעריך, לתעדף ולתקשר סיכוני סייבר בשפה משותפת בין ההנהלה, הגורמים העסקיים והצוותים המקצועיים.
אילו סיכוני סייבר מרכזיים מאיימים על ארגונים?
1. מתקפות כופרה והשבתת פעילות
כופרה עלולה להצפין מערכות, לעצור תהליכים ולהשבית שירותים קריטיים. במקרים רבים התוקפים גם גונבים מידע לפני ההצפנה ומאיימים לפרסם אותו.
הארגון צריך לבדוק לא רק אם קיימים גיבויים, אלא אם הוא יכול לשחזר מהם מידע ומערכות בזמן שעונה על צורכי הפעילות. עליו להפריד בין סביבות, להגביל הרשאות, לנטר התנהגות חריגה ולתרגל תרחישי התאוששות.
2. פישינג והנדסה חברתית
תוקפים משתמשים בהודעות דואר, מסרונים, שיחות טלפון ואתרים מתחזים כדי לגרום לעובדים למסור סיסמאות, לפתוח קבצים או לאשר פעולות.
הדרכה חד־פעמית אינה מספיקה. הארגון צריך לבנות תוכנית מודעות מתמשכת, לבצע תרגולים, להתאים את ההדרכה לתפקידים רגישים ולבחון כיצד עובדים מדווחים על הודעות חשודות.
3. הרשאות עודפות וגניבת זהויות
חשבונות בעלי הרשאות רחבות מגדילים את הנזק שתוקף או עובד פנימי יכולים לגרום. גם חשבון רגיל עלול להפוך לנקודת כניסה אם הארגון אינו משתמש באימות רב־שלבי או אינו מבטל חשבונות ישנים.
הארגון צריך לנהל מחזור חיים מלא של זהויות: פתיחת הרשאה, אישור, בדיקה תקופתית, שינוי בעת מעבר תפקיד וביטול מיד עם סיום ההעסקה.
4. דליפת מידע וחשיפה של מידע אישי
מידע עלול לדלוף דרך דואר אלקטרוני, מערכות שיתוף קבצים, התקנים ניידים, שירותי ענן, ספקים או טעויות אנוש. ארגון שאינו יודע איזה מידע הוא מחזיק, היכן הוא נמצא ולמי יש גישה אליו מתקשה להגן עליו.
לכן ניהול הסיכון מתחיל במיפוי מאגרי מידע, סיווג המידע, הגדרת הרשאות, הצפנה, ניהול שיתוף ובקרת העברות.
5. חולשות במערכות ובאפליקציות
מערכות שאינן מעודכנות, הגדרות שגויות וקוד לא מאובטח יוצרים נתיבי תקיפה. עם זאת, רשימת חולשות לבדה אינה מספקת תמונת סיכון.
הארגון צריך לקשר כל חולשה לנכס, לתהליך עסקי, לחשיפה בפועל ולנזק האפשרי. כך הוא יכול להחליט אילו תיקונים לבצע מיד ואילו פעולות ניתן לתכנן להמשך.
6. סיכוני ענן ושירותי SaaS
מעבר לענן אינו מעביר את כל האחריות לספק. הארגון עדיין מנהל משתמשים, הרשאות, מידע, תצורות, אינטגרציות וגיבויים.
טעויות בהגדרת הרשאות, שיתוף ציבורי, חיבורים לא מבוקרים בין מערכות והיעדר תיעוד עלולים לחשוף מידע גם כאשר התשתית של ספק הענן מאובטחת.
7. סיכוני צד שלישי ושרשרת אספקה
ספקים, חברות תוכנה, נותני שירות ומיקור חוץ מתחברים לעיתים למערכות הארגון או מעבדים עבורו מידע רגיש. תוקף יכול לנצל את יחסי האמון האלה כדי להגיע לארגון דרך חולשה אצל הספק.
מבקר המדינה הגדיר תקיפות דרך שרשרת האספקה כאיום חמור על המשק, והרשות להגנת הפרטיות מדגישה את הצורך לבחון את גישת הספק למידע, את העברת המידע ואת אופן סיום ההתקשרות.
8. איומים פנימיים וטעויות אנוש
לא כל אירוע נובע מפעילות זדונית. עובדים עלולים למחוק מידע, לשתף קובץ עם גורם לא נכון, להשתמש בסיסמה חלשה, לעקוף נוהל או להעביר מידע למערכת שלא אושרה.
הארגון צריך לשלב בקרות טכנולוגיות עם נהלים ברורים, הפרדת תפקידים, מודעות, פיקוח ותהליך דיווח פשוט.
9. היעדר מוכנות לאירוע סייבר
ארגון עלול להשקיע במניעה אך להזניח את שלבי הזיהוי, התגובה והשיקום. כאשר מתרחש אירוע, חוסר בהירות לגבי סמכויות, דיווחים, גיבויים, תקשורת ומשימות קריטיות מאריך את זמן ההשבתה.
תוכנית תגובה טובה מגדירה מראש מי מקבל החלטות, מי מרכז את הטיפול, אילו ספקים משתתפים, אילו מערכות משקמים תחילה ומתי מערבים ייעוץ משפטי, רגולטורים או לקוחות.
כיצד מעריכים את רמת הסיכון?
הערכת סיכון בוחנת בדרך כלל שני משתנים עיקריים:
סבירות – מה הסיכוי שהאירוע יתרחש או שהאיום ינצל את החולשה?
השפעה – איזה נזק ייגרם אם האירוע יתרחש?
הארגון יכול להשתמש במטריצה איכותנית של נמוך, בינוני, גבוה וקריטי, או במודל כמותי מפורט יותר. השיטה חשובה, אך העקביות חשובה ממנה. כל הגורמים צריכים להשתמש באותן הגדרות ובאותה שיטת דירוג.
בעת הערכת הסיכון כדאי לבחון:
- חשיבות הנכס והתהליך העסקי.
- רגישות המידע.
- מספר המשתמשים או הלקוחות שיושפעו.
- תלות במערכת או בספק.
- חשיפה לאינטרנט.
- קלות הניצול.
- איכות הבקרות הקיימות.
- זמן ההתאוששות הצפוי.
- השלכות כספיות, משפטיות ותדמיתיות.
- דרישות חוק, רגולציה והסכמים.
הסיכון לפני שקלול הבקרות נקרא לעיתים סיכון מובנה. הסיכון שנותר לאחר שהארגון מפעיל את הבקרות נקרא סיכון שיורי. ההנהלה צריכה להחליט אם היא מקבלת את הסיכון השיורי או דורשת טיפול נוסף.
מה ההבדל בין סיכוני סייבר לסיכוני אבטחת מידע?
סיכוני סייבר מתמקדים בעיקר באיומים דיגיטליים על מערכות, רשתות, אפליקציות וזהויות, כמו כופרה, פישינג, ניצול חולשות ותקיפות על שירותי ענן. סיכוני אבטחת מידע הם מושג רחב יותר, שכולל גם סיכונים שאינם נובעים מתקיפת סייבר, כגון גישה פיזית לא מורשית, אובדן מסמכים, טעויות אנוש, הרשאות שגויות או טיפול לקוי במידע. בפועל, ארגון צריך לנהל את שני התחומים יחד, משום שאותו מידע עלול להיפגע גם מתקיפה טכנולוגית וגם מכשל תהליכי או אנושי
מהו סקר סיכוני אבטחת מידע?
סקר סיכוני אבטחת מידע הוא תהליך שיטתי שממפה נכסים, תהליכים, איומים, חולשות ובקרות, ומתרגם אותם לרשימת סיכונים מתועדפת.
הסקר אינו אמור להסתפק בתיאור המצב. עליו להציג להנהלה תמונה ברורה:
- מה עלול לקרות?
- מדוע האירוע אפשרי?
- אילו נכסים ותהליכים ייפגעו?
- מה רמת הסיכון?
- אילו בקרות כבר פועלות?
- אילו פעולות יצמצמו את הסיכון?
- מי אחראי לביצוע?
- מהו לוח הזמנים המומלץ?
מערך הסייבר הלאומי מתאר סקר סיכונים ככלי שמזהה סיכונים העלולים לפגוע ביעדים העסקיים, מעריך את רמתם לפי עוצמה וסבירות ומסייע לבנות תוכנית לטיפול בהם.
כיצד מבצעים סקר סיכוני סייבר?
1. מגדירים את מטרת הסקר ואת היקפו
הארגון צריך להחליט מראש מה הסקר כולל: חברה שלמה, יחידה עסקית, מערכת, תהליך, אתר, סביבת ענן או מאגר מידע.
היקף עמום יוצר סקר שטחי. היקף מדויק מאפשר לאסוף את המידע הנכון ולחבר את הממצאים להחלטות עסקיות.
2. ממפים תהליכים ונכסים
בשלב זה מזהים מערכות, מידע, תשתיות, ממשקים, משתמשים, אתרים, שירותי ענן, ספקים ותלויות.
מיפוי איכותי אינו מסתפק ברשימת שרתים. הוא בוחן כיצד הארגון מספק שירות, מי משתמש במידע, לאן המידע עובר ומה יקרה אם רכיב מסוים יפסיק לפעול.
3. מזהים איומים ותרחישי סיכון
במקום לכתוב ממצאים כלליים כמו "קיימת חולשה", מנסחים תרחישים עסקיים:
- תוקף משיג גישה לחשבון מנהל ומשנה מידע.
- עובד שולח מאגר לקוחות לנמען שגוי.
- ספק שירות שנפרץ מאפשר גישה למערכות הארגון.
- תקלה משביתה מערכת ללא יכולת שחזור מספקת.
- אפליקציה חושפת מידע אישי למשתמש לא מורשה.
תרחיש ברור עוזר להנהלה להבין את המשמעות ומאפשר לבחור טיפול מתאים.
4. בודקים את הבקרות הקיימות
הסקר בוחן מדיניות, נהלים, הרשאות, תצורות, ניטור, גיבויים, הדרכות, ניהול ספקים ותהליכי תגובה.
הבודק צריך לברר לא רק אם הארגון כתב נוהל, אלא אם העובדים מיישמים אותו. עליו לבדוק לא רק אם הותקנה מערכת, אלא אם הארגון הגדיר, מנטר ומתחזק אותה.
5. מעריכים סבירות והשפעה
בשלב זה מדרגים כל תרחיש בהתאם למתודולוגיה שנבחרה. יש לתעד את ההנחות ואת הסיבות לדירוג כדי שהארגון יוכל לעדכן את ההערכה בעתיד.
6. מתעדפים את הסיכונים
לא כל פער דורש טיפול מיידי. הסקר צריך לזהות אילו סיכונים עלולים לגרום לנזק המהותי ביותר ואילו פעולות ישיגו את הפחתת הסיכון הגבוהה ביותר.
7. בונים תוכנית טיפול
לכל סיכון יש לבחור אחת מארבע אסטרטגיות:
- הפחתה – הטמעת בקרה שמקטינה את הסבירות או את ההשפעה.
- הימנעות – הפסקת פעילות שיוצרת סיכון בלתי סביר.
- העברה – העברת חלק מהחשיפה באמצעות חוזה, ספק או ביטוח.
- קבלה – החלטה מודעת ומתועדת להשאיר את הסיכון.
תוכנית הטיפול צריכה לכלול אחראי, יעד, לוח זמנים, עדיפות ומשאבים.
8. עוקבים אחר הביצוע ומעדכנים את הסקר
סקר סיכונים אינו מסמך חד־פעמי. הארגון צריך לעקוב אחר יישום ההמלצות ולעדכן את הסיכונים לאחר שינוי מהותי במערכות, בתהליכים, בספקים או בדרישות הרגולציה.
מה ההבדל בין סקר סיכונים לסקר פערי אבטחת מידע?
[קישור פנימי מוצע: סקר פערי אבטחת מידע]
שני הסקרים משלימים זה את זה, אך הם עונים על שאלות שונות.
סקר סיכונים שואל:
מה עלול לקרות לארגון, מה תהיה ההשפעה ומה עלינו לתעדף?
סקר פערים שואל:
באילו דרישות, בקרות או נהלים הארגון אינו עומד כיום?
בסקר פערים משווים את מצב הארגון למסגרת מוגדרת, כגון תקן, רגולציה, מדיניות פנימית או מתודולוגיית אבטחה. הסקר עשוי לבדוק, לדוגמה, אם הארגון מנהל הרשאות, מתעד גיבויים, מבצע הדרכות או מטפל בספקים בהתאם לדרישה.
סקר סיכונים בוחן את ההקשר העסקי ומעריך את הנזק האפשרי. סקר פערים בוחן את מידת ההתאמה לדרישות. פער מסוים יכול להיות משמעותי מבחינת ציות אך ליצור סיכון תפעולי נמוך יחסית, ולהפך.
ארגונים רבים מפיקים את התועלת הגבוהה ביותר כאשר הם משלבים בין השניים: תחילה מזהים פערים, לאחר מכן מנתחים את הסיכון שכל פער יוצר, ולבסוף בונים תוכנית טיפול אחת ומתועדפת.
מה ההבדל בין סקר סיכונים למבדק חדירות?
מבדק חדירות בוחן באופן מעשי אם ניתן לנצל חולשות טכניות במערכת, באפליקציה או בתשתית. הוא מספק תמונה עמוקה אך ממוקדת של משטח תקיפה מסוים.
סקר סיכונים בוחן תמונה רחבה יותר. הוא כולל אנשים, תהליכים, מידע, ספקים, רגולציה, מערכות והמשכיות עסקית.
מבדק חדירות יכול להוות מקור מידע חשוב בתוך סקר הסיכונים, אך הוא אינו מחליף אותו. גם מערכת שעברה מבדק חדירות בהצלחה עלולה להישאר חשופה בגלל הרשאות שגויות, תהליך עבודה לקוי, ספק חיצוני או היעדר יכולת התאוששות.
הרשות להגנת הפרטיות מציגה סקרי סיכונים ומבדקי חדירות ככלים מרכזיים אך שונים להגנת המידע, ורואה בסקר הסיכונים דרך מרכזית למיפוי סיכוני אבטחת המידע ולקביעת אופן הטיפול בהם.
סיכוני אבטחת מידע ותקנות הגנת הפרטיות
ארגונים שמנהלים מידע אישי צריכים לחבר בין ניהול סיכונים לבין החובות שחלות עליהם מכוח דיני הפרטיות.
תקנות הגנת הפרטיות (אבטחת מידע) מגדירות דרישות בהתאם לרמת האבטחה של מאגר המידע. הן עוסקות, בין היתר, במסמך הגדרות המאגר, מיפוי מערכות, ניהול הרשאות, תיעוד אירועים, אבטחה פיזית, התקנים ניידים, כוח אדם, ביקורות והתקשרות עם ספקים.
ארגון אינו צריך להתייחס לדרישות האלה כאל רשימת סימון בלבד. עליו לבדוק איזה סיכון כל דרישה נועדה לצמצם וכיצד הוא מוכיח שהבקרה פועלת.
לדוגמה:
- ניהול הרשאות מצמצם חשיפה למידע בידי גורמים לא מורשים.
- תיעוד אירועים מאפשר לזהות פעילות חריגה ולחקור אותה.
- מיפוי מערכות עוזר לזהות היכן נשמר מידע אישי.
- ניהול ספקים מצמצם סיכוני צד שלישי.
- הדרכות לעובדים מצמצמות טעויות והנדסה חברתית.
- בדיקות תקופתיות מאפשרות לזהות שינוי ברמת החשיפה.
אילו תוצרים צריך לקבל מסקר סיכונים?
סקר מקצועי צריך לספק תוצרים שאפשר לנהל ולעקוב אחריהם:
תקציר מנהלים
התקציר צריך להסביר את תמונת הסיכון בשפה עסקית, להציג את הסיכונים המרכזיים ולהצביע על החלטות שנדרשות מההנהלה.
מפת נכסים ותהליכים
המפה מתארת את המערכות, המידע, התהליכים, הספקים והתלויות שנכללו בסקר.
רשימת סיכונים
כל סיכון צריך לכלול תרחיש, נכס מושפע, חולשה, בקרות קיימות, סבירות, השפעה ורמת סיכון.
מפת חום
מפת החום מסייעת להמחיש את פיזור הסיכונים לפי חומרה ודחיפות. היא אינה מחליפה את הניתוח המלא, אך היא מאפשרת להנהלה לזהות מוקדי חשיפה במהירות.
תוכנית טיפול מתועדפת
התוכנית צריכה להגדיר פעולות ברורות, אחראים, מועדים, תלות בין משימות ועלויות משוערות לפי הצורך.
סיכונים שיוריים
לאחר בחירת הבקרות, הסקר צריך להציג אילו סיכונים יישארו ומי מוסמך לקבל אותם.
מדדים למעקב
הארגון צריך לקבוע כיצד ימדוד התקדמות: שיעור סגירת ממצאים, זמן תיקון, השלמת ביקורות הרשאה, הצלחת שחזורים, כיסוי הדרכות או ירידה במספר החשיפות.
טעויות נפוצות בניהול סיכוני סייבר
מתמקדים רק בטכנולוגיה
מערכת הגנה אינה יכולה לתקן תהליך עסקי לקוי, אחריות לא ברורה או הסכם ספק חסר. ניהול סיכונים חייב לכלול אנשים, תהליכים וטכנולוגיה.
מייצרים רשימת ממצאים בלי הקשר עסקי
ממצא טכני שאינו מסביר מה עלול לקרות ולמי אינו מאפשר להנהלה לתעדף נכון.
מדרגים הכול כקריטי
כאשר כל סיכון מקבל את הציון הגבוה ביותר, הארגון מאבד את יכולת התיעדוף. יש להבדיל בין חומרה טכנית לבין סיכון עסקי.
מסתפקים במסמך מדיניות
מדיניות אינה בקרה פעילה עד שהארגון מיישם, מתקשר, אוכף ובודק אותה.
מתעלמים מספקים
ארגון יכול להגן היטב על הרשת שלו ועדיין להיחשף דרך ספק שמחזיק מידע, מתחבר מרחוק או מספק רכיב תוכנה מרכזי.
מבצעים סקר פעם אחת
מערכות, עובדים, איומים וספקים משתנים. גם סקר איכותי מתיישן אם הארגון אינו מעדכן אותו.
לא ממנים בעלי אחריות
המלצה בלי אחראי ובלי מועד נשארת בגדר הצעה. הנהלה צריכה להטיל אחריות ולעקוב אחר הביצוע.
באיזו תדירות צריך לבצע סקר סיכונים?
אין תדירות אחת שמתאימה לכל ארגון. רמת הסיכון, הרגולציה, קצב השינויים ואופי הפעילות צריכים לקבוע את המחזור.
ככלל, כדאי לבצע סקר תקופתי מסודר ולעדכן אותו כאשר מתרחש אחד מהשינויים הבאים:
- הטמעת מערכת או אפליקציה מרכזית.
- מעבר לענן או שינוי ארכיטקטורה.
- מיזוג, רכישה או כניסה לשוק חדש.
- התחלת עבודה עם ספק מהותי.
- שינוי באופן עיבוד מידע אישי.
- גילוי אירוע סייבר או כשל משמעותי.
- שינוי בדרישות חוק, רגולציה או לקוח.
- שינוי נרחב במבנה ההרשאות או כוח האדם.
ארגון בעל סביבה דינמית צריך לעקוב אחר סיכונים באופן שוטף ולא להמתין לסקר השנתי.
מי צריך להשתתף בתהליך?
ניהול סיכוני סייבר אינו משימה של מנהל אבטחת המידע בלבד. תהליך איכותי משלב:
- הנהלה בכירה.
- מנהלי IT ואבטחת מידע.
- בעלי תהליכים עסקיים.
- משפטים ופרטיות.
- משאבי אנוש.
- רכש וניהול ספקים.
- כספים וביטוח.
- תפעול והמשכיות עסקית.
- פיתוח ומנהלי מוצר.
- נציגי אתרים או יחידות רלוונטיות.
כל גורם מספק חלק אחר מהתמונה. אנשי הטכנולוגיה מכירים את המערכות, אך בעלי התהליך יודעים מהי ההשפעה העסקית. היועץ המשפטי מבין את החובות, אך מנהל התפעול יודע כמה זמן הארגון יכול לפעול ללא המערכת.
כיצד בוחרים חברה לביצוע סקר סיכוני אבטחת מידע?
ארגון צריך לבחון לא רק את הידע הטכני של הספק, אלא גם את יכולתו לחבר בין טכנולוגיה, פעילות עסקית, פרטיות ורגולציה.
כדאי לבדוק:
- האם הספק משתמש במתודולוגיה סדורה?
- האם הוא מתאים את הסקר לארגון או משתמש בתבנית כללית?
- האם הוא מבין את הענף ואת הדרישות שחלות עליו?
- האם הוא משלב ראיונות, מסמכים ובדיקות?
- האם הוא יודע להסביר סיכון להנהלה?
- האם הדוח כולל תוכנית טיפול ישימה?
- האם הוא מבחין בין חולשה, פער וסיכון?
- האם הוא מסייע לתעדף לפי השפעה עסקית?
- האם הוא יכול ללוות את יישום ההמלצות?
- האם הוא שומר על עצמאות מקצועית ואינו מתעדף פתרונות טכנולוגיים בגלל אינטרס מסחרי?
איך אינפוגארד מסייעת בניהול סיכוני סייבר ואבטחת מידע?
אינפוגארד מסייעת לארגונים להפוך סיכוני סייבר וסיכוני אבטחת מידע לתוכנית עבודה ברורה, מתועדפת ומדידה.
העבודה יכולה לכלול:
- סקר סיכוני אבטחת מידע וסיכוני סייבר.
- סקר פערים מול רגולציה, תקן או מדיניות.
- מיפוי מאגרי מידע ומערכות.
- בחינת עמידה בתקנות הגנת הפרטיות.
- הערכת סיכוני ספקים ושרשרת אספקה.
- סקירת מדיניות, נהלים ובקרות.
- בחינת הרשאות ותהליכי ניהול זהויות.
- בניית תוכנית עבודה לצמצום סיכונים.
- הצגת תמונת הסיכון להנהלה.
- ליווי יישום ובקרה על סגירת פערים.
- הכנת תוכניות תגובה לאירוע והמשכיות.
- הדרכות, מודעות ותרגילי פישינג.
המטרה אינה להפיק דוח נוסף למדף. המטרה היא לאפשר לארגון להבין מה באמת מסכן את הפעילות שלו, לבחור את הפעולות הנכונות ולמדוד את השיפור לאורך זמן.
יש לכם שאלות לגבי סיכוני סייבר?
דברו עם מומי סיכוני הסייבר שלנו באינפוגארד לייעוץ ראשוני
צרו קשר
שאלות נפוצות על סיכוני סייבר וסיכוני אבטחת מידע
מהו סיכון סייבר?
סיכון סייבר הוא האפשרות שאיום ינצל חולשה במערכת, בתהליך או בהתנהגות אנושית ויגרום נזק למידע, לפעילות, ללקוחות או לארגון.
מה ההבדל בין איום, חולשה וסיכון?
איום הוא גורם שעלול לגרום נזק. חולשה היא נקודת תורפה שהאיום יכול לנצל. סיכון משקלל את האפשרות שהניצול יתרחש ואת ההשפעה שתיגרם.
האם כל ארגון צריך סקר סיכונים?
כל ארגון שמסתמך על מידע, מערכות, ענן או ספקים צריך לנהל סיכונים. היקף הסקר ורמת הפירוט צריכים להתאים לגודל הארגון, למורכבות הפעילות ולרגולציה שחלה עליו.
האם סקר סיכונים הוא בדיקה טכנית?
לא בלבד. סקר איכותי בוחן גם תהליכים עסקיים, אנשים, מדיניות, ספקים, פרטיות, המשכיות ויכולת תגובה.
האם סקר פערים מחליף סקר סיכונים?
לא. סקר פערים בודק התאמה לדרישות. סקר סיכונים בוחן תרחישים, סבירות והשפעה. שילוב בין השניים מספק תמונה מלאה יותר.
האם מבדק חדירות מחליף סקר סיכונים?
לא. מבדק חדירות בוחן יכולת ניצול טכנית בתחום מוגדר. סקר סיכונים בוחן את החשיפה הארגונית הרחבה ואת ההשפעה העסקית.
מי אחראי על סיכוני הסייבר בארגון?
ההנהלה נושאת באחריות הכוללת לניהול הסיכונים. מנהלי אבטחת המידע וה־IT מובילים את העבודה המקצועית, ובעלי התהליכים העסקיים אחראים לסיכונים בתחומם.
מה עושים לאחר קבלת הסקר?
מאשרים סדרי עדיפויות, ממנים בעלי אחריות, מקצים משאבים, מטפלים בממצאים, מודדים התקדמות ומעדכנים את רמת הסיכון לאחר יישום הבקרות.
ניהול סיכוני סייבר מתחיל בהבנת העסק
ארגון אינו יכול למנוע כל אירוע, לתקן כל חולשה מיד או לבטל כל סיכון. הוא כן יכול לקבל החלטות טובות יותר.
תהליך מקצועי של ניהול סיכוני סייבר ואבטחת מידע מחבר בין נכסים, איומים, חולשות, תהליכים והשלכות עסקיות. הוא מסייע להנהלה להבין היכן הארגון חשוף, אילו סיכונים דורשים טיפול מיידי ואילו בקרות יספקו את הערך הגבוה ביותר.
כאשר הארגון מבצע סקר סיכונים, משווה את המצב לדרישות, בונה תוכנית טיפול ומנהל מעקב, הוא מפסיק להגיב רק לאחר אירוע. הוא מפתח יכולת שיטתית לצמצם חשיפה, לשמור על מידע ולחזק את החוסן הארגוני.
רוצים לקבל תמונה ברורה של סיכוני הסייבר וסיכוני אבטחת המידע בארגון?
מומחי אינפוגארד יסייעו לכם למפות את הנכסים והחשיפות, להעריך את רמת הסיכון ולבנות תוכנית טיפול מעשית שמתאימה לפעילות, לרגולציה וליעדים העסקיים שלכם.
דברו עם מומחי סיכוני הסייבר שלנו
המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו מהווה ייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי. כל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים.
המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ונערך על ידי ROY KISCH, חובב אבטחת מידע, סייבר ומנהל השיווק של קבוצת חברות עידור (Messagent, Infoguard, Idornext).
