Evidence באבטחת מידע: איך מוכיחים שהבקרות באמת מתקיימות?

Evidence (עדויות או הוכחות) באבטחת מידע הוא החיבור בין מדיניות כתובה, ביצוע בפועל והיכולת להציג הוכחות בזמן אמת

לארגון יכולה להיות מדיניות אבטחת מידע מסודרת, תיק נהלים מרשים ואפילו פתרונות טכנולוגיים מתקדמים. אבל כאשר מגיעים ביקורת, לקוח גדול, רגולטור או אירוע סייבר, עולה שאלה פשוטה: האם הארגון יכול להוכיח שהדרישות אכן מיושמות?

כאן נכנס לתמונה המושג Evidence, או בעברית: ראיות, אסמכתאות והוכחות לביצוע.

Evidence אינו רק מסמך שמכינים לקראת ביקורת. מדובר במכלול המידע שמראה כי הארגון הגדיר את הדרישה, יישם אותה, בדק אותה, טיפל בחריגות ושמר תיעוד שניתן לאתר ולהציג.

עבור מנכ״לים ומנהלי IT, המשמעות ברורה: ציות אינו נמדד רק לפי מה שהארגון מצהיר שהוא עושה, אלא גם לפי מה שהוא מסוגל להראות.

Evidence באבטחת מידע, סייבר וציות בארגונים?

Evidence הוא כל תיעוד אמין שמאפשר להראות כי תהליך, בקרה או דרישה אכן מתקיימים בארגון.

לדוגמה, נוהל הקובע כי הרשאות משתמשים נבדקות אחת לרבעון הוא רק נקודת ההתחלה. הראיות צריכות להראות שהבדיקה אכן התבצעה: מי ערך אותה, אילו הרשאות נבדקו, אילו חריגות נמצאו, מי אישר אותן ומה תוקן בעקבות הבדיקה.

באופן דומה, מדיניות המחייבת הדרכות מודעות לעובדים אינה מספיקה בפני עצמה. הארגון צריך להיות מסוגל להציג רשימות השתתפות, תאריכי הדרכה, תכנים שהועברו, תוצאות מבחנים או תרגילי פישינג ומעקב אחר עובדים שטרם השלימו את ההדרכה.

ISO/IEC 27001 מגדיר דרישות להקמה, ליישום, לתחזוקה ולשיפור מתמשך של מערכת לניהול אבטחת מידע. במסגרת מערכת כזו נדרשים תהליכים מבוקרים ומידע מתועד שמאפשר לבחון אם המערכת אכן פועלת כמתוכנן.

גם מסגרות דוגמת NIST Cybersecurity Framework מבססות את ניהול הסייבר על תוצאות, אחריות ותהליכים שניתנים להערכה ולמדידה, ולא רק על רשימת פתרונות טכנולוגיים שהארגון רכש.

מדיניות אינה הוכחה לביצוע

אחת הטעויות הנפוצות בארגונים היא להתייחס למדיניות Governance כאל הראיה עצמה.

מדיניות מגדירה מה אמור לקרות.
Evidence מראה מה קרה בפועל.

לדוגמה:

• המדיניות קובעת שיש לבצע גיבויים.
• ההגדרות במערכת מראות שהוגדרה משימת גיבוי.
• הלוגים מראים שהגיבוי אכן בוצע.
• דוח השחזור מראה שנבדקה היכולת להשתמש בגיבוי בשעת הצורך.
• תיעוד החריגות מראה כיצד טופלו גיבויים שנכשלו.

כל אחת מהשכבות משלימה חלק אחר בתמונה. קובץ הגדרות לבדו אינו מוכיח שהגיבוי הצליח. לוג הצלחה אינו בהכרח מוכיח שניתן לבצע שחזור. ונוהל גיבויים, מפורט ככל שיהיה, אינו מוכיח שהארגון פעל לפיו.

המשמעות היא שארגון אינו צריך רק לשאול “האם קיימת אצלנו בקרה?”, אלא גם:

כיצד אנחנו יודעים שהיא עובדת, ואילו הוכחות נוכל להציג?

המדיניות שלכם קיימת, אבל האם גם ההוכחות?
באינפוגארד אנחנו מסייעים לארגונים לבדוק את הפער שבין הנהלים והמדיניות לבין היישום בפועל, ולבנות תמונת מצב ברורה של הבקרות והראיות הקיימות.

דברו איתנו לבדיקת פערי הציות בארגון

שלוש שכבות של Evidence

כדי להבין אם קיימת בארגון מערכת ראיות אפקטיבית, ניתן לחלק את ה- Evidence לשלוש שכבות מרכזיות.

1. הוכחה שהדרישה הוגדרה

שכבה זו כוללת את המדיניות, הנהלים, חלוקת האחריות, תדירות הבקרה והקריטריונים לביצועה.

לדוגמה:

• מדיניות אבטחת מידע.
• נוהל ניהול הרשאות.
• נוהל טיפול באירועי סייבר.
• נוהל עבודה עם ספקים.
• תוכנית המשכיות עסקית.
• הגדרת תפקידים וסמכויות.

מסמכים אלה מסבירים כיצד הארגון מתכוון לפעול, אך אינם מוכיחים לבדם שהפעולה התקיימה.

2. הוכחה שהפעולה בוצעה

השכבה השנייה היא התיעוד התפעולי.

היא יכולה לכלול:

• דוחות סריקת פגיעויות.
• תוצאות מבדקי חדירה.
• לוגים ממערכות אבטחה.
• אישורי מנהלים לבקשות הרשאה.
• פרוטוקולים של ועדת אבטחת מידע.
• רשימות השתתפות בהדרכות.
• תיעוד בדיקות גיבוי ושחזור.
• סקרי סיכונים וסקרי ספקים.
• תיעוד התקנת עדכוני אבטחה.
• דוחות טיפול באירועים ובחריגות.

אלה הראיות שמחברות בין הנוהל לבין המציאות הארגונית.

3. הוכחה שהארגון בודק ומשתפר

השלב המתקדם יותר אינו מסתפק בהצגת פעילות. הוא בוחן אם הפעילות הייתה אפקטיבית.

לדוגמה, לא מספיק להראות שבוצעה סריקת פגיעויות. יש להראות גם אילו ממצאים התגלו, כיצד הם תועדפו, מי קיבל אחריות לטיפול, מה נסגר ומה נשאר פתוח.

לא מספיק להציג תרגיל פישינג. חשוב להראות מה היו התוצאות, אילו אוכלוסיות היו חשופות יותר, אילו פעולות הדרכה בוצעו בעקבות התרגיל והאם חל שיפור לאורך זמן.

Evidence איכותי יוצר שרשרת ברורה:

דרישה, ביצוע, ממצא, טיפול, אימות וסגירה.

אילו ראיות מנכ״ל צריך לצפות לראות?

המנכ״ל אינו צריך לעבור על אלפי לוגים או לבדוק ידנית כל הגדרת אבטחה. הוא כן צריך לקבל תמונה ניהולית אמינה שמראה שהסיכונים המרכזיים מנוהלים.

ברמה הניהולית, ה-Evidence יכול לכלול:

• סטטוס הסיכונים המרכזיים של הארגון.
• פערים פתוחים מול תקנים, רגולציות והתחייבויות ללקוחות.
• אחוז העובדים שהשלימו הדרכות.
• שיעור ההצלחה בתרגילי פישינג.
• מצב הפגיעויות הקריטיות וזמני הטיפול בהן.
• תוצאות בדיקות גיבוי ושחזור.
• ספקים קריטיים שטרם עברו בדיקה.
• חריגות הרשאה שלא נסגרו.
• אירועי אבטחה משמעותיים ופעולות התיקון שבוצעו.
• החלטות הנהלה שדורשות מעקב.

המטרה אינה להציף את ההנהלה בנתונים טכניים, אלא לספק הוכחה לכך שהארגון יודע מהם הסיכונים שלו, מי אחראי עליהם והאם הם מטופלים בזמן.

האם ההנהלה מקבלת תמונת ציות שאפשר באמת לסמוך עליה?
Evidence ניהולי נכון מאפשר למנכ״ל ולדירקטוריון להבין לא רק אילו בקרות הוגדרו, אלא מה בוצע בפועל, אילו פערים עדיין פתוחים ומי אחראי לטפל בהם.

דברו איתנו לבניית תמונת ציות ניהולית

מה מנהל ה-IT וה- CISO צרכים להוכיח?

מנהל ה-IT נמצא בדרך כלל במקום שבו המדיניות של מנהל אבטחת המידע, פוגשת את המערכות.

הוא עשוי להידרש להציג ראיות בתחומים כמו:

• ניהול משתמשים והרשאות.
• צירוף עובדים וגריעת עובדים.
• אימות רב־שלבי.
• הקשחת שרתים ותחנות עבודה.
• התקנת עדכונים.
• גיבויים ושחזורים.
• ניטור והתראות.
• טיפול בפגיעויות.
• ניהול שינויים.
• הפרדת סביבות.
• הרשאות מנהל מערכת.
• ניהול ציוד ונכסים.
• עבודה עם ספקי IT ושירותי ענן.

האתגר הוא שחלק גדול מהמידע הזה מפוזר בין מערכות שונות:
מערכת קריאות השירות, Active Directory, מערכות ענן, כלי ניטור, קבצי Excel, הודעות דוא״ל, מערכות גיבוי ומסמכי הנהלה.

כאשר אין שיטה מסודרת לאיסוף הראיות, מנהל ה-IT מוצא את עצמו מנסה לשחזר חודשים של פעילות רגע לפני ביקורת.

הבעיה אינה מחסור במידע, אלא מחסור בסדר

במרבית הארגונים קיימות ראיות רבות. הבעיה היא שלא תמיד ברור:

• היכן הן נמצאות.
• מי אחראי לשמור אותן.
• לאיזו דרישה הן קשורות.
• לאיזו תקופה הן מתייחסות.
• האם הן מלאות ועדכניות.
• האם ניתן לסמוך עליהן.
• מתי צריך לחדש אותן.
• מי בדק ואישר אותן.

צילום מסך שנשלח בדוא״ל לפני שנה עשוי להראות שהגדרה מסוימת הייתה פעילה באותו יום. הוא אינו בהכרח מוכיח שההגדרה נשארה פעילה מאז.

גם קובץ Excel עם רשימת עובדים שעברו הדרכה אינו מספיק אם לא ניתן לדעת מה מקור הנתונים, מי עדכן אותם והאם הרשימה כוללת את כלל העובדים הרלוונטיים.

לכן, ניהול Evidence דורש לא רק איסוף מסמכים, אלא גם בעלות, תוקף, עקיבות ובקרת איכות.

Evidence לא צריך להתחיל שבועיים לפני הביקורת.

מיפוי נכון של הדרישות, האחראים, התדירות והאסמכתאות מאפשר להפוך את הציות מתהליך ידני ומפוזר למנגנון שניתן לנהל לאורך כל השנה.

בואו נבנה מנגנון Evidence מסודר

ניהול Evidence: לאסוף, לתחזק ולוודא שהראיות נשארות רלוונטיות

ניהול Evidence אינו מסתכם בשמירת מסמכים בתיקייה לקראת ביקורת. כדי שהראיות יהיו שימושיות, הארגון צריך לנהל אותן באופן שוטף:

• לקבוע איזה Evidence נדרש עבור כל בקרה
• מי אחראי להפיק אותו
• באיזו תדירות יש לעדכן אותו, היכן הוא נשמר
• מי בודק שהוא אכן מוכיח את מה שהוא אמור להוכיח.

בנוסף, חשוב לנהל תוקף, גרסאות, הרשאות גישה וקישור ברור בין הראיה לבין הדרישה, הבקרה או הסיכון הרלוונטיים. כך ניתן למנוע מצב שבו קיימים עשרות צילומי מסך, דוחות וקבצים, אבל ברגע האמת קשה להבין מה עדכני, מה חסר ומה באמת ניתן להציג למבקר, ללקוח או להנהלה.

ניהול Evidence מסודר הופך את התיעוד מחומר ארכיוני למנגנון חי של בקרה, אחריות ו-Audit Readiness.

Audit Readiness: להתכונן לביקורת לפני שהיא מתחילה

Audit Readiness היא היכולת של הארגון להגיע לביקורת כשהמידע, הראיות והאחריות כבר מסודרים, ולא להתחיל במרוץ אחר מסמכים ברגע האחרון.
המשמעות היא לדעת מראש אילו דרישות ובקרות צפויות להיבדק, איזה Evidence נדרש עבור כל אחת מהן, מי אחראי להפיק ולעדכן אותו והיכן הוא נשמר.

כאשר התהליך מתבצע באופן שוטף, ניתן לזהות פערים מוקדם, להשלים ראיות חסרות ולוודא שהמסמכים והדוחות עדכניים ורלוונטיים. כך הביקורת הופכת מבדיקת חירום נקודתית לתהליך צפוי ומנוהל, שמפחית עומס על ה־IT וההנהלה ומאפשר לארגון להציג ציות בצורה מסודרת, עקבית ואמינה.

קריאה נוספת:
Audit Readiness: איך להתכונן לביקורת בלי להתחיל לאסוף מסמכים ברגע האחרון

מתי Evidence הופך לקריטי?

בביקורת תקן או רגולציה

ביקורות ISO, בדיקות ציות, סקרי לקוחות וביקורות רגולטוריות מתמקדות לא רק בקיום מסמכים, אלא ביכולת להראות שהארגון פועל לפיהם לאורך זמן.

בישראל, תקנות הגנת הפרטיות עוסקות בין היתר בסדרי ניהול, הגנה לוגית ופיזית וכללי עבודה הקשורים למאגרי מידע. במקרים מסוימים אף נדרש להעביר לרשות להגנת הפרטיות מסמך הגדרות מאגר ולעדכן אותו כאשר חלים שינויים.

מול לקוחות ושותפים עסקיים

לקוחות גדולים מבקשים כיום יותר מהצהרה כללית שלפיה “הארגון מאובטח”. הם עשויים לבקש שאלוני אבטחה, אישורי תקינה, תוצאות בדיקות, מסמכי מדיניות, נתוני זמינות, תיעוד טיפול בפגיעויות והוכחות לבקרת ספקים.

Evidence מסודר יכול לקצר תהליכי מכירה, לחזק אמון ולמנוע מצב שבו כל שאלון לקוח הופך לפרויקט חדש.

לאחר אירוע סייבר

לאחר אירוע, הארגון נדרש להבין מה התרחש, מי פעל, אילו מערכות הושפעו ואילו החלטות התקבלו.

מערך הסייבר הלאומי, לדוגמה, מאפשר לצרף לדיווח על אירוע קבצים התומכים ומוכיחים את פרטי האירוע.

לוגים, תכתובות, קריאות שירות, תיעוד החלטות וציר זמן של האירוע עשויים להיות חיוניים לתחקור, לדיווח ולניהול האחריות.

בעת חילופי תפקידים

כאשר IT, CISO, ממונה פרטיות או עובד מפתח עוזבים את הארגון, Evidence מסודר מאפשר לשמר ידע ולהפחית תלות באנשים מסוימים.

בלי תיעוד, הארגון עשוי לדעת שבקרה “מתבצעת איכשהו”, אך לא לדעת באיזו תדירות, על ידי מי ומה נעשה כאשר מתגלה חריגה.

לא כל צילום מסך הוא Evidence טוב

ארגונים רבים אוספים צילומי מסך משום שקל להפיק אותם. אבל ראיה טובה צריכה להיות ברורה, אמינה ורלוונטית.

כדאי שכל ראיה תענה, ככל האפשר, על השאלות הבאות:

• מה היא מוכיחה?
• לאיזו בקרה או דרישה היא קשורה?
• מאיזו מערכת היא הופקה?
• מהו התאריך הרלוונטי?
• מי הפיק או אישר אותה?
• האם היא מכסה את כל היקף הבקרה?
• האם קיימות חריגות?
• מה נעשה בעקבות החריגות?
• מתי יש לאסוף אותה מחדש?

צילום מסך ללא תאריך, ללא הקשר וללא זיהוי המערכת עלול להיות קשה לאימות. לעומתו, דוח אוטומטי עם חותמת זמן, היקף ברור, תוצאות ואחראי לבדיקה מספק ראיה חזקה יותר.

Evidence אינו פרויקט של פעם בשנה

אחת הבעיות המרכזיות היא “מרוץ הראיות” שמתחיל מספר שבועות לפני ביקורת.

בשלב הזה הארגון מנסה לאתר אישורים ישנים, לשחזר מי בדק הרשאות, למצוא דוחות מספקים ולהבין אם בדיקות מסוימות אכן בוצעו.

גישה יעילה יותר היא להפוך את איסוף ה-Evidence לחלק מהתהליך עצמו.

לדוגמה:

• עם סיום בדיקת הרשאות, נשמרים הדוח והאישור.
• לאחר סריקת פגיעויות, נפתחות משימות טיפול ומתועדת הסגירה.
• לאחר ישיבת אבטחת מידע, נשמר פרוטוקול עם החלטות ואחראים.
• לאחר תרגיל פישינג, מופק דוח ונבנית תוכנית המשך.
• לאחר בדיקת שחזור, נשמרות התוצאות ומתועדים הפערים.
• עם סיום העסקת עובד, נשמר אישור לסגירת כלל החשבונות וההרשאות.

כך, הראיות נוצרות כחלק מהעבודה ולא בדיעבד.

איך מתחילים לבנות מנגנון Evidence מסודר בחמישה צעדים?

אין צורך להתחיל ממערכת מורכבת. אפשר להתחיל בחמישה צעדים בסיסיים.

1. ממפים את הדרישות

מרכזים את הדרישות שמגיעות מתקנים, רגולציה, הסכמים עם לקוחות, מדיניות פנימית וסקרי סיכונים.

2. מגדירים מה נחשב הוכחה

עבור כל דרישה קובעים מראש איזה מסמך, דוח, לוג, אישור או תוצאה יוכיחו שהיא מתקיימת.

3. קובעים בעלים ותדירות

לכל ראיה צריך להיות אחראי ותאריך יעד: חודשי, רבעוני, שנתי או בעקבות אירוע מסוים.

4. שומרים את הראיות במקום מוסדר

יש להימנע מפיזור בלתי מבוקר בין תיבות דוא״ל, תיקיות אישיות ומחשבים מקומיים. המאגר צריך לאפשר איתור, הרשאות גישה, בקרת גרסאות ושמירה בהתאם לצורך.

5. בודקים את איכות הראיות

עצם העלאת הקובץ אינה מספיקה. יש לוודא שהוא עדכני, מלא, קשור לדרישה הנכונה ומציג גם את הטיפול בחריגות.

ממדיניות לאחריות ניהולית

Evidence אינו רק צורך של מבקרים. הוא כלי ניהולי.

כאשר הארגון מנהל ראיות באופן עקבי, ההנהלה יכולה לקבל החלטות על בסיס מידע אמין יותר. מנהל ה־IT יכול להראות מה בוצע, ה-CISO יכול לזהות פערים חוזרים, ומנהלי היחידות יכולים להבין אילו משימות עדיין דורשות טיפול.

במקום להסתמך על משפטים כמו “למיטב ידיעתנו הכול תקין”, הארגון יכול להציג תמונה ברורה:

מה נדרש, מה בוצע, מה נבדק, מה נכשל ומה עדיין פתוח.

זו הדרך לעבור מציות נקודתי למנגנון של חוסן ארגוני, אחריות ושיפור מתמשך.

כיצד אינפוגארד מסייעת לארגונים לנהל Evidence?

באינפוגארד אנחנו מסייעים לארגונים לחבר בין דרישות רגולטוריות, תקנים, סיכוני סייבר ותהליכי העבודה בפועל.

התהליך יכול לכלול מיפוי דרישות ובקרות, הגדרת ראיות נדרשות, בניית מנגנוני תיעוד, זיהוי פערים, הכנה לביקורות וליווי שוטף במסגרת שירותי CISO, GRC והגנת הפרטיות.

המטרה אינה לייצר עוד תיקייה של מסמכים, אלא לבנות מערכת שמאפשרת לארגון לדעת בכל רגע:

• אילו דרישות חלות עליו.
• אילו בקרות מיושמות.
• היכן נמצאות ההוכחות.
• אילו פערים עדיין פתוחים.
• מי אחראי לטפל בהם.
• מה ניתן להציג להנהלה, ללקוח או למבקר.

רוצים לדעת האם הארגון שלכם באמת מוכן לביקורת עם הוכחות?

שירותי ה-GRC במיקור חוץ וה-CISO במיקור חוץ של אינפוגארד מחברים בין דרישות רגולציה ותקינה, בקרות, סיכונים והראיות שנדרשות כדי להוכיח שהן אכן מתקיימות.

יצירת קשר מומחי אבטחת המידע ו-GRC של אינפוגארד

ציות שאי אפשר להוכיח הוא ציות שקשה לסמוך עליו

מדיניות, נהלים ומערכות אבטחה הם בסיס חשוב. אבל בעולם שבו ארגונים נדרשים לתת דין וחשבון ללקוחות, הנהלות, דירקטוריונים, מבקרים ורגולטורים, הצהרות אינן מספיקות.

ארגון בשל אינו רק אומר שהוא מנהל סיכונים, בודק הרשאות, מטפל בפגיעויות ומדריך עובדים. הוא מסוגל להציג הוכחות ברורות, עדכניות ועקביות לכך.

ניהול Evidence נכון מפחית לחץ לפני ביקורות, משפר את השליטה הניהולית, מחזק את האמון מול לקוחות ומאפשר לזהות בזמן את הפער שבין המדיניות הכתובה לבין הפעילות בשטח.

רוצים לדעת האם הארגון שלכם יכול להוכיח את רמת הציות והבקרה שלו?

אינפוגארד תסייע לכם למפות את הדרישות, לארגן את הראיות, לזהות פערים ולבנות מנגנון ציות ותיעוד שניתן לנהל, למדוד ולהציג.

דברו עם מומחי ה-Evidence שלנו ועברו ממהצהרה להוכחה

המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו מהווה ייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי. כל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים.
המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ונערך על ידי ROY KISCH, חובב אבטחת מידע, סייבר ומנהל השיווק של קבוצת חברות עידור (Messagent, Infoguard, Idornext).