ביקורת אבטחת מידע: מה בודקים בעסק ומתי צריך להזמין אותה

מהי ביקורת אבטחת מידע ומה מקבלים בסופה

ביקורת אבטחת מידע היא בחינה מסודרת של אמצעי ההגנה ושל הדרך שבה העסק מנהל גישה למידע. בביקורת משווים בין הדרישות שנקבעו לבין המצב בפועל: מי רשאי לראות מידע, איך מגינים עליו, ואילו ראיות מראות שהנהלים מיושמים.

למשל, נוהל יכול לקבוע שמבטלים גישה לעובד שעוזב. הביקורת תבחן גם את רשימת המשתמשים ותבדוק אם נשארו חשבונות פעילים של עובדים לשעבר. בדיקת מסמכים, ראיונות ובחינת הגדרות נותנות תמונה שונה מזו של בדיקת חדירה, שמנסה לנצל חולשה טכנית. אם אין לכם נהלים כתובים, אפשר להיעזר במדריך לכתיבת נהלי אבטחת מידע.

התוצר שצריך לבקש הוא דוח שמגדיר מה נבדק, לפי אילו דרישות, אילו ליקויים נמצאו ומה מומלץ לעשות. לפי תקנה 16 בתקנות הגנת הפרטיות (אבטחת מידע), דוח הביקורת הנדרש בהן בוחן אם אמצעי האבטחה מתאימים לנוהל האבטחה ולתקנות, מזהה ליקויים ומציע אמצעים לתיקונם.

הביקורת יכולה להיות פנימית או חיצונית, ובעסק קטן לרוב נבחר גורם חיצוני, כי קשה למצוא בתוך העסק מי שיבדוק את עבודת עצמו. אם חסר לכם הרקע למונחים, ההסבר על אבטחת מידע והאיומים על מידע עסקי עוזר להבין מה מנסים להגן ומה עלול להשתבש.

ההבדל בין ביקורת, סקר סיכונים ומבדק חדירה

ביקורת בוחנת התאמה לדרישות ולנהלים. סקר סיכונים עוסק בזיהוי איומים וחולשות ובהערכת הסיכון שהם יוצרים. מבדק חדירה בוחן אפשרות לנצל חולשות במערכות שהוגדרו לבדיקה. סריקת חולשות מסייעת לאתר בעיות טכניות אפשריות, שדורשות לעיתים אימות נוסף.

המונח מבדק אבטחת מידע יכול לתאר בדיקות שונות. לפני שמזמינים שירות, בקשו פירוט של הפעולות והתוצרים: האם בודקים הרשאות ונהלים, סורקים מערכות, מנסים לנצל חולשות, או משלבים בין השיטות.

המדריך של המכון הלאומי האמריקאי לתקנים וטכנולוגיה (NIST) לבדיקות אבטחה נועד לעזור לארגונים לתכנן ולבצע בדיקות טכניות, לפרש את התוצאות ולבנות תוכניות תיקון. לפי תקציר המדריך, הוא מתמקד בטכניקות ספציפיות ובתועלת ובמגבלות של כל אחת מהן, ואינו תוכנית בדיקות שלמה.

בדיקות טכניות דורשות תכנון והגדרת גבולות. קבעו מראש אילו מערכות מותר לבדוק, באילו שעות, מי מוסמך לעצור את העבודה ואיך מטפלים בממצא רגיש. בדיקה של האתר בלבד אינה מאפשרת להסיק שנבדקו גם הדואר העסקי, המחשבים ומערכת הלקוחות. עוד לפני הבדיקה אפשר לקרוא על צעדים להגנה על הרשת בבית ובעסק.

מתי קיימת חובת ביקורת ומי רשאי לבצע אותה

לפי תקנה 16(א) לתקנות הגנת הפרטיות (אבטחת מידע), במאגר מידע שחלה עליו רמת אבטחה בינונית או גבוהה בעל המאגר אחראי לכך שתיערך ביקורת פנימית או חיצונית אחת ל־24 חודשים לפחות. המבקר צריך להיות בעל הכשרה מתאימה לביקורת בנושא אבטחת מידע, ואסור שיהיה ממונה האבטחה של המאגר. הנוסח מופיע בנוסח התקנות.

תקנה 16(ג) מחייבת גם דיון בדוח ובחינת הצורך לעדכן בעקבותיו את מסמך הגדרות המאגר או את נוהל האבטחה. קבלת הדוח היא אפוא חלק מהתהליך, ויש לעסוק בממצאים ובהשלכות שלהם.

במאגר ברמת אבטחה גבוהה, תקנה 16(ד) מאפשרת לקיים את חובת הביקורת במסגרת סקר סיכונים, בכפוף לתנאים שנקבעו בתקנה.

החובה נקבעת לפי רמת האבטחה החלה על המאגר. הכינוי "עסק קטן" אינו קובע לבדו את הסיווג. לפני שמחליטים שהעסק פטור מביקורת תקופתית, בררו מהו סיווג המאגרים שלכם ומהן הדרישות הרלוונטיות. ייתכנו גם דרישות חוזיות או ענפיות שצריך לבדוק בנפרד.

בבחירת ספק, בקשו הסבר על הכשרתו, על ניסיונו בסביבה דומה ועל אופן הבדיקה. המאמר על סוגי חברות אבטחת מידע וההתמחויות שלהן יכול לעזור לנסח את הבקשה לשירות המתאים.

אילו תחומים כדאי לכלול בהיקף הביקורת

נקודת פתיחה טובה היא רשימת המידע והמערכות שהעסק תלוי בהם: ציוד, תוכנות, שירותי ענן ומאגרי לקוחות. מדריך ההתחלה של NIST לניהול סיכוני סייבר בעסק קטן נשען על מסגרת ה־CSF 2.0 ונועד לעזור לעסקים קטנים להתחיל לנהל סיכוני סייבר.

• חשבונות והרשאות: התאמה לתפקיד, גישת ספקים, חשבונות ניהול וביטול גישה שאינה נחוצה.
• הגנה על מערכות: עדכוני תוכנה, הצפנת מחשבים ואמצעים להגנה מפני תוכנות זדוניות.
• גיבוי והתאוששות: מה מגובה, מי אחראי, והאם נבדקה האפשרות לשחזר מידע.
• זיהוי ותגובה: מי בודק התראות ויומני פעילות, ואיך העובדים מדווחים על אירוע חשוד.
• ניהול ואחריות: מי מחליט על טיפול בסיכון, אילו נהלים קיימים ואיך מעדכנים אותם.

בבדיקת ספקים, בחנו גם את הגישה שניתנה להם ואת ההסכמות לגבי שימוש במידע. הנציבות הפדרלית למסחר בארצות הברית ממליצה להגביל את גישת הספק למי שצריך לדעת ולזמן שהוא נדרש לעבודה, ולהגדיר את דרישות האבטחה בחוזה באופן מפורש.

גם ספקי שיווק עשויים להזדקק לגישה לאתר. אם אתם נעזרים ב־AI Click, שירות הקידום האורגני הכולל מחקר, תוכן ובקרה אנושית של ברנדיני, הסוכנות שמפעילה את המגזין, הגדירו מראש אילו הרשאות נחוצות לעבודה. אותה בדיקה מתאימה לכל ספק שמקבל גישה למערכות העסק.

איך להתחיל בעסק קטן בלי להזמין בדיקה רחבה מדי

לצורך בדיקה ראשונית, הכינו רשימת מערכות, משתמשים וספקים, ומנו אדם שמרכז את המידע. כדאי להתחיל מהמערכות שהשבתה שלהן או חשיפת המידע שבהן יפגעו בעבודה, ולבקש הצעה שמגדירה במפורש את היקף הבדיקה.

שלבי ביקורת אבטחת מידע יכולים להתחיל במיפוי ובאיסוף ראיות, להמשיך בבחינת הפערים ולהסתיים בתוכנית תיקון. בביקורת סייבר לעסק קטן אפשר להגדיר תחילה תחום ממוקד, כמו חשבונות הדואר והאחסון. אם נדרשת ביקורת לפי התקנות, ודאו שהיקף העבודה נותן מענה לחובה החלה עליכם.

נניח שאתם מנהלים עסק שמשתמש בדואר, בתיקיית מסמכים משותפת ובאתר. בדיקה ראשונית מגלה חשבון של ספק שכבר סיים לעבוד, חשבון ניהול ללא אימות נוסף וגיבוי שאיש לא ניסה לשחזר. בדוגמה ההיפותטית הזאת, אפשר להכין רשימת טיפול ממוקדת ולבקש עזרה מקצועית בפעולות שאינכם יודעים לבצע.

ההנחיות של NIST לעסקים קטנים כוללות הפעלת אימות רב־גורמי בכל חשבון שתומך בו, עדיף עמיד בפני פישינג, סיסמאות חזקות (ואפשר לשקול מנהל סיסמאות), התקנת עדכוני תוכנה מיד עם הופעתם, גיבוי קבוע עם הגנה על הגיבויים ובדיקה שהם עובדים, והדרכת עובדים בנהלי אבטחה בסיסיים. אלה תחומים מועילים לבדיקה ראשונה.

לפני שקונים מערכת חדשה, בררו אילו הגנות כבר זמינות בשירותים שאתם משלמים עליהם ואילו פערים נשארו. אם אתם חושדים שכבר קרה אירוע, ההסבר על סוגי מתקפות סייבר והתגובה הראשונה מתאים יותר כנקודת פתיחה.

מה לדרוש בדוח ואיך לוודא שהליקויים נסגרו

בקשו שכל ממצא יהיה ברור גם למי שאינו איש מחשוב: איזו מערכת נבדקה, מה נמצא, מה ההשלכה האפשרית ומה צריך לתקן. אם נכתב רק "יש לשפר הרשאות", בקשו פירוט שמאפשר לדעת באילו חשבונות או משאבים צריך לטפל.

לצד הדוח, מומלץ לנהל רשימת משימות שבה לכל ליקוי יש אחראי, מועד מוסכם ודרך לוודא שהתיקון עובד. למשל, לאחר ביטול חשבון יש לוודא שהגישה אכן נחסמה. לאחר שינוי הגדרות גיבוי יש לבקש הדגמת שחזור של מידע מתאים לבדיקה.

• היקף הבדיקה והמערכות שלא נכללו בה מתועדים.
• לכל ליקוי שהוחלט לתקן יש משימה ואחראי.
• תיקונים שהושלמו מלווים בראיה או בבדיקה חוזרת.
• פערים שנותרו פתוחים הועברו להחלטת הגורם האחראי בעסק.
• נקבע מתי בוחנים שוב את המצב ואילו שינויים יצדיקו בדיקה מוקדמת.

אם התקבל דוח עמוס במונחים, בקשו מהמבקר לעבור איתכם על הממצאים ולתרגם אותם לפעולות. אם תחום מסוים לא נבדק, השאירו אותו מסומן כפער בהיקף הבדיקה, גם כאשר לא נמצאו ליקויים במערכות האחרות.