נהלי אבטחת מידע לעסק: מה לכלול ואיך לכתוב אותם

איך כותבים נהלי אבטחת מידע: מתחילים במידע ובאחריות

כדי לכתוב נהלי אבטחת מידע לעסק, ממפים תחילה איזה מידע נשמר, היכן הוא נמצא ומי יכול לגשת אליו. אחר כך קובעים כללים להרשאות, לשימוש במכשירים, לשיתוף קבצים, לגיבוי ולתגובה לאירועים. בכל נושא מגדירים מי מבצע את הפעולה, מתי היא נדרשת ואיך מתעדים שבוצעה. לצד הנהלים כדאי לחזק גם את הרשת, ואפשר לקרוא על צעדים להגנה על הרשת בבית ובעסק.

לפני הכתיבה, רכזו רשימת מערכות וספקים, בעלי תפקידים שיכולים להסביר את העבודה בפועל וגורם בהנהלה שיאשר את ההחלטות. מדריך ההתחלה לעסקים קטנים של המכון האמריקאי לתקנים וטכנולוגיה ממליץ להגדיר אחריות, להבין דרישות משפטיות וחוזיות ולנהל רשימת נכסים ומערכות. מדריך ההתחלה לעסקים קטנים.

לצורך הכתיבה, אפשר להבחין בין מדיניות אבטחת מידע, שמגדירה את עקרונות העסק, לבין נהלים שמתרגמים אותם לפעולות. למשל, העיקרון יהיה שהגישה למידע מותאמת לתפקיד; הנוהל יפרט מי מאשר גישה לתיקיית לקוחות ואיך מבטלים אותה כשעובד עוזב.

בישראל צריך לבדוק גם את הדרישות החלות על מאגרי המידע של העסק. הרשות להגנת הפרטיות פרסמה מדריך לתקנות אבטחת המידע, והיקף החובות תלוי בסיווג המאגר. לפני שמאמצים תבנית, בדקו איזה מסלול מתאים לפעילות שלכם. מדריך הרשות לתקנות אבטחת מידע, והמדריך לעצמאים ולעסקים קטנים.

שלב ראשון: ממפים את המידע ואת הדרך שהוא עובר

פתחו מסמך עבודה ורשמו בו את סוגי המידע: פרטי לקוחות, מסמכי עובדים, חשבוניות, חוזים וחומר עסקי חסוי, לפי מה שקיים אצלכם. ליד כל סוג מידע ציינו איפה הוא נשמר, מאין הוא מגיע, למי הוא מועבר ומי אחראי עליו. עברו עם מי שעושה את העבודה על המסלול בפועל, החל מקבלת המידע ועד למחיקה או לארכוב.

כללו במיפוי גם קבצים במחשבים ניידים, בטלפונים, בדואר ובתיקיות משותפות, וכן מסמכי נייר. מדריך רשות הסחר הפדרלית בארצות הברית מדגיש שמיפוי צריך לכלול את מקומות האחסון ואת הגורמים שיכולים לקבל גישה למידע. זו הנחיה מקצועית, והדרישות המשפטיות בישראל נבדקות בנפרד. המדריך להגנת מידע אישי בעסק.

נניח שפנייה מלקוח מגיעה בטופס באתר, נשלחת לדואר ומועתקת למערכת הלקוחות. במיפוי ההיפותטי הזה תציינו את כל המקומות שבהם נשמר עותק ואת בעלי הגישה בכל מקום. כך תוכלו להחליט אם יש צורך בכל העותקים ומי צריך לטפל בהם.

סמנו גם אילו מערכות נדרשות להמשך הפעילות ואיזה מידע רגיש יותר מבחינת העסק. אם המונחים עדיין אינם ברורים, אפשר להיעזר בהסבר על אבטחת מידע והאיומים על מידע עסקי לפני שמנסחים את ההוראות.

שלב שני: מגדירים הרשאות, התחברות ועזיבת עובדים

כתבו מי רשאי לקבל גישה לכל מערכת ואילו פעולות הוא יכול לבצע בה: צפייה, שינוי, הורדה או ניהול. קבעו מי מאשר הרשאה חדשה ומי מעדכן אותה בעקבות שינוי תפקיד. עקרון הגישה המצומצמת הוא לתת לעובדים גישה למשאבים הדרושים לעבודתם. הנחיות לצמצום הגישה למידע.

הוסיפו הוראות להתחברות: שימוש בחשבונות אישיים ככל שהמערכת מאפשרת, שמירת סיסמאות במנהל סיסמאות והפעלת אימות רב־שלבי בחשבונות שתומכים בו. המכון האמריקאי לתקנים וטכנולוגיה מציע לבדוק אם הגישה מוסרת כשהאחריות משתנה או כשעובד עוזב, ואם הרשאות ניהול מוגבלות למעטים. הנחיות לאימות ולניהול גישה.

במקום המשפט הכללי "יש לבטל הרשאות בסיום העסקה", נסחו תהליך שאפשר לבצע: מנהל העובד מודיע לגורם המחשוב, הגורם מבטל את הגישה למערכות שברשימה ומחזיר אישור ביצוע. קבעו גם מי מטפל בהעברת בעלות על קבצים ובאיסוף ציוד, בהתאם להסדרי העבודה ולדין.

החזיקו את רשימת בעלי ההרשאות בנפרד מההסבר לעובדים. כך אפשר לעדכן שמות ותפקידים בלי לשכתב בכל פעם את הוראות העבודה.

שלב שלישי: כותבים נוהל אבטחת מידע לעובדים

נוהל אבטחת מידע לעובדים צריך לענות על מצבים שהם פוגשים במהלך העבודה. כתבו במפורש היכן מותר לשמור מסמכים, איך משתפים אותם עם לקוחות, באילו מכשירים מותר לעבוד ולמי מדווחים על טעות. העבירו לכל עובד את ההוראות הרלוונטיות לתפקידו, ושמרו את הנוסח המלא אצל האחראי. את דרישות הנוהל לפי התקנות בדקו במדריך הרשות. מדריך הרשות לתקנות אבטחת מידע.

1. הגדירו מקום אחסון מאושר לכל סוג מסמך ודרך לבקש חריגה.
2. קבעו כיצד בודקים את הנמען ואת הרשאות השיתוף לפני שליחת מידע.
3. הסבירו למי פונים כשמתקבלת הודעת התחברות, בקשת תשלום או בקשה למידע שמעוררת חשד.
4. פרטו מה עושים כשמכשיר אובד או כשמסמך נשלח בטעות.
5. קבעו מי מאשר התקנת תוכנה או שימוש בשירות חדש לצורכי עבודה.

אלה סעיפים מוצעים להתאמה לעסק. לצדם, הנחיות הבסיס של המכון האמריקאי לתקנים וטכנולוגיה ממליצות לעדכן תוכנות, להדריך עובדים ולהכיר ניסיונות דיוג. אפשר לשלב בהדרכה את ההסבר על זיהוי הודעות פישינג. הנחיות הבסיס לעסקים קטנים.

הוסיפו כלל פנימי לשימוש בבינה מלאכותית: אילו כלים אושרו, איזה מידע מותר להזין ומי מוסמך להכריע במקרה לא ברור. אפשר, למשל, לקבוע שבתרגול עובדים משתמשים במידע מומצא, ושמסמך לקוח לא מועלה לשירות חדש לפני אישור.

שלב רביעי: מסדירים עבודה עם ספקים ושירותי ענן

רשמו אילו ספקים יכולים לצפות במידע או לשנות אותו, לאיזו מטרה ניתנה להם הגישה ומי בעסק מנהל את הקשר. לפני מתן גישה, בדקו את הסיכונים ואת גבולות השירות. מדריך ההתחלה לעסקים קטנים ממליץ להעריך סיכונים מספקים ומצדדים שלישיים לפני ההתקשרות. הנחיות לניהול סיכוני ספקים.

לצורכי העבודה, הכינו רשימת שאלות קבועה: איזה מידע דרוש לספק, מי אצלו ניגש אליו, איך מדווחים על אירוע ואיך מסיימים את הגישה. את ההתחייבויות המתאימות להסכם ולדין בדקו עם הגורם המקצועי שמלווה את העסק. תעדו גם מי בודק שהגישה שניתנה תואמת לעבודה שהוזמנה.

אותו תהליך מתאים גם לספקי שיווק ותוכן. אם אתם נעזרים ב־AI Click, שירות קידום האתרים של ברנדיני, הסוכנות שמפעילה את המגזין, הגדירו מראש איזה חומר נמסר לצורכי המחקר והתוכן, ואילו הרשאות נחוצות לביצוע העבודה. השירות כולל מחקר, תוכן ובקרה אנושית. הגדרת הגישה היא החלטה של העסק במסגרת ההתקשרות.

שלב חמישי: קובעים גיבוי ותגובה לאירוע

בנוהל הגיבוי הגדירו איזה מידע מגבים, מי מקבל התראה על כישלון ומי בודק שאפשר לשחזר אותו. בחרו תדירות לפי כמות המידע שהעסק יכול להרשות לעצמו לאבד והזמן שבו הוא צריך לחזור לעבוד. הנחיות הבסיס לעסקים קטנים ממליצות לגבות בקביעות, להגן על הגיבויים ולבדוק אותם. המלצות לגיבוי ולתחזוקת מערכות.

בנוהל האירועים ציינו איש קשר ומחליף, דרך דיווח זמינה ומי מוסמך לקבל החלטות על טיפול טכני ועל הודעות לגורמים אחרים. הכינו הוראות גם למקרה שבו הדואר הארגוני אינו זמין. תכנון תגובה והתאוששות מראש הוא חלק מההנחיות המקצועיות להתמודדות עם אירועי סייבר. מקורות לתכנון תגובה לאירוע.

בעת אירוע, שמרו את התיעוד הרלוונטי והעבירו את הטיפול לגורמים שהוגדרו. מדריך רשות הסחר הפדרלית ממליץ לשמר ראיות ולתעד את הבירור והתגובה. את חובות הדיווח בישראל צריך לבדוק לפי נסיבות האירוע וההוראות החלות על העסק. הנחיות לתגובה לדליפת מידע.

נניח שעובדת שלחה בטעות קובץ לקוחות לכתובת שגויה. הנוהל צריך לאפשר לה לדווח מיד, למסור איזה קובץ נשלח ולמי, ולקבל הנחיה מהגורם המטפל. את ההחלטה על המשך הטיפול מקבלים לאחר בירור העובדות.

שלב שישי: מאשרים, מתרגלים ובודקים שהנוהל עובד

לפני הפצת הנהלים, עברו עליהם עם מי שאמורים לבצע אותם. לכל הוראה הצמידו בעל תפקיד ובדקו שיש לו גישה וכלים לביצוע. רשמו תאריך אישור וגרסה, והגדירו היכן נמצאת הגרסה המחייבת ואיך העובדים מקבלים עדכונים.

אפשר לערוך תרגיל קצר על מקרה היפותטי: קליטת עובד, אובדן מחשב או שליחת מסמך לנמען שגוי. בקשו מהמשתתפים לתאר את הפעולות לפי הנוהל, ורשמו היכן חסר איש קשר או אישור. זו הצעה מעשית לבדיקת הנוסח; התדירות והבדיקות הנדרשות לפי דין נבחנות בנפרד.

אם כבר קיימים מסמכים בעסק, בדקו את ההתאמה בינם לבין ההרשאות והמערכות בפועל. ההסבר על ביקורת אבטחת מידע בעסק יכול לעזור להכין שאלות לבדיקה ולרכז פערים לתיקון.

• לכל מערכת ולכל נוהל נקבע גורם אחראי.
• העובדים יודעים היכן לשמור מידע ואיך לשתף אותו.
• קיים תהליך למתן הרשאות, לשינוי שלהן ולביטולן.
• רשימת הספקים והגישה שלהם מעודכנת.
• נקבעו גיבויים ובדיקת שחזור עם אחראי לביצוע.
• פרטי הקשר לדיווח זמינים גם מחוץ למערכות העבודה.
• פערים שטרם טופלו נרשמו עם אחראי ומועד יעד.