נהלי אבטחת מידע

אבטחת מידע מתחילה בנוהל!

נהלי אבטחת מידע הם התשתית לפעילות האבטחה, הנהלים נכתבים על בסיס מדיניות אבטחת המידע שאושרה ע"י הנהלת הארגון והם מפרטים את כל התהליכים והבקרות הנדרשים לביצועה.
סיכוני הסייבר מחייבים עבודה רחבה, מדוייקת ועקבית, הקלות לפרוץ למערכות הארגון, להשבית פעילות או לגנוב מידע זמינה באלפי ערוצים שונים, כניסה פיזית למשרדים, פריצה דרך טלפונים חכמים, מחשבים לא מעודכנים או ספקי שירות של הארגון.
"שטח העבודה" של האקר הוא אין סופי, כאשר ידו תמיד על העליונה. נהלי אבטחת המידע יכסו את שלב המניעה, הזיהוי, ניהול האירוע והשיקום.

אבטחת מידע טכנולוגית היא חלק של שירותי מחשוב לעסקים וכוללת יישום של נהלי אבטחת המידע הכוללים הגנות פיזיות ולוגיות, כמו חומת אש, אנטי וירוס, עדכוני תוכנה וקושחה, הקשחות אבטחה, הרשאות גישה וכדומה.

RedX כותבת את נהלי אבטחת המידע תוך חשיבה ומחוייבות לאפקטיביות תפעולית. נהלים שאינם נכנסים לשיגרת עבודה לא שווים את הדף עליו הם כתובים.
תהליך הכתיבה מבוסס על ממצאי סקר סיכונים מקדים ומדיניות אבטחת המידע שאושרה ע"י ההנהלה. כתיבת הנוהל מפרטת באופן פשוט וידידותי את תכולת הנהלים באופן מדוייק:

RedX אינה כותבת נוהל שיכנס למגירה, אנחנו שותפים לתהליך ולוקחים אחריות לבניית נוהל הניתן ליישום בארגון. נוהל אשר מקדם באופן משמעותי את האבטחה בארגון ויעמוד בכל מבדקי פנים וחוץ הנדרשים.

הנהלים כוללים מערכת ניהול אבטחת מידע, ISMS, המסייעת למנהל אבטחת המידע (CISO) בניהול הבקרות באופן אופטימלי.

בכדי להפוך נוהל למסמך משמעותי, אפקטיבי ובעל ערך חייבים להתקיים מספר תנאים:

• מסמך מבוקר: מסמך אשר נבדק מידי תקופה לצורך עדכון ואישור מחדש. נוהל אפקטיבי חייב להבחן ולהתעדכן לכל הפחות אחרת לשנה.
• ידידותי למשתמש: נהלי אבטחת מידע חייבים להכתב בשפה ברורה לגורם הנדרש לתפעל אותם. שימוש במונחים מקצועיים לא תמיד יהיו ברורלמי שנדרש ליישם את הנוהל.
• הגדרת משימות: הנהלים כוללים דרישות ובקרות, הגדרת המשימות חייבת לכלול מי עושה, מתי עושה, למה ואיך.
• מערכת ISMS: המערכת תספק למהנל אבטחת המידע את הכלים לתפעול אפקטיבי של הנהלים, תכלול רשימת נכסים, משימות, לוחות זמנים, מיפוי של מערכות המידע והמנהלים, יומן אירועי סייבר ועוד.
  ISMS: Information security management system
• התאמה לFramework: כתיבת נהלים אינה מבוססת על היגיון בריא או ניסיון של מנהל אבטחת המידע, אלא על מתודולוגיות וסטנדרטים מקובלים, כמו ISO27001, NIST ומקבילהם

ניקח לדוגמה את נושא גיבוי המידע כמקרה בוחן:

דוגמה מנוהל לא אפקטיבי:
"מנהל אבטחת מידע יהא אחראי לוודא שכל המידע מגובה וניתן לשחזור בכל זמן נתון כולל שמירה ועבודה בענן."

על פניו נראה שהנוהל מספק באופן תמציתי את הנדרש, אך ביום שהארגון יפגע יעלו שאלות:

1. מי אחראי לביצוע הגיבוי?
2. האם יש מסמך המפרט את מערכות המידע ואיזה גיבוי יש להן?
3. האם שירותי הענן מגובים כנדרש?
4. כל כמה זמן נדרש לבצע גיבוי?
5. כמה גירסאות לאחור קיימות?
6. האם המידע נשמר בצורה מאובטחת? אם כן באיזו צורה?
7. היכן נשמר הגיבוי?
8. מתי בפעם האחרונה בוצע שיחזור יזום?
9. מתי עודכן נוהל הגיבוי?
10. איך הארגון מגן על עצמו בפני שיחזור לא מורשה?

נוהל גיבוי אפקטיבי חייב היות מפורט מספיק בכדי להבטיח שאנשי המחשוב (לא מנהל אבטחת המידע) ידעו מה לגבות, איך לגבות, מתי לבצע גיבוי, כמה גרסאות לאחור לכל מערכת מידע בנפרד. הנוהל חייב להתעדכן מידי תקופה בהתאם לקצב השינויים במערכות המידע בארגון, לכל הפחות אחת לשנה.
הנוהל חייב לבחון את המשמעות העסקית ולבצע ניהול סיכונים למשמעות במקרה של אובדן או שיבוש במידע.

* הטבלה אינה בגדר המלצה או תכולת נוהל מלאה, אלא כדוגמה בסיסית וחלקית להמחשה בלבד.

נהלי אבטחת מידע חייבים להיות מותאמים באופן מדוייק לכל ארגון, לא מדובר בתבנית אשר עוברת מלקוח ללקוח, אלא במסמך אשר נדרש לספק מענה להגנה אפקטיבית. נוהל של משרד עו"ד שונה מנוהל של מפעל ייצור או מוקד שירות של חברת תקשורת. הנוהל יהיה שונה בהתאמה לגודל הארגון, התקציבים, הסיכונים, ספקי החוץ, פריסה של הארגון, סוג הלקוחות ועוד.

מתודולוגיה בסיסית לבניית נוהל אבטחת מידע

• בעלי תפקיד ותחומי אחריות
• הגדרת משימות ותהליכים בכיסוי מלא.
  • מי אחראי לביצוע הנוהל?
  • כל כמה זמן צריך לבצע את הנוהל?
  • איך נדרש לבצע?
  • על מה חל הנוהל?
  • על מי חל הנוהל?
  • כל כמה זמן נדרש לרענן את הנוהל?
  • איך תבוצע ביקורת ליישום הנוהל?
  • מי אחראי לבצע את הביקורת?
• הנוהל יפרט את כל ערוצי החשיפה הרלוונטים בארגון
  • ניהול וארגון אבטחת מידע
  • ניהול נכסים
  • משאבי אנוש
  • אבטחה פיזית
  • אבטחת תשתיות
  • בקרות גישה
  • ניהול אירועי אבטחה
  • הגנת פרטיות ושמירת סודיות
• הנוהל יעודכן מידי תקופה בהתאם לאירועי אבטחה בארגון, איומי סייבר עדכניים, ודרישות חוק ורגולציה חדשות.

דוגמה לתוכן עניינים של נוהל אבטחת מידע בעברית מותאם לתקן אבטחת מידע בינלאומי ISO27001:

כתיבת הנוהל מחייבת היכרות טובה עם הפעילות העסקית של הארגון, הנוהל יבוסס על ממצאים של סקר הסיכונים, ראיונות עם אנשי מפתח בחברה: מנכ"ל, מנהל תפעול, צוות המחשוב,מנהלים ממחלקות משאבי אנוש, פיתוח, ייצור וכדומה.