5.3 עקרונות הגנת סייבר

העקרונות שלהלן עוברים כחוט השני בכל פעילות שהיא בעולם ההגנה.

חלק מעקרונות אלו, הינם מעבר ל"עיקרון", ומהווים גם תהליך, חלק מפרוטוקול העשייה של מחלקת הגנת סייבר. מדוע הם מוזכרים כ"עיקרון"? מפאת חשיבותם גם כחובה בכל פעילות שהיא.

לרשימת עקרונות בתחום הגנת סייבר חשיבות רבה:

• מספקת מסגרת מושגית להבנת התחום - מהם הרעיונות, התפיסות והיעדים המרכזיים בהגנת סייבר.
• מאפשרת תקשורת אפקטיבית יותר בין אנשי מקצוע בתחום על בסיס מושגים מוסכמים.
• יכולה לשמש בסיס לפיתוח מדיניות הגנת סייבר בארגון.
• מסייעת למקד מאמצים בתחומים חשובים וקריטיים בהגנת המידע.
• יוצרת קווים מנחים לתכנון ארכיטקטורות ופתרונות הגנת סייבר.
• מקלה על הטמעת תרבות הגנת סייבר בקרב עובדים ומנהלים.
• תורמת להמשכיות ועקביות בפעילות אבטחת המידע לאורך זמן.

לכן חשוב לגבש רשימה ברורה של העקרונות המנחים בתחום זה.

1. הגנת סייבר משלב העיצוב: Security by design

אבטחה בשלב העיצוב היא עיקרון מנחה המדגיש שילוב אמצעי אבטחה בכל שלב, וכבר בתהליך התכנון והפיתוח של מערכות, יישומים וטכנולוגיה. במקום להתייחס לאבטחה כשלב של "אחרי שהכל כבר בנוי ועובד", היא צריכה להיות חלק אינהרנטי מכל מחזור החיים של פיתוח התוכנה. על ידי שילוב אבטחה מלכתחילה, מפתחים יכולים לזהות נקודות תורפה פוטנציאליות בשלב מוקדם ולבנות עמדת אבטחה חזקה בארכיטקטורת הליבה של המערכת.

הדגש על בניית אבטחה במוצרים בשלב התכנון, נוגד את הנטייה הכל כך נפוצה של 'לטפל באבטחה אחרי שנסיים את הפיתוח'. 

בליבה של אבטחה לפי עיצוב הוא זיהוי יזום והפחתה של פרצות אבטחה פוטנציאליות לאורך תהליך התכנון והפיתוח. על ידי בחינת אבטחה בשלב מוקדם, מפתחים יכולים לטפל בפגמים וחולשות פוטנציאליים לפני שהם הופכים לבעיות יקרות במהלך היישום או לאחר הפריסה. גישה זו גם מאפשרת למפתחים להבטיח שבקרות האבטחה משולבות בצורה חלקה בארכיטקטורת הליבה של המערכת, מה שהופך אותן לאפקטיביות יותר ופחות רגישות לעקיפה או חדירה.

טיפול בנקודות תורפה קיימות ותיקון חורי אבטחה ככל שהם יימצאו, יכולים להיות תהליך מתיש, פגיע ולא יעיל, לעומת תכנון מערכות מאובטחות ככל האפשר מלכתחילה.

Secure by Design הופכת לגישת הפיתוח המרכזית להבטחת אבטחה ופרטיות של מערכות תוכנה. בגישה זו, האבטחה נחשבת ומובנית במערכת בכל שכבה ומתחילה בתכנון ארכיטקטורה חזקה. קיימות מסגרות של טקטיקות / דפוסי אבטחה שניתן להשתמש בהן כבסיס טוב, והן מספקות פתרונות לאכיפת הדרישות הדרושות לאימות, הרשאה, סודיות, שלמות הנתונים, פרטיות, אחריות, זמינות, בטיחות ואי-דחייה, גם כשהמערכת מותקפת.

כדי להבטיח את האבטחה של מערכת תוכנה, חשוב, לא רק לתכנן ארכיטקטורת אבטחה מיועדת חזקה, אלא גם למפות אסטרטגיות, טקטיקות ודפוסי אבטחה מעודכנים לפיתוח תוכנה על מנת לשמור על עמידות אבטחה.

החשיבות של Security by Design

• הפחתת סיכונים יזומה: אבטחה לפי עיצוב מאפשרת לארגונים לזהות באופן יזום ולטפל בסיכוני אבטחה פוטנציאליים בשלבים המוקדמים של פיתוח המערכת. על ידי התייחסות לאבטחה כדרישה אינהרנטית, ארגונים יכולים להפחית את הסבירות להכנסת פרצות למערכות שלהם.
• חיסכון בעלויות: יישום אמצעי אבטחה בדיעבד יכול להיות גוזל זמן ויקר יותר. על ידי שילוב אבטחה משלב התכנון, ארגונים יכולים למזער את הצורך במאמצי שיקום יקרים ולחסוך בעלויות משמעותיות בטווח הארוך.
• הגנה משופרת על נתונים: עם הכמות ההולכת וגדלה של נתונים רגישים המעובדים ומאוחסנים, חיוני להבטיח את הסודיות, האמינות והזמינות של המידע. Security by Design מקדם את השימוש בהצפנה, בקרות גישה ופרוטוקולי תקשורת מאובטחים כדי להגן על נתונים מפני גישה או מניפולציה בלתי מורשית.
• עמידה ברגולציה: אבטחה לפי עיצוב תואמת שיטות עבודה מומלצות ודרישות רגולטוריות שונות בתעשייה, כגון תקנת הגנת המידע הכללית (GDPR) ותקן אבטחת הנתונים של תעשיית כרטיסי התשלום (PCI DSS). על ידי שילוב אמצעי אבטחה בתהליך התכנון, ארגונים יכולים להוכיח תאימות ולמזער את הסיכון לקנסות על אי ציות.

היבטים מרכזיים של אבטחה לפי עיצוב כוללים:

1.  מודל איומים: זיהוי איומים ופגיעות פוטנציאליים שהמערכת עשויה להתמודד איתם והבנת ההשפעה הפוטנציאלית של איומים אלו.
2. קידוד מאובטח: כתיבת קוד באופן שמתעדף אבטחה, תוך מזעור הסיכון לשגיאות קידוד ופגיעויות.
3. תצורה מאובטחת: קביעת תצורה של רכיבי חומרה ותוכנה בצורה מאובטחת כדי לצמצם את משטח ההתקפה ולמזער את הסיכון לניצול.
4. סקירות אבטחה רגילות: ביצוע סקירות אבטחה לאורך תהליך הפיתוח כדי לזהות ולטפל בבעיות אבטחה באופן מיידי.
5. ניטור רציף: הטמעת מנגנוני ניטור ורישום לזיהוי ותגובה לאירועי אבטחה בזמן אמת.
6. עיקרון "אבטחה משלב העיצוב" הופך חיוני עוד יותר בסביבת האינטרנט של הדברים (IoT), שבה כמעט כל מכשיר, אובייקט או ישות אפשריים יכולים לקבל מזהה ייחודי (UID) ולחבר אותם לרשת כדי להפוך אותם ניתנים לגישה דרך האינטרנט. אחד האתגרים העיקריים של אבטחת ה-IoT הוא העובדה שאבטחה לא נחשבה באופן מסורתי בעיצוב מוצר עבור מכשירי רשת וחפצים שלא נרשמו באופן מסורתי ברשת.

על ידי אימוץ גישת אבטחה לפי עיצוב, ארגונים יכולים ליצור תוכנות ומערכות עם בסיס אבטחה חזק, להפחית את הסבירות לפרצות אבטחה ולשפר את החוסן הכולל נגד איומי סייבר.

2. פרטיות משלב העיצוב: Privacy by Design - PbD

PbD היא גישה להנדסת מערכות שפותחה בשנת 1995. מסגרת PbD לוקחת בחשבון פרטיות לאורך כל התהליך ההנדסי. הקונספט הוא דוגמה לעיצוב רגיש לערך, כלומר התחשבות בערכים אנושיים בצורה מוגדרת היטב לאורך כל התהליך. תקנת ה-GDPR האירופית משלבת את PbD.

עקרונות יסוד

1. פרואקטיבי לא תגובתי; מונע ולא מתקן: גישת הפרטיות לפי עיצוב מאופיינת באמצעים יזומים ולא תגובתיים. זה צופה ומונע אירועים פולשניים לפרטיות לפני שהם קורים. פרטיות לפי תכנון אינה ממתינה לסיכוני הפרטיות שיתממשו, והיא גם לא מציעה תרופות לפתרון הפרות פרטיות לאחר שהתרחשו - היא שואפת למנוע את התרחשותן. בקיצור, פרטיות בעיצוב באה לפני יצירתהעובדה, ולא אחריה.
2. פרטיות כברירת מחדל (PbD): פרטיות לפי עיצוב שואפת לספק את מידת הפרטיות המקסימלית על ידי הבטחת הנתונים האישיים מוגנים אוטומטית בכל מערכת IT או פרקטיקה עסקית נתונה. אם אדם לא עושה דבר, הפרטיות שלו עדיין נשארת שלמה. לא נדרשת פעולה מצד הפרט כדי להגן על פרטיותו: היא מובנית במערכת, כברירת מחדל. שיטות PbD:
   מפרט מטרה: יש להעביר לנושאי הנתונים בבירור בזמן או לפני כל איסוף נתונים, שמירה או שימוש, והמטרה חייבת להיות מוגבלת ורלוונטית לצרכים המוצהרים.
   הגבלת איסוף: איסוף נתונים חייב להיות הוגן, חוקי ומוגבל למטרה המוצהרת.
   מזעור נתונים: יש למזער את איסוף הנתונים ככל האפשר, וטכנולוגיות צריכות כבר
   ירת מחדל לאפשר למשתמשים להיות בלתי מזוהים ואינם ניתנים לצפייה או למזער אם יש צורך מוחלט.
   שימוש, שמירה וחשיפה: השימוש, השמירה והחשיפה של נתונים חייבים להיות מוגבלים ורק למה שהסכים, למעט חריגים בחוק. יש לשמור מידע רק למשך הזמן הנקוב הנדרש ולאחר מכן למחוק בצורה מאובטחת.
3. פרטיות מוטמעת בעיצוב: פרטיות לפי עיצוב מוטמעת בעיצוב ובארכיטקטורה של מערכות IT, כמו גם בפרקטיקות העסקיות, ולא "מוברג" כתוספת, לאחר מעשה. התוצאה היא שהפרטיות היא חלק בלתי נפרד מהמערכת מבלי להפחית את הפונקציונליות.
   
   
4. ונקציונליות מלאה: סכום חיובי, לא סכום אפס: פרטיות לפי תכנון שואפת להכיל את כל האינטרסים והיעדים הלגיטימיים בצורה חיובית של סכום חיובי, לא באמצעות גישה מתוארכת, סכום אפס, שבה נעשות פשרות מיותרות. פרטיות בעיצובה מונעת יומרה של דיכוטומיות כוזבות, כמו פרטיות מול אבטחה, מה שמוכיח שאפשר לקבל את שניהם.
   
   
5. אבטחה מקצה לקצה: הגנה מלאה על מחזור החיים: פרטיות לפי תכנון, לאחר שהוטבעה במערכת לפני איסוף המידע הראשון, משתרעת בצורה מאובטחת לאורך כל מחזור החיים של הנתונים המעורבים - אמצעי אבטחה חזקים חיוניים לפרטיות, מההתחלה ועד הסוף. זה מבטיח שכל הנתונים נשמרים בצורה מאובטחת, ולאחר מכן מושמדים בצורה מאובטחת בסוף התהליך, בזמן. לפיכך, פרטיות לפי תכנון מבטיחה ניהול מחזור חיים מאובטח מעריסה לקבר של מידע, מקצה לקצה.
   
   
6. נראות ושקיפות: השאר את זה פתוח: Privacy by design שואפת להבטיח לכל בעלי עניין שכל הפרקטיקה העסקית או הטכנולוגיה המעורבים בהם פועלת למעשה על פי ההבטחות והיעדים המוצהרים, בכפוף לאימות עצמאית. החלקים והפעולות המרכיבים נשארים גלויים ושקופים, למשתמשים ולספקים כאחד. זכור לסמוך אך לאמת.
   
   
7. כיבוד פרטיות המשתמש: שמור אותה ממוקדת המשתמש: מעל לכל, פרטיות לפי תכנון מחייבת אדריכלים ומפעילים לשמור על האינטרסים של הפרט על ידי הצעת אמצעים כגון ברירת מחדל חזקה של פרטיות, הודעה מתאימה ואפשרויות ידידותיות למשתמש. שמור את זה ממוקד המשתמש. 

 

יישום פרטיות לפי עיצוב בסביבות תקשורת, רשתות ושרתים

• מזעור נתונים: החלת העיקרון של מזעור נתונים על ידי הגבלת האיסוף, האחסון והשמירה של מידע אישי למה שנחוץ למטרה המיועדת. צמצום הנתונים מפחית את הסיכון לגישה בלתי מורשית או שימוש לרעה ומקל על הציות לתקנות הגנת מידע.
  
  
• הערכות השפעת פרטיות (Privacy Impact Assessment: PIA): הערכות השפעת פרטיות מקיפות כדי לזהות סיכוני פרטיות פוטנציאליים ולקבוע אמצעי הפחתה מתאימים. PIAs עוזרים להעריך את השפעת המערכת על זכויות הפרטיות של הפרט ומבטיחים שהבקרות הדרושות מיושמות.
  
  
• אנונימיזציה ופסאודונימיזציה: הטמעת טכניקות כגון אנונימיזציה ופסאודונימיזציה כדי להגן על פרטיות הפרט. אנונימיזציה מסירה מידע המאפשר זיהוי אישי (PII), בעוד שפיאונונימיזציה מחליפה נתונים מזוהים בשמות בדויים, ומאפשרת ניתוח נתונים תוך הגנה על זהויות בודדות.
  
  
• שידור נתונים מאובטח: הטמעת פרוטוקולי תקשורת מאובטחים, כגון Transport Layer Security (TLS) או רשתות וירטואליות פרטיות (VPNs), כדי להצפין נתונים במהלך השידור. העברת נתונים מאובטחת מונעת גישה בלתי מורשית או יירוט של מידע אישי.
  
  
• בקרות גישה ואימות: אכיפת בקרות גישה חזקות ומנגנוני אימות כדי להבטיח שרק לאנשים מורשים תהיה גישה לנתונים רגישים. השתמש בטכנולוגיות כמו אימות רב-גורמי ובקרות גישה מבוססות תפקידים כדי למזער את הסיכון לגישה לא מורשית.
  
  
• שמירה וסילוק נתונים: קביעת מדיניות ונהלים לשמירה וסילוק נתונים מאובטחים. סקור באופן קבוע מידע אישי שאינו נחוץ עוד והשליך אותו בצורה מאובטחת, בהתאם לתקנות החלות.
  
  
• הדרכה ומודעות לפרטיות: תוכניות הדרכה ומודעות לפרטיות לעובדים ולמשתמשים כדי לטפח תרבות של פרטיות ולהבטיח את הבנתם את שיטות העבודה המומלצות לפרטיות.
  ההדרכה צריכה לכסות נושאים כמו טיפול בנתונים, תגובה לאירועים וזכויות משתמש הקשורות לפרטיות.

3. הגנה לעומק: Defense in depth (DiD)

עקרון ההגנה לעומק ידוע גם בשם "הגנה בשכבות", מבוסס על הרעיון ששכבת אבטחה אחת אינה מספיקה כדי להגן מפני מגוון האיומים שארגונים מתמודדים איתם כיום. במקום זאת, הגנה מעמיקה דוגלת ביישום מספר רב של בקרות אבטחה, שכל אחת מהן מספקת רמת הגנה נוספת. הרעיון דומה לשכבות של בצל, כאשר כל שכבה מוסיפה ליציבת האבטחה הכללית ומספקת מחסום לתוקפים פוטנציאליים.

הגנת סייבר חייבת להגן על מידע לאורך כל חייו, החל מהיצירה הראשונית של המידע ועד למחיקתו הסופית של המידע. יש להגן על המידע "בתנועה" וגם ב"מנוחה". במהלך חייו, מידע עשוי לעבור במערכות עיבוד מידע רבות ושונות ובאמצעות חלקים רבים ומגוונים של מערכות עיבוד מידע. ישנן דרכים רבות בהן ניתן לאיים על מערכות המידע ועל המידע.

הגנה לעומק (DiD) היא תפיסה וגישה המשמשים בהגנת סייבר, בהם שכבות מרובות (ועצמאיות) של בקרות ומנגנוני אבטחה שונים (בכל שכבה) ממוקמים בכל מערכת טכנולוגיית מידע (IT) כדי להגן על הסודיות, השלמות והזמינות של הרשת, ולכל שכבה יש מטרה מוגדרת וברורה משל עצמה.
הנתונים בפנים. מטרתה, לספק יתירות במקרה שבקרת אבטחה נכשלת או ניצול פגיעות שיכולה לכסות היבטים של אבטחה כוחנית, פרוצדורלית, טכנית ופיזית למשך מחזור החיים של המערכת.

הרעיון מאחורי גישת ההגנה לעומק הוא להגן על מערכת מפני כל התקפה מסוימת באמצעות מספר שיטות עצמאיות. זוהי טקטיקת שכבות, שנחשבה על ידי הסוכנות לביטחון לאומי (NSA) כגישה מקיפה למידע ואבטחה אלקטרונית. המונח הגנה לעומק במחשוב הוא בהשראת אסטרטגיה צבאית בעלת אותו שם, אך הוא שונה בתכלית בקונספט. 

תפיסת הליבה של הגנה לעומק היא להבטיח שגם אם שכבת אבטחה אחת נפרצה או לא מצליחה למנוע התקפה, שכבות אחרות עדיין קיימות כדי למתן את ההשפעה ולמנוע הסלמה נוספת. למעשה, זוהי אסטרטגיה השוקלת את ההכרח של פרצות אבטחה ומתכננת בהתאם, מה שהופך את זה למאתגר יותר עבור התוקפים להשיג את מטרותיהם.

אלמנטים עיקריים:

1. אבטחה היקפית: הטמעת אמצעי אבטחה בהיקף הרשת כדי למנוע גישה לא מורשית ממקורות חיצוניים.
2. פילוח רשת: חלוקת רשתות למקטעים נפרדים כדי להגביל את התנועה הצידית של תוקפים אם פלח אחד נפגע.
3. בקרת גישה: הטמעת בקרות גישה חזקות, כולל מנגנוני אימות, כדי להבטיח שרק משתמשים מורשים יוכלו לגשת למשאבים.
4. הצפנה: הצפנת נתונים במצב מנוחה ובמעבר כדי להגן עליהם מפני גישה לא מורשית או שיבוש.
5. ניטור ורישום: הטמעת כלי ניטור ורישום כדי לזהות ולהגיב לאירועי אבטחה בזמן אמת.
6. תגובה לאירועים: פיתוח תוכנית תגובה מקיפה לאירועים לטיפול בפרצות אבטחה במהירות וביעילות.

דמיינו לעצמכם ערמת פקדים (פקדים הם אמצעי הגנת סייבר / בקרים / Controls) בשכבות, אחת על גבי השנייה. חומת אש תחסום גישה לא מורשית למערכת. אנטי וירוס של נקודות קצה יגן על מכשירים בודדים על ידי זיהוי והכלה של איומים. כלי של "מניעת אובדן נתונים" (DLP) יחסום פליטה של נתונים רגישים חשובים. סינון אינטרנט ימנע חשיפה לתוכנות זדוניות על ידי מניעת ביקור באתרים זדוניים מהמשתמשים, ו"אימות רב-גורמי" יצמצם כניסות לא מורשות ב-99.9%.

כאשר נעשה שימוש בשיטות אלה בו זמנית, מתרחשת חפיפה, וכתוצאה מכך אפקט שכבות. לדוגמה, ייתכן שחומת האש מסננת תעבורת דואר אלקטרוני בפרוטוקול העברת דואר פשוט (SMTP) לאיתור וירוסים ותוכנות זדוניות כאשר הנתונים מגיעים, בעוד שתוכנת האנטי-וירוס של נקודת הקצה עוקבת אחר מה שנמצא בתיבת הדואר הנכנס על ידי סריקה מתמדת של תחנת העבודה שלך.

אלו הם רק חלק קטן מה"בקרים" שניתן להוסיף להגנה נוספת. יש צורך בגישה הרבה יותר שיטתית ומכוונת כדי למקסם את היתרונות של הגנה לעומק. הנה כמה מהשלבים שיעזרו לך להתחיל ליצור אסטרטגיית הגנה יסודית לעומק.

יתירות באבטחה עשויה, במבט ראשון, להיראות בזבזנית. עם זאת, אסטרטגיית הגנה מעמיקה מונעת איומים מכיוון שכאשר מוצר אבטחה אחד נכשל, ישנו מוצר אבטחה אחר כדי להשתלט עליו.

כדי להגן על המידע באופן מלא במהלך חייו, כל רכיב במערכת עיבוד המידע חייב להיות בעל מנגנוני הגנה משלו. בניית אמצעי בטחון, שכבותיהם והחפיפות ביניהן, נקראת "הגנה לעומק". בניגוד לתפיסת המפורסמת של "הגנת שרשרת", שחוזקה שווה לחוזקה של החולייה הכי חלשה שלה, אסטרטגיית ההגנה לעומק מכוונת למבנה שבו, אם אמצעי הגנה אחד ייכשל, אמצעים אחרים ימשיכו לספק הגנה.

ניתן להשתמש בשלושת סוגי הבקרים (בקרות מנהליות, בקרות לוגיות ובקרות פיזיות) כדי ליצור את הבסיס לבניית אסטרטגיית עומק הגנה. 

1. בקרות ניהול: כוללות נהלים ומדיניות המגבילים הרשאות ומנחים משתמשים כיצד לשמור על האבטחה.
2. בקרות טכניות: כוללות תוכנה וחומרה מיוחדות המשמשות להגנה על משאבי המערכת. לדוגמה, פתרונות אנטי וירוס או חומת אש.
3. בקרות פיזיות: כוללות תשתית פיזית להגנה על מערכות, כגון דלתות נעולות ומצלמות אבטחה.

בגישה זו ניתן להמשיג את ההגנה לעומק כשלוש שכבות או מתווים ברורים המונחים זה על גבי זה. ניתן לקבל תובנה נוספת בנושא ההגנה לעומק על ידי מחשבה עליה כיצירת שכבות הדומות לשכבות של בצל, כאשר הנתונים נמצאים בליבת הבצל, האנשים בשכבה החיצונית הבאה, ואבטחת רשת, אבטחה מבוססת מארח ואבטחת יישומים, יוצרים את השכבות החיצוניות ביותר של הבצל. שתי הפרספקטיבות תקפות באותה מידה, וכל אחת מהן מספקת תובנה חשובה ליישום אסטרטגיית עומק טובה בהגנה. 

גישה מרובדת לאבטחה יכולה להיות מיושמת בכל הרמות של מערכות IT. מהמחשב הנייד הבודד הניגש לאינטרנט מבית הקפה ועד ל-WAN הארגוני של עשרות אלפי משתמשים, DiD יכולה לשפר משמעותית את פרופיל האבטחה של הארגון. אף ארגון לא יכול להיות מוגן באופן מלא על ידי שכבת אבטחה אחת. במקום שבו דלת אחת עשויה להיות סגורה, אחרות יישארו פתוחות לרווחה, והאקרים ימצאו את הפגיעויות הללו מהר מאוד. עם זאת, כאשר אתה משתמש בסדרה של הגנות שונות יחד, כגון חומות אש, סורקי תוכנות זדוניות, מערכות זיהוי פריצות, פתרונות הצפנת נתונים וביקורת שלמות, אתה למעשה סוגר את הפערים שנוצרים על ידי הסתמכות על פתרון אבטחה יחיד.

תוכנות אנטי-וירוס, חומות אש, שערים מאובטחים ורשתות וירטואליות פרטיות (VPNs) משמשות כהגנות מסורתיות של רשתות ארגוניות ובהחלט עדיין מהוות חלק באסטרטגיית הגנה מעמיקה. עם זאת, אמצעים מתוחכמים יותר, כמו שימוש בלמידת מכונה (Machine Learning) לאיתור חריגות בהתנהגות העובדים ונקודות הקצה, משמשים כעת לבניית ההגנה החזקה והשלמה ביותר האפשרית.

תפיסת 'הגנה לעומק' נחוצה כעת יותר מתמיד מכיוון שיותר עובדים פועלים מהבית וארגונים מסתמכים יותר ויותר על שירותים מבוססי ענן. לכן, ארגונים חייבים לטפל בסיכוני האבטחה הקשורים לעובדים המשתמשים במכשירים שלהם לעבודה ובחיבור ה-Wi-Fi הביתי שלהם כדי להיכנס לרשת הארגונית. פגיעויות טבועות במכשירים המשמשים הן לעבודה והן לשימוש אישי, מהוות נקודות תורפה לתקיפת סייבר. יתרה מכך, קשה יותר לניהול הגנת סייבר בעת שימוש מתרחב ביישומי תוכנה כשירות (SaaS) המתארחים בענן.

הדמיון להגנה פיזית

מושג ההגנה לעומק אינו שונה מאבטחה פיזית, כמו זו המשמשת לבניין או לתחילת עבודה בסביבה משרדית. לאבטחת בניין יש רבדים רבים, שחלקם עשויים להיחשב מיותרים:

1. עובד משתמש בכרטיס מפתח כדי להיכנס לבניין.
2. מאבטח שומר בלובי.
3. מצלמות אבטחה מתעדות את כל התנועות בלובי, בכל קומה ובמעלית.
4. לאחר הגעתה לקומה שלה, עובד חייב להשתמש בכרטיס המפתח שלה כדי לפתוח את הדלת לקומת המשרד.
5. ליד שולחנו, העובד מפעיל את המחשב שלו ומכניס את הסיסמה והקוד הזמני בן ארבע ספרות (אימות דו-גורמי) כדי להיכנס לרשת החברה.
6. אלו, כמובן, רק קומץ של צעדי אבטחה שעל העובד לנקוט כדי להתחיל לעבוד במשך היום. חלק מאלה עשויים להיראות מיותרים וחלק מהצעדים עשויים להיראות חזקים יותר מאחרים, אך יחד, הם מקבילים לאסטרטגיית הגנה מעמיקה הקיימת בתוך ארגונים.

בעיות נפוצות בהגנת סייבר

להלן מספר בעיות נפוצות שארגונים צריכים להתמודד איתן בעת יישום אסטרטגיית הגנת סייבר:

1. תוכנה נגד תוכנות זדוניות לא עודכנה או שאינה מותקנת בכל המכשירים.
2. העובדים לא עברו הכשרה והם נופלים קורבן לתוכניות דיוג.
3. תיקוני תוכנה אינם מתעדכנים או שמתעלמים מהם.
4. מדיניות האבטחה אינה נאכפת או אפילו אינה ידועה בקרב העובדים.
5. הצפנה חסרה או מיושמת בצורה גרועה.
6. עובדים מרוחקים מתחברים לרשתות לא מאובטחות, כמו האינטרנט הציבורי.
7. פגמי אבטחה פיזיים, כגון חדרי שרתים לא מאובטחים.
8. שותפים עסקיים, כגון ספקי שירותי ענן, אינם מאובטחים לחלוטין.

תארו לעצמכם כי כל הבעיות הללו מתרחשות בבת אחת. הדרך היחידה של ארגון להגן על עצמו מפני נקודות תורפה היא באמצעות אסטרטגיית הגנה מעמיקה ומוצקה. אם שכבה אחת נכשלת, אמצעי אחר יגבה אותה.

מגוון האלמנטים שמאפיין את תפיסת מערכת הגנה לעומק

הגישה הרב-שכבתית לאבטחה במערכת הגנה מעמיקה משלבת אלמנטים מהתחומים הבאים:

• בקרות פיזיות: דוגמאות כוללות כרטיסי מפתח לכניסה לבניין או סורקים לקריאת טביעות אצבע.
• בקרות אבטחת רשת: זוהי תוכנה שמאמתת עובד להיכנס לרשת ולהשתמש במכשיר או אפליקציה.
• בקרות ניהול: זה מאפשר לעובדים, לאחר אימות, לגשת רק ליישומים מסוימים או לחלקים של הרשת.
• אנטי וירוס: זהו הכלי שמונע מתוכנות זדוניות להיכנס לרשת ולהתפשט.
• ניתוח התנהגות: אלגוריתמים ו-ML יכולים לזהות חריגות בהתנהגות העובדים ובאפליקציות והמכשירים עצמם.

'אבטחה שכבתית' והקשר ל'הגנה לעומק'

למרות שמשתמשים בו לסירוגין (ולא נכון), המונח "אבטחה שכבתית" אינו זהה להגנה לעומק.

אבטחה שכבתית היא שימוש במספר מוצרים כדי לטפל בהיבט אחד של אבטחה. ייתכן שהמוצרים דומים מאוד ומכוונים לעשות את אותה עבודה, אבל באסטרטגיית אבטחה מרובדת, שניהם נחוצים. שימוש במוצרים מיותרים לכאורה מחזק את ההגנה של הארגון מפני איומים.

לדוגמה, שער וחומת אש קובעים אילו נתונים יש לאפשר להיכנס לרשת. בהחלט יש הבדלים בין השניים - שער הוא חומרה בעוד חומת אש היא גם חומרה וגם תוכנה - אבל שניהם שואפים להגביל את הגישה לאתרים ויישומים מסוימים. לאחר שהשער וחומת האש עשו את עבודתם - לעובד הורשה לבקר באתר מסוים, למשל - מוצר או שירות אבטחה אחר יצטרך להשתלט אם העובד ירצה להזין סיסמה כדי להיכנס לאתר זה.

מוצר האבטחה הבא יכול להיות אימות רב-גורמי (MFA), המונע גישה לאתר אינטרנט אלא אם ניתנים מספר אישורים. במילים אחרות, אבטחה שכבתית מתייחסת רק למימד אחד של אבטחה או וקטור אחד של התקפה בעוד שההגנה לעומק היא רחבה יותר, רבת פנים ואסטרטגית יותר בהיקפה. ניתן גם לומר שאבטחה שכבתית היא תת-קבוצה של הגנה לעומק.

השכבות העיקריות במנגנון הגנה לעומק

שכבות ליבה לביצוע אסטרטגיית הגנה לעומק צריכות לכלול:

1.  סיסמאות חזקות ומורכבות.
2.  תוכנת אנטי וירוס.
3.  כניסות מאובטחות.
4.  חומת אש.
5.  ניהול עדכוני.
6. גיבוי ושחזור.
7. עקרון ההרשאות המינימליות.
   ככל שחברה גדלה ומספר המכשירים, היישומים והשירותים המשמשים ברחבי הארגון גדל, נדרשות שכבות אבטחה נוספות:
8. אימות דו-גורמי (2FA) או רב-גורמי (MFA).
9. מערכות זיהוי ומניעת חדירה.
10.  זיהוי ותגובה של נקודות קצה (EDR).
11.  פילוח רשת.
12. הצפנה.
13. מניעת אובדן נתונים.
14. VPNs.
15. ניטור.
16. מודיעין איומים.
17. תוכנית תגובה לאירועים. ועוד רבים. 

4. מעגלי הגנה

בתחום אבטחת המידע, הגנה על נכסים יקרי ערך ונתונים רגישים היא בעלת חשיבות עליונה. כדי להשיג זאת, ארגונים מאמצים אסטרטגיות ומסגרות אבטחה שונות. גישה אחת כזו היא הרעיון של מעגלי הגנה, הכוללת יצירת שכבות של אמצעי אבטחה כדי להפחית סיכונים ולמנוע גישה לא מורשית או הפרות. מעגלים אלו, הידועים גם כמעגלי הגנה מעמיקים או קונצנטריים, מספקים אסטרטגיית הגנה מקיפה ורב-שכבתית לשמירה על מידע קריטי. במאמר זה נחקור את המרכיבים המרכזיים של מעגלי הגנה ומשמעותם בהגנת סייבר.

הרעיון של מעגלי הגנה נטוע בעקרון שאמצעי אבטחה בודד אינו מספיק כדי להתגונן מפני כל האיומים הפוטנציאליים. במקום זאת, מיושמות מספר שכבות של בקרות אבטחה, היוצרות אסטרטגיית הגנה הכוללת הרתעה, זיהוי, הערכה, עיכוב, תגובה והכלה.

• Deterrence - הרתעה: מעגל ההגנה הראשון נועד להרתיע תוקפים פוטנציאליים על ידי הקמת אמצעי אבטחה גלויים ויזומים. זה כולל יישום מדיניות אבטחה, ביצוע הדרכות למודעות אבטחה לעובדים והצגת שילוט אבטחה גלוי. אמצעי הרתעה מעבירים מסר ברור שהביטחון הוא בראש סדר העדיפויות ושהארגון ערוך להתגונן מפני איומים.
• Detection - איתור: המעגל הבא מתמקד בגילוי מוקדם של פרצות אבטחה או פעילויות חשודות. זה כולל פריסת מערכות ניטור, מערכות זיהוי חדירה (IDS), וכלים לניהול מידע אבטחה ואירועים (SIEM). טכנולוגיות אלו עוקבות באופן רציף אחר תעבורת רשת, רושמים אירועים ומנתחים דפוסים כדי לזהות איומים או חריגות פוטנציאליים. המטרה היא לזהות ולהגיב לאירועי אבטחה באופן מיידי, למזער את ההשפעה ולמנוע התקפה נוספת.
• Assessment - הערכה: מעגל ההערכה כולל הערכת החומרה וההשפעה הפוטנציאלית של אירועי אבטחה שזוהו. שלב זה כולל ניתוח אופי האירוע, הערכת המערכות המושפעות וקביעת היקף ההפרה. באמצעות נהלי תגובה לאירועים וניתוח פורנזי, ארגונים יכולים לקבל תובנות לגבי השיטות, המניעים והפגיעויות הפוטנציאליות של התוקף שיש לטפל בהן.
• Delay - עיכוב: מעגל ההשהיה מתמקד בהאטה או עיכוב בהתקדמות של תוקף ברשת או במערכת. זה מושג באמצעות הטמעת בקרות גישה, מנגנוני אימות חזקים, הצפנה ופילוח רשת. על ידי יצירת מכשולים ומחסומים, ארגונים יכולים לקנות זמן כדי לזהות ולהגיב לאיומים, ולהפחית את הסבירות להתקפה מוצלחת.
• Response - תגובה: מעגל התגובה חיוני לטיפול יעיל באירועי אבטחה ולמזעור השפעתם. זה כרוך בתוכניות ונהלים מוגדרים היטב לתגובה לאירועים המתארים את הצעדים שיש לנקוט במקרה של הפרה. זה כולל בידוד מערכות מושפעות, בלימת האירוע, שימור ראיות והתחלת תהליכי התאוששות. מענה מהיר ויעיל הוא חיוני כדי לצמצם את הנזק שנגרם כתוצאה מתקרית ביטחונית ולהחזיר את הפעילות הרגילה במהירות.
• Containment - בלימה: מעגל ההגנה הסופי מתמקד בהכלת ההשפעה של אירוע ביטחוני ומניעת התפשטותו לאזורים אחרים בארגון. זה כולל בידוד מערכות שנפרצו, החלת תיקונים ועדכונים כדי לטפל בפרצות, וביצוע הערכות אבטחה יסודיות כדי לזהות חולשות או נקודות כניסה פוטנציאליות שיש לטפל בהן. אמצעי בלימה מטרתם להגביל את ההשפעה של פריצה ולמנוע תנועה צידית על ידי התוקף.

חשוב לציין שמעגלי ההגנה אינם סטטיים אלא דורשים ניטור, הערכה והתאמה מתמשכים. נוף האיומים מתפתח במהירות, והתוקפים מפתחים כל הזמן טכניקות ואסטרטגיות חדשות. לכן, ארגונים צריכים לסקור ולעדכן באופן קבוע את אמצעי האבטחה שלהם כדי להקדים את האיומים המתעוררים.

האפקטיביות של מעגלי הגנה נעוצה בגישה השכבתית שלהם, המבטיחה שגם אם שכבה אחת נפגעת, שכבות אחרות נשארות שלמות כדי למנוע ניצול נוסף. על ידי שילוב בקרות אבטחה מרובות, ארגונים מבססים תנוחת אבטחה עמידה שלא רק מרתיעה תוקפים פוטנציאליים אלא גם מספקת זיהוי מוקדם, תגובה מהירה והכלה יעילה.

יישום מעגלי הגנה מצריך הבנה מקיפה של הנכסים, הסיכונים והפגיעויות של הארגון. זה כולל ביצוע הערכות סיכונים, זיהוי מערכות ונתונים קריטיים והתאמה של אמצעי אבטחה ליעדים העסקיים. ארגונים צריכים גם לשקול שיטות עבודה מומלצות בתעשייה, תקנות ודרישות תאימות בעת תכנון מעגלי ההגנה שלהם.

5. מודל אבטחה Zero trust

מודל האבטחה של Zero Trust מאתגר את הרעיון המקובל של אמון ומגדיר מחדש את ארכיטקטורת האבטחה על ידי הנחה שאין לסמוך על שום מכשיר, משתמש או רכיב רשת. הוא מדגיש את החשיבות של אימות מתמשך ובקרות גישה קפדניות כדי להגן על נכסים קריטיים ונתונים רגישים. העיקרון הבסיסי העומד בבסיס Zero Trust הוא להבטיח גישה מאובטחת למשאבים המבוססת על רמה פרטנית של אימות, הרשאה ואימות, ללא קשר למיקום או ההקשר של בקשת הגישה.

מודל האבטחה של אפס אמון, המכונה גם ארכיטקטורת אמון אפס (zero trust architecture - ZTA), ארכיטקטורת רשת אמון אפס או גישה לרשת אמון אפס (zero trust network access - ZTNA), מתאר גישה לתכנון והטמעה של מערכות IT. Zero Trust היא מסגרת אבטחה המחייבת את כל המשתמשים, בין אם ברשת הארגון או מחוצה לה, לעבור אימות, אישור ואימות מתמשך עבור תצורת אבטחה לפני מתן גישה או שמירה על גישה ליישומים ונתונים. התפיסה העיקרית מאחורי מודל האבטחה ZT הוא "לעולם אל תסמוך, תמיד תאמת", כלומר אין לסמוך על מכשירים כברירת מחדל, גם אם הם מחוברים לרשת מורשית כגון רשת LAN ארגונית וגם אם אומתו בעבר. ZTNA מיושמת על ידי הקמת אימות זהות חזק, אימות תאימות מכשירים לפני מתן גישה והבטחת גישה מינימלית למשאבים מורשים מפורש בלבד. רוב הרשתות הארגוניות המודרניות מורכבות מהרבה אזורים מחוברים, שירותי ענן ותשתית, חיבורים לסביבות מרוחקות וניידים , וחיבורים ל-IT לא קונבנציונלי, כגון מכשירי IoT. 

ZT היא מסגרת אבטחה המחייבת את כל המשתמשים, בין אם ברשת הארגון או מחוצה לה, להיות מאומתים, מאושרים באופן רציף ומתמשך לפני מתן גישה או שמירה על גישה ליישומים ונתונים.

Zero Trust היא מסגרת שנותנת מענה לאתגרים המודרניים, כולל אבטחת עובדים מרוחקים, סביבות ענן היברידיות ואיומי תוכנות כופר. בעוד שספקים רבים ניסו ליצור הגדרות משלהם של Zero Trust, ישנם מספר תקנים מארגונים מוכרים שיכולים לעזור ליישר את Zero Trust עם ארגון.

עקרונות מפתח של מודל אבטחת אפס אמון

1. הרשאות מינימליות: פירושה הענקת רמת הגישה המינימלית למשתמשים הדרושה לביצוע המשימות שלהם. על ידי הטמעת בקרות גישה והרשאות מדוקדקות, ארגונים יכולים למזער את הנזק הפוטנציאלי הנגרם על ידי חשבונות שנפגעו או איומים פנימיים.
2. מיקרו-פילוח: מיקרו-פילוח כולל חלוקת הרשת למקטעים או אזורים קטנים ומבודדים, שלכל אחד מהם בקרות גישה ומדיניות אבטחה משלו. גישה זו מונעת תנועה צידית בתוך הרשת, ומגבילה את ההשפעה של הפרות פוטנציאליות.
3. אימות והרשאה מתמשכים: Zero Trust מדגישה את הצורך באימות והרשאה מתמשכים של משתמשים, מכשירים ואפליקציות. במקום להסתמך רק על אירוע אימות חד פעמי, ניטור ואימות מתמשך של התנהגות המשתמש וההקשר הם חיוניים לזיהוי פעילויות חריגות ואיומי אבטחה פוטנציאליים.
4.  בקרות גישה קפדניות: הטמעת בקרות גישה קפדניות מבטיחה שרק משתמשים או מכשירים מאומתים ומורשים יכולים לגשת למשאבים ספציפיים. זה כולל אימות רב-גורמי (MFA), בקרות גישה מבוססות תפקידים (RBAC) ומדיניות גישה מודעת להקשר.
5. הצפנה והגנה על נתונים: Zero Trust מקדם את השימוש במנגנוני הצפנה והגנה על נתונים כדי להגן על מידע רגיש גם במצב מנוחה וגם במעבר. פרוטוקולי הצפנה חזקים, ניהול מפתח מאובטח ופתרונות למניעת אובדן נתונים (DLP) ממלאים תפקיד קריטי בהגנה על שלמות הנתונים וסודיותם.

כתגובה למספר ההולך וגדל של הפרות אבטחה בפרופיל גבוה, במאי 2021 הוציא ממשל ביידן צו ביצוע המחייב את הסוכנויות הפדרליות של ארה"ב לדבוק ב-NIST 800-207 כצעד נדרש ליישום Zero Trust. כתוצאה מכך, התקן עבר תיקוף ותשומות כבדות ממגוון לקוחות מסחריים, ספקים ובעלי עניין של סוכנויות ממשלתיות - וזו הסיבה שארגונים פרטיים רבים רואים בו את התקן דה-פקטו גם עבור ארגונים פרטיים.

Zero Trust מבקש להתייחס לעקרונות המפתח הבאים בהתבסס על הנחיות NIST:

• אימות מתמשך. אמת תמיד את הגישה, כל הזמן, עבור כל המשאבים.

• הגבל את "רדיוס הפיצוץ". צמצם את ההשפעה אם אכן מתרחשת הפרה חיצונית או פנימית.

• אוטומציה של איסוף הקשר ותגובה. שלב נתונים התנהגותיים וקבל הקשר מכל מחסנית ה-IT (זהות, נקודת קצה, עומס עבודה וכו') לקבלת התגובה המדויקת ביותר.

אפס אמון היא גישה אסטרטגית להגנת סייבר המאבטחת ארגון על ידי ביטול אמון מרומז ואימות מתמשך של כל שלב באינטראקציה דיגיטלית. מושרש בעיקרון של "לעולם אל תבטח, תמיד לאמת", Zero Trust נועד להגן על סביבות מודרניות ולאפשר טרנספורמציה דיגיטלית על ידי שימוש בשיטות אימות חזקות, מינוף פילוח רשת, מניעת תנועה לרוחב, מתן מניעת איומים בשכבה 7 ופישוט פרטני, " מדיניות הכי פחות גישה".

Zero Trust נוצר על בסיס ההבנה שמודלי אבטחה מסורתיים פועלים בהנחה מיושנת שיש לסמוך באופן מרומז על כל דבר בתוך הרשת של הארגון. אמון מרומז זה אומר שברגע שהם נכנסים לרשת, משתמשים - לרבות גורמי איומים ומקורבים זדוניים - חופשיים לנוע לרוחב ולגשת או לחלץ נתונים רגישים בשל היעדר בקרות אבטחה מפורטות.

עם האצה של הטרנספורמציה הדיגיטלית בצורה של כוח עבודה היברידי הולך וגדל, המשך הגירה לענן והשינוי של פעולות האבטחה, נקיטת גישת Zero Trust מעולם לא הייתה קריטית יותר. אם נעשה בצורה נכונה, ארכיטקטורת Zero Trust מביאה לרמות אבטחה כלליות גבוהות יותר, אך גם להפחתת מורכבות האבטחה ותקורה תפעולית.

ב- Zero Trust, אחד הצעדים הראשונים הוא זיהוי הנתונים, הנכסים, האפליקציות והשירותים הקריטיים והחשובים ביותר של הרשת. זה עוזר לתעדף היכן להתחיל וגם מאפשר יצירת מדיניות אבטחה של Zero Trust. על ידי זיהוי הנכסים הקריטיים ביותר, ארגונים יכולים למקד מאמצים בתעדוף והגנה על נכסים אלה כחלק מהמסע שלהם ב-Zero Trust.

השלב הבא הוא להבין מי הם המשתמשים, באילו יישומים הם משתמשים וכיצד הם מתחברים כדי לקבוע ולאכוף מדיניות המבטיחה גישה מאובטחת לנכסים הקריטיים שלך.

בניית The Zero Trust Enterprise

למרות שאפס אמון משויך בדרך-כלל לאבטחת משתמשים או למקרי שימוש כגון גישה לרשת אפס (ZTNA), גישת אמון מקיפה מתייחסת למשתמשים, ליישומים ולתשתית.

• משתמשים: שלב ראשון בכל מאמץ של Zero Trust דורש אימות חזק של זהות המשתמש, יישום של מדיניות "הגישה הכי קטנה" ואימות שלמות מכשיר המשתמש
• יישומים: החלת אמון אפס על יישומים מסירה אמון מרומז עם רכיבים שונים של יישומים כאשר הם מדברים זה עם זה. תפיסה בסיסית של Zero Trust היא שלא ניתן לסמוך על יישומים ויש צורך בניטור רציף בזמן ריצה כדי לאמת את התנהגותם.
• תשתית: כל מה שקשור לתשתית: נתבים, מתגים, ענן, IoT ושרשרת אספקה: חייב להיות מטופל בגישה של Zero Trust.
  
  

הטמעת מודל האבטחה של Zero Trust

• ניהול זהות וגישה (IAM): פתרונות IAM חזקים חיוניים ליישום Zero Trust. זה כולל אימות זהות, מדיניות בקרת גישה וניהול גישה מועדפת (PAM) כדי להבטיח שלמשתמשים יש זכויות גישה מתאימות על סמך התפקידים והאחריות שלהם.
  
  
• פילוח רשת: פילוח רשת הוא מרכיב מרכזי בגישת האפס אמון. על ידי חלוקת הרשת למקטעים לוגיים, ארגונים יכולים לאכוף בקרות גישה קפדניות, לבודד נכסים קריטיים ולהגביל את ההשפעה הפוטנציאלית של פרצות אבטחה.
  
  
• ניטור וניתוח מתמשכים: הטמעת ניטור מתמשך וכלי ניתוח מתקדמים מאפשרים לארגונים לזהות ולהגיב לאירועי אבטחה בזמן אמת. זה כולל זיהוי חריגות, ניתוח התנהגות ופתרונות מידע אבטחה וניהול אירועים (SIEM) לזיהוי פעילויות חשודות ואיומים פוטנציאליים.
  
  
• ארכיטקטורת Zero Trust: תכנון ארכיטקטורת אמון אפס כרוך במיפוי נכסי הארגון, זיהוי גבולות אמון ויצירת מדיניות גישה המבוססת על עקרון המינימום הזכויות. ארכיטקטורה זו צריכה לשלב הצפנה חזקה, מנגנוני אימות מאובטחים ופרוטוקולי תקשורת מאובטחים ברשת.
  
  
• אבטחת נקודות קצה: נקודות קצה הן לרוב נקודות הכניסה לתוקפים. הטמעת אמצעי אבטחה חזקים של נקודות קצה כגון זיהוי ותגובה של נקודות קצה (EDR), אנטי וירוס מהדור הבא (NGAV) ופתרונות בקרת יישומים עוזרים למנוע, לזהות ולהגיב לאיומים מבוססי נקודות קצה.
  
  
• אוטומציה ותזמור אבטחה: מינוף כלי אוטומציה ותזמור מייעל את פעולות האבטחה ומשפר את היישום של Zero Trust. זה כולל אוטומציה של אכיפת מדיניות אבטחה, תגובה לאיומים ותהליכי תיקון אירועים.
  
  

יתרונות ואתגרים של מודל אבטחת אפס אמון

יתרונות:

• סטטוס אבטחה משופר: Zero Trust מספקת גישת אבטחה פרואקטיבית וחזקה המפחיתה את משטח ההתקפה ומפחיתה סיכונים פוטנציאליים.
• זיהוי ותגובה משופרים של תקריות: ניטור ואימות מתמשכים מאפשרים זיהוי ותגובה מהירים לאירועי אבטחה, תוך מזעור נזקים פוטנציאליים.
• עמידה ברגולציה: Zero Trust מיישרת קו עם דרישות רגולטוריות שונות, כגון GDPR ו- PCI DSS, מה שמבטיח ציות והפחתת הסיכון לקנסות.
• מדרגיות וגמישות: מודל Zero Trust מתאים לסביבות IT דינמיות ומתפתחות, ומאפשר מדרגיות והתאמה.

אתגרים:

• מורכבות: יישום Zero Trust מצריך תכנון, תיאום ואינטגרציה קפדנית של רכיבי אבטחה שונים, שיכולים להיות מורכבים וגוזלים זמן.
• חווית משתמש: יצירת איזון בין בקרות אבטחה מחמירות וחווית משתמש יכולה להיות מאתגרת. ארגונים חייבים להבטיח שאמצעי אבטחה אינם מונעים את הפרודוקטיביות או מונעים את זרימות העבודה של המשתמשים.
• תרבות ארגונית: אימוץ חשיבה אפס אמון עשוי לדרוש שינוי תרבותי בתוך ארגונים, שכן הנחות אמון מסורתיות מאותגרות, והביטחון הופך לאחריות משותפת.

6. הגורם האנושי: The Human Factor

הגורם האנושי נחשב לרוב לחוליה החלשה ביותר במעגלי האבטחה. אנשים עשויים להפגין התנהגויות מקובעות, להפעיל שיקול דעת סובייקטיבי וליפול קורבן למניפולציות של התוקף. העלאת המודעות וקידום תרבות מודעת אבטחה בכל רמות הארגון חיוניים להפחתת סיכון זה. תוכניות הכשרה קבועות, סימולציות דיוג וקמפיינים למודעות לאבטחה יכולים להעצים עובדים לקבל החלטות אבטחה מושכלות.

בתחום אבטחת המידע, הטכנולוגיה והכלים המתוחכמים לרוב תופסים את מרכז הבמה כאשר ארגונים מתחזקים את ההגנה שלהם מפני איומי סייבר. עם זאת, בתוך ים חומות האש, ההצפנה והבינה המלאכותית, נותר היבט קריטי אך לעתים קרובות מתעלמים ממנו - הגורם האנושי. בני האדם, על כל החוזקות והפגיעות שלהם, ממלאים תפקיד אינטגרלי בנוף אבטחת הסייבר. בעוד שההתקדמות בטכנולוגיה היא חיונית, חיוני להבין את ההשפעה המשמעותית שיש להתנהגות, ידע ומודעות אנושית על מצב האבטחה של הארגון. במאמר מקיף זה, נחקור את תפיסת הגורם האנושי בהגנת סייבר, את השלכותיו ואת הצעדים שארגונים יכולים לנקוט כדי לרתום את הפוטנציאל של הנכסים האנושיים שלהם ולהתמודד עם האתגרים הנלווים.

המשמעות של הגורם האנושי:

בכל ארגון, בני אדם הם גם האדריכלים וגם המשתמשים של מערכות המידע העומדות בבסיס הפעילות היומיומית. ההחלטות שהם מקבלים, הפעולות שהם נוקטים והידע שהם מחזיקים מעצבים ביחד את הנוף הביטחוני של הארגון. הבנת המשמעות של הגורם האנושי חיונית מכמה סיבות:

• החולייה החלשה: בעוד שהגנות טכנולוגיות יכולות להיות חזקות, תוקפים מכוונים לעתים קרובות לחוליה החלשה ביותר בשרשרת האבטחה - האלמנט האנושי. פושעי סייבר משתמשים בטקטיקות של הנדסה חברתית, כגון דיוג ותירוצים, כדי לנצל פגיעויות אנושיות ולהשיג גישה לא מורשית למידע רגיש.
• איומים פנימיים: מקורבים, כולל עובדים, קבלנים או שותפים, יכולים להוות סיכונים אבטחה משמעותיים. בין אם מתוך כוונה זדונית, רשלנות או טעויות לא מכוונות, למקורבים יש גישה למידע קריטי, מה שהופך אותם לווקטורים פוטנציאליים לפרצות נתונים.
• מודעות אבטחה: מודעות וידע אנושיים חיוניים באיתור ומניעת אירועי אבטחה. כוח עבודה מיודע היטב יכול לזהות איומים פוטנציאליים, לעקוב אחר פרוטוקולי אבטחה ולדווח על פעילויות חשודות באופן מיידי.
• התקפות ממוקדות בבני אדם: כמה התקפות, כגון פגיעה במייל עסקי (BEC) והונאת מנכ"ל, מכוונות במיוחד למקבלי החלטות אנושיים. התקפות אלו מנצלות את האמון והסמכות שלהם בתוך הארגון כדי לתמרן אותם לחשיפת מידע רגיש או ליזום העברות כספיות.
• ידע פנימי: תוקפים עלולים לנצל מידע ששותף בשוגג על ידי עובדים או עובדים לשעבר כדי להקל על התקפות סייבר. זה מדגיש את החשיבות של הליכי יציאה מאובטחים והצורך להגן על קניין רוחני מפני חשיפה לא מורשית.

אתגרים שמציב הגורם האנושי:

הגורם האנושי מציג סט ייחודי של אתגרים בהגנת סייבר:

• טעות אנוש: טעויות, כגון לחיצה על קישורים זדוניים, הגדרה שגויה של הגדרות אבטחה או נטייה לטקטיקות של הנדסה חברתית, עלולות להוביל לפרצות מידע ואירועי אבטחה אחרים.
• חוסר מודעות לאבטחה: לעובדים רבים עלולים להיות חסרי מודעות לשיטות העבודה המומלצות להגנת סייבר, מה שהופך אותם לרגישים יותר לניסיונות דיוג ולאיומי סייבר אחרים.
• איומים פנימיים: איומים פנימיים יכולים להיות מאתגרים לזיהוי, מכיוון שלמבצעים את ההתקפות עשויה להיות גישה לגיטימית למידע רגיש.
• הדרכה וחינוך: מתן הדרכה אפקטיבית ותוכניות חינוך אבטחה לכל העובדים עשויה להיות עתירת משאבים וגוזלת זמן.
• איזון בין אבטחה ושימושיות: אמצעי אבטחה מחמירים עלולים לפעמים להפריע לפרודוקטיביות, ולהוביל את העובדים למצוא דרכים לעקיפת הבעיה שעשויות לסכן את האבטחה.

התייחסות לגורם האנושי:

טיפול יעיל בגורם האנושי בהגנת סייבר מצריך גישה רב-גונית הכוללת חינוך, מדיניות, נהלים ותרבות ארגונית תומכת:

• תוכניות הדרכה ומודעות לאבטחה: הטמעת תכניות הדרכה ומודעות אבטחה רגילות היא קריטית לחינוך העובדים לגבי איומי סייבר שונים, החשיבות של הגנת סייבר ושיטות עבודה מומלצות למחשוב בטוח.
• מודעות דיוג: בצע סימולציות דיוג כדי להעריך את רגישות העובדים לניסיונות דיוג והשתמש בתוצאות כדי להתאים הדרכה ממוקדת לאנשים בסיכון.
• מדיניות סיסמאות חזקה: אכיפת מדיניות סיסמאות חזקה וקדם את השימוש במנהלי סיסמאות כדי להפחית את הסיכון לאירועי אבטחה הקשורים לסיסמה.
• אימות רב-גורמי (MFA): הטמעת MFA עבור גישה למערכות קריטיות ונתונים רגישים כדי להוסיף שכבת אבטחה נוספת מעבר לסיסמאות.
• איתור איומים פנימיים: השתמש בכלי ניתוח התנהגות וניטור כדי לזהות פעילויות חריגות או חשודות שעלולות להצביע על איומים פנימיים.
• בקרת גישה מבוססת תפקידים (RBAC): הטמעת RBAC כדי להבטיח שלעובדים תהיה גישה רק למידע ולמשאבים הדרושים לתפקידי העבודה הספציפיים שלהם.
• יציאת עובדים: יישם נהלי יציאת עובדים חזקים כדי לבטל גישה למערכות ולנתונים כאשר עובד עוזב את הארגון.
• אלופי אבטחה: מנה אלופי אבטחה או שגרירים בתוך הארגון כדי לתמוך בשיטות אבטחה מומלצות ולהקל על שיתוף ידע.
• מנגנוני דיווח: קבע מנגנוני דיווח ברורים על אירועי אבטחה, עידוד עובדים לדווח על כל פעילות חשודה ללא חשש מפעולות תגמול.
• תרבות אבטחה: טיפוח תרבות אבטחה חזקה בתוך הארגון, שבה נתפסת האבטחה כאחריות של כולם ונתמכת באופן פעיל על ידי מנהיגות.
• למידה מתמדת: עדכן את העובדים באיומי האבטחה האחרונים ובשיטות העבודה המומלצות באמצעות הזדמנויות הדרכה ולמידה מתמשכות.

7. כשל מבוקר: Controlled Failure

העיקרון של כשל מבוקר מכיר בכך שאירועי אבטחה וכשלים הם בלתי נמנעים. במקום להתמקד רק במניעה, ארגונים צריכים לאמץ גישה יזומה כדי להתכונן ולהפחית את ההשפעה של אירועי אבטחה. על ידי ביצוע בדיקות וסימולציות מבוקרות, ארגונים יכולים לזהות נקודות תורפה, להעריך את השפעתן ולפתח תוכניות תגובה. תרגילי כישלון מבוקרים, כגון בדיקות חדירה וצוות אדום, מאפשרים לארגונים להעריך את מצב האבטחה שלהם, לחשוף חולשות וליישם אמצעי תיקון מתאימים.

באמצעות תרגילים אלה, ארגונים יכולים לחזק את יכולות התגובה לאירועים שלהם, לחדד את בקרות האבטחה ולטפח תרבות של שיפור מתמיד.

עקרון הכישלון מבוקר מדגיש את החשיבות של למידה מטעויות העבר והיערכות לפריצות אבטחה אפשריות. במקום לחשוש מכישלון, ארגונים צריכים לאמץ זאת כהזדמנות לזהות חולשות באמצעי האבטחה שלהם ולשפר את החוסן הכללי שלהם.

היבטים של עיקרון כשל מבוקר:

1. בדיקת חדירה: בדיקת חדירה, המכונה גם פריצה אתית, כוללת הדמיה של התקפות בעולם האמיתי על מערכות, רשתות או יישומים של הארגון. האקרים אתיים מנסים לנצל נקודות תורפה כדי להעריך את האפקטיביות של בקרות האבטחה הקיימות. תוצאות הבדיקות הללו מספקות תובנות חשובות לגבי חולשות פוטנציאליות שיש לטפל בהן.
2. תרגילי צוות אדום: תרגילי צוות אדום כוללים יצירת צוות של מומחים פנימיים או חיצוניים הפועלים כתוקףים כדי לדמות התקפות סייבר מתוחכמות. תרגילים אלו מאתגרים את יכולות ההגנה של הארגון, ומאפשרים לו לחשוף נקודות עיוורות ולשפר את יכולות התגובה לאירועים.
3. תרגילים שולחניים: תרגילים שולחניים כוללים דיונים מבוססי תרחישים בין בעלי עניין כדי לדמות אירוע הגנת סייבר. המשתתפים מנתחים את האירוע ההיפותטי ומפתחים תגובות לבדיקת האפקטיביות של תוכנית התגובה לאירועים של הארגון.

הערך של כישלון מבוקר טמון ביכולתו לזהות נקודות תורפה וחולשות לפני שהם מנוצלים על ידי גורמים זדוניים. זה מאפשר לארגונים לחזק את אמצעי האבטחה שלהם, לשפר את פרוטוקולי התגובה לאירועים ולבנות עמדת אבטחה פרואקטיבית.

8. הגנת סייבר כתהליך: Security as a Process

המושג "אבטחה כתהליך" (Security as a Process) הופיע כפרדיגמה מרכזית, המעביר את המיקוד ממנגנוני הגנה סטטיים לתהליכים דינמיים ומתמשכים. הגישה רואה באבטחת מידע מאמץ מתמשך ורציף, ולא אירוע חד פעמי, ומדגישה שאיומי הסייבר משתנים ללא הרף ולכן גם מאמצי ההגנה דורשים עדכון תמידי.

בבסיס גישה זו עומדים מודלים כמו מחזור חיי ניהול סיכונים או המודל המעגלי של NIST לאבטחת מידע המציגים את תהליכי האבטחה כמעגל החוזר על עצמו באופן מתמיד. המודלים מדגישים פעולות מתמשכות של הערכת סיכונים, ניטור איומים, בקרה על פרצות אבטחה ושיפור מתמיד של בקרות. לעומת זאת, גישות ישנות שראו באבטחת מידע משימה חד פעמית הם כיום מיושנות.

התהליך המתמשך כולל זיהוי, הערכה, הגנה, גילוי, תגובה ותיקון. התהליך חייב להיות מותאם לצרכים הספציפיים של הארגון, וכן לתנאים המשתנים של הסביבה העסקית והטכנולוגית. התהליך זה מסייע לארגון להבין את הסיכונים שלו, ולנקוט בצעדים הדרושים כדי להפחית את הסיכונים.

תהליך האבטחה חשוב גם כדי לעמוד בדרישות הרגולטוריות. רגולציות רבות דורשות מהארגונים להקים וליישם תהליך אבטחה יעיל.

ארגונים מודרניים נדרשים לאמץ חשיבה ותפיסת עבודה הרואה באבטחת מידע מסע שאינו נגמר. זוהי משימה ארגונית מתמשכת, המחייבת שיפור והתאמה בלתי פוסקים של טכנולוגיות, מדיניות ותהליכי הגנת הסייבר לאורך זמן.‏

יש להכיר בכך שהאיומים בעולם הסייבר אינם סטטיים; הם מתפתחים ללא הרף. האקרים ושחקנים זדוניים משכללים ללא הרף את הטכניקות שלהם, ולכן הכרחי שאמצעי האבטחה יתפתחו בהתאם.

מרכיב מרכזי בהתייחסות לאבטחה כתהליך הוא הערכת סיכונים מתמשכת.

גם המונח "יישום" או "הטמעה" אינו משימה חד פעמית אלא מאמץ מתמשך, שכולל לא רק התקנה של כלי אבטחה, אלא גם הקמת מדיניות ונהלים המטפחים סביבה מאובטחת לאורך זמן. כך, גם עדכונים, תיקונים ושדרוגים רגילים הם מרכיבים חיוניים בשלב זה, המבטיחים שההגנה עומדת בקצב השינויים.

ניטור מתמיד הוא היבט קריטי נוסף של אבטחה כתהליך, שמעבר למעקב אחר רשתות ומערכות לאיתור סימני חדירה, מחייב גם מעקב אחר יעילות אמצעי האבטחה. כך, גם תוכניות תגובה לאירועים חייבות להיתפס כתהליך ולא כאירוע חד פעמי.

ולבסוף, ואולי הרכיב המכריע ביותר של ראיית "אבטחה כתהליך" הוא המחויבות לשיפור מתמיד. זה כרוך בלמידה מתקריות, מביקורות והערכות כדי לשפר את אמצעי האבטחה. לולאות משוב הן חיוניות, המאפשרות התאמה של אסטרטגיות בתגובה למידע חדש ולנסיבות משתנות.

9. עקרון "המינימלי ההכרחי לדעת": Need to Know

עיקרון זה קובע שלמשתמש תהיה גישה רק למידע שתפקידו דורש, ללא קשר לרמת הסיווג הביטחוני שלו או אישורים אחרים. במילים אחרות: משתמש צריך (א) הרשאות וצריך (ב) לדעת או לבצע. ההגדרה "צריך לדעת" היא המחייבת באמת, גם אם באופן כללי, יש לו רמת סיווג גבוהה.

האכיפה מבוצעת על ידי רגולציה או נוהל ולא באמצעות הרשאות בלבד. בטכנולוגיית מידע ניתן ליישם את Need-to-know באמצעות בקרת גישה חובה (MAC)* וכן בקרת גישה לפי שיקול דעת (DAC)* בשילוב עם מערכת בקרה משנית.

לא נותנים הרשאות מעבר לנדרש לעבודה. העיקרון של "צריך לדעת" מדגיש את החשיבות של הענקת הרשאות גישה בהתבסס על הצרכים והאחריות הספציפיים של אנשים בתוך ארגון. הגישה למידע רגיש או למערכות קריטיות צריכה להיות מוגבלת רק למי שנדרש מהם לבצע את המשימות שהוקצו להם. על ידי יישום העיקרון של הרשאות המינימליות ההכרחיות, ארגונים יכולים לצמצם את משטח ההתקפה ולהפחית את הסיכון של גישה לא מורשית או שימוש לרעה. יש לאכוף בקרות גישה הן ברמת המשתמש והן ברמת המערכת, עם בדיקות סדירות כדי להבטיח שההרשאות מתאימות לתפקידים ולתחומי אחריות. מנגנוני ניטור וביקורת יכולים לסייע באיתור כל חריגה מהעיקרון ולאפשר פעולות מתקנות בזמן.

כאשר משתמש משנה תפקיד בעבודה, יש לוודא שה-Need-to-know מותאם באופן מיידי.

היבטים של עקרון Need to Know:

1. סיווג נתונים: סיווג נתונים על סמך הרגישות והקריטיות שלהם מאפשר לארגונים לקבוע רמות גישה בצורה יעילה יותר. מידע סודי ורגיש צריך להיות נגיש רק לצוות מורשה שדורש ממנו לבצע את תפקידם.
2. פילוח נתונים: הפרדת נתונים לתאים או פלחים שונים בהתבסס על רמת הסודיות שלהם עוזרת למנוע גישה לא מורשית או דליפת נתונים. פילוח מבטיח שגם אם תחום אחד נפגע, חשיפת המידע הרגיש מוגבלת.
3. ביקורות גישה: ביצוע סקירות גישה תקופתיות חיוני כדי להבטיח שהרשאות הגישה מתאימות לתפקידי העבודה הנוכחיים. ביקורות סדירות עוזרות לזהות חשבונות רדומים או הרשאות גישה מיותרות שיש לבטל.

10. אימות כהכרח: Authentication by Default

אימות הוא היבט בסיסי של הגנת סייבר המבטיח שאנשים או מערכות הם מי שהם מתיימרים להיות. עקרון האימות כברירת מחדל מדגיש את הצורך באימות זהויות לפני הענקת גישה למידע רגיש או למערכות קריטיות. על ידי דרישת אימות כהגדרת ברירת המחדל, ארגונים יכולים למנוע גישה בלתי מורשית ולהגן מפני גניבת זהות או שימוש לרעה. מנגנוני אימות חזקים, כגון אימות רב-גורמי וביומטריה, משפרים את האבטחה של תהליכי האימות. בנוסף, ארגונים צריכים לאכוף עדכוני סיסמאות שוטפים וללמד את המשתמשים לגבי נוהלי אימות מאובטח כדי למזער את הסיכון של אישורים שנפגעו.

שיקולים העיקריים לאימות כברירת מחדל:

1. אימות רב-גורמי (MFA): אימות רב-גורמי מחייב את המשתמשים לספק מספר צורות זיהוי לפני שהם מקבלים גישה. זה יכול לכלול שילוב של משהו שהם יודעים (סיסמה), משהו שיש להם (סמארטפון לקבלת קוד אימות), או משהו שהם (נתונים ביומטריים).
   
   
2. בקרת גישה מבוססת תפקידים: הטמעת בקרת גישה מבוססת תפקידים (RBAC) מבטיחה שהמשתמשים מקבלים גישה על סמך התפקידים והאחריות הספציפיים שלהם בתוך הארגון. עיקרון זה אוכף את עקרון הזכות המינימלית, ומפחית את הסיכון לגישה בלתי מורשית למידע רגיש.
   
   
3. כניסה עם מזהה  יחיד (SSO: Single Sign-On): מזהה יחיד מפשט את תהליך האימות בכך שהוא מאפשר למשתמשים לגשת למספר מערכות ויישומים עם קבוצה אחת של אישורי כניסה. SSO לא רק משפר את נוחות המשתמש אלא גם מפחית את הסיכון לשימוש חוזר בסיסמאות ומפשט את ניהול הגישה.

אימות כברירת מחדל מבטיח שאמצעי אבטחה מיושמים באופן עקבי בכל המערכות והיישומים בארגון. זה מפחית את הסיכון לסיסמאות חלשות או ברירת מחדל ומחזק את עמדת האבטחה הכוללת.

11. עיקרון בקרת גישה: Access Control

בקרת גישה, מתייחסת להגבלה סלקטיבית של גישה למשאב. המטרה העיקרית היא להבטיח שלאנשים הנכונים תהיה גישה מתאימה למשאבים ספציפיים תוך מניעת משתמשים לא מורשים. ניתן לדמות את הרעיון לשומר סף או למאבטח, המאפשר לאנשים מסוימים להיכנס לבניין על סמך האם יש להם את האישורים המתאימים.

בבסיסו, בקרת הגישה מתייחסת לשתי שאלות עיקריות: "מי יכול לגשת?" ו"למה הם יכולים לגשת?" מענה על שאלות אלו כרוך בהבנה מפורטת של מי הם המשתמשים ואיזה הרשאות הוענקו להם. הרשאות יכולות להיות פשוטות כמו קריאת נתונים, או שהן יכולות להרחיב עד לשינוי תצורות, שינוי נתונים או אפילו מחיקתם.

בעולם הדיגיטלי, מושג זה בא לידי ביטוי בדרכים רבות. לדוגמה, כאשר אנו נכנסים לחשבונות האימייל שלנו, מנגנוני בקרת הגישה מבטיחים שרק אנחנו, עם שמות המשתמש והסיסמאות הייחודיים שלנו, יכולים לגשת לתוכן האימייל שלנו. באופן דומה, במסגרות ארגוניות, לעובדים שונים יש רמות שונות של גישה למידע. למנהל משאבי אנוש עשויה להיות גישה לרשומות כוח אדם, בעוד שלנציג מכירות אין, אלא במקום זאת, גישה למאגרי מידע של לקוחות.

בקרת גישה איננה הרחקת משתמשים לא מורשים בלבד, אלא תורה לניהול ולניטור למי יש גישה למה ולוודא שהם יכולים לעשות רק מה שהם אמורים לעשות. 

נושא זה מורחב בהמשך בפרק ייעודי.

12. הפרדת הרשאות וסמכויות: Separation of Duties

עקרון הפרדת סמכויות (או התפקידים) נועד למנוע ניגודי עניינים ולהפחית את הסיכון להונאה. העיקרון גורס חלוקת אחריות והרשאות בין אנשים שונים כדי להבטיח שלאף אדם אחד אין שליטה מלאה על תהליך אחד שלם או על מערכת קריטית במלואה, באופן המסכן ארגון. על ידי הטמעת בקרות גישה מתאימות והפרדת תפקידים, ארגונים יוצרים בלמים ואיזונים המגבילים את הפוטנציאל לפעולות לא מורשות או פעילויות זדוניות. לדוגמה, למפתח שיש לו גישה לכתיבת קוד לא אמורה להיות גם יכולת לפרוס את הקוד בסביבת ייצור. הפרדת תפקידים משפרת את האחריות, האמינות ואת האבטחה הכוללת של פעילות הארגון. מבחינה טכנולוגית, נכון גם לבחון שילוב חומרות מסוגים / חברות שונים.

עקרון הפרדת התפקידים (SoD) מושתת על הרעיון של הפחתת הסיכון לאיומי פנים וגישה בלתי מורשית. זה כרוך בחלוקת משימות ואחריות קריטיות בין אנשים שונים כדי להבטיח שלאף אדם אחד אין שליטה מלאה על פעולות או מידע רגישים.

למשל, מי שמאשר תלוש שכר לא יכול להיות מי שגם יכין אותם. ניתן לאכוף הפרדת תפקידים באופן סטטי (על ידי הגדרת תפקידים סותרים, כלומר תפקידים שלא ניתן לבצע על ידי אותו משתמש) או באופן דינמי (על ידי אכיפת הבקרה בזמן הגישה). דוגמה להפרדה דינמית בין תפקידים היא כלל שני האנשים. המשתמש הראשון שיבצע פעולה של שני אנשים יכול להיות כל משתמש מורשה, בעוד שהמשתמש השני יכול להיות כל משתמש מורשה שונה מהראשון. ישנם סוגים שונים של SOD, אחד חשוב הוא SOD מבוסס היסטוריה המווסתים למשל, אותו נושא (תפקיד) לא יכול לגשת לאותו אובייקט במשך מספר משתנה של פעמים.

הפרדת תפקידים היא מושג מפתח בבקרה פנימית. יש לאזן הגנה מוגברת מפני הונאה וטעויות עם העלות/המאמץ המוגבר הנדרש.

כותרות המשרה בפועל והמבנה הארגוני עשויים להשתנות מאוד מארגון אחד למשנהו, בהתאם לגודל ואופי העסק. בהתאם לכך, הדרגה או ההיררכיה פחות חשובות ממערך הכישורים והיכולות של האנשים המעורבים. עם התפיסה של SoD, ניתן לסווג חובות קריטיות לעסק לארבעה סוגים של פונקציות: הרשאה, משמורת, שמירת רישומים ובדיקת התאמה. במערכת מושלמת, אף אדם לא צריך לטפל ביותר מסוג אחד של פונקציות.

עקרונות

בעיקרון מספר גישות ניתנות לקיום כפרדיגמות שונות באופן חלקי או מלא:

1. הפרדה רציפה (עקרון שתי חתימות).
2. הפרדה אישית (כלל שני האנשים / ארבע העיניים, הוא מנגנון בקרה שנועד להשיג רמת אבטחה גבוהה עבור חומרים או פעולות קריטיות במיוחד. לפי כלל זה, גישה ופעולות דורשות נוכחות של שני אנשים מורשים או יותר בכל עת).
3. הפרדה מרחבית (פעולה נפרדת במקומות נפרדים).
4. הפרדה גורמית (מספר גורמים תורמים להשלמה).

יישום במערכות מידע

מקצוע ראיית החשבון השקיע משמעותית בהפרדת תפקידים בגלל הסיכונים המובנים שנצברו במשך מאות שנות עיסוק בחשבונאות.

לעומת זאת, תאגידים רבים בארצות הברית גילו ששיעור גבוה באופן בלתי צפוי מבעיות הבקרה הפנימיות שלהם ב-Sarbanes-Oxley הגיע מ-IT. הפרדת תפקידים משמשת בדרך-כלל בארגוני IT גדולים, כך שאף אדם אחד אינו מסוגל להציג קוד או נתונים מזויפים או זדוניים ללא זיהוי. בקרת גישה מבוססת תפקידים משמשת לעתים קרובות במערכות IT שבהן נדרש SoD. לאחרונה, ככל שמספר התפקידים גדל בארגון צומח, נעשה שימוש במודל בקרת גישה היברידי עם בקרת גישה מבוססת תכונות כדי לפתור את המגבלות של מקבילו מבוסס התפקידים.

שליטה קפדנית על שינויים בתוכנה ובנתונים תחייב שאותו אדם או ארגונים יבצעו רק אחד מהתפקידים הבאים:

1. זיהוי דרישה (או בקשת שינוי); לְמָשָׁל איש עסקים
2. אישור ואישור; לְמָשָׁל מועצת ממשל IT או מנהל
3. עיצוב ופיתוח; לְמָשָׁל מפתח
4. סקירה, בדיקה ואישור; לְמָשָׁל מפתח או אדריכל אחר.
5. יישום בייצור; בדרך-כלל שינוי תוכנה או מנהל מערכת.

זו אינה הצגה ממצה של מחזור החיים של פיתוח התוכנה, אלא רשימה של פונקציות פיתוח קריטיות החלות על הפרדת תפקידים.

כדי ליישם בהצלחה הפרדת תפקידים במערכות מידע, יש לטפל במספר חששות:

1. התהליך המשמש להבטחת זכויות ההרשאה של אדם במערכת תואם את תפקידו בארגון.
2. שיטת האימות בשימוש כגון ידיעת סיסמה, החזקת חפץ (מפתח, אסימון) או מאפיין ביומטרי.
3. עקיפת זכויות במערכת יכולה להתרחש באמצעות גישה לניהול מסד נתונים, גישה לניהול משתמשים, כלים המספקים גישה מהדלת האחורית או חשבונות משתמש מותקנים של ספקים. ייתכן שיידרשו בקרות ספציפיות כגון סקירה של יומן פעילות כדי לטפל בחשש הספציפי הזה.

יישום הפרדת תפקידים מצריך הבנה מעמיקה של תהליכי הארגון ותפקידי עובדיו. ניתוח מדוקדק של אחריות התפקיד מבטיח שחלוקת התפקידים מובנית היטב ומתיישרת עם יעדי האבטחה.

13. סינון תוכן: Content sanitization

אמצעי אבטחה מסורתיים כמו חומות אש ותוכנת אנטי וירוס אינם מספיקים עוד כדי להגן מפני כל סוגי המזהמים הדיגיטליים. האקרים ופושעי סייבר המציאו טכניקות מתקדמות כדי להסתיר קוד זדוני או לנצל משתמשים תמימים. כתוצאה מכך, ארגונים חייבים לאמץ גישה פרואקטיבית להגנה על מידע, הכוללת סינון תוכן כקו הגנה מכריע.

'ניקוי' או 'טיהור' התשתיות, כמו מחיקת מכונה וירטואלית אחרי שסיימנו איתה, ביצוע WIPE לדיסק קשיח ברגע שסיימנו לעבוד עליו. ניקוי תוכן מתייחס לתהליך של הסרת רכיבים שעלולים להיות זדוניים או מזיקים מנתונים או קבצים. העיקרון של ניקוי תוכן כולל בדיקה וניקוי נתונים כדי למנוע איומים נסתרים, כגון וירוסים, תוכנות זדוניות או קוד לא מורשה. זה חשוב במיוחד בעת טיפול בתוכן שנוצר על ידי משתמשים, העלאות קבצים או נתונים ממקורות חיצוניים. מנגנוני ניקוי תוכן, כגון סריקות אנטי-וירוס, אימות סוג קובץ ואימות קוד, עוזרים להפחית את הסיכון של החדרת תוכן זדוני למערכות הארגון. על ידי ניקוי תוכן, ארגונים יכולים למנוע התפשטות של תוכנות זדוניות, להגן על התשתית שלהם ולהבטיח את שלמות נכסי המידע שלהם.

ההשלכות של אי יישום ניקוי תוכן עלולות להיות חמורות. לדוגמה, מסמך או קובץ מצורף תמים לכאורה לאימייל עשויים להכיל תוכנות זדוניות נסתרות שברגע פתיחתן עלולות להוביל למתקפת סייבר בקנה מידה מלא. התקפות כאלה עלולות לגרום לפרצות מידע, הפסדים כספיים, נזק למוניטין ולאחריות משפטית. יתרה מכך, ההשפעה של פרצות מידע יכולה להתרחב מעבר להשלכות המיידיות, ולגרום לפגיעה ארוכת טווח באמינות הארגון ובאמון הלקוחות.

היבטים של ניקוי תוכן:

1. זיהוי והסרה של תוכנות זדוניות: אחת המטרות העיקריות של ניקוי תוכן היא זיהוי והסרה של תוכנות זדוניות מקבצים ומזרמי נתונים. זה כרוך בשימוש בטכניקות סריקה מתקדמות, היוריסטיות ואלגוריתמים של למידת מכונה כדי לזהות חתימות תוכנות זדוניות ידועות ולזהות התנהגות חשודה. אם מזוהה תוכנה זדונית, התוכן עובר ניקוי על ידי הסרה או נטרול של האלמנטים הזדוניים.
2. סינון ואימות נתונים: ניקוי תוכן כולל גם תהליכי סינון ואימות נתונים כדי להבטיח שהנתונים תואמים לכללים ולמדיניות אבטחה מוגדרים מראש. זה יכול לכלול סינון מידע רגיש או אכיפת תקני פורמט נתונים כדי למנוע דליפת נתונים או מניפולציה.
3. הסרת מטא נתונים: מטא נתונים, כגון מאפייני קובץ, מידע מחבר והיסטוריית גרסאות, יכולים לפעמים להכיל פרטים רגישים שאסור לחשוף. ניקוי תוכן כולל הסרת מטא נתונים מקבצים כדי למנוע דליפות נתונים פוטנציאליות או חשיפת מידע.
4. הסרת קוד מוטבע: ניקוי תוכן מזהה ומסיר כל קוד מוטבע, כגון JavaScript או קוד מאקרו, שיכול לשמש לביצוע סקריפטים זדוניים או להפעלת התקפות.
5. המרת קבצים: במקרים מסוימים, ניקוי תוכן עשוי לכלול המרת קבצים לפורמטים שונים כדי להבטיח תאימות למערכת היעד תוך ביטול כל איומים פוטנציאליים הקשורים לפורמט הקובץ המקורי.
6.  עדכונים ותיקונים קבועים: כדי להישאר יעילים נגד האיומים האחרונים, יש לשמור על פתרונות ניקוי תוכן מעודכנים בהגדרות העדכניות של תוכנות זדוניות, אלגוריתמי זיהוי ותיקוני אבטחה.
7.  הדרכה ומודעות: מתן תוכניות הכשרה ומודעות לעובדים חיוני כדי להבטיח שהם מבינים את החשיבות של ניקוי התוכן ואת הסיכונים הפוטנציאליים הקשורים לזיהום נתונים.

14. ניהול סיכונים: Risk Management

ארגונים זקוקים לאסטרטגיות חזקות של ניהול סיכונים ופתרונות חסכוניים המתאימים ליעדים העסקיים שלהם וסובלנות הסיכונים שלהם. פתרונות חסכוניים בהגנת סייבר מתייחסים לאמצעים ולפרקטיקות המספקים רמת הגנה גבוהה תוך אופטימיזציה של השימוש במשאבים, לרבות פיננסיים, אנושיים וטכנולוגיים. פתרונות אלו שואפים להשיג את עמדת האבטחה הטובה ביותר האפשרית במסגרת מגבלות התקציב והדרישות התפעוליות של הארגון.

עלות-תועלת אין פירושה התפשרות על אבטחה או חיתוך פינות. במקום זאת, זה כרוך בקבלת החלטות חכמות שמתעדפות השקעות בתחומים שנותנים את ההשפעה המשמעותית ביותר תוך ביטול הוצאות מיותרות. פתרונות חסכוניים כוללים איזון בין הפחתת סיכונים וניהול עלויות, תוך הבטחה שאמצעי אבטחה מתאימים לפרופיל הסיכון הייחודי של הארגון וליעדים העסקיים.

המשמעות של ניהול סיכונים:

ניהול סיכונים הוא היבט קריטי בהגנת סייבר. זה כרוך בזיהוי, הערכה והפחתת סיכונים העלולים להשפיע על נכסי המידע ופעולותיו של הארגון. על ידי אימוץ גישה מבוססת סיכונים, ארגונים יכולים לתעדף את מאמצי האבטחה שלהם ולהקצות משאבים ביעילות, תוך התמקדות באזורים בעלי פוטנציאל הנזק הגבוה ביותר.

הבנת סיכונים ויישום אסטרטגיות ניהול סיכונים אפקטיביות חיוניים לצמצום השפעות שליליות אפשריות וקבלת החלטות מושכלות. בכאן, נעמיק במושג הסיכון, סוגי הסיכונים השונים, תהליך ניהול הסיכונים וחשיבות הערכת הסיכונים והפחתה. על ידי הבנת סיכונים ושימוש בפרקטיקות יזומות של ניהול סיכונים, אנשים וארגונים יכולים לחזק את חוסנם ולנווט טוב יותר באי-ודאות.

הגדרת סיכון

סיכון מתייחס לאפשרות של אירוע או סיטואציה שיכולים להיות בעלי השלכות שליליות או להשפיע על יעדים. בהקשר של הגנת סייבר, עסקים, פיננסים ואחרים, הסיכון יכול להתבטא בצורות שונות, הכוללות גורמים פנימיים וחיצוניים כאחד. הבנת הסיכון כרוכה בהערכת הסבירות להתרחשות של אירוע והשפעתו הפוטנציאלית, ומאפשרת לאנשים ולארגונים לקבל החלטות מושכלות ולהקצות משאבים בצורה מושכלת.

קיימים סוגי סיכונים שונים: סיכון פיננסי, תפעולי, סיכון הגנת סייבר, סיכון מוניטין, סיכון ציות לחוק.

כדי לנהל סיכונים בצורה יעילה, אנשים וארגונים חייבים לזהות ולהעריך את סוגי הסיכונים העומדים בפניהם, לקבוע רמות סובלנות לסיכון ולפתח אסטרטגיות הפחתת סיכונים המותאמות לצרכיהם הספציפיים.

תהליך ניהול הסיכונים כולל גישה שיטתית לזיהוי, הערכה והפחתת סיכונים. זהו מחזור מתמשך ואיטרטיבי המאפשר לאנשים וארגונים לקבל החלטות מושכלות ולייעל את המשאבים שלהם. תהליך ניהול הסיכונים מורכב בדרך-כלל מהשלבים הבאים:

 

• ניהול נכסים ותהליכים

• זיהוי ומיפוי איומים

• זיהוי סיכונים

• ניתוח סיכונים

• הערכת סיכונים

• הפחתת סיכונים

• ניטור סיכונים

• תקשורת סיכונים

 

נושא ניהול הסיכונים יורחב בהמשך בפרק ייעודי.

15. בקרת זרימה: Flow Validation

העיקרון של אימות זרימה נועד להבטיח שלא "יתעסקו" בנתונים או יעשו בהם מניפולציות במהלך מעבר מידע (תקשורת), כולל אימות של שלמות ואבטחת הנתונים בזמן שהם עוברים דרך שלבים או רכיבים שונים של מערכת. ניתן להשיג זאת באמצעות טכניקות הצפנה, כגון חתימות דיגיטליות או קודי אימות הודעות, המספקות בדיקות תקינות ומאמתות את האותנטיות של הנתונים. על ידי הטמעת מנגנוני אימות זרימה, ארגונים יכולים לזהות ולמנוע שינויים לא מורשים, להגן על שלמות הנתונים ולשמור על סודיות המידע הרגיש.

היבטים מרכזיים של אימות זרימה:

1. בדיקות תקינות הנתונים: יישום בדיקות תקינות הנתונים במהלך העברת הנתונים חיוני כדי להבטיח שהנתונים יישארו ללא שינוי ולא טופלו במהלך המעבר. פונקציות Hash וסיכומי ביקורת משמשים בדרך-כלל לאימות שלמות הנתונים.
2. חתימות דיגיטליות: חתימות דיגיטליות מספקות מנגנון לאימות האותנטיות ושלמות הנתונים. הם משתמשים באלגוריתמים קריפטוגרפיים כדי להבטיח שהנתונים מקורם במקור ידוע ומהימן ולא שונו במהלך ההעברה.
3. פרוטוקולי שידור מאובטחים: שימוש בפרוטוקולי שידור מאובטח, כגון HTTPS, SFTP או IPsec, חיוני להבטחת הסודיות ושלמות הנתונים במהלך השידור. פרוטוקולים אלה מצפינים נתונים, מה שהופך אותם לבלתי קריאים לגורמים לא מורשים.
4. העברת קבצים מאובטחת: בעת העברת קבצים בין מערכות או רשתות, יש להשתמש בשיטות העברת קבצים מאובטחות כדי להגן על מידע רגיש מפני יירוט או מניפולציה.

אימות זרימה רלוונטי במיוחד בערוצי תקשורת מודרניים, כגון יישומי אינטרנט ושירותים מבוססי אינטרנט. אימות שלמות הנתונים בזמן שהם זורמים בין לקוח לשרת או ממערכת אחת לאחרת חיוני למניעת מניפולציה של נתונים ולהבטחת שהנתונים המתקבלים הם אמיתיים.

 

עבור למאמר הבא