ג. עקרונות אבטחת מידע - חלק א'

אבטחת מידע משלב העיצוב: Security by design

אבטחה בשלב העיצוב היא עיקרון מנחה המדגיש שילוב אמצעי אבטחה בכל שלב בתהליך התכנון והפיתוח של מערכות, יישומים וטכנולוגיה. במקום להתייחס לאבטחה כמחשבה שלאחר מכן, היא צריכה להיות חלק אינהרנטי מכל מחזור החיים של פיתוח התוכנה. על ידי שילוב אבטחה מלכתחילה, מפתחים יכולים לזהות נקודות תורפה פוטנציאליות בשלב מוקדם ולבנות עמדת אבטחה חזקה בארכיטקטורת הליבה של המערכת.

 

הדגש על בניית אבטחה במוצרים בשלב התכנון, נוגד את הנטייה הכל כך נפוצה של 'לטפל באבטחה אחרי שנסיים את הפיתוח'. 

 

אבטחה לפי עיצוב היא גישה ששמה דגש על שילוב אמצעי אבטחה בתכנון ופיתוח של תוכנה, חומרה ומערכות כבר מההתחלה. במקום להוסיף אבטחה כמחשבה שלאחר מכן, עיקרון זה דוגל בכך ששיקולי אבטחה צריכים להיות חלק בלתי נפרד מכל מחזור החיים של פיתוח התוכנה. זו היא גישה לפיתוח תוכנה וחומרה השואפת להפוך מערכות ל'נקיות' מפגיעות סייבר ואטומות לתקיפה ככל האפשר באמצעות אמצעים כגון בדיקות מתמשכות, אמצעי הגנה לאימות והקפדה על שיטות התכנות הטובות ביותר. 

 

בליבה של אבטחה לפי עיצוב הוא זיהוי יזום והפחתה של פרצות אבטחה פוטנציאליות לאורך תהליך התכנון והפיתוח. על ידי בחינת אבטחה בשלב מוקדם, מפתחים יכולים לטפל בפגמים וחולשות פוטנציאליים לפני שהם הופכים לבעיות יקרות במהלך היישום או לאחר הפריסה. גישה זו גם מאפשרת למפתחים להבטיח שבקרות האבטחה משולבות בצורה חלקה בארכיטקטורת הליבה של המערכת, מה שהופך אותן לאפקטיביות יותר ופחות רגישות לעקוף או פשרה.

 

טיפול בנקודות תורפה קיימות ותיקון חורי אבטחה ככל שהם יימצאו, יכולים להיות תהליך מתיש, פגיע ולא יעיל, לעומת תכנון מערכות מאובטחות ככל האפשר מלכתחילה.

 

Secure by Design הופכת לגישת הפיתוח המרכזית להבטחת אבטחה ופרטיות של מערכות תוכנה. בגישה זו, האבטחה נחשבת ומובנית במערכת בכל שכבה ומתחילה בתכנון ארכיטקטורה חזק. החלטות עיצוב ארכיטקטוני אבטחה מבוססות על אסטרטגיות, טקטיקות ודפוסי אבטחה ידועים המוגדרים כטכניקות לשימוש חוזר להשגת דאגות איכות ספציפיות. טקטיקות/דפוסי אבטחה מספקות פתרונות לאכיפת הדרישות הדרושות לאימות, הרשאה, סודיות, שלמות הנתונים, פרטיות, אחריות, זמינות, בטיחות ואי-דחייה, גם כשהמערכת מותקפת.

 

כדי להבטיח את האבטחה של מערכת תוכנה, חשוב, לא רק לתכנן ארכיטקטורת אבטחה מיועדת חזקה, אלא גם למפות אסטרטגיות, טקטיקות ודפוסי אבטחה מעודכנים לפיתוח תוכנה על מנת לשמור על עמידות אבטחה.

 

ארגונים חייבים לאמץ גישה פרואקטיבית והוליסטית לאבטחת מידע. אחד העקרונות הבסיסיים המהווים את הסלע של אבטחת סייבר יעילה הוא "אבטחה לפי עיצוב". עיקרון זה מדגיש את השילוב של שיקולי אבטחה לאורך כל מחזור החיים של מערכות, רשתות ויישומים. על ידי יישום אמצעי אבטחה מההתחלה, ארגונים יכולים להגן טוב יותר על הנכסים, הנתונים והמשתמשים שלהם מפני פעילויות זדוניות. כאן, נחקור את המושג Security by Design, את חשיבותו בעולם אבטחת הסייבר וכיצד ניתן ליישם אותו ביעילות על ידי אנשי IT מנוסים בסביבות תקשורת, רשתות ושרתים.

 

החשיבות של Security by Design

 

• הפחתת סיכונים יזומה: אבטחה לפי עיצוב מאפשרת לארגונים לזהות באופן יזום ולטפל בסיכוני אבטחה פוטנציאליים בשלבים המוקדמים של פיתוח המערכת. על ידי התייחסות לאבטחה כדרישה אינהרנטית, ארגונים יכולים להפחית את הסבירות להכנסת פרצות למערכות שלהם.

 

• חיסכון בעלויות: יישום אמצעי אבטחה בדיעבד יכול להיות גוזל זמן ויקר יותר. על ידי שילוב אבטחה משלב התכנון, ארגונים יכולים למזער את הצורך במאמצי שיקום יקרים ולחסוך בעלויות משמעותיות בטווח הארוך.

 

•הגנה משופרת על נתונים: עם הכמות ההולכת וגדלה של נתונים רגישים המעובדים ומאוחסנים, חיוני להבטיח את הסודיות, האמינות והזמינות של המידע. Security by Design מקדם את השימוש בהצפנה, בקרות גישה ופרוטוקולי תקשורת מאובטחים כדי להגן על נתונים מפני גישה או מניפולציה בלתי מורשית.

 

•עמידה ברגולציה: אבטחה לפי עיצוב תואמת שיטות עבודה מומלצות ודרישות רגולטוריות שונות בתעשייה, כגון תקנת הגנת המידע הכללית (GDPR) ותקן אבטחת הנתונים של תעשיית כרטיסי התשלום (PCI DSS). על ידי שילוב אמצעי אבטחה בתהליך התכנון, ארגונים יכולים להוכיח תאימות ולמזער את הסיכון לקנסות על אי ציות.

 

היבטים מרכזיים של אבטחה לפי עיצוב כוללים:

 

1) מודל איומים: זיהוי איומים ופגיעות פוטנציאליים שהמערכת עשויה להתמודד איתם והבנת ההשפעה הפוטנציאלית של איומים אלו.

 

2) קידוד מאובטח: כתיבת קוד באופן שמתעדף אבטחה, תוך מזעור הסיכון לשגיאות קידוד ופגיעויות.

 

3) תצורה מאובטחת: קביעת תצורה של רכיבי חומרה ותוכנה בצורה מאובטחת כדי לצמצם את משטח ההתקפה ולמזער את הסיכון לניצול.

 

4) סקירות אבטחה רגילות: ביצוע סקירות אבטחה לאורך תהליך הפיתוח כדי לזהות ולטפל בבעיות אבטחה באופן מיידי.

 

5) ניטור רציף: הטמעת מנגנוני ניטור ורישום לזיהוי ותגובה לאירועי אבטחה בזמן אמת. 

 

אבטחה לפי תכנון הופכת חיונית במהירות בסביבת האינטרנט של הדברים (IoT), שבה כמעט כל מכשיר, אובייקט או ישות אפשריים יכולים לקבל מזהה ייחודי (UID) ולחבר אותם לרשת כדי להפוך אותם ניתנים להתייחסות דרך האינטרנט. אחד האתגרים העיקריים של אבטחת ה-IoT הוא העובדה שאבטחה לא נחשבה באופן מסורתי בעיצוב מוצר עבור מכשירי רשת וחפצים שלא נרשמו באופן מסורתי ברשת.

 

על ידי אימוץ גישת אבטחה לפי עיצוב, ארגונים יכולים ליצור תוכנות ומערכות עם בסיס אבטחה חזק, להפחית את הסבירות לפרצות אבטחה ולשפר את החוסן הכולל נגד איומי סייבר.

 

2. הגנה לעומק: Defense in depth (DiD)

עקרון ההגנה לעומק ידוע גם בשם "הגנה בשכבות", מבוסס על הרעיון ששכבת אבטחה אחת אינה מספיקה כדי להגן מפני מגוון האיומים שארגונים מתמודדים איתם כיום. במקום זאת, הגנה מעמיקה דוגלת ביישום מספר רב של בקרות אבטחה, שכל אחת מהן מספקת רמת הגנה נוספת. הרעיון דומה לשכבות של בצל, כאשר כל שכבה מוסיפה ליציבת האבטחה הכללית ומספקת מחסום לתוקפים פוטנציאליים.

 

אבטחת מידע חייבת להגן על מידע לאורך כל חייו, החל מהיצירה הראשונית של המידע ועד למחיקתו הסופית של המידע. יש להגן על המידע "בתנועה" וגם ב"מנוחה". במהלך חייו, מידע עשוי לעבור במערכות עיבוד מידע רבות ושונות ובאמצעות חלקים רבים ומגוונים של מערכות עיבוד מידע. ישנן דרכים רבות בהן ניתן לאיים על מערכות המידע ועל המידע.

 

הגנה לעומק (DiD) היא תפיסה וגישה המשמשים באבטחת מידע, בהם שכבות מרובות (ועצמאיות) של בקרות ומנגנוני אבטחה שונים (בכל שכבה) ממוקמים בכל מערכת טכנולוגיית מידע (IT) כדי להגן על הסודיות, השלמות והזמינות של הרשת, ולכל שכבה יש מטרה מוגדרת וברורה משל עצמה. הנתונים בפנים. מטרתה, לספק יתירות במקרה שבקרת אבטחה נכשלת או ניצול פגיעות שיכולה לכסות היבטים של אבטחה כוחנית, פרוצדורלית, טכנית ופיזית למשך מחזור החיים של המערכת.

 

הרעיון מאחורי גישת ההגנה לעומק הוא להגן על מערכת מפני כל התקפה מסוימת באמצעות מספר שיטות עצמאיות. זוהי טקטיקת שכבות, שנחשבה על ידי הסוכנות לביטחון לאומי (NSA) כגישה מקיפה למידע ואבטחה אלקטרונית. המונח הגנה לעומק במחשוב הוא בהשראת אסטרטגיה צבאית בעלת אותו שם, אך הוא שונה בתכלית בקונספט. 

 

תפיסת הליבה של הגנה לעומק היא להבטיח שגם אם שכבת אבטחה אחת נפרצה או לא מצליחה למנוע התקפה, שכבות אחרות עדיין קיימות כדי למתן את ההשפעה ולמנוע הסלמה נוספת. למעשה, זוהי אסטרטגיה השוקלת את ההכרח של פרצות אבטחה ומתכננת בהתאם, מה שהופך את זה למאתגר יותר עבור התוקפים להשיג את מטרותיהם.

 

אלמנטים עיקריים:

 

1) אבטחה היקפית: הטמעת אמצעי אבטחה בהיקף הרשת כדי למנוע גישה לא מורשית ממקורות חיצוניים.

 

2) פילוח רשת: חלוקת רשתות למקטעים נפרדים כדי להגביל את התנועה הצידית של תוקפים אם פלח אחד נפגע.

 

3) בקרת גישה: הטמעת בקרות גישה חזקות, כולל מנגנוני אימות, כדי להבטיח שרק משתמשים מורשים יוכלו לגשת למשאבים.

 

4) הצפנה: הצפנת נתונים במצב מנוחה ובמעבר כדי להגן עליהם מפני גישה לא מורשית או שיבוש.

 

5) ניטור ורישום: הטמעת כלי ניטור ורישום כדי לזהות ולהגיב לאירועי אבטחה בזמן אמת.

 

6) תגובה לאירועים: פיתוח תוכנית תגובה מקיפה לאירועים לטיפול בפרצות אבטחה במהירות וביעילות.

 

דמיינו לעצמכם ערמת פקדים (אמצעי אבטחת מידע / בקרים / Controls) בשכבות, אחת על גבי השנייה. חומת אש תחסום גישה לא מורשית למערכת. אנטי וירוס של נקודות קצה יגן על מכשירים בודדים על ידי זיהוי והכלה של איומים. כלי של "מניעת אובדן נתונים" (DLP) יחסום פליטה של נתונים רגישים חשובים. סינון אינטרנט ימנע חשיפה לתוכנות זדוניות על ידי מניעת ביקור באתרים זדוניים מהמשתמשים, ו"אימות רב-גורמי" יצמצם כניסות לא מורשות ב-99.9%.

 

כאשר נעשה שימוש בשיטות אלה בו זמנית, מתרחשת חפיפה, וכתוצאה מכך אפקט שכבות. לדוגמה, ייתכן שחומת האש מסננת תעבורת דואר אלקטרוני בפרוטוקול העברת דואר פשוט (SMTP) לאיתור וירוסים ותוכנות זדוניות כאשר הנתונים מגיעים, בעוד שתוכנת האנטי-וירוס של נקודת הקצה עוקבת אחר מה שנמצא בתיבת הדואר הנכנס על ידי סריקה מתמדת של תחנת העבודה שלך.

 

אלו הם רק חלק קטן מה"בקרים" שניתן להוסיף להגנה נוספת. יש צורך בגישה הרבה יותר שיטתית ומכוונת כדי למקסם את היתרונות של הגנה לעומק. הנה כמה מהשלבים שיעזרו לך להתחיל ליצור אסטרטגיית הגנה יסודית לעומק.

 

יתירות באבטחה עשויה, במבט ראשון, להיראות בזבזנית. עם זאת, אסטרטגיית הגנה מעמיקה מונעת איומים מכיוון שכאשר מוצר אבטחה אחד נכשל, ישנו מוצר אבטחה אחר כדי להשתלט עליו.

כדי להגן על המידע באופן מלא במהלך חייו, כל רכיב במערכת עיבוד המידע חייב להיות בעל מנגנוני הגנה משלו. בניית אמצעי בטחון, שכבותיהם והחפיפות ביניהן, נקראת "הגנה לעומק". בניגוד לתפיסת המפורסמת של "הגנת שרשרת", שחוזקה שווה לחוזקה של החולייה הכי חלשה שלה, אסטרטגיית ההגנה לעומק מכוונת למבנה שבו, אם אמצעי הגנה אחד ייכשל, אמצעים אחרים ימשיכו לספק הגנה.

ניתן להשתמש בשלושת סוגי הבקרים (בקרות מנהליות, בקרות לוגיות ובקרות פיזיות) כדי ליצור את הבסיס לבניית אסטרטגיית עומק הגנה. 

 

1. בקרות ניהול: כוללות נהלים ומדיניות המגבילים הרשאות ומנחים משתמשים כיצד לשמור על האבטחה.

 

2. בקרות טכניות: כוללות תוכנה וחומרה מיוחדות המשמשות להגנה על משאבי המערכת. לדוגמה, פתרונות אנטי וירוס או חומת אש.

 

3. בקרות פיזיות: כוללות תשתית פיזית להגנה על מערכות, כגון דלתות נעולות ומצלמות אבטחה.

 

בגישה זו ניתן להמשיג את ההגנה לעומק כשלוש שכבות או מתווים ברורים המונחים זה על גבי זה. ניתן לקבל תובנה נוספת בנושא ההגנה לעומק על ידי מחשבה עליה כיצירת שכבות הדומות לשכבות של בצל, כאשר הנתונים נמצאים בליבת הבצל, האנשים בשכבה החיצונית הבאה, ואבטחת רשת, אבטחה מבוססת מארח ואבטחת יישומים, יוצרים את השכבות החיצוניות ביותר של הבצל. שתי הפרספקטיבות תקפות באותה מידה, וכל אחת מהן מספקת תובנה חשובה ליישום אסטרטגיית עומק טובה בהגנה. 

 

גישה מרובדת לאבטחה יכולה להיות מיושמת בכל הרמות של מערכות IT. מהמחשב הנייד הבודד הניגש לאינטרנט מבית הקפה ועד ל-WAN הארגוני של עשרות אלפי משתמשים, DiD יכולה לשפר משמעותית את פרופיל האבטחה של הארגון. אף ארגון לא יכול להיות מוגן באופן מלא על ידי שכבת אבטחה אחת. במקום שבו דלת אחת עשויה להיות סגורה, אחרות יישארו פתוחות לרווחה, והאקרים ימצאו את הפגיעויות הללו מהר מאוד. עם זאת, כאשר אתה משתמש בסדרה של הגנות שונות יחד, כגון חומות אש, סורקי תוכנות זדוניות, מערכות זיהוי פריצות, פתרונות הצפנת נתונים וביקורת שלמות, אתה למעשה סוגר את הפערים שנוצרים על ידי הסתמכות על פתרון אבטחה יחיד.

 

תוכנות אנטי-וירוס, חומות אש, שערים מאובטחים ורשתות וירטואליות פרטיות (VPNs) משמשות כהגנות מסורתיות של רשתות ארגוניות ובהחלט עדיין מהוות חלק באסטרטגיית הגנה מעמיקה. עם זאת, אמצעים מתוחכמים יותר, כמו שימוש בלמידת מכונה (Machine Learning) לאיתור חריגות בהתנהגות העובדים ונקודות הקצה, משמשים כעת לבניית ההגנה החזקה והשלמה ביותר האפשרית.

 

תפיסת 'הגנה לעומק' נחוצה כעת יותר מתמיד מכיוון שיותר עובדים פועלים מהבית וארגונים מסתמכים יותר ויותר על שירותים מבוססי ענן. לכן, ארגונים חייבים לטפל בסיכוני האבטחה הקשורים לעובדים המשתמשים במכשירים שלהם לעבודה ובחיבור ה-Wi-Fi הביתי שלהם כדי להיכנס לרשת הארגונית. פגיעויות טבועות במכשירים המשמשים הן לעבודה והן לשימוש אישי, מהוות נקודות תורפה לתקיפת סייבר. יתרה מכך, קשה יותר לניהול הגנת סייבר בעת שימוש מתרחב ביישומי תוכנה כשירות (SaaS) המתארחים בענן.

 

הדמיון להגנה פיזית

 

מושג ההגנה לעומק אינו שונה מאבטחה פיזית, כמו זו המשמשת לבניין או לתחילת עבודה בסביבה משרדית. לאבטחת בניין יש רבדים רבים, שחלקם עשויים להיחשב מיותרים:

 

1. עובד משתמש בכרטיס מפתח כדי להיכנס לבניין.

 

2. מאבטח שומר בלובי.

 

3. מצלמות אבטחה מתעדות את כל התנועות בלובי, בכל קומה ובמעלית.

 

4. לאחר הגעתה לקומה שלה, עובד חייב להשתמש בכרטיס המפתח שלה כדי לפתוח את הדלת לקומת המשרד.

 

5. ליד שולחנו, העובד מפעיל את המחשב שלו ומכניס את הסיסמה והקוד הזמני בן ארבע ספרות (אימות דו-גורמי) כדי להיכנס לרשת החברה.

אלו, כמובן, רק קומץ של צעדי אבטחה שעל העובד לנקוט כדי להתחיל לעבוד במשך היום. חלק מאלה עשויים להיראות מיותרים וחלק מהצעדים עשויים להיראות חזקים יותר מאחרים, אך יחד, הם מקבילים לאסטרטגיית הגנה מעמיקה הקיימת בתוך ארגונים.

 

בעיות נפוצות באבטחת סייבר

 

להלן מספר בעיות נפוצות שארגונים צריכים להתמודד איתן בעת יישום אסטרטגיית אבטחת סייבר:

 

1. תוכנה נגד תוכנות זדוניות לא עודכנה או שאינה מותקנת בכל המכשירים.

2. העובדים לא עברו הכשרה והם נופלים קורבן לתוכניות דיוג.

3. תיקוני תוכנה אינם מתעדכנים או שמתעלמים מהם.

4. מדיניות האבטחה אינה נאכפת או אפילו אינה ידועה בקרב העובדים.

5. הצפנה חסרה או מיושמת בצורה גרועה.

6. עובדים מרוחקים מתחברים לרשתות לא מאובטחות, כמו האינטרנט הציבורי.

7. פגמי אבטחה פיזיים, כגון חדרי שרתים לא מאובטחים.

8. שותפים עסקיים, כגון ספקי שירותי ענן, אינם מאובטחים לחלוטין.

 

תארו לעצמכם כי כל הבעיות הללו מתרחשות בבת אחת. הדרך היחידה של ארגון להגן על עצמו מפני נקודות תורפה היא באמצעות אסטרטגיית הגנה מעמיקה ומוצקה. אם שכבה אחת נכשלת, אמצעי אחר יגבה אותה.

 

מגוון האלמנטים שמאפיין את תפיסת מערכת הגנה לעומק

 

הגישה הרב-שכבתית לאבטחה במערכת הגנה מעמיקה משלבת אלמנטים מהתחומים הבאים:

 

• בקרות פיזיות: דוגמאות כוללות כרטיסי מפתח לכניסה לבניין או סורקים לקריאת טביעות אצבע.

• בקרות אבטחת רשת: זוהי תוכנה שמאמתת עובד להיכנס לרשת ולהשתמש במכשיר או אפליקציה.

• בקרות ניהול: זה מאפשר לעובדים, לאחר אימות, לגשת רק ליישומים מסוימים או לחלקים של הרשת.

• אנטי וירוס: זהו הכלי שמונע מתוכנות זדוניות להיכנס לרשת ולהתפשט.

• ניתוח התנהגות: אלגוריתמים ו-ML יכולים לזהות חריגות בהתנהגות העובדים ובאפליקציות והמכשירים עצמם.

 

'אבטחה שכבתית' והקשר ל'הגנה לעומק'

 

למרות שמשתמשים בו לסירוגין (ולא נכון), המונח "אבטחה שכבתית" אינו זהה להגנה לעומק.

 

אבטחה שכבתית היא שימוש במספר מוצרים כדי לטפל בהיבט אחד של אבטחה. ייתכן שהמוצרים דומים מאוד ומכוונים לעשות את אותה עבודה, אבל באסטרטגיית אבטחה מרובדת, שניהם נחוצים. שימוש במוצרים מיותרים לכאורה מחזק את ההגנה של הארגון מפני איומים.

 

לדוגמה, שער וחומת אש קובעים אילו נתונים יש לאפשר להיכנס לרשת. בהחלט יש הבדלים בין השניים - שער הוא חומרה בעוד חומת אש היא גם חומרה וגם תוכנה - אבל שניהם שואפים להגביל את הגישה לאתרים ויישומים מסוימים. לאחר שהשער וחומת האש עשו את עבודתם - לעובד הורשה לבקר באתר מסוים, למשל - מוצר או שירות אבטחה אחר יצטרך להשתלט אם העובד ירצה להזין סיסמה כדי להיכנס לאתר זה.

 

מוצר האבטחה הבא יכול להיות אימות רב-גורמי (MFA), המונע גישה לאתר אינטרנט אלא אם ניתנים מספר אישורים. במילים אחרות, אבטחה שכבתית מתייחסת רק למימד אחד של אבטחה או וקטור אחד של התקפה בעוד שההגנה לעומק היא רחבה יותר, רבת פנים ואסטרטגית יותר בהיקפה. ניתן גם לומר שאבטחה שכבתית היא תת-קבוצה של הגנה לעומק.

 

השכבות העיקריות במנגנון הגנה לעומק

 

שכבות ליבה לביצוע אסטרטגיית הגנה לעומק צריכות לכלול:

 

1. סיסמאות חזקות ומורכבות.

2. תוכנת אנטי וירוס.

3. שער מאובטח.

4. חומת אש.

5. ניהול תיקונים.

6. גיבוי ושחזור.

7. עקרון ההרשאות המינימליות.

 

ככל שחברה גדלה ומספר המכשירים, היישומים והשירותים המשמשים ברחבי הארגון גדל, נדרשות שכבות אבטחה נוספות:

 

8. אימות דו-גורמי (2FA) או רב-גורמי (MFA).

9. מערכות זיהוי ומניעת חדירה.

10. זיהוי ותגובה של נקודות קצה (EDR).

11. פילוח רשת.

12. הצפנה.

13. מניעת אובדן נתונים.

14. VPNs.

15. ניטור.

16. מודיעין איומים.

17. תוכנית תגובה לאירועים.

ועוד רבים.

 

 

3. עקרון "המינימלי ההכרחי לדעת": Need to Know

עיקרון זה קובע שלמשתמש תהיה גישה רק למידע שתפקידו דורש, ללא קשר לרמת הסיווג הביטחוני שלו או אישורים אחרים. במילים אחרות: משתמש צריך (א) הרשאות וצריך (ב) לדעת או לבצע. ההגדרה "צריך לדעת" היא המחייבת באמת, גם אם באופן כללי, יש לו רמת סיווג גבוהה.

האכיפה מבוצעת על ידי רגולציה או נוהל ולא באמצעות הרשאות בלבד. בטכנולוגיית מידע ניתן ליישם את Need-to-know באמצעות בקרת גישה חובה (MAC)* וכן בקרת גישה לפי שיקול דעת (DAC)* בשילוב עם מערכת בקרה משנית.

לא נותנים הרשאות מעבר לנדרש לעבודה. העיקרון של "צריך לדעת" מדגיש את החשיבות של הענקת הרשאות גישה בהתבסס על הצרכים והאחריות הספציפיים של אנשים בתוך ארגון. הגישה למידע רגיש או למערכות קריטיות צריכה להיות מוגבלת רק למי שנדרש מהם לבצע את המשימות שהוקצו להם. על ידי יישום העיקרון של הרשאות המינימליות ההכרחיות, ארגונים יכולים לצמצם את משטח ההתקפה ולהפחית את הסיכון של גישה לא מורשית או שימוש לרעה. יש לאכוף בקרות גישה הן ברמת המשתמש והן ברמת המערכת, עם בדיקות סדירות כדי להבטיח שההרשאות מתאימות לתפקידים ולתחומי אחריות. מנגנוני ניטור וביקורת יכולים לסייע באיתור כל חריגה מהעיקרון ולאפשר פעולות מתקנות בזמן.

כאשר משתמש משנה תפקיד בעבודה, יש לוודא שה-Need-to-know מותאם באופן מיידי.

 

היבטים של עקרון Need to Know:

 

1) סיווג נתונים: סיווג נתונים על סמך הרגישות והקריטיות שלהם מאפשר לארגונים לקבוע רמות גישה בצורה יעילה יותר. מידע סודי ורגיש צריך להיות נגיש רק לצוות מורשה שדורש ממנו לבצע את תפקידם.

 

2) פילוח נתונים: הפרדת נתונים לתאים או פלחים שונים בהתבסס על רמת הסודיות שלהם עוזרת למנוע גישה לא מורשית או דליפת נתונים. פילוח מבטיח שגם אם תחום אחד נפגע, חשיפת המידע הרגיש מוגבלת.

 

3) ביקורות גישה: ביצוע סקירות גישה תקופתיות חיוני כדי להבטיח שהרשאות הגישה מתאימות לתפקידי העבודה הנוכחיים. ביקורות סדירות עוזרות לזהות חשבונות רדומים או הרשאות גישה מיותרות שיש לבטל.

 

 

 

4. בקרת זרימה: Flow Validation

העיקרון של אימות זרימה נועד להבטיח שלא "יתעסקו" בנתונים או יעשו בהם מניפולציות במהלך המעבר, כולל אימות של שלמות ואבטחת הנתונים בזמן שהם עוברים דרך שלבים או רכיבים שונים של מערכת. ניתן להשיג זאת באמצעות טכניקות הצפנה, כגון חתימות דיגיטליות או קודי אימות הודעות, המספקות בדיקות תקינות ומאמתות את האותנטיות של הנתונים. על ידי הטמעת מנגנוני אימות זרימה, ארגונים יכולים לזהות ולמנוע שינויים לא מורשים, להגן על שלמות הנתונים ולשמור על סודיות המידע הרגיש.

 

היבטים מרכזיים של אימות זרימה:

 

1) בדיקות תקינות הנתונים: יישום בדיקות תקינות הנתונים במהלך העברת הנתונים חיוני כדי להבטיח שהנתונים יישארו ללא שינוי ולא טופלו במהלך המעבר. פונקציות Hash וסיכומי ביקורת משמשים בדרך כלל לאימות שלמות הנתונים.

 

2) חתימות דיגיטליות: חתימות דיגיטליות מספקות מנגנון לאימות האותנטיות ושלמות הנתונים. הם משתמשים באלגוריתמים קריפטוגרפיים כדי להבטיח שהנתונים מקורם במקור ידוע ומהימן ולא שונו במהלך ההעברה.

 

3) פרוטוקולי שידור מאובטחים: שימוש בפרוטוקולי שידור מאובטח, כגון HTTPS, SFTP או IPsec, חיוני להבטחת הסודיות ושלמות הנתונים במהלך השידור. פרוטוקולים אלה מצפינים נתונים, מה שהופך אותם לבלתי קריאים לגורמים לא מורשים.

 

4) העברת קבצים מאובטחת: בעת העברת קבצים בין מערכות או רשתות, יש להשתמש בשיטות העברת קבצים מאובטחות כדי להגן על מידע רגיש מפני יירוט או מניפולציה.

 

אימות זרימה רלוונטי במיוחד בערוצי תקשורת מודרניים, כגון יישומי אינטרנט ושירותים מבוססי אינטרנט. אימות שלמות הנתונים בזמן שהם זורמים בין לקוח לשרת או ממערכת אחת לאחרת חיוני למניעת מניפולציה של נתונים ולהבטחת שהנתונים המתקבלים הם אמיתיים.

 

 

5. אבטחת מידע כתהליך: Security as a Process

אבטחה אינה מאמץ חד פעמי אלא תהליך מתמשך ואיטרטיבי. עקרון האבטחה כתהליך מדגיש את הצורך במעקב, הערכה ושיפור מתמשכים של אמצעי האבטחה. זה כרוך בביסוס גישה שיטתית לניהול סיכוני אבטחה, תגובה לאירועים והתאמה לנופי האיומים המשתנים. תהליך זה כולל פעילויות שונות כגון הערכות פגיעות, בדיקות חדירה, ביקורות אבטחה, תכנון תגובה לאירועים והדרכת עובדים. על ידי התייחסות לאבטחה כתהליך מתמשך, על ידי אימוץ אבטחה כתהליך, ארגונים יכולים ליצור תרבות של שיפור מתמיד וחוסן. האופי הפרואקטיבי של גישה זו מאפשר להם להקדים את האיומים המתפתחים ולהתאים את אמצעי האבטחה שלהם כדי להתמודד עם אתגרים מתעוררים ביעילות.

 

ניהול האבטחה הוא תהליך אשר חייב להתקיים כדי לקיים וליישם בקרות אבטחה נאותות. תהליך ניהול אבטחה יעיל כולל שישה תהליכי משנה: מדיניות, מודעות, גישה, ניטור, תאימות ואסטרטגיה. 

 

ניהול אבטחה מסתמך על מדיניות שתכתיב סטנדרטים ארגוניים ביחס לאבטחה. ללא מדיניות, אף אדם בארגון אינו אחראי לאבטחת מידע או אחראי על כך שלא עשה זאת. מרכיב בסיסי בניהול אבטחה הוא תהליך להפקת מדיניות אבטחה.

 

עם זאת, למדיניות המתקבלת יש ערך רק אם מקיימים אותה. אדם שאינו מודע למדיניות אבטחת מידע, אינו אחראי בהכרח על הפרתה. במקרה של מנהל מערכת שמגדיר את אבטחת המערכת, אי הכרת המדיניות בהחלט מספקת תירוץ להשתמש בשיקול דעת אישי. ניהול אבטחה יעיל מסתמך על תהליך מודעות כדי לייצר אחריות.

 

תהליך המדיניות מכתיב מה יש לעשות כדי לספק רמה מקובלת של ביטחון שהמערכות מאובטחות. מרכיב המודעות מבטיח שאנשים יודעים מה צריך לעשות. כדי להשיג ביטחון שהמדיניות מתבצעת באופן אחיד בכל הארגון, ניהול האבטחה חייב להתייחס גם לאופן מימוש המדיניות. פתרונות הדרכה מתבצעים באמצעות תהליכי גישה וניטור. תהליכי גישה וניטור מהווים את הפעילות התפעולית היומיומית של ניהול האבטחה. הם מספקים הנחיות כיצד להגדיר בצורה מאובטחת מערכות מידע וכיצד לזהות אירוע אבטחה.

 

לאחר זיהוי אירוע אבטחה, תהליך ניהול אבטחה דורש שיטות כדי להבטיח שפגיעות אבטחה ידועות ייסגרו ובעיות אבטחה פתוחות נפתרות. שיטות אלו הן חלק מתהליך ציות ל'תאימות' (Compliance). 

 

ולבסוף, ניהול אבטחה צופה פני עתיד יכלול תהליך אסטרטגיה כדי להבטיח שניהול האבטחה יישאר מעודכן בשינויים סביבת טכנולוגיית המידע שהיא מבקשת לאבטח.

 

תהליך המדיניות

מדיניות מייצרת מסגרת לפיתוח נהלי אבטחה והוראות עבודה מפורטות. זה גם מספק כלי לתקשר איתו תפקידים ואחריות ביחס לאבטחת מידע. מסגרת מדיניות צריכה לפרט את תקני האבטחה המינימליים שיש להחיל על כל מערכות המידע, ותקנים מחמירים יותר למערכות המכילות נתונים רגישים או קנייניים ביותר. מסמך מדיניות אבטחה צריכה להתייחס לדברים הבאים:

 

1. היקף המדיניות, לרבות הסביבה הפיזית, המתקנים, המערכות וכוח האדם עליהם היא חלה.

2. מטרות תהליך ניהול האבטחה ותיאורי תהליכי משנה.

3. אחריות ודיווח על תהליכי משנה בכל רמות הארגון.

4. דרישות מינימום לתצורה מאובטחת של כל המערכות.

5. הגדרת הפרות והשלכות של אי ציות לדרישות תאימות.

6. הצהרת אחריות המשתמש ביחס למידע שאליו מוענקת גישה.

 

מדיניות אבטחה היא מסמך דינמי. העיצוב שלו צריך להיות גמיש כדי לאפשר עדכונים תכופים בהתאם לשינויים בטכנולוגיה ו/או בניהול. פיתוח מדיניות ביטחון אינו פרויקט עם התחלה וסוף. 

 

לכותב המדיניות צריכה להיות אחריות גם לבניית צוות מדיניות בעל ידע הן באבטחה והן בסביבת ההפעלה של מערכות המידע. 

 

על ראש הצוות לשמור על ערוצי תקשורת פתוחים בין צוות המדיניות, צוות ההנהלה שמאשר את הפוליסה, ואלו שעליהם חלה המדיניות.

 

תהליך המודעות

למרות שאנשי אבטחה הם ללא ספק המקור הטוב ביותר למידע בנוגע לאחריות של אדם ביחס לאבטחת מידע, בדרך כלל אין די בכך כדי להסביר את האחריות הזו לכל מי שנדרש להיכנס למסגרת מדיניות אבטחת המידע. יש לקבוע אדם כאיש קשר בכל מחלקה בארגון, ולהלן: 'נאמן אבטחת מידע'. אנשי אבטחה צריכים ליצור תוכנית מודעות לאבטחה שעשויה להיות מיושמת על ידי הנאמנים. תוכנית זו צריכה להיות גמישה, מקיפה, מועברת בבירור ומובנת על ידי הנאמנים.

 

על תכנית המודעות לפרט בצורה ברורה את הפעולות הנדרשות מהעובדים והקבלנים ואת חומרת הפעולות שינקטו בגין אי ציות או הפרה של מדיניות הביטחון. תוכנית המודעות צריכה לטפל בנושאים המרכזיים הבאים:

 

1. הצגת תמיכה ברמה גבוהה.

2. ללמד אנשים כיצד לציית למדיניות.

3. להצביע על הסיכונים העסקיים הנובעים מהפרת המדיניות.

4. להפיץ את המידע לקהל הרחב ביותר שניתן.

5. להקצות אחריות לכל גורם בארגון.

 

תהליך אפקטיבי של מודעות לאבטחה יגרום להנהלה וההנהלה הבכירה למלא תפקיד רשמי בשיפור המודעות לאבטחה על ידי אישור תוכנית המודעות לאבטחה ועל ידי קביעת עדיפויות גבוהות לציות לאבטחה. זה ישולב עם נוהלי גיוס וקבלנות עובדים כדי להבטיח את שלמות הכיסוי.

 

תהליך הגישה למערכות

תהליך גישה אבטחה מסייע להבטיח שהחלטות גישה מתקבלות בצורה מבוקרת, ושמידע הנוגע לגישה מועבר בצורה מאובטחת בין אלה שיש להם צורך בו. תהליך גישה צריך להתייחס לרכיבים הבאים:

 

1. זיהוי הזקוקים לגישה.

2. נהלי הרשאה לגישה למערכת.

3. אימות אוטומטי של אלו שזוהו ומורשים לגישה.

4. הפרדת תפקידים בין הרשאה לאימות.

5. הפרדת סביבות גישה עבור אחריות עבודה ברורה.

 

למרות שמדיניות האבטחה עשויה להכתיב את הפרטים של אופן ניהול הגישה, ההחלטות הנוגעות למי צריכה לקבל גישה למערכות ייצור חייבות להיות בידי מנהלי המחלקות האחראים לתפעול חלק של המערכות בלבד. בארגונים רבים, מחלקת אבטחת מידע מקלה על יצירת ותחזוקה בפועל של גישה, אך היא עשויה להתבצע על ידי כל אחד כל עוד הדבר נעשה בהתאם למדיניות ונשמרת הפרדת תפקידים בין הרשאה לאימות.

 

 

תהליך הניטור

ניטור אבטחה נדרש כדי לזהות גישה לא מורשית למערכת או ניסיונות לגישה לא מורשית. תהליך ניטור אבטחה כולל שלוש פעילויות בסיסיות:

 

1. קביעת תצורה של פרופילי אבטחת מערכת.

2. בדיקת יומני אבטחת מערכת לעיתים קרובות.

3. זיהוי הגורם השורשי להתראות אבטחה תוך שימוש במידע שנגזר משתי הפעילויות הראשונות כדי לגבש פרופילי אבטחת מערכת משמעותיים יותר ויותר.

 

ניטור אבטחה הוא החסכוני ביותר כאשר הוא ממוזג עם תהליכי ניטור אחרים כגון ניטור ביצועים או פעילות. עם זאת, כאשר לא ניתן לקבוע את סיבת השורש להתראת אבטחה או שנקבע כי היא פריצת מחשב, יש לחלוק את האחריות לניטור המערכת עם אבטחת המידע. אבטחת מידע אמורה לסייע להבטיח שכל הדרישות התפעוליות והחוקיות הנדרשות לבלימה של פריצות מתקיימות. אבטחת מידע צריכה גם לעקוב אחר התראות אבטחה לאורך זמן כדי לקבוע אם יש דפוסים.

 

 

תהליך הציות

המידה שבה קיים תהליך ציות פורמלי היא המידה שבה מאמצי ניהול האבטחה יעילים בביסוס רמה אחידה של בקרות אבטחה. מכיוון שפעילות הציות חייבת להיות מופצת בין האחראים לתפעול מאובטח של מערכות מידע, על הנהלת המחלקה לנהל תוך התייחסות למדיניות שנקבעה על ידי אבטחת מידע. עם זאת, יהיו מקרים של אי ציות מסיבות רבות, כולל:

 

1. הארכיטקטורה הטכנית של מערכת אינה תומכת בפונקציית אבטחה נדרשת

2. המשאבים הנדרשים לשמירה על תאימות אינם זמינים

3. אירוע אבטחה חושף פגיעות אבטחה שעדיין לא טופלה במדיניות

4. ביקורות אבטחה שגרתיות או סקירות אבטחה חושפות סיכונים שלא הבחינו בהם בעבר

5. בכל מקרה, מקרה אי הציות חייב להיות:

6. דווח לאבטחת המידע

7. מוקצה לניהול מתאים

8. נתמך בקבלת סיכון עד לפתרון

 

תהליך תאימות האבטחה חייב לעקוב אחר כל בעיות האבטחה הללו כדי להבטיח התקדמות מתמדת לקראת פתרונה.

 

 

תהליך האסטרטגיה

אבטחת שירותי המידע היא שיקוף של איכות שירותי המידע. 

 

מפתחים של מוצרים חדשים חייבים להכיר בחשיבות האסטרטגית של שילוב מנגנוני אבטחה במוצר עצמו. תהליך אסטרטגיית האבטחה צריך לשאוף להביא מומחיות אבטחה לתכנון מערכות לטווח ארוך. תהליך אסטרטגיית האבטחה עשוי להקל על שילוב האבטחה בתכנון המערכת על ידי:

 

1. פיתוח שיטות הערכת סיכונים המכמתות רמות סיכונים תפעוליים במוצרים חדשים.

2. תמיכה תקציבית בשילוב מנגנוני אבטחה בתכנון ובבנייה של ארכיטקטורה.

3. סקירה ובדיקה של תכונות ומוצרי אבטחה חדשים.

 

כדי להקל על פריסה מאובטחת של שירותים חדשים ושל אב טיפוס, התחכום הטכני של מחלקת האבטחה חייב להיות שווה לזה של מפתח השירות או אב הטיפוס החדש. אבטחת מידע חייבת להיות שותף שווה בכל שלב בתכנון השירותים הדורשים שימוש בטכנולוגיה חדשה.

 

תחת עיקרון Security as a process, יבוצעו הפעולות הבאות באופן מתמשך:

 

1) הערכת סיכונים: הערכה והערכה שוטפת של סיכונים ואיומים פוטנציאליים על נכסי המידע והטכנולוגיה של הארגון. זה כרוך בביצוע הערכות סיכונים כדי לזהות נקודות תורפה, להעריך את ההשפעה הפוטנציאלית שלהן ולתעדף אותן על סמך חומרתן. על ידי הבנת נוף הסיכונים, ארגונים יכולים להקצות משאבים וליישם בקרות אבטחה מתאימות כדי לצמצם איומים פוטנציאליים ביעילות.

 

2) ניהול פגיעות: זיהוי וטיפול בפרצות במערכות ובאפליקציות כדי לצמצם את משטח ההתקפה. ניהול פגיעות כולל תהליכים לסריקת מערכות, יישומים ורשתות לאיתור פגיעויות ידועות והחלת תיקונים ועדכונים מיידית כדי לטפל בחולשות אלו. זה כרוך גם במעקב אחר פגיעויות מתעוררות ותגובה מהירה לאיומים של יום אפס.

 

3) תכנון תגובה לאירועים: פיתוח תכנית תגובה מקיפה לאירועים המתארת את הצעדים שיש לנקוט במקרה של פרצת אבטחה או תקרית. תוכניות תגובה לאירועים צריכות לכלול נהלים ברורים לזיהוי, הכלה, מיגור והתאוששות מתקריות אבטחה. תרגילי בדיקה ותרגילי סימולציה קבועים מבטיחים שצוותי תגובה לאירועים ערוכים היטב לטפל בתקריות בעולם האמיתי ביעילות.

 

4) הדרכה למודעות אבטחה: חינוך העובדים לגבי שיטות עבודה מומלצות לאבטחה ואיומים פוטנציאליים הוא חיוני להפחתת טעויות אנוש, שלעתים קרובות מהווה גורם משמעותי בפרצות אבטחה. הכשרה למודעות אבטחה צריכה לכסות נושאים כגון מודעות דיוג, הנדסה חברתית, היגיינת סיסמאות ושימוש בטוח במשאבי החברה.

 

5) ניטור רציף: הטמעת כלי ניטור ורישום כדי לזהות ולהגיב לאירועי אבטחה בזמן אמת. ניטור רציף מאפשר לארגונים לזהות פעילויות חשודות, דפוסים חריגים והפרות אבטחה אפשריות באופן מיידי. צוותי אבטחה יכולים להגיב במהירות כדי לצמצם את השפעת התקריות ולמנוע נזק נוסף.

 

6) ממשל אבטחה: הקמת ממשל אבטחה ברור חיונית להתאמת אבטחת המידע עם היעדים העסקיים של הארגון. ממשל אבטחה כרוך בהגדרת תפקידים ואחריות, קביעת מדיניות ונהלים, והבטחת עמידה בתקנות התעשייה ושיטות העבודה המומלצות. צוות ממשל אבטחה ייעודי מבטיח שמאמצי האבטחה יהיו עקביים ומתואמים בכל הארגון.

 

7) ביקורת אבטחה ותאימות: ביצוע ביקורות אבטחה קבועות מסייע לארגונים להעריך את מצב האבטחה שלהם ולזהות אזורים לשיפור. הביקורות יכולות להיות פנימיות או חיצוניות ולספק תובנות לגבי האפקטיביות של בקרות האבטחה, עמידה במדיניות ועמידה בתקנים ובתקנות בתעשייה.

 

8) שיתוף פעולה ושיתוף מידע: בנוף דיגיטלי מקושר זה לזה, שיתוף מידע ושיתוף פעולה עם ארגונים אחרים ועמיתים לתעשייה יכולים להיות בעלי ערך רב. על ידי שיתוף מודיעין איומים ושיטות עבודה מומלצות, ארגונים יכולים לקבל תובנות חשובות לגבי איומים מתעוררים ולשפר את היכולת הקולקטיבית שלהם להגיב ביעילות לאיומי סייבר.

 

 

6. הפרדת הרשאות וסמכויות: Separation of Duties

עקרון הפרדת התפקידים נועד למנוע ניגודי עניינים ולהפחית את הסיכון להונאה. העיקרון גורס חלוקת אחריות והרשאות בין אנשים שונים כדי להבטיח שלאף אדם אחד אין שליטה מלאה על תהליך אחד שלם או על מערכת קריטית במלואה, באופן המסכן ארגון. על ידי הטמעת בקרות גישה מתאימות והפרדת תפקידים, ארגונים יוצרים בלמים ואיזונים המגבילים את הפוטנציאל לפעולות לא מורשות או פעילויות זדוניות. לדוגמה, למפתח שיש לו גישה לכתיבת קוד לא אמורה להיות גם יכולת לפרוס את הקוד בסביבת ייצור. הפרדת תפקידים משפרת את האחריות, האמינות ואת האבטחה הכוללת של פעילות הארגון. מבחינה טכנולוגית, נכון גם לבחון שילוב חומרות מסוגים / חברות שונים.

 

עקרון הפרדת התפקידים (SoD) מושתת על הרעיון של הפחתת הסיכון לאיומי פנים וגישה בלתי מורשית. זה כרוך בחלוקת משימות ואחריות קריטיות בין אנשים שונים כדי להבטיח שלאף אדם אחד אין שליטה מלאה על פעולות או מידע רגישים.

 

למשל, מי שמאשר תלוש שכר לא יכול להיות מי שגם יכין אותם. ניתן לאכוף הפרדת תפקידים באופן סטטי (על ידי הגדרת תפקידים סותרים, כלומר תפקידים שלא ניתן לבצע על ידי אותו משתמש) או באופן דינמי (על ידי אכיפת הבקרה בזמן הגישה). דוגמה להפרדה דינמית בין תפקידים היא כלל שני האנשים. המשתמש הראשון שיבצע פעולה של שני אנשים יכול להיות כל משתמש מורשה, בעוד שהמשתמש השני יכול להיות כל משתמש מורשה שונה מהראשון. ישנם סוגים שונים של SOD, אחד חשוב הוא SOD מבוסס היסטוריה המווסתים למשל, אותו נושא (תפקיד) לא יכול לגשת לאותו אובייקט במשך מספר משתנה של פעמים.

 

הפרדת תפקידים היא מושג מפתח בבקרה פנימית. יש לאזן הגנה מוגברת מפני הונאה וטעויות עם העלות/המאמץ המוגבר הנדרש.

 

כותרות המשרה בפועל והמבנה הארגוני עשויים להשתנות מאוד מארגון אחד למשנהו, בהתאם לגודל ואופי העסק. בהתאם לכך, הדרגה או ההיררכיה פחות חשובות ממערך הכישורים והיכולות של האנשים המעורבים. עם התפיסה של SoD, ניתן לסווג חובות קריטיות לעסק לארבעה סוגים של פונקציות: הרשאה, משמורת, שמירת רישומים ופיוס. במערכת מושלמת, אף אדם לא צריך לטפל ביותר מסוג אחד של פונקציות.

 

עקרונות

בעיקרון מספר גישות ניתנות לקיימא כפרדיגמות שונות באופן חלקי או לגמרי:

 

1. הפרדה רציפה (עקרון שתי חתימות).

2. הפרדה אישית (כלל שני האנשים / ארבע העיניים, הוא מנגנון בקרה שנועד להשיג רמת אבטחה גבוהה עבור חומרים או פעולות קריטיות במיוחד. לפי כלל זה, גישה ופעולות דורשות נוכחות של שני אנשים מורשים או יותר בכל עת).

3. הפרדה מרחבית (פעולה נפרדת במקומות נפרדים).

4. הפרדה פקטוריאלית (מספר גורמים תורמים להשלמה).

 

יישום במערכות מידע

מקצוע ראיית החשבון השקיע משמעותית בהפרדת תפקידים בגלל הסיכונים המובנים שנצברו במשך מאות שנות עיסוק בחשבונאות.

 

לעומת זאת, תאגידים רבים בארצות הברית גילו ששיעור גבוה באופן בלתי צפוי מבעיות הבקרה הפנימיות שלהם ב-Sarbanes-Oxley הגיע מ-IT. הפרדת תפקידים משמשת בדרך כלל בארגוני IT גדולים, כך שאף אדם אחד אינו מסוגל להציג קוד או נתונים מזויפים או זדוניים ללא זיהוי. בקרת גישה מבוססת תפקידים משמשת לעתים קרובות במערכות IT שבהן נדרש SoD. לאחרונה, ככל שמספר התפקידים גדל בארגון צומח, נעשה שימוש במודל בקרת גישה היברידי עם בקרת גישה מבוססת תכונות כדי לפתור את המגבלות של מקבילו מבוסס התפקידים.

 

שליטה קפדנית על שינויים בתוכנה ובנתונים תחייב שאותו אדם או ארגונים יבצעו

רק אחד מהתפקידים הבאים:

 

1. זיהוי דרישה (או בקשת שינוי); לְמָשָׁל איש עסקים

2. אישור ואישור; לְמָשָׁל מועצת ממשל IT או מנהל

3. עיצוב ופיתוח; לְמָשָׁל מפתח

4. סקירה, בדיקה ואישור; לְמָשָׁל מפתח או אדריכל אחר.

5. יישום בייצור; בדרך כלל שינוי תוכנה או מנהל מערכת.

זו אינה הצגה ממצה של מחזור החיים של פיתוח התוכנה, אלא רשימה של פונקציות פיתוח קריטיות החלות על הפרדת תפקידים.

 

כדי ליישם בהצלחה הפרדת תפקידים במערכות מידע, יש לטפל במספר חששות:

 

1. התהליך המשמש להבטחת זכויות ההרשאה של אדם במערכת תואם את תפקידו בארגון.

2. שיטת האימות בשימוש כגון ידיעת סיסמה, החזקת חפץ (מפתח, אסימון) או מאפיין ביומטרי.

3. עקיפת זכויות במערכת יכולה להתרחש באמצעות גישה לניהול מסד נתונים, גישה לניהול משתמשים, כלים המספקים גישה מהדלת האחורית או חשבונות משתמש מותקנים של ספקים. ייתכן שיידרשו בקרות ספציפיות כגון סקירה של יומן פעילות כדי לטפל בחשש הספציפי הזה.

 

יתרונות הפרדת תפקידים / סמכויות:

1. צמצום איומי הפנים: על ידי הגבלת הגישה של אדם רק למידע ולמשאבים הדרושים לו לביצוע תפקידיו הספציפיים, הסיכון לאיומי פנים מופחת באופן משמעותי. פעולות זדוניות או טעויות לא מכוונות של אדם אחד נוטות פחות לגרום לנזק משמעותי כאשר משימות קריטיות מחולקות בין מספר צוותים.

2. אחריות משופרת: הפרדת תפקידים מגבירה אחריות בתוך ארגון. כאשר מספר אנשים מעורבים בתהליך, קל יותר לזהות את מקור השגיאות או הפרות האבטחה.

3. זיהוי משופר של פעילויות זדוניות: במקרים שבהם מעורבת כוונת זדון, הפרדת תפקידים יכולה לסייע באיתור התנהגות חריגה או גישה לא מורשית. כאשר אנשים מוגבלים לתפקידים המיועדים להם, כל ניסיון לחרוג מהגבולות הללו עלול להעלות דגלים אדומים.

יישום הפרדת תפקידים מצריך הבנה מעמיקה של תהליכי הארגון ותפקידי עובדיו. ניתוח מדוקדק של אחריות התפקיד מבטיח שחלוקת התפקידים מובנית היטב ומתיישרת 

 

 

7. כשל מבוקר: Controlled Failure

העיקרון של כשל מבוקר מכיר בכך שאירועי אבטחה וכשלים הם בלתי נמנעים. במקום להתמקד רק במניעה, ארגונים צריכים לאמץ גישה יזומה כדי להתכונן ולהפחית את ההשפעה של אירועי אבטחה. על ידי ביצוע בדיקות וסימולציות מבוקרות, ארגונים יכולים לזהות נקודות תורפה, להעריך את השפעתן ולפתח תוכניות תגובה. תרגילי כישלון מבוקרים, כגון בדיקות חדירה וצוות אדום, מאפשרים לארגונים להעריך את מצב האבטחה שלהם, לחשוף חולשות וליישם אמצעי תיקון מתאימים. באמצעות תרגילים אלה, ארגונים יכולים לחזק את יכולות התגובה לאירועים שלהם, לחדד את בקרות האבטחה ולטפח תרבות של שיפור מתמיד.

 

עקרון הכישלון מבוקר מדגיש את החשיבות של למידה מטעויות העבר והיערכות לפריצות אבטחה אפשריות. במקום לחשוש מכישלון, ארגונים צריכים לאמץ זאת כהזדמנות לזהות חולשות באמצעי האבטחה שלהם ולשפר את החוסן הכללי שלהם.

 

היבטים של עיקרון כשל מבוקר:

1) בדיקת חדירה: בדיקת חדירה, המכונה גם פריצה אתית, כוללת הדמיה של התקפות בעולם האמיתי על מערכות, רשתות או יישומים של הארגון. האקרים אתיים מנסים לנצל נקודות תורפה כדי להעריך את האפקטיביות של בקרות האבטחה הקיימות. תוצאות הבדיקות הללו מספקות תובנות חשובות לגבי חולשות פוטנציאליות שיש לטפל בהן.

 

2) תרגילי צוות אדום: תרגילי צוות אדום כוללים יצירת צוות של מומחים פנימיים או חיצוניים הפועלים כיריבים כדי לדמות התקפות סייבר מתוחכמות. תרגילים אלו מאתגרים את יכולות ההגנה של הארגון, ומאפשרים לו לחשוף נקודות עיוורות ולשפר את יכולות התגובה לאירועים.

 

3) תרגילים שולחניים: תרגילים שולחניים כוללים דיונים מבוססי תרחישים בין בעלי עניין כדי לדמות אירוע אבטחת סייבר. המשתתפים מנתחים את האירוע ההיפותטי ומפתחים תגובות לבדיקת האפקטיביות של תוכנית התגובה לאירועים של הארגון.

 

הערך של כישלון מבוקר טמון ביכולתו לזהות נקודות תורפה וחולשות לפני שהם מנוצלים על ידי גורמים זדוניים. זה מאפשר לארגונים לחזק את אמצעי האבטחה שלהם, לשפר את פרוטוקולי התגובה לאירועים ולבנות עמדת אבטחה פרואקטיבית.