מבנה סקר סיכונים בארגון

מהו המבנה הכללי של סקר סיכונים?

רקע

סקר סיכונים בארגון או בשמו "הערכת סיכונים מבוקרת", הינו תהליך יסודי של בדיקה, זיהוי והערכה של כלל הסיכונים אליהם חשופה החברה מבחינת ביטחון פיזי, ביטחון מידע והיערכות למצבי חירום (שעלולים לגרום לכשל תפקודי או הפסקת פעילות שוטפת בחברה). הסיכונים יכולים לנבוע בתוך ומחוץ לחברה ע"י גורמים עוינים ומטרת הסקר היא לאפשר ניהול סיכונים בארגון בצורה מיטבית.

מטרת הסקר
 

סקר סיכונים נערך על מנת לאתר ולנהל את  הסיכונים להם חשוף הארגון מתוך מטרה להקטין או לבטל את הסיכונים האפשריים כגון דליפת מידע, גניבת מידע, פגיעה בנתונים ופגיעה בתהליכים בעלי ערך לארגון. הסקר קובע עד כמה עלול להינזק הארגון בזמן אירוע חירום ולקבוע מהו שיעור ההפסד שהארגון יכול לעמוד בו במקרה של נזק רציני. 

2 סוגים של סקרים

קיימים שני סוגי סקרי סיכונים: סקרים העוסקים בנזק פיזי בסביבת העבודה וסקרים העוסקים בנזק במערכות מידע ממוחשבות - מה שנקרא סקר סיכונים אבטחת מידע. סקרי הסיכונים מיועדים למנהלי אבטחת מידע, למנהלי כספים בחברות היי טק, לתעשיות ביוטק, תעשיות מזון, משרדי פרסום, חברות ממשלתיות ועוד. ההמלצה לכל ארגון היא לקיים גם סקר פיזי וגם סקר אבטחת מידע, אשר תומכים אחד בשני ומחזקים את יכולותיו של הארגון להתמודד עם משבר בכל סדר גודל.

סקר אבטחה כנגד טרור - מידע נוסף

ביטוח סיכוני סייבר - מגדרים את הסיכונים

ארבעת השלבים המרכזיים בביצוע סקר סיכונים:

שלב ראשון - איסוף המידע המקדים

בשלב זה נאסף מידע רלוונטי מהחברה, בהתאם לרשימת נושאים מוגדרת מראש.

ביטחון פיזי – מידע על תכניות המקום ונהלי אבטחה קיימים.  
אבטחת מידע – מבנה ארגוני, פרופיל עיסוק, רשימת בעלי תפקידים, תחומי אחריות של מנהלי מערכות מידע.

שלב שני - עיבוד וניתוח המידע

לאחר איסוף הנתונים וקיום פגישות עם בעלי התפקידים הרלוונטיים, מבוצע ניתוח סיכונים הכולל:  

בסקר אבטחת מידע פיזי (סביבת עבודה)

1. מיפוי נתונים וסיכונים אפשריים – דליפת מידע, גניבה, פגיעה בתהליכים עסקיים.  
2. בחינת נהלי אבטחה והתאמתם לצרכים הארגוניים.  
3. שמירה על מידע מחוץ לארגון (עבודה מהבית, שיתופי פעולה עם גורמים חיצוניים).  
4. חשיפה של מידע במסגרת כנסים, תערוכות ואירועים מקצועיים.  
5. היבט אנושי: בדיקות מהימנות, הגדרת שותפי סוד ותהליכי סיווג מידע.  
6. ניטור ובקרה של כל שלבי האבטחה.

בסקר אבטחת מידע (סייבר)  

1. בחינת ארכיטקטורת רשת, תשתיות שרתים ואבטחת תקשורת.  
2. מבדקי חדירה (פנימי וחיצוני), ניתוח אבטחת חומות אש (firewall audit), בדיקת עמדות קצה וניידים, סקירת ניהול משתמשים והרשאות.  
3. מערכות גיבוי ושחזור.  
4. הצפנה, חיבורי גישה מרחוק, שרתי ביניים וניהול בסיסי נתונים.  
5. אבטחת סביבה וירטואלית, מובייל ורשתות אלחוטיות.

 

שלב שלישי - הצגת תוצרים

בשלב זה מוצגת מסגרת ליישום ההמלצות, כולל הקצאת משאבים, לוחות זמנים ודרכי יישום. הדו"ח מספק תמונת מצב אובייקטיבית המתייחסת לנקודות הבאות:

1. הנכסים הקריטיים של החברה החשופים לפגיעה.  
2. רמת החשיפה והסיכונים הקיימים.  
3. מידת האפקטיביות של מערכי האבטחה.  
4. פתרונות אבטחת מידע נדרשים והדחיפות ביישומם.  
5. אפשרויות להפחתת עלויות אבטחה.

שלב רביעי - המלצות ליישום

עבור סקר ביטחון מידע פיזי:

- מניעת ריגול עסקי.  
- אבטחת סביבת עבודה (משרדים, חללים פתוחים).  
- ניהול ניירת (אחסון, גריסה, תהליכי אבטחה).  
- הסכמי סודיות עם שותפים וספקים אסטרטגיים.  
- עדכון וטיוב נהלי אבטחה קיימים.
 

עבור סקר אבטחת מערכות מידע:

- הקשחת מערכות ומחשבים.  
- ניהול קשרי תקשורת מינימליים ובטוחים מול האינטרנט.  
- אסטרטגיות יתירות, גיבוי והתאוששות מאסון או מתקפת סייבר.  
- הצפנה, חיבורי גישה מרחוק, שרתי ביניים וניהול הרשאות.

- ועוד.

ניהול מצבי חירום - דגשים חשובים