סקר סיכונים אבטחת מידע

מהו סקר אבטחת מידע? 

בעידן הדיגיטלי, אבטחת המידע היא מרכיב קריטי בהגנה על נכסי הארגון. סקר סיכונים אבטחת מידע הוא תהליך מקיף שנועד למפות, לנתח ולזהות נקודות תורפה במערכות הארגוניות – פיזיות ודיגיטליות – כדי למנוע זליגת מידע ולחזק את ההגנה מפני איומים.
 

סוגי סקרי אבטחת מידע
 

קיימים שני סוגים עיקריים של סקרי אבטחת מידע:
 

סקר אבטחת מידע פיזי (במ"מ – ביטחון מידע בסביבת העבודה)
סקר זה מתמקד בהגנה על מידע שיוצא ממערכות המחשוב ומתורגם למסמכים פיזיים, כגון מסמכים מודפסים, פקסים וקבצים המועברים באמצעים שונים. מטרתו לוודא כי תהליכי העבודה והציוד הארגוני אינם חושפים את המידע לגורמים בלתי מורשים.
 

סקר אבטחת מידע לוגי (IT)
סקר סיכוני סייבר המתמקד בהגנה על מערכות המידע האלקטרוניות – תשתיות חומרה ותוכנה, כולל שרתים, ארונות תקשורת, ציוד קצה כגון דיסק-און-קי, מדפסות, מקלדות, וממשקי גישה רגישים. סקר זה נועד לזהות ולסגור פרצות אבטחה שעלולות להוות סיכון לארגון.

מה זה סקר סיכונים? מהי חשיבותו? לחץ כאן
מבדקי חדירה - כך נחסום פרצות לארגון

מי צריך סקר סיכונים באבטחת מידע?
 

בעידן שבו המידע הוא הנכס החשוב ביותר של כל ארגון, אבטחתו היא לא רק חובה – אלא קריטית להמשך הפעילות העסקית. סקר סיכונים מיועד לכל חברה או ארגון שמנהל כמויות גדולות של מידע רגיש, בין אם מדובר ברשומות פיזיות (ניירת) או במערכות מידע ממוחשבות.
 

ארגונים הזקוקים לסקר סיכונים אבטחת מידע הם כאלה שהמידע שבידם עשוי להוות יעד לגורמים עוינים, מתחרים, עובדים או שותפים חיצוניים. חשיפה בלתי מבוקרת של מידע כזה עלולה לגרום לנזקים עסקיים, תדמיתיים וכלכליים – שלעיתים אינם ניתנים לתיקון.
 

מידע רגיש יכול לכלול נתונים אישיים, רפואיים, כספיים, תפעוליים, חוזיים, מסמכים משפטיים, הסכמים עסקיים ועוד. ככל שמשקלו העסקי של המידע גבוה יותר, כך גדלה החשיבות של הגנה עליו באמצעות סקר סיכוני סייבר מקיף.

 

למה כל ארגון גדול חייב לבצע סקר סיכונים באבטחת מידע?
 

1. מיפוי חשיפות אבטחת מידע
סקר סיכונים באבטחת מידע מספק לארגון תמונת מצב ברורה בנוגע לרמת החשיפה שלו. הוא מאפשר להבין כיצד מידע רגיש זמין לעובדים, מנהלים וגורמים חיצוניים, ולזהות נקודות תורפה שעלולות להוות סיכון ממשי.
 

2. הגנה על עתיד העסק
באמצעות סקר סיכונים אבטחת מידע, ההנהלה הבכירה מקבלת תובנות קריטיות על האיומים שמרחפים מעל הארגון. ניתן לזהות אילו סיכונים עלולים לפגוע בפעילותו השוטפת, באמינותו ובמוניטין שלו – ולנקוט פעולות מיידיות לצמצום החשיפה.
 

3. עמידה בתקנים ורגולציות
חוקים ותקנות בינלאומיים מחייבים עסקים בתחומים שונים להגן על המידע שברשותם. סקר סיכונים מאפשר לארגון לעמוד בדרישות הרגולטוריות, לצמצם חשיפה לתביעות משפטיות ולחזק את אמון הלקוחות והמשקיעים.
 

4. מניעת נזק כלכלי ואובדן נתונים
דליפת מידע או מתקפת סייבר עלולות לגרום להפסדים כספיים משמעותיים, קנסות רגולטוריים ופגיעה תדמיתית קשה. סקר סיכונים מסייע לארגון לאתר את החולשות הקיימות ולנקוט צעדים פרואקטיביים שיחסכו נזקים עתידיים.
 

האם הארגון שלך מוגן מפני איומים?
אל תחכה למשבר – הזמן עוד היום סקר סיכונים סייבר וקבל שליטה מלאה על הנכסים הקריטיים שלך.

 

כיצד מתבצע סקר סיכונים אבטחת מידע?
 

שלב מקדים -

שלב שבו למעשה נעשות הכנות מקדימות טרם התייצבות הסוקרים בארגון, כאשר בשלב זה נעשות פעולות רבות ומגוונות דוגמת:
1.    חשיפה לעץ מבנה של הארגון/מנהליו וגורמי תמך חיצוניים להם הוגדרה/קיימת אפשרות ונגישות  מתוקף תפקידם להיחשף למידע רגיש.
2.    חשיפה לאירועי עבר בארגון בהם היה חשש לזליגת מידע.
3.    נהלים ותהליכים שקיימים בארגון.
4.    וכן רשימה ארוכה מאוד של נושאים שעשויים לשפוך אור עוד טרם דרכה רגלם של הסוקרים בארגון.

שלב ביניים - 

בשלב זה של סקר סיכוני סייבר מתקיימות פגישות עם בעלי עניין/אינטרס בארגון ויש ברשותם מידע רגיש שעשוי להסב נזקים בלתי הפיכים לארגון ועובדיו, בשלב זה מתקיימים תהליכים  אשר כוללים ראיונות עם בעלי תפקידים שנבחרו להיות מוקדי מידע למימוש הסקר וכן חשיפה לדוחות/נהלים/פרוצדורות וכד' לצד תצפיות גלויות וסמויות אשר משלימות את מרבית פסיפס המידע הנדרש לביצוע סקר אבטחת מידע. המידע הנוסף נאסף במסגרת ניתוח כירורגי של הארגון.
 

נושאים עיקריים שנבחנים במסגרת סקר ביטחון מידע:
 

מעגל I - אופן בקרת כניסה /ליווי אורחים למחלקות רגישות של הארגון. בחינתם של תהליכי מידור אלקטרונים/אחרים בעת הצורך לעבור מקומה לקומה/ומעבר ממחלקה א' למחלקה ב' מאזור אחסנה, פריקה, ליקוט והעמסה, אזור שמוגדר מחוץ לתחום, בעל קוד ביטחון ע"י חב' שילוח/רשויות נוספות.
מעגל II - אופן השמירה על מידע רגיש בסביבת העבודה עתירת מידע וידע  (משרדים אישיים, חללים פתוחים, חדרי ישיבות).
מעגל III - שמירה על מידע מחוץ לארגון : עבודה מבתי עובדים. קבלת/העברת מידע עם יועצים, ספקים אסטרטגים.
מעגל IV - שמירה על מידע רגיש במסגרת השתתפות בכנסים/נסיעות בארץ/חו"ל וכד'.
מעגל V - תהליכי ניטור ובקרה על 4  המעגלים המוצעים מעלה.

נושאים עיקריים שנבחנים במסגרת סקר ביטחון מידע פיזי/לוגי:

מעגל I - בחינת ארכיטקטורת רשת אופטימלית.
מעגל II - ניתוח נושא ההקשחה של מחשבים ומערכות.
מעגל III - גיבוי / התאוששות מווירוסים.
מעגל IV - הצפנה, אישור חיבור מרחוק, שרתי ביניים וכד'.
מעגל V - תהליכי ניטור ובקרה על 4  המעגלים המוצעים מעלה.

שלב סופי - מסירת הסקר

מזמין הסקרים בארגון מקבל מסמך מקצועי אשר עיבד ותרגם לתוצרי איכות את כלל המידע אשר נאסף ע"י מבצעי הסקרים. לאחר שהושלם שלב ביניים נאסף המידע הגולמי ומעובד למסמך מקצועי מפורט שעיקרו: 

1 - הצגת תמונת מצב אובייקטיבית על בסיס ממצאי הסקר.
2 - הצבעה על כשלים והמלצות לפתרון.
3 - הצגת מסגרת כללית למימוש המלצות הסקר שתכלול משאבים (הערכה), לוחות זמנים ומתכונת מוצעת.

לסיכום -

אפשר וניתן לבצע רק אחד מן הסקרים הללו ובלבד שלסקר פיזי לא תהיינה השלכות על פעילות מערך המידע הלוגי מחד ומערך אבטחת מידע פיזי במ"מ מאידך.

ביקורת אבטחת מידע - כיצד היא מתבצעת?
מהימנות עובדים - כך תמנע גניבת ידע/סודות