איך להגן על העסק ממתקפת סייבר

יום ב', 19 בינואר 2015

 

מאת: שלומי אדר, מומחה לביטחון ואבטחת מידע ופז יצחקי-וינברגר, עו"ד

 

כל עסק היום הוא דיגיטלי,  וזה למעשה ה"לב" של העסק. כל המידע והפעולות אודות הפעילות השוטפת, מכירות, מכרזים, ספקים, שיווק ופרסום, הנהלת חשבונות, שכר, תכניות אסטרטגיות, פעולות עתידיות ועוד נעשות באמצעות המחשב. לכן כל עסק צריך לפעול כדי לצמצם איומים ולהיות מוכן להתמודד עם מתקפת סייבר אפשרית. יש פעולות הכרחיות שבאמצעותן ניתן להתמודד מול איומים חיצונים ופנימיים בעלויות נמוכות יחסית, לקבוע מדיניות ברורה מול העובדים ולפעול לפי מספר כללים פשוטים. המדריך המלא!

·         הערכת סיכונים- בפני כל עסק ניצבת מפת איומים שונה. חשוב לדעת מהם סוגי האיומים הספציפיים העשויים להוות איום על העסק שלך, זהו מהלך ראשוני שחשוב להתוויית מה נדרש לעסק שלך

·         אחסון אתר אצל ספק גדול ומוכר– רצוי לאחסן את האתר  על שרת המצוי אצל ספק אמין ואיכותי. לדוגמא - מייקרוסופט או אמזון. פתרון זה מתאים לעסק שלא מעסיק איש אבטחת מידע קבוע ולא יכול להשקיע משאבים ניכרים באבטחת מידע. חברות אלו גם מבצעות את כל הבדיקות הנדרשות ועורכות בקרה באופן קבוע על השרתים והתשתיות שלהן. מומלץ גם לבדוק מראש את רמת הזמינות של האתר, התחייבות לגיבויים וטיפול בנזקים במידת הצורך הכל במסגרת הסכם SLAService Level Agreement. כך תדעו שיש מי שמטפל בכם בעת הצורך.

·         שימוש בתשתיות פרטיות- ככל שרוב התשתיות של האתר הן פרטיות כך ניתן להיות יותר בשליטה להתמגן מאיומים אפשריים. אופציה זו גם מונעת את האפשרות שעוד אתרים נמצאים ביחד על אותו שרת, מרבית העסקים הולכים על פתרון שהוא Sharedשהוא זול יותר אך חשוף משמעותית הרבה יותר להתקפות סייבר ואיומי אבטחת מידע, זה בדיוק כמו לחלוק משרד עם 20 עסקים אחרים לא מוכרים לך שלכל אחד יש את המפתחות למשרד ואתה מאחסן בו חומר רגיש שלך...

·         שימוש במובייל- זהו איום פנימי. כל התחברות עם מכשיר מובייל למערכות העסק יוצר ריבוי גדול יותר של איומים. יש המון סוגים של ניידים ועל כל אחד יש אפליקציות מותקנות, כל אלו עלולים להגדיל את הסיכוי לפריצת סייבר. קיימים מגוון פתרונות אבטחת מידע ייעודים לתחום המובייל וצריך לתת לתחום זה דגש מיוחד ועצמאי.

·         תחזוקה שוטפת -  של ציוד ותוכנות כדי ליצור סיכול ומניעה מפני איומים ומתקפות אפשריות, מדובר בפעולה חשובה ביותר – לעתים יש לארגון את כל האמצעים הדרושים אבל הזנחה או חוסר תשומת לב לתחזוקה שוטפת הופכת אותו לחשוף לאיומים

·         ביקורת– אחת לתקופה מומלץ לבצע ביקורת באופן שוטף כדי לבחון שאכן המערכות מתפקדות, תקינות ופועלות.

·         מבדקי חדירה- כדאי להעסיק אדם חיצוני לארגון שישמש כביכול כהאקר על מנת שיבדוק איומים חיצוניים ופנימיים פוטנציאליים. כלומר לבקש ממנו לפרוץ לאתר של העסק ובאמצעות כך לבדוק היכן הנקודות הרגישות. לאחר הבדיקה יתקבל דו"ח הכולל המלצות לפעולה.

·         מומחי IT- הסטנדרט המקובל היום הוא להעסיק איש ITביחס של 1:8 לכל עובד בארגון, מתוך מטרה שתפקידו יהיה לעסוק בנושא אבטחת מידע, בקרה וניטור ופרויקטים תשתיתיים ולא רק בטיפול בשוטף, בתחזוקה יומיומית, בתקלות וב-"כיבוי שריפות"

·         עמידה בתקנים ורגולציה- לחברות המנהלות אתרי סחר יש תקנים מוגדרים וברורים לשימוש בכרטיסי אשראי. כל עסק כזה צריך לבדוק את המדיניות והרגולציה ולפעול לפיה. בסקטורים שונים יש רגולציה שונה ויש להקפיד לעמוד לכל הפחות בתקנים הקבועים ואף יותר מכך במידת האפשר.

·         אחריות אישית- הנהלת החברה צריכה לוודא כל הזמן שאין פתח לביצוע עברות פנימיות שעלולות לפגוע בחברה ובעובדיה. בנוסף, כאשר יש שיתוף פעולה עסקי בין חברות שהתחייבו לפעול במשותף יש אחריות ורגישות יתרה למידע של לקוחות ולכן צריך לפעול למניעת עבירות פנימיות שעלולות להזיק לחברות השונות. דירקטורים ומנהלים חשופים לסנקציות קשות ביותר ולכן חשוב אף מפן זה לוודא כי הארגון מבצע את כל שהוא נדרש לו, נושא התקפות הסייבר הוא קריטי אף מפן זה.

·         תרבות סייבר ארגונית-  כל עסק צריך להטמיע תרבות של התנהגות סייבר בארגון ולהתייחס לביטחון מידע כערך עליון בארגון. לכל עובד בארגון יש מידע רב ברשותו גם אם לא מספיק מודע לו. כדאי להגדיר מדיניות ברורה בעת שימוש באאוט לוק, כניסה למיילים לא מוכרים אשר עלולים להכיל וירוסים שונים, נהלי שימוש ב- CD  ודיסק און קי, שימוש במערכות מחשוב ונהלי עבודה בכלל

·         שימוש ברשתות בחברתיות במהלך עבודה- כחלק מהגדרת מדיניות כדאי להתייחס גם לשימוש ברשתות החברתיות. המעורבות ברשת חושפת מידע רב מבלי לדעת. באמצעות העלאת תמונות, פוסטים וסרטונים עלולים העובדים לחשוף מידע רגיש על החברה. מומלץ להגדיר הרשאות לכל עובד בהתאם לתפקידו. ברכישת ציוד סטנדרטי היום אפשר להגדיר חסימות והרשאות לאתרים מסוימים ולהגדיר מה מותר ומה אסור.

·         הדרכות עובדים- מומלץ מעת לעת לערוך הדרכות עובדים כדי לעורר מודעות למתקפות סייבר חיצוניות ופנימיות.

·         "שירותי ניקיון"- רכישת שירות חיצוני מבעוד מועד- במידה וקרתה מתקפת סייבר על העסק כדאי להזמין אנשי מקצוע כדי שיעשו ניקוי יסודי, ישחזרו פעולות ויחזירו את המצב לקדמותו. זה שירות שכדאי לקנות מראש כדי לטפל במתקפה במהירות מרבית.  יש חברות המספקות את השירות הזה ללא תשלום בזמן רכישת האנטי וירוס למשל לארגונים בינוניים ו/או גדולים, כדאי לבדוק בזמן הרכישה אילו שירותים נוספים הם מספקים במידה ותהיה תקרית סייבר. לרוב שירותים אלה ניתנים ללא תשלום נוסף כיוון שהחברות  מתחייבות שהאנטי וירוס שלהן איכותי ביותר. מדובר בשירות CERTComputer Emergency Response Team חיצוני לארגון.