סקר סיכוני סייבר

מה סקר סיכונים בוחן?

מתחילים מהשירותים שהארגון צריך להמשיך לספק ומהמידע שעליו הוא נשען. ממפים מערכות, ספקים, תפקידים וזרימות מידע, ובוחנים פגיעה אפשרית בסודיות, בשלמות ובזמינות. מערכת פנימית שאינה חשופה לאינטרנט יכולה להיות קריטית אם אין חלופה להפעלתה. גם תהליך ידני עשוי ליצור סיכון כאשר מידע עובר בין אנשים ללא בקרה. היקף טוב מציין מה נכלל, מה נשאר בחוץ ומה רמת הפירוט. כך אפשר לפרש את המסקנות בלי להניח שכל מערכת בארגון נבדקה לעומק.

תרחיש סיכון במקום רשימת חולשות

חולשה היא תנאי שיכול לאפשר פגיעה; סיכון מחבר אותה לאירוע ולהשפעה. לדוגמה, הרשאות עודפות, חשבון שנפרץ וגישה למידע לקוחות יכולים להיכלל בתרחיש אחד. תיאור ברור מציין מה עלול לקרות, מה מאפשר זאת ואיזה תהליך עסקי יושפע. מאגר ממצאים טכניים יכול לתמוך בסקר, אך אין להעביר אליו ציונים באופן אוטומטי. חומרה טכנית והשלכה עסקית הן שאלות קשורות אך שונות. כשאין מידע מספיק, מתעדים הנחה או פער ידע ומגדירים כיצד לברר אותו.

הערכת הסתברות והשפעה

שיטת הדירוג צריכה להסביר את הקריטריונים ואת המקור למידע. אפשר להשתמש בסולם איכותני כאשר אין נתונים אמינים לחישוב כספי, בתנאי שההגדרות עקביות. חשיפה, יכולת ניצול, בקרות וחשיבות הנכס משפיעות על ההערכה. אין להציג מספר מדויק כאילו הוא תחזית מבוססת אם מדובר בהתרשמות מקצועית. כדאי לבחון תרחישים עם בעלי התהליך ולציין מה עשוי לשנות את הציון. ההסבר מאפשר להנהלה להשוות בין סיכונים ולהבין למה נדרשת פעולה, גם כאשר שני סעיפים קיבלו אותו דירוג.

בקרות קיימות וסיכון שיורי

בוחנים לא רק אילו מוצרים נרכשו, אלא מה פועל בפועל. גיבוי שאינו נבדק בשחזור אינו מספק אותה ודאות כמו תהליך שחזור שנבחן. מערכת ניטור ללא גורם שמטפל בהתראות משאירה פער תפעולי. מתעדים את הבקרות הקיימות ואת בסיס ההערכה ליעילותן, ואז מסבירים איזה סיכון נשאר. יש להבחין בין סיכון לפני טיפול לבין סיכון שיורי, ולהימנע מספירה כפולה של אותה בקרה. כאשר היעילות לא אומתה, מציינים זאת וממליצים על בדיקה מתאימה במקום להניח שההגנה מלאה.

מפת סיכונים ותוכנית טיפול

לכל סיכון מגדירים בעלים עסקי, חלופות טיפול, תלות ומועד בחינה. טיפול יכול לכלול צמצום, הימנעות, העברה או קבלה מוסמכת, בהתאם להקשר. הביטוח או הספק אינם מוחקים אוטומטית אחריות תפעולית. תוכנית טובה מציגה פעולות שיש להן השפעה ברורה על התרחיש, כגון הקטנת גישה, יצירת חלופה או שיפור זיהוי. היא מבחינה בין פעולה מיידית לבין שינוי מבני. כדאי להתחיל גם ממשימות רוחב שמטפלות בכמה סיכונים, בתנאי שאפשר להראות את הקשר ולהגדיר מדד להשלמתן.

מה מקבלים ומתי מעדכנים?

תוצרים אפשריים כוללים מרשם סיכונים, תקציר הנהלה, הנחות ומגבלות, המלצות ותוכנית מעקב. יש להסכים מראש על רמת הפירוט ועל דרך הצגת מידע רגיש. הסקר הוא תמונת מצב, ולכן שינוי משמעותי בשירות, בספק או בארכיטקטורה עשוי לדרוש עדכון. גם אירוע או ממצא חדש יכולים לשנות את ההערכה. פגישה תקופתית עם בעלי הסיכונים מסייעת לבדוק אם משימות הושלמו ואם הפעילות השתנתה. תיעוד ההחלטות שומר על רציפות גם כאשר האחראי התחלף.

מה להכין לשיחת תיחום?

כדאי להכין תיאור של השירותים והמערכות המרכזיות, אנשי קשר, דרישות לקוחות ומועדי יעד. מסמכים וממצאים קודמים יכולים לסייע, אך אין צורך לשלוח סיסמאות, מידע לקוחות או פרטי מערכת רגישים בפנייה הראשונית. לאחר הגדרת ההיקף מסכימים על ערוצי העברה והרשאות לפי צורך. חשוב לזהות מי מאשר החלטות ומי מסוגל לבצע שינויים, כדי שתוכנית העבודה תתאים לזמינות ולמשאבים של הארגון.

מהתוצר לתוכנית שאפשר לתחזק

לכל פעולה מגדירים אחראי, תלות, מועד ותנאי סגירה. מבחינים בין מסמך שנכתב לבין שינוי שהוטמע ונבדק. אם אי אפשר להשלים פעולה בזמן, מתעדים את הסיבה ואת ההחלטה לגבי הסיכון שנותר. בישיבות מעקב בוחנים גם שינוי בפעילות, ולא רק אחוז השלמת משימות. בסיום הליווי מסדירים מקום לשמירת התוצרים, העברת ידע והמשך עדכון. המטרה היא שהארגון יוכל להשתמש בהחלטות גם לאחר סיום הפרויקט.

תחומים משלימים

• ליווי לתקן ISO 27001
• ביקורת אבטחת מידע
• יועץ אבטחת מידע – תפקיד והיקף
• ייעוץ לפיתוח מאובטח

שאלות נפוצות

נגדיר יחד תוכנית שמתאימה לארגון

לתמונה הרחבה עברו אל ייעוץ אבטחת מידע של ExploiX. צרו קשר לשיחת תיחום עם תיאור קצר של המטרה והפעילות.