אבטחת מידע – כך מחזקים את החוסן הארגוני

מיפוי סיכונים לפני בחירת פתרונות

כל ארגון חשוף לתרחישים שונים. עסק שמפעיל מוקד שירות תלוי בזמינות מערכות התקשורת, משרד מקצועי מחזיק מסמכי לקוחות רגישים, וחברה קמעונאית זקוקה להמשכיות של מערכות המכירה והסליקה. בדיקת הסיכונים צריכה להתייחס לסבירות האירוע, להיקף הנזק האפשרי וליכולת להתאושש ממנו.

גישה מסודרת כוללת כמה יכולות משלימות: זיהוי נכסים וסיכונים, הפעלת אמצעי הגנה, איתור פעילות חריגה, תגובה לאירוע ושיקום המערכות. אין פתרון יחיד שמספק את כל אלה. השילוב בין בקרות גישה, עדכונים, ניטור, גיבוי ותוכנית תגובה יוצר שכבות שמצמצמות את הסיכוי לכשל רחב.

הרשאות, גיבויים והגנה על הנתונים

הרשאות צריכות להיקבע לפי התפקיד ולא לפי נוחות רגעית. עובד אמור לקבל גישה רק למידע הדרוש לעבודתו, ויש לעדכן או לבטל את ההרשאות כאשר הוא מחליף תפקיד או מסיים את עבודתו. אימות רב שלבי מוסיף בדיקה נוספת מעבר לסיסמה ומקטין את הסיכון הנובע מחשבון שנפרץ.

גיבוי איכותי אינו מסתיים ביצירת עותק. יש להגדיר מה מגבים, באיזו תדירות, כמה גרסאות נשמרות ומי מוסמך לבצע שחזור. חשוב להפריד עותקים מסוימים מסביבת העבודה ולבדוק בפועל שניתן לשחזר מהם מידע. בדיקה תקופתית מונעת מצב שבו תקלה מתגלה רק בזמן משבר.

תמונה: www.magnific.com

העובדים הם חלק ממערך ההגנה

הודעות התחזות, קבצים חשודים ובקשות חריגות להעברת מידע מנצלים לחץ, הרגלים ואמון. הדרכות קצרות ומעשיות יכולות ללמד עובדים לעצור, לבדוק את זהות השולח ולדווח על אירוע. תרבות שמעודדת דיווח מהיר, גם לאחר טעות, מאפשרת לארגון להגיב מוקדם במקום להסתיר את הבעיה.

לצד ההדרכה נדרשים נהלים ברורים. העובדים צריכים לדעת למי פונים במקרה של חשד, אילו פעולות אסור לבצע וכיצד ממשיכים לעבוד אם מערכת מרכזית מושבתת. תוכנית תגובה מסודרת מגדירה אחריות, תקשורת פנימית, תיעוד וקבלת החלטות. לאחר האירוע יש לבדוק מה קרה, לתקן את נקודת הכשל ולעדכן את הנהלים.

גם תוכנית טובה מאבדת מהרלוונטיות שלה כאשר הארגון משתנה. מערכת חדשה, ספק נוסף, גיוס עובדים או מעבר לענן יכולים ליצור סיכונים שלא היו קיימים קודם. לכן חשוב לקיים בדיקות תקופתיות, לעדכן את מפת הנכסים ולבחון אם הבקרות עדיין מתאימות למציאות.

מי מרכז את האחריות המקצועית?

ככל שמספר המערכות, העובדים והספקים גדל, נדרשת ראייה רוחבית המחברת בין טכנולוגיה, תהליכים, אנשים ודרישות רגולטוריות. מנהל אבטחת מידע מסייע לגבש מדיניות, לקבוע סדרי עדיפויות, לפקח על יישום בקרות ולהציג להנהלה תמונת מצב מובנת. האחריות יכולה להינתן לבעל תפקיד פנימי או לשירות חיצוני, בהתאם לגודל הארגון, למורכבותו ולרמת הסיכון.

בדקו שההגנה מתאימה לפעילות שלכם

יזמקו פרו מספקת שירותי מחשוב, פתרונות סייבר וניהול מערכות לעסקים כבר למעלה מ 20 שנה. החברה לומדת את פעילות הלקוח כדי להתאים מסלולי תחזוקה, תמיכה מרחוק או באתר ופתרונות מנוהלים. היכרות שוטפת עם צורכי הארגון מסייעת לשמור על רצף עבודה ולהתאים את המענה לשינויים בפעילות.