מבוא לאבטחת סייבר

מבוא לאבטחת סייבר

המטרה של אבטחת סייבר היא להגן על כל אחד ואחת מאיתנו, על הכלכלה שלנו, על בתי הספר, על התשתיות הקריטיות שלנו, ועל כל ארגון אחר מפני נזק שיכול להיגרם משימוש לרעה, פשרה או השמדה בשוגג או בכוונה של מידע ומערכות מידע.

סיכון אבטחת סייבר כולל לא רק את הסיכון של פריצת נתונים אלא גם את הסיכון לערעור הארגון כולו באמצעות פעילויות עסקיות המסתמכות על דיגיטציה ונגישות. כתוצאה מכך, לימוד פיתוח תוכנית אבטחת סייבר נאותה הוא קריטי לכל ארגון. אבטחת סייבר כבר לא יכולה להיות משהו שאתה מפקיד בידי צוות טכנולוגיית המידע (IT). כולם צריכים להיות מעורבים, כולל הדירקטוריון.

אבטחת סייבר לעומת אבטחת מידע (Infosec)

אנשים רבים מבלבלים בין אבטחת מידע מסורתית לאבטחת סייבר. בעבר, תוכניות ומדיניות אבטחת מידע עוצבו כדי להגן על סודיות, שלמות וזמינות הנתונים בגבולות הארגון. לרוע המזל, זה כבר לא מספיק. ארגונים כמעט ואינם מבודדים, ומחיר הקישוריות הוא רמת חשיפה מוגברת להתקפות. כל ארגון, ללא קשר לגודל או מיקום גאוגרפי, הוא יעד פוטנציאלי. אבטחת סייבר היא תהליך ההגנה על מידע באמצעות מניעה, זיהוי ותגובה להתקפות.

תוכניות אבטחת סייבר מכירות בכך שארגונים חייבים להיות ערניים, עמידים ומוכנים להגן על כל חיבור כניסה ויציאה וכן על נתוני הארגון בכל מקום שבו הם מאוחסנים, מועברים או מעובדים. תוכניות ומדיניות אבטחת סייבר מרחיבות ובונות על תוכניות אבטחת מידע מסורתיות אך כוללות גם את הדברים הבאים:

• ניהול ופיקוח על סיכוני סייבר
• מודיעין איומים ושיתוף מידע
• צייד איומים (חיפוש פרואקטיבי אחר פשרות ואיומים פוטנציאליים בארגון שלך שלא זוהו על ידי מוצרי האבטחה או הטכנולוגיות שלך)
• ניהול תלות בארגונים, תוכנות וחומרות של צד שלישי
• תגובה לאירועים וחוסן

מסגרת אבטחת הסייבר של NIST

המכון הלאומי לתקנים וטכנולוגיה (NIST) הוא סוכנות פדרלית לא רגולטורית ידועה בתוך מנהל הטכנולוגיה של משרד המסחר האמריקאי. המשימה של NIST היא לפתח ולקדם מדידות, תקנים וטכנולוגיה כדי לשפר את הפרודוקטיביות, להקל על הסחר ולשפר את איכות החיים. חטיבת אבטחת המחשב (CSD) היא אחת משבע חטיבות בתוך מעבדת טכנולוגיית המידע של NIST. מסגרת אבטחת הסייבר של NIST היא אוסף של תקנים בתעשייה ושיטות עבודה מומלצות כדי לעזור לארגונים לנהל סיכוני אבטחת סייבר. מסגרת זו נוצרת בשיתוף פעולה בין ממשלת ארצות הברית, תאגידים ואנשים פרטיים. ניתן לגשת למסגרת אבטחת הסייבר של NIST בכתובת www.nist.gov/cyberframework.

מסגרת אבטחת הסייבר של NIST מפותחת עם טקסונומיה משותפת, ואחת המטרות העיקריות היא לטפל ולנהל סיכוני אבטחת סייבר באופן חסכוני כדי להגן על תשתית קריטית. אף על פי שתוכנן עבור קהל יעד ספציפי, הדרישות יכולות לשמש כתכנית אבטחה לכל ארגון.

הנחיות ומסמכים נוספים של NIST

נכון לעכשיו, ישנם יותר מ-500 מסמכים של NIST הקשורים לאבטחת מידע. מספר זה כולל את FIPS, סדרות SP 800 ו-1800, עלוני ITL ודוחות בין-סוכנותיים של NIST:

• תקני עיבוד מידע פדרליים (FIPS): זוהי סדרת הפרסומים הרשמית לתקנים והנחיות.
• פרסום מיוחד (SP) סדרה 800: סדרה זו מדווחת על מחקרי ITL, הנחיות ומאמצי הסברה באבטחת מערכות מידע ופעילויות שיתוף הפעולה שלה עם תעשייה, ממשלה וארגונים אקדמיים. ניתן להוריד מסמכי סדרת SP 800 מ-https://csrc.nist.gov/publications/sp800.
• פרסום מיוחד (SP) סדרה 1800: סדרה זו מתמקדת בפרקטיקות והנחיות אבטחת סייבר. ניתן להוריד מסמכי סדרת SP 1800 מ-https://csrc.nist.gov/publications/sp1800.
• דוחות פנימיים או בין-סוכנותיים של NIST (NISTIR): דוחות אלו מתמקדים בממצאי מחקר, כולל מידע רקע עבור FIPS ו-SPs.
• עלוני מעבדת טכנולוגיית מידע (ITL): כל עלון מציג דיון מעמיק בנושא בודד בעל עניין משמעותי לקהילת מערכות המידע. עלונים מופצים לפי הצורך.

מבקרת גישה ועד אבטחת אלחוט, פרסומי NIST הם באמת אוצר בלום של הנחיות יקרות ערך ומעשיות.

הארגון הבינלאומי לתקינה (ISO)

הארגון הבינלאומי לתקינה (הידוע בשם ISO) הוא רשת של מכוני התקנים הלאומיים מיותר מ-160 מדינות. הארגון פיתח יותר מ-13,000 תקנים בינלאומיים במגוון נושאים, החל מקודי מדינה ועד בטיחות נוסעים.

סדרת ISO/IEC 27000 (הידועה גם כמשפחת תקני ISMS, או בקיצור ISO27k) כוללת תקני אבטחת מידע המתפרסמים במשותף על ידי ה-ISO והוועדה האלקטרוטכנית הבינלאומית (IEC).

ששת המסמכים הראשונים בסדרת ISO/IEC 27000 מספקים המלצות ל"הקמה, יישום, תפעול, ניטור, סקירה, תחזוקה ושיפור מערכת ניהול אבטחת מידע":

• ISO 27001 הוא המפרט למערכת ניהול אבטחת מידע (ISMS).
• ISO 27002 מתאר את קוד ההתנהגות לניהול אבטחת מידע.
• ISO 27003 מספק הנחיות יישום מפורטות.
• ISO 27004 מתווה כיצד ארגון יכול לנטר ולמדוד אבטחה באמצעות מדדים.
• ISO 27005 מגדיר את גישת ניהול הסיכונים ברמה הגבוהה המומלצת על ידי ISO.
• ISO 27006 מתווה את הדרישות לארגונים שימדדו תאימות ל-ISO 27000 לצורך הסמכה.

בסך הכל, ישנם יותר מ-20 מסמכים בסדרה, וכמה נוספים עדיין בפיתוח. המסגרת ישימה לארגונים ציבוריים ופרטיים מכל הגדלים. על פי אתר ISO, "תקן ISO נותן המלצות לניהול אבטחת מידע לשימוש על ידי אלה האחראים ליזום, ליישם או לתחזק אבטחה בארגונם. הוא נועד לספק בסיס משותף לפיתוח תקני אבטחה ארגוניים ושיטות ניהול אבטחה יעילות ולספק אמון בעסקאות בין-ארגוניות."