מה כוללת הערכת סיכונים מקיפה בארגון

הערכת סיכונים מתחילה בהבנה מדויקת של מה שיש לארגון להגן עליו. השלב הראשון הוא מיפוי הנכסים והתהליכים הרלוונטיים, הן הפיזיים והן הדיגיטליים, ולאחריו סיווגם לפי מידת הקריטיות שלהם בתהליכים העסקיים ולפי ההשפעה של פגיעה בהם על המשך הפעילות. רק לאחר שהתמונה הזו מתבהרת אפשר לבחון את החשיפה בפועל, את ההסתברות להתרחשות אירוע ואת הבקרות הקיימות אל מול אלו שראוי להוסיף.

הערכת סיכונים איכותית נשענת על כמה מרכיבים משלימים שפועלים יחד:

✓ מיפוי וסיווג נכסי המידע לפי רמת הקריטיות שלהם לעסק 

✓ בחינת חשיפה והסתברות להתממשות איום בכל נכס 

✓ מבדקי חדירה וסריקת פגיעויות לזיהוי נקודות תורפה טכניות 

✓ מעבר על נהלים ותהליכי עבודה קיימים בארגון 

✓ הפקת דוח מסודר עם המלצות לפי סדר עדיפויות

השלבים המרכזיים בתהליך הערכת סיכונים

על פי עמדת הרשות להגנת הפרטיות, תהליך הערכת סיכונים בנוי ממספר שלבים סדורים שמתחילים בהגדרת נכסי הארגון וממשיכים בזיהוי וניתוח האיומים על אותם נכסים. בהמשך מזוהות החולשות והפגיעויות שעלולות לחשוף את הארגון לסיכון, ולאחר מכן נבחנת מידת ההשפעה של התממשות הסיכון על הפעילות. השלב הבא הוא מיפוי הפעולות והבקרות הקיימות אל מול אלו שראוי ליישם כדי לצמצם את הסבירות להתממשות, והתהליך נחתם בהערכת מצב מחדש שמוודאת שכל מרכיבי הסיכון אכן טופלו.

חשוב להבין שתהליך מסוג זה אינו עומד בפני עצמו. תוצריו מתורגמים להמלצות מעשיות בשלושה מישורים, הטכנולוגי, התהליכי והאנושי, ובכך הוא הופך מאבחון לתוכנית עבודה. הדוח המתקבל כולל גם סיכונים שאינם דורשים טיפול מיידי, כדי שלהנהלה תהיה תמונה שלמה של מצב הסיכון בארגון ולא רק רשימת המשימות הדחופות.

מה כוללת הערכת סיכונים מקיפה בארגון

הערכת סיכונים מתחילה בהבנה מדויקת של מה שיש לארגון להגן עליו. השלב הראשון הוא מיפוי הנכסים והתהליכים הרלוונטיים, הן הפיזיים והן הדיגיטליים, ולאחריו סיווגם לפי מידת הקריטיות שלהם בתהליכים העסקיים ולפי ההשפעה של פגיעה בהם על המשך הפעילות. רק לאחר שהתמונה הזו מתבהרת אפשר לבחון את החשיפה בפועל, את ההסתברות להתרחשות אירוע ואת הבקרות הקיימות אל מול אלו שראוי להוסיף.

הערכת סיכונים איכותית נשענת על כמה מרכיבים משלימים שפועלים יחד:

✔ מיפוי וסיווג נכסי המידע לפי רמת הקריטיות שלהם לעסק 

✔ בחינת חשיפה והסתברות להתממשות איום בכל נכס 

✔ מבדקי חדירה וסריקת פגיעויות לזיהוי נקודות תורפה טכניות 

✔ מעבר על נהלים ותהליכי עבודה קיימים בארגון 

✔ הפקת דוח מסודר עם המלצות לפי סדר עדיפויות

השלבים המרכזיים בתהליך הערכת סיכונים

על פי עמדת הרשות להגנת הפרטיות, תהליך הערכת סיכונים בנוי ממספר שלבים סדורים שמתחילים בהגדרת נכסי הארגון וממשיכים בזיהוי וניתוח האיומים על אותם נכסים. בהמשך מזוהות החולשות והפגיעויות שעלולות לחשוף את הארגון לסיכון, ולאחר מכן נבחנת מידת ההשפעה של התממשות הסיכון על הפעילות. השלב הבא הוא מיפוי הפעולות והבקרות הקיימות אל מול אלו שראוי ליישם כדי לצמצם את הסבירות להתממשות, והתהליך נחתם בהערכת מצב מחדש שמוודאת שכל מרכיבי הסיכון אכן טופלו.

חשוב להבין שתהליך מסוג זה אינו עומד בפני עצמו. תוצריו מתורגמים להמלצות מעשיות בשלושה מישורים, הטכנולוגי, התהליכי והאנושי, ובכך הוא הופך מאבחון לתוכנית עבודה. הדוח המתקבל כולל גם סיכונים שאינם דורשים טיפול מיידי, כדי שלהנהלה תהיה תמונה שלמה של מצב הסיכון בארגון ולא רק רשימת המשימות הדחופות.

ניהול סיכונים כתהליך מתמשך ולא חד פעמי

ניהול סיכונים אינו מסתכם באירוע בודד אלא בתהליך מחזורי שמתעדכן עם הזמן. סביבת האיומים משתנה, הארגון גדל, מערכות חדשות נכנסות לשימוש ותהליכי עבודה מתחלפים, וכל שינוי כזה עשוי ליצור חשיפות חדשות. בשל כך נדרש לבחון את הסיכונים מחדש מעת לעת, ולעדכן את הבקרות בהתאם למציאות המתעדכנת. ניהול סיכונים מסודר שומר על רלוונטיות המיפוי הקיים ומפחית את הסיכון להסתמכות על תמונת מצב שכבר אינה משקפת את המתרחש בארגון.

כחלק מהתפיסה הזו, הרשות להגנת הפרטיות הבהירה כי הסיכונים נדרשים לבחינה מחדש לכל הפחות אחת ל18 חודשים. עם זאת, ארגון שנודע לו על סיכון או על שינוי במיפוי הסיכונים שלו נדרש לפעול מיידית לצמצומו ואינו רשאי להמתין עד לחלוף התקופה הזו. במילים אחרות, ניהול סיכונים שוטף ובניית תרבות ארגונית של אבטחת מידע הם תנאי להתמודדות אמיתית עם איומים, ולא רק דרישה שיש לסמן עליה וי.

כיצד ניהול סיכונים תומך ברציפות העסקית

הקשר בין ניהול סיכונים לבין רציפות עסקית הוא ישיר. כאשר הארגון יודע אילו נכסים קריטיים לפעילותו ואילו תרחישים מסכנים אותם, הוא יכול להיערך מראש למקרים של תקלה או מתקפה ולצמצם את משך ההשבתה האפשרי. תהליך מסודר של סיווג נכסי המידע וסקר סיכונים תקופתי מעלים באופן ניכר את מידת המוכנות של הארגון לאירועי סייבר, ומאפשרים חזרה מהירה יותר לשגרת פעילות גם כאשר משהו משתבש.

הערכת סיכונים נכונה גם מזהה תהליכים ארגוניים שדורשים ריענון או שינוי, ובכלל זה עדכון הסכמי עבודה, נהלי קליטת עובדים ונהלי סיום העסקה. רבים מהסיכונים אינם טכנולוגיים בלבד אלא נובעים מתהליכים אנושיים, ולכן חיזוק ההיבטים הללו הוא חלק בלתי נפרד מבניית מערך הגנה יציב. גישה זו מחברת בין הטכנולוגיה לבין הנהלים ומצמצמת את הסיכון שאחד המישורים יישאר חשוף.

ניהול סיכוני סייבר בעידן האיומים המתוחכמים

ניהול סיכוני סייבר דורש כיום התייחסות רחבה יותר מבעבר, מאחר שהאיומים הפכו מתוחכמים ומגוונים. מתקפות פישינג, נוזקות כופר וניסיונות התחזות מתקדמים מחייבים את הארגון להבין לא רק היכן הוא חשוף מבחינה טכנית, אלא גם כיצד גורם עוין עשוי לנצל חולשות בתהליכים ובמודעות העובדים. סקר סיכונים מספק את התשתית לזיהוי החשיפות הללו, אך התמונה השלמה דורשת ראייה רוחבית שמשלבת טכנולוגיה, תהליך וגורם אנושי תחת מטרייה אחת של הגנת סייבר.

מסגרת מסודרת של ניהול סיכוני סייבר מאפשרת לארגון לתעדף את הטיפול לפי רמת הסיכון בפועל, ולא לפי תחושת בטן. במקום לפזר משאבים על כל איום אפשרי, הארגון מתמקד תחילה בנקודות שבהן הסבירות לפגיעה והנזק הצפוי הם הגבוהים ביותר. כך מתקבלת מדיניות הגנה מאוזנת שמתעדפת את ההשקעה במקום שבו היא תורמת באופן המשמעותי ביותר לצמצום הסיכון.

בקרות ומדיניות במסגרת ניהול סיכוני סייבר

יישום בקרות הוא השלב שבו ניהול סיכוני סייבר הופך מתיאוריה למעשה. ההמלצות העולות מהסקר כוללות הטמעת פתרונות טכנולוגיים, ניטור פעילות במערכות, הדרכות והעלאת מודעות בקרב עובדים ומנהלים, וכן ייסוד מדיניות ברורה לסיווג נכסים. שילוב של בקרה טכנית עם נהלים מוגדרים יוצר מערך הגנה שעמיד יותר בפני תקלות אנוש ובפני ניסיונות חדירה. מדיניות סיווג נכסים מסייעת לכך שכל מידע מקבל את רמת ההגנה התואמת לחשיבותו, ולא יותר ולא פחות מכך.

ההבדל בין סקר סיכונים למבדק חדירות

נהוג לבלבל בין סקר סיכונים לבין מבדק חדירות, אך מדובר בשני כלים משלימים בעלי מטרות שונות. סקר סיכונים הוא תהליך רחב שבוחן את כלל הנכסים, התהליכים והבקרות בארגון ומספק תמונת מצב כוללת של רמת הסיכון. מבדק חדירות, לעומת זאת, הוא בדיקה ממוקדת שמדמה תקיפה אמיתית כדי לאתר חולשות טכניות שניתן לנצל בפועל. השניים פועלים יחד, כאשר מבדק החדירות מהווה אחד המרכיבים שמזינים את הסקר הרחב יותר ומחזק את אמינות הממצאים שלו.

אופק דיסט מלווה ארגונים בביצוע סקר סיכונים מסודר הכולל מיפוי נכסים, סריקת פגיעויות וניתוח חשיפות, ומציעה כחלק מהשירות סריקת פגיעויות ובדיקות התאמה לחוק ללא עלות. הליווי משלב בין ההיבט הטכנולוגי לבין ההיבט הרגולטורי, מתוך הבנה שעמידה בדרישות הרשות להגנת הפרטיות ובניית מערך הגנה יעיל הולכות יד ביד.

מה חשוב לזכור על סקר סיכונים

סקר סיכונים הוא הבסיס לקבלת החלטות מושכלות בתחום ההגנה הארגונית. ראינו שהוא מתחיל במיפוי וסיווג נכסים, ממשיך בזיהוי איומים וחולשות ובהערכת ההשפעה שלהם, ונחתם בהמלצות מעשיות במישור הטכנולוגי, התהליכי והאנושי. ראינו גם כי מדובר בתהליך מחזורי שדורש בחינה מחדש לאורך זמן, וכי הרשות להגנת הפרטיות רואה בו ובמבדק החדירות שלבים חיוניים שיש לבצע במאגרי מידע ברמת אבטחה גבוהה ומומלץ ליישם בכל ארגון. ניהול סיכונים שוטף הוא שמתרגם את הממצאים הללו למוכנות אמיתית מול אירועי סייבר. אופק דיסט מלווה ארגונים בביצוע סקר סיכונים הכולל סריקת פגיעויות ובדיקות התאמה לחוק. לפרטים נוספים: 073-2200123