System for monitoring access to sensitive information and detecting suspicious activity

מערכת לניטור גישה למידע רגיש וזיהוי פעילות חשודה מאפשרת לארגון לדעת בזמן אמת מי ניגש למידע, מה הוא עושה בו, ומתי מתרחשת פעולה חריגה. בשונה מבקרות שפועלות פעם אחת, ניטור הוא תהליך מתמשך שצופה בפעילות לאורך זמן ומתריע על סטיות מהנורמה. כך הארגון יכול לעצור אירוע בעודו מתרחש, במקום לגלות אותו בדיעבד. מערכת ניטור טובה היא לב הבקרה השוטפת על המידע הרגיש.

למה ניטור גישה חשוב כל כך?

ניטור גישה חשוב כי הוא הופך את האבטחה מתגובה לאירועים למניעה שלהם. בלי ניטור, ארגון מגלה על גישה חריגה או על דליפה רק אחרי שהנזק כבר נגרם, לרוב כשמישהו חיצוני מדווח על כך. עם ניטור, כל פעולה חריגה מייצרת התראה, ומנהל האבטחה יכול לבדוק ולעצור אותה מיד.

מעבר לכך, ניטור מספק את התיעוד שהרגולציה דורשת. תיקון 13 לחוק הגנת הפרטיות ותקנות אבטחת מידע מחייבים את הארגון לדעת מי ניגש למידע רגיש ומה נעשה בו, ולהפיק דוחות על כך. מערכת ניטור מייצרת את שרשרת התיעוד הזו באופן אוטומטי, ובכך חוסכת מהארגון עבודה ידנית רבה בעת ביקורת ומספקת ראיות מסודרות לכך שהבקרות אכן פועלות.

אילו סוגי פעילות חשודה כדאי לזהות?

פעילות חשודה היא כל פעולה שסוטה מהתנהגות הרגילה של המשתמש או של המערכת. זה יכול להיות ניסיון גישה למידע שאינו קשור לתפקיד, גישה בשעות חריגות, שינוי המוני של הרשאות, או מחיקה של כמות גדולה של קבצים. כל אחת מאלה עשויה להיות תמימה, אך יחד עם ההקשר הנכון היא עשויה להעיד על אירוע.

סוגי הפעילות שחשוב לנטר ולהתריע עליהם כוללים:

• גישה חריגה: ניסיון גישה למידע רגיש שאינו תואם לתפקיד המשתמש
• שינוי הרשאות: הענקה או שינוי של הרשאות באופן חריג או המוני
• פעילות בשעות לא שגרתיות: גישה למידע בזמנים שאינם אופייניים לעבודה
• שינויים במידע: מחיקה או שינוי של כמות גדולה של קבצים בזמן קצר

איך התראות בזמן אמת עוצרות אירוע?

התראות בזמן אמת הופכות את הניטור מכלי תחקור לכלי מניעה. כשהמערכת מזהה פעילות חריגה, היא שולחת התראה מיידית למנהל האבטחה, ובחלק מהמקרים אף מפעילה תגובה אוטומטית. כך אפשר לעצור אירוע בעודו מתרחש, למשל לחסום חשבון שמנסה לגשת למידע רגיש בהיקף חריג, במקום לגלות את הנזק רק לאחר מעשה.

היכולת לתעד ולחקור משלימה את ההתראות. אחרי שהתקבלה התראה, מנהל האבטחה צריך לראות בדיוק מה קרה, מי היה מעורב, ומה בוצע, כדי להחליט כיצד להגיב. מערכת ניטור טובה מספקת חיפוש מהיר בכל האירועים ומאפשרת לשחזר את רצף הפעולות במדויק.

חשוב שהתיעוד יישמר לאורך זמן ולא רק לרגע האירוע. תקנות אבטחת מידע מצפות שהארגון יוכל להציג היסטוריה של גישה למידע ושל אירועי אבטחה, ולכן מערכת שמתעדת ושומרת את האירועים לאורך תקופה מספקת גם ערך תפעולי מיידי וגם בסיס להוכחת עמידה בדרישות. כך אותה מערכת משרתת הן את הצוות הטכני, שזקוק למידע כדי לחקור ולהגיב, והן את הצורך הרגולטורי, שדורש ראיות מסודרות לאורך זמן.

איך ניטור משתלב במערך האבטחה הכולל?

ניטור גישה אינו פועל בבידוד אלא משתלב במערך אבטחה רחב יותר. הנתונים שהוא אוסף על גישה למידע ועל פעילות חריגה יכולים להיות מוזנים למערכת ניהול אירועי אבטחה מרכזית, המכונה SIEM, שמרכזת מידע ממקורות רבים ומזהה דפוסים חוצי מערכות. כך התראה על גישה חריגה למידע רגיש נבחנת בהקשר של שאר האירועים בארגון, ולא כאירוע בודד.

שילוב זה מחזק גם את בקרת הגישה וגם את מניעת הדליפה. בקרת גישה קובעת מי רשאי להגיע למידע, ניטור צופה במה שקורה בפועל, ופתרון מניעת דליפה חוסם את הוצאת המידע החוצה. יחד הם יוצרים שכבות הגנה משלימות שמכסות את מחזור החיים המלא של המידע הרגיש, מהגישה אליו ועד היציאה ממנו.

איך אופק דיסט מסייעת בניטור ובזיהוי?

אופק דיסט מפיצה בישראל את פתרונות Netwrix, ובהם Netwrix Auditor, שמנטר גישה למידע רגיש, מזהה פעילות חשודה, מתריע בזמן אמת, ומפיק דוחות תאימות מובנים. המערכת מאפשרת לחקור אירועים במהירות ולהוכיח לרשות להגנת הפרטיות שליטה על המידע.

כחברת אבטחת מידע, אופק דיסט מלווה את הארגון בהגדרת מדיניות הניטור וההתראות המתאימה, בעברית ובשעון ישראל, ומחברת אותה לדרישות הרגולציה. כך הארגון עובר מגישה שמגיבה לאירועים לגישה שמזהה ועוצרת אותם מבעוד מועד. הליווי כולל גם כיוונון של רגישות ההתראות, כדי שמנהל האבטחה יקבל התראות משמעותיות ולא יוצף ברעש, שכן מערכת שמתריעה על הכל גורמת בפועל להתעלמות מהתראות אמיתיות.

מה ההבדל בין ניטור לבין תגובה לאירועים?

ניטור ותגובה הם שני שלבים משלימים באותו תהליך. ניטור הוא הצפייה המתמשכת בפעילות והזיהוי של חריגות, בעוד תגובה היא הפעולה שננקטת אחרי שזוהה אירוע. מערכת טובה מחברת בין השניים, כך שזיהוי של פעילות חשודה מוביל מיד להתראה ולפעולה, ולא רק לרישום שיישב ביומן עד שמישהו יבחין בו.

בלי תגובה, ניטור הוא כלי תחקור בלבד שמסביר מה קרה אחרי מעשה. בלי ניטור, אין בכלל ממה להגיב. השילוב של ניטור מתמשך עם התראות בזמן אמת ועם יכולת חקירה מהירה הוא מה שמאפשר לארגון לעבור מגישה שמגיבה בדיעבד לגישה שמזהה ועוצרת אירועים בעודם מתרחשים.

אילו סוגי פעילות חשודה כדאי לזהות?

אופק דיסט מפיצה בישראל את פתרונות Netwrix, המשרתת מעל 13,000 ארגונים ב-100 מדינות, ובהתאם לדרישת הניטור והתיעוד של תיקון 13. הטבלה מסכמת את סוגי הפעילות החשודה שכדאי לנטר ולהתריע עליהם.

Summary

מערכת לניטור גישה למידע רגיש וזיהוי פעילות חשודה היא הבסיס לבקרה שוטפת ולתגובה מהירה לאירועים. ניטור מתמשך עם התראות בזמן אמת מאפשר לעצור אירוע בעודו מתרחש ומספק את התיעוד שהרגולציה דורשת. לקבלת הדגמה של הפתרון והתאמתו לארגון, פנו עוד היום לצוות אופק דיסט.

Frequently Asked Questions