להגן על הנתונים הקריטיים: הערכת סיכונים ואיומים בנתיב זרימת המידע

הדרך שבה הנתונים, הארגוניים והפרטיים, עוברים מהמקלדת דרך המעבד ועד למסך מלאה בסכנות. במערכת סגורה, כלומר – במחשב הישן והטוב שאינו מחובר לאינטרנט, כמעט שלא היה סיכון. הסיכון העיקרי היה הידבקות בווירוס דרך דיסקט או רכיב חומרה אחר שהוכנס אליו. אך כיום, כשכל הקשה על המקלדת מעבירה נתונים ומידע למיקום לא ידוע, המידע יכול לחצות יבשות, וכך היושרה של הנתונים שלכם נתונה תחת איום בכל צומת וצנרת שהם עוברים דרכה. כל "חוליה חלשה" בתהליך ניהול הנתונים יכולה להיות בעייתית.

ממפים את נתיב הנתונים

ככל שהנתונים הארגוניים מפוזרים יותר, כך הסיכון גדול יותר. עם הופעתו של מחשוב הענן, השליטה על הנתונים שלכם הולכת ופוחתת עוד ועוד.

הצעד הראשון בדרך לאבטחת הנתונים הוא למיין אותם כדי לוודא אילו מהם זקוקים לאבטחה הטובה ביותר ואילו פחות. סביר להניח שתמצאו שמרבית נתוני הארגון אינם קריטיים, מיותרים או מיושנים. מן הסתם, יש צורך להגן עליהם, אך הם לא בעדיפות הראשונה. מה שנשאר הוא הנתונים החשובים ביותר: מידע פיננסי, אישי ומסחרי רגיש. יש לאבטח את מאגרי המידע הללו על מנת למנוע גישה לא מורשית אליהם.

אחסון: כאן, שם ובכל מקום

נתונים חייבים להימצא במקום כלשהו. ברגע שאנשי המחשוב בארגון מזהים מהם הנתונים שזקוקים לבחינה הקפדנית ביותר, עליהם לוודא היכן הנתונים הללו מאוחסנים. הם יכולים להיות מאוחסנים באופן פנימי, על זיכרון ה-RAM (עיבוד בתוך הזיכרון – In-Memory – הפך למפתח המאפשר ניתוח Big Data), בשרת ברשת, על קלטת או דיסק. מה שמסבך את העניין הוא העובדה שהנתונים מקבלים חיים משל עצמם לאחר אחסונם. למשל, במערכת מכירות מקוונות, הנתונים הגולמיים מאוחסנים במקום A, עוברים עיבוד ב-Cube B ומופצים ליישומי C דרך Z. בין כל צומת שכזה קיימות תעלות שמייצגות סיכון.

במקרים שבהם הנתונים נמצאים מאחורי הפיירול, התהליך פשוט יחסית. כל ארגון יכול לקבוע את חוקי הגישה שלו, לנטר את פעילות הרשת ולפעול במקרה שבו מתגלות חריגות. ניתן להגדיר סף כדי להפוך הרבה מהפעולות הללו לאוטומטיות. אולם, גם במערכת סגורה קיימים איומים.

מונעים התגנבות אל הרשאות הגישה

מנהלי מערכת, בדרך כלל באמצעות מערכות ניהול מאגרי מידע (DBMS), יכולים להקצות הרשאות קריאה וכתיבה לקבוצות נתונים ספציפיות בתוך הארגון. אין שום בעיה בכך. אך כאשר אנשים עוברים בארגון, תפקידים, דרישות והרשאות יכולים להתפתח ולהשתנות.

חיוני ביותר שמנהלי מאגר הנתונים יבחנו הרשאות כתיבה וקריאה לדיסק (המצוינות במדיניות הגישה הארגונית) על בסיס קבוע כדי לוודא שרק בעלי התפקידים המתאימים יהיו בעלי גישה לנתונים הרגישים.

העזרה זמינה

קיימים קווים מנחים זמינים שעוזרים לאנשי המחשוב בארגונים לנתב בין התהליכים הנזילים הללו. למשל, תקנים דוגמת ISO/IEC 27002 תוכננו במיוחד כדי לעזור למנהלי מאגרי המידע לעקוב ולאבטח את הנתונים. הספקים מגיבים על ידי הטמעת העקרונות הללו לתוך הפתרונות שלהם. באופן דומה, מחלקת ניהול האבטחה של ITIL (ספריית הידע של מערכות המידע), המבוססת על ISO/IEC 27002, מתארת את ההתאמה המובנית של אבטחת המידע בניהול הארגון.

אך למרות התקנים שתוארו, מפת נתונים כוללת שתצביע לאנשי המחשוב לאן הנתונים מועברים, למי יש גישה אליהם ומה הם יכולים לעשות איתם הכרחית עבור הארגון. לאחר מכן, זהו תהליך מתוכנן היטב של הוספת אבטחה לכל אחת מהעצירות והצינורות הקיימים לאורך הדרך. הגישה המאפשרת (ה-Enabler) מייצגת מדיניות שמבהירה בדיוק – בפירוט רב או מועט, לפי הצורך – למי יש גישה, לאילו נתונים והיכן, מה השימוש שנעשה בהם וכיצד הם עוברים מנקודה A לנקודה Z. אם אנשי המחשוב יכולים למפות את התהליכים על לוח לבן גדול, אזי הארגון בדרך הנכונה לזהות את האיומים הפוטנציאליים ולהפחית את הסיכונים.

הכותב הוא מנהל השותפים העסקיים של פורטינט (Fortinet) ישראל.