סקר סיכוני הוא מסמך שכולל בתוכו מיפוי של נכסי החברה וסיווגם לפי רמות הערך של יעדי ההגנה. המיפוי כולל את מערכת המידע, תהליכי העבודה, מאגרי המידע והתשתיות הטכנולוגיות. סקר סיכון אבטחת מידע הוא חשוב מאוד להגנת המידע והתפתחות מערך ההגנה.
מהי מטרת סקר סיכונים בחברות?
מטרת סקר סיכונים אבטחת מידע הוא לעזור לתהליך קבלת ההחלטות בחברה או בארגון לפי סדר עדיפויות והקצאה נכונה של משאבים המיועדים להגנה על נכסי המידע שבהם. ממצאי הסקר הם אבן דרך חשובה בהשלמת מערכת ההגנה על מערכות המידע של מערכות המידע בארגון בהתאם לסבירות והחומרה. כמובן כל זה צריכה להיות בהתאם וביחד לאיומי הייחוס הרלוונטיים לארגון. ישנם מקרים שבהם מופעל מערך מיוחד לניטור תקיפות ואופן המימוש של תהליכי ההגנה בפועל. שירות זה יכול להיות על בסיס משאבים חיצוניים או משאבי הארגון עצמו.
מה כולל סקר סיכוני סייבר העוסק באבטחת מידע?
אבטחת מידע הוא חתום שמתפתח כל הזמן, הוא משתכלל ונהיה מורכב יותר ויותר עם השנים. בתחום זה נדרשת שמירה על סודיות, זמינות ושלמות המידע. ישנן חברות שעובדות על פי המתודולוגיות של מטרה הסייבר הישראלי אך מתאימות את המתודות לפי הארגון: גודלו, פריסתו, אופיו, דרישות הרגולציה, החשיפות והאיומים הרלוונטיים.
תכולת סקר סיכוני הסייבר משתנה ומותאמת ללקוח, אך עשויה לכלול את הפרמטרים הבאים:
- מיפוי התשתית הטכנולוגית
- מיפוי רשת מערכות המידע
- מיפוי תהליכים שונים בארגון
- מיפוי מאגרי המידע
- מבדקי חדירה: https://redx.co.il/penetration-test
- ריאיונות עם אנשי מפתח שונים
- בקרת ספקים
- סריקות לזיהוי חולשות ברשת
- בקרת נהלי אבטחת המידע של הארגון.
בסיום כל הבדיקות והמיפויים יופק דו"ח שמיועד לשקף להנהלה את המצב הקיים בארגון. הדו"ח חייב להיות מסמך המניע לפעולה אקטיבית ומפרט על הממצאים ורמת הסיכון בארגון. כל הנתונים מתבססים על הסבירות אל מול הנזק של החשיפה ומשלב בתוכו גם המלצות לשיפור ותיקון על פי תיעדוף דחיפות.
כל כמה זמן אמור ארגון לבצע סקר סיכונים?
המקובל בשוק הוא אחת ל12 חודשים, כלומר פעם בשנה. התדירות צריכה להשתנות על פי סוג הארגון, דרישות הרגולציה וסוג המידע שיש בתוכו. כמובן גם כדאי להתבסס על תוצאות הסקר הקודם ולתאם ביחד עם השינויים והשדרוגים שנעשו בארגון כדי להשתפר.
מהו משך התהליך שלוקח להפיק סקר סיכונים?
סקר סיכונים ממוצע יכול לערוך כ3 שבועות. הזמן תלוי לרוב בשיתוף הפעולה של הארגון עם החברה המבצעת את הסקר.
האם החוק מחייב את ביצועו של סקר סיכונים בארגון?
החוק מחייב לבצע סקר סיכונים אחת ל18 חודשים בארגונים בהם חלה רמת אבטחה גבוהה על מאגרי המידע.
לסיכום סקר סיכונים בארגונים
נכון שארגונים מסוימים מחויבים לערוך את הסקר על פי חוק, אבל הסקר הזה הוא שיקוף מעולה של החולשות של החברה וגם נקודות החוזקה והוא אמור להיות אינטרס של בעלי הארגונים לשפר ולהשתפר.
