תקלה אחת יכולה לעצור משרד שלם: עובד שלא מצליח להיכנס למערכת, קובץ לקוחות שהוצפן, תיבת דואר שמפיצה הודעות מתחזות או שרת שנפל בדיוק לפני דיווח חשוב. אבטחת מידע אינה רק עניין של תוכנות הגנה. עבור עסק, היא היכולת להמשיך לעבוד גם כשמישהו מנסה לפגוע במערכות, כשעובד טועה או כשציוד מתקלקל.

עסקים קטנים ובינוניים הם יעד נפוץ לתקיפות דווקא משום שלא תמיד יש להם צוות טכנולוגי פנימי שמנטר את המערכות, בודק הרשאות ומטפל בעדכונים בזמן. התוקף לא בהכרח מחפש ארגון גדול ומפורסם. לעיתים הוא מחפש נקודת כניסה קלה – סיסמה חלשה, מחשב שלא עודכן או גיבוי שלא נבדק מעולם.

מהי אבטחת מידע בעסק בפועל?

אבטחת מידע היא מכלול פעולות טכנולוגיות, תהליכיות ואנושיות שנועדו לשמור על סודיות המידע, על שלמותו ועל זמינותו. במילים פשוטות: רק מי שמורשה צריך להגיע למידע, המידע צריך להישאר מדויק, והעובדים צריכים להיות מסוגלים להשתמש בו כשהם זקוקים לו.

הגנה טובה אינה מוצר שמתקינים פעם אחת ושוכחים ממנו. היא כוללת ניהול משתמשים והרשאות, הגנה על עמדות קצה, עדכוני אבטחה, סינון דואר, גיבוי, ניטור רשת, נהלי עבודה והדרכת עובדים. כל שכבה מטפלת בסיכון אחר, והחיבור ביניהן הוא שמקטין את הסיכוי להשבתה יקרה.

חשוב גם להבין את ההבדל בין תקלה לבין אירוע אבטחה. תקלה יכולה להיות דיסק שהתמלא או חיבור אינטרנט שנפל. אירוע אבטחה עשוי להתחיל באופן דומה, אך מאחוריו עלולים לעמוד וירוס, גניבת הרשאות או גישה לא מורשית. ככל שמזהים את ההבדל מוקדם יותר, אפשר לצמצם נזק ולחזור לפעילות מהר יותר.

הסיכונים שלא תמיד רואים עד שהם עוצרים את העבודה

התרחיש המוכר ביותר הוא הודעת דואר שנראית אמינה: חשבונית, בקשה לעדכון פרטי בנק או הודעה כביכול מגורם ניהולי. לחיצה אחת יכולה להעביר את העובד לאתר מזויף, לאפשר גניבת סיסמה או להוריד קובץ זדוני. לכן סינון דואר חשוב, אך הוא אינו מחליף עובדים שמזהים סימני אזהרה ויודעים לעצור לפני שממשיכים.

סיכון שכיח נוסף הוא שימוש בסיסמה זהה בכמה מערכות. אם שירות חיצוני נפרץ והסיסמה דלפה, תוקף עשוי לנסות אותה גם בדואר העסקי, בענן או במערכת הנהלת החשבונות. אימות רב-שלבי מצמצם מאוד את הסיכון הזה, משום שהוא דורש אישור נוסף מעבר לסיסמה בלבד.

גם הרשאות מיותרות יוצרות חשיפה. עובד שעבר תפקיד, ספק שסיים פרויקט או מחשב ישן שנותר מחובר לרשת יכולים להפוך לנקודת חולשה. אין צורך לתת לכל משתמש גישה לכל תיקייה או מערכת. הרשאות צריכות להתאים לתפקיד, להיבדק באופן תקופתי ולהיסגר מיד כשאין בהן צורך.

לבסוף, גיבוי שאינו נבדק הוא הבטחה ללא כיסוי. עסקים רבים מגלים שיש להם גיבוי רק לאחר אירוע, ואז מגלים שהוא חלקי, ישן או אינו ניתן לשחזור. גיבוי יעיל חייב להיות אוטומטי, מופרד מהמערכת הפעילה, מוגן מגישה לא מורשית ונבדק באמצעות שחזור אמיתי של קבצים או מערכות.

אבטחת מידע לעסקים מתחילה בסדר תפעולי

הבסיס אינו מורכב, אך הוא דורש התמדה ואחריות ברורה. קודם כול צריך לדעת אילו מערכות קיימות, היכן נשמר המידע, מי משתמש בכל שירות ואילו מחשבים מחוברים לרשת. בלי תמונה עדכנית, קשה להגן על מה שלא יודעים שקיים.

לאחר מכן מגדירים מדיניות מעשית שמתאימה לאופי העסק. משרד עורכי דין, חברה עם צוותי שטח ומרפאה פרטית אינם מתמודדים עם אותם סוגי מידע ואותם דפוסי עבודה. המדיניות צריכה לקבוע, למשל, כיצד מתחברים מרחוק, מי מאשר התקנת תוכנות, מה עושים במקרה של הודעה חשודה ואיך מדווחים על מחשב שאבד.

במקום מסמך ארוך שאיש אינו קורא, עדיף להגדיר כללים ברורים ולוודא שהם מיושמים במערכות עצמן. אם נדרש אימות רב-שלבי, יש להפעיל אותו. אם מחשבים ניידים יוצאים מהמשרד, יש להצפין אותם. אם עובדים משתמשים בענן, יש להגדיר הרשאות ושיתוף קבצים באופן מבוקר.

ארבע שכבות שלא כדאי לוותר עליהן

1. הגנה על משתמשים ודואר: סיסמאות ייחודיות, אימות רב-שלבי, סינון הודעות חשודות והדרכה קצרה ומעשית לעובדים.
2. הגנה על מחשבים ורשת: עדכוני מערכת ותוכנות, הגנת תחנות קצה, חומת אש, הפרדת רשתות כשנדרש וניטור של פעילות חריגה.
3. גיבוי והתאוששות: גיבוי אוטומטי של המידע הקריטי, שמירה בעותק נפרד ובדיקות שחזור קבועות.
4. ניהול ובקרה: מיפוי ציוד, ניהול הרשאות, תיעוד שינויים, טיפול מהיר בהתראות ובחינה תקופתית של פערים.

השקעה בכל ארבע השכבות אינה אומרת שכל עסק צריך לרכוש את המערכות היקרות ביותר. הפתרון תלוי בהיקף המידע, במספר העובדים, בדרישות רגולציה, בעבודה מרחוק ובמחיר של שעת השבתה. עסק קטן עם עשרה משתמשים זקוק לפתרון שונה מחברה עם מספר סניפים, אך בשני המקרים אסור להישאר בלי תוכנית התאוששות.

למה ניטור ותגובה מהירה חשובים לא פחות ממניעה

אין הגנה שמבטיחה אפס אירועים. גם ארגון מסודר עלול להתמודד עם הודעת דיוג מתוחכמת, תקלה בציוד או חולשה חדשה בתוכנה. ההבדל בין אירוע שנגמר בטיפול נקודתי לבין משבר של ימים הוא מהירות הזיהוי והתגובה.

ניטור שוטף יכול להתריע על נפח אחסון שמתמלא, על ניסיון התחברות חריג, על גיבוי שנכשל או על מחשב שלא קיבל עדכונים. אלו אינן תמיד דרמות, אך טיפול מוקדם בהן מונע הצטברות של בעיות. כאשר יש גורם מקצועי שאחראי לבחון התראות, לתעד פעולות ולהסלים אירועים בזמן, ההנהלה אינה צריכה לגלות את הבעיה רק אחרי שעבודה נעצרת.

בזמן אירוע, סדר הפעולות קריטי. תחילה מבודדים את מקור הסיכון כדי למנוע התפשטות, בודקים מה נפגע ומה עדיין תקין, משחזרים שירותים לפי סדר עדיפויות ומחליפים הרשאות או סיסמאות במידת הצורך. רק לאחר החזרה לפעילות בודקים את שורש האירוע ומעדכנים את ההגנות. ניסיון להחזיר הכול במהירות ללא בדיקה עלול להחזיר גם את הבעיה.

העובדים הם קו הגנה, לא נקודת אשמה

קל להאשים עובד שלחץ על קישור, אבל גישה זו גורמת לאנשים להסתיר טעויות במקום לדווח עליהן. עסק מוגן יותר הוא עסק שבו עובד מרגיש בנוח להרים טלפון מיד כשמשהו נראה חריג – גם אם בסוף מתברר שלא קרה דבר.

הדרכה אפקטיבית אינה חייבת להיות ארוכה. היא צריכה להציג דוגמאות מהעבודה היומיומית: בקשה דחופה לשינוי חשבון בנק, קובץ לא צפוי מספק מוכר, הודעה שנשלחה מהנהלה בשעה חריגה או חלון שמבקש להזין סיסמה מחדש. העובדים צריכים לדעת לעצור, לאמת מול גורם מוכר ולבקש סיוע.

גם ההנהלה צריכה להשתתף בכללים. חשבונות של מנהלים הם יעד מבוקש, מפני שיש להם לעיתים גישה רחבה למידע ולהעברות כספים. כאשר הכללים חלים על כולם, קל יותר ליצור תרבות עבודה אחראית ולא רק דרישה טכנית מהצוות.

איך בוחרים מענה מקצועי לאבטחת מידע

כאשר אין מחלקת מחשוב פנימית מלאה, או כשהצוות הקיים זקוק לתגבור, כדאי לבחור ספק שלוקח אחריות גם על התכנון וגם על הביצוע. אין די בהמלצה כללית להתקין תוכנה. נדרש גורם שמכיר את התשתיות, בודק גיבויים, מטפל בהרשאות, זמין בעת תקלה ומסביר להנהלה מהו הסיכון ומה נדרש לעשות.

כדאי לבחון האם השירות כולל ניטור, תחזוקה מונעת, טיפול מרחוק והגעה פיזית בעת הצורך. חשוב לשאול גם מי מטפל באירוע דחוף, מה זמני התגובה, אילו בדיקות מבוצעות באופן קבוע ואיך מתועדת העבודה. שירות מנוהל טוב מייצר תמונה אחת ברורה במקום אוסף ספקים שכל אחד אחראי רק על חלק קטן מהמערכת.

ב-A-zuzIT הגישה היא לבנות מעטפת שמתאימה לעסק ולדרך שבה הוא באמת עובד: מתשתיות ורשתות, דרך גיבוי וענן ועד תמיכה שוטפת בעובדים. המטרה אינה להעמיס מערכות, אלא לצמצם סיכונים, למנוע השבתות ולתת לבעלי העסק כתובת אחת שאפשר לסמוך עליה.

הצעד הנכון אינו לחכות לאירוע הראשון. התחילו במיפוי פשוט של המידע הקריטי, המשתמשים, הגיבויים וההרשאות שלכם, ובדקו כבר עכשיו מי יזהה בעיה ומי יטפל בה אם היא תתרחש מחר בבוקר.