חוק הגנת הפרטיות – מזכרונותי כמנהל אבטחת המידע במשרד הבריאות בשנים 1993-2000.

בכוונתי לכתוב מספר מאמרים העוסקים בהגנת הפרטיות ובחוק הגנת הפרטיות, בהגנת הפרטיות ובאבטחת מידע. תחילת עיסוקי בנושא החלה כאשר התחלתי את עבודתי במשרד הבריאות בספטמבר 1993 כאחראי על אבטחת המידע במשרד.

למאמר הראשון בסדרה קראתי בשם: חוק הגנת הפרטיות כ"חוק מחנך" .
בשנים 1993 ועד 2000 שימשתי כמנהל אבטחת המידע של משרד הבריאות. במסגרת זו הייתי נציג משרד הבריאות בישיבותיה של וועדת החוקה חוק ומשפט של הכנסת בדיוניה על התיקון לחוק הגנת הפרטיות, תיקון שנוסחו התקבל ב-12.3.1996 בכנסת וידוע כתיקון מס' 4 לחוק הגנת הפרטיות. זהו התיקון רחב ההיקף ביותר שבוצע בחוק מאז נחקק ועדיין הנוסח העדכני של החוק שאומנם שונה מאז 1996 מספר פעמים, איננו כולל שינויים מהותיים בכמות ובהיקף כפי שעדכון זה יצר באותה העת למול הקיים. יש לציין שבאותו המעמד תוקן רק החוק וללא תיקון מקביל בתקנות הגנת הפרטיות.
אני מודה שאינני משפטן ואת כל הידע שהיה לי בהבנת השפה המיוחדת שבה כתובים חוקים במדינת ישראל, שפה שקראתיה "עברית משפטית", קיבלתי מידיה המקצועיות של היועצת המשפטית של משרד הבריאות, עו"ד מירה היבנר-הראל ועד היום אני מודה לה בכל הזדמנות ולא אחסיר זאת גם הפעם, על הזמן שהקדישה לי והידע רחב ההיקף שהעניקה לי.
בראש וועדת החוקה חוק ומשפט באותם הימים, ימי ממשלת רבין, ולאחר הירצחו, ממשלת פרס ותקופת הפיגועים הרצחניים, עמד ח"כ לשעבר דדי צוקר ממרצ כאשר לצידו ח"כ אז והיום שר בממשלה, דן מרידור.
בדיון באחד מהסעיפים בחוק שאינם עומדים בקנה אחד עם המציאות הישראלית אמר לפתע יו"ר הוועדה, הח"כ לשעבר דדי צוקר: בהיבט זה חוק הגנת הפרטיות הוא חוק מחנך. כלומר ברור למחוקק שישנם בו סעיפים שאינם מציאותיים, אבל הם משדרים לאזרחי המדינה מגמה שעליהם ללכת לאורה, כך שברבות השנים החקיקה תיצור שינוי התנהגותי.
זו אמירה בעייתית. בחוק ישנם סעיפים שאי עמידה בהם משמעותה מאסר בפועל. האם תפקידו של חוק הוא לחנך או שתפקידו של חוק הוא להגדיר דרישות ולהעניש את פורעי החוק? חינוך אמורה להיות מלאכתם של בתי הספר לסוגיהם השונים, המורים, ההורים. חוק ובייחוד כזה שיש בו ענישה פלילית של מאסר בפועל אמור להיות בר אכיפה ואכיפתו מופעלת בפועל. נראה שבנושא "ערכים", והגנת פרטיות הינה "ערך" שלטה מגמה שאין חובה לציית אלא המחוקק מתווה כיוון, "מורה לחיים" לאי שם בעתיד, אבל ציות? ענישה? אלו מאיתנו והלאה. ואכן, חווינו שנים רבות של התעלמות מוחלטת כמעט של גורמי האכיפה למיניהם בנושא זה.
גורמי האכיפה כתבתי. ומה עם הממשלה עצמה? האם היא עצמה מלאה אחר הדרישות שחייבה אותה הרשות המחוקקת?
התחלפו ממשלות ומצאה עצמה ממשלתו הראשונה של ביבי נתניהו מחוייבת להקים את יחידת הפיקוח (סעיף 10 (ד) לחוק הגנת הפרטיות המתוקן): "שר המשפטים, באישור ועדת החוקה חוק ומשפט של הכנסת, יקים בצו, יחידת פיקוח שתפקח על מאגרי המידע, רישומם ואבטחת המידע בהם; גודלה של היחידה יותאם לצורכי הפיקוח". התיקון כאמור נחקק במרץ 1996 ונכנס לתוקף באפריל 1996.
הצו הוצא ע"י שר המשפטים לשעבר יוסף ביילין. התאריך: 15 נובמבר 1999. היה זה בממשלת ברק. למר צחי הנגבי שכיהן בממשלת נתניהו הראשונה כשר משפטים החל מנובמבר 1996 ועד לסיום כהונתה של ממשלה זו בקיץ 1999 לא היה מספיק זמן, עניין או תקציב להקים את יחידת הפיקוח.
רק בשנים האחרונות, בעקבות הקמת הרשות למשפט טכנולוגיה למידע בשנת 2006 והעומד בראשה, עו"ד יורם הכהן אנו רואים שיפור בנושא זה, אם כי עוד ארוכה הדרך לפנינו.

ניהול כולל של סיכונים

1. קצת על אוסטרליה

אוסטרליה חוותה בשבועות האחרונים אסון טבע בקנה מידה שקשה לתאר אותו, שטחים בגודל של צרפת וגרמניה ביחד הוצפו, ביניהן העיר השלישית בגודלה באוסטרליה, בריסביין.
יחד עם זאת, מספר הנפגעים בנפש יחסית קטן. עשרות בודדות. נכון, הרוב התרחש באיזורים לא מיושבים. גם אם ניקח את זה בחשבון, עדיין זה איננו מובן מאליו יחסית לכמות הבתים שנפגעו: עשרות אלפי בתים. כיצד זה קורה? האם זה נס?
זה לא נס. זוהי מקצוענות ולה שם אחד: ניהול כולל של סיכונים.
באתר של הגורם האחראי באוסטרליה להגנה על תשתיות לאומיות מופיע המשפט הבא:

It is vital that owners and operators of critical infrastructure, both the private sector and government organisations, are able to plan for, withstand and respond to a broad range of threats and hazards, including pandemics, negligence, accidents, criminal activity, cyber attack, and natural disasters that have the potential to disrupt their operations.

לא נעשית אבחנה בין לדוגמה: רשלנות (negligence), מתקפת מחשבים (Cyber attack), או אסון טבע (natural disaster), לכולם יש לספק מענה.

לדעתי, הסיבה שלא נעשית האבחנה ברמה האסטרטגית נובעת מהבנה בסיסית של ניהול סיכונים, כיוון שלשלל האיומים המתוארים ישנו פוטנציאל ליצור תוצאה סופית זהה. זאת למרות שהסיכויים שזו תתרחש כתוצאה מרשלנות, ככל הנראה שונה מאשר שתתרחש כתוצאה מאסון טבע, והסיכוי שיתרחש אסון טבע בהיקף שהתרחש בשבועות האחרונים הוא מזערי לעומת הסיכוי של תאונות, או מתקפת מיחשוב זדונית. ועדיין, ללא קשר לסיבה, התוצאה עלולה להיות אסון בממדים עצומים ועל כן המערך כולו מטפל גם בסיבות (כל אחת דורשת התייחסות מקצועית נפרדת) וגם בתוצאות (אלו דווקא עלולות להיות זהות וללא קשר לסיבות שגרמו להן).

2. קצת על אירוע ההאפלה הגדול בהיסטוריה של ארה"ב, אוגוסט 2003
במהלך חודש אוגוסט 2003, אירעה תקלת החשמל החמורה בתולדות ארה"ב. 50 מליון אזרחי החוף המזרחי (חלקם בקנדה) זכו לכבוד המפוקפק של עלטת חשמל. זו נמשכה עבור אחדים מהם כשבוע.
הדוח המפורט של וועדת חקירה רשמית משותפת לארה"ב ולקנדה קבעה רשימה של סיבות לכשל המחריד. החל מאי ציות לנהלי גיזום עצים גבוהים שפגעו בחוטי הולכת החשמל, דרך חוסר מקצועיות של מפעילים בטיפול במשבר במערך הולכת החשמל ועד כשל בתוכנת ניהול המערכת, כשל מקצועי הידוע כ: race condition.
חלק מהכשלים היו כשלים חוזרים שכבר הופיעו באירועי עלטה קודמים, צויינות בדוחות ביקורת פומביים ולא טופלו כיאות על מנת שלא יחזרו על עצמם. (הלו, זה ארה"ב, נשמע יותר כמו ישראל?).
כלומר, אירוע חמור ביותר נגרם מרצף שניתן לתאר אותו במילה אחת: רשלנות. לא יותר, לא פחות. לרשלנות זו חברו גורמים שונים במקומות שונים במערכת הולכת החשמל בחוף המזרחי באותה העת, אך אם יש לנקוב בסיבה אחת, המילה רשלנות הינה התאור הנאמן ביותר.

3. קצת על ישראל
המדינה חוותה מספר אירועים שבהחלט נכנסים לקטגוריה של אירועים "אסוניים" בקנה מידה לאומי. שניים בתחום הטלקום: פגיעה ממשית בשירותי חברת סלקום בתחילת חודש דצמבר 2010, ודבר דומה בחברת בזק לפני ימים מספר והאירוע השלישי אירוע השריפה בכרמל שהתרחש מיד לאחר שהתרחשה התקלה בחברת סלקום.
כל שלושת האירועים נמצאים בתהליך בדיקה וחקירה ואיננו יודעים בדיוק מה הסיבה לכל אחד מהם. על כן במסגרת זו מותר להניח שהתרחשו מאחת הסיבות המנויות במסמך האוסטרלי.
אם ללמוד מהנסיון האוסטרלי, ניתן לומר שיש לספק מענה לאיומים, דהיינו, לסיבות הספציפיות הדורשות מיומנויות מוגדרות ויחד עם זאת לקחת בחשבון שגם תקלה כתוצאה מטעות אנוש (מענה באמצעות מכלול כלים ושיטותלצמצום טעויות אנוש), חוסר מקצועיות (מענה אפשרי הינו הדרכה מסיבית בבצוע פעילות הדורשת ידע מקצועי), רשלנות (מענה עשוי להיות נהלים ברורים, אכיפתם וענישה על חריגות), או תאונה פשוטה עלולה להביא לאסון ממשי ולא רק מתקפת טילים של חיבאללה או אירועי טרור אחרים.

נושאים שיטפלו בימים הקרובים

מספר נושאים עומדים על הפרק:

בזמן יחסית קצר חווינו מספר אירועים מעניינים:

1. חברת סלולר (סלקום) חוותה אי יכולת לספק שירות. הסיבה עדיין לא ידועה.
2. שריפה בסדר גודל שלא היתה כמותה במדינת ישראל. הסיבה (ככל הנראה) צירוף של מספר נסיבות אך תחילתה בגחלים לוחשות.
3. חברת התקשורת בזק חוותה אירוע של אי יכולת לספק שירות למליון מינויים.

האם זה אומר משהו על ניהול סיכונים לאומי? לדעתי זה בהחלט אומר וייכתב על כך מאמר שכותרתו:
חוסר איזון בשילוב חשיבת התוקף בתוכנית ההגנה.
המאמר יציג את התזה שחשוב לשלב את חשיבת התוקף בתוכנית ההגנה, אך השתלטות התפישה כי רק תוקף חיצוני עויין יכול לגרום לנזק משמעותי הינה הרת אסון. כמובן שיוסבר ההקשר להגנת מידע.

נושא נוסף הינו היחס שבין הגנת מידע והגנת פרטיות.
בעבר הוצגה הגנת המידע כמענה אולטימטיבי לבעיית הגנת הפרטיות. כבר זמן רב ידוע כי ישנם נושאים בהגנת פרטיות שאינם קשורים להגנת מידע. לאחרונה המגמה אף מחריפה וניתן להצביע על מרכיבים מסויימים בהגנת מידע כפוטנציאל לפגיעה בפרטיות.
על אלה במאמר שכותרתו: הגנת פרטיות והגנת מידע - עולם בתהליך שינוי.

אשמח לשמוע האם מי מקהל קוראי הבלוג מעוניין שאתייחס לנושא מסויים?

יאיר

הצורך: התמודדות עם CYBER TERROR. השיטה: שילוב CYBER INTELLIGENCE ולזה ייקרא CYBER DEFENCE

שלום לכל קוראי הבלוג.
זמן רב עבר מאז כתבתי לאחרונה.
בסופ"ש שעבר כתבתי גרסה ראשונה של המאמר, בסופ"ש זה הכנתי גרסה שניה המתייחסת גם בקיצור נמרץ ליתרונות ולחסרונות של השיטה.

במאמר קצר אקח את הקוראים למסע בזק בנבכי המחשבה המודיעינית ויישומה בעבר ובהווה.
מהמשנה השניה של סון טסו:
איזהו מצביא משכיל בהתקפה, שיריבו אינו יודע על מה יגן.
איזהו מצביא משכיל בהגנה, שיריבו אינו יודע מה יתקיף.

אז בואו נשנה אותה קצת:
איזהו מצביא משכיל בהתקפה, שיריבו איננו יודע מה הוא (התוקף) יתקוף.
פרשנות: מיהו יריבו של התוקף? המגן. כלומר אם המגן איננו מכיר את תוכניות המתקפה, ועל כן הוא ייאלץ להגן על הכל מכל... זה כמובן בלתי אפשרי ועל כן המגן עתיד להיכשל.

איזהו מצביא משכיל בהגנה, שיודע מה יריבו (התוקף) רוצה לתקוף.
פרשנות: יריבו של המגן הוא התוקף. על כן, מגן אשר יודע מהן תוכניותיו של התוקף יוכל להיעזר בכך לשיפור נקודות תורפה בהגנתו ואולי אף לסכל את תוכניות התקיפה עצמן. היכן מסתתרות להן תוכניות התקיפה של התוקף? אם המגן ידע לחשוף את המידע הזה מבלי שהתוקף יהיה מודע שסודות תקיפתו התגלו... זוהי פעילות מודיעין חשאית.

קצת היסטוריה:
בספרו "סודות יום הפלישה" מתאר Gilles Perrault אירוע המתרחש כשלושה שבועות לאחר פלישת בעלות הברית לנורמנדיה.
מוצב גרמני רב עוצמה בקרבת שרבורג שהצליח להדוף את כל המתקפות של בעלות הברית נכנע. לא בגלל שחיילי בעלות הברית הצליחו לפרוץ את ההגנה, ולא בגלל העדיפות בכוח אדם וכוח אש של בעלות הברית. מפקד הדיוויזיה הרביעית האמריקנית מיור גנרל בארטון מגיע בלווית כמה מאנשי מטהו למוצב הגרמני ומציג למפקדו הגרמני מיור קיפרס מפה. המפה כללה את פריסת כוחות בעלות הברית העדיפים אך גם את כל פרטי פרטיו של המוצב הגרמני. הקצין האמריקני היה משוכנע שכאשר יציג לגרמני את מפת ההיערכות של בעלות הברית ישוכנע הגרמני שאין לו סיכוי וייכנע. אך מסתבר שכניעתו של המפקד הגרמני נבעה מסיבה אחרת לחלוטין. במפה הוצג גם כל מערך ההגנה הגרמני, כולל שמות המפקדים וכינוייהם העובדה שהוא הוצג "עירום ועריה" היא זו שהכריעה את הכף. דוגמה מדהימה לעוצמתו של מודיעין מדויק.

נעבור לעידן המודרני של הגנת מערכות מיחשוב מפני מתקפות. שנת 2009 הינה שנת מפנה. מתבצעת מתקפת לוחמת מידע על דרום קוריאה, המאשימה מיד את צפון קוריאה. לאחר מספר ימים מתפרסם ניתוח של התקיפה ע"י צוות מומחי אבטחת מידע מחברת BKIS מהאנוי, וייטנאם. הם מאתרים את שמונת שרתי השו"ב השולטים ב-Botnet שבאמצעותו בוצעה התקיפה, (השרת הראשי בבריטניה), ומאתרים את העובדה שחלק מהמחשבים ששימשו לתקיפה קיבלו פקודות "השמדה עצמית" של הדיסק על מנת שלא ניתן יהיה לאתר אותם לאחר מעשה.
שאלת המפתח הינה:

האם ניתן היה לאתר את המידע שמצאה חברת BKIS עוד טרם הוצאתה של המתקפה לפועל? אם כן, מה המשמעות האופרטיבית?

המענה:
1. הכנת מתקפה מחייבת את התוקף לאסוף מודיעין ובעידן המודרני לעתים להכין את ה"צבא". ה"צבא" הינם מחשבים שהם כשלעצמם אינם יעד המתקפה אלא משמשים כ"חיילים" (Botnet). בהם שותלים תוכנה זדונית אשר עפ"י פקודה ממערכת השו"ב של התוקפים תפעיל את המתקפה כנגד יעד או יעדי המתקפה האמתיים.

2. המידע כולל (בין היתר) מידע על יעדי המתקפה (כתובות, ועוד). כל המידע הזה נשלט ע"י מערכת מחשב לשליטה ובקרה הנמצאת בידי התוקף.

3. מהי דרך הפעולה של המגן לאור האמור לעיל:

א. לאתר את מחשבי השליטה הבקרה מבעוד מועד, ולמצות מהם את המודיעין וכל מידע רלוונטי אחר על מנת להבין מה מכין התוקף.

מדובר בשלב נוסף בהגירה של תפישות עולם ביטחוניות-צבאיות לעולם האזרחי. כך היה עם הצפנות וכך עתה עם מודיעין.
ב. מי עושה פעילויות מסוג זה בעולם הצבאי? יחידות כמו סיירת מטכ"ל ואחרות. בעולם "הביטחוני-האזרחי" במדינת ישראל זה המוסד ואולי גורמים עלומים נוספים.

4. במה מדובר?

מדובר בשילוב של מספר גורמים:

א. הכרה וניסיון רב של עבודת מודיעין כולל היכולת להפריד בין מידע אמיתי ובין מידע מטעה (דיס אינפורמציה), זאת מכיוון שיש לקחת בחשבון שמדובר בתוקפים מתוחכמים הלוקחים בחשבון את העובדה שינסו למצות מהם מידע.

ב. רמת הכרה טכנית גבוהה של פעילויות מיחשוב, תקשורת, קוד זדוני ומחקר שוטף בנושאים אלה ואחרים.

ג. קישור למידע המצוי בידי חברות אבטחת מידע, פורומים של חברות ויועצי אבטחת מידע ופורומים של האקרים למיניהם.

ד. יכולת לנתח את הנתונים שהתקבלו ולהסיק מה מתוך כל הנדרש להגן מהווה יעד למתקפה ועל כן כיצד לשפר את מערך ההגנה כך שיהיה ערוך טוב יותר למול מתקפה ממוקדת ומתוכננת.

5. יתרונות השיטה:

א. איננה מפריעה לביצועה של תוכנית הגנת המידע הארגונית הקיימת. הפעילות מבוצעת רק ב"עולם" ואיינה כוללת איסוף מידע במערכות המחשוב הארגוניות. המשמעות היא שלא מבוצעת כל התקנה של חומרה או תוכנה לא בשרתי ולא בתחנות הקצה הארגוניות, הארגון "לא מעורב".

ב. מאפשרת לקבל מידע מקדים על תכנון מתקפה כולל איתור יעדים מיחשוביים קונקרטיים בארגון. בהיבט זה השיטה מאפשרת קבלת נתונים על, וייתכן גם איתור של חולשות אפשריות בתוכנית הגנה המידע הארגונית אשר לא היו ידועות כלל או שלמרות שהיו ידועות לא ניתנה עליהן הדעת במידה מספקת.

6. חסרונות השיטה:

א. איננה מבטלת משאבים נדרשים לתוכנית הגנת המידע הקיימת ועל כן מהווה גורם צורך משאבים נוסף על הקיים.

ב. איננה מבטיחה שבכלל יינתן מודיעין לארגון. לכך ייתכנו מספר סיבות:

1. הארגון לא היה מעולם יעד למתקפה ועל כן אין מידע הניתן למיצוי לגביו.

2. הסוואת יעדי התקיפה הארגוניים הצליחה להערים על כלי איסוף המידע. מדובר במלחמת מוחות מודיעינית-טכנולוגית, שיש בה לעתים גם כשלונות בצד ההצלחות.

ג. איננה מבטיחה שבהינתן מודיעין הוא בהכרח עדכני. איסוף מידע תקיפה ב"עולם" עלול להפיק מידע מיושן שהושאר בכוונה כדי להטעות או שפשוט הושאר שם בעבר, בדיוק כשם שתהליך מיפוי ארגוני הנעשה ע"י הארגון עצמו עלול באם לא יעודכן מעת לעת להציג את טופולוגית המחשוב הקודמת ולא העדכנית.

לסיכום:

זוהי התוספת העדכנית והאחרונה (לעת עתה) הנדרשת לעולם הגנת המידע הקלאסי. זוהי התוספת הנדרשת להתמודד עם מתקפות מתוכננות, ממוקדות ומסוכנות אלו שניתן לכנותן CYBER TERROR אשר מחולליהן הינם ארגוני פשע וטרור וארגונים עוינים מסוגים שונים.

אנו מצויים בתחילתו של שלב נוסף במאבק להגן על מערכות המחשוב ועל החיים בחברה אשר מערכות המחשוב הינן התשתית המניעה אותם. יידרש זמן על מנת לשכלל את השיטה, למקסם את יתרונותיה ולצמצם את חסרונותיה.

ניהול סיכוני טכנולוגיית המידע. לא עוד "אבטחת מידע" או "הגנת מידע"

ניהול סיכוני טכנולוגיית המידע הנו השם העדכני לתהליך שכונה בעבר "אבטחת מידע", "הגנת מידע" או "הגנת נכסי המידע" או צבר רב של שמות שכולם סביב המונח "הגנה".
הגנה משמעותה התמקדות במגן ובמידע שעליו מגינים. ניהול סיכוני טכנולוגיית המידע מתמקד בשני מרכיבים בה בעת: מרכיב הניהול ומרכיב תוכן שהוא סיכוני טכנולוגיית המידע.
במאמר סקירה מהי המשמעות של השינוי, כיצד על מנהל סיכוני טכנולוגיית המידע לנהוג בעידן החדש שאנו בפתחו והשלכות ארגוניות נוספות.
ניהול סיכוני טכנולוגיית המידע הפך בשנים האחרונות לנדבך משמעותי בתהליכי העבודה של טכנולוגיית המידע ומעבר לה בארגונים רבים. אחת הסיבות העיקריות לכך הינה פעילות נמרצת של מחוקקים ורגולטורים בארץ ובעולם במהלך העשור הראשון למאה הנוכחית. די אם נזכיר את חוקי ה-GLBA (סקטור בנקאות בארה"ב), HIPAA (סקטור הבריאות בארה"ב), חוק SOX (ארה"ב והשלכותיו ברמה הבינלאומית, לדוגמה בארץ וועדת גושן), רגולציית בזל II הבינלאומית לסקטור הבנקאות ועוד ועוד. בארץ: הוראת ניהול בנקאי תקין מס' 357 של המפקח על הבנקים המיועד לתאגידים בנקאיים, ההוראה לניהול סיכוני טכנולוגיית המידע של המפקח על הביטוח החלה על גופים מוסדיים, תחילת הפעילות (בעולם ובארץ) להגנתן של תשתיות מחשוב חיוניות וההתעוררות בנושא הגנת הפרטיות לאחר הקמתה לפני כשלוש שנים של הרשות למשפט טכנולוגיה ומידע במשרד המשפטים.
כל אלה הפכו את התחום ממרכיב שולי, לעתים נשכח לחלוטין, לאחד מעמודי התווך של השימוש במידע ובטכנולוגיית מידע. ביטוי לכך הינה גם העובדה שהארגונים הנתונים תחת הרגולציות השונות חייבים למנות מנהל שעיסוקו הבלבדי (או הכמעט בלבדי) הנו ניהול התחום והכפפת מנהל זה לגורם בכיר בארגון.
בנקודה זו אנו נחזור ונתפצל לשני הערוצים: הניהול וסיכוני טכנולוגיית המידע.
מהי אחת מהמשמעויות של ניהול?
היכולת לדעת בכל נקודת זמן מהו המצב של מה שאני כמנהל מופקד עליו. במקרה שלנו, היכולת לספק נתונים לגבי החשיפות שהארגון נתון בהן עקב השימוש במידע ובטכנולוגיית מידע ורמת צמצומן לאור יישומן של בקרות מתאימות בתחומים פיזיים, טכנולוגיים, אנושיים ותהליכיים.
כיצד מושג המידע הזה?
מבצעים סקרים/ביקורות שבהם נבדקות בקרות האבטחה שהותקנו (בתחומים שנמנו לעיל). תוצאות הסקרים/ביקורות (ממצאים והמלצות) אוגרים במסד נתונים. ממסד הנתונים יוכל מנהל סיכוני טכנולוגיית המידע (וגורמים מורשים אחרים בארגון) לשאוב בכל עת ובכל חתך מבוקש את החשיפות ואת מצב האבטחה. לדוגמה: אלו חשיפות מטופלות במלואן, אלו חשיפות בתהליך טיפול ומה הלו"ז לסיום הטיפול וכד'. ניתן לעדכן את החשיפות עצמן עקב קבלת מידע על חשיפות חדשות וכד'.
מסד נתונים זה מכיל אם כך במצטבר את מירב הכשלים בניהול סיכוני טכנולוגיית המידע של הארגון והוא מצוי דרך קבע במחשבי הארגון. יש לציין שמסד הנתונים יכול להיות ייעודי לנושא ניהול סיכוני טכנולוגיית המידע ויכול להיות שמדובר במסד נתונים כלל ארגוני כאשר נתוני סיכוני טכנולוגיית המידע משולבים בו. כך או כך מדובר בנתונים המציינים מהם הכשלים של השימוש במידע ובטכנולוגיית המידע בארגון לאורך זמן.
בהתייחס למסד נתונים זה נעבור למרכיב השני, סיכוני טכנולוגיית המידע.
נוסף לנו מסד נתונים אשר הוא עצמו מרכיב במערך טכנולוגיית המידע. המרכיב כולל כמו כל האחרים: חומרה, תוכנה, תהליכי עבודה, וגורמים אנושיים (לדוגמה: משתמשים מקומיים, משתמשים מרוחקים המספקים תמיכה וכד'). כל זאת מזכיר לנו אחד לאחד את מכלול הפעילויות שתורת ניהול סיכוני טכנולוגיית המידע דורשת להכיל על מערכות טכנולוגיית המידע הארגוניות. ואכן, אין שוני מהותי. מדובר בנדבך נוסף למערך טכנולוגיית המידע הארגוני שיש לכלול אותו בנשימה אחת עם כל שאר המרכיבים. לא מדובר ב"חתיכת תוכנה", אלא במערכות ארגוניות הכוללות בדיוק את אותם המרכיבים של כל מערכת ארגונית אחרת, תהא זו עסקית בגופים עסקיים לגווניהם השונים, ציבורית בגופים ציבוריים או בטחונית בגופים בטחוניים. יש לציין לגבי תהליך ספציפי זה שמדובר במסד נתונים המכיל נתונים רגישים במיוחד, גם אם אין בהם שום נתון רגיש הקשור לתהליכי העבודה של הארגון עצמו. זהו צבר של הכשלים אשר באמצעותם ניתן לממש את כל או רוב האיומים שבהם נתון מערך טכנולוגיית המידע בארגון.
זוהי רק דוגמה אחת (אולי הבולטת מכולן) כיצד המעבר הסמנטי לכאורה מ"אבטחת מידע"/"הגנת מידע" ל-"ניהול סיכוני טכנולוגיית המידע", איננו סמנטי כלל אלא משנה באופן מהותי ובלתי חוזר את האופן שבו על הארגון להתייחס לתחום ניהול סיכוני טכנולוגיית המידע.
המשמעות המיידית של האמור לעיל הינה שניהול סיכוני טכנולוגיית המידע הינה תהליך כמו כל תהליך ארגוני אחר. ככל תהליך, יש גם בו סיכונים. במהלך ניתוח ודרוג הסיכונים של השימוש בטכנולוגיית המידע יש לכלול את הסיכונים בתהליך, בטכנולוגיות ובאמצעים שבהם נעשה שימוש, וזאת כחלק אינטגראלי של ניתוח סיכוני השימוש בטכנולוגיית המידע.
מיד אם כך תשאל השאלה הבאה: מי יופקד על ניהול הסיכונים של תהליך ניהול סיכוני טכנולוגיית המידע? הרי הוקם גוף שהוא המקצוען בארגון לניהול סיכוני טכנולוגיית המידע. כעת מסתבר שיש לנהל גם את סיכוניו הוא. האם הוא עצמו יכול לנהל את סיכוניו? ואם לא, מי כן? הוא הרי המומחה בנושא ברמה הארגונית, אין טוב ממנו בארגון.
לדעת כותב שורות אלו התשובה טמונה בשילוב של שני גורמים. בשלב הראשון אכן הגוף הממונה על ניהול סיכוני טכנולוגיית המידע יגדיר את התהליכים הנדרשים על מנת לנהל את סיכוניו הוא, כאשר גורם ביקורת ענ"א הפועל במסגרת ביקורת הפנים הארגונית (ובאם אין כזה יבוצע ע"י גורם חיצוני) יהווה את המאשר והמבקר תקופתית את התהליך הנ"ל.

המאמר פורסם במקביל במקטע NEWSLETTER באתר חברת אבנת באינטרנט תחת הכותרת: "הרבה יותר מאבטחת מידע או הגנת מידע".

התנאים שבהם מנהל אבטחת המידע לא יובס - מאמר שני

משנה שניה:
איזהו מצביא משכיל בהתקפה, שיריבו אינו יודע על מה יגן.
איזהו מצביא משכיל בהגנה, שיריבו אינו יודע מה יתקיף.
וזוהי כל תורת המלחמה על רגל אחת...

מדברי סון טסו, בספרו אמנות המלחמה. מוערך שנכתב בסביבות 500 לפה"ס, כלומר לפני 2,500 שנה.

במשנה הראשונה למדנו:

הכר את האויב שלך והכר את עצמך. אפילו תילחם במאה קרבות, לעולם לא תובס.

אם אינך מכיר את האויב, אבל אתה מכיר את עצמך, סיכוייך לנצח או להפסיד שווים.

אם אינך מכיר לא את האויב שלך ולא את עצמך – אין ספק שתובס בכל הקרבות.

אמרנו שהמקבילה לעולם אבטחת המידע הנה אחת לאחת:
הכר את האויב: ניתוח מלא של איומים וסיכונים למידע ולמערכות המידע.
הכר את עצמך: הכר את הארגון, מערכות המידע ותהליכי העבודה שבהם הארגון עושה שימוש במערכות המידע

וכעת הוספנו את המשנה השניה.
מהי המשמעות של המשנה השנייה בשדה הקרב של עולם המחשוב ההגנתי וההתקפי?
מנהל אבטחת המידע הבא להכין תוכנית הגנה להתמודדות עם האיומים והסיכונים, יצא מתוך נקודת מוצא של מי שמתכנן לתקוף אותו. מנהל אבטחת המידע צריך למעשה לספק מענה לשאלה הבאה:
כיצד אני בונה את מערך ההגנה שלי כך שהתוקף לא יוכל לקבל מענה מספק לשאלה שהוא מציב לעצמו:

כיצד הכי כדאי לי (לתוקף) לבצע את התקיפה.
אופן בניית מערך ההגנה יספק מענה לכוונתו של התוקף, ולא למחשבתו של המגן. כוונת התוקף איננה לתקוף סתם.
מטרת התוקף הנה לתקוף ולהצליח בתקיפתו. על מנת להכשיל את התוקף, על מנהל אבטחת המידע להכיר את דרכי התקיפה האפשריות העומדות לרשות התוקף ולגרום לכך שהתוקף לא יוכל לספק מענה לעצמו האם קיים סיכוי סביר שתקיפתו תצליח, באף לא אחד מדרכי התקיפה.
זו איננה הגישה הרווחת היום שבה מנהל אבטחת המידע מנסה באמצעות בניית תוכנית האבטחה שלו לספק מענה לשאלה הבאה: כיצד אני מנקודת המבט שלי כמגן, מתכנן מערך הגנה מיטבי. גישה זו רווחת (בין היתר) עקב הדרישה לספק מענה למגוון רגולציות אשר בהן חלקים נרחבים מהמענה האבטחתי כבר נקבעים מראש, בלא שניתן בהן המשקל המתאים לתוצאותיו של ניתוח איומים וסיכונים פרטני.
ההבדל המהותי נעוץ בבחירת נקודת המבט של התוקף כבסיס לתכנון ההגנה שלי ולא נקודת המבט של המגן כבסיס.
באופן דומה יש להתייחס למצב ההפוך. כיצד תוקף אמור לתכנן את תקיפתו.
סון טסו אומר: תכנן את תקיפתך באופן שבו המגן לא ידע על מה כדאי לו להגן יותר.

ואם נשלב את שתי המשנות לכדי משנה מאוחדת נקבל את התובנה הבאה:

מנהל אבטחת המידע יפעל באופן הבא על מנת שלא יובס ע"י האויבים (מבית ומבחוץ):
1. יבצע ניתוח איומים וסיכונים מלא המאפשר לו להכיר מול מה הוא עומד.
2. ילמד היטב את ארגונו הוא, בהבטים הלא טכנולוגיים ובהבטי טכנולוגיית המידע.
3. יכין תוכנית להתמודדות עם האיומים והסיכונים כאשר במרכזה מתן מענה לשאלה: כיצד התוכנית מספקת מענה לאותם איומים וסיכונים, כך שמי שמנסה לממשם יתקשה לספק לעצמו מענה לשאלה באיזה מהלך התקפתי לבחור על מנת שיהיה בעל סיכוי סביר להצליח.

חג חנוכה שמח לכל קוראי הבלוג.

יאיר

מהי האסטרטגיה שעל מנהל אבטחת המידע לנקוט על מנת שלא יובס.

חזרתי לאחר מספר חודשי "יובש".
מתחיל בסדרת מאמרים קצרים המתייחסים להקבלה שבין אמנות המלחמה כפי שזו באה לידי ביטוי בדברי החכם הסיני, סון טסו ואבטחת מידע מודרנית במאה ה-21.

פרק ראשון: מהי האסטרטגיה שעל מנהל אבטחת המידע לנקוט על מנת שלא יובס.

המאמר כתוב בלשון זכר לנוחות בלבד, והכוונה למנהל אבטחת מידע ולמנהלת אבטחת המידע כאחד.

מדברי סון טסו, בספרו אמנות המלחמה. מוערך שנכתב בסביבות 500 לפה"ס, כלומר לפני 2,500 שנה.

משנה ראשונה:

הכר את האויב שלך והכר את עצמך. אפילו תילחם במאה קרבות, לעולם לא תובס

אם אינך מכיר את האויב, אבל אתה מכיר את עצמך, סיכוייך לנצח או להפסיד שווים.

אם אינך מכיר לא את האויב שלך ולא את עצמך – אין ספק שתובס בכל הקרבות.

לא במקרה דברים אלו של סון טסו נלקחו על ידי כמי שעוסק למעלה משני עשורים בייעוץ אבטחת מידע ועל ידי יועצים אחרים העוסקים בתחום זה כמוטו מרכזי לפעילות מנהל אבטחת המידע.
סון טסו דיבר על מצביא, המנהיג את צבא קיסר סין. היום אנו מדברים על מנהל אבטחת המידע, המנהיג את פעילות אבטחת המידע בארגון.
מהו ה"הכר את האויב" של אבטחת המידע? בלשוננו המקצועית זהו תהליך ניתוח איומים וסיכונים המופנים כנגד המידע וטכנולוגיית המידע שבה נעשה שימוש בארגון. אלו כוללים הבטים תהליכיים, אנושיים וטכנולוגיים, פנימיים וחיצוניים.
מהו ה"הכר את עצמך" של אבטחת המידע? הכר את הארגון שאתה משמש בו כמנהל אבטחת המידע. הכר סביבת פעילותו ופעילותו, המבנה הארגוני, תהליכי העבודה בארגון, מיפוי מלא ושלם של טכנולוגיית המידע וזרימת המידע בארגון, תהליכי רכש של רכיבי טכנולוגייה חדשים המשפיעים או עשויים להשפיע על אבטחת המידע, רכיבי אבטחת המידע הקיימים, חוזקותיהם וחולשותיהם וכד'.
מנהל אבטחת המידע אשר מבצע את שני התהליכים הללו באופן מובנה ותקופתי ומקבל החלטות מושכלות על פיהן (במשנה השניה נבין מהן אותן החלטות מושכלות) , גם אם יילחם ב-100 קרבות, דהיינו הארגון יותקף פעמים רבות, מגורמי פנים וגורמי חוץ, בהבטים טכנולוגיים או אנושיים, סביר להניח עפ"י דברי סון טסו שלא יובס.
לא במקרה משתמש סון טסו במונח: "לא יובס" ולא "ינצח".
ניצחון אצל סון טסו הנו המצב שבו העליונות משיגה את תוצאתה ללא מלחמה בפועל.
לא יובס במשמעותנו, יאמר שהארגון ימשיך לתפקד, המידע וטכנולוגיית המידע לא ישובשו במידה כזו שהארגון יפסיק לתפקד, אם כי ייתכן והתוקפים יזכו מעת לעת בהצלחה מוגבלת, במימדי זמן ומרחב.
אם לא יבצע אחת מהמטלות כראוי או שלא יבצעה בכלל, סיכוייו כדברי סון טסו הנם חציחצי.
במידה ואיננו מכיר את אויביו ואיננו מכיר את עצמו, יובס תמיד.
הפרק השני יעסוק במשנה השניה: איזהוא המצביא המשכיל בהגנה ואיזהוא המצביא המשכיל בהתקפה. נבחן את המשמעות לאבטחת מידע הנגזרת מכך. בסופו נאחד את שתי המשנות לכדי משנה סדורה אחת.