מהן בדיקות חדירה (PT)?
בדיקות חדירה, המכונות Penetration Testing – בדיקות חדירה (PT), הן בדיקות אבטחה המדמות ניסיונות תקיפה על מערכות, יישומים, רשתות או תשתיות של הארגון, במטרה לזהות חולשות ופגיעויות לפני שגורם עוין ינצל אותן.
הבדיקות מבוצעות על ידי גורם מקצועי ובסביבה ובהיקף שהוגדרו מראש, ולאחריהן מתקבל בדרך כלל דוח הכולל את הממצאים, רמת החומרה והמלצות לטיפול.
מה בודקים במסגרת בדיקות חדירה?
בהתאם למערכות ולהיקף שנקבע, ניתן לבדוק, בין היתר:
- מערכות ויישומי אינטרנט.
- שרתים ותשתיות תקשורת.
- מערכות ענן.
- ממשקי API.
- מנגנוני הזדהות והרשאות.
- חשיפה של שירותים ומערכות לרשת האינטרנט.
- חולשות שעלולות לאפשר גישה בלתי מורשית, חשיפת מידע או פגיעה במערכות.
מה ההבדל בין סריקת פגיעויות לבדיקת חדירה?
סריקת פגיעויות היא בדרך כלל בדיקה אוטומטית שמטרתה לאתר חולשות ופגיעויות מוכרות.
בדיקת חדירה כוללת בחינה מעמיקה יותר של האפשרות לנצל חולשות בפועל, בהתאם להיקף ולכללים שהוגדרו לבדיקה.
שתי הבדיקות יכולות להשתלב כחלק מתהליך ניהול אבטחת המידע של הארגון.
בדיקות חדירה ותקן ISO 27001
תקן ISO/IEC 27001:2022 אינו קובע שכל ארגון חייב לבצע בדיקת חדירה באותה תדירות או באותו היקף. הצורך בבדיקה נקבע בהתאם לסיכוני הארגון, למערכותיו, לדרישות חוזיות ורגולטוריות ולבקרות הרלוונטיות שנקבעו במסגרת מערכת ניהול אבטחת המידע.
כאשר בדיקות חדירה נדרשות כחלק מהבקרות שהארגון קבע, חשוב להגדיר את היקף הבדיקה, לתעד את התוצאות, לטפל בממצאים ולעקוב אחר השלמת הפעולות הנדרשות.
כיצד מתייחסים לממצאי בדיקות PT?
לאחר קבלת דוח הבדיקה יש לבחון את הממצאים בהתאם לרמת הסיכון והחומרה, לקבוע אחריות ומועד לטיפול ולעקוב אחר ביצוע הפעולות.
בהתאם לצורך מבוצעת בדיקה חוזרת לאחר הטיפול כדי לוודא שהפגיעויות טופלו באופן אפקטיבי.
בדיקות חדירה כחלק מההיערכות למבדק ISO 27001
במסגרת ההיערכות למבדק ISO 27001 נבדק האם הארגון זיהה את סיכוני אבטחת המידע הרלוונטיים, קבע את הבקרות הנדרשות ומיישם אותן בפועל.
כאשר בדיקות חדירה רלוונטיות לארגון, יש לוודא שקיימים דוחות עדכניים, שהממצאים מנוהלים, שהטיפול מתועד ושקיימת בקרה על סגירת הממצאים.
המידע והדוגמאות המוצגים במאמר נועדו לספק מידע מקצועי ראשוני והיכרות כללית עם הנושא. המאמר מציג עקרונות ונושאים מרכזיים בלבד ואינו כולל את מלוא דרישות התקנים או את כלל הפעולות הנדרשות לצורך יישומם ועמידה בדרישותיהם. כל ארגון נדרש לבחון ולהתאים את הדרישות ואופן יישומן לסוג פעילותו, לתהליכיו, להיקף פעילותו, לסיכונים שזוהו וכן להוראות הדין ולדרישות אחרות החלות עליו.
