במסגרת יישום ISO/IEC 27001:2022, לא מספיק לקבוע נהלים או לציין כי קיימות בארגון בקרות אבטחת מידע. הארגון נדרש ליישם את הבקרות שנקבעו כרלוונטיות עבורו ולשמור אסמכתאות תומכות המעידות על היישום בפועל.
האסמכתאות מאפשרות להראות את הקשר בין הדרישות שנקבעו, הבקרות שיושמו והפעולות שבוצעו בפועל.
מהן הבקרות של ISO 27001?
נספח A של ISO/IEC 27001:2022 כולל 93 בקרות אבטחת מידע, המחולקות לארבע קבוצות:
- בקרות ארגוניות.
- בקרות הקשורות לאנשים.
- בקרות פיזיות.
- בקרות טכנולוגיות.
הבקרות עוסקות, בין היתר, בהרשאות ובקרת גישה, ספקים, שירותי ענן, גיבויים, אבטחת רשתות, ניהול אירועי אבטחת מידע, פיתוח מאובטח ונושאים נוספים בהתאם לפעילות ולסיכוני הארגון.
האם צריך ליישם את כל 93 הבקרות?
לא בהכרח. הארגון נדרש לבחון את הבקרות בהתאם לסיכונים ולדרישות הרלוונטיות לפעילותו.
בחירת הבקרות מושפעת, בין היתר, מתוצאות הערכת הסיכונים, מסוג המידע והמערכות, מדרישות חוקיות ורגולטוריות, מדרישות חוזיות ומדרישות של בעלי עניין.
בנוסף, הארגון יכול לקבוע בקרות נוספות מעבר לבקרות שבנספח A כאשר הן נדרשות לטיפול בסיכונים.
הקשר בין הבקרות למסמך הישימות – SoA
מסמך הישימות – Statement of Applicability (SoA) מרכז את הבקרות הנדרשות לארגון, את ההצדקה להכללתן, את מצב יישומן ואת ההצדקה לאי־הכללת בקרות מנספח A שנקבע כי אינן נדרשות.
לכן חשוב שתהיה התאמה בין סקר הסיכונים, תוכנית הטיפול בסיכונים, מסמך הישימות והיישום בפועל.
מהן אסמכתאות תומכות?
אסמכתאות תומכות הן ראיות לכך שבקרה או פעולה שנקבעה במערכת ניהול אבטחת המידע אכן מיושמת.
לדוגמה:
- לבקרת הרשאות – רשימת משתמשים והרשאות ותיעוד בדיקות תקופתיות.
- לגיבויים – דוחות ביצוע גיבויים ותוצאות בדיקות שחזור.
- להדרכת עובדים – תיעוד ההדרכה והשתתפות העובדים.
- לניהול ספקים – הערכת ספק ואסמכתאות לבדיקות שבוצעו.
אלה דוגמאות בלבד. האסמכתאות הנדרשות נקבעות בהתאם לבקרה, לסיכון, לאופן היישום ולפעילות הארגון.
נוהל אינו בהכרח הוכחה ליישום
חשוב להבחין בין מסמך המתאר כיצד הארגון קבע שעליו לפעול לבין אסמכתא המעידה שהפעולה אכן בוצעה.
לדוגמה: נוהל הקובע כי הארגון מבצע בדיקה תקופתית של הרשאות המשתמשים אינו מהווה כשלעצמו ראיה לכך שהבדיקה בוצעה. לצורך הוכחת היישום יש לשמור אסמכתא מתאימה לביצוע הבדיקה.
כך גם בתחומים נוספים: המסמכים מגדירים את אופן העבודה, והאסמכתאות תומכות בכך שהפעילות אכן מתבצעת.
בדיקת אפקטיביות של הבקרות
לא מספיק שהבקרה קיימת. יש לבחון גם האם היא פועלת ומשיגה את המטרה שלשמה נקבעה.
בדיקת האפקטיביות יכולה להתבצע, בין היתר, באמצעות דוחות מערכת, בדיקות מדגמיות, ניטור, מבדקים ובדיקת ממצאים.
לדוגמה: כאשר מוגדר מנגנון גיבוי, יש לוודא שהגיבויים מבוצעים בהתאם לדרישות שנקבעו ושהיכולת לשחזר מידע נבדקת בהתאם לצורך.
בקרות ואסמכתאות בשימוש בבינה מלאכותית
כאשר הארגון משתמש בכלי בינה מלאכותית והדבר רלוונטי לאבטחת המידע, יש לבחון גם את הסיכונים והבקרות הקשורים לשימוש זה.
הבדיקה יכולה להתייחס, בין היתר, לכלי AI המאושרים לשימוש, לסוגי המידע שמותר להזין, להרשאות הניתנות לכלים, לחיבור למערכות הארגון ולניהול ספק השירות.
לדוגמה: כאשר כלי AI מקבל הרשאה למידע או למערכת ארגונית, חשוב שההרשאה תהיה מאושרת, מוגדרת ומתועדת בהתאם למדיניות ולסיכונים שנקבעו.
התארגנות עם האסמכתאות לקראת מבדק
מומלץ לא להמתין למועד המבדק כדי להתחיל לאתר ראיות ליישום הבקרות.
כחלק מהתחזוקה השוטפת של מערכת ניהול אבטחת המידע ניתן לקבוע, בין היתר, מי אחראי לבקרה, כיצד היא מיושמת, איזו אסמכתא נשמרת וכיצד נבדקת האפקטיביות שלה.
כך ניתן לזהות מבעוד מועד פער בין מה שנקבע בנהלים ובמסמך הישימות לבין היישום בפועל.
חשיבות האסמכתאות במבדק ISO 27001
במהלך מבדק עשוי הבודק לבקש לראות כיצד דרישות ובקרות מסוימות מיושמות בפועל. אסמכתאות מסודרות מאפשרות לארגון להציג את הקשר בין הסיכון, הבקרה שנבחרה, היישום והראיה התומכת.
היערכות נכונה אינה מיועדת רק להכנת מסמכים למבדק. מטרתה לוודא שמערכת ניהול אבטחת המידע מתוחזקת, שהבקרות הרלוונטיות מיושמות ושניתן להציג ראיות ליישומן בפועל.
המידע והדוגמאות המוצגים במאמר נועדו לספק מידע מקצועי ראשוני והיכרות כללית עם הנושא. המאמר מציג עקרונות ונושאים מרכזיים בלבד ואינו כולל את מלוא דרישות התקנים או את כלל הפעולות הנדרשות לצורך יישומם ועמידה בדרישותיהם. כל ארגון נדרש לבחון ולהתאים את הדרישות ואופן יישומן לסוג פעילותו, לתהליכיו, להיקף פעילותו, לסיכונים שזוהו וכן להוראות הדין ולדרישות אחרות החלות עליו.
