ארגונים רבים מנהלים כיום מידע ומערכות באמצעות שירותי ענן.
שירותים אלה מאפשרים גמישות, זמינות וגישה למידע ממקומות שונים, אך השימוש בענן אינו מעביר את מלוא האחריות לאבטחת המידע לספק השירות.
על הארגון לבחון את הסיכונים הקשורים לשימוש בשירותי ענן ולהגדיר את אמצעי ההגנה המתאימים בהתאם לסוג המידע, למערכות, לשירותי הענן ולפעילות הארגון.
חלוקת האחריות בין הארגון לספק הענן
אחד הנושאים החשובים בשימוש בשירותי ענן הוא הבנת חלוקת האחריות בין ספק השירות לבין הארגון.
לדוגמה: ספק הענן עשוי להיות אחראי לאבטחת חלק מהתשתיות והשירותים שהוא מפעיל, בעוד שהארגון אחראי, בהתאם לסוג השירות, להגדרת משתמשים והרשאות, אמצעי הזדהות, הגדרות אבטחה, ניהול המידע ובקרות נוספות שבשליטתו.
לכן אין להסתפק בכך שספק הענן מחזיק בתעודות או מפעיל אמצעי אבטחה. יש לבחון גם כיצד הארגון עצמו משתמש בשירות ומגדיר אותו.
מה יש לבחון בשימוש בשירותי ענן?
במסגרת ניהול אבטחת המידע יש לבחון, בין היתר:
- סוגי המידע הנשמרים או מעובדים בענן.
- משתמשים, הרשאות והרשאות מנהל.
- שימוש באימות רב־שלבי.
- הצפנת מידע בהתאם לצורך.
- גיבוי ושחזור מידע.
- זמינות השירות והיערכות להפסקת שירות.
- ניטור פעילות ואירועי אבטחת מידע.
- מיקום המידע ושמירתו בהתאם לדרישות הרלוונטיות.
- התחייבויות ספק השירות בנוגע לאבטחת מידע.
- שימוש בקבלני משנה ובספקים נוספים.
- טיפול באירועי אבטחת מידע ודיווח לארגון.
- שמירת מידע ומחיקתו עם סיום ההתקשרות.
- יכולת להעביר מידע לספק אחר או להחזירו לארגון.
- שינויים בשירות ובהגדרות האבטחה.
וכן נושאים נוספים בהתאם לסוג שירות הענן, לסיכונים, למידע המעובד ולפעילות הארגון.
הרשאות וגישה למערכות ענן
ניהול הרשאות הוא מרכיב מרכזי בהגנת המידע בענן.
יש להעניק הרשאות בהתאם לצורך ולתפקיד, לבטל הרשאות שאינן נדרשות ולבצע בדיקות תקופתיות של המשתמשים וההרשאות.
לדוגמה: עובד שסיים את עבודתו או עבר לתפקיד אחר אינו אמור להמשיך להחזיק בהרשאות שאינן נדרשות לו.
יש לבחון, בין היתר, גם חשבונות בעלי הרשאות גבוהות, חשבונות שירות, אמצעי הזדהות וגישה של ספקים וגורמים חיצוניים.
גיבוי ושחזור מידע בענן
עצם שמירת המידע בענן אינה בהכרח תחליף למדיניות גיבוי ושחזור.
יש להבין מה ספק השירות מגבה, מה נשמר, למשך כמה זמן ומהן אפשרויות השחזור. בהתאם לסיכון ולצרכים העסקיים, הארגון צריך לקבוע האם נדרשים אמצעי גיבוי נוספים.
לדוגמה: יש לבחון כיצד ניתן לשחזר מידע שנמחק בטעות, נפגע כתוצאה מאירוע אבטחה או אינו זמין בעקבות תקלה.
בחירת ספק ענן וניהולו
לפני התקשרות עם ספק שירותי ענן יש לבחון את התאמתו לדרישות הארגון.
הבדיקה יכולה לכלול, בין היתר, אמצעי אבטחת המידע של הספק, תעודות ותקנים רלוונטיים, זמינות השירות, טיפול באירועים, גיבויים, שמירת מידע, התחייבויות חוזיות ויכולת הארגון לקבל את המידע במקרה של סיום ההתקשרות.
גם לאחר בחירת הספק נדרש מעקב בהתאם לחשיבות השירות ולרמת הסיכון.
שירותי ענן ובינה מלאכותית
כאשר שירותי הענן כוללים גם יכולות בינה מלאכותית, יש לבחון בנוסף את אופן השימוש במידע.
לדוגמה: יש לבדוק איזה מידע מותר להזין לשירות, האם המידע נשמר, למי קיימת גישה אליו, האם הוא עשוי לשמש את הספק למטרות נוספות ומהן ההרשאות שניתנות לכלי הבינה המלאכותית.
יש לבחון, בין היתר, גם סיכוני חשיפת מידע, שימוש בכלים שאינם מאושרים, הרשאות יתר ותלות בספק, וכן סיכונים נוספים בהתאם לאופן השימוש בבינה המלאכותית.
אבטחת ענן במסגרת ISO 27001
במסגרת מערכת ניהול אבטחת מידע לפי ISO/IEC 27001:2022, השימוש בשירותי ענן נבחן כחלק מניהול הסיכונים והבקרות של הארגון.
במסגרת ההיערכות למבדק נבחנים, בין היתר, שירותי הענן שבהם הארגון משתמש, הסיכונים הקשורים אליהם, ניהול הספקים, הרשאות וגישה, הגנת המידע, גיבוי ושחזור, ניטור וטיפול באירועים.
הבדיקה אינה מוגבלת לנושאים אלה. יש לבחון נושאים ובקרות נוספים בהתאם לשירותים שבהם נעשה שימוש, לסוגי המידע, לדרישות החלות על הארגון ולסיכונים הרלוונטיים.
המטרה היא לוודא שהמעבר לענן אינו מסתכם בבחירת ספק טכנולוגי, אלא מלווה בניהול מסודר של הסיכונים, האחריות והבקרות הנדרשות להגנת המידע.
המידע והדוגמאות המוצגים במאמר נועדו לספק מידע מקצועי ראשוני והיכרות כללית עם הנושא. המאמר מציג עקרונות ונושאים מרכזיים בלבד ואינו כולל את מלוא דרישות התקנים או את כלל הפעולות הנדרשות לצורך יישומם ועמידה בדרישותיהם. כל ארגון נדרש לבחון ולהתאים את הדרישות ואופן יישומן לסוג פעילותו, לתהליכיו, להיקף פעילותו, לסיכונים שזוהו וכן להוראות הדין ולדרישות אחרות החלות עליו.
