מאמרים
כמה עוד אירועי דלף מידע צריך כדי שילמדו?
כתב: אייל וקסמן.
הדלפת פרטיה של מערת PRISM תפסה את גופי הביטחון בארה"ב במצב מביך. מידע רגיש מאוד דלף החוצה בידיו של אחד מהעובדים בפרויקט והעלה מחדש את השאלה מה ניתן לעשות כדי למנוע דליפת מידע מסווג ורגיש?
אחרי שנחשפה פרשת גניבת המסמכים מפיקוד מרכז והדלפתם בידי ענת קם, דובר רבות על מימוש אמצעי הגנה שימנעו ויעכבו העברת מידע רגיש לגורם שאינו מורשה. דובר בזמנו על שימוש ב- water mark או חובת הזדהות של 2 אנשים שונים לטובת הדפסת מסמכים או פתיחת תיקייה רגישה. פתרונות אלה, לגיטימיים ככל שיהיו, הם פתרונות דיי ארכאיים שגם אותם ניתן לעקוף די בקלות. כיום, בשנת 2013, ברור ומובן לחלוטין כי לא ניתן לחסום את גישתם המלאה של עובדים למידע רגיש של ועל הארגון. גם לא ניתן למנוע הוצאה של מידע רגיש מהארגון, וזאת למרות הגבלת השימוש בסמארטפונים ומצלמות ולמרות שילובן של חקירות ובדיקות פוליגרף תכופות. עם האתגר הזה מתמודדת תעשיית אבטחת המידע ומנסה למצוא דרכים יצירתיות להגן על המידע הרגיש מתוך נקודת הנחה שכל מידע עלול לדלוף החוצה. האתגר, כך מובן היום, אינו במניעת הדליפה אלא בהגדרה של מי מורשה לפתוח ולראות את אותו מידע והיכן.
כבר שנים רבות שבעולם מיושמים תקנים ונהלים דוגמת PCI, HIPPA, SOX, GLBA ורבים אחרים שמיועדים לסייע לארגונים, בהתאם לתחומי פעילותם, להתמודד ולהיערך באופן המיטבי למול איומי אבטחת מידע, אך יחד עם זאת, הנהלים לבדם לא מספיקים.
ישנם בשוק מספר פתרונות טכנולוגיים שמנסים לתת מענה לאתגר זה, הבולטת שבהן היא חברת Secure Islands הישראלית. המפתחים בחברה זו ממקדים את פעילותם בהגדרת הרגישות של כל הנכסים הארגוניים וההגנה עליהם. המערכת לומדת את צרכי הארגון ומטמיעה במידע את הפרמטרים שהוגדרו, המסווגים ומסמנים את ההגנה הנדרשת עליו. גישה זו המתייחסת למידע עצמו ולא לתשתית המחשוב הארגונית, מבטיחה שליטה טובה על מה נגיש ומה לא בצורה קלה ופשוטה בכל מקום
בו נמצא המידע. במקביל לסיווג וסימון המידע, הפתרון של Secure Islands לוקח בחשבון גם הגנה על דוא"ל וקבצים מכל סוג, באמצעות הצפנתם, הגנה על אפליקציות רשת וענן המונעת גישה אליהם מגורמי צד שלישי, מבצעת ניתוח אנליטי של השימוש שנעשה במידע ומציפה בפני גורם אחראי את העובדה שמסמך מסוים מוצג פעמים רבות או אם נשמר או נשלח ועל ידי מי ולאן, גם אם מחוץ לארגון. הפתרון תומך גם בסמארטפונים, מחשבי לוח ואף SharePoint.
אין ספק שככל שישנם יותר ויותר אירועים המציגים את הבעייתיות והסכנות שבדלף מידע, כך עולה המודעות בקרב מנהלים, אבל האם לא יותר נכון לנהל את הסיכונים מבעוד מועד? בשוק ישנם עוד מגוון גדול מאוד של פתרונות טכנולוגיים ויחד עם גיבוש מדיניות אבטחת מידע יעילה והדרכת עובדים, עוגמת הנפש יכולה להימנע דיי בקלות.
*
הכותב הוא סמנכ"ל פיתוח עסקי באבנת אבטחת מידע
