Data Centric Security Rt

Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444

‫עגול‬-‫סיכום מפגש שולחן‬

‫הגנה על המידע‬ )Data Centric Security(

‫ שחר גייגר מאור‬:‫עריכה‬

Moshav Bnei Tzion P.O.Box 151, 60910 Israel Tel: (972)-9-7907000 Fax: ( 972)-9-7442444

‫‪Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444‬‬

‫תוכן‬ ‫תקציר המפגש ‪3.....................................................................................................‬‬ ‫חינוך קודם לכל! ‪4...................................................................................................‬‬ ‫ענישה ‪4................................................................................................................‬‬ ‫זכויות הפרט ‪5........................................................................................................‬‬ ‫טיפול במידע רגיש אצל גורמי חוץ בארגון ‪5..................................................................‬‬ ‫פתרונות טכנולוגיים לזליגת מידע ‪6.............................................................................‬‬ ‫תחזוקה ותפעול ‪7....................................................................................................‬‬ ‫סיווג החומר‪ :‬איך מסווגים את המידע בארגון? ‪7...........................................................‬‬ ‫פתרונות משלימים לזליגת מידע ‪7..............................................................................‬‬ ‫טיפול במשתמשי‪-‬על ‪8.............................................................................................‬‬ ‫הצפנת ‪9.......................................................................................................... DB‬‬

‫‪Moshav Bnei Tzion P.O.Box 151, 60910 Israel‬‬ ‫‪Tel: (972)-9-7907000 Fax: ( 972)-9-7442444‬‬

‫‪Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444‬‬

‫תקציר המפגש‬ ‫בשנים האחרונות הגנה על המידע הולכת ותופסת מקום מרכזי בשדה הראיה של מנהל‬ ‫אבטחת המידע‪ .‬מצד אחד הארגון תופס יותר אחריות על המידע שאצור אצלו ונזהר מלחשוף‬ ‫אותו כלפי חוץ‪ .‬מצד שני הדינמיות העסקית והשינויים התכופים מאלצים את מנהלי מערכות‬ ‫המידע לספק נגישות הולכת וגדלה למשאבי הארגון באמצעות פלטפורמות מגוונות מבעבר‪.‬‬ ‫את המעבר לתפיסת אבטחה שמתרכזת במידע עצמו כינה ‪ Paul Stamp‬מחברת פורסטר‬ ‫בשם "‪ :"Data-Centric Security‬בעוד שאיומים שמקורם מחוץ לארגון "פשוטים" יותר‬ ‫לטיפול מכיוון שמקור ההתקפה ברור‪ ,‬מה אפשר לעשות כדי לפקח על משתמשי על בארגון?‬ ‫איך מונעים גישה של עובדים לא מאושרים למשאבים הרגישים של הארגון? איך אפשר‬ ‫להתמודד עם רשלנות של העובדים בהעברת מידע בתוך הארגון והחוצה? איך שומרים על‬ ‫מידע האגור על הדיסק של מחשב נייד או ב ‪ PDA‬של איש המכירות?‬ ‫בדיון הזה התרכזנו בטיפול ארגוני בנקודות אלה וניסינו לענות על שאלות לא פשוטות כמו‬ ‫אילו כלים אפקטיביים בטיפול בבעיית זליגת המידע בארגון‪ :‬חינוך? הדרכה? הרתעה? ואיך‬ ‫הם משתלבים עם פתרונות טכנולוגיים בתחום‪.‬‬ ‫איך ניתן לפקח על מידע עסקי שעובר לשותפים עסקיים וספקים? אילו פתרונות יכולים לעזור‬ ‫לארגון להגן על נכסיו?‬ ‫במפגש ניתן דגש להטמעת פתרונות למניעת זליגת מידע ( ‪ )DLP‬ומספר משתתפים סיפרו על‬ ‫הניסיון שלהם בתחום‪ .‬כמו כן דיברנו על הצפנה של אמצעים ניידים וטיפול בבסיסי הנתונים‪.‬‬ ‫אולי אותם כדאי להצפין?‬ ‫הזכרנו גם פתרונות משלימים ל ‪ DLP‬ובעיקר פתרונות לניהול זכויות יוצרים ( ‪ )DRM‬ולבסוף‬ ‫נגענו גם בצורך בטיוב הפיקוח על הרשאות על בארגון והשלכתם על הגנה על מידע‪.‬‬ ‫במפגש השתתפו נציגי ‪ 13‬ארגונים גדולים במשק ממספר סקטורים מרכזיים‪ .‬כולם‬ ‫מנהלי\אנשי אבטחת מידע בארגונם‪.‬‬

‫‪Moshav Bnei Tzion P.O.Box 151, 60910 Israel‬‬ ‫‪Tel: (972)-9-7907000 Fax: ( 972)-9-7442444‬‬

‫‪Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444‬‬

‫חינוך קודם לכל!‬ ‫המשתתפים במפגש נשאלו אילו כלים‪ ,‬לדעתם‪ ,‬יהיו אפקטיביים בטיפול בזליג ות מידע‪ .‬רוב‬ ‫המשתתפים מסכימים כי חייב להיות תהליך לימודי וחינוכי בארגון לפני או תוך כדי הטמעת‬ ‫פיתרון טכנולוגי למניעת זליגת מידע‪ .‬חלק מהמשתתפים אמרו כי הם יעדיפו גישות חינוכיות‪,‬‬ ‫הגברת מודעות ואף הענשת עובדים על פני הטמעת פתרונות ‪Data Leak\Loss ( DLP‬‬ ‫‪ .)Prevention‬המשתתפים בפורום מסכימים בדר"כ כי קשה יהיה למנוע הרמטית הוצאת‬ ‫מידע בלתי מורשה מהארגון ללא תלות בגישות הטיפול שינקטו‪ .‬הנחת העבודה בחלק‬ ‫מהארגונים היא שבכל זמן נתון ישנם עובדים שמנסים להוציא באופן פלילי חומר רגיש‬ ‫החוצה‪.‬‬ ‫אחד הארגונים שיישמו פיתרון טכנולוגי סיפר‪ ,‬כי בארגונו נערך קמפיין גדול של חינוך והכנה‬ ‫לקראת הטמעת הפיתרון הטכנולוגי שכלל חלוקת ריחנים לרכב‪ ,‬תחתיות לכוסות‪ ,‬חוברות‬ ‫הדרכה ואמצעים נוספים שהכילו מסרים בעניין חשיבות השמירה על המידע בארגון‪ .‬מנהל‬ ‫אבטחת המידע בארגון זה מציין‪ ,‬שרוב האירועים שנוטרו במערכות היו אירועים שמקורם‬ ‫בחוסר תשומת לב של עובדים (שליחת מיילים עם מידע רגיש‪ ,‬חיבור ‪ DOK‬פרטי לתחנות‬ ‫וכו') והוכיחו את הצורך בטיפול באוכלוסיית המשתמשים לפני הכנסת פיתרון טכנולוגי‪.‬‬ ‫לדעתו ניתן לצמצם את מספר האירועים למספר נמוך מאוד במידה ומיישמים‪ ,‬בנוסף לפיתרון‬ ‫הטכנולוגי‪ ,‬גם תהליך תרבותי בארגון להעלאת המודעות של העובדים וליצירת מחוייבות‬ ‫למידע רגיש בעסק‪ .‬אצלם בארגון קיימת מודעות לנושא‪ ,‬כך שאם נפתח פרוייקט שמוגדר‬ ‫כרגיש לארגון‪ ,‬נשלחת הודעה למחלקת הביטחון בבקשה לפתוח תיקייה מיוחדת בדומיין על‬ ‫שם הפרוייקט‪ .‬בעקבות כך מוגדרים גם חוקים מתאימים במערכת ה ‪ DLP‬וכל המידע‬ ‫שמאוחסן בתיקייה הרלוונטית מוצפן ומנוטר אוטומטית‪.‬‬ ‫נציג ארגון אחר מסכים עם התהליך הארגוני שחייב להתלוות לפרוייקט הטכנולוגי‪ .‬לדעתו‪,‬‬ ‫הסוד להצלחה הוא היכולת של מובילי הפרוייקט לשווק נכון את הפרוייקט לארגון‪ .‬בארגון זה‬ ‫מוציאה מחלקת הביטחון מדי פעם דוח עד למנכ"ל ובו פירוט מקרים בעייתים שקשורים‬ ‫בדלף מידע‪ .‬הדוחות מחולקים לפי מחלקות כך שכולם יהיו מודעים לבעיות‪ .‬מנהלי המחלקות‬ ‫צריכים לספק הסברים לגבי הדרך בה טופל האירוע‪ .‬ע"פ הניסיון שנצבר בארגון זה‪ ,‬מדיניות‬ ‫קשוחה שמגובה בטכנולוגיה מתאימה מורידה דרסטית את כמות האירועים שמוגדרים‬ ‫כ"טעויות"‪.‬‬ ‫ענישה‬ ‫אחד האמצעים לאכיפת מדיניות ארגונית הוא ענישת עובדים‪ .‬תחום דליפת המידע שונה‬ ‫מתחומים אחרים בכך שחלק גדול מאירועים בו הינם תוצאה של חוסר תשומת לב במקרה‬ ‫הטוב או רשלנות במקרה הרע ואין בהם אלמנטים פליליים מכוונים‪ .‬זוהי הסיבה שקשה יותר‬ ‫להעניש עובד שטעה בתום לב‪ ,‬גם אם גרם נזק לארגון‪.‬‬ ‫נציג אחד הארגונים שטרם הטמיעו פיתרון ‪ DLP‬מציין‪ ,‬שהוא בראש ובראשונה בעד חינוך‪.‬‬ ‫מנקודת מבטו כמנהל אבטחת מידע קל להיות האיש הרע‪ ,‬אבל המטרה היא לגרום לעובדים‬ ‫להבין איך צריך להתנהג‪ .‬הנציגים שלו יושבים פעם בשנה עם כל עובד כדי להסביר לו את‬ ‫חשיבות בטחון המידע ואיך צריך להתנהל עם משאבי הארגון‪ .‬יש שלב נוסף והוא ענישה‪:‬‬ ‫כשהיו מקרים בהם הייתה גישה לא מאושרת למידע ארגוני היו פיטורים או מכתבי אזהרה‬ ‫לתיק האישי‪ .‬בארגון זה עושים שימוש במערכת של ‪" ,Intelinx‬המאזינה" לתעבורת המידע‬ ‫בארגון וניתן לשחזר בה פעולות שנעשו ע"י משתמשים בכל מערכות הארגון‪ .‬מערכת כזו‬ ‫הורידה להם את עבירות החיטוט במידע לרמה מינימלית‪.‬‬ ‫‪Moshav Bnei Tzion P.O.Box 151, 60910 Israel‬‬ ‫‪Tel: (972)-9-7907000 Fax: ( 972)-9-7442444‬‬

‫‪Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444‬‬

‫בעיות משמעת נפתרות בארגונים אחרים בצורה דומה‪ :‬מנהל אבטחת מידע בארגון עסקי‬ ‫מסויים פונה למנהל האישי של עובר העבירה‪ .‬למנהלים לא נעים לקבל מייל שמתואר בו‬ ‫אירוע אבטחת מידע שאחד העובדים שלהם היה מעורב בו‪ .‬בדרך כלל המיילים הללו‬ ‫מטופלים מאוד מהר‪.‬‬ ‫זכויות הפרט‬ ‫נקודה חשובה שהועלתה במפגש מתייחסת להיבט החוקתי של ניטור נתונים הקשורים‬ ‫לעובדים‪ .‬החקיקה כיום מאוד בעייתית ולא יציבה‪ .‬בעולם הפוליטי בישראל יש כאלה שרוצים‬ ‫לטרפד הסכם שנחתם בין ההסתדרות לאיגוד התעשיינים שאומר שהארגון יכול לנטר מיילים‬ ‫של עובדים ולגשת לתיבת הדואר של העובד במידה ומדובר במידע שרלוונטי לחברה או שיש‬ ‫חשש שעובד זה עושה שימוש לא הולם במשאבי הארגון‪ .‬בכל מקרה הניטור חייב להיות‬ ‫"כללי" ולא ישירות מול עובד אלא אם כן הוא מסכים‪ .‬אחד המשתתפים סיפר שאצלם עשו כל‬ ‫מה שאפשר כדי להיות מוגנים בתביעה וכל עובד חדש יודע שמנטרים את המידע‪.‬‬ ‫טיפול במידע רגיש אצל גורמי חוץ בארגון‬ ‫נקודה רלוונטית אחרת לטיפול בזליגת מידע היא הטיפול בגורמי חוץ שבאים במגע עסקי עם‬ ‫הארגון‪ .‬יש מידע שיוצא לגורמים חיצוניים והוא רגיש‪ .‬הבעיה הגדולה היא איך מנהלים את‬ ‫המידע הזה? ואיך ניתן לצמצם עד כמה שניתן את זליגת המידע העסקי שמתגלגל לספקים‪,‬‬ ‫יועצים‪ ,‬אינטגרטורים ושותפים אחרים של הארגון?‬ ‫נציג אחד הארגונים סיפר שארגונו הגדיר מספר חברות כשותפות אסטרטגיות לחברה בגלל‬ ‫חומר עסקי שהן נחשפות אליו‪ .‬הוא מנסה להגיע פיסית לכל חברה כזו ולראות שהיא‬ ‫מתאימה מבחינת אבטחת המידע לסטנדרטים שניתן יהיה לקבל‪ .‬בחברות אלה (ספקים‪,‬‬ ‫שותפים וכו') יש מודעות לחשיבות הנושא והוא לא נתקל באי שיתוף פעולה‪ .‬מי שלא מוכן‬ ‫לקבל על עצמו קודי התנהגות מינימליים‪ ,‬מסתכן בסגירת הפעילות של החברה מול הארגון‬ ‫ולכן משתפים פעולה‪ .‬משתתפים סביב השולחן התעניינו אלו פרמטרים נבדקים אצל‬ ‫השותפים העסקיים‪ .‬נציג זה בודק בין השאר מהי מדיניות הסיסמאות? מהי מדיניות הטיפול‬ ‫בחומר רגיש? הוא מבקש להגיע לחדר המחשב ולראות איך הוא מנוהל (מי נכנס לחדר? קוד‬ ‫גישה? וכדומה)‪ .‬בהתאם לממצאים הוא מוציא הנחיות לאותו גוף שיביאו ל"יישור קו" עם‬ ‫מדיניות אבטחת מידע ברמה מקובלת‪.‬‬ ‫מנהל אבטחת מידע בארגון אחר טוען שצריך להגיע למצב שמנחים את הספקים ולא יותר‬ ‫מזה‪ .‬לשיטתו‪ ,‬הוא לא אמור לבצע סקר סיכונים אצל הספק וגם אין לו את כוח האדם‬ ‫לכך‪...‬צריך לבנות על האמינות שלהם‪.‬‬ ‫גם משתתפים אחרים מסכימים עם אמירה זו וחלק מהם מעידים שהם נוהגים לתשאל את‬ ‫הספקים ולקוות שהם עומדים בפועל מאחורי המילה שלהם‪ .‬המטרה היא לא להכנס לספקים‬ ‫"לקרביים"‪ .‬מאוד קל להשאב פנימה‪...‬‬ ‫מצד שני כן צריך לפקח על הספקים בגלל שהמידע הארגוני שמגיע אליהם יכול לזלוג מכיוון‬ ‫לא צפוי למתחרה‪ .‬כדי לייעל את הטיפול בספקים מקובל לחלק את הספקים למספר רמות‬ ‫רגישות‪ .‬יש כאלה שהם מאוד רגישים מבחינת החומר שנחשפים אליו ובהם מושקעת הרבה‬ ‫אנרגיה כדי לוודא שהסיכון מצומצם‪ .‬אחד המשתתפים העיד כי בארגונו נהוג לפקח "עד רמת‬ ‫החוקים של ה ‪ "FW‬במקרים כאלה‪ .‬מבחינת ארגון זה מהמגזר הפיננסי‪ ,‬ספק שמחזיק‬ ‫חומר רגיש שלהם צריך לעמוד באותם סטנדרטים של סקרי סיכונים שהארגון עצמו עומד‬ ‫בהם‪.‬‬ ‫המשתתפים במפגש ציינו כי יש יתרון גדול בזה שארגונים אחרים כמוהם מפקחים על‬ ‫הספקים שלהם‪ .‬ספק כזה שמגיע לעבוד עם ארגון אחר כבר מכיר את שיטת העבודה ואת‬

‫‪Moshav Bnei Tzion P.O.Box 151, 60910 Israel‬‬ ‫‪Tel: (972)-9-7907000 Fax: ( 972)-9-7442444‬‬

‫‪Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444‬‬

‫הדרישות והוא בא מוכן לזה‪ .‬ספק שעובד עם חברה שעושה פיקוח בהחלט נראה שונה ומוגן‬ ‫יותר‪ .‬ההתנהגות שלו אחרת לגמרי‪.‬‬ ‫הצפנת המסמכים לעבודה מול גורמים חיצוניים היא שיכבת אבטחה נוספת שנועדה לוודא‬ ‫שהמידע נחשף רק בפני מי שצריך לראות אותו‪ .‬בחלק מהארגונים מגדירים חוקים שתקפים‬ ‫רק למשתמש החיצוני‪ .‬אופציה אחרת היא עבודה עם ‪ OTP‬גם בעת פתיחת מסמכים‬ ‫מסויימים מחוץ לארגון‪.‬‬ ‫פתרונות טכנולוגיים לזליגת מידע‬ ‫אחד הפרקים המרכזיים במפגש הוקדש לפרויקטים ויישום טכנולוגיות למניעת זליגת מידע‪.‬‬ ‫בין המשתתפים במפגש יש מספר ארגונים בעלי ניסיון בהטמעת פתרונות ‪ .DLP‬אחד‬ ‫המשתתפים סיפר על הנעשה בארגונו (ארגון מהמגזר העסקי) אשר חווה ביומיום מקרים‬ ‫רבים של דלף מידע מתוך הארגון החוצה‪ .‬הם החליטו "לתקוף" את הבעיה מכמה זויות‪:‬‬ ‫חינוך הארגון לחשיבות הנושא‪ ,‬עבודה בהתאם לחוק תוך כיבוד זכויות העובדים לפרטיות‬ ‫והטמעת פתרון טכנולוגי‪ .‬במסגרת בחינת החלופות לפיתרון ניסו את חברת ‪PortAuthority‬‬ ‫(עוד לפני שזו נרכשה ע"י ‪ ,)Websense‬אבל הפיתרון שהוצע להם כלל שלוש מערכות‬ ‫נפרדות ל ‪ ,GW‬לתחנות הקצה ופיתרון הצפנה‪ .‬לאחר בחינה של פתרונות נוספים אחרים‬ ‫ארגון זה החליט לבחור בפיתרון של ‪ .Verdasys‬אחד השיקולים לבחירה הוא בכך שמדובר‬ ‫בפיתרון משולב בכלי אחד לזליגת מידע‪ ,‬לחסימת התקנים פריפריאליים והצפנות‪ ,‬מה שמקל‬ ‫על האינטגרציה לתוך מערכות הארגון ויכול אף להוזיל עלויות במקרים מסויימים‪ .‬מבחינתם‬ ‫מדובר בהטמעה מוצלחת והם מאוד מרוצים מהתוצרים של המערכת‪ .‬בשלב ההרצה של‬ ‫הפרוייקט הם בחרו להגביל את מספר האירועים שמדווחים ע"י המערכת למספר נמוך‬ ‫והחליטו לבחון מתוכם רק את אלו החמורים ביותר‪.‬‬ ‫ארגון אחר מהמגזר העסקי החל תהליך הטמעת פיתרון כבר לפני כ ‪ 4‬שנים בעקבות דלף‬ ‫מידע רגיש מחוץ לארגון‪ .‬הם בחרו בפיתרון של ‪ PortAuthority‬ולכלי הוגדרו האזורים‬ ‫לסריקה בתוך משאבי הארגון שקדם לו תהליך ארגוני מקיף‪ .‬אנשי מחלקת הביטחון עברו בין‬ ‫הגופים שיש להם נגיעה לחומר רגיש והוגדרו נהלים לגבי איפה לשמור את המידע הרגיש‬ ‫ואיך צריך לטפל בו‪ .‬הכלי יודע לזהות הרבה מאוד פרמטריים חשובים שמקילים על זיהוי‬ ‫פיסות מידע בתעבורה הארגונית וטיפול בהם‪ .‬בארגון זה ההטמעה הייתה פשוטה יחסית וה‬ ‫‪- ROI‬מיידי‪ .‬מבחינת יכולות המערכת בארגון זה‪ :‬המערכת יכולה לחסום בפועל מעבר של‬ ‫נתונים ותוכן וכן לבצע ניטור ודיווח למנהלי המערכת‪ ,‬כל זאת ע"פ דרישת המפעילים‪ .‬מטבע‬ ‫הדברים גם בארגון זה יש לא מעט התרעות שווא במידה ומשתמשים במדיניות אגרסיבית‬ ‫של יירוטים ודיווחים ויש לקחת זאת בחשבון‪ .‬בארגון הזה הוגדרו ברוב המקרים חוקים‬ ‫שיתריעו על עבירות ולאו דווקא יבצעו פעולות נוספות כדי לא "לשגע את הארגון"‪.‬‬ ‫נציג ארגון נוסף מהמגזר העסקי סיפר‪ ,‬כי גם בארגונו עלתה הדרישה ליישום פיתרון ‪.DLP‬‬ ‫הפיתרון שנבחר בארגון זה מבוסס על הפיתרון של חברת ‪ Onigma‬הישראלית (שנרכשה‬ ‫בינתיים ע"י ‪ .)McAfee‬בארגון זה שמו לב לשתי תופעות שהיוו בעיה אבטחתית חמורה‪:‬‬ ‫חלק מהעובדים בארגון נהגו לשלוח מייל לכתובת הפרטית שלהם ( ‪ YAHOO ,GMAIL‬או כל‬ ‫‪ WEB MAIL‬אחר) ובו חומרים עסקיים כדי לעבוד מהבית (בארגון זה‪ ,‬כמו בארגונים רבים‬ ‫נוספים בישראל‪ ,‬החיבור לרשת הארגון נעשית דרך טרמינלים שביצועיהם ותהליך‬ ‫ההתחברות הראשוני אליהם הוא איטי ומסורבל)‪ .‬כלומר‪ ,‬מנקודת מבטם של העובדים‪,‬‬ ‫הסיבה לשליחת המיילים ל ‪ WEB MAIL‬היא קיצור וייעול תהליכים‪ .‬בעיה אבטחתית נוספת‬ ‫שהתגלתה הייתה הכנסת מדיה נתיקה פנימה לארגון‪.‬‬ ‫שתי סיבות אלה הביאו את הארגון להתחיל בהטמעת פיתרון שיתמודד עם שתי בעיות אלה‪:‬‬ ‫התעבורה בארגון ובמיוחד יציאת מיילים החוצה נוטרו וחיבורי מדיה נתיקה זוהו ונאסרו‬

‫‪Moshav Bnei Tzion P.O.Box 151, 60910 Israel‬‬ ‫‪Tel: (972)-9-7907000 Fax: ( 972)-9-7442444‬‬

‫‪Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444‬‬

‫לביצוע‪ :‬כשמכניסים ‪ DOK‬ניתנת התרעה לעובד שהוא עלול לבצע עבירה על ביטחון מידע‪.‬‬ ‫העובד יכול ליצור קשר עם מוקד התמיכה ולקבל אישור חד פעמי לחבר את ה ‪ .DOK‬בעיה‬ ‫שארגון זה לא הצליח למצוא לה פיתרון היא שימוש ב ‪ BlueTooth‬כדי להוריד קבצים‪ .‬קשה‬ ‫למצוא פיתון שימנע את הדליפה ולא יפגע בעבודה‪ .‬ארגון זה בחר להגיע ליעילות של ‪80%‬‬ ‫‪ 20%‬בגישת הטיפול שלהם בבעיות הקשורות לדלף מידע‪ .‬ידוע להם כי יהיה קשה מאוד‬ ‫למנוע בצורה מוחלטת יציאה לא מאושרת של מידע מהארגון‪.‬‬ ‫תחזוקה ותפעול‬ ‫מניסיונם של הארגונים שכן מפעילים יישום ‪ DLP‬בארגון עולה כי התחזוקה השוטפת‬ ‫מחייבת רפרנט בשליש עד חצי משרה‪ ,‬אשר מעדכן ברמת התקנת התחנות וכן מנהל‬ ‫אבטחת המידע שמגדיר את החוקים שצריך לנטר‪ .‬כמו כן‪ ,‬מוגדר ברוב המקרים שאיש ‪ IT‬לא‬ ‫יכול לצפות בדוחות שהמערכת מוציאה אלא רק מי שמוסמך לזה (כדי לא לפגוע בפרטיות‬ ‫של העובדים)‪ .‬בארגון מסויים הוקמה ועדה מיוחדת לתפעול המערכת‪ :‬הוועדה מחליטה איזה‬ ‫מידע לחסום ואיזה לנטר בלבד‪ .‬בוועדה יושבים נציגים של ‪ ,IT ,HR‬כספים‪ ,‬אבטחת מידע‬ ‫וסמנכ"ל שמלווה אותם‪.‬‬ ‫סיווג החומר‪ :‬איך מסווגים את המידע בארגון?‬ ‫באחד הארגונים שהטמיעו פיתרון ‪ DLP‬בחרו להגדיר בצורה כזו את הפרמטרים לסיווג‬ ‫מידע‪ ,‬כך שניתן יהיה לזהות מידע רגיש בהמשך‪ :‬כחלק מתהליך האיפיון‪ ,‬התבקשו מנהלי‬ ‫יחידות ואגפים לפרט ‪ 4‬פרמטרים עבור המידע הארגוני שרלוונטי אליהם‪ :‬מה הן מילות‬ ‫מפתח שמאפיינות את המידע?‪ ,‬באילו תיקיות מאוחסן המידע העסקי שלהם?‪ ,‬מי הם‬ ‫הספקים שמולם עובדים? ולבסוף‪ ,‬מי מהעובדים צריך את המידע הרגיש? הנתונים‬ ‫שנאספו איפשרו להרכיב מודלים לתיוג המידע הארגוני לקבוצות רגישו·ת ולהצפין במידת‬ ‫הצורך רק את התיקיות שהוגדרו בניתוח המקדים‪ .‬היום הוא יודע שכל מייל רגיש יוצא‬ ‫החוצה מוצפן בעיקר בזכות אותו ניתוח מקדים‪ .‬המערכת מאוד גרנולרית ומאפשרת הגדרות‬ ‫מאוד מפורטות של מה רגיש ומה לא‪ .‬המערכת גם יודעת להגדיר תיקיות ספציפיות‬ ‫כקריטיות ולתת להן דירוג רגישות‪.‬‬ ‫נציג ארגון נוסף שצבר ניסיון ארגוני בתחום העיד כי התהליך הארגוני (לבוא לגופים ולהגדיר‬ ‫מה צריך ומה לא) מאוד מסובך‪ .‬בהתחלה נוטר חומר שלא היה רלוונטי למערכת ‪.DLP‬‬ ‫בהמשך ההטמעה הובן בארגון שצריך לשים בתיקיות המנוטרות רק מידע רלוונטי‪ ,‬אשר‬ ‫מחייב הערכות תהליכית ותרבותית בארגון‪ .‬מהניסיון של ארגון זה רואים שהמטרה היא‬ ‫להגדיר שמירת מסמך רק בספריה מוצפנת או מנוטרת כברירת מחדל מתוך הבנה שברוב‬ ‫המקרים מדובר על חומר עם ערך ניטורי‪ .‬אם משאירים לעובדים חופש במיון המידע‪ ,‬או‬ ‫שהוא צריך לבצע יותר מדי פעולות כדי לאחסן מידע רגיש בתיקייה מתאימה‪ ,‬מתחילות‬ ‫הבעיות‪.‬‬ ‫משתתף אחר סיפר‪ ,‬כי לפתרונות ‪ DLP‬מסויימים יש יכולת לנטר מסמכים שלא נמצאים‬ ‫בתיקיות המסווגות במידה והמערכת מזהה פרמטרים מסווגים בהם‪ .‬אם עובד שמר חומר‬ ‫מסווג גם בשולחן העבודה היא תוכל‪ ,‬למשל‪ ,‬להוציא התרעה לעובד שהוא שומר מידע רגיש‬ ‫במקום שאינו מיועד לכך‪.‬‬ ‫פתרונות משלימים לזליגת מידע‬ ‫בחלק מהארגונים עושים שימוש בפתרונות משלימים לטיפול בבעיות זליגת מידע‪.‬‬

‫‪Moshav Bnei Tzion P.O.Box 151, 60910 Israel‬‬ ‫‪Tel: (972)-9-7907000 Fax: ( 972)-9-7442444‬‬

‫‪Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444‬‬

‫דוגמא לכך היא הצפנת מחשבים ניידים‪ .‬בנושא זה חלוקות הדעות בין המשתמשים לגבי‬ ‫יעילות השימוש בפתרונות הצפנה וכן איך מומלץ לגשת לפרוייקט הצפנה בארגון‪ .‬שתי‬ ‫הגישות המובילות בתחום בין המשתתפים במפגש הן‪ :‬הצפנת כל הדיסק הקשיח במחשב‬ ‫מול הצפנת תיקיות מסויימות ע"פ הצורך‪.‬‬ ‫לכל גישה יש יתרונות וחסרונות ברורים‪ .‬כך‪ ,‬למשל‪ ,‬הצפנה גורפת של כל הדיסק הקשיח‬ ‫יכולה לגרום לנזק גדול במידה והמחשב ננעל ע"י המשתמש‪ .‬מצד שני‪ ,‬קלות העבודה‬ ‫והעובדה שאין צורך "לזכור" לשמור חומר רגיש רק במקומות המיועדים לכך‪ ,‬מהווים חוזקה‬ ‫משמעותית‪.‬‬ ‫אחד המשתתפים לא רואה סיבה להצפין את כל הדיסק‪ .‬לדעתו‪ ,‬אפשר להצפין רק את‬ ‫התיקיות הרגישות‪ .‬שימוש בכלי ‪ DLP‬שיאפשר הצפנה של מידע יכול להקל את העבודה‬ ‫במידה רבה‪.‬‬ ‫פתרונות משלימים נוספים לטיפול בדלף מידע באים מעולם ניהול הזכויות ( ‪Rights‬‬ ‫‪ )Management‬ונועדו לתת מענה ארגוני להפצת מידע בתוך ומחוץ לארגון‪ .‬אחד הפתרונות‬ ‫הנפוצים בתחום הוא ה ‪ )Rights Management Services( RMS‬של מיקרוסופט‪ .‬בחלק‬ ‫מהארגונים עושים שימוש בכלי זה ובכלים אחרים כדי להשלים עוד שכבת מידע בעיקר‬ ‫ברמת הסיווג של מסמכים רגישים‪ .‬בחלק אחר מהארגונים כלים אלה מהווים את התווך‬ ‫המרכזי לטיפול בדלף מידע‪ .‬בשונה מפתרונות ‪" DLP‬קלאסיים"‪ ,‬פתרונות ‪ RM‬מעבירים את‬ ‫האחריות על סיווג המידע באופן שוטף ליוצר המידע‪ .‬גישה זו מהווה חיסרון לדעתם של חלק‬ ‫מהלקוחות מאחר והיא מסרבלת את תהליך יצירת המסמך‪ .‬לדוגמא‪ :‬בעת לחיצה על‬ ‫"שמירת מסמך" בעת יצירת מסמך חדש‪ ,‬נשאל המשתמש איך יש לסווג את המסמך בנוסף‬ ‫לתיקייה שאליה המשתמש מעוניין לשלוח את המסמך לאחסון‪ .‬בעת הפצת מסמך שהוגדר‬ ‫ע"י יוצר המידע כרגיש הוא ישאל על ידי המערכת מה הם חוקי ההפצה שיבקש לכפות על‬ ‫המסמך הנ"ל‪ :‬האם לאפשר הדפסה? האם לאפשר העברת המסמך הלאה ע"י המקבלים?‬ ‫זכות קריאה‪/‬זכות עריכה וכו'‪ .‬ישנם פתרונות אשר משתמשים בפלטפורמה שמציע ה ‪RMS‬‬ ‫וכלים דומים אחרים כדי להקל את תהליך ניהול המידע וסיווגו וכן לאפשר אכיפת חוקים‬ ‫ומדיניות על מסמכים מחוץ לעולם של ‪ .Microsoft Office‬שתי חברות ישראליות צעירות‬ ‫שפעילות בתחום הן‪ Secure Islands :‬ו ‪ ,Covertix‬אשר מציעות ניהול חכם של תנועת‬ ‫המסמך בתוך ומחוץ לארגון גם ב ‪ PDF‬ובפורמטים אחרים‪.‬‬ ‫אחד המשתתפים‪ ,‬שבארגונו קיימות שתי סביבות עבודה‪ :‬פנים ארגונית וחיצונית –‬ ‫לאינטראקציה עם גורמי חוץ‪ ,‬סיפר על פיתרון מעניין שנועד לתת מענה לדלף מידע‪ :‬הם בנו‬ ‫ממשק בין שתי הסביבות הארגוניות ומי שרוצה להעביר דואר לרשת החיצונית חייב לחתום‬ ‫עליו דיגיטלית ע"י העברת כרטיס העובד שלו‪ .‬בכל מקרה אחר לא מעבירים דואר‪ .‬מטרת‬ ‫פיתרון זה היא קבלת אחריות של העובד על התוכן שהוא מוציא מחוץ לארגון‪.‬‬ ‫בהקשר הזה הועלתה בפורום שאלה של נציג ארגון נוסף שמקיים הפרדת רשתות משיקולי‬ ‫אבטחת מידע ונותרה ללא מענה‪ :‬האם ניתן להעביר מסמך מרשת אחת לרשת השנייה‬ ‫בארגון שיש לו כלי ‪ DLP‬ולהמשיך לקיים עליו מדיניות שהוגדרה כבר ברשת המסווגת? (זה‬ ‫בהנחה שהוא עבר לרשת הפתוחה ללא גילוי)‪.‬‬ ‫טיפול במשתמשי‪-‬על‬ ‫נקודה קריטית למניעת דלף מידע היא טיפול בהרשאות הארגוניות של משתמשי העל‬ ‫(‪ )ADMIN‬למיניהם‪:‬‬ ‫אחד המשתתפים סיפר שבהתחלה היו להם כניסות רבות ל ‪ DB‬והם הבינו שמדובר בבעיה‬ ‫אבטחתית לא פשוטה‪ .‬כיום יש בקרה על הפעולות של ה ‪ DBAs‬ברמה האישית ויש פיקוח‬ ‫של ‪ DBA‬אחד על השני‪ .‬משתתף אחר סיפר כי בארגונו מקבל כל ‪ DBA‬חדש תדרוך על‬

‫‪Moshav Bnei Tzion P.O.Box 151, 60910 Israel‬‬ ‫‪Tel: (972)-9-7907000 Fax: ( 972)-9-7442444‬‬

‫‪Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444‬‬

‫הבעייתיות בתחום‪ .‬משתתף זה מספר על בעיה אחרת שמטרידה את ארגונו‪ :‬זליגת גישות ה‬ ‫‪ DBA‬למערכות שלא קשורות ישירות לתחום הפעילות שלהם בשל הסיעוף בין המערכות‬ ‫הארגוניות ובין ה ‪ DBs‬השונים‪.‬בארגון זה הגדיר מנהל אבטחת המידע התרעה מיוחדת על‬ ‫כל הרשאת ‪ DOMAIN ADMIN‬חדשה בארגון‪ .‬ארגונים אחרים סיפרו כי גם אצלם מקובלת‬ ‫התרעה מהסוג הזה שלאחריה נבחן הצורך הארגוני בעוד משתמש על‪.‬‬

‫הצפנת ‪DB‬‬ ‫כיוון הפוך לטיפול ב ‪ DB‬הוא הצפנה שלהם‪:‬‬ ‫רוב המשתתפים לא ניסו פיתרון כזה‪ .‬אחד הארגונים שכן נמצא בתהליכי הטמעה‪ ,‬מציין‬ ‫שמדובר בתהליך מאוד לא פשוט‪ ,‬במיוחד פתיחת וסגירת הצפנות בזמן אמת במערכות‬ ‫פרודקשיין‪ .‬בארגון זה כתבו סקריפט שיודע לערבל מידע פנימי במעבר בין סביבות הטסט‬ ‫לפרודקשיין‪ ,‬כך שאם יש פרטים מזהים על הנתונים ישנו את הנתונים ויצפינו אותם‪ .‬הקושי‬ ‫הוא מיפוי ה ‪ DB‬וזיהוי כל הנתונים הרגישים עליו‪.‬‬ ‫ארגון אחר ניסה את המוצר של חברת ‪ .Sentrigo‬המוצר מראה מי פתח שאילתה ב ‪ ,DB‬מי‬ ‫סגר וכו'‪ .‬חלק מהשיקולים שעלו בין המשתתפים במפגש להטמעת פיתרון זה או אחר הם‬ ‫כמה אחוז ‪ CPU‬הכלי תופס מתוך זמן עיבוד ה ‪ .DB‬הפיתרון של ‪ Sentrigo‬מתחייב לא‬ ‫להשתמש ביותר מאחוז שולי מה ‪ .CPU‬נציג אחד הארגונים שמחוייבים לרגולציה שחייב‬ ‫לעשות אודיט על הפעילות ב ‪ DB‬שלו‪ ,‬סיפר שהוא לא מצפין את בסיס הנתונים בגלל העלות‬ ‫הכרוכה בכך וכן האובר הד בשימוש במשאבים במערכות מהסוג הזה‪ .‬כל אחוז שימוש ב‬ ‫‪ CPU‬זה המון אצלו כי ה ‪ DB‬שלהם עובדים קשה מאוד‪ .‬בארגון זה בחנו פיתרונות של‬ ‫חברת ‪ ,Imperva‬סנטריגו וגרדיום‪ .‬לבסוף בחרו באימפרבה בגלל יכולת האודיט שלהם‪.‬‬

‫‪Moshav Bnei Tzion P.O.Box 151, 60910 Israel‬‬ ‫‪Tel: (972)-9-7907000 Fax: ( 972)-9-7442444‬‬