מיחשוב / שחזור מאסון / שרידות

 

Survivability - שרידות היא דאגה כלל ארגונית. בהקשר של אבטחת מחשבים, היא היכולת של מערכת למלא את תפקידה בזמן, למרות תקיפות, תקלות או תאונות. כקונספט וכנוהל, השרידות צריכה לחדור את כל שכבות הארגון. תפקידי סגל שונים תורמים באופן שונה למטרה האולטימטיבית של שרידות ארגונית, ממנהיגות -שמקבלת החלטות בקביעת מדיניות אבטחה- למנהלי מערכות -הממליצים ומתקינים טכנולוגיות התומכות בשרידות. הבנה כלל ארגונית של חשיבות השרידות מסייעת לגדילה לאורך זמן ולמילוי שליחויות".
(למקור)

הכל מידע. "ניתן להבין הכול כמידע בתוך וסביב מערכת מחשב, מרכיב תשתית רשת, ויחידה פונקציונאלית של שרידות  ( SFU- survivable functional unit: אוסף של מערכות מחשב ופריטי תשתית רשת המספק נכסי מידע באמצעות שירות אחד או יותר לציבור המורשה לגשת לאותה יחידת שרידות. ה- SFU מאפשרת שירותים בסיסיים בנוכחות תקיפות ותקלות, וחזרה לשירותים מלאים בבוא העת.)
הפרספקטיבה הזו מסייעת לצוות להגדיר ולנהל מידע הדורש הגנה, ולהחליט כיצד להגן עליו. הבנת העיקרון שמידע ארגוני קיים במצבים שונים כגון אחסון, העברה, ועיבוד, עוזר למנהלי המערכות להבין את הצורך בשימוש בכלים וטכניקות כגון sniffers, רשימת הרשאות גישה, הצפנה ושלמות חסונה (שלמות באנגלית: integrity - גם "יושרה").
באבטחת מידע קיימות שלוש תכונות שיש לכבד: סודיות, שלמות, וזמינות. המקומות בהם המידע שמור והטכניקות הכלליות לשימוש על מנת להגן על "המשולש הקדוש" פורטו לפני יותר מ-10 שנים בפרסום ממשלתי בארה"ב, ונקרא National Training Standard for Information Systems Security Professionals."

לא כל המידע שווה. "לכל ארגון מגוון נכסי מידע, ואין ביניהם שוויון. הבנת החשיבות היחסית של כל נכס מידע למטרות הארגון, מאפשרת למנהלי המערכות לכוון את מאמציהן לשרידות בהתאם לקריטיות ולעדיפות של כל נכס"
אחת מהדרכים הרבות לנהל הערכת סיכונים לזיהוי הנכסים הארגונים החשובים ביותר היא אסטרטגיה בשם: OCTAVE®
(Operationally Critical Threat, Asset, and Vulnerability EvaluationSM)
"מנהלי מערכות חייבים לדעת על ניהול סיכונים מפני שהם אינם מסוגלים להגן על כל הנכסים. טכנולוגיות ונהלי אבטחה הן טכניקות למיתון הסכנות"

מדיניות אבטחת המידע שולטת. "אבטחת המידע כוללת את סדרת הפעולות המיועדות להגן על זמינות המידע ומערכות המידע, שלמותם, סודיותם, אימות הישויות, ומניעת הדחייה שלהן. בנוסף צריכה המדיניות לכלול טיפול באישוש מערכות מידע ולהגדיר אמצעים בעלי יכולות איתור, הגנה ותגובה לשם כך.
הפעילויות של מנהלי איתור איתור איתור איתור איתור המערכות צריכות להיות מנוהלות בהתאם למדיניות ארגונית ושל אבטחה אשר מתארות את ההתנהגות המקובלת והבלתי מקובלת של כל המשתמשים. על המנהלים להבין את החשיבות של תיעוד, אימפלמנטציה, ואכיפה של מדיניות מעודכנת."

הזיהוי הוא קריטי. "מנהלי מערכות יוצרים גישה בטוחה לנכסי המידע של הארגון, מבוססת על זיהוי המשתמשים, מערכות מחשב ותשתיות הרשת. לא משנה עד כמה איתנה היא טכנולוגיית הגישה, אם היא מבוססת על זיהוי חלש, היא חסרת ערך.
מנהלי המערכות צריכים לדעת כי זיהוי ודאי, אמין וחזק של המשתמש הינו הבסיס לנכסי חסימת גישה למידע. כדי להשיג את המטרות הללו, הם צריכים טכנולוגיה מתאימה ומדיניות המשלימה אותה.
הם גם זקוקים לוודאות בזיהוי ישויות הרשת הארגונית (משתמשים, מערכות מחשב ופריטי תשתיות) בצורה אמינה ושמישה, גם כדי לבטל כל חשש של התחזות."

יחידות פונקציונאלית של שרידות (SFU) היא דרך שימושית להתייחס לרשתות הארגון. כפי שנאמר בעקרון מספר 2,  הן צריכות להיות בנויות לספק שירותים חיוניים תחת תקיפות או תקלות, ולחזור לשירות מלא בהקדם. 

שיטת Security Knowledge in Practice / SKiP. שיטה זו מציעה גישה של שיפור מתמיד מבוססת על יחסי הגומלין בין הגורמים השונים של מערך האבטחה של מערכות מחשב ורשתות לאורך מחזור החיים שלהם. ניתן ליישם אותה ברמת ה- host, רמת ארכיטקטורת הרשת, או רמת ה- SFU. מומלץ לבצע סקר סיכונים של נכסי הארגון כדי ליישם שיטה זו על הצד הטוב ביותר.

לא כל הטכנולוגיות שוות. הבחירות של טכנולוגיות לרשות מנהלי המערכות לאורך שרשרת ההטמעה  הינן ברמות שונות של תחכום ומורכבות. כדאי לקבוע קוים מנחים על מנת לקבל החלטות הגיוניות ומקוונות לשיפור השרידות.
 ה"technology roadmap" מביא עמו קונספציה של  התקדמות ורצף, ובונה את המודעות החל מהגנה מתאימה לפתרונות מתוחכמים.

 

בורות והזנחה אם הארגון אינו מודע לשיקולים החשובים בהגנה על נכסיו. צהוב מצביע על פעולות בהן יש לנקוט בהקדם האפשרי. הירוק מראה רמה מתקבלת של הגנה בהשוואה לממוצע בארגונים בעלי מודעות לאבטחה. כחול שמור למתקדמים ויש לשאוף אליו בהתאם לצרכים עסקיים, מדיניות, דרישות אבטחה וקריטיות של כל נכס.

אתגרו את ההשערות כדי להבין סיכון. מנהלי מערכות חייבים ללמוד "לחשוב  כמו האויב", כולל הערכת נקודות התורפה של הטכנולוגיות בשימוש בארגון. סריקה שגרתית של החולשות ונקודות התורפה בטכנולוגיה המוטמעת מלמדת את מנהלי המערכות לשפר את האבטחה והשרידות. "באי קבלה עיוורת של אימפלמנטציה כברירת מחדל של טכנולוגיה מסוימת, מנהל המערכות יכול לצבור ניסיון יקר שיאפשר לו לתעד את השארותיו - חלק מרכזי בחובותיו המקצועיות."

יכולת תקשורת הינה קריטית כדי להגיע לכל ציבור הישויות. מנהלי מערכות צריכים להיות מסוגלים להתאים את השפה שלהם למקשיב. למשל, כאשר מדברים עם ההנהלה הראשית, עליהם להשתמש בגישה יותר עסקית ופחות טכנית מאשר בעת שמדברים בין עמיתים. כדי להיות יעילים, מסרים טכניים צריכים לעבור בסגנון שמובן לקהל היעד וניתן בקלות לניתוח והערכה. בכדי להרוויח את אמונו והבנתו של מנהל, מנהל המערכות צריך להוכיח שהוא דואג לעסק באותה מידה שהוא רוצה שההנהלה תדאג לאבטחה.

 

Disaster Recovery
Disaster Recovery הוא תהליך של התאוששות וקבלת שליטה מחודשת על מידע, חומרה ותוכנה החיוניים להמשך הפעילות הקריטית של עסק לאחר אסון טבעי או אנושי. Disaster Recovery Plan (DRP) היא תוכנית להתאוששות מאסון ומהוה חלק מתהליך גדול יותר הנקרא Business Continuity Planning (BCP) - תוכנית להמשכיות העסק.

עם עליית התלות של פעילות עיסקית ושינוע מידע ע"י טכנולוגייה (Information Technology), מתחולל בשנים האחרונות תהליך לכיוון של הגנה על מידע חיוני וללא תחליף. תהליך זה מוחשי בעיקר בתחום הטכנולוגי כשרוב המחשבים הגדולים מגבים מידע דיגיטלי כדי להגביל את אובדן המידע ולעזור בשיחזור מידע (data recovery).

אירועים המחייבים התמודדות עם disaster recovery שונים בין עסק אחד למישנהו וכל עסק חייב לעבור תהליך של הערכת סיכונים (risk assessment) כדי להיות מוכן לסיכונים הספציפיים בפניהם הוא עומד. אירועים אלו כוללים בין השאר אסונות טבע, אש, אובדן חשמל, מתקפת טרור, הפרעה מאורגנת או מתוכננת, גניבה, תקלת מערכת, טעות אנוש, וירוס מחשב, בעיות משפטיות ושביתת עובדים.

מניעת אובדן מידע יכולה להתבצע בכמה רמות ובכלים שונים כגון גיבויים הנשלחים על מחוץ לעסק במרווחי זמן קבועים (off-site) - יש לכלול במסגרת הגיבויים גם את התוכנות עצמן מעבר למידע, הגנת מתח גבוה וקפיצות מתח (surge protectors) כדי למזער נזקים לציוד אלקטרוני כתוצאה מחוסר יציבות באספקת החשמל, הגנה בפני אש ע"י התקנת אזעקות נוספות ומטפים עם נגישות מהירה, תוכנות אנטי-וירוס פעילות באופן קבוע ומעודכנות, ועוד.

תוכנית להתאוששות מאסונות מהווה חלק חשוב בתוכנית הגדולה יותר של המשכיות העסק וכן חלק ממערך ניהול הסיכונים בחברה. תוכנית כזאת מורכבת מהערכת הסיכון כדי לקבוע את חיונוית העסק או המחלקה בתמונה הכוללת והגדרת המיקום בסולם העדיפויות, פיתוח תוכנית מסגרת להתאוששות בהתאם לחשיבות המידע, זמן היעד לשיחזור (Recovery Time Objective - RTO), רמת העידכון של המידע המשוחזק (Recovery Point Objective - RPO), השינויים הדרושים במערכות המידע כדי לאפשר התאוששות קלה ומהירה יותר (זה כולל שינויי תוכנה כגון התקנת תוכנות הגנה ובקרה, שינויי תשתית כגון איחוד שרתים או פיצול קווי תקשורת נתונים), ועוד.

ממחקרים עולה שמסך החברות שעברו איבוד מידע ממוחשב קריטי, 43% לא שרדו את האסון, 51% נסגרו תוך שנתיים, ורק 6% שרדו לטווח-ארוך.

אם בעסק שלך אין מדיניות מוגדרת ומסודרת של הגנה על מערכת המיחשוב והמידע ותוכנית מעודכנת של התאוששות מאסון הכולל איבוד-מידע או יכולת לטפל בו - צור עימנו קשר בהקדם האפשרי!