בשל אילוצים כלכליים ולעיתים בשל מודעות נמוכה תהליכי הבקרה והרגולציה אינם טובים, משתמשי קצה לא תמיד מקפידים לציית להוראות הבטיחות והחינוך לאבטחת מידע באקדמיה לוקה בחסר. ההיבט של חלוקת התקציבים לטיפול בארבע השכבות החיצוניות מובן יותר כאשר קיימת סכנה לתשתיות שבהן האיום העיקרי אינו על המידע אלא על תהליכים טכניים, מכונות וכדומה.
"מודל הכוכב" מתאים למקרים בהם המידע הוא נשוא האיום העיקרי. בבסיס הרעיון של "מודל הכוכב" עומדים הנתונים. פעולות אבטחה יופעלו מיד עם היווצר המידע והן כוללות הצפנה, אותנטיקציה ובקרת גישה. בעבר נמנעו אנשי IT מהצפנה מחשש לפגיעה בזמינות המידע, שכן פעולות ההצפנה והשחזור דורשות משאבי מחשב. כיום ניהול מפתחות ההצפנה קל מבעבר וגם משאבי המחשבים זמינים יותר ולפיכך, כמעט אין פגיעה בזמן התגובה של המערכות.
אבטחה לעומת נוחות.
ישנו ניגוד מתמיד בתהליך קבלת ההחלטות מצד המשתמשים בין אבטחה מול נוחות. הדרך העיקרית להשגת אבטחה מלאה היא ניתוק המערכת מהרשת, הסרת חיבור הרשת, המקלדת, העכבר, הצג, כונן התקליטונים והמדפסת, אך הדבר אינו מעשי וגם לא תמיד מספיק כיוון שתמיד קיים חשש שגורמים עוינים יצליחו להשיג גישה פיזית כמו החדרת דיסק און קי נגוע. הרעיון המרכזי באבטחה הוא שככל שהגישה למחשב נרחבת יותר, כך הוא פחות מאובטח. מנגד, הדרך הנוחה ביותר להשתמש במחשב היא להפכו לזמין מכל מקום בעולם, להשתמש בכל פרוטוקולי התקשורת הקיימים וללא סיסמאות, במקרה כזה רמת האבטחה שואפת לאפס.
ככל שהאמצעי ההגנה פוגעים יותר בנוחות השימוש יש סיכוי גדול יותר שהמשתמשים ינסו לעקוף או לנטרל אותם. למשל ידוע שמשתמשים נוטים לבחור בסיסמאות חלשות וקשה לאכוף כללים קפדניים שמונעים זאת. לכן חשוב לאזן בין הפגיעה בנוחות השימוש לבין אמצעי האבטחה המופעלים.
נזקי אובדן אמון לקוחות.
בעיה נוספת העולה מתקיפת מערכות מידע של חברות היא אובדן אמון הלקוחות בחברה. במערכות המידע של חברות רבות מצויים מאגרי מידע המכילים פרטים המשויכים לקהל הלקוחות, וכאשר גורמים שאינם מורשים מפלסים דרך גישה למאגרים אלו, הופכים קהל לקוחותיה גם הם לקורבן. במקרה שהדבר מתפרסם ונודע ללקוחות, צפוי נזק רב לחברה, ובשל כך חברות רבות אינן מדווחות על כשלי אבטחה במערכת שלהן, על מנת להימנע ממבוכה ציבורית ופגיעה בשמן הטוב ובאמון הלקוחות.
תחומים באבטחת מידע.
כדי להגן על המידע ועל מערכות המידע, נעשה שימוש במערכות אבטחת מידע. מערכות אלו פרוסות בחתכים שונים בארגון, וכוללות: הגנת המידע ביישומים שונים (הצפנה, ניהול הרשאות), הגנת מערכת המידע ברמה הלוגית (הזדהות - מניעת גישה) וברמה הפיזית. לדוגמה אבטחת יישום ובד בבד הגנה על גישה פיזית (דלתות וחלונות) בדרך אל מקום אחסון המידע - השרתים.
האסטרטגיה ותורת ההגנה הכוללת.
בנייתה של תורת אבטחת מידע רבת שכבות וממדים, מחייבת תשתית איתנה ושורשים עמוקים של הבנה אסטרטגית. הבנה שכזו מתבססת על תורות חיצוניות לעולם האבטחה (“The Art of War”), על תורות ואסטרטגיות מתוך עולם האבטחה (NSA’s Defense in Depth – DiD), ועל בסיס אלה – עקרונות אבטחת המידע המיועדים לכל אחד ממקצועות האבטחה בנפרד.
אבטחת תשתיות מיחשוב.
הכלים, הטכנולוגיות והטכניקה הכרוכה באבטחתן ובהגנתן של תשתיות המיחשוב הארגוניות והמרחב הקיברנטי שמחוץ לגבולות הארגון:
הטכנולוגיות, הטכניקות והארכיטקטורה.
התקנה והגדרה של כלי אבטחת מידע אינה מבטיחה הגנה נאותה, כשם שקיומם של תותחים, מטוסים וצוללות אינה מבטיחה ניצחון. תורת הלחימה דורשת הבנה ארכיטקטונית, ראייה רחבה, ויכולת להפעיל טקטיקות הנובעות – הן מהראייה הרחבה, והן מתוך הבנה של "הפרטים הקטנים". עולם זה עוסק בראייה הארכיטקטונית, בתורת הלחימה, בהפעלה האסטרטגית של הטכנולוגיות ובטכניקה הכרוכה בהפעלת הכלים, ומכאן - באבטחתן ובהגנתן של תשתיות המיחשוב הארגוניות והתשתיות שמחוץ לגבולות הארגון. תחום זה כולל את הנושאים:
אבטחת יישומים ותוכנה.
כשם שתשתית מהווה כר פורה לפעילויות תקיפה, כך גם קוד מקור יכול להוות "נשא" ל"קוד זדוני" שמטרתו להזיק למערכת או לשאוב ממנה מידע. היישום, סובל ממספר אתגרי אבטחת מידע השונים מאתגרי האבטחה במערכות הפעלה ותקשורת. התשתיות מפותחות בדרך כלל על ידי גורמים בינלאומיים רחבי היקף, וכאשר מתגלה "חור אבטחה", נוהגים גופי ענק אלו להפיץ "עדכון" ותיקון. מאידך – האפליקציות הן בדרך-כלל מקומיות, ופותחו בהתאמה ללקוח אחד. לכן – כאשר מתגלה "חור אבטחה" – תיקונו אינו פשוט כי מחיר התיקון אינו "מתחלק" על-פני מאות אלפי לקוחות. תהליך אבטחת יישומים מתחיל כבר בשלב התכנון, נמשך לכל אורך פיתוח יישום, ואף לאחר מכן – בשלב התחזוקה. קיימות התמחויות שונות הנוגעות ליישומים רגילים, ליישומי אינטרנט, להיבט הקוד והשפה של מסדי נתונים, וכן התמחויות הקשורות לטכנולוגיה: Java, ושפות כמו וכן הלאה.
ממשל אבטחת המידע.
"ממשל אבטחת מידע" (InfoSec Governance) מהווה אבן יסוד בעולם הניהול, הארגון ושיטות (או"ש) של יחידת אבטחת המידע. רבות מן הדרישות להגנה על המידע בארגון נובעות מחוקי המדינה, מרגולציה של הגופים המבקרים, מתקנים מקומיים או בינלאומיים או מדרישות הספקים והשותפים. חוקים, מטרתם בדרך כלל להגן על פרטיות אנשים או להגן על נכסיהם הפיננסיים או הקניינים, של פרטים שהמידע עליהם נמצא ברשות הארגונים. הרגולציות מכוונות להגן על האיתנות הפיננסית של הארגונים המבוקרים ולמנוע פגיעה בפרטי המשתמשים בארגונים אלו להשקעה. כתוצאה מכך, רגולציות וחוקים מייצרים דרישות בתחום ההגנה על המידע, אף כי אינם מכווני אבטחת מידע בבסיסם.
ממשל תאגידי: הארגון עצמו פנימה מבצע אף-הוא פעילויות לאבטחת המידע: ניהול סיכונים לנכסי המידע הארגוניים, תוך הצבת מטרות ודרישות בתחום אבטחת המידע, הנובעות מדרישות חוק ורגולציה, מחויבויות חוזיות וצרכי הארגון להגן על נכסיו, כדי שיוכל לעמוד ביעדים העסקיים שלו ולזכות ביתרון תחרותי. מערך אבטחת המידע אמור לספק את הכלים לעמידה בדרישות הממשל התאגידי, להכין תוכנית אבטחת מידע מכוונת ניהול סיכונים התואמת את נוהלי החברה ואת היעדים העסקיים והחזון של הארגון ולדווח על רמת ההצלחה של תוכנית אבטחת המידע. הארגון קובע את היעדים האסטרטגיים ארוכי הטווח לפיהם יפותחו תוכניות אבטחת המידע ויקבעו היעדים בתחום אבטחת המידע.
ניהול, ארגון ושיטות של יחידת אבטחת מידע.
הדרישות העסקיות והרגולטיביות מתורגמות על ידי מנהל אבטחת המידע לשורה של בקרות שמטרתן למזער את הסיכונים לנכסי המידע של הארגון. בקרות אלו הן אוסף של מדיניות, נהלים, תקנים והוראות עבודה. הבקרות יכולות להיות פרוצדורליות, פיזיות, לוגיות או טכנולוגיות והפעלתן וישומן בארגון מהווים את תוכנית אבטחת המידע הארגוני. בקרות אלו נמדדות באופן רציף, כדי לזהות את התאמתן לטיפול בסיכונים לנכסי המידע הארגוני, המדידה נעשית באמצעות מדדים כמותיים ובאמצעות ביקורות תקופתיות הכוללות סקרי סיכונים, סקרי אבטחת מידע ומבדקי חדירות. תוצאות המדידות משמשות לעדכון תוכנית העבודה. על תוכנית העבודה של אבטחת המידע להיות מוטמעת בכל רחבי הארגון ולפנות אל כל העובדים. נושא נוסף המטופל על ידי ממונה אבטחת המידע הוא זיהוי וטיפול בתקריות אבטחת המידע, כאשר הבקרות אינן מצליחות למנוע סיכון.
כיצד מנהל ה- CISO את ההיבטים הרבים והרב-תחומיים שתוארו? כיצד הוא מתייחס להיבטי האבטחה במימד הטכנולוגיות, במימד התהליכים הארגוניים, ובמימד האנושי? כיצד הוא מסנכרן ומנהל את עשרות ומאות משימותיו, את תדירות הפעילויות, מהותן, והסדר שבהן? כיצד משתלבת בכל אלו התייחסות לדרישות המדינה (חוקים ורגולציות), של הלקוחות והשותפים (תקני אבטחת מידע), ולדרישות של העסק – הארגון עצמו? כיצד הוא מנהל סדרי עדיפויות במציאות של מחסור מתמיד במשאבים?
עולם זה עוסק בסדר הנכון של הפעולות, בתדירותן, בחומרי הגלם המוכנסים על ידי ה-CISO לכל פעולה בודדת ובתוצרים היוצאים מפעולה זו ומשמשים כחומר גלם לפעולה הבאה בתהליך.
עולם הניהול "אורז" את עולמות אבטחת המידע שתוארו עד כה למיקשה אחת, ויוצר תהליך שבו משולבות כל הפעילויות, תוך שהן מתחשבות ברצונות העסקיים של הארגון, ברצונות של המדינה, וברצונות של השותפים – הלקוחות בדרך-כלל.
נושאים עיקריים:
הגנת סייבר.
הגנת סייבר היא הגנה על מידע במרחב הקיברנטי מפני זליגת מידע מתוך המרחב או מפני תקיפות סייבר המכוונות לגנוב מידע, לשבש אותו או לפגוע בו. הגנת סייבר כוללת לעיתים איסוף מודיעין על יריבים פוטנציאליים, שימוש בכלי ניטור לפיקוח על הפעילות בנכס ואיתור חולשות ארגוניות, אבטחתיות וקבצים מזיקים. כמו כן, התחום כולל פעילות שתכליתה זיהוי מקור התקיפה וייעודה. חקירות מסוג זה יכולות להתבצע באמצעות פעילות אקטיבית ושימוש בכלים מחוץ למרחב עליו מגנים.
על-מנת ליישם אבטחת סייבר יש להכיר היטב את המרחב הקיברנטי. לא ניתן להסתפק רק בהכרת סביבת ההגנה ונדרשת היכרות מעמיקה עם סביבת ההתקפה, מבחינה טכנולוגית, טכניקות והלך-רוח כלכלי ופוליטי. הבנת שיטות פצחנות (Hacking) ומשמען, הבנת כל השלבים בתהליך ההתקפה: החל משלב איסוף המידע (חקירה ומודיעין), ריכוז כלי ההתקפה, חדירה וכלה בשלב ה"ניקיון" שלאחר ההתקפה (House Keeping). מבחינה טכנולוגית, מחולק עולם התקיפה לסביבת המערכת, התקשורת, מסדי הנתונים, מכשירים ניידים, יישומים הרגילים ואינטרנט), תקיפת הגורם האנושי (Social Engineering), ולבסוף - מערכות מיוחדות במינן (משולבות).