stanford-oval/wikipedia huggingface dataset:
אבטחת מידע

טכנאי של הצי האמריקני מבצע תרגול של ביקורת אבטחת מידע בחומרה של מחשב אישי
אבטחת מידע היא הענף העוסק בהגנה מפני גישה, שימוש, חשיפה, ציתות, שיבוש, העתקה או השמדה של מידע ומערכות מידע מצד גורמים שאינם מורשים או זדוניים; ובסיפוק סודיות, שלמות וזמינות של המידע ללא תלות בסוג המידע או בצורת האחסון, פיזית או אלקטרונית.
מערכות מידע עומדות בפני סיכונים יום-יומיים המאיימים על שלמותן וביטחונן. ההגנה עליהן כוללת מספר רבדים, אבטחה פיזית של המבנה שבו נמצאות מערכות המחשב, אבטחה של מערכות החומרה והתוכנה, אבטחת רכיבי התקשורת ואבטחת המידע הנאגר בהן. מאגרי מידע רבים המשמשים יחידים, תאגידים ומדינות, מאוחסנים על גבי מחשבים בעלי גישה לאינטרנט. גם למאגר המבודל מהאינטרנט ניתן לגרום נזק באמצעות גישה ישירה. מאגרי מידע אלו כוללים מידע אישי, עסקי וביטחוני.
שלושת היעדים העיקריים של אבטחת מידע (CIA) הם:
שלמות (Integrity) – הגנה מפני שינוי זדוני של המידע או השמדתו, כולל הבטחת אי התכחשות ואימות זהויות בעלי המידע.
סודיות (Confidentiality) – הגבלת גישה או חשיפה לא מורשית של מידע, כולל הגנה על פרטיות וזכויות קנייניות במידע.
זמינות (Availability) – שמירה על זמינות ויעילות הגישה אל המידע בכל זמן נתון.
חלק מהיעדים מושגים באמצעות קריפטוגרפיה. אבטחת מידע משתמשת בהצפנה על רבדיה השונים כדי להסתיר את המידע מפני אילו שאינם מורשים לגשת אליו וכדי להבטיח את שלמותו ואמינותו באמצעות שיטות כמו הצפנה, חתימה דיגיטלית, קוד אימות מסרים, פונקציית גיבוב וכדומה. מצד שני, קריפטוגרפיה עלולה להוסיף שלא במודע בעיות אם אינה מיושמת כמו שצריך תוך שימוש בפרוטוקולים תקניים שעברו ביקורת מומחים קפדנית. אבטחת מידע היא נושא רגיש עקב העובדה ששיטות האבטחה כשלו לא פעם בגלל מחדלים כמו יישום לקוי או אי הקפדה על נהלים וכללים ראויים.
מבוא

אבטחת IT (טכנולוגיית מידע) הכוללת גם אבטחת מחשב אישי ברשת מתייחסת לאבטחת מידע המיושמת בטכנולוגיות מחשוב. שזהו בהגדרה כל מכשיר המכיל מעבד וזיכרון. ממכשיר עצמאי שאינו מרושת כמו מחשבון פשוט, טלפון נייד, שרת קבצים, שרת דואר, מחשב שולחני ועד מחשב לוח המחובר לרשת האינטרנט. כל ארגון המחזיק במידע בעל ערך מעסיק מומחי אבטחת מידע האחראים להבטיח שכל הטכנולוגיות בשימוש החברה בטוחות מפני לוחמת רשת המנסה ללא הרף לחדור למחשבי החברה לגנוב מידע קריטי לצורך השתלטות עוינת, חבלה או גביית כופר.
אבטחת מידע כוללת העיסוק בהבטחת אמינות נתונים, כך ששלמותם, סודיותם וזמינותם לא תפגע. כולל טיפול במקרה של פגיעה תשתיתית, גנבה פיזית של חומרה או אסונות טבע. היות שבימינו מרבית הנתונים מאוחסנים במחשבים, הטיפול בהבטחת אמינות מידע נופל בחלקם של מומחי אבטחת המידע. חלק מהשיטות אינן קריפטוגרפיות כמו מנגנוני גיבוי והתאוששות.
אבטחת המידע דורשת ניתוח במספר מישורים במקביל:
מהות הבעיה והיווצרותה.
פתרונות לבעיית האבטחה במישור הטכנולוגי, האנושי והתהליכי.
תחומי הידע באבטחת מידע (עולמות ידע).
מקצועות והתמחויות באבטחת מידע.
מבוא > הגנה לעומק

אחד ממסמכי היסוד המהווים תשתית להבנת ההיקף והמורכבות הוא מסמך המכונה "Defense in Depth" של הסוכנות לביטחון לאומי בארצות הברית (NSA), אשר מהווה המלצה לאסטרטגיה מעשית למערך אבטחת מידע. המסמך מתאר מסגרת של חתירה לאבטחת מידע ברמה הולמת לאתגרי העידן הנוכחי. התפיסה מושתתת על הפרקטיקה המקובלת – יישום מושכל של טכנולוגיות וטכניקות קיימות.
ה-DiD גורס שמירה על איזון בין רמת ההגנה, העלות להשגתה ושיקולי תפעול.
מבוא > הצורך באבטחת מידע

כאשר נכנסו לשימוש מחשבי הדור השלישי שעדיין עשו שימוש בכרטיס מנוקב לצורך קלט ופלט, הגישה למחשב בפועל הייתה מוגבלת ואחת הטענות באותה תקופה התייחסה ל"סגירותה של המערכת" ומגבלת השימוש בה. כאשר החל ייצורם של מחשבים "מרובי משתמשים" ומרובי מסכים נפתרה בעיית הנגישות והשימוש במחשבים התרחב ומכאן התרחב גם הסיכון לשלמותם ולמידע שעליהם. במיוחד עם שיפור יכולות התקשורת, הופעת המחשב האישי ב-1981 עת הוכרז IBM PC והמצאת האינטרנט המחשבים נעשו נפוצים וזמינים יותר ויותר כאשר המוטיב המרכזי היה "פתיחות ותקשורת קלה". התפתחות זו פתחה במקביל את הדלת גם לגישה בלתי חוקית, או לגישה שמטרתה אינה חוקית.
מבוא > מודלים של אבטחת מידע

כיום נהוג ליישם אבטחת מידע על בסיס שני מודלים עיקריים. האחד: "מודל שבע השכבות" של ארגון OSI והשני: "מודל המעגלים" – CIA. בשני המודלים שכבות ההגנה החיצוניות הן: שכבת מדיניות, שכבת הגנה פיזית, שכבת הגנה על התקשורת הפנימית, שכבת הגנה על התקשורת החיצונית, שכבת הגנה על מסד הנתונים ותחנת המשתמש, שכבת אבטחת האפליקציה, ושכבת אבטחת הנתונים.
במודל המעגלים מקובל להתייחס לשלושה נכסים מרכזיים שעליהם נדרש להגן במערכות מידע:
חסיון המידע – מידע יהיה נגיש לגורם שהורשה לו בלבד.
זמינות המידע (והמערכת) – מערכת המידע והמידע האגור בה יהיו זמינים בהתאם לרמת הזמינות שהוגדרה על ידי לקוחות המערכת.
שלמות ואמינות המידע – הגנה על כך שהמידע במערכת יכיל את כל שהוגדר מלכתחילה וכי הנתונים עצמם לא עברו שינוי על ידי גורם שאינו מורשה.
מאידך, יש להתייחס לשלושה מרכיבים שונים הגורמים לסיכון (PPT – process, people and technology):
טכנולוגיות – מערכות החומרה, התוכנה והתקשורת המהוות "מערכות".
אנשים – המשתמשים בטכנולוגיות, ולכן מהווים חוליה חלשה במיוחד, מכיוון שהם מפעילים או משתמשים בטכנולוגיות, ונוטים לעשות שגיאות המייצרות פרצות במערך ההגנה אשר מאפשרות לתוקף לנצלן.
תהליכים – מידת הנזק משגיאת אנוש או נקודת תורפה טכנולוגית עשויה לִהצטמצם מאוד אם מבוצע תכנון נכון של התהליכים בארגון. הגדרת תהליכים בסדר נכון ובדוק מראש מאפשרת זיהוי מוקדם של פגיעה או ניסיון פגיעה במערכות.
בשל אילוצים כלכליים ולעיתים בשל מודעות נמוכה תהליכי הבקרה והרגולציה אינם טובים, משתמשי קצה לא תמיד מקפידים לציית להוראות הבטיחות והחינוך לאבטחת מידע באקדמיה לוקה בחסר. ההיבט של חלוקת התקציבים לטיפול בארבע השכבות החיצוניות מובן יותר כאשר קיימת סכנה לתשתיות שבהן האיום העיקרי אינו על המידע אלא על תהליכים טכניים, מכונות וכדומה.
"מודל הכוכב" מתאים למקרים בהם המידע הוא נשוא האיום העיקרי. בבסיס הרעיון של "מודל הכוכב" עומדים הנתונים. פעולות אבטחה יופעלו מיד עם היווצר המידע והן כוללות הצפנה, אותנטיקציה ובקרת גישה. בעבר נמנעו אנשי IT מהצפנה מחשש לפגיעה בזמינות המידע, שכן פעולות ההצפנה והשחזור דורשות משאבי מחשב. כיום ניהול מפתחות ההצפנה קל מבעבר וגם משאבי המחשבים זמינים יותר ולפיכך, כמעט אין פגיעה בזמן התגובה של המערכות.
מבוא > אבטחה לעומת נוחות

ישנו ניגוד מתמיד בתהליך קבלת ההחלטות מצד המשתמשים בין אבטחה מול נוחות. הדרך העיקרית להשגת אבטחה מלאה היא ניתוק המערכת מהרשת, הסרת חיבור הרשת, המקלדת, העכבר, הצג, כונן התקליטונים והמדפסת, אך הדבר אינו מעשי וגם לא תמיד מספיק כיוון שתמיד קיים חשש שגורמים עוינים יצליחו להשיג גישה פיזית כמו החדרת דיסק און קי נגוע. הרעיון המרכזי באבטחה הוא שככל שהגישה למחשב נרחבת יותר, כך הוא פחות מאובטח. מנגד, הדרך הנוחה ביותר להשתמש במחשב היא להפכו לזמין מכל מקום בעולם, להשתמש בכל פרוטוקולי התקשורת הקיימים וללא סיסמאות, במקרה כזה רמת האבטחה שואפת לאפס.
ככל שהאמצעי ההגנה פוגעים יותר בנוחות השימוש יש סיכוי גדול יותר שהמשתמשים ינסו לעקוף או לנטרל אותם. למשל ידוע שמשתמשים נוטים לבחור בסיסמאות חלשות וקשה לאכוף כללים קפדניים שמונעים זאת. לכן חשוב לאזן בין הפגיעה בנוחות השימוש לבין אמצעי האבטחה המופעלים.
מבוא > נזקי אובדן אמון לקוחות

בעיה נוספת העולה מתקיפת מערכות מידע של חברות היא אובדן אמון הלקוחות בחברה. במערכות המידע של חברות רבות מצויים מאגרי מידע המכילים פרטים המשויכים לקהל הלקוחות, וכאשר גורמים שאינם מורשים מפלסים דרך גישה למאגרים אלו, הופכים קהל לקוחותיה גם הם לקורבן. במקרה שהדבר מתפרסם ונודע ללקוחות, צפוי נזק רב לחברה, ובשל כך חברות רבות אינן מדווחות על כשלי אבטחה במערכת שלהן, על מנת להימנע ממבוכה ציבורית ופגיעה בשמן הטוב ובאמון הלקוחות.
תחומים באבטחת מידע

כדי להגן על המידע ועל מערכות המידע, נעשה שימוש במערכות אבטחת מידע. מערכות אלו פרוסות בחתכים שונים בארגון, וכוללות: הגנת המידע ביישומים שונים (הצפנה, ניהול הרשאות), הגנת מערכת המידע ברמה הלוגית (הזדהות – מניעת גישה) וברמה הפיזית. לדוגמה אבטחת יישום ובד בבד הגנה על גישה פיזית (דלתות וחלונות) בדרך אל מקום אחסון המידע – השרתים.
תחומים באבטחת מידע > האסטרטגיה ותורת ההגנה הכוללת

בנייתה של תורת אבטחת מידע רבת שכבות וממדים, מחייבת תשתית איתנה ושורשים עמוקים של הבנה אסטרטגית. הבנה שכזו מתבססת על תורות חיצוניות לעולם האבטחה ("The Art of War"), על תורות ואסטרטגיות מתוך עולם האבטחה (NSA’s Defense in Depth – DiD), ועל בסיס אלה – עקרונות אבטחת המידע המיועדים לכל אחד ממקצועות האבטחה בנפרד.
תחומים באבטחת מידע > אבטחת תשתיות מחשוב

הכלים, הטכנולוגיות והטכניקה הכרוכה באבטחתן ובהגנתן של תשתיות המחשוב הארגוניות והמרחב הקיברנטי שמחוץ לגבולות הארגון:
תחומים באבטחת מידע > הטכנולוגיות, הטכניקות והארכיטקטורה

התקנה והגדרה של כלי אבטחת מידע אינה מבטיחה הגנה נאותה, כשם שקיומם של תותחים, מטוסים וצוללות אינה מבטיחה ניצחון. תורת הלחימה דורשת הבנה ארכיטקטונית, ראייה רחבה, ויכולת להפעיל טקטיקות הנובעות – הן מהראייה הרחבה, והן מתוך הבנה של "הפרטים הקטנים". עולם זה עוסק בראייה הארכיטקטונית, בתורת הלחימה, בהפעלה האסטרטגית של הטכנולוגיות ובטכניקה הכרוכה בהפעלת הכלים, ומכאן – באבטחתן ובהגנתן של תשתיות המחשוב הארגוניות והתשתיות שמחוץ לגבולות הארגון. תחום זה כולל את הנושאים:
קריפטוגרפיה
בקרת גישה (Access Control)
אבטחת רשת (Network Architecture Security)
אבטחת נגזרות טכנולוגיות מיוחדות (יישומים, מסדי נתונים, אמצעים ניידים, מערך מחשוב וירטואלי, מחשוב מבוסס ענן, חומרה וקושחה, מערכות נתמכות ומערכות מבוססות מחשב)
מניעת זליגת מידע (DLP – מערכת למניעת דלף מידע)
מערך זיהוי ותגובה (Detection & Response)
ארכיטקטורת אבטחת מידע
תחומים באבטחת מידע > אבטחת יישומים ותוכנה

כשם שתשתית מהווה כר פורה לפעילויות תקיפה, כך גם קוד מקור יכול להוות "נשא" ל"קוד זדוני" שמטרתו להזיק למערכת או לשאוב ממנה מידע. היישום, סובל ממספר אתגרי אבטחת מידע השונים מאתגרי האבטחה במערכות הפעלה ותקשורת. התשתיות מפותחות בדרך כלל על ידי גורמים בין-לאומיים רחבי היקף, וכאשר מתגלה "חור אבטחה", נוהגים גופי ענק אלו להפיץ "עדכון" ותיקון. מאידך – האפליקציות הן בדרך-כלל מקומיות, ופותחו בהתאמה ללקוח אחד. לכן – כאשר מתגלה "חור אבטחה" – תיקונו אינו פשוט כי מחיר התיקון אינו "מתחלק" על-פני מאות אלפי לקוחות. תהליך אבטחת יישומים מתחיל כבר בשלב התכנון, נמשך לכל אורך פיתוח יישום, ואף לאחר מכן – בשלב התחזוקה. קיימות התמחויות שונות הנוגעות ליישומים רגילים, ליישומי אינטרנט, להיבט הקוד והשפה של מסדי נתונים, וכן התמחויות הקשורות לטכנולוגיה: Java, ושפות כמו .NET, C / C++ וכן הלאה.
תחומים באבטחת מידע > ממשל אבטחת המידע

"ממשל אבטחת מידע" (InfoSec Governance) מהווה אבן יסוד בעולם הניהול, הארגון ושיטות (או"ש) של יחידת אבטחת המידע. רבות מן הדרישות להגנה על המידע בארגון נובעות מחוקי המדינה, מרגולציה של הגופים המבקרים, מתקנים מקומיים או בין-לאומיים או מדרישות הספקים והשותפים. חוקים, מטרתם בדרך כלל להגן על פרטיות אנשים או להגן על נכסיהם הפיננסיים או הקניינים, של פרטים שהמידע עליהם נמצא ברשות הארגונים. הרגולציות מכוונות להגן על האיתנות הפיננסית של הארגונים המבוקרים ולמנוע פגיעה בפרטי המשתמשים בארגונים אלו להשקעה. כתוצאה מכך, רגולציות וחוקים מייצרים דרישות בתחום ההגנה על המידע, אף כי אינם מכווני אבטחת מידע בבסיסם.
ממשל תאגידי: הארגון עצמו פנימה מבצע אף-הוא פעילויות לאבטחת המידע: ניהול סיכונים לנכסי המידע הארגוניים, תוך הצבת מטרות ודרישות בתחום אבטחת המידע, הנובעות מדרישות חוק ורגולציה, מחויבויות חוזיות וצרכי הארגון להגן על נכסיו, כדי שיוכל לעמוד ביעדים העסקיים שלו ולזכות ביתרון תחרותי. מערך אבטחת המידע אמור לספק את הכלים לעמידה בדרישות הממשל התאגידי, להכין תוכנית אבטחת מידע מכוונת ניהול סיכונים התואמת את נוהלי החברה ואת היעדים העסקיים והחזון של הארגון ולדווח על רמת ההצלחה של תוכנית אבטחת המידע. הארגון קובע את היעדים האסטרטגיים ארוכי הטווח לפיהם יפותחו תוכניות אבטחת המידע ויקבעו היעדים בתחום אבטחת המידע.
תחומים באבטחת מידע > ניהול, ארגון ושיטות של יחידת אבטחת מידע

הדרישות העסקיות והרגולטיביות מתורגמות על ידי מנהל אבטחת המידע לשורה של בקרות שמטרתן למזער את הסיכונים לנכסי המידע של הארגון. בקרות אלו הן אוסף של מדיניות, נהלים, תקנים והוראות עבודה. הבקרות יכולות להיות פרוצדורליות, פיזיות, לוגיות או טכנולוגיות והפעלתן וישומן בארגון מהווים את תוכנית אבטחת המידע הארגוני. בקרות אלו נמדדות באופן רציף, כדי לזהות את התאמתן לטיפול בסיכונים לנכסי המידע הארגוני, המדידה נעשית באמצעות מדדים כמותיים ובאמצעות ביקורות תקופתיות הכוללות סקרי סיכונים, סקרי אבטחת מידע ומבדקי חדירות. תוצאות המדידות משמשות לעדכון תוכנית העבודה. על תוכנית העבודה של אבטחת המידע להיות מוטמעת בכל רחבי הארגון ולפנות אל כל העובדים. נושא נוסף המטופל על ידי ממונה אבטחת המידע הוא זיהוי וטיפול בתקריות אבטחת המידע, כאשר הבקרות אינן מצליחות למנוע סיכון.
כיצד מנהל ה-CISO את ההיבטים הרבים והרב-תחומיים שתוארו? כיצד הוא מתייחס להיבטי האבטחה במימד הטכנולוגיות, במימד התהליכים הארגוניים, ובמימד האנושי? כיצד הוא מסנכרן ומנהל את עשרות ומאות משימותיו, את תדירות הפעילויות, מהותן, והסדר שבהן? כיצד משתלבת בכל אלו התייחסות לדרישות המדינה (חוקים ורגולציות), של הלקוחות והשותפים (תקני אבטחת מידע), ולדרישות של העסק – הארגון עצמו? כיצד הוא מנהל סדרי עדיפויות במציאות של מחסור מתמיד במשאבים?
עולם זה עוסק בסדר הנכון של הפעולות, בתדירותן, בחומרי הגלם המוכנסים על ידי ה-CISO לכל פעולה בודדת ובתוצרים היוצאים מפעולה זו ומשמשים כחומר גלם לפעולה הבאה בתהליך.
עולם הניהול "אורז" את עולמות אבטחת המידע שתוארו עד כה למיקשה אחת, ויוצר תהליך שבו משולבות כל הפעילויות, תוך שהן מתחשבות ברצונות העסקיים של הארגון, ברצונות של המדינה, וברצונות של השותפים – הלקוחות בדרך-כלל.
נושאים עיקריים:
Security Administration
Strategic Planning
InfoSec Governance – Corporate governance – IT Governance
InfoSec Program framework
Law Regulation and Standards
Security Policy and Procedures
InfoSec Audit and Audit Controls
תחומים באבטחת מידע > הגנת סייבר

הגנת סייבר היא הגנה על מידע במרחב הקיברנטי מפני זליגת מידע מתוך המרחב או מפני תקיפות סייבר המכוונות לגנוב מידע, לשבש אותו או לפגוע בו. הגנת סייבר כוללת לעיתים איסוף מודיעין על יריבים פוטנציאליים, שימוש בכלי ניטור לפיקוח על הפעילות בנכס ואיתור חולשות ארגוניות, אבטחתיות וקבצים מזיקים. התחום כולל פעילות שתכליתה זיהוי מקור התקיפה וייעודה. חקירות מסוג זה יכולות להתבצע באמצעות פעילות אקטיבית ושימוש בכלים מחוץ למרחב עליו מגנים.
על-מנת ליישם אבטחת סייבר יש להכיר היטב את המרחב הקיברנטי. לא ניתן להסתפק רק בהכרת סביבת ההגנה ונדרשת היכרות מעמיקה עם סביבת ההתקפה, מבחינה טכנולוגית, טכניקות והלך-רוח כלכלי ופוליטי. הבנת שיטות פצחנות (Hacking) ומשמען, הבנת כל השלבים בתהליך ההתקפה: החל משלב איסוף המידע (חקירה ומודיעין), ריכוז כלי ההתקפה, חדירה וכלה בשלב ה"ניקיון" שלאחר ההתקפה (House Keeping). מבחינה טכנולוגית, מחולק עולם התקיפה לסביבת המערכת, התקשורת, מסדי הנתונים, מכשירים ניידים, יישומים הרגילים ואינטרנט), תקיפת הגורם האנושי (Social Engineering), ולבסוף – מערכות מיוחדות במינן (משולבות).
תפקיד מומחה אבטחה בארגון הוא לספק הגנה על הנכס מפני לוחמת רשת. בין היתר לבצע ניתוח הפעילות הרשתית וזיהוי חולשות של הארגון, ניטור ופיקוח התעבורה בארגון, חיפוש אנומליות, העלאת מודעות העובדים לסכנות ועוד. האדם הפרטי לרוב מבצע אבטחת מחשב אישי ברשת על ידי עדכון שוטף של מערכות ההפעלה, שימוש באנטי וירוס מעודכן, חומת אש והתקנת תוכנות חינמיות לניקוי קבצים מזיקים שכבר חדרו למערכת.
תחומים באבטחת מידע > האבטחה הפיזית

לא נכללת במתודולוגיה, אך נושקת לעולם אבטחת המידע וחופפת לו בהיבטים אחדים, בהגנה ובהתקפה. המשמעות היא מניעת גישה פיזית לאנשים לא מורשים.
מקצועות אבטחת מידע

התפתחותו של תחום אבטחת מידע הביאה איתה שלל מקצועות המתמודדים עם אתגרי האבטחה. המקצועות העיקריים וההתמחויות הנפוצות הם:
מינהלן אבטחת מידע
אנליסט במרכז ניטור SOC
מיישם אבטחת מידע
בודק חוסן – בדיקת חדירוּת (pt)
ארכיטקט (מומחה טכנולוגיות) אבטחת מידע
מומחה מתודולוגיות אבטחת מידע (GRC)
מנהל אבטחת מידע ארגוני (CISO)
מומחה תקיפה
מבקר אבטחת מידע
מומחה אבטחת יישומים ופיתוח
מנהל פרויקט למערכות אבטחת מידע
מומחה חקירות למערכות מידע
מומחה ניטור אירועי אבטחה
מומחה אבטחה פיזית למערכות מידע
מומחה התנהגות רשת חריגה
מומחה הגנת מערכות בקרה תעשייתיות
מומחה כתיבת נוזקות
מומחה הנדסה לאחור לתכנה
מומחה מערכות ניהול אבטחת מידע
מומחה מודיעין מקורות גלויים ברשת
אמצעים המשמשים באבטחת מידע > הרשאות

מתן אפשרות למשתמש מסוים לבצע פעולה נתונה במערכת מידע. הפעולות עשויות להיות יצירה, כתיבה, מחיקה או שינוי של קובץ, הזנה של נתונים בטווח ערכים או כל פעולה אחרת שהמערכת תוכננה להכיל.
מערכת הרשאות מתבססת על הזדהות כתנאי מקדים, שכן המערכת נדרשת לקשר בין משתמש לפעולה. במערכות בהן אין הזדהות, ניתנות הרשאות למשתמשים לא מזוהים (כלומר, מנגנון ההזדהות מקשר ישות לא מזוהה עם משתמש אנונימי).
דוגמה למערכת קבצים שמאפשרת שימוש בהרשאות, גם במחשבים אישיים, היא מערכת NTFS.
ויקיפדיה, היא דוגמה למערכת מידע פתוחה למדי, אך גם בה יש מערכת הרשאות. כל גולש רשאי לעיין בכל דף ולשנות אותו, אך דפים מסוימים מוגנים מפני שינוי, כך שרק מפעילי מערכת רשאים לשנותם. מחיקת דף ניתנת להיעשות רק על ידי מפעילי מערכת, ולהם נתונה הסמכות לחסום כליל משתמש שמזיק למערכת. נעשה שימוש בזיהוי זמני על פי כתובת IP, זיהוי שמבחינת הגולש הוא שקוף אולם מאפשר להפריד בין משתמשים אנונימיים שונים.
אמצעים המשמשים באבטחת מידע > הזדהות

תהליך בו משתמש (אדם או שירות ממוחשב) מספק למערכת מידע פריט מידע המזהה אותו ואמצעי לווידוא הזיהוי. האמצעי הנפוץ ביותר הוא השימוש בשם משתמש וסיסמה, אולם ישנן אפשרויות נוספות החל מכרטיס חכם ועד זיהוי ביומטרי (לפי תכונות גופניות כמו טביעת אצבע).
מקובל לחלק את אמצעי ההזדהות השונים לשלוש קבוצות:
משהו שהמשתמש יודע – בקבוצה זו נכללות סיסמאות.
משהו בבעלות המשתמש – בקבוצה זו נכללים מנגנוני ייצור סיסמה חד-פעמית (OTP), רכיבי אחסון לסיסמאות (Token), כרטיסים חכמים וכו'.
משהו שהוא המשתמש – בקבוצה זו נכללים אמצעי הזיהוי הביומטריים.
הזדהות חזקה (כזו המאפשרת רמת ודאות גבוהה במיוחד בזיהוי) תכלול שילוב של שתיים מתוך שלוש הקבוצות. הדוגמה הקלאסית לכך היא השימוש בכרטיסי אשראי. בכל ניסיון למשוך כסף מכספומט אנו נדרשים להזדהות באמצעות שני רכיבים – משהו שנמצא ברשותנו (כרטיס האשראי המכיל פרטי זיהוי) ומשהו שאנו יודעים (קוד סודי). ללא אחד מהשניים תהליך הזיהוי לא יושלם.
לרוב תהליך ההזדהות הוא החלק הבעייתי ביותר במערכת אבטחת המידע, במיוחד כאשר מדובר ברשת, וזאת בשל הצורך לטפל במספר בעיות פוטנציאליות:
אובדן יכולת התחברות (לרוב איבוד סיסמה). כיום במרבית אתרי האינטרנט ניתנת אפשרות לשליחת הסיסמה לדואר האלקטרוני שהוזן בעת הרישום. כך ניתן לקבל את הסיסמה גם אם היא נשכחה, והיא נגישה רק למי שיש לו גישה לדוא"ל של המשתמש. לעיתים נוהגים אתרים לאחזר סיסמה באמצעות תשובות לשאלות שרק בעל החשבון אמור לדעת את התשובות לגביהן וזאת בהתאם לפרטים שסיפק בעת הרשמתו.
הצורך במשתמש בעל הרשאות בלתי מוגבלות.
הצורך בהזדהות המשותפת למספר מערכות או מחשבים.
הנטייה של משתמשים לרשום את הסיסמה או ללכת ולהשאיר את המחשב במצב שלאחר ההזדהות או לבטל סיסמה.
אמצעים המשמשים באבטחת מידע > קריפטוגרפיה

אבטחת מידע עושה שימוש מאסיבי בקריפטוגרפיה על רבדיה השונים החל מהצפנה שבה הנתונים מועברים למצב בלתי קריא על ידי אלגוריתמים להצפנה עם מפתחות הצפנה סודיים. הנתונים המוצפנים ניתנים לשחזור למצבם המקורי על ידי אלגוריתם הפענוח באמצעות מפתחות הפענוח המתאימים. קריפטוגרפיה מגינה על סודיות המידע גם בעת אחסונו וגם בזמן העברתו ברשת פתוחה הנגישה לגורמים זרים. בנוסף קריפטוגרפיה שימושית ליישומים נוספים כמו אימות זהויות, חתימה דיגיטלית ואי התכחשות המקבלים באמצעות רגולציה מתאימה תוקף חוקי.
בהתאם למידת האיום ההצפנה צריכה להיעשות עם אלגוריתמים ופרוטוקולים ידועים כמו RSA, ECC, AES וכדומה ועם מפתחות הצפנה באורך בטוח שנקבע בהתאם למידת האיום, רמת הביטחון הנדרשת ורמת הביטחון בפועל של כל אחד ממרכיבי המערכת. חשוב להשוות את רמת הביטחון של כל המנגנונים המרכיבים את המערכת כי חוסנה נקבע לפי המרכיב החלש ביותר שבה. הטיפול במפתחות ההצפנה והפענוח צריך להיות באמצעים קריפטוגרפים מתאימים כמו תשתית מפתח ציבורי (PKI) המטפלת במרבית הנושאים הקשורים בתחזוקה והעברה של מפתחות הצפנה.
כאמור קריפטוגרפיה עלולה להחדיר בעיות אבטחה אם אינה מיושמת כראוי. כל האלגוריתמים והפרוטוקולים חייבים להיות מוכרים על ידי תקנים תעשייתיים שעברו ביקורת פתוחה של מומחי אבטחת מידע. כדי להבטיח שהמערכת אמינה וכי היא מספקת את הביטחון המוצהר אין די בלהבטיח שהאלגוריתמים שבשימוש המערכת תקניים. נקודת התורפה העיקרית במערכות אבטחה היא האינטגרציה וההתאמה של כל המרכיבים אחד למשנהו באופן שאינו מחדיר דלתות סתר, פרצות ומחדלי אבטחה אחרים.
אמצעים המשמשים באבטחת מידע > הגנה מפני תוכנה מזיקה

תוכנות מזיקות כוללות: וירוסים, סוסים טרויאנים ורוגלות, אשר נועדו לפגוע במחשב הקצה, למחוק מידע, להוציא מידע (ריגול) וניצול מחשב הקצה למטרות שונות (כוח עיבוד, פרסום).
רוגלות – Spyware/Adware – הן תוכנות אשר 'נדבקות' למחשב הקצה דרך אתרי אינטרנט ותוכנות מפוקפקות אשר בתהליך ההתקנה שלהן הותקנו גם תוכנות הרוגלות. תוכנות אלו מקפיצות פרסומות (pop-up) במחשב הקצה ושולחות מידע משתמש ממחשב הקצה כגון אתרים שבוקרו וסיסמאות, לשרתים באינטרנט המנצלים אותם לשימוש לא חוקי.
הגנה של אנטי וירוס, אנטי-ספאם והגנה מפני רוגלות בתחנת הקצה ובשרתי הגישה (Gateway) ברשת מספקות מענה להתמודדות עם סיכונים אלו. חלק מן הכלים הקיימים מספקים מענה אמין.
כאמור, לרוב מתבצעים ניסיונות מקומיים להגן על רשת האינטרנט. עם זאת, פתרון אוניברסלי יעיל רק נגד איומים הפועלים על פי חוקים ברורים ומוגדרים, תוך מתן מענה טכנולוגי בזמן אמת וגיבוי בחקיקה מסודרת. כותבי הווירוסים אינם פועלים על פי חוקים קבועים ומנסים ליצור בכל עת וירוסים חדשים ומתוחכמים יותר. פירוש הדבר שיצירת פתרון הגנה מסוים אפקטיבי לתקופת זמן מוגבלת בלבד, דהיינו, עד שכותב הווירוסים ימציא וירוס חדש.
יישום אבטחת המידע מביא את הארגון, המערכת או התוכנה למצב שבו הסיכון לאיבוד מידע, כשל מידע או ניצול פרצת אבטחת מידע הוא נמוך.
התפתחות תרבות BYOD מציבה מפני אנשי אבטחת מערכות מידע אתגרים חדשים.
אחת השיטות היא הקטנת שטח פני התקפה.
אמצעים המשמשים באבטחת מידע > גיבוי

גיבוי הוא שמירת עותק של הנתונים המאפשר שחזור חלקי או מלא שלהם במקרה הצורך. שמירת גיבוי מסייעת להתמודד עם מחיקת או עיוות מידע.
ראו גם

קריפטוגרפיה
ביטחון מידע
אפס אמון
לקריאה נוספת

אלון ארבץ, ההגנה הטובה ביותר, הוצאת סלע מאיר, 2023
הערות שוליים

↑  National Security Agency, Defense in Depth (עמ' 5) (באנגלית) (ארכיון)
↑  Defense in Depth
| --- | --- |
בקרת זהויות :  GND: 1217680330  LNB: 000340184  NKC: ph136652 
מכשיר לייצור סיסמאות חד-פעמיות. המכשיר ניתן למשתמש מורשה, ומדי זמן-מה מציג סיסמה אחרת. בזמן ההזדהות מול המערכת, המשתמש נדרש להזין את הסיסמה האישית שלו, ובנוסף גם את הסיסמה המוצגת במכשיר
מיכה דוד

| --- | --- |

 לידה:  1976 (בן 49 בערך) באר שבע, ישראל 
 מוקד פעילות:  ישראל 
 מקום לימודים:  הקונסרבטוריון העירוני באר שבע 
 עיסוק:  מנצח, עורך דין
 שפה מועדפת:  עברית 
 כלי נגינה:  סקסופון 
 שיתופי פעולה בולטים:  תזמורת כלי הנשיפה באר שבע
 
מיכה דוד (נולד ב-1976) הוא מוזיקאי, מנצח ונגן סקסופון ישראלי. במקצועו הוא עורך דין.
ביוגרפיה

דוד נולד בבאר שבע. את לימודי המוזיקה החל בגיל 4, בלימוד נגינה על פסנתר. עד מהרה לטש עיניו לנגינה על סקסופון, אך נתבקש להמתין עד לגיל 8, אז החל ללמוד נגינה בקונסרבטוריון העירוני בבאר שבע, שם סיים את לימודיו בהצטיינות, תוך שזכה במספר תחרויות נגינה ובמלגות. באותן שנים ניגן בתזמורת הנוער בניצוחו של מר נסים אלשיך ונמנה בין בוגריה.
דוד שירת בצה"ל כנגן סקסופון וקלרינט בתזמורת צה"ל, וסיים לימודיו בהוראה ובניצוח תזמורות כלי נשיפה אצל מפקד ומנצח תזמורת צה"ל אותה עת, אל"ם יצחק גרציאני. 
בין האירועים הבולטים בהם נטל חלק פעיל ניתן למנות את טקס חתימת הסכם השלום בין ישראל לירדן, ביקורו של נשיא ארצות הברית ביל קלינטון בישראל, פסטיבל בינלאומי לתזמורות צבאיות בעיר סומיר שבצרפת, קבלות פנים לעשרות מנהיגי עולם, מסדרים, טקסים ועוד. בשירות מילואים הוא משרת בהתנדבות בתזמורת צה"ל כמפקד  וכמנצח.
עם תום שירותו בצה"ל פנה דוד ללימודי המשפטים, ובהמשך הוסמך כעורך דין.
בשנת 1998 מונה לנהל את מרכז המוזיקה ברמת אביב והיה למנהל הצעיר בארץ, שם לימד וניצח על תזמורת נוער. במהלך השנים לימד נגינה על סקסופון במספר קונסרבטוריונים בתל אביב, והיה פעיל במסגרת פרויקטים ללימוד נגינה בקרב ילדי אוכלוסיות קשות יום בשכונות בדרום תל אביב.
היה בין מקימי אנסמבל בוגרי תזמורת צה"ל בשנת 2000.
בשנת 2004 השתתף בפסטיבל וינה ובפסטיבל שלדמינג (אוסטריה) לתזמורות כלי-נשיפה, בשנת 2006 השתתף בפסטיבל אינטרלאקן (שווייץ) לתזמורות כלי-נשיפה, וביולי 2010 השתתף בפסטיבל האומנויות בעיר אברדין שבסקוטלנד.
לאחר ששב להתגורר בבאר-שבע הצטרף דוד כנגן מן המניין בתזמורת כלי הנשיפה באר שבע, היה ממקימי "עמותת תזמורת כלי-הנשיפה ע"ש נסים אלשיך" ובשנת 2008 מונה לשמש כמנצח המשנה.
בקונצרט חגיגי שהתקיים ב-1 ביולי 2010 מונה דוד כמנצח תזמורת כלי הנשיפה באר שבע, במקומו של אלשיך שפרש מתפקיד זה, לצד עיסוקו כעורך דין פעיל.
בשנת 2012 ניצח על תזמורת כלי הנשיפה באר שבע בפסטיבל ותחרות לתזמורות כלי נשיפה בעיר מור שבהונגריה, שם זכתה התזמורת בדירוג זהב. בשנת 2015 השתתפה התזמורת בתחרות לתזמורות כלי נשיפה בעיר פראג שבצ'כיה, שם זכתה התזמורת במקום השני
במסגרת התנדבותו בלשכת עורכי הדין, שימש בין השנים 2011-2009 כיו"ר ועדת הצעירים בלשכת עורכי-הדין, במחוז דרום, בין השנים 2019-2011 שימש כנציג מחוז דרום בוועדת המינויים לבתי-הדין למשמעת בלשכת עורכי-הדין בישראל, החל משנת 2019 משמש כיו"ר (משותף) של ועדת דיני-עבודה בלשכת עוה"ד במחוז דרום.
הערות שוליים

↑   חדשות, סרטון  באתר יוטיוב (אורך: 0:46)
ברטולומה אסטבן מוריו

| --- | --- |

דיוקן עצמי
 לידה:  31 בדצמבר 1617 סביליה
 פטירה:  3 באפריל 1682 (בגיל 64) סביליה
 לאום:  ספרדי
 תקופת הפעילות:  מ-1633
 תחום יצירה:  ציור
 זרם באמנות:  בארוק
 הושפע על ידי:  חואן דל קסטילו 
 בן או בת זוג:  Beatriz Cabrera y Villalobos 
 
ברטולומה אסטבן מוריו (בספרדית:  Bartolomé Esteban Murillo;‏ 31 בדצמבר 1617, סביליה – 3 באפריל 1682, סביליה) היה צייר ספרדי. נחשב לאחרון הציירים הגדולים של "תור הזהב הספרדי". ידוע בעיקר בזכות יצירותיו הדתיות, אולם צייר גם תמונות רבות מחיי היום-יום.
רקע

המחצית הראשונה של המאה ה-17, השנים בהן מורילו גדל והתעצב כאמן, הייתה חלק מ"תור הזהב", תקופת הפריחה הגדולה, של עירו סביליה. העיר התעשרה בהיותה אחד משני הנמלים הראשיים אליהם הגיעו כל האניות מהאימפריה הספרדית. מספר תושביה הגיע למיליון. אל העיר הגיעו סוחרים מכל רחבי אירופה ואתם גם השפעות אמנותיות, כך כנראה נהיה מוריו מודע לציור הפלמי וכך גם נודע שמעו מעבר לגבולות ספרד. באותה תקופה העיר הייתה גם מרכז אמנותי חשוב, פעלו בה, בין השאר, הציירים ולסקס וסורבראן.