A.8.22 הפרדת רשתות
מטרה
מטרת הנוהל היא להבטיח את אבטחת המידע הארגוני באמצעות הפרדה פיזית או לוגית של רשתות, כך שתימנע גישה לא מורשית בין רשתות שונות בארגון ותשמר הפרדה ברורה בין תשתיות קריטיות ותשתיות רגילות.
תחום יישום
הנוהל חל על כל תשתיות הרשת בארגון, כולל רשתות פנימיות, רשתות חיצוניות, רשתות אלחוטיות, רשתות פרטיות וירטואליות (VPN), רשתות ניהול ותשתיות ענן.
הגדרות
- הפרדת רשתות: תהליך של יצירת גבולות ברורים בין רשתות שונות בארגון באמצעות אמצעים פיזיים או לוגיים, כגון שימוש ברשתות VLAN, חומות אש, והתקני ניתוב.
- רשת מבודדת: רשת שאין לה גישה ישירה לרשתות אחרות בארגון, או שיש לה גישה מוגבלת ומבוקרת.
אחריות
- מחלקת IT: אחראית על תכנון, יישום, תחזוקה וניטור של הפרדת הרשתות בארגון, כולל הגדרת תצורות, התקנת ציוד תקשורת מתאים, ובדיקת תקינות.
- ממונה על אבטחת המידע: אחראי לפקח על תהליך הפרדת הרשתות, להעריך סיכונים תקופתיים, ולוודא שהנהלים מיושמים בהתאם למדיניות הארגון.
- מנהלים ישירים: אחראים לוודא שהצוותים שלהם מודעים לחשיבות הפרדת הרשתות ופועלים בהתאם לנוהלי הארגון.
תהליך
1. תכנון הפרדת רשתות
- מחלקת IT תבצע תכנון מפורט של הפרדת הרשתות, תוך זיהוי הנכסים הקריטיים והתשתיות שיש להגן עליהם באמצעות הפרדה פיזית או לוגית.
- יש להגדיר רשתות מבודדות עבור מערכות קריטיות, כגון רשתות ניהול, רשתות נתונים רגישים, ורשתות שירותים חיצוניים.
2. יישום אמצעי הפרדה
- מחלקת IT תיישם את הפרדת הרשתות על ידי שימוש ב-VLANs, חומות אש, נתבים והתקני ניתוב אחרים, כדי להבטיח שהרשתות מופרדות בצורה יעילה ובטוחה.
- יש לוודא שההפרדה מתבצעת בהתאם לתקני האבטחה והדרישות הרגולטוריות של הארגון.
3. ניהול גישה בין רשתות
- יש להגדיר מדיניות גישה ברורה בין הרשתות המופרדות, כך שרק משתמשים מורשים יקבלו גישה לרשתות הקריטיות, בהתאם לתפקידם ולצרכים העסקיים.
- יש להשתמש במנגנוני אימות חזקים, כגון אימות דו-שלבי, סיסמאות מורכבות וזיהוי ביומטרי, כדי להבטיח גישה מאובטחת בין הרשתות.
4. ניטור ובקרה
- מחלקת IT תבצע ניטור שוטף של תעבורת הרשתות המופרדות, כדי לזהות ולמנוע ניסיונות גישה לא מורשית או התקפות סייבר על הרשתות הקריטיות.
- כל פעילות חריגה או חשודה תיבדק על ידי ממונה על אבטחת המידע ויטופל בהתאם לנהלי הארגון.
5. תחזוקה ועדכונים
- מחלקת IT תוודא שכל רכיבי הרשת המשמשים להפרדה מעודכנים לגרסאות האחרונות, כולל עדכוני אבטחה ותיקוני תוכנה.
- יש לבצע תחזוקה שוטפת של ציוד התקשורת והפרדת הרשתות, כולל בדיקות תקינות ועדכון הגדרות בהתאם לצרכי הארגון.
6. הדרכת עובדים
- הארגון יספק הדרכה לעובדים על חשיבות הפרדת הרשתות, השימוש הבטוח ברשתות מבודדות, והנחיות לפעולה במקרה של חשד להפרת ההפרדה.
- ההדרכה תכלול גם מדיניות גישה בין הרשתות, שימוש נכון באימות דו-שלבי ושיטות למניעת דליפות מידע בין רשתות.
7. סקירה ועדכון נהלים
- הארגון יבצע סקירה תקופתית של נהלי הפרדת הרשתות, ויעדכן אותם בהתאם לשינויים טכנולוגיים, סיכונים חדשים או דרישות רגולטוריות.
- יש לוודא שכל העדכונים מיושמים על ידי כל הצוותים הרלוונטיים בארגון.
הערות
הארגון יבצע ביקורות תקופתיות על יישום הנוהל בנוגע להפרדת רשתות, ויבצע התאמות ושיפורים בהתאם לצורך ולשינויים רגולטוריים או טכנולוגיים.