דלג לתוכן הראשי

נוהל: שימוש בתוכנות עזר (utilities) בעלות הרשאות גישה גבוהות A9.4.4

מטרה​

מטרת הנוהל היא להבטיח כי השימוש בתוכנות עזר (utilities) בעלות הרשאות גישה גבוהות בארגון יוגבל ויבוקר באופן קפדני, על מנת להגן על נכסי המידע של הארגון מפני גישה בלתי מורשית.

תחום יישום​

הנוהל חל על כל תוכנות העזר (utilities) בארגון, לרבות תוכנות העזר המובנות במערכת ההפעלה, בתוכנות האפליקציה ובתוכנות צד שלישי.

הגדרות​

  • תוכנת עזר (utility): תוכנה המשמשת לביצוע משימות מערכתיות או תפעוליות בסיסיות.
  • הרשאות גישה גבוהות: הרשאות המאפשרות לתוכנה לבצע פעולות בעלות השפעה רחבה על המערכת או על האפליקציה.

אחריות​

הנהלה:​

  • אחראית על קביעת מדיניות שימוש בתוכנות עזר בעלות הרשאות גישה גבוהות בארגון.
  • אחראית על אספקת המשאבים הדרושים ליישום מדיניות שימוש בתוכנות עזר בעלות הרשאות גישה גבוהות בארגון.
  • אחראית על מעקב אחר ביצוע מדיניות שימוש בתוכנות עזר בעלות הרשאות גישה גבוהות בארגון.

ממונה אבטחת מידע:​

  • אחראי על יישום מדיניות שימוש בתוכנות עזר בעלות הרשאות גישה גבוהות בארגון.
  • אחראי על ניהול תהליך שימוש בתוכנות עזר בעלות הרשאות גישה גבוהות בארגון.

מנהלי מחלקות:​

  • אחראים על יישום מדיניות שימוש בתוכנות עזר בעלות הרשאות גישה גבוהות במחלקות שלהם בהתאם להנחיות הממונה על אבטחת המידע.

משתמשים:​

  • אחראים על שימוש בתוכנות עזר בעלות הרשאות גישה גבוהות בהתאם להנחיות הנוהל.

תהליך​

1. קביעת מדיניות שימוש בתוכנות עזר בעלות הרשאות גישה גבוהות​

הנהלת הארגון תקבע מדיניות שימוש בתוכנות עזר בעלות הרשאות גישה גבוהות, אשר תכלול את הנושאים הבאים:

  • סוגי תוכנות העזר המותרות לשימוש.
  • הרשאות הגישה המותרות לתוכנות העזר.
  • תהליך אישור השימוש בתוכנות עזר.

2. יישום מדיניות שימוש בתוכנות עזר בעלות הרשאות גישה גבוהות​

מדיניות שימוש בתוכנות עזר בעלות הרשאות גישה גבוהות תיושם בארגון בהתאם להנחיות הממונה על אבטחת המידע.

3. ניהול מדיניות שימוש בתוכנות עזר בעלות הרשאות גישה גבוהות​

מדיניות שימוש בתוכנות עזר בעלות הרשאות גישה גבוהות תשמר בהתאם להנחיות הממונה על אבטחת המידע.

הנחיות נוספות​

  • ביקורת תקופתית: החברה תבצע ביקורות תקופתיות על תהליך שימוש בתוכנות עזר בעלות הרשאות גישה גבוהות, כדי לוודא שהשימוש בתוכנות אלו עומד בדרישות הארגון ושאינו חושף את נכסי המידע לסיכונים בלתי מוצדקים.
  • תיעוד: החברה תשמור על תיעוד של כל הפעילויות הקשורות לשימוש בתוכנות עזר בעלות הרשאות גישה גבוהות, כולל תהליכי אישור, שימוש ובקרה.