A.5.29 אבטחת מידע בשעת שיבוש
מטרה
מטרת הנוהל היא להבטיח כי אבטחת המידע תישמר גם בשעת שיבוש תפקודי, כמו אירועים בלתי צפויים, משברים, או אסונות. הנוהל מתמקד בצעדים שיינקטו על מנת למזער את ההשפעה על המידע הקריטי של הארגון ולשמור על זמינות, שלמות וסודיות המידע.
תחום יישום
הנוהל חל על כל יחידות הארגון, לרבות מערכות מידע, תשתיות, ומשאבי אנוש, ומשמש במהלך שיבושים בתפקוד הארגון, כגון אסונות טבע, תקלות טכניות חמורות, או מתקפות סייבר משמעותיות.
הגדרות
- שיבוש: כל אירוע בלתי צפוי אשר משבש את הפעילות התקינה של הארגון.
- משכיות אבטחת מידע: היכולת של הארגון לשמור על רמות אבטחת המידע במהלך שיבוש תפקודי.
אחריות
- ממונה אבטחת מידע: אחראי על פיתוח וניהול הנוהל.
- מנהל המערכות האחראי: אחראי על יישום הנוהל בשעת שיבוש.
- צוות תגובה לאירועי אבטחת מידע (CIRT): אחראי על ניהול האירועים במהלך שיבוש ועל יישום צעדים לשמירה על אבטחת המידע.
תהליך
1. תכנון לשעת שיבוש
- הארגון יזהה תרחישי שיבוש אפשריים אשר עשויים להשפיע על אבטחת המידע.
- תכנית תגובה תפותח לכל תרחיש, תוך התמקדות בצעדים לשמירה על זמינות, שלמות וסודיות המידע.
2. זיהוי נכסים קריטיים
- הארגון יזהה את הנכסים הקריטיים ביותר לאבטחת המידע, כולל מערכות מידע, נתונים, תשתיות פיזיות, ומשאבי אנוש.
- זיהוי זה ישמש לבניית תוכניות גיבוי והמשכיות ייעודיות.
3. הגדרת תהליכי פעולה
- יוגדרו תהליכי פעולה ברורים בשעת שיבוש, כולל מעבר לתשתיות גיבוי, יישום בקרות חירום, והפעלת נהלי תקשורת חירום.
- הצוותים יוכשרו לפעול על פי התהליכים שנקבעו, כדי להבטיח תגובה מהירה ויעילה.
4. יישום תוכניות גיבוי
- הארגון יפתח ויתחזק תוכניות גיבוי עבור מערכות המידע והנתונים הקריטיים, אשר יאפשרו מעבר מהיר לשימוש בתשתיות חלופיות במקרה של שיבוש.
- הבדיקות לתוכניות הגיבוי ייערכו באופן קבוע על מנת לוודא את תקפותן ויעילותן.
5. ניהול תקשורת בשעת שיבוש
- יוגדרו נהלי תקשורת פנימיים וחיצוניים המיועדים למקרה של שיבוש, כולל הגדרת ערוצי תקשורת חלופיים במקרה של כשל בערוצים הראשיים.
- ייקבעו תהליכים להעברת מידע מהיר והחלטות לצוותי הניהול ולעובדים.
6. הערכת מצב וקבלת החלטות
- צוות ה-CIRT יבצע הערכת מצב בזמן אמת במהלך שיבוש, ויקבע את ההחלטות המתאימות לשמירה על אבטחת המידע ולהתאוששות מהירה.
- החלטות יתקבלו בהתבסס ע ל הערכת הנזקים, זמינות המשאבים, וסדרי עדיפויות שהוגדרו מראש.
7. התאוששות ושיקום
- לאחר שיבוש, הארגון ינקוט בצעדים לשיקום מערכות המידע והחזרת הפעילות לתפקוד מלא.
- יופקו לקחים מהשיבוש ויוטמעו שיפורים בתוכנית להבטחת מוכנות לאירועים עתידיים.
8. סקירה תקופתית ועדכונים
- תוכנית אבטחת המידע לשעת שיבוש תיבדק ותעודכן באופן תקופתי כדי לשמור על התאמתה לתרחישים משתנים ולשיפור מתמיד.
- ממונה אבטחת מידע יוביל את תהליך הסקירה והעדכונים, בשיתוף עם כל הגורמים הרלוונטיים בארגון.
הערות
- הארגון יבצע תרגילים וסימולציות לשעת שיבוש כדי להעריך את המוכנות ולשפר את היכולת להתמודד עם מצבי חירום.
- הארגון ישלב את תובנות הסקירות התקופתיות לשיפורים מתמשכים בתהליך האבטחה בשעת שיבוש.