דלג לתוכן הראשי

A.8.21 אבטחת שירותי רשת

מטרה​

מטרת הנוהל היא להבטיח שכל שירותי הרשת הארגוניים מאובטחים בצורה מיטבית, תוך שמירה על זמינות, שלמות וסודיות השירותים המועברים דרך הרשת, והגנה מפני איומים כגון התקפות סייבר, חדירות, וגישה לא מורשית.

תחום יישום​

הנוהל חל על כל שירותי הרשת המסופקים בארגון, כולל שירותי אינטרנט, דואר אלקטרוני, VPN, שרתי קבצים, שרתי אינטרנט, שירותי DNS ושירותי ענן.

הגדרות​

  • שירותי רשת: כל שירות המתבצע באמצעות הרשת הארגונית או האינטרנט, הכולל גישה למערכות מידע, תקשורת בין מחשבים, ושיתוף משאבים ומידע.
  • אבטחת שירותי רשת: מכלול הפעולות והטכנולוגיות המיועדות להגן על שירותי הרשת מפני איומים, להבטיח זמינות רציפה ולמנוע גישה לא מורשית למידע ולמשאבים המועברים דרך הרשת.

אחריות​

  • מחלקת IT: אחראית על תכנון, יישום, תחזוקה וניטור של אבטחת שירותי הרשת בארגון, כולל חומות אש, מערכות הגנה, הצפנה ואימות.
  • ממונה על אבטחת המידע: אחראי לפקח על תהליך אבטחת שירותי הרשת, לבצע הערכות סיכונים תקופתיות ולוודא עמידה במדיניות ובנהלים.
  • מנהלים ישירים: אחראים לוודא שהצוותים שלהם מודעים לחשיבות אבטחת שירותי הרשת ופועלים בהתאם לנוהלי הארגון.

תהליך​

1. תכנון אבטחת שירותי רשת​

  • מחלקת IT תבצע תכנון של אבטחת שירותי הרשת, תוך זיהוי השירותים הקריטיים שיש להגן עליהם, והגדרת מדיניות אבטחה כוללת לשירותים אלו.
  • יש לשלב אמצעי הגנה מתקדמים כמו הצפנה, זיהוי ואימות משתמשים, שימוש בפרוטוקולים מאובטחים (כגון HTTPS ו-SSL/TLS), והגנה מפני התקפות DDoS.

2. יישום אמצעי אבטחה​

  • מחלקת IT תיישם את אמצעי האבטחה המתוכננים בכל שירותי הרשת של הארגון, כולל חומות אש, מערכות זיהוי חדירה (IDS), מערכות מניעת חדירה (IPS), וחיבורי VPN מאובטחים.
  • יש להבטיח שכל השירותים המוצעים ברשת מאובטחים כהלכה ומוגנים מפני איומים, כגון גישה לא מורשית, התקפות סייבר, ותוכנות זדוניות.

3. ניהול גישה לשירותי רשת​

  • יש להגדיר ולהגביל את הגישה לשירותי הרשת, כך שרק משתמשים מורשים יקבלו גישה לשירותים הרלוונטיים, בהתאם לתפקידם ולצרכים העסקיים.
  • יש להשתמש במנגנוני אימות חזקים, כגון אימות דו-שלבי, סיסמאות מורכבות וזיהוי ביומטרי, כדי להבטיח גישה מאובטחת לשירותי הרשת.

4. ניטור ובקרה​

  • מחלקת IT תבצע ניטור שוטף של כל שירותי הרשת, כולל תעבורת רשת, ניסיונות גישה, והתקפות סייבר פוטנציאליות, תוך שימוש בכלי ניטור והגנה מתקדמים.
  • כל פעילות חריגה או חשודה תיבדק על ידי ממונה על אבטחת המידע ויטופל בהתאם לנהלי הארגון.

5. עדכונים ותחזוקה​

  • מחלקת IT תוודא שכל שירותי הרשת מעודכנים לגרסאות האחרונות, כולל עדכוני אבטחה ותיקוני תוכנה.
  • יש לבצע תחזוקה שוטפת של שירותי הרשת, כולל בדיקות תקינות, הסרת שירותים לא בשימוש ועדכון הגדרות בהתאם לצרכי הארגון.

6. הדרכת עובדים​

  • הארגון יספק הדרכה לעובדים על שימוש מאובטח בשירותי הרשת, זיהוי איומים אפשריים והנחיות לפעולה במקרה של חשד להפרת אבטחת שירותי הרשת.
  • ההדרכה תכלול גם נהלי גישה לשירותי הרשת, שימוש נכון באימות דו-שלבי ושיטות למניעת דליפות מידע.

7. סקירה ועדכון נהלים​

  • הארגון יבצע סקירה תקופתית של נהלי אבטחת שירותי הרשת, ויעדכן אותם בהתאם לשינויים טכנולוגיים, סיכונים חדשים או דרישות רגולטוריות.
  • יש לוודא שכל העדכונים מיושמים על ידי כל הצוותים הרלוונטיים בארגון.

הערות​

הארגון יבצע ביקורות תקופתיות על יישום הנוהל בנוגע לאבטחת שירותי רשת, ויבצע התאמות ושיפורים בהתאם לצורך ולשינויים רגולטוריים או טכנולוגיים.