מהי אבטחת מידע?

אבטחת מידע עולה בקנה אחד עם השימוש הנפוץ בתקשורת מתווכת מחשב. זו פעילות שמטרתה העיקרית היא הגנה על מערכות ומחשבים מפני סיכונים ואיומים. האבטחה כוללת שלושה היבטים:

1. אבטחה פיזית – כאן מדובר על אבטחה של המבנה בו נמצאות מערכות מחשב. האבטחה יכולה להיות בהיקף קטן, בינוני או גדול לפי צרכי הלקוח.
2. אבטחה של מערכות החומרה והתוכנה – בתוך אבטחת מידע יש שלל תחומים הקשורים לשמירה על מערכות החומרה והתוכנה. אלו המערכות הקובעות את יעילות האבטחה ואת האפקטיביות שלה. מערכות האבטחה פרוסות בחתכים שונים של הארגון והן כוללות הגנה על רכיבים, אבטחת תשתיות מחשוב ואבטחת חומרה וקושחה לצד הקשחת מערכות הפעלה קיימות.
3. אבטחה של המידע – גולת הכותרת היא אבטחה של המידע ובה נכללים הגנת המידע ביישומים שונים, הגנת מערכות מידע ברמה הלוגית והגנות נוספות. התקנה והגדרה של כלי אבטחה נאותים דורשים ראייה רחבה ויכולת להפעיל טקטיקות מגוונות.

המשמעות הכלכלית של אבטחת מידע

מאגרי מידע נמצאים ברשות תאגידים, חברות, מדינות ואנשים פרטיים עם גישה לאינטרנט. מתוך ההנחה הזו ניתן להבין את המשמעות הכלכלית וגם את החשיבות של אבטחה הקשורה למערכות המחשבים ולמידע עצמו. אבטחה ברמה גבוהה יכולה למנוע נזקים בלתי הפיכים ולחסוך הוצאות של מיליוני שקלים על טיפול בתקלות. בנוסף, יש מאגרי מידע מבודדים בהם נמצא מידע אישי, עסקי ובטחוני. מאגרים אלו נמצאים בסכנה לא פחות מאחרים ומרכיב מרכזי באבטחה שלהם הוא הגנה מפני גישה של גורמים בלתי מורשים.

אחת הבעיות העיקריות היא לייצר אבטחה היקפית ויעילה מבלי לפגוע בחווית המשתמש והנוחות. בסופו של דבר, אף אדם הנעזר במחשבים לא רוצה לוותר על היתרונות של המערכת. המטרה צריכה להיות שיתוף פעולה בין אבטחה לבין ממשק נוח שיהיה קשה לעקוף אותו. זו גם הסיבה לכך שמושקעים משאבים רבים בפיתוח פתרונות אבטחת מידע מתקדמים.

סביר להניח כי גם בשנים הקרובות ימשיך הנושא של אבטחת מידע ללוות את תחום המחשבים. האבטחה היא תנאי חיוני לשימוש במערכות מידע, גם במגזר הפרטי והעסקי וגם במדינות. 

מהם הפתרונות שקיימים כיום בתחום של אבטחת מידע?

אחד הנושאים שתמיד עומדים על הפרק, בארגונים גדולים, עסקים קטנים, או כל גוף אחר שפועל ברשת - הוא הנושא של אבטחת מידע. מדובר על נושא קריטי וחשוב, משום שברגע שיש לכם פעילות מקוונת דרך אתר אינטרנט ו/או רשת מקומית - הרי שאתם גם חשופים לפגיעות אפשריות, ואתם זקוקים להגנה מתאימה ולפתרונות בתחום. אם אתם עושים את הצעדים הראשונים שלכם בתחום, חשבו שתבינו מהם הפתרונות והאמצעים, ולו ברמה הבסיסית ביותר, בכדי שתוכלו לשפר את רמת הגנת הסייבר בארגון שלכם.

אמצעים שונים להגנה ראויה

●      גבו את האתר - ברמה הבסיסית ביותר, אם אתם שומרים מידע על גבי אתר אינטרנט ומנהלים מסד נתונים ברשת המקומית שלכם, דאגו תמיד שהיה לכם גיבוי לכל מצב. הגיבוי צריך להתבצע כל כמה שעות באופן אוטומטי. הגיבוי נועד כדי שבמקרה ובו תהיה פרצה דרך האתר או הרשת שלכם ותהיה פגיעה במידע - אתם תדעו ששום דבר יקר ערך לא הלך לאיבוד, ואתם תוכלו לפחות להמשיך ולעבוד כרגיל, ולא יהיו נזקים משמעותיים מידי. זהו כאמור פתרון טוב למקרי החירום החמורים ביותר.

●      אמצעי הגנה על האתר - ברמה נוספת, עליכם תמיד לדאוג שיהיו פתרונות של אבטחת מידע על אתר האינטרנט שלכם. האתר שלכם הוא הפרצה הכי גדולה לעסק שלכם - כי יהיה תמיד ניסיון להפיל אותו, או אפילו לנסות ולחדור דרכו אל השרתים שלכם. במקרים הללו, מומלץ בחום להתקין תוספי הגנה שונים עבור האתר. חלק מהתוספים הללו הם חינמיים, אך אין ספק שהתוספים האיכותיים ביותר להגנה על אתרי אינטרנט הם בתשלום. ראוי לראות זאת כהשקעה משתלמת מאד, משום שאתם תוכלו לקבל הגנה ברמה גבוהה מאד.

●      ערכו הסברות בנושא - האם אתם יודעים מהו הכשל מס' 1 בנושא של אבטחת מידע? התשובה היא פשוטה מאד: הכשל האנושי. גם אם תתקינו את כל המערכות המתקדמות ביותר, מספיק שעובד אחד בחברה שלכם יעשה טעות, בכדי שתהיה פרצה. לכן, הפתרון הטוב ביותר הוא לערוך הסברות קבועות עבור העובדים שלכם. ערכו הסברות לדרג הזוטר והדרג הבכיר, הסבירו את הסכנות בתחום הסייבר, והסבירו מדוע חשוב מאד לאמץ את הפתרונות ולנהגו לפי הכללים הקובעים לאבטחת מידע. הסברים כאלו יכולים למנוע הרבה נזקים בהמשך.

האם ישנם אמצעים נוספים?

ברור שיש אמצעים נוספים וחשובים של אבטחת מידע שחשוב מאד להכיר - מומלץ בחום לעשות שימוש באמצעי הצפנה מיוחדים ובפרוטוקולים של הגנה על אתרים. חשוב מאד שאם אתם מנהלים בעצמכם את השרתים שלכם, תנקטו באמצעי ההגנה הראויים - או שפשוט תפנו לגורם מקצועי שינהל את  השרתים עבורכם. יש עוד דברים שחשוב לדעת, וכדאי כמובן להישאר מעודכנים בכל עת על הסכנות ועל הפתרונות המתאימים, כדי שתוכלו לקבל הגנה ברמה גבוהה בכל עת.

כיצד מתבצעות בדיקות אבטחה לקוד?

בדיקות אבטחה הן חלק מתהליך הבטחת איכות או בדיקות תוכנה. את הבדיקות מבצעים גם בקודים ובתוך מערכות ומאגרי מידע. מטרת הבדיקות היא לעקוב ולנטר התנהגות לא נאותה. יחד עם זאת, בדיקות לקוד שמות דגש על עמידות התוכנה והמערכת בפני התקפות זדוניות, ניסיונות לגניבת מידע וכריית נתונים או ניצול לרעה של תשתיות המחשוב.

חשוב לציין כי בדיקות אבטחה לקוד מיועדות עבור כל סוגי ההתקפות. השאלה היחידה היא רק באיזו שיטה בוחרים להשתמש וכיצד מוודאים את האפקטיביות שלה. בדיקת אבטחה ברמה גבוהה תמנע בעיות בקוד ויכולה גם להגן על המערכת מפני פגיעות חיצוניות, גישה של גורמים לא מורשים ועוד. את הבדיקה יש לבצע באופן מקצועי ועל פי הנהלים.

עקרונות של בדיקות אבטחה לקוד

בדיקות אבטחה לקוד מתבצעות על בסיס ששת העקרונות הבאים:

• ·         שמירה על סודיות המידע המקודד
• ·         שלמות המידע בתוך הקוד ובין התוכנות
• ·         אימות זהות השולח בצורה מפורשת
• ·         מתן הרשאות לשינוי או צפייה במידע מסוים
• ·         זמינות הקוד לשימוש חופשי או מוגבל
• ·         אפשרות להתחקות אחר פעולה מסוימת

בדיקות קוד מאמתות את התנהגות התוכנה או האפליקציה מול מסמך הדרישות. המסמך מפרט מהי התנהגות נכונה עבור קלט מסוים, בניגוד לבדיקת איכות תוכנה שמכילה מטריקות המודדות איזה חלק מהקוד מכוסה על ידי הבדיקות.

שיטות לבדיקת אבטחת תוכנה

הקפדה על העקרונות הנכונים והיכרות עם קודים שונים לא תמיד מספיקים לצורך ביצוע בדיקת אבטחת תוכנה. יש כמה שיטות להשיג את המטרה הזו וחשוב למצוא את הדרך היעילה והטובה ביותר. שיטה אחת עבור בדיקות אבטחה לקוד היא שימוש בכלים אוטומטיים. כאן מדובר על כלים המיועדים לאיתור תקלות קטנות הנקראות "באגים".

שיטה שנייה לבדיקת אבטחת תוכנה היא שימוש בספריות בדיקה. אלו ספריות המכילות אוסף של מתקפות ידועות. את המתקפות ניתן להוריד באופן אוטומטי על הקוד, על התוכנה ועל המערכת. ספריות בדיקה מונעות הישנות של מתקפות מוכרות והן מבוססות על העקרון שבוחן כיצד מתכנתים חוזרים על טעויות בעת כתיבת קוד. 

למידע נוסף בנושא והזמנת שירותים של בדיקות אבטחה לקוד הכנסו לאתר http://www.securenet.co.il