יישומים פשוטים של אבטחת מידע – שליחת מייל בעל תוכן רגיש

הבלוג חונך עוד קטוריה חדשה: יישומים פשוטים של אבטחת מידע.

הרבה פעמים אנחנו מחפשים פתרונות יקרים ומורכבים ושוכחים שניתן לשפר מיידית את רמת אבטחת המידע באמצעים שכבר זמינים בארגון או שניתן להשיגם במהירות ואינם מצריכים השקעות כבדות.

הדוגמא הראשונה מתייחס להעברת מידע רגיש. כמה עובדים פנו אלי לאחרונה בשאלה כיצד להעביר מידע רגיש לקבוצה מצומצמת של עובדים בלי לחשוש שהמידע יישלח בטעות הלאה ויחשף. צריך להבין שמדובר בעובדים ללא ידע טכני רחב וצריך לספק להם פתרון פשוט.

המחשבה הראשונה שקפצה לי לראש היתה שצריך לרכוש כספת וירטואלית. לאחר בירור קצר הסתבר שמדובר במידע שנשאר רגיש מספר שבועות ולאחר מכן מאבד מרגישותו. אז הנה פתרון שסיפק אותם ולא עלה לי יותר מרבע שעה ישיבה:

לפני שליחת מייל עם תוכן רגיש, לוחצים על הכפתור המסומן באדום (אייקון מעטפה עם סמל אין כניסה). כפתור זה מונע ממקבל המייל להעביר אותו הלאה, לשמור את תוכנו ולהדפיס אותו.

ילדים גלישה בטוחה

למרות שהבלוג הזה עוסק בנושאי אבטחת מידע הקשורים לארגונים וחברות, החלטתי להקדיש חלק ממנו גם למידע על גלישה בטוחה של ילדים. הורים רבים שואלים שאלות בתחום ומחפשים מידע על הגנה על ילדים. ישנם פורומים שונים בהתהוות (על זה אכתוב כשזה יהיה רלוונטי) המעוניינים לחנך ולספק מידע להורים וילדים כיצד להגן על ילדים מפני אנשים בעלי כוונות רעות. אני רק מקווה שבין סבך הנושאים בבלוג, הורים (ואולי גם ילדים) כן ימצאו את דרכם לכאן.

אני רוצה להתחיל בכמה עצות בסיסיות אך חשובות לילדים שתופסות הן לצ'אטים והן לפורומים ובלוגים:

1. אל תמסרו מידע מזהה אמיתי כגון שם אמיתי, כתובת מגורים, שם בית הספר.

2. אל תספקו פרטי קשר שיאפשרו ליצור אתכם קשר יותר ישיר כגון מספר טלפון סלולרי או בבית, כתובת מייל.

3. אם אינכם מכירים את האדם שבקשר אתכם ואתם מרגישים שהצד השני לוחץ עליכם לקבל את הפרטים הרשומים למעלה, תנתקו קשר. עדיף להפסיד 'חבר' וירטואלי שאינכם מכירים מאשר לפגוש איש עם כוונות רעות.

מה עושים במקרה של פיטורי עובד או עובד חשוד במעשים לא תקינים?

ולאחר היעדרות מהבלוג למשך מעל שבועיים, הנה פוסט שני לאותו היום!

אחת הבעיות הקשות למנהל אבטחת מידע מתעוררת במצב שעובד פוטר או נחשד בפעולות לא תקינות, אבל ההנהלה אינה מעוניינת לנעול לעובד את חשבון המשתמש (יוזר). למעט ניטור מלא של תיבת המייל של אותו עובד, לא היו הרבה אפשרויות, וגם אפשרות זו לא תמיד יעילה.

מערכת למניעת זליגת מידע רגיש (ראו פוסט קודם), שבשגרה מאפשרת ניטור של הוצאת חומר שהוגדר רגיש (בלבד) אל מחץ לארגון בערוצים שונים  כגון מייל, FTP, כרטיס זכרון, הדפסה וכדומה, מאפשרת גם לתת מענה למצב כזה.

במקרים כאלה ניתן להגדיר ניטור מלא על ערוצים שונים להוצאת מידע. למשל, כל מייל היוצא אל מחוץ לארגון, ו/או כל שמירה של קבצים על התקן זכרון (Disk-on-Key). כמובן שמקרה כזה, שבו מנטרים כל דבר ולא רק תוכן שהוגדר כרגיש, יש לעבור בעין על כל רשומה שנשמרה במערכת כדי לוודא שלא נעשתה פעולה אסורה.

יש לעשות שימוש באפשרות כזו רק במקרים מיוחדים ולאחר קבלת הנחיות מתאימות מההנהלה. לצערי, נתבקשתי לאחרונה לנטר באופן מלא עובד כזה. אני מוצא את עצמי כל יום (ולפעמים פעמיים ביום) מנתח את הממצאים כדי לוודא שלא נעברו עבירות.

אני מחזיר אתכם לדיון הזה במקרה שבו יש צורך לנטר שמירת קבצים על התקני זכרון. זה שיקול שיש לקחת בעת בחירת מערכת למניעת זליגת מידע.

מערכת למניעת זליגת מידע רגיש – הגדרת חוקים מעודנים

באופן כללי, מערכת למניעת זליגת מידע רגיש
Information Leakage Prevention/Data Loss Prevention, עובדת על אחד משני העקרונות הבאים:

1. הגדרת מיקום (ספריה ברשת, טבלה רגישה בבסיס נתונים) של מידע רגיש.

2. הגדרת תוכן רגיש (ביטויים).

בכדי שניטור (ובמידת הצורך חסימה) ברמת תוכן יהיה יעיל, חשוב להגדיר חוקים מדויקים איזה מידע נחשב לרגיש.

תחשבו על מקרה שבו בחברה דמיונית בשם 'גמא כרטיסי אשראי' מגדירים במערכת את המילה "אשראי" כמילה רגישה, בכדי למנוע הוצאת חומר המכיל את המילה אשראי. אותה חברה הגדירה תבנית מסמכים המכילה לוגו ושם החברה "גמא כרטיסי אשראי". במקרה כזה, כל מסמך 'ייתפס' ע"י המערכת. מספר פתרונות אפשריים (שחלקם צריכים להתמך ע"י המערכת):

1. הגדרת מעודנת/מדויקת יותר של הביטוי, למשל מספרי כרטיס אשראי, מספרי כרטיסי אשראי…

2. הגדרת White List לתוכן הנמצא ב – Disclaimer או בכותרת הדף או בכל מקום במסמך. כלומר ביטויים המוגדרים ב – White List  לא ייחשבו כרגישים.

3. יכולת לנטר תבניות כגון מספרי אשראי (כלומר המספר עצמו 4580…) ולא ביטויים טקסטואליים כגון "כרטיסי אשראי".