בדיקות אבטחה

בין אם הסיבה לכשלי האבטחה הללו היא היעדר ידע מספק של בעלי עסקים ביחס לחשיבות של אבטחת מידע ושל בדיקות אבטחת מידע; הגנה על המידע הלא נכון (מידע פחות בחשיבותו); או מחשבה שגויה לפיה תקיפות סייבר הן נדירות – השורה התחתונה היא כי בדיקות אבטחת מידע הן קריטיות להמשכיות העסק, לפרטיות המידע של לקוחותיו, וכמובן למוניטין שלו.

בדיקות אבטחה מהוות חלק אינטגרלי מתהליך הבטחת האיכות של התוכנה. במסגרת בדיקות האבטחה, המערכת נסרקת ביסודיות וכן נבדק תפקודה על מנת לזהות תקלות שעלולות להביא לפרצות אבטחה. כיום, בדיקות אבטחת המידע הנפוצות ביותר שחברות אבטחת מידע מציעות הן מבדקי חדירה (Penetration Tests) – המכונות גם בדיקות חוסן.

מבדקי החדירה וההגנה על המידע בחברה מדמים סיטואציה בה מערכת המידע נפרצת על ידי מקור זדוני (האקר שקיבל הרשאה מידי הארגון לבצע את פריצת הדמה), במטרה לבדוק את רמת החדירות של המערכת, היכולת לשאוב ממנה מידע, לבצע בה פעולות ללא הרשאה ועוד.

הבדיקות נחלקות לשלושה סוגים. האחד הוא Black Box, מבדק חיצוני ופנימי שמדמה חדירה של תוקף כלשהו שלא מחזיק במידע מקדים על הארגון הנפרץ. השני הוא White Box, מבחן קשה יותר במסגרתו צוות הפריצה שבודק את המערכת מקבל מידע מלא ביחס לתוכנה ולרכיבים בה אותם הוא בוחן, במטרה לקבל ניתוח מדויק יותר של המערכת. השלישי הוא Grey Box, מבחן שמשלב בין השניים הקודמים באופן שמותאם אישית ללקוח ולמערכת המידע שלו. 

ההגנה על המידע בחברה היא המטרה שאותה משרתות בדיקות האבטחה היא הבטחת קיומם של 6 עקרונות חשובים באבטחת מידע. הראשון הוא סודיות המידע (Confidentiality) – כלומר, שמירה על נגישות המידע אך ורק למי שמורשה לצפות בו או לשנות אותו בתוך הארגון. השני הוא שלמות המידע (Integrity) – כלומר, שמירה על המידע כחתיכה שלמה אחת מרגע שנשלח למערכות המידע של הארגון.

סקר אבטחת מידע - העקרון השלישי הוא אימות זהות (Authentication) – כלומר, שמירה על יכולת אימות של זהותו של שולח המידע, ואימות מקור המידע במידת הצורך. הרביעי הוא הרשאה (Authorization) – עקרון שתלוי בקיומה של מערכת אימות זהות מהימנה. מטרתו לקבוע מי הם הגורמים בארגון שרשאים לצפות במידע (על רמות הסיווג השונות שלו) או לערוך בו שינויים. החמישי הוא זמינות (availability) – כלומר, היכולת לשמור את המידע זמין ונגיש לשימוש מידי בעת הצורך; למשל, במידה ואחד השרתים במערכת נופל, זמינות המידע נפגעת. העקרון השישי והאחרון הוא אי-התכחשות (Non-repudiation) – כלומר, היכולת להתחקות אחר גורמים שונים שעורכים פעולות הקשורות למערכת, ולקשר אליהם את אותן פעולות באופן שלא ניתן להכחשה.

סקר אבטחת מידע ובדיקות אבטחת המידע משרתות את ששת עקרונות אלו. עמידה בבדיקות תבטיח הימנעות מהשתלטות זדונית, גניבת מידע וניצול לרעה של מערכות המידע של העסק.