על מסמכים, נהלים ומדיניות אבטחת מידע

מהי מדיניות?

מדיניות הינה קו מנחה או סט הנחיות המציינת באופן גלוי אילו החלטות ופעולות יש לבצע להשגת המטרה (במקרה שלנו, אבטחת המידע). בד"כ, מדיניות מכוונת את פעילות הארגון ומשאביה בהתאם לפרוצדורות או פעולות שיש לבצע.
במאמר זה, אנסה לספק כלים ליצירת מדיניות אבטחה יעילה ויותר חשוב – לנסות ולשפר מדיניות קיימת.
מדיניות אבטחה יעילה וברת-ביצוע (קרי "מציאותית") הינה המפתח להשגת אבטחת מידע יעילה.

התעדה

"אם זה לא תועד – זה לא קרה."

במיוחד כיום, זמן הוא מצרך יקר ולכן קיים קושי (ותסכול) לפנות זמן לתיעוד המדיניות והתהליכים הנלווים. כולנו עסוקים ויש שיאמרו שאין מספיק שעות ביממה ע"מ להספיק ולבצע משימות ומטלות שנדרשו מאתנו. נכון, כל משימה שעשויה לבזבז את זמננו – מתסכלת. אולם, באבטחת מידע בפרט יש דברים שצריכים להיעשות למרות שאנחנו חושבים שזמננו "מבוזבז" לשווא. המשימה המתסכלת ביותר הינה התעדה.
ייתכן שהנכם יודעים מה מצופה ממכם ומעובדים הכפופים אליכם, אך לאחרים פשוט אין מושג. אם תספרו משהו מסוים באופן מילולי לעובד – סביר כי הדבר יוביל לאי-הבנה או שכחה מצד אותו עובד, על אחת כמה וכמה אם מדובר בחברה עם מספר גדול של עובדים. נניח כי מנכ"ל חברה צריך להודיע משהו לעובדיו: תחילה, הוא יקיים ישיבה ולרוב הוא גם יישלח דוא"ל אודות הודעתו לעובדיו. זאת משום שאנשים שומעים ומבינים דברים מילוליים באופן שונה, אבל אם הודעת המנכ"ל תהיה כתובה – הסיכוי לאי הבנה יפחת.

סוגי מדיניות

תכנית אבטחה – תכנית אבטחה הינה בד"כ מדיניות ברמה הגבוהה ביותר הקובעת את גישת האבטחה של הארגון. מדיניות זו בד"כ קצרה ומספקת כיוון כללי אליו הארגון מכוון. בנוסף, מצורפת הדרכה מסוימת אודות סוגי מדיניות נוספים לרבות הגדרת בעלי-אחריות. סוג מדיניות זה מספק הכוונה של הארגון להתאמה לתקנים, חוקים ורגולציות.
מדיניות ספציפית – מדיניות מסוג זה נועדו לענות על צרכים ספציפיים בארגון, כגון נהלי סיסמאות והנחיות שימוש ברשת האינטרנט, מדיניות גיבוי ואנטי-ווירוס. סוג זה אינו רוחבי כמו תכנית אבטחה אך הוא רחב יותר ממדיניות מכוונת מערכת.
מדיניות מכוונת-מערכת – לכל ארגון קיימות מערכות שונות המבצעות פעולות שונות. יצירת מדיניות רוחבית לכלל המערכות אינה דבר מומלץ ולכן כדאי ליצור מדיניות ספציפית לכל מערכת.

מה עושה מסמך מסוים למדיניות (או מה התוכן במדיניות)?

• מטרה – הסברים על סיבת יצירת המדיניות.
• מסמכים רלוונטיים נוספים(נספחים) – רשימת כל המסמכים (או מדיניות אחרות) אשר משפיעים על תוכן המדיניות.
• הפקעה – זיהוי והצגת מדיניות קיימות אשר מבוטלות לאחר אישור מדיניות זו.
• רקע – הענקת מידע תומך ו\או נדרש למדיניות.
• היקף – קביעת ההיקף של המדיניות ועל מה\מי היא מכסה (למי ו\או מה היא מתייחסת)
• הצהרה – זיהוי עקרונות מנחים או מה בעצם צריך לעשות ולהיעשות.
• פעולה – ציון הפעולות הנדרשות ואופן ביצוען.
• אחריות – ציון בעלי האחריות (מי אחראי על מה).
• בעלות – זיהוי והגדרת יוצר המדיניות ומי רשאי לשנותה.

 

חריגות

מדיניות אבטחה צריכה לקחת בחשבון מקרים ומצבים חריגים; ההחלטה על "מה עושים כאשר צריך לעשות X אך מדיניות האבטחה דורשת Y" – נעשית בתהליך הערכת הסיכונים. ניקח את הדוגמה הקלאסית הבאה: 

יום שישי, השעה 1:00 בלילה. הצוות שלך עובד בקדחתנות ע"מ לסיים פרויקט שהינו קריטי בזמן והם צריכים לשלוח את קובץ הפרויקט ללקוח. התגלתה בעיה בעת שליחת הקובץ כיוון שחומת האש אינה מאפשרת זו. הפתרון הוא ברור – לשנות חוק ספציפי בחומת האש, אך מדיניות האבטחה אוסרת על כך. אם הצוות לא ישלח את הקובץ, הארגון לא יעמוד בדד-ליין שנקבע. לעומת זאת, אם הצוות ישנה את הגדרות חומת האש – הם יסתכנו בסיכונים נלווים עת הפרת מדיניות האבטחה. מהם צריכים לעשות?

מדיניות אבטחה צריכה לנסות להשיג איזון בין המושגים "גישה" ו-"אבטחה". גישה הינה בד"כ מכוונת לביצועים ונוחות פעולות ושימוש. אבטחה מתמקדת בעקרונות של שלמות, זמינות ובטיחות. מושגים אלה אינם מכוונים רק למחשבים ולרשתות – אלא לכלל הארגון.
כאמור, מדיניות אבטחה טובה הינה לוקחת בחשבון סיכונים וחולשות המזוהות ע"י הערכת סיכונים.

זיהוי מדיניות בארגון

אין תבנית קבועה למדיניות. זכרו זאת. לכל ארגון או חברה עקרונות מנחים שונים. אם הנך מנהל אבטחת מידע בארגון, איך תוכל לזהות מהי מדיניות בארגונך? האם קיימות "מדיניות אודות המדיניות בארגון?" או מדריך המתעד את אופן יצירת מדיניות? ובכן, ארגונים רבים מחזיקים בנהלים ליצירת מדיניות. אם קיימים נהלים שכאלה – השתמש בהם. אם לא, כדאי שתנסה להסיק מהו התוכן הצפוי למדיניות בעזרת מדיניות קיימות ובעזרת עובדים החתומים על אותן מדיניות. בנוסף לזיהוי מדיניות קיימות וזיהוי אלה החתומים עליהן, כדאי שתזהה גם את אותם אנשים שיכולים לעזור בעת פיתוח המדיניות (לדוגמה, יועצים משפטיים ועובדי משאבי אנוש).

כאמור, לכל ארגון קיימות מדיניות לנושאים שונים אך האם קיימת מדיניות הקשורה באופן ישיר לנושא האבטחה? כדאי שתזהה מה הארגון עושה או לא עושה במצבים מסוימים, מה יש ומה אין – ונסה לשפרו. אחזור ואומר: ע"מ לזהות את דרישות המדיניות – יש לבצע מבעוד מועד הערכת סיכונים.

רמות שונות של מדיניות

מדיניות יכולה להתקיים ברמות שונות בארגון. סביר כי כל עוד אינך נמצא בדרג הניהולי הבכיר של הארגון – סביר כי קיים מישהו מעליך אשר יוצר מדיניות שעלייך ליישם. היררכיית מדיניות נפוצה בארגונים נראית כך:

• מדיניות כלל ארגונית (מדיניות חברה) – מורכבת ממסמכים ונהלים מהדרג הבכיר ביותר בארגון ומעניקה הכוונה כללית ליישומה בדרגות נמוכות יותר בארגון.
• מדיניות כלל מחלקתית – בד"כ מורכבת מהנחיות המחזקות את מדיניות הכלל-ארגונית ומתייחס למחלקה (או חטיבה) מסוימת בארגון.
• מדיניות מקומית – מכיל מידע ספציפי לאלמנט\מרכיב ארגוני.
• מדיניות ספציפית – מדיניות מסוג זה נועדו לענות על צרכים ספציפיים בארגון, כגון נהלי סיסמאות והנחיות שימוש ברשת האינטרנט, מדיניות גיבוי ואנטי-ווירוס. סוג זה אינו רוחבי כמו תכנית אבטחה אך הוא רחב יותר ממדיניות מכוונת מערכת.

מה בין מדיניות לנהלים

• מדיניות – עונה על.... מי, מה ולמה.
• נהלים – עונה על... איך, איפה ומתי.

נהלים נגזרים ממדיניות. לכן, אם תוכל לאפיין אילו נהלים עלייך לבצע – תוכל לגלות מהי המדיניות המנחה (גם אם היא אינה כתובה). בואו נבצע ניתוח של נהלים ע"מ להפיק מהם מדיניות בסיסית:

שלב 1: מי מבצע את הנוהל?	למה?
מנהל הרשת מבצע עדכון לתוכנת האנטי וירוס לכלל המחשבים בארגון.	כיוון שנדרשות הרשאות ניהול מסוימות להתקנת העדכונים בכונני המשתמשים
שלב 2: מהו הנוהל?	למה?
קבצי העדכון נבדקים ונשמרים בתיקייה משותפת. סקריפט המופעל בעת התחברות המשתמש למערכת – מוריד את העדכון, מבצע אותו ולבסוף מאתחל את המחשב. מחשבים שעברו עדכון מסומנים בבסיס נתונים מסוים.	הגנת המערכות מפני ווירוסים ע"י עדכון תוכנת האנטי ווירוס באופן תדיר. אוטומטיזציה של התהליך תהיה יעילה יותר ותפיק רשימה מסודרת של אילו מחשבים עודכנו ואילו לא.
שלב 3: מתי נוהל זה מבוצע?	למה?
נוהל זה מבוצע בתדירות שבועית.	ע"מ להגן על המערכות מפני ווירוסים חדשים, ידוע כי תוכנת האנטי ווירוס שלנו מפיקה עדכונים כל יום ראשון.
שלב 4: (מ)היכן נוהל זה מבוצע?	למה?
נוהל זה מבוצע ממחשבי מנהל הרשת	אין דרישה למיקום ספציפי ע"מ להחל את העדכונים. כל מחשב חייב בעדכון.
הסקת המדיניות	מהי המדיניות?
ע"י התבוננות בשתי העמודות דלעיל, נוכל להסיק מהי המדיניות.	"יש להבטיח כי כל מחשבי הארגון מוגנים מפני ווירוסים ע"י עדכון האנטי ווירוס באופן תדיר. מנהל הרשת בכל מחלקה יבצע את העדכון בתדירות שבועית. תהליך זה יכול להתבצע באופן אוטומטי ובתנאי שיבטיח כי כל מחשב קיבל וביצע את העדכון"

הערכת מדיניות אבטחה קיימות

בתקווה שפעלתם נכון ואספתם מסמכי מדיניות מכל הרמות והמחלקות בארגון – כתבתם (או לקחתם, אם קיימת) את מדיניות האבטחה של הארגון. חרף זאת, אם קיימת מדיניות אבטחה וגיליתם שאותה מדיניות אבטחת מידע אינה ברורה, מבלבלת, קשה למעקב או אינה מכסה סיכונים משמעותיים - מה אתם עושים? ובכן, משפרים אותה. תחילה, יש להכין כמובן טיוטה ולעבוד לפי רשימות פעולה (Checklists). להלן סדר נכון לביצוע שיפור המדיניות:

שלב 1: בדוק כי מדיניות אבטחת המידע מכילה את רוב המרכיבים הנפוצים

חפש את אותם מרכיבים נפוצים ורשום לעצמך מה חסר. אם קיים מדריך ארגוני ליצירת נהלים, השתמש בו כדי לקבוע סעיפים ומרכיבים נדרשים. אם אין מדריך שכזה, היעזר בתבנית מדיניות אחרות בארגון והתייעץ עם אותם אנשים אשר הצליחו לייצר מדיניות (קיבלו אישורים וחתימות – והושמו).
ישנם מרכיבים שצריכים להיכלל במדיניות באופן מפורש (או משתמע) ע"מ שתהיה עקביות ארגונית. למשל, כל עובד בארגון צריך לדעת האם המדיניות מתייחסת גם אליו; הנחיה זו הינה חלק מהיקף המדיניות. ע"מ שמדיניות תפיק תוצאות, יש לקבוע מי אחראי לביצוע פעולה כזו או אחרת. השתמש בשכל הישר – האם מדיניות זו מספיק ברורה ע"מ שכל עובד יידע מי אמור לעשות מה?

שלב 2: בדוק האם המדיניות ברורה
דרך טריוויאלית לבדיקת בהירות המדיניות הינה לזהות את אנשי המפתח (בעלי אחריות כלשהי) ולתשאל אותם אודות הבנת תפקידם והסכמתם לאחריות פעולותיהם.

שלב 3: בדוק האם המדיניות מתומצתת דיו
מדיניות ספציפית (למשל מדיניות עדכון אנטי ווירוס) לא צריך להיות מעל 2 עמודים. ארגונים רבים אף יגבילו יצירת נהלים מסוג זה לכדי דף אחד. בד"כ, הצהרת המדיניות תסוכם במשפט אחד. יש לזכור כי זהו מסמך מדיניות ולא הוראות עבודה – כלומר, מסמך זה אמור לתאר מה רצוי ובד"כ על נושא ספציפי אחד.

שלב 4: בדוק האם המדיניות ריאליסטית
אין צורך שמדיניות אבטחת מידע תדרוש מאנשים ליישם דברים שאינם ברי ביצוע או שאינם צריכים להתבצע.

שלב 5: בדוק האם המדיניות מעניקה הדרכה מספקת ליצירת נהלים ספציפיים
כאמור, מדיניות מצביעה על מה צריך להיעשות ולמה בעוד שנהלים (או תהליכים, איך שתקראו לזה) מצביעים כיצד יש לבצע ואיך ליישם את המדיניות. למשל, אם קיימת מדיניות חיבור לרשת – חשוב שתוכל לגזור ממנה תהליכים להגדרת חומת האש.

שלב 6: בדוק האם המדיניות עולה בקנה מידה אחד עם מדיניות כלל-ארגונית
אם אתה מגלה פערים בין מדיניות אבטחת המידע לבין המדיניות הכלל-ארגונית – רשום אותם כדי למזער את אותם פערים. בנוסף, יש לשים לב כי מדיניות אבטחת מידע צריכה להיות מותאמת לחוקי המדינה, תקנים והוראות.

שלב 7: בדוק האם המדיניות הינה פרוגרסיבית ("מסתכלת קדימה")
כל מדיניות כלשהי, לרבות מדיניות אבטחת מידע – צריכות להיות יציבות, קרי ביצוע שינויים בהן מתבצע לעתים רחוקות. יציבות שכזו הינה תוצאה של צפייה אל העתיד. מדיניות אבטחת מידע אינה צריכה להיות תלויה בטכנולוגיה כלשהי או עובדים ותהליכים קיימים.

שלב 8: בדוק את חיוניות המדיניות והעכשוויות שלה
מדיניות אבטחת מידע צריכה להיסקר באופן קבוע. תיקונים ביישומה צריכים להיעשות בהתאם להסקת לקחים שנלמדו מאירועים קודמים ומאיומים חדשים כלפי הארגון.

נספח: תרגיל בהתרחשות

לדעתי האישית, סיכום נבון בנושא מסוים צריך להיות פרקטי, ומה יותר נכון מדוגמה מסכמת?
אציג כעת התרחשות מסוימת בהיעדר מדיניות:

הנך מנהל אבטחת מידע בארגון מסוים. בתוקף אחריותך, החלטת להפגין את כישוריך הטכניים ולסרוק את רשת הארגון ע"מ לזהות שירותים ושרתים לא מזוהים\מורשים. הפעלת Nmap וגילית כי קיים שרת מסוים ברשת שאינו מזוהה ובטח לא מורשה. מעקב אחר תשדורות השרת גילה כי יוסי התקין בחשאיות קו תקשורת נוסף בינו לבין רינה, הרי למה ש"האח הגדול" יעקוב אחריו אם הוא יכול לעקוף אותו, נכון? ובכן, נכון! הרי לא קיימת בארגון מדיניות העוסקת בהתקנת שרתים לא מורשים.
החלטת לתקן את הסיטואציה. איך? יצירת מדיניות.

תחילה, אציין כי יצירת מדיניות כרוכה בשת"פ. אם לא קיים שת"פ בינך לבין המחלקות השונות בארגון, סביר כי המדיניות לא תיאכף.
אזכיר את מרכיבי המדיניות:

• מטרה
• מסמכים רלוונטיים נוספים (נספחים)
• הפקעה
• רקע
• היקף
• הצהרה
• פעולה
• אחריות
• בעלות

בואו נתחיל בעבודה:
מסמך מדיניות שכזה צריך להכיל דף אחד לכל היותר. זכרו– היו ענייניים.

מדיניות הארגון בדבר שרתים לא מורשים

מטרה: מדיניות זו קובעת את הדרישות לשרתים מורשים בחברת "שקר כלשהו בע"מ". דרישות אלו נחוצות כחלק מיצירת סביבת מחשוב מאובטחת.

היקף: מסמך זה מתייחס לכל מחשב המעניק שירות (להלן, "שרת") המחובר לרשת הארגון, ולרבות שרתים עתידיים. על מחשבים שאינם שרתים חלה מדיניות אבטחת מחשבי קצה.

פעולות:

• מחלקת ה-IT של הארגון יחזיקו וינהלו רשימה מסודרת של השרתים המורשים. שרתים קיימים יתועדו וירשמו גם הם. מנהל ה-IT חייב לאשר שרתים חדשים לפני הכנסתם לרשימה.
• שרתים מורשים יסוקרו כל 6 שבועות.
• מחלקת אבטחת המידע בארגון תבצע סריקה של רשת הארגון כל 6 שבועות ע"מ לזהות שרתים מורשים ולא מורשים. ממצאי הסריקה יעוברו למנהל מחלקת ה-IT האחראי לאיתור אי-ההתאמה (אם קיימת) לרשימה.
• אם ונמצאה אי התאמה לרשימת השרתים המורשים, קרי זוהה שרת בלתי מורשה שמטרתו זדונית – יש לדווח במידי למנהל אבטחת המידע אשר בתורו רשאי לעבוד עם כל גורם וכל משאב ע"מ להביא פתרון לתקרית.
  

אחריות: זוהי אחריותו של מנהל מחלקת ה-IT להבטיח כי מתבצעות סריקות שוטפות וכי כל אי-התאמה לרשימת השרתים המורשים תהיה מתועדת ומדווחת.

פעולות אכיפה: עובדים אשר נמצאו מתקינים ו\או מפעילים שרת ללא הסכמה כמצוין במדיניות זו – צפויים לביטול העסקתם ובהתאם למדיניות מחלקת משאבי אנוש בדבר סיום והפסקת העסקה של
עובד.

עד כאן. חג שמח ובטוח לכולם.

אבטחה סביבתית – מה בין אבטחת מידע לאבטחה פיזית?

בעולם אבטחת המידע, "אבטחה פיזית" הינה הפעולה, הפרקטיקה למתן הגנת טכנולוגיית המידע, תהליכים, אנשים וכלים – באמצעות יישום בקרות מוחשיות. לא אהסס ואטען כי אבטחה פיזית הינה הרובד החשוב ביותר באבטחת מידע.
יישום של אמצעי הגנה מוחשיים – פיזיים, היו מתמיד הפעולות הראשונות שאנשים נקטו ע"מ להגן על נכסיהם. עוד בשנות ה-60, עת שהמחשבים הפכו למרכיב משמעותי בתחום הצבאי-ביטחוני, נעשה שימוש ביישום של אמצעי הגנה פיזיים – כמו לפני 1000 שנה – מנעולים, גדרות, שומרים וכלבי שמירה. מחלקת הביטחון של ארה"ב פיתחה מומחיות כמעט אך ורק בבקרות אבטחה פיזיות.
בסביבות ה-IT של היום, מחלקות האבטחה של ארגונים ועסקים מתמקדות בעיקרן על אבטחה בפן הלוגי – כלומר, ישנו דגש על אבטחה ברשתות תקשורת ובפריצות והתקפות שנעשות דרכן. כתוצאה מכך, קיים פער מדאיג למודעות ולרגישות שבאבטחה פיזית.

משמעות ומטרות
אבטחה פיזית\סביבתית :

• הינה חלק בלתי נפרד מיישום בקרות הגנה לוגיות.
• לעתים קרובות, לא נלקחת בחשבון.
• צריכה להיות:
• מבוססת הערכת סיכונים.
• ממוקדת קניין-רוחני - Intellectual property.

באופן רשמי, אבטחת המידע כיום מכוונת ל-3 מטרות; סודיות, שלמות וזמינות.

• סודיות, הוא הצורך להבטיח כי מידע מסויים יהיה גלוי אך ורק למי שרשאי לכך.
• שלמות, הוא הצורך להבטיח כי מידע מסויים לא שונה (הן בטעות והן בזדון), וכי אותו מידע הוא מדויק ושלם.
• זמינות, הוא הצורך להבטיח כי כל משאב – המשרת את הארגון\עסק – יהיה זמין לאלו הצריכים להשתמש בו, ובכך למנוע השבתה של פעילות עסקית\ארגונית כזו או אחרת.

בעולם אבטחת המידע הפיזי, כל שלוש המטרות מיושמות תחת קטגוריה אחת של בקרות: בקרות גישה. באבטחה פיזית, קיימת מטרה נוספת לרבות 3 המטרות דלעיל: בטיחות - Safety.

בטיחות לפני הכל!

מהי בטיחות? בטיחות הוא הצורך להבטיח כי האנשים המעורבים בחברה (עובדים, לקוחות, מבקרים...) יהיו מוגנים מפני כל פגיעה. בד"כ, כאשר מיישמים בקרות אבטחה פיזיות - הבטיחות היא בראש סדר העדיפויות. הצורך בבטיחות דורש, במקרים רבים – קבלת חולשות בתחומים אחרים. לדוגמא:
במהלך פינוי בניין – בעת אירוע כזה או אחר, עובדים יפונו במהירות. דלתות המשרדים עשויות להיות פתוחות – הן בשביל להקל על הפינוי והן בגלל המהירות והבהלה לפינוי. בעת זו, אין כל הגנה או אבטחה על כניסת לא-מורשים לאיזורים רגישים - מה שמהווה איום קריטי.

פינוי: הליכים ונהלים

תהליך פינוי מבוקר הציל אלפי חיים באירועים שונים החל מ-שריפה עד לאסונות טבע. יש להיות מוכנים באירועים אלו; ליישם נהלים ותרגילים. בהתאם לזאת, יש צורך בתיאום ושילוב עם מחלקות שונות, החל ממשאבי-אנוש עד לדרג הניהולי.

כל הליך פינוי מבוקר צריך לכלול מסלולי פינוי ונק' מפגש. כל הליך שכזה צריך להראות באופן ברור את מסלול היציאה מהמיקום הנוכחי. בנוסף, יש לדאוג כי קיימים מס' עותקים של נהלי הפינוי וכן כי הם ניתנים להסרה, כך שמפונים יהיו מסוגלים לשאת את המסמך כדי להנחות עצמם בעת הפינוי.

נקודת מפגש

כאמור, כל הליך פינוי צריך לכלול נק' מפגש. נק' מפגש אלה צריכות להיות מזוהות (לדוגמא ע"י שלט), וצריכה להיות במרחק הליכה ממקום מרכזי.

פרסום נהלים

הנהלים לפינוי צריכים להיות מונגשים בכל איזור עבודה, לרבות חדרי שירותים ומסדרונות. בנוסף, יש צורך בשילוט ברור (פונט גדול, ניגודיות גבוהה) ובצבע המקשר מצבי חירום – אדום.

תירגול

מעת לעת, ע"מ להבטיח כי הליך החירום מבוצע כראוי, יש צורך בביצוע תירגולים\תרגילים. העובדים מחוייבים לקחת חלק בתרגילים אלו.

אבטחה סביבתית - בקרות גישה וסוגיהן

בקרות גישה המאופיינות ע"י אמצעי הגנה פיזיים, ינסו למנוע גישה לא מורשית ע"י גורמים זדוניים ו\או גורמים תמימים ("בטעות..."). להלן שלושת סוגי בקרות הגישה;

1. בקרות הרתעה. לדוגמא, שומר חמוש.
2. בקרות זיהוי ומעקב. לדוגמא, מצלמות מעקב.
3. בקרות מונעות. לדוגמא, מנעולים.

בקרות מינהליות
בקרות ניהול\מנהליות בד"כ מיושמות ע"י מחלקת משאבי האנוש בעת גיוס ופיטור עובדים.

• סקירת מועמדים לפני השמתם
• עבודה קודמת.
• השכלה.
• רישומים פליליים.
• בדיקת רקע כללית.
• בדיקת העובד
• הערכת ביצועים, כישורים.
• פיקוח
• פעולות לאחר סיום הַעֲסָקָה.
• ראיון פרישה\יציאה.
• ביטול חשבונות מחשב ושירותים.
• החזרת ציוד.

אבטחה סביבתית – איומים

דון פארקר, בספרו – "Fighting Computer Crime", סיווג את האיומים הפיזיים ל-7 קטגרויות:

1. טמפרטורה – מצבים קיצוניים של חום\קור.
2. גזים – לחות, חלקיקים מסוכנים\אסורים, סינון אוויר.
3. נוזלים – כימיקלים שונים וכמובן – מים.
4. אורגניזמים – וירוסים, בקטריות, בע"ח, בני-אדם ומזיקים.
5. קליעים – אובייקטים מוחשיים אשר בתנועה או אשר מופעל עליהם כח פיזי.
6. תזוזות – רעידות, זרימות, קריסות...
7. חריגות אנרגטיות – מגנטיות, נפילות מתח, אור, רדיו, גלים וכו.

אש ועשן

הידעתם כי עשן הוא גורם קטלני יותר מאשר אש? אש ועשן הם האיומים הנפוצים ביותר שפוגעים בבטיחות העובדים. אש מתרחשת כאשר גז מסוים הינו דליק – כלומר ניתן להצתה (ע"י יצירת מקור חום גבוה) ובעירתו נעשית בנוכחות חמצן. למזלנו, כיום קיימים אמצעים רבים המזהים איומים של אש וחום, בעיקרם הם חיישני וגלאי עשן\חום. בנוסף, קיימים אמצעים רבים המסוגלים למנוע התלקחות של אש ו\או עשן.
להלן בקרות לזיהוי, צמצום וטיפול באיומים אלה:

• אמצעי זיהוי\גילוי
• גלאי עשן.
• חיישני חום.
• אמצעים מדכאי אש ועשן
• מתזים.
• מטפי אש.
• פינוי (כמתואר קודם).

ישנן דרכים שונות לזיהוי נוכחות חלקיקים המעידים על תחליתה של בערה. קיימים חיישנים אופטיים, הכוללים פונקציות לזיהוי קרני אור בזגוגית שאינה אטומה. אם חלקיקי עשן נכנסים לזגוגית, ובזאת מטשטשת את קרן האור – החיישנים יתריעו. גלאים אחרים עושים שימוש ביינון חלקיקים ע"מ לזהות עשן באוויר. חיישני חום פועלים כמדחום טיפוסי ומתריעים כאשר טמפרטורה עולה\יורדת מעל\מתחת לסף מסוים.

סוגי בעירה

קיימות 4 קטגוריות של בעירה. הסיווג נעשה ע"י גורם הבעירה. חשוב לציין כי אמצעי הכיבוי שונים בכל סוג בעירה (מלבד סודה, המסוגל לכבות אש מסוג A ו-סוג B ).

קטגוריה	חומר הבעירה וגורם	אמצעי כיבוי ודיכוי
CLASS A	עץ ונגזרותיו. נגרם בטעות. לדוגמא: סיגריה בוערת הנתפסת בחומר ומתלקחת.	מים, פחמן דו-חמצני נוזלי (סודה)
CLASS B	מוצרי נפט ונגזרותיו, דלק.	סודה. מים לרוב לא יעזרו. גז הלון
CLASS C	חשמל, כבלים...	גזים מסוימים
CLASS D	מתכות דליקות	אבקות מיובשות

שיטות כיבוי ודיכוי אש

קיימות שתי שיטות עיקריות לכיבוי אש; נוזלים ו-גזים. הנוזל העיקרי המשמש לכיבוי אש הוא כמובן – מים. עם זאת, ידוע כי מים וחשמל לא מסתדרים יחדיו ולכן קיים החשש לנזק ופגיעה במחשבים ובציוד אלקטרוני. לשיטה השניה – גזים, קיים יתרון בכך שהוא מסוגל לכבות אש מבלי לפגוע בציוד אלקטרוני, אך עם זאת, גזים אלה מסננים את החמצן מהאוויר – ולכן מסוכנים לבטיחות האדם. נוזלים לכיבוי שרפות המבוססים על הסרת חמצן – מסוכנים הן לאדם והן למכונה, נסו להמנע מהם.

סוגי מערכות לכיבוי\דיכוי אש

שיקול חשוב בעת תכנון והתקנה של מערכות כיבוי וזיהוי בערה – הוא הצורך לניהול ובקרה של אמצעי הכיבוי (גזים, מים..) ע"מ להבטיח כיסוי מלא לאזורים המבוקשים.

ואיך נוכל ליישם בקרה שכזו?

• חיישנים המותקנים באזורי הכיסוי יעניקו זיהוי מהיר של מצבי קיצון (חום, קור, מים ואש) – ויתריעו בהתאם.
• מערכות כיבוי\דיכוי מחוברים לאותם חיישנים ויעכבו את שחרור המים מהצנרת לזמן מוקצב וידוע מראש. זמן זה יעניק יכולת לקבוע האם זוהי אזעקת שווא, מהו מקור האזעקה וכן זמן דרוש לפינוי המקום.

כיבוי האש בפועל מתבצע ע"י מתזים – ספרינקלרים. חשוב להבחין בין שני סוגי מתזים:

• מערכת מתזים (צנרת) רטובה – בסוג זה של מתזים, המים בצנרת המתזים – תמיד תהיה מלאה עד ראש המתז. החומר הסותם את יציאת המים ניתן להמסה. כאשר טמפ' החדר עולה על ≈ 74 מעלות צלזיוס, החומר נמס\נשבר – וזרימת המים מתחילה.
• מערכת מתזים (צנרת) יבשה – בסוג זה של מתזים, המים בצנרת מופרדים ע"י שסתום ברז. המתזים לא מלאים במים אלא באוויר. כאשר טמפ' החדר עולה על ≈ 74 מעלות צלזיוס – שסתום הברז נפתח ומוציאה תחילה את לחץ האוויר ורק אח"כ מזרימה מים. בגישה זו, העיכוב בהזרמת המים תעניק את האפשרות לכבות בבטחה מערכות מחשב ומכשירים קריטיים נוספים.

האיורים נלקחו מ-http://thiendang.net

בעוד שני הסוגים הנ"ל מתמקדים באופן הזרמת המים, לא מעט מהמערכות כיום פועלות ע"י שילוב שני הסוגים, כאשר הבדלם הוא משך הזמן לפני הזרמת המים.
שיטה נוספת לכיבוי אש היא ע"י גז. בעת שריפה, יש צורך בהסרת חמצן מהאוויר (שכן, אין בערה בלי חמצן). גזים כגון הלון ופחמן דו-חמצני "חונקים" את החמצן ולכן מונעים בעירה. פתרון זה אמנם נראה אופטימלי, נקי, פשוט וידידותי לסביבת מחשבים – אבל בל נשכח שבני-אדם יכולים לשרוד דק' בודדות ללא חמצן. בהתאם לזאת, שיטה זו מתאימה בעיקר לסביבה לא מאוישת והתקנתה נעשית בד"כ בקומה שמתחת לחדרי המחשב.

מים

נוכחות של מים בסביבה מסוימת, יכולה להתגלות ע"י גלאי\חיישן לחות. חיישנים אלה מודדים לחות במשטח מסויים או באוויר – ע"י זיהוי אדים. חיישנים אלה קריטיים בסביבות המאופיינות בצריכת חשמל גבוהה ונוכחות גבוהה של כבלי חשמל. מיקום התקנת חיישנים אלה הוא בד"כ מתחת לרצפת המחשבים ובאיזורים הנחשבים קריטיים. כמו בכל האיומים הנלווים לתרחישי הטבע – חשוב לעקוב אחר אזהרות המפורסמות ע"י השירות המטאורולוגי בישראל.

בקרות זיהוי

• חיישנים, גלאים של לחות ורטיבות.
• צד-שלישי: השירות המטאורולוגי, מערכות שירותי חירום.

בקרות מתקנות

• משאבות בילג', משאבות סאמפ. Bilge pump, Sump pump . פועלות ע"י מתג כספית, משקולות מים ומדידת מפלסים.  
• פינוי

לסיכום, הצגתי חלק קטן מאוד מתת-נושא גדול. כאמור, אבטחת מידע הוא נושא מקיף, כמעט בכל תחום בחיינו. אבטחה פיזית הוא אמנם נושא בפני עצמו, אבל בלתי נפרד מעולם אבטחת המידע. צר לי לראות עסקים וארגונים רבים בישראל ה"מזניחים" נושא זה. יש רבים שאף מפרידים את תחום אבטחת המידע בכל הקשור לתחזוק מבנים ובפעילויות המוגדרות פיזיות ותחזוק. בקרות אבטחה פיזיות הן השער הראשון העומד בפני תוקפים, איומים פוטנציאלים וסביר להניח כי אלו העוברים אותו - יצליחו להגיע ליעדם.