נטרו פעילות גורמי פנים. זהה אנומליות. הגיבו ותחקרו אירועים.
לקוחות
תקן ISO 27001 מגדיר דרישות למערכות ניהול אבטחת מידע (ISMS) ומטרתו לסייע לארגונים להשיג אבטחת מידע מקיפה. התקן משתייך למשפחת תקני ISO/IEC 27000, שפותחו על ידי הארגון הבינלאומי לתקינה (ISO) והנציבות הבינלאומית לאלקטרו טכניקה (IEC) הנחשבים למובילים עולמיים בהנפקת תקני תעשייה ייעודיים. עמידה בתקן ISO 27001:2022 המעודכן יכולה לסייע בשיפור אבטחת הסייבר של הארגון, שדרוג מאמצי ניהול הסיכונים שלכם ועמידה בחוקים ותקנות נוספים, כגון GDPR, דירקטיבת NIS2, ותקן PCI DSS.
קיבלה הסמכות ISO 9001 ו-ISO 27001 עבור מערכת ניהול האיכות (QMS) ומערכת ניהול אבטחת המידע (ISMS).
הסמכת ISO 27001 היא וולונטרית לחלוטין, וכל חברה המעוניינת להקים מערכת ניהול אבטחת מידע יכולה להשיג אותה. למרות שהיא אינה חובה, יישום דרישות תקן ISO 27001 פופולרי בקרב ארגונים ברחבי העולם.
בקרות האבטחה של תקן ISO/IEC 27001:2022 מחולקות לארבע קבוצות:
מחייב את מנהלי הנתונים לדווח על הפרת נתונים אישיים לרשות הפיקוח תוך 72 שעות מגילוי ההפרה ולספק פרטים על האירוע.
סעיף 6 מכיל 8 בקרות אבטחה המתארות מדיניות הנדרשת לניהול מאובטח של משאבי אנוש בארגון.
סעיף 7 כולל 14 בקרות אבטחה הנחוצות להגנה על מידע רגיש מפני איומים פיזיים.
סעיף 8 כולל 34 בקרות אבטחה שארגונים צריכים ליישם לצורך הקמה ותחזוקה של מערכות טכנולוגיות מאובטחות.
הסמכת ISO 27001 היא וולונטרית לחלוטין, וכל חברה המעוניינת להקים מערכת ניהול אבטחת מידע יכולה להשיג אותה. למרות שהיא אינה חובה, יישום דרישות תקן ISO 27001 פופולרי בקרב ארגונים ברחבי העולם.
העריכו את יעילות בקרות האבטחה הקיימות בארגון.
השוו בין בקרות האבטחה הקיימות לבין אלו הנדרשות בתקן ISO/IEC 27001:2022 כדי לזהות פערים.
הטמיעו בקרות אבטחה חסרות בהתאם לדרישות התקן ISO/IEC 27001:2022.
הגבירו את מודעות העובדים לאבטחת סייבר באמצעות הכשרות שוטפות.
סקירה ועדכון מדיניות ותהליכים באופן קבוע.
צרו קשר עם גוף הסמכה מוכר של ISO 27001 והודיעו על כוונתכם לקבל הסמכה.
תנו למבקר להעריך את התאימות של הארגון לתקן ISO/IEC 27001:2022.
שמרו על עמידה בתקן ISO 27001 ועברו ביקורות פיקוח שנתיות.
היא פלטפורמת ניהול סיכונים פנימיים ותוכנה לציות ל-ISO 27001 שיכולה לעזור לכם לקבל את הסמכת ISO 27001 בהצלחה. כך זה עובד:
ניהול גישה פריבילגית Privileged Access Management (PAM)
üבצע זיהוי, הטמעה, ניהול והסרה של משתמשים בעלי גישה מורחבת באמצעות פונקציונליות PAM של Syteca.
üנטר והקלט את פעולותיהם של משתמשים עם גישה מורחבת לנקודות קריטיות בארגון.
üיישם בקרת גישה מבוססת-תפקידים (RBAC) כדי לאבטח אישורי גישה רגישים.
üהבטח גישה מרוחקת מאובטחת למשתמשים בעלי גישה מורחבת לנקודות קצה קריטיות.
üהשתמש בדוחות פעילות משתמש כדי לעקוב אחר פעולות משתמשים מורחבים.
גישה מבוקרת ומאובטחת
üהענק גישה במתכונת Just-In-Time למשאבים ולמערכות הארגון על ידי הקצאת
סיסמאות חד-פעמיות והגבלת משך הגישה.
üהגבל גישה בהתאם לעקרונות Least Privilege תוך אישור בקשות גישה באופן ידני.
üהגבל את השימוש ואחסון של סיסמאות מאוחסנות בהתאם לתפקידים.
אימות מאובטח
üאשר משתמשים מרוחקים מבלי לחשוף סיסמאות.
üהפחת סיכון לגישה בלתי מורשית בעזרת אימות דו-שלבי וסיסמאות חד-פעמיות.
üדרוש אימות נוסף ממשתמשים המתחברים למערכות קריטיות על ידי הקלדת מספר טוקן.
ניהול מידע אישי רגיש (PII)
üהבטח סודיות נתונים אישיים באמצעות אנונימיזציה של נתוני ניטור.
üהגדר תהליך המאפשר גישה אנונימית לנתונים לצרכי חקירה.
üקבע רשימת משתמשים שנדרש לאנונימיזציה של המידע שלהם.
מעקב פעילות משתמשים
üעקוב אחר אופן העבודה של משתמשים עם נתונים רגישים על ידי תיעוד הפעולות בפורמט וידאו.
üנטר חיבורים של התקני USBוחסום מכשירים בלתי מורשים.
üעקוב אחר העלאות, הורדות ושימוש בלוח גזירה.
üהגדר חוקים מותאמים אישית להתרעות על שימוש במידע רגיש או הגבל אותו.
רישום ותחקור אירועים
üתעד פעילות משתמשים בפורמט וידאו הניתן לחיפוש עם מידע רב-שכבתי.
üשמור רישומים של כל השינויים בתצורת המערכת שבוצעו על ידי מנהלי מערכת.
üסקור את כל פעולות המשתמשים החריגות הקשורות לרשת הארגונית שלך.
üקבל התראות דינמיות או בצע תגובות אוטומטיות כמו חסימת תהליכים חשודים.
מעקב וניטור פעולות משתמשים
üנטר באופן רציף את כל פעילות המשתמשים וצפה בזמן אמת או בפורמט מוקלט של פעילויות המשתמשים.
üזהה התנהגות חריגה של משתמשים באמצעות מודולUEBA מבוסס AI של Syteca.
üקבל התראות בזמן אמת על אירועי אבטחה באמצעות חוקים מוגדרים מראש או הוספת חוקים מותאמים אישית.
üהגדר פעולות תגובה אוטומטיות לאירועים, כגון חסימת משתמשים וסיום תהליכים חשודים.
קבלת התראות וגישה מבוקרת
üקבל התראות על ביקורים של משתמשים באתרים ספציפיים.
üהצג הודעות אזהרה למשתמשים או חסום אותם כאשר הם מבקרים באתרים האסורים לפי מדיניות הארגון.
üהפעל סינון יישומים לניטור פעילות משתמשים רק באתרים מוגדרים מראש.
ניהול תשתיות פיתוח קריטיות
üהענק והגבל גישה לתשתיות פיתוח קריטיות.
üנטר והקלט את פעילות המשתמשים בתוך סביבת הפיתוח כדי לוודא עמידה במדיניות האבטחה שנקבעה.
üקבע חוקים לקבלת התראות על שימוש באפליקציות חשודות בסביבת הפיתוח או לסגור אותן באופן אוטומטי.
üהבטח הפצה מאובטחת של אישורי גישה בסביבת הפיתוח באמצעות Syteca’s Application Credentials Broker.
8.2 זכויות גישה מורחבות
הקצאה ושימוש בזכויות גישה מורחבות יוגבלו וינוהלו.
8.3 הגבלת גישה למידע
הגישה למידע ולתפקודי מערכות יישומים תוגבל בהתאם למדיניות בקרת הגישה.
8.6 אימות מאובטח
כאשר נדרש על ידי מדיניות בקרת הגישה, הגישה למערכות וליישומים תישלט באמצעות הליך כניסה מאובטח.
8.11 טשטוש מידע (Data Masking)
יש להשתמש בטשטוש מידע בהתאם למדיניות האבטחה של הארגון, דרישות עסקיות וחוקים החלים.
8.12 מניעת דליפת מידע (DLP)
אמצעים למניעת דליפת מידע ייושמו במערכות, רשתות ומכשירים.
8.15 תיעוד (Loggin)
יופקו, יאוחסנו ויבוקרו באופן קבוע יומני אירועים שמתעדים פעילויות משתמשים, חריגות, תקלות ואירועי אבטחת מידע.
8.16 פעילויות ניטור
פעולות ניטור יבוצעו בהתאם לדרישות רגולטוריות ולחקיקה לזיהוי התנהגות חריגה ואיומי אבטחת מידע פוטנציאליים.
8.23 סינון אתרים
יש לנקוט אמצעים מתאימים למניעת גישה לתוכן זדוני באתרי אינטרנט חיצוניים.
8.28 פיתוח מאובטח
עקרונות קידוד מאובטחים יחולו על פיתוח תוכנה.
üאפשר שימוש במכשיריUSB ספציפיים על נקודות קצה נבחרות.
üקבל התראות בזמן אמת על חיבורי מכשירי USB.
üחסום מכשירי USB לצמיתות או עד לאישור ידני של מנהל מערכת.
7.10 מדיה לאחסון
יש לנהל מדיות אחסון לאורך כל שלבי הרכישה, השימוש, ההעברה וההשמדה שלהן, בהתאם לדרישות הסיווג והטיפול שנקבעו.
üאפשר למשתמשים מרוחקים גישה למחשבים ספציפיים או לקבוצות מחשבים באמצעות שרת קפיצה (Jump Server) מבלי לחשוף את פרטי הגישה.
üאבטח ונטר חיבורי RDP למערכות הארגון שלך.
üתוך הבטחת שקיפות מלאה לפעולות של מנהלים מרוחקים על נקודות קצה קריטיות באמצעות ניהול וניטור משתמשים פריבילגיים.
üהגבל את גישת המשתמשים המרוחקים למידע ולמערכות רגישות באמצעות יישום פתרון PAM (ניהול גישה פריבילגי) במתכונת Just-In-Time.
üצור דוחות על פעילויות משתמשים והתראות שהופעלו בזמן אמת או בהתאם ללוח זמנים מוגדר.
üרכז את כל המידע הקשור לאבטחה במקום אחד על ידי שילוב Syteca עם מערכת SIEM של הארגון.
üנצל את האינטגרציה של Syteca עם Microsoft Power BI ליצירת דוחות אינטראקטיביים ומובנים לאירועי אבטחה בצורה קלה וברורה.
6.7 עבודה מרחוק
יש ליישם מדיניות ואמצעי אבטחה תומכים כדי להגן על מידע הנגיש, מעובד או מאוחסן באתרים מרוחקים.
6.8 דיווח על אירועי אבטחת מידע
אירועי אבטחת מידע יידווחו דרך ערוצי הניהול המתאימים במהירות האפשרית.
5.3 הפרדת תפקידים
תפקידים ותחומי אחריות סותרים יופרדו כדי להפחית הזדמנויות לשינויים בלתי מורשים או בלתי מכוונים, או לשימוש לרעה בנכסי הארגון.
5.7 מודיעין איומים
נתונים הקשורים לאיומי אבטחת מידע ייאספו וינותחו כדי להפיק מודיעין איומים.
5.15 בקרת גישה
יש להגדיר מדיניות השולטת בגישה למידע ולנכסים ארגוניים אחרים
5.17 מידע על אימות
הקצאת מידע סודי לאימות תנוהל באמצעות תהליך ניהול פורמלי, כולל ייעוץ לעובדים על הדרך הנכונה לטפל במידע לאימות.
5.18 זכויות גישה
זכויות הגישה של כל המשתמשים יוקצו, ייבדקו, ישונו ויבוטלו בהתאם למדיניות בקרת הגישה של הארגון.
5.25 הערכה והחלטה על אירועי אבטחת מידע
יש להעריך אירועי אבטחת מידע ולהחליט אם לסווגם כאירועי אבטחת מידע.
5.26 תגובה לאירועי אבטחת מידע
יש להגיב לאירועי אבטחת מידע בהתאם להליכים המתועדים.
5.28 איסוף ראיות
הארגון יגדיר ויישם נהלים לזיהוי, איסוף, רכישה ושימור של מידע שיכול לשמש כראיה.
(A.12.4) ISO 27001
הסיבה ליישום Syteca IRM הייתה להבטיח מעקב מלא על פעילות ספקים בזמן אמת ובהקלטות, גם בחיבורים מרחוק. כגוף תקשורת מוביל, אבטחת מידע והגנת פרטיות קריטיים עבורנו.
המערכת מאפשרת זיהוי פעילויות חריגות, תיעוד מלא ועמידה בנהלים המחמירים ביותר.
כך אנו שומרים על רמת אבטחה גבוהה ועל אמון לקוחותינו.
מנהל תשתיות
בזכות הפלטפורמה של Syteca IRM, מרכז רפואי לניאדו מצליח לשמור על רמת אבטחת מידע גבוהה ביותר, לנהל את גישת הספקים בצורה יעילה, לתחקר אירועים, להפיק תובנות ולהגן על המידע הארגוני בצורה אופטימלית.
CISO
בהחלט השגנו את המטרה שהצבנו לעצמנו. הפלטפורמה של yteca סיפקה לנו את כל היכולות שייחלנו להן, ועוד הרבה יותר. זה תרם רבות ומקסם את אבטחת המידע של קבוצת ממן.
קצין אבטחת מידע
מיד לאחר הטמעת מערכת Syteca, הרווחנו שליטה מדויקת ויכולות ניטור והקלטה מתקדמות כפי שרצינו וקיווינו. יש לנו יתרון אבטחתי משמעותי תודות ל- Syteca ולצוות היישום של קונסיסט.
Ciso
הפלטפורמה מספקת את מערך הכלים הרחב ביותר מבחינת ניטור, הקלטה, ניהול זהויות, בקרת גישה, התראות על פעילויות חריגות, אימות דו-גורמי ועוד. הפלטפורמה ייחודית גם ביכולתה לעמוד בעומסים הגדולים ולתעד פעילויות בכל נקודות הקופה בסניפינו.
IT & Cloud Director
תקן ISO 27001 הוא מסגרת בינלאומית מוכרת לניהול מערכות אבטחת מידע (ISMS). הוא מתאר כיצד על ארגונים לבנות מערכות ISMS כדי להשיג אבטחת מידע מלאה ומקיפה.
תקן ISO/IEC 27001 הוא תקן בינלאומי לניהול אבטחת מידע שפותח על ידי ארגון התקינה הבינלאומי (ISO) והנציבות הבינלאומית לאלקטרוטכניקה (IEC).
ניתן להסמיך מערכת ניהול אבטחת מידע (ISMS) לעמידה בתקן ISO/IEC 27001 באמצעות רשם מוסמך או גוף הסמכה (CB) מוסמך.
תקן ISO/IEC 27001:2022 כולל 93 בקרות אבטחה שנועדו לסייע לארגונים להקים, ליישם ולתחזק מערכת לניהול אבטחת מידע.
מערכת לניהול אבטחת מידע (ISMS) המוסמכת בתקן ISO 27001 היא מסגרת ותהליך שאותם ארגון חייב ליישם כדי לנהל ולהגן ביעילות על נכסי המידע שלו. ISMS המוסמכת בתקן ISO 27001 עומדת בדרישות המפורטות בתקן ISO/IEC 27001. הסמכת ISO 27001 מעידה שהארגון עבר הערכה מקיפה ואימות של יעילות מערכת ניהול אבטחת המידע שלו בהגנה על מידע רגיש מפני איומי אבטחה.
כן, בהתאם לתקן ISO/IEC 27001:2022, ניהול סיכונים הוא מרכיב מרכזי בבניית מערכת ניהול אבטחת מידע (ISMS) יעילה.
Syteca היא תוכנת ניהול סיכונים מוסמכת ISO 27001, המסייעת לכם להפחית סיכוני אבטחה בארגון ולעמוד בדרישות התקן ISO 27001.
יישום בקרות ISO 27001 כולל הקמה, ניטור ושיפור מתמשך של מערכת לניהול אבטחת מידע (ISMS). להלן מדריך שלב-אחר-שלב ליישום:
פיתוח מדיניות ISMS
פתחו מדיניות לניהול אבטחת מידע שתתאים למטרות הארגון ולדרישות תקן ISO 27001.
זיהוי והערכת סיכונים
זהו, העריכו ותעדפו סיכוני אבטחת מידע, תוך התחשבות בסבירותם ובהשפעתם על הארגון.
איתור פערים בבקרות אבטחה
בהתבסס על תוצאות הערכת הסיכונים, זהו את בקרות ISO 27001 החסרות בארגון שלכם.
יצירת נהלי אבטחה
פתחו נהלים ליישום כל בקרת אבטחה נדרשת.
יישום בקרות אבטחה
יישמו בקרות באמצעות פתרונות טכנולוגיים ייעודיים, כמו תוכנה לניהול עמידה בתקן ISO 27001.
ביצוע ביקורות שוטפות
ערכו ביקורות סדירות להערכת יעילות מערכת ה-ISMS ועדכנו אותה לפי הצורך.
השגת הסמכה
אם נדרשת הסמכה, עברו ביקורת חיצונית עם גוף הסמכה מוסמך.
ביצוע הערכת סיכונים הוא אחד השלבים בהכנה לביקורת תקן ISO 27001. ניתן להעריך סיכונים בארגון על ידי ביצוע השלבים הבאים:
בחירת גישת ניהול סיכונים
בחרו בין גישה איכותנית או כמותית.
זיהוי סיכונים
ערכו רשימה של הנכסים הרגישים ביותר בארגון וציינו את הסיכונים שעשויים להשפיע על סודיותם, שלמותם וזמינותם.
ניתוח סיכונים
העריכו את הסבירות לכל סיכון ואת ההשפעה האפשרית שלו על העסק. התחשבו בנזקים פיננסיים, פגיעה במוניטין, קנסות, תביעות ועוד.
תעדוף סיכונים
בהתבסס על הסבירות וההשפעה הפוטנציאלית, סדרו את הסיכונים מהגבוה ביותר לנמוך ביותר לפי רמת הסיכון שניתן לקבל.
בניית תוכנית טיפול בסיכונים
תכננו כיצד להפחית את הסיכויים לסיכונים ולמנוע מצבים מעוררי סיכון. כמו כן, החליטו אילו סיכונים ניתן לנהל באמצעות צד שלישי ואילו סיכונים מקובלים.
כתיבת דוח סיכונים
סכמו ותעדו כל שלב בתהליך הערכת הסיכונים.
בצעו הערכת סיכונים באופן שוטף כדי לשפר את מערכת ניהול אבטחת המידע בארגון.
כדי לקבל הסמכה בתקן ISO/IEC 27001, יש להשלים סדרת שלבים:
לימוד תקן ISO/IEC 27001:2022 ודרישותיו
הכירו את התקן ואת הדרישות לניהול מערכת אבטחת מידע (ISMS).
הערכת מצב נוכחי
בדקו את פרקטיקות אבטחת המידע הקיימות בארגון לעומת דרישות התקן וזיהו פערים.
יישום בקרות אבטחה ונהלים
הטמיעו בקרות אבטחה נחוצות ופיתחו נהלי אבטחה כדי לסגור את הפערים. ניתן להיעזר בתוכנה לניהול עמידה בתקן, כמו Syteca, להקלת התהליך.
ביצוע ביקורות פנימיות
ערכו ביקורות פנימיות להערכת יעילות ה-ISMS שלכם ובצעו שיפורים לפי הצורך.
פנייה לגוף הסמכה מוסמך
עברו ביקורת שלב 1 ושלב 2 על ידי גוף הסמכה מוסמך לקבלת ההסמכה.
לאחר שהארגון שלכם מקבל הסמכה בתקן ISO 27001, ההסמכה תקפה לשלוש שנים. עם זאת, במהלך תקופה זו יש לנהל ולתחזק את מערכת ניהול אבטחת המידע (ISMS).
ודאו שאתם בודקים ומעדכנים את מדיניות ונהלי האבטחה באופן שוטף, והשתמשו בתוכנה ייעודית לתקן ISO 27001 כדי ליישם את כל דרישות התקן. כך תוכלו להוכיח שהארגון שלכם ממשיך לעמוד בתקן במהלך ביקורות המעקב השנתיות של המבקרים.
גם לאחר קבלת הסמכת ISO 27001, יש להמשיך במאמצים שוטפים לשמירה על עמידה בדרישות התקן. לכן, מומלץ:
לבצע הערכות סיכונים סדירות
זיהוי איומים חדשים, פגיעויות ושינויים בנוף הסיכונים.
לנטר ולסקור את יעילות הבקרות
בדקו את יעילות הבקרות המיושמות ועדכנו אותן לפי הצורך.
לקיים ביקורות פנימיות שוטפות
העריכו את יעילות מערכת ה-ISMS ותיקנו בעיות שהתגלו.
לעקוב אחר עדכונים לתקן ISO 27001
התאימו את מערכת ה-ISMS שלכם לשינויים חדשים בתקן.
לעבור ביקורות מעקב שנתיות
הדגימו עמידה מתמשכת בדרישות התקן.
פתרון תוכנה ייעודי כמו Syteca יכול לסייע לכם בקבלת ההסמכה בתקן ISO/IEC 27001:2022 ולתחזק עמידה בו לאורך זמן.
גרניט 2, ת.ד 4192
קרית אריה פתח תקווה 49130
טלפון: 054-8016802
© Syteca, 2025, all rights reserved.