ISO 27017 | תקן להגנה על המידע בשירותי בענן

החובות החלות על לקוח קצה:

אספקת שירותי ענן ללקוח כוללים אחסון ועיבוד של נתונים ומערכות רגישים בארגון, דבר הגורם לתלות גבוהה ואף להגברת אבטחת המידע של שירותי הענן למניעת פרצות אבטחה וזליגת מידע רגיש.

לכן, לפני ביצוע ההתקשרות מול ספק שירותי הענן, על לקוח הקצה ישנן חובות לאבטחת המידע הרגיש בשירותי הענן:

• על הלקוח לבחון את שירותי הענן המוצעים תוך התחשבות במידע הרגיש שנמצא אצלו בארגון. בנוסף, יש לוודא כי מדיניות אבטחת המידע הכוללת מצד הספק תואמת למדיניות אבטחת המידע הכללית של הלקוח ולהבטיח כי הענן מאובטח דיו בכדי לעמוד בדרישות הלקוח.

מדיניות אבטחת המידע תיקח בחשבון את הנושאים הבאים:

• • הספק יקבל גישה למידע רגיש המאוחסן בענן, לאחר תיעוד בכתב את הקצאת התפקידים ותחומי האחריות בנושאי אבטחת מידע, לדוגמא:
    • הגנה מפני רוגלות
    • גיבוי שוטף של המידע
    • הצפנת מידע
    • ניהול אירועי אבטחת מידע
    • עמידה בתקני ומבדקי אבטחת מידע
    • ביקורת שוטפת
    • איסוף, תחזוקה והגנה על לוגים
  • הגנה על מידע בעת הפסקת יחסים עם ספק השירות
  • הגדרת בקרת גישה והזדהות
  • תהליכים שוטפים בענן יבוצעו במקביל לתהליכים של לקוחות נוספים אשר מאחסנים מידע רגיש בענן
  • המיקום הגיאוגרפי של ספק שירותי הענן – על הספק לעדכן את הלקוח היכן ממוקם הענן. במידה והענן יושב באיחוד האירופי וענן הגיבוי יושב מחוץ לאיחוד האירופי, או במידה והלקוח עצמו עובד מחוץ לאיחוד האירופי, קיימות השלכות רגולטוריות על הוצאה והעברה של המידע

כל מה שצריך לדעת על רגולציית הגנת הפרטיות האירופאית GDPR

• לאחר בחירת הספק הרלוונטי לארגון, על הארגון לנהל רשימה של כלל הנכסים המאוחסנים בענן
• יש לציין את בעלי הסמכות הרלוונטיים שיקבלו גישה לשירותי הענן תוך תיעוד פעולות בלוגים ויעברו הדרכת אבטחת מידע מקיפה. ההדרכה תתמקד בהגדרת נהלים לשימוש בשירותי ענן ובזיהוי ובניהול סיכוני אבטחת מידע למערכות ורשתות נתונים בשירותי ענן
• הגדרת מדיניות בקרת גישה לכל שירותי הענן באמצעות שימוש במנגנון הזדהות חזקה (לדוגמא: סיסמאות, TOKEN, כניסה באמצעות מפתח, SMS) כתיבת נהלים ספציפיים לאיבוד מידע בעקבות פעולות קריטיות, כגון: התקנה, שינוי ומחיקה של מכשירים וירטואליים, סגירת יישומים בשירות ענן, גיבוי ושחזור בעת חירום תוך ציון גורם אחראי לכל פעולה. במידה והשמדת המפתחות תבוצע ע"י הספק, יש כי ההשמדה תבוצע על פי נהלים להשמדה/מחזור של ציוד
• במידה ובעל סמכות מסיים את עבודתו בחברה, על הלקוח לבקש תיעוד מפורט של מחיקת והסרת הגישה של המשתמש לענן

חשוב לזכור כי לפני תחילת העבודה, הלקוח מחוייב לבקש מספק שירותי הענן ראיות לכך שהוא עומד בדרישות אבטחת המידע אליהן מתחייב.

החובות החלות על ספק קצה:

• על הספק לספק ללקוח מידע אודות מדיניות אבטחת המידע והאופן בו הוא מוטמע בשירותי הענן המסופקים ללקוח.

המדיניות תכיל את הנושאים הבאים:

• • דרישות אבטחת המידע ליישום והטמעת שירותי הענן
  • ניהול סיכונים הנובעים מקבלת גישה ישירה של משתמשים
  • בעלי גישה לשירותי ענן (לקוחות שונים) ובידוד שרתים ושירותים לפי סוג שירות הלקוח
  • הגדרת בקרות גישה למידע
  • עדכונים שוטפים ללקוחות בעת שינויים בשירות
  • גישה ואבטחה של המידע המאוחסן בענן
  • אופן ההתקשרות ללקוח בעת גילוי פרצת אבטחה
• על ספק שירותי ענן לספק הדרכת מדיניות אבטחת מידע לעובדי החברה. ההדרכה תתמקד בהגדרת נהלים לשימוש בשירותי ענן ובזיהוי ובניהול סיכוני אבטחת מידע למערכות ורשתות נתונים בשירותי ענן
• על הספק ליידע את לקוח הקצה לגבי הימצאות המיקום הגיאוגרפי של שירותי הענן
• יש לתעד בכתב את הקצאת התפקידים ותחומי האחריות המוגדרים בנושאי אבטחת מידע
• יש לספק מנגנון הזדהות חזקה לאדמינים
• בעת סיום ההתקשרות מול הלקוח יש לספק את הנתונים אודות מחיקת מאגר המידע מהענן
• במידה וספק שירותי ענן משתמש בשירותים של ספק שירותי ענן נוסף, יש לוודא שרמת אבטחת המידע תואמת את דרישות אבטחת המידע בארגון. יש להעביר לספק השירות את מטרות אבטחת המידע ולבקש לבצע ניהול סיכונים בכדי להשיג את המטרות הנדרשות