מה דורשות תקנות אבטחת מידע, ISO 27001 ו-PCI DSS, ואיך בונים בדיקה עם תיעוד שמתאים לביקורת
Compliance-driven Penetration Testing, Israel
מקורות רשמיים בכל סעיף
דוח בעברית ותיעוד לביקורת
הצעת מחיר בתוך 24 שעות מקבלת הפרטים
אפיון והיקף
דוח ממצאים
תיקונים
בדיקה חוזרת
כל שלב מתועד, כדי שאפשר יהיה להציג אותו למבקר דוגמה להמחשה
לפני שמתחילים:
העמוד מסכם דרישות מתוך מקורות רשמיים, עם קישור לכל מקור. הוא אינו ייעוץ משפטי. השאלה אילו דרישות חלות על הארגון שלכם, למשל באיזו רמת אבטחה נמצא מאגר המידע, צריכה להיבחן מול היועץ המשפטי או הממונה על אבטחת המידע.
בדיקת חדירה יכולה לתמוך בדרישות הבקרה ולספק תיעוד לביקורת, אך אנחנו לא מעניקים הסמכה ולא מפיקים דוח ביקורת.
תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017
מה התקנות דורשות
- תקנה 5(ד): במאגר מידע שחלה עליו רמת האבטחה הגבוהה, בעל המאגר אחראי לכך שייערכו מבדקי חדירות למערכות המאגר, לבחינת עמידותן בפני סיכונים פנימיים וחיצוניים, אחת ל-18 חודשים לפחות.
- בעל המאגר נדרש לדון בתוצאות המבדק ולפעול לתיקון הליקויים שהתגלו. ביצוע המבדק לבדו אינו מספיק.
- תקנה 5(ה): ארגון שיש לו כמה מאגרים באותה רמת אבטחה רשאי לבצע מבדק חדירות אחד לכולם.
- תקנה 5(ג): באותם מאגרים נדרש גם סקר סיכוני אבטחת מידע, באותה תדירות מינימלית.
עמדת הרשות להגנת הפרטיות
- את מבדקי החדירות יש לערוך מיד בסמוך לאחר תחילת הפעלת המאגר, וכן לפחות כל 18 חודשים.
- 18 חודשים הם התדירות המינימלית. רצוי לבדוק גם כשמשנים רכיבים משמעותיים בסביבת המחשוב או מטמיעים טכנולוגיה חדשה.
- גם כשאין חובה, הרשות רואה בסקר סיכונים ובמבדק חדירות פרקטיקה רצויה לכל ארגון שמחזיק מידע אישי.
- המבדק חייב להתבצע בהסכמה מוקדמת ומפורשת של הארגון ובהיקף מוגדר.
- אי ביצוע כשחלה חובה מהווה הפרה של התקנות ועשוי להוביל להליך אכיפה מנהלי ולעיצומים כספיים.
מקורות: הרשות להגנת הפרטיות, "ביצוע סקר סיכונים ומבדק חדירות למערכות מידע", נוסח מעודכן בעקבות תיקון 13,
שאלות ותשובות על התקנות,
מדריך תיקון 13 לחוק הגנת הפרטיות
מה עוד השתנה בתיקון 13, מעבר למבדקי החדירות: תיקון 13 לחוק הגנת הפרטיות: מה עסק צריך לעשות.
מערך הסייבר הלאומי: תורת ההגנה בסייבר לארגון
- תורת ההגנה של מערך הסייבר הלאומי היא מסמך המלצה לארגונים במשק, ומשמשת גם מבקרי פנים, יועצים והנהלות. בשנת 2021 פורסמה גרסה 2.0.
- בגרסה 1.0 (2017), בפרק סקרי הערכת בקרות אבטחה, נכללת בקרה לפיה הארגון יבצע מבדקי חדירה תשתיתיים ואפליקטיביים למערכות על בסיס תקופתי, ובקרה נוספת הממליצה שהמבדקים יבוצעו בידי גורם בלתי תלוי.
- לפי המסמך, את אפקטיביות ההגנה אפשר לבחון באמצעות מבדקי חדירות, בחינת פגיעויות ותרגילי Red Team.
מקורות: תורת ההגנה בסייבר 2.0, תורת ההגנה בסייבר לארגון, גרסה 1.0 (PDF)
ISO 27001: איפה נכנסת בדיקת חדירה
מה כתוב בתקן
- בגרסת ISO/IEC 27001:2022, בקרה 8.8 בנספח A עוסקת בניהול פגיעויות טכניות: איסוף מידע על פגיעויות, הערכת החשיפה ונקיטת צעדים מתאימים.
- ההנחיות ליישום הבקרה ב-ISO/IEC 27002:2022 מזכירות מבדקי חדירה או הערכות פגיעויות מתוכננים, מתועדים וחוזרים, בידי גורמים מוסמכים ומורשים.
- התקן לא קובע תדירות קבועה. את התדירות וההיקף קובע הארגון לפי הערכת הסיכונים שלו.
מה בדיקת חדירה נותנת בתהליך
- ראיה מתועדת לכך שהארגון מאתר ומטפל בפגיעויות טכניות.
- דוח עם ממצאים מדורגים, הנחיות תיקון ובדיקה חוזרת אחת, שמראה גם את סגירת הממצאים.
- חשוב לדעת: הסמכת ISO 27001 ניתנת בידי גוף התעדה מוסמך. בדיקת חדירה תומכת בתהליך, אבל אינה מעניקה הסמכה.
מקורות: ISO/IEC 27001:2022, אתר ISO, ISO/IEC 27002:2022, אתר ISO
PCI DSS: דרישה 11.4
לארגונים שמעבדים, שומרים או מעבירים נתוני כרטיסי אשראי. לפי PCI DSS v4.0.1:
- 11.4.1: מתודולוגיה מוגדרת ומתועדת לבדיקות חדירה, שכוללת בדיקות מבפנים ומבחוץ, בשכבת האפליקציה ובשכבת הרשת.
- 11.4.2 ו-11.4.3: בדיקת חדירה פנימית וחיצונית לפחות פעם ב-12 חודשים, ואחרי כל שינוי או שדרוג משמעותי בתשתית או באפליקציה, בידי גורם מוסמך ובלתי תלוי ארגונית.
- 11.4.4: חולשות שניתן לנצל מתוקנות, והבדיקה חוזרת כדי לוודא את התיקון.
- 11.4.5: אם משתמשים בהפרדת רשתות כדי לצמצם את היקף הסביבה, יש לבדוק את בקרות ההפרדה לפחות פעם ב-12 חודשים ואחרי כל שינוי בהן. לספקי שירות נקבעה תדירות של פעם בשישה חודשים (11.4.6).
מקור: ספריית המסמכים של PCI Security Standards Council
בקצרה: מי דורש מה
| מסגרת |
מעמד |
על מי חל |
תדירות |
| תקנות הגנת הפרטיות (אבטחת מידע) |
חובה לפי דין |
מאגרי מידע שחלה עליהם רמת האבטחה הגבוהה |
אחת ל-18 חודשים לפחות, וגם בסמוך לתחילת הפעלת המאגר |
| תורת ההגנה של מערך הסייבר |
המלצה |
ארגונים במשק |
על בסיס תקופתי, לפי הערכת הסיכונים |
| ISO 27001 |
תקן וולונטרי (נדרש להסמכה) |
ארגונים שמבקשים הסמכה או שלקוחותיהם דורשים אותה |
לפי הערכת הסיכונים של הארגון |
| PCI DSS |
דרישה של תעשיית הכרטיסים |
גופים שמעבדים, שומרים או מעבירים נתוני כרטיסים |
לפחות פעם ב-12 חודשים ואחרי שינוי משמעותי |
איך אנחנו עוזרים
היקף לפי הדרישה
ספרו לנו מה נדרש בדוח, ונגדיר את ההיקף והתיעוד הנדרשים: אפליקציה ו-API, תשתיות או נכסים חשופים.
דוח שאפשר להציג
דוח בעברית עם תקציר להנהלה, ממצאים מדורגים לפי חומרה, CVSS כנקודת ייחוס והנחיות תיקון.
תיקון ובדיקה חוזרת
ליווי בתיקון ובדיקה חוזרת אחת של הממצאים שדווחו. לבדיקות תקופתיות לאורך השנה יש ליווי שנתי.
בדיקת אבטחה היא בדיקה מדגמית ונקודתית בזמן. היא אינה קובעת שהמערכת חסינה מפני חדירה ואינה מהווה אישור עמידה בתקן או ברגולציה.
לסקירה של כל סוגי הבדיקות ראו בדיקות חדירה: סוגים ותהליך.
שאלות נפוצות
מה ששואלים אותנו לפני שמתחילים.
האם כל עסק חייב לבצע מבדק חדירות לפי התקנות?
לא. החובה בתקנה 5(ד) חלה על מאגרי מידע שחלה עליהם רמת האבטחה הגבוהה, אחת ל-18 חודשים לפחות. הרשות להגנת הפרטיות ממליצה על מבדק חדירות גם בארגונים אחרים שמחזיקים מידע אישי. את רמת האבטחה של המאגר כדאי לבחון מול היועץ המשפטי.
אם יש לנו כמה מאגרי מידע, צריך מבדק נפרד לכל אחד?
לפי תקנה 5(ה), ארגון שיש לו כמה מאגרי מידע באותה רמת אבטחה רשאי לבצע מבדק חדירות אחד לכולם.
האם ISO 27001 מחייב בדיקת חדירה?
התקן לא קובע בדיקת חדירה בתדירות קבועה. בקרה 8.8 בנספח A עוסקת בניהול פגיעויות טכניות, וההנחיות ב-ISO/IEC 27002 מזכירות מבדקי חדירה או הערכות פגיעויות מתוכננים ומתועדים. בפועל, בדיקת חדירה היא דרך מקובלת להראות שהבקרה מיושמת.
האם הבדיקה מעניקה הסמכת ISO 27001 או דוח SOC 2?
לא. הסמכת ISO 27001 ניתנת בידי גוף התעדה מוסמך. דוח SOC 2 הוא דוח ביקורת שמופק בידי משרד רואי חשבון. בדיקת החדירה יכולה לתמוך בדרישות הבקרה ולספק תיעוד לביקורת, אך אנחנו לא מעניקים הסמכה ולא מפיקים דוח SOC 2.
באיזו תדירות PCI DSS דורש בדיקת חדירה?
לפי דרישות 11.4.2 ו-11.4.3 ב-PCI DSS v4.0.1: בדיקה פנימית וחיצונית לפחות פעם ב-12 חודשים, ואחרי כל שינוי או שדרוג משמעותי בתשתית או באפליקציה.
לקוח דורש מאיתנו דוח בדיקת חדירה. מה עושים?
ספרו לנו מה נדרש בדוח, ונגדיר את ההיקף והתיעוד הנדרשים. הצעת מחיר נשלחת בתוך 24 שעות מקבלת הפרטים, ואפשר בדרך כלל להתחיל בתוך שבועיים מאישור ההצעה.