217197385 application-security-2009

Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-77907000 Fax. 972-97442444
‫שולחן‬ ‫מפגש‬ ‫סיכום‬
-
‫עגול‬
‫אפליקטיבית‬ ‫מידע‬ ‫אבטחת‬
‫מאי‬
2009
‫עורך‬
:
‫מאור‬ ‫גייגר‬ ‫שחר‬

‫תוכן‬
‫הקדמה‬
:
................................
................................
................................
................................
..........................
2
‫אבטחת‬
‫מידע‬
‫בתהליך‬
‫הפיתוח‬
................................
................................
................................
........................
3
‫מתודולוגיות‬
‫לאבטחת‬
‫מידע‬
‫במחזור‬
‫הפיתוח‬
................................
................................
................................
....
5
‫שירותים‬
‫חיצוניים‬
‫בעת‬
‫מיתון‬
................................
................................
................................
...........................
6
‫פתרונות‬
‫משלימים‬
‫להגנה‬
‫אפליקטיבית‬
................................
................................
................................
............
6
‫תגובות‬
‫ספקים‬
‫לנאמר‬
‫במפגש‬
:
................................
................................
................................
........................
7
Netcom
(
‫מלם‬
-
‫תים‬
‫תקשורת‬
:)
................................
................................
................................
....................
7
One1
................................
................................
................................
................................
.........................
8
SAP
................................
................................
................................
................................
..........................
10
Symantec
................................
................................
................................
................................
................
11
‫הקדמה‬
:
‫נסוב‬ ‫המפגש‬
‫פיתוח‬ ‫בפרויקטי‬ ‫מידע‬ ‫אבטחת‬ ‫היבטי‬ ‫סביב‬
,
‫ושימוש‬ ‫בארגון‬ ‫וקיימות‬ ‫חדשות‬ ‫אפליקציות‬ ‫על‬ ‫הגנה‬
‫אפליקטיבית‬ ‫להגנה‬ ‫שונות‬ ‫ובמתודולוגיות‬ ‫בכלים‬
.
‫במפגש‬ ‫המשתתפים‬
‫הם‬
‫במ‬ ‫מידע‬ ‫אבטחת‬ ‫מנהלי‬
‫גופי‬ ‫ספר‬
‫ם‬
‫ג‬
‫עסקיים‬ ‫מגזרים‬ ‫ממספר‬ ‫במשק‬ ‫דולים‬
.
‫כל‬
‫רגולציה‬ ‫תחת‬ ‫שנמצאים‬ ‫מגופים‬ ‫מגיעים‬ ‫המשתתפים‬
‫הנחייה‬ ‫או‬
‫מידע‬ ‫אבטחת‬ ‫בנושאי‬ ‫אחרת‬ ‫או‬ ‫כזו‬
.
‫הידע‬ ‫עיקר‬
‫חשופים‬ ‫טבעי‬ ‫באופן‬ ‫אשר‬ ‫הפיננסי‬ ‫מהתחום‬ ‫מארגונים‬ ‫מגיע‬ ‫בתחום‬
‫כלכלי‬ ‫רקע‬ ‫על‬ ‫הונאה‬ ‫לנסיונות‬ ‫יותר‬ ‫הרבה‬
‫ה‬ ‫בתחום‬ ‫לטיפול‬ ‫המוקצים‬ ‫והתקציבים‬
‫אחרים‬ ‫בארגונים‬ ‫מהתקציב‬ ‫בהרבה‬ ‫גבוה‬ ‫האפליקטיבית‬ ‫הגנה‬
.
‫אלה‬ ‫גופים‬
‫הלקוחות‬ ‫וכספי‬ ‫נתוני‬ ‫על‬ ‫הגנה‬ ‫הוא‬ ‫שלהן‬ ‫הפוקוס‬ ‫שעיקר‬ ‫בתחום‬ ‫נוקשות‬ ‫לרגולציות‬ ‫בכפוף‬ ‫לנהוג‬ ‫מחוייבים‬
.
‫עיקריים‬ ‫נושאים‬ ‫מספר‬ ‫עלו‬ ‫במפגש‬
:
‫מידע‬ ‫ואבטחת‬ ‫פיתוח‬
:

‫שלו‬ ‫לכיוון‬ ‫מושך‬ ‫אחד‬ ‫כל‬
...
‫מידע‬ ‫אבטחת‬
‫ופי‬ ‫אחד‬ ‫לצד‬
‫השני‬ ‫לצד‬ ‫תוח‬
(
‫נוחות‬
.)
‫אבטחת‬ ‫היבט‬ ‫מנוהל‬ ‫איך‬
‫פיתוח‬ ‫תהליך‬ ‫בכל‬ ‫מידע‬
:
‫מסודרת‬ ‫ארגונית‬ ‫מתודולוגיה‬ ‫יש‬ ‫האם‬
?
‫ה‬
‫שצריך‬ ‫כמו‬ ‫מתוקצב‬ ‫התחום‬ ‫אם‬
?
‫ש‬ ‫או‬ ‫מידע‬ ‫אבטחת‬ ‫על‬ ‫דגש‬ ‫לשים‬ ‫ארגונית‬ ‫נכונות‬ ‫יש‬ ‫האם‬
‫נתפס‬ ‫זה‬ ‫נושא‬
‫כנטל‬
???

‫שלב‬ ‫ובאיזה‬ ‫מידה‬ ‫באיזו‬
,
‫בכלל‬ ‫אם‬
,
‫ב‬ ‫מידע‬ ‫אבטחת‬ ‫אנשי‬ ‫מעורבים‬
‫כל‬
‫פיתוח‬ ‫פרויקט‬
?

‫פרוייקט‬ ‫בכל‬ ‫מידע‬ ‫אבטחת‬ ‫מתוקצבת‬ ‫איך‬
?
‫הזו‬ ‫העלות‬ ‫את‬ ‫משלם‬ ‫מי‬
?
(
‫הפרוייקט‬ ‫לקוח‬
,?
‫תקורה‬
‫אבמ‬ ‫מחלקת‬ ‫תקציבי‬ ‫על‬ ‫שנופלת‬
?
)
‫פרוייקט‬ ‫כל‬ ‫מתוך‬ ‫באחוזים‬ ‫העלות‬ ‫כמה‬
?

‫מאובטח‬ ‫בפיתוח‬ ‫עזר‬ ‫כלי‬
:

‫אוטומטיי‬ ‫בדיקה‬ ‫בכלי‬ ‫משתמשים‬ ‫האם‬
‫ידניות‬ ‫בבדיקות‬ ‫או‬ ‫ם‬
?
‫עדיף‬ ‫מה‬
?

‫סקרי‬
‫סיכונים‬
:
‫מהדוחות‬ ‫הלקחים‬ ‫הפקת‬ ‫תהליך‬ ‫נעשה‬ ‫איך‬
?

‫חדירות‬ ‫בדיקות‬
:
‫לאחרונה‬ ‫יורדים‬ ‫שהמחירים‬ ‫מרגישים‬ ‫האם‬
?
‫בהתאם‬ ‫יורדת‬ ‫האיכות‬ ‫האם‬ ‫כן‬ ‫אם‬
?
‫משלימים‬ ‫כלים‬
:

‫בבחירת‬ ‫השיקולים‬ ‫מה‬
WAF
?

‫מאובטח‬ ‫פיתוח‬ ‫של‬ ‫מעמיקה‬ ‫יותר‬ ‫למתודולוגיה‬ ‫בתחליף‬ ‫מדובר‬ ‫האם‬
?

‫פיתרון‬ ‫בבחירת‬ ‫חשוב‬ ‫הכי‬ ‫מה‬
?
‫מוצר‬ ‫לכל‬ ‫טובים‬ ‫תמיכה‬ ‫אנשי‬ ‫למצוא‬ ‫אפשר‬ ‫איפה‬
?
‫הפיתוח‬ ‫בתהליך‬ ‫מידע‬ ‫אבטחת‬
‫הפרוייקט‬ ‫סביב‬ ‫חשובים‬ ‫כוחות‬ ‫מספר‬ ‫קיימים‬ ‫בארגון‬ ‫אפליקטיבי‬ ‫פרוייקט‬ ‫בכל‬
:
‫המערכת‬ ‫לקוח‬ ‫עומד‬ ‫אחד‬ ‫בצד‬
.
‫לו‬
‫לשימוש‬ ‫נוחה‬ ‫מערכת‬ ‫ומהר‬ ‫לקבל‬ ‫חשוב‬
.
‫מער‬ ‫בזמן‬ ‫לספק‬ ‫שמטרתם‬ ‫המערכת‬ ‫מפתחי‬ ‫עומדים‬ ‫השני‬ ‫בצד‬
‫כת‬
‫יציבה‬
,
‫ללקוח‬ ‫ואמינה‬ ‫נוחה‬
.
‫אפליקציה‬ ‫שכל‬ ‫לבדוק‬ ‫שתפקידם‬ ‫המידע‬ ‫אבטחת‬ ‫אנשי‬ ‫נמצאים‬ ‫למפתחים‬ ‫הלקוח‬ ‫בין‬
‫מידע‬ ‫אבטחת‬ ‫של‬ ‫בסטנדרטים‬ ‫עומדת‬
.
‫מסויימים‬ ‫בארגונים‬
,
‫שנתונים‬ ‫כאלה‬ ‫גם‬
‫מידע‬ ‫אבטחת‬ ‫בנושאי‬ ‫לרגולציה‬
‫עם‬ ‫להתמודדות‬ ‫מסודרת‬ ‫מתודולוגיה‬ ‫אין‬
‫ה‬ ‫בתהליך‬ ‫מידע‬ ‫אבטחת‬ ‫של‬ ‫סוגיות‬
‫פיתוח‬
.
‫בארגון‬
‫מסויים‬
‫ורשת‬ ‫הארגון‬ ‫לצרכי‬ ‫נפרדת‬ ‫פנימית‬ ‫רשת‬ ‫קיימת‬
‫לאינטרנט‬ ‫גישה‬ ‫עם‬ ‫חיצונית‬
.
‫הארגון‬ ‫של‬ ‫חיצוניים‬ ‫באתרים‬
,
‫לגבי‬ ‫ארגונית‬ ‫מדיניות‬ ‫אין‬ ‫אירוח‬ ‫באתרי‬ ‫יושבים‬ ‫אשר‬
‫עליהם‬ ‫אפליקטיבית‬ ‫הגנה‬
,
‫ע‬ ‫הניתן‬ ‫השירות‬ ‫למעט‬
"
‫האירוח‬ ‫ספק‬ ‫י‬
.
‫ארגוני‬ ‫מענה‬ ‫ניתן‬ ‫לא‬ ‫פנימיות‬ ‫באפליקציות‬
‫מידע‬ ‫אבטחת‬ ‫לצרכי‬ ‫מסודר‬
.
‫נציג‬
‫נוס‬ ‫ארגון‬
‫שמחוייב‬ ‫ף‬
‫בנושאי‬ ‫להנחייה‬
‫ה‬ ‫שבתהליך‬ ‫חושב‬ ‫מידע‬ ‫אבטחת‬
‫לקחת‬ ‫צריך‬ ‫פיתוח‬
‫בחשבון‬
‫את‬
‫המידע‬ ‫אבטחת‬
‫כבר‬
‫בשלב‬
‫הפרוייקט‬ ‫ייזום‬
.
‫בארגון‬ ‫אצלו‬
‫ב‬
‫הפרויקטים‬ ‫רוב‬
‫הפית‬
‫ע‬ ‫נעשה‬ ‫וח‬
"
‫וקשה‬ ‫חוץ‬ ‫גורמי‬ ‫י‬
‫לאכוף‬
‫מדיניות‬
‫גבוהות‬ ‫עלויות‬ ‫ללא‬ ‫במוצר‬ ‫שינויים‬ ‫לבצע‬ ‫או‬
.
‫בנוסף‬
,
‫רב‬ ‫מערכות‬
‫ות‬
‫מדף‬ ‫מערכות‬ ‫הן‬
,
‫ש‬ ‫כך‬
‫קשה‬
‫להכניס‬
‫בהן‬
‫הארגון‬ ‫של‬ ‫המידע‬ ‫אבטחת‬ ‫מדיניות‬ ‫ברוח‬ ‫התאמות‬
.
‫מקרה‬ ‫בכל‬
,
‫על‬ ‫להקפיד‬ ‫היא‬ ‫זה‬ ‫נציג‬ ‫של‬ ‫המטרה‬
‫בארגון‬ ‫חדשה‬ ‫מערכת‬ ‫מכל‬ ‫בסיסיות‬ ‫דרישות‬
,
‫מול‬ ‫ברור‬ ‫הזדהות‬ ‫נוהל‬ ‫למשל‬ ‫כמו‬
active directory
.
‫פרוייקט‬ ‫כל‬
‫המידע‬ ‫אבטחת‬ ‫להיבטי‬ ‫שלו‬ ‫ההתייחסות‬ ‫את‬ ‫נותן‬ ‫והוא‬ ‫דרכו‬ ‫עובר‬ ‫מבחינתו‬ ‫חדש‬
.
‫מול‬ ‫שלו‬ ‫העימות‬ ‫מנקודות‬ ‫אחת‬
‫במכרזים‬ ‫סף‬ ‫כתנאי‬ ‫בעיקר‬ ‫האבטחתיות‬ ‫ההגבלות‬ ‫נוקשות‬ ‫היא‬ ‫הפיתוח‬ ‫אנשי‬
.
‫הפיתוח‬ ‫אנשי‬ ‫של‬ ‫לדעתם‬
,
‫הוספת‬

‫לא‬ ‫גורמת‬ ‫המידע‬ ‫אבטחת‬ ‫בתחומי‬ ‫נוספים‬ ‫תנאים‬
‫ממכרזים‬ ‫מתמודדים‬ ‫של‬ ‫להסרה‬ ‫פעם‬
.
‫מקרים‬ ‫היו‬ ‫בעבר‬
‫המידע‬ ‫אבטחת‬ ‫דרישות‬ ‫בגלל‬ ‫אפס‬ ‫או‬ ‫אחד‬ ‫מתמודד‬ ‫ניגש‬ ‫מסויים‬ ‫שלמכרז‬
.
‫ב‬ ‫נעשה‬ ‫המערכת‬ ‫ופיתוח‬ ‫במידה‬
‫ארגון‬
‫מתחילתו‬
,
‫הפיתוח‬ ‫תהליך‬ ‫בתוך‬ ‫המידע‬ ‫אבטחת‬ ‫דרישות‬ ‫את‬ ‫לשלב‬ ‫יותר‬ ‫קל‬
‫יותר‬ ‫נוחה‬ ‫בצורה‬
‫אבטחתית‬ ‫יותר‬ ‫בראייה‬ ‫נכתב‬ ‫והקוד‬
.
‫במקר‬
‫כזה‬ ‫ה‬
,
‫ומנהלי‬ ‫הפיתוח‬ ‫אנשי‬ ‫בין‬ ‫הפעולה‬ ‫שיתוף‬
‫יותר‬ ‫טוב‬ ‫המידע‬ ‫אבטחת‬ ‫לאנשי‬ ‫הפרוייקט‬
.
‫מסויים‬ ‫בארגון‬
,
‫חיצונית‬ ‫חברה‬ ‫בידי‬ ‫נעשה‬ ‫הקוד‬ ‫כתיבת‬ ‫על‬ ‫הפיקוח‬
‫הפרוייקט‬ ‫בתיקצוב‬ ‫נכללת‬ ‫העבודה‬ ‫ועלות‬
.
‫הארגון‬ ‫נציג‬ ‫פי‬ ‫על‬
,
‫בכ‬ ‫מדובר‬
5%
‫פרוייקט‬ ‫כל‬ ‫של‬ ‫השוטפת‬ ‫מהעלות‬
‫אינטרנטי‬
.
‫בדיקה‬ ‫רובד‬
‫מערכת‬ ‫לכל‬ ‫חדירות‬ ‫בדיקות‬ ‫ביצוע‬ ‫הוא‬ ‫נוסף‬
‫הפיתוח‬ ‫מחזור‬ ‫במהלך‬ ‫שלבים‬ ‫במספר‬
.
‫המערכת‬ ‫למפתחי‬ ‫מוגש‬ ‫זה‬ ‫ודוח‬ ‫הממצאים‬ ‫עם‬ ‫דוח‬ ‫מגישה‬ ‫החדירות‬ ‫בדיקת‬ ‫את‬ ‫שמבצעת‬ ‫החיצונית‬ ‫החברה‬
.
‫חיצוני‬ ‫ספק‬ ‫מתכנן‬ ‫המערכת‬ ‫ואת‬ ‫במידה‬
,
‫כולו‬ ‫הפרוייקט‬ ‫מעלות‬ ‫ומקוזזת‬ ‫הספק‬ ‫על‬ ‫חלה‬ ‫התיקון‬ ‫עלות‬
.
‫זה‬ ‫נושא‬
‫מ‬
‫חוץ‬ ‫גורמי‬ ‫מול‬ ‫שלהם‬ ‫חוזה‬ ‫בכל‬ ‫עוגן‬
.
‫ידו‬ ‫על‬ ‫כראוי‬ ‫תוקנו‬ ‫ולא‬ ‫לספק‬ ‫הועברו‬ ‫פגיעות‬ ‫שממצאי‬ ‫מקרה‬ ‫קרה‬ ‫בעבר‬
‫פעמים‬ ‫מספר‬
.
‫לבסוף‬ ‫תוקנו‬ ‫והליקויים‬ ‫כך‬ ‫על‬ ‫התעקשו‬ ‫מידע‬ ‫אבטחת‬ ‫אנשי‬
.
‫הוא‬ ‫לשלם‬ ‫עלול‬ ‫שהארגון‬ ‫המחיר‬
‫הפרוייקט‬ ‫של‬ ‫הזמנים‬ ‫בלוח‬ ‫חריגה‬
.
‫מאוד‬ ‫חשוב‬
,
‫לכן‬
,
‫ב‬ ‫לכלול‬
‫ה‬ ‫תרשים‬
GANT
‫אבטחת‬ ‫ליקויי‬ ‫לתיקון‬ ‫זמן‬ ‫מספיק‬
‫של‬ ‫רגילים‬ ‫ליקויים‬ ‫לתיקון‬ ‫בדומה‬ ‫מידע‬
QA
.
‫להתערבות‬ ‫להביא‬ ‫יכול‬ ‫בארגון‬ ‫ליבה‬ ‫פרוייקט‬ ‫של‬ ‫זמנים‬ ‫בלוחות‬ ‫איחור‬
‫המפתחים‬ ‫על‬ ‫גדול‬ ‫וללחץ‬ ‫בכירים‬ ‫מנהלים‬
‫ובעיקר‬
‫בדרישות‬ ‫להתגמש‬ ‫המידע‬ ‫אבטחת‬ ‫אנשי‬ ‫על‬
.
‫יכול‬ ‫כזה‬ ‫מצב‬
‫אבטח‬ ‫פרצות‬ ‫עם‬ ‫מערכת‬ ‫לעליית‬ ‫להביא‬
‫הפרויקטים‬ ‫למנהלי‬ ‫המידע‬ ‫אבטחת‬ ‫בין‬ ‫האמון‬ ‫ביחסי‬ ‫ולפגיעה‬ ‫לאוויר‬ ‫ה‬
.
‫כלכלית‬ ‫מוטיבציה‬ ‫היא‬ ‫אפליקטיבית‬ ‫באבטחה‬ ‫כסף‬ ‫להשקיע‬ ‫הארגונית‬ ‫שהמוטיבציה‬ ‫ניכר‬ ‫עכשיו‬ ‫עד‬
.
‫אחד‬
‫האינטרנט‬ ‫באתר‬ ‫לאומני‬ ‫רקע‬ ‫על‬ ‫מפגיעה‬ ‫בעבר‬ ‫נכווה‬ ‫שלו‬ ‫הארגון‬ ‫כי‬ ‫סיפר‬ ‫המשתתפים‬
(
defacement
)
,
‫כך‬
‫שאצלם‬
"
‫הפ‬ ‫צלצל‬
‫עמון‬
"
‫בארגון‬ ‫כלכלית‬ ‫לפגיעה‬ ‫קשר‬ ‫ללא‬
.
‫ההגנה‬ ‫נושא‬ ‫הפגיעה‬ ‫עד‬ ‫כי‬ ‫סיפר‬ ‫זה‬ ‫משתתף‬
‫הפרק‬ ‫על‬ ‫עמד‬ ‫לא‬ ‫כלל‬ ‫האפליקטיבית‬
.
‫ע‬ ‫שמובל‬ ‫ארגוני‬ ‫מאמץ‬ ‫נעשה‬ ‫היום‬
"
‫נושא‬ ‫את‬ ‫לשלב‬ ‫המידע‬ ‫אבטחת‬ ‫גוף‬ ‫י‬
‫הפיתוח‬ ‫בשלב‬ ‫עוד‬ ‫האפליקטיבית‬ ‫ההגנה‬
.
‫אית‬ ‫לצורך‬ ‫אוטומטיים‬ ‫סריקה‬ ‫בכלי‬ ‫להשתמש‬ ‫נסיונות‬ ‫היו‬ ‫בעבר‬
‫ור‬
‫באפליקציות‬ ‫פגיעויות‬
.
‫גם‬
‫דגש‬ ‫ומתן‬ ‫בארגון‬ ‫הפיתוח‬ ‫תרבות‬ ‫שינוי‬ ‫הוא‬ ‫הנכון‬ ‫הכיוון‬ ‫כי‬ ‫כיום‬ ‫חושב‬ ‫זה‬ ‫משתתף‬
‫למפתחים‬ ‫אבטחתי‬
.
‫הפרויקטים‬ ‫מנהלי‬ ‫מצד‬ ‫בקשיים‬ ‫פעם‬ ‫לא‬ ‫נתקלים‬ ‫והם‬ ‫מושלם‬ ‫לא‬ ‫כיום‬ ‫אצלם‬ ‫המצב‬
.
‫כרגע‬
‫האור‬
‫יי‬
‫ה‬ ‫לכיוון‬ ‫מוטה‬ ‫בארגון‬ ‫הפיתוחית‬ ‫נטציה‬
delivery
‫אב‬ ‫לכיוון‬ ‫ולא‬
‫המידע‬ ‫טחת‬
.
‫העלה‬ ‫זה‬ ‫משתתף‬
‫אח‬ ‫סטנדרטים‬ ‫על‬ ‫בשמירה‬ ‫הקושי‬ ‫את‬ ‫הוא‬ ‫גם‬
‫בפרוייקט‬ ‫כשמדובר‬ ‫מאובטח‬ ‫פיתוח‬ ‫של‬ ‫ידים‬
‫לארגון‬ ‫מחוץ‬ ‫שנעשה‬ ‫פיתוח‬
.
‫ספק‬ ‫ואין‬ ‫מאוד‬ ‫יורדת‬ ‫המידע‬ ‫אבטחת‬ ‫אנשי‬ ‫של‬ ‫האכיפה‬ ‫אפקטיביות‬ ‫כזה‬ ‫במצב‬
‫בקוד‬ ‫ההגנה‬ ‫ברמת‬ ‫מורגש‬ ‫שהדבר‬
.
‫ב‬ ‫במיוחד‬ ‫חמור‬ ‫המצב‬ ‫כי‬ ‫סיפרו‬ ‫המשתתפים‬
‫מראש‬ ‫שמתומחרים‬ ‫פרויקטים‬
(
fix cost
)
–
‫אבטחתית‬ ‫משמעות‬ ‫עם‬ ‫קוד‬ ‫טעויות‬ ‫לתקן‬ ‫הספק‬ ‫את‬ ‫להביא‬ ‫מאוד‬ ‫קשה‬
.
‫חייבים‬ ‫כך‬ ‫על‬ ‫להתגבר‬ ‫כדי‬
‫התוכנה‬ ‫על‬ ‫הפיקוח‬ ‫תהליך‬ ‫את‬ ‫ולהסדיר‬ ‫התוכנה‬ ‫מספק‬ ‫הנדרשות‬ ‫האבטחה‬ ‫דרישות‬ ‫הן‬ ‫מה‬ ‫ברורה‬ ‫בצורה‬ ‫להגדיר‬
‫הפרוייקט‬ ‫תחילת‬ ‫לפני‬ ‫מראש‬
.
‫לעתים‬
‫עצמ‬ ‫את‬ ‫מוצאים‬
‫שנועדו‬ ‫הספק‬ ‫עם‬ ‫בישיבות‬ ‫הלקוחות‬ ‫ם‬
"
‫להוכיח‬
"
‫שנמצאו‬
‫התיקון‬ ‫בעלות‬ ‫הספק‬ ‫את‬ ‫לחייב‬ ‫מנת‬ ‫על‬ ‫אבטחה‬ ‫פרצות‬
.
‫מדי‬ ‫יותר‬ ‫מתרכז‬ ‫שהדיון‬ ‫הטענה‬ ‫את‬ ‫העלה‬ ‫המשתתפים‬ ‫אחד‬
‫לארגון‬ ‫מחוץ‬ ‫איומים‬ ‫עם‬ ‫בהתמודדות‬
.
‫האיום‬ ‫לדעתו‬
‫מספקת‬ ‫לב‬ ‫תשומת‬ ‫מקבל‬ ‫לא‬ ‫עסקיים‬ ‫ושותפים‬ ‫מעובדים‬ ‫הפנימי‬
.
‫כלומר‬
,
‫יותר‬ ‫להשקיע‬ ‫צריך‬
‫על‬ ‫בהגנה‬
‫פנימיות‬ ‫אפליקציות‬
.
‫איומים‬ ‫מתגלים‬ ‫הזמן‬ ‫שכל‬ ‫אומרים‬ ‫אשר‬ ‫אחרים‬ ‫ממשתתפים‬ ‫גם‬ ‫תמיכה‬ ‫מקבלת‬ ‫הזו‬ ‫הגישה‬
‫שונות‬ ‫זמן‬ ‫בנקודות‬ ‫מערכות‬ ‫אותן‬ ‫את‬ ‫בוחנים‬ ‫כאשר‬ ‫גם‬ ‫חדשים‬
.
‫עם‬ ‫ההתמודדות‬
‫ה‬
‫איום‬
‫הפנימי‬
‫במקביל‬ ‫נעשית‬
‫בנו‬ ‫הארגון‬ ‫מדיניות‬ ‫ובראשם‬ ‫אחרים‬ ‫בערוצים‬ ‫גם‬
‫ניהול‬ ‫שא‬
‫ה‬
‫הרשאות‬
1
.
‫כתוצאה‬ ‫האיום‬ ‫זה‬ ‫משתתף‬ ‫של‬ ‫לדעתו‬
‫קטן‬ ‫הוא‬ ‫רגישות‬ ‫למערכות‬ ‫גישה‬ ‫להם‬ ‫שיש‬ ‫מתכנתים‬ ‫של‬ ‫פלילי‬ ‫שימוש‬ ‫או‬ ‫מחבלה‬
.
‫כתוצאה‬ ‫נזק‬ ‫שיגרם‬ ‫הסיכוי‬
‫יותר‬ ‫גדול‬ ‫רשלנות‬ ‫או‬ ‫אנוש‬ ‫מטעות‬
.
1
‫והרשאות‬ ‫זהויות‬ ‫ניהול‬ ‫על‬ ‫עגול‬ ‫שולחן‬ ‫מפגש‬ ‫בסיכום‬ ‫לנושא‬ ‫התייחסות‬ ‫ראו‬
:
http://www.docsntalks.com/group/security-round-tables/docs/itinerary/rt-summary-idm-iam

‫וחצי‬ ‫שנה‬ ‫לפני‬ ‫התחום‬ ‫על‬ ‫דגש‬ ‫לשים‬ ‫החל‬ ‫הפיננסיים‬ ‫הגופים‬ ‫אחד‬
.
‫בארגונים‬ ‫כמו‬ ‫זה‬ ‫בארגון‬
‫השולחן‬ ‫סביב‬ ‫אחרים‬
‫בארגון‬ ‫מהאפליקציות‬ ‫רבות‬ ‫נכתבות‬
.
‫כי‬ ‫מעריכים‬ ‫זה‬ ‫גוף‬ ‫נציגי‬
‫עד‬ ‫מוקצים‬ ‫רגיש‬ ‫אפליקטיבי‬ ‫פרוייקט‬ ‫בכל‬
15%
‫מידע‬ ‫לאבטחת‬ ‫הפרוייקט‬ ‫תקציב‬ ‫מסך‬
.
‫בדיקות‬ ‫ביצוע‬ ‫לצרכי‬ ‫המידע‬ ‫אבטחת‬ ‫ביחידת‬ ‫תקציבים‬ ‫קיימים‬ ‫בנוסף‬
‫לאפליקצ‬ ‫נקודתי‬ ‫או‬ ‫שוטף‬ ‫באופן‬ ‫סיכונים‬ ‫וסקרי‬ ‫חדירות‬
‫רצות‬ ‫שכבר‬ ‫יות‬
.
‫המצב‬ ‫מבחינתו‬ ‫כי‬ ‫אומר‬ ‫זה‬ ‫ארגון‬ ‫נציג‬
‫פרוייקט‬ ‫התנעת‬ ‫בכל‬ ‫מידע‬ ‫אבטחת‬ ‫איש‬ ‫של‬ ‫מלאה‬ ‫שותפות‬ ‫היה‬ ‫האידאלי‬
.
‫כך‬ ‫זה‬ ‫אין‬ ‫בפועל‬
.
‫חדשים‬ ‫מכרזים‬ ‫לגבי‬
‫שיוצאים‬
:
‫ניתנים‬ ‫הפרוייקט‬ ‫בהתקדמות‬ ‫שלב‬ ‫ובכל‬ ‫מידע‬ ‫אבטחת‬ ‫לסעיפי‬ ‫לב‬ ‫תשומת‬ ‫ניתנת‬ ‫מכרז‬ ‫כל‬ ‫מבניית‬ ‫כחלק‬
‫לפ‬ ‫שלהם‬ ‫הדגשים‬
‫הבא‬ ‫לשלב‬ ‫המעבר‬ ‫ני‬
.
‫מנהלי‬ ‫עם‬ ‫תקופתיות‬ ‫פגישות‬ ‫יוזמים‬ ‫בארגון‬ ‫המידע‬ ‫אבטחת‬ ‫אנשי‬
‫אליהם‬ ‫מסודרת‬ ‫התייחסות‬ ‫ניתנה‬ ‫ולא‬ ‫החלו‬ ‫שכבר‬ ‫פרויקטים‬ ‫לפספס‬ ‫לא‬ ‫כדי‬ ‫בארגון‬ ‫פרויקטים‬
.
‫מקיימת‬ ‫כן‬ ‫כמו‬
‫ה‬ ‫עובדי‬ ‫ולכלל‬ ‫הפיתוח‬ ‫לאנשי‬ ‫עיון‬ ‫וימי‬ ‫הדרכות‬ ‫המידע‬ ‫אבטחת‬ ‫יחידת‬
IT
‫המוד‬ ‫את‬ ‫להעלות‬ ‫מנת‬ ‫על‬
‫לנחיצות‬ ‫עות‬
‫המידע‬ ‫אבטחת‬
.
‫שלהם‬ ‫להנחיות‬ ‫המפתחים‬ ‫מצד‬ ‫מספק‬ ‫לב‬ ‫תשומת‬ ‫חוסר‬ ‫על‬ ‫מתלוננים‬ ‫זה‬ ‫בארגון‬ ‫גם‬
.
‫קשה‬ ‫כן‬ ‫כמו‬
‫באפליקציות‬ ‫מצאו‬ ‫עצמם‬ ‫שהם‬ ‫הליקויים‬ ‫תיקון‬ ‫אחרי‬ ‫מעקב‬ ‫מסודרת‬ ‫בצורה‬ ‫לבצע‬ ‫מאוד‬ ‫להם‬
.
‫שעלו‬ ‫השאלות‬ ‫אחת‬
‫ה‬ ‫בפורום‬
‫י‬
‫בליקויים‬ ‫הטיפול‬ ‫את‬ ‫מסודרת‬ ‫בצורה‬ ‫לנהל‬ ‫ניתן‬ ‫איך‬ ‫א‬
‫בדיקה‬ ‫בכל‬ ‫שנמצאו‬
.
‫בשוק‬ ‫קיימות‬ ‫מערכות‬ ‫אילו‬
‫כך‬ ‫לשם‬
?
(
‫של‬ ‫הפיתרון‬ ‫את‬ ‫כבר‬ ‫מכירים‬ ‫הם‬
Dynasec
)
‫לבד‬ ‫תוכנות‬ ‫מאוד‬ ‫הרבה‬ ‫מפתחים‬ ‫אצלם‬ ‫כי‬ ‫ואמר‬ ‫בארגון‬ ‫אצלו‬ ‫למצב‬ ‫התייחס‬ ‫המשתתפים‬ ‫אחד‬
,
‫לא‬ ‫שקיימות‬ ‫כך‬
‫בסביבה‬ ‫נמצא‬ ‫אינו‬ ‫כבר‬ ‫אותן‬ ‫שפיתח‬ ‫שמי‬ ‫או‬ ‫עבר‬ ‫שלהן‬ ‫החיים‬ ‫שמחזור‬ ‫תוכנות‬ ‫מעט‬
.
‫מדובר‬ ‫רבים‬ ‫במקרים‬
‫ל‬ ‫שמתממשקות‬ ‫ותיקות‬ ‫במערכות‬
‫מ‬
‫חו‬ ‫ומהוות‬ ‫יותר‬ ‫מודרניות‬ ‫ערכות‬
‫ל‬
‫העסק‬ ‫בפעילות‬ ‫חשובה‬ ‫יה‬
.
‫נפוץ‬ ‫זה‬ ‫מצב‬
‫ביטח‬ ‫ובארגוניים‬ ‫פיננסיים‬ ‫בארגונים‬ ‫מאוד‬
‫ו‬
‫ניים‬
.
‫מערכות‬ ‫את‬ ‫חושף‬ ‫העסק‬ ‫בפעילות‬ ‫אלה‬ ‫ישנות‬ ‫מערכות‬ ‫שילוב‬
‫שגרתי‬ ‫לא‬ ‫לאיום‬ ‫הארגון‬
:
‫נעשה‬ ‫התוכנה‬ ‫שכתיבת‬ ‫מכיוון‬
‫לגבי‬ ‫בארגון‬ ‫ידע‬ ‫יש‬ ‫תמיד‬ ‫ולא‬ ‫זמן‬ ‫הרבה‬ ‫לפני‬
‫ש‬ ‫או‬ ‫שלהן‬ ‫הכתיבה‬ ‫מתודולוגיות‬
‫הכתיבה‬ ‫בזמן‬ ‫עליהן‬ ‫חשב‬ ‫לא‬ ‫שאיש‬ ‫במערכות‬ ‫מובנות‬ ‫פגיעויות‬ ‫קיימות‬
,
‫קשה‬
‫הללו‬ ‫האיומים‬ ‫מפני‬ ‫הגנתי‬ ‫מענה‬ ‫למצוא‬ ‫מאוד‬
.
‫להכנס‬ ‫האם‬ ‫היא‬ ‫המקרים‬ ‫ברוב‬ ‫האבטחתית‬ ‫הדילמה‬
"
‫לעובי‬
‫הקורה‬
"
‫או‬ ‫עצמו‬ ‫הקוד‬ ‫את‬ ‫ולבדוק‬
‫היקפי‬ ‫בפיתרון‬ ‫האפליקציה‬ ‫את‬ ‫לעטוף‬ ‫לנסות‬
?
‫מתודול‬
‫הפיתוח‬ ‫במחזור‬ ‫מידע‬ ‫לאבטחת‬ ‫וגיות‬
‫המאובטח‬ ‫הפיתוח‬ ‫לנושא‬ ‫מסודרת‬ ‫מתודולוגיה‬ ‫אצלם‬ ‫שקיימת‬ ‫ארגונים‬ ‫נציגי‬ ‫השתתפו‬ ‫במפגש‬
.
‫אחד‬ ‫נציג‬
‫מפת‬ ‫נוהל‬ ‫על‬ ‫שמבוסס‬ ‫ארגוני‬ ‫נוהל‬ ‫פי‬ ‫על‬ ‫עובדים‬ ‫הם‬ ‫כי‬ ‫סיפר‬ ‫הארגונים‬
"
‫מתודה‬ ‫חברת‬ ‫של‬ ‫ח‬
.
‫נוהג‬ ‫הם‬
‫פי‬ ‫על‬ ‫ים‬
‫הפרוייקט‬ ‫בניהול‬ ‫מידע‬ ‫אבטחת‬ ‫להיבטי‬ ‫הקשור‬ ‫בכל‬ ‫בנוהל‬ ‫הכתוב‬
.
‫אחראי‬ ‫הוא‬ ‫בארגון‬ ‫המידע‬ ‫אבטחת‬ ‫כמנהל‬
‫לדרך‬ ‫שיוצא‬ ‫פרוייקט‬ ‫כל‬ ‫לפני‬ ‫שלו‬ ‫וההמלצות‬ ‫ההנחיות‬ ‫את‬ ‫לתת‬
.
‫מפתחים‬ ‫בין‬ ‫מפרידים‬ ‫הם‬ ‫בארגון‬ ‫אצלם‬
‫לסביבו‬ ‫בפיתוח‬ ‫שעוסקים‬ ‫כאלה‬ ‫לבין‬ ‫לאינטרנט‬ ‫אפליקציות‬ ‫בפיתוח‬ ‫שעוסקים‬
‫פנימיות‬ ‫ת‬
.
‫האינטרנט‬ ‫של‬ ‫המפתחים‬
‫נמצאים‬
‫איתו‬ ‫טוב‬ ‫מאוד‬ ‫בקשר‬
‫גבוהה‬ ‫מאוד‬ ‫בפיתוח‬ ‫המידע‬ ‫אבטחת‬ ‫להיבטי‬ ‫שלהם‬ ‫המודעות‬ ‫ורמת‬
.
‫נושא‬ ‫תיקצוב‬
‫נעשה‬ ‫פרוייקט‬ ‫בכל‬ ‫והבדיקות‬ ‫המידע‬ ‫אבטחת‬
‫המידע‬ ‫אבטחת‬ ‫יחידת‬ ‫תקציב‬ ‫מתוך‬
‫ב‬ ‫ומוערך‬
1%
‫כלל‬ ‫מתוך‬ ‫אחד‬
‫ו‬ ‫בארגון‬ ‫האוכלוסיה‬ ‫כל‬ ‫עבור‬ ‫השוטף‬ ‫התקציב‬
5%
‫עבור‬ ‫מפתחים‬ ‫של‬ ‫אוכלוסיות‬ ‫עבור‬ ‫התקציב‬ ‫מתוך‬ ‫בערך‬
‫חיצוניות‬ ‫אפליקציות‬
.
‫עלות‬ ‫בתוך‬ ‫המידע‬ ‫אבטחת‬ ‫עלות‬ ‫את‬ ‫לתקצב‬ ‫נהוג‬ ‫במשק‬ ‫אחרים‬ ‫מסויימים‬ ‫בארגונים‬
‫את‬ ‫ולחייב‬ ‫הפרוייקט‬
‫המערכת‬ ‫לקוח‬
‫בהוצאות‬
.
‫יותר‬ ‫נפוצה‬ ‫זו‬ ‫מגמה‬
‫בתקציבים‬ ‫וקיצוץ‬ ‫מיתון‬ ‫בזמני‬
‫בתיקצוב‬ ‫או‬
‫רוו‬ ‫יחידות‬ ‫פי‬ ‫על‬
‫ארגוניות‬ ‫ח‬
.
‫נוסף‬ ‫בארגון‬
‫לנושא‬ ‫מתייחסים‬
‫לב‬ ‫תשומת‬ ‫ביתר‬
‫ו‬
‫גבוהה‬ ‫מאוד‬ ‫לנושא‬ ‫הרגישות‬
.
‫ולכן‬ ‫ברגולציה‬ ‫מחוייב‬ ‫זה‬ ‫ארגון‬
‫הרגולטור‬ ‫מהוראות‬ ‫נגזר‬ ‫האפליקטיבית‬ ‫ההגנה‬ ‫בנושא‬ ‫הטיפול‬ ‫מתודולוגיית‬
.
‫שמתבסס‬ ‫נוהל‬ ‫פותח‬ ‫זה‬ ‫בארגון‬ ‫גם‬
‫מפת‬ ‫נוהל‬ ‫על‬
"
‫מורחב‬ ‫ח‬
,
‫בש‬ ‫מתחיל‬ ‫מידע‬ ‫באבטחת‬ ‫כשהטיפול‬
‫הפרוייקט‬ ‫ייזום‬ ‫לב‬
.
‫ה‬ ‫רוב‬ ‫זה‬ ‫בארגון‬
‫אפליקציות‬
‫גבוה‬ ‫כסיכון‬ ‫מסווגות‬
‫ל‬ ‫הוקצה‬ ‫ולכן‬
‫בתחום‬ ‫האתגרים‬ ‫עם‬ ‫להתמודדות‬ ‫כסף‬ ‫מאוד‬ ‫הרבה‬ ‫עניין‬
.
‫אבטחת‬ ‫תיקצוב‬
‫כפרוי‬ ‫הוגדר‬ ‫הפיתוח‬ ‫בתהליך‬ ‫המידע‬
‫קט‬
‫בדיקות‬ ‫עבור‬ ‫התקציבים‬ ‫יצאו‬ ‫ומשם‬ ‫הרגולטור‬ ‫הוראות‬ ‫בעקבות‬ ‫עצמאי‬
‫בממצאים‬ ‫והטיפול‬ ‫חדירות‬
‫הקרובות‬ ‫בשנים‬
.
‫בין‬ ‫הפעילות‬ ‫את‬ ‫שמתאם‬ ‫מלאה‬ ‫במשרה‬ ‫עובד‬ ‫מרכז‬ ‫הפרוייקט‬ ‫את‬
‫והבדיקות‬ ‫הפיקוח‬ ‫לגופי‬ ‫הפיתוח‬ ‫גופי‬
.
‫המידע‬ ‫אבטחת‬ ‫למנהל‬ ‫מדווח‬ ‫הוא‬
.
‫כי‬ ‫להגיד‬ ‫חשוב‬
‫איננו‬ ‫הנוהל‬
‫צ‬
'
‫ליסט‬ ‫ק‬

‫ג‬
'
‫נרי‬
,
‫אלא‬
‫מסודרת‬ ‫התייחסות‬ ‫יש‬ ‫חדש‬ ‫פרוייקט‬ ‫בכל‬
‫המידע‬ ‫אבטחת‬ ‫להיבטי‬
‫לפרוייקט‬ ‫הרלוונטים‬
.
‫אחר‬
‫תחום‬ ‫אי‬
‫אילו‬ ‫או‬ ‫ניטור‬ ‫רמת‬ ‫איזו‬ ‫מגדיר‬ ‫מאובטח‬ ‫פיתוח‬
‫מערכת‬ ‫לכל‬ ‫צריך‬ ‫בדיקות‬ ‫סוגי‬
‫חדשה‬
.
‫נושא‬ ‫את‬ ‫מסדיר‬ ‫הוא‬ ‫כן‬ ‫כמו‬
‫למתכנתים‬ ‫התקופתיות‬ ‫ההדרכות‬
.
‫בפיתרון‬ ‫שימוש‬ ‫עושים‬ ‫בארגון‬
‫מסחרי‬
‫מאובטח‬ ‫קוד‬ ‫לכתיבת‬
.
‫ארגון‬ ‫בכל‬ ‫כמו‬
,
‫פתרונות‬ ‫לתפור‬ ‫בבעיות‬ ‫נתקלים‬ ‫ולפעמים‬ ‫חלק‬ ‫הולך‬ ‫הכל‬ ‫לא‬
‫מידע‬ ‫אבטחת‬
,
‫בשפות‬ ‫שכתובות‬ ‫למערכות‬ ‫במיוחד‬
‫ותיקות‬
.
‫ומקפידים‬ ‫מידע‬ ‫אבטחת‬ ‫משיקולי‬ ‫לאוויר‬ ‫פרוייקט‬ ‫עליית‬ ‫בעיכוב‬ ‫הבעייתיות‬ ‫את‬ ‫מבינים‬ ‫בהחלט‬ ‫זה‬ ‫בארגון‬
‫הפיתוח‬ ‫למנהלי‬ ‫ובצמוד‬ ‫מסודר‬ ‫לעבור‬ ‫מאוד‬
.
‫סיפר‬ ‫הארגונים‬ ‫אחד‬ ‫נציג‬
‫זה‬ ‫בהקשר‬
,
‫לא‬ ‫הסכם‬ ‫יש‬ ‫שלו‬ ‫שבארגון‬
‫כל‬ ‫לפיו‬ ‫כתוב‬
‫המע‬ ‫עוד‬
‫משתמשים‬ ‫של‬ ‫קטן‬ ‫מספר‬ ‫משרתת‬ ‫החדשה‬ ‫רכת‬
(
5-10
)
‫גם‬ ‫לאוויר‬ ‫עלייתה‬ ‫את‬ ‫מעכבים‬ ‫לא‬
‫מידע‬ ‫אבטחת‬ ‫על‬ ‫התפשרות‬ ‫במחיר‬
.
‫משתמשים‬ ‫שנוספים‬ ‫ברגע‬
‫למערכת‬
–
‫של‬ ‫יותר‬ ‫נוקשים‬ ‫חוקים‬ ‫עליה‬ ‫חלים‬
‫אבטחה‬
.
‫אחרים‬ ‫ובארגונים‬ ‫זה‬ ‫בארגון‬
‫השולחן‬ ‫סביב‬
‫קיימים‬
‫שבה‬ ‫מידע‬ ‫אבטחת‬ ‫לענייני‬ ‫פורומים‬
‫מנה‬ ‫יושבים‬ ‫ם‬
‫לים‬
‫בכירים‬
.
‫אבטחת‬ ‫בסעיף‬ ‫התפשרות‬ ‫במחיר‬ ‫גם‬ ‫לאוויר‬ ‫פרויקטים‬ ‫עליית‬ ‫לגבי‬ ‫החלטות‬ ‫מתקבלות‬ ‫הזה‬ ‫בפורום‬
‫המידע‬
.
‫קשות‬ ‫בהחלטות‬ ‫אחת‬ ‫לא‬ ‫מדובר‬
,
‫להחלטות‬ ‫חזק‬ ‫גב‬ ‫שייתן‬ ‫בפורום‬ ‫צורך‬ ‫יש‬ ‫ותחרותי‬ ‫דימני‬ ‫בארגון‬ ‫אבל‬
‫מ‬ ‫חלק‬ ‫עם‬ ‫לחיות‬ ‫שמשמעותן‬
‫הסיכונים‬
.
‫המידע‬ ‫אבטחת‬ ‫לאנשי‬ ‫הפיתוח‬ ‫אנשי‬ ‫בין‬ ‫הגומלין‬ ‫יחסי‬ ‫על‬ ‫סיפר‬ ‫נוסף‬ ‫ציבורי‬ ‫גוף‬
.
‫אבטחת‬ ‫מעורבות‬ ‫בארגון‬ ‫אצלם‬
‫הפרוייקט‬ ‫של‬ ‫הראשונים‬ ‫בשלבים‬ ‫החל‬ ‫נעשית‬ ‫המידע‬
.
‫שיתוף‬ ‫העדר‬ ‫היא‬ ‫מבחינתם‬ ‫המרכזיות‬ ‫הבעיות‬ ‫אחת‬
‫מהמקרים‬ ‫בחלק‬ ‫פעולה‬
.
‫הצידה‬ ‫ונדחקת‬ ‫פעם‬ ‫לא‬ ‫מפריע‬ ‫כגורם‬ ‫נתפסת‬ ‫מידע‬ ‫אבטחת‬
.
‫מיתון‬ ‫בעת‬ ‫חיצוניים‬ ‫שירותים‬
‫וסקרי‬ ‫חדירות‬ ‫מבדקי‬ ‫ביצוע‬ ‫לצורך‬ ‫חיצוניות‬ ‫חברות‬ ‫של‬ ‫בשירותים‬ ‫שימוש‬ ‫נעשה‬ ‫בארגונם‬ ‫כי‬ ‫מספרים‬ ‫המשתתפים‬
‫סיכונים‬
.
‫בדר‬
"
‫קבועות‬ ‫בחברות‬ ‫מדובר‬ ‫כ‬
,
‫מהלקוח‬ ‫תקופתית‬ ‫דרישה‬ ‫פי‬ ‫על‬ ‫וסריקות‬ ‫מבדקים‬ ‫מבצעות‬ ‫אשר‬
.
‫אחת‬
‫השפעת‬ ‫לגבי‬ ‫היא‬ ‫במפגש‬ ‫שעלתה‬ ‫השאלות‬
‫השיר‬ ‫מחירי‬ ‫על‬ ‫המיתון‬
‫השירות‬ ‫איכות‬ ‫ועל‬ ‫ותים‬
.
‫היא‬ ‫הטענות‬ ‫אחת‬
‫החדירות‬ ‫מבדקי‬ ‫בתחום‬ ‫הקשה‬ ‫והתחרות‬ ‫המיתון‬ ‫שעקב‬
,
‫וירידה‬ ‫מחירים‬ ‫ירידת‬ ‫קיימת‬
‫נמנעת‬ ‫בלתי‬
‫ברמת‬
‫השירות‬
‫מכך‬ ‫כתוצאה‬
.
‫הם‬ ‫כי‬ ‫ציינו‬ ‫לנקודה‬ ‫שהתייחסו‬ ‫המשתתפים‬
‫כתוצאה‬ ‫השירות‬ ‫באיכות‬ ‫בירידה‬ ‫מבחינים‬ ‫לא‬
‫מהמיתון‬
,
‫בחל‬ ‫אך‬
‫של‬ ‫בשיעורים‬ ‫בעלויות‬ ‫לקצץ‬ ‫הספקים‬ ‫התבקשו‬ ‫מהמקרים‬ ‫ק‬
10%-15%
‫הארגון‬ ‫ממאמצי‬ ‫כחלק‬
‫בעלויות‬ ‫לחסוך‬
.
‫ולפיה‬ ‫בישראל‬ ‫המידע‬ ‫מערכות‬ ‫בשוק‬ ‫הכללית‬ ‫למגמה‬ ‫דומה‬ ‫זו‬ ‫מגמה‬
‫השירות‬ ‫ספקי‬ ‫על‬ ‫הלחץ‬
‫המשבר‬ ‫בזמן‬ ‫עולה‬
‫בעלויות‬ ‫לקצץ‬ ‫נדרשים‬ ‫והם‬
.
‫לשוק‬ ‫דוגמא‬ ‫הוא‬ ‫החדירות‬ ‫מבדקי‬ ‫שוק‬ ‫כמו‬ ‫תחרותי‬ ‫שוק‬
‫נקודת‬ ‫בו‬
‫הצרכנים‬ ‫עם‬ ‫מטיבה‬ ‫הספקים‬ ‫על‬ ‫השירות‬ ‫צרכני‬ ‫של‬ ‫הלחץ‬
.
‫אפל‬ ‫להגנה‬ ‫משלימים‬ ‫פתרונות‬
‫יקטיבית‬
‫כמו‬ ‫בפתרונות‬ ‫שימוש‬ ‫היא‬ ‫הארגוניות‬ ‫לאפליקציות‬ ‫נוספת‬ ‫הגנה‬ ‫שכבת‬ ‫להוסיף‬ ‫השיטות‬ ‫אחת‬
web application
firewall
(
WAF
.)
‫מאובטח‬ ‫פיתוח‬ ‫של‬ ‫בריא‬ ‫לתהליך‬ ‫תחליף‬ ‫מהווה‬ ‫אינה‬ ‫זו‬ ‫שכבה‬
‫שמכנים‬ ‫בתעשייה‬ ‫גורמים‬ ‫ויש‬
‫אותה‬
"
‫פלסתר‬
"
.
‫של‬ ‫בפיתרון‬ ‫שבוחרים‬ ‫לארגונים‬ ‫הקריטיות‬ ‫הנקודות‬ ‫אחת‬
WAF
‫עניין‬ ‫הוא‬
‫לתחזוקה‬ ‫שנדרשת‬ ‫האדם‬ ‫כוח‬ ‫הקצאת‬
‫הכלי‬ ‫של‬ ‫השוטפת‬
.
‫ה‬ ‫תפעול‬ ‫כי‬ ‫סיפר‬ ‫המשתתפים‬ ‫אחד‬
WAF
‫של‬ ‫הקצאה‬ ‫דורש‬ ‫אצלו‬
‫שוטף‬ ‫באופן‬ ‫משרה‬ ‫חצי‬
‫שלו‬ ‫הפנימי‬ ‫האדם‬ ‫כוח‬ ‫מתוך‬
.
‫אחד‬ ‫מעובד‬ ‫יותר‬ ‫בין‬ ‫שמתחלקת‬ ‫משרה‬ ‫של‬ ‫בהיקף‬ ‫מדובר‬ ‫מסויימים‬ ‫במקרים‬
,
‫במקביל‬ ‫יכולות‬ ‫מספר‬ ‫שמשלבים‬ ‫בכלים‬ ‫במיוחד‬
.
‫מידע‬ ‫אבטחת‬ ‫בנושאי‬
,
‫הלוגים‬ ‫ניתוח‬ ‫הוא‬ ‫העבודה‬ ‫עיקר‬
‫ומשמעותם‬ ‫במערכת‬
,
‫כלומר‬
‫מה‬
‫הן‬
‫שיש‬ ‫ההתקפות‬
?
‫איתן‬ ‫ההתמודדות‬ ‫דרכי‬ ‫לגבי‬ ‫והבנה‬
.
‫ארגונ‬ ‫כי‬ ‫סיפר‬ ‫המשתתפים‬ ‫אחד‬
‫פיתרון‬ ‫של‬ ‫בחינה‬ ‫במהלך‬ ‫נמצא‬ ‫ו‬
WAF
.
‫דרישות‬ ‫מספר‬ ‫לארגונו‬
‫חשובות‬
‫מפיתרון‬
‫מספר‬ ‫של‬ ‫תחזוקה‬ ‫למשל‬ ‫כמו‬ ‫כזה‬
URL
‫כלי‬ ‫אותו‬ ‫על‬
,
‫טוב‬ ‫פיתרון‬ ‫ומציאת‬ ‫הארגון‬ ‫של‬ ‫פנימיות‬ ‫באפליקציות‬ ‫טיפול‬
‫הכלי‬ ‫של‬ ‫שוטפת‬ ‫לתחזוקה‬
.
‫בשוק‬ ‫מהפתרונות‬ ‫חלק‬
,
‫למשל‬ ‫כמו‬
F5
,
‫מובנה‬ ‫עומסים‬ ‫איזון‬ ‫פיתרון‬ ‫מציעים‬
‫בתוך‬

‫הכלי‬
.
‫ש‬ ‫אומר‬ ‫הזה‬ ‫הארגון‬ ‫נציג‬
‫הזה‬ ‫במוצר‬ ‫להם‬ ‫חיוני‬ ‫אינו‬ ‫זה‬ ‫מודול‬
.
‫לעומתו‬
,
‫בשיקול‬ ‫מדובר‬ ‫אחרים‬ ‫בארגונים‬
‫אחרת‬ ‫או‬ ‫כזו‬ ‫מערכת‬ ‫לבחירת‬ ‫מאוד‬ ‫חשוב‬
.
‫משתתף‬
‫מסויים‬
‫סיפר‬
‫בשוק‬ ‫המוכרים‬ ‫הפתרונות‬ ‫באחד‬ ‫שימוש‬ ‫עושים‬ ‫הם‬ ‫כי‬
.
‫ארוכה‬ ‫תקופה‬ ‫כבר‬ ‫מוטמע‬ ‫הפיתרון‬
‫ל‬ ‫הגיעו‬ ‫לא‬ ‫הם‬ ‫עדיין‬ ‫אך‬
‫במיוחד‬ ‫גבוהה‬ ‫הטמעה‬ ‫רמה‬
.
‫ספק‬ ‫את‬ ‫מכך‬ ‫כתוצאה‬ ‫החליפו‬ ‫אף‬ ‫התקופה‬ ‫במהלך‬
‫השירות‬
.
‫ה‬ ‫תחזוקת‬ ‫בנושא‬ ‫שלהם‬ ‫ההתלבטויות‬ ‫אחת‬
WAF
‫זאת‬ ‫לבצע‬ ‫צריך‬ ‫בארגון‬ ‫מי‬ ‫היא‬
?
‫מתוחזק‬ ‫הכלי‬ ‫כרגע‬
‫ע‬
"
‫ה‬ ‫בנושא‬ ‫גם‬ ‫שמטפל‬ ‫רשת‬ ‫טכנאי‬ ‫י‬
FW
‫ו‬
IPS
.
‫ע‬ ‫התחזוקה‬ ‫את‬ ‫לבצע‬ ‫יותר‬ ‫ראוי‬ ‫אולי‬
"
‫אפליקטיבי‬ ‫צוות‬ ‫איש‬ ‫י‬
‫הכלי‬ ‫לייעוד‬ ‫שלו‬ ‫השוטפת‬ ‫הפעילות‬ ‫באופי‬ ‫קרוב‬ ‫שיותר‬
.
‫במפגש‬ ‫לנאמר‬ ‫ספקים‬ ‫תגובות‬
:
Netcom
(
‫מלם‬
-
‫תקשורת‬ ‫תים‬
:)
‫פכלר‬ ‫נעם‬
:
052-6039499
,
noam_f@malam.com
‫נטקום‬ ‫חברת‬
(
‫מלם‬
-
)
‫באפיון‬ ‫מתמחה‬
,
‫יישום‬
,
‫הטמעה‬
‫אבטחת‬ ‫טכנולוגיות‬ ‫של‬ ‫ותחזוקה‬
‫מתקדמות‬ ‫מידע‬
.
‫נטקום‬
(
‫מלם‬
-
)
‫מספקת‬
‫רשת‬ ‫אבטחת‬ ‫פתרונות‬ ‫ללקוחותיה‬
,
‫אפליקטיבית‬ ‫אבטחה‬
,
‫ניהול‬
‫ואיומים‬ ‫סיכונים‬
,
‫מידע‬ ‫אבטחת‬ ‫מערך‬ ‫לניהול‬ ‫פתרונות‬
,
‫והרשאות‬ ‫משתמשים‬ ‫ניהול‬
,
‫קצה‬ ‫תחנות‬ ‫אבטחת‬
,
‫נוספים‬ ‫ופתרונות‬ ‫מידע‬ ‫זליגת‬ ‫מניעת‬
.
‫ע‬ ‫בנטקום‬ ‫מיושם‬ ‫האפליקטיבית‬ ‫האבטחה‬ ‫תחום‬
"
‫תמיכה‬ ‫שירותי‬ ‫המשלבת‬ ‫ייעודית‬ ‫טכנולוגית‬ ‫יחידה‬ ‫י‬
,
‫כגון‬ ‫יצרניות‬ ‫עם‬ ‫אסטרטגיות‬ ‫שותפויות‬ ‫על‬ ‫המבוססים‬ ‫פתרונות‬ ‫ויישום‬ ‫תפעול‬ ‫שירותי‬
:
Imperva, Cisco,
F5, Symantec
‫ועוד‬
'
.
‫פ‬ ‫מפעילות‬ ‫וכן‬ ‫האפליקטיבית‬ ‫האבטחה‬ ‫בתחום‬ ‫כלליות‬ ‫מגמות‬ ‫מניתוח‬
‫למדים‬ ‫אנו‬ ‫לקוחות‬ ‫עם‬ ‫רויקטאלית‬
‫מכיל‬ ‫נתונים‬ ‫מרכז‬ ‫כל‬ ‫וכי‬ ‫האפליקטיבית‬ ‫ברמה‬ ‫איומים‬ ‫של‬ ‫גוברת‬ ‫כמות‬ ‫עם‬ ‫מתמודדים‬ ‫כיום‬ ‫שארגונים‬
‫מערכתית‬ ‫לפריצה‬ ‫לשמש‬ ‫שיכולה‬ ‫אחת‬ ‫תורפה‬ ‫נקודת‬ ‫לפחות‬
.
‫ה‬ ‫מערך‬ ‫של‬ ‫הפגיעות‬ ‫רמת‬
IT
‫כגון‬ ‫יחסית‬ ‫פשוטות‬ ‫מפרצות‬ ‫לנוע‬ ‫יכול‬
Directory Traversal
‫או‬
Cross-
site scripts
‫פקודות‬ ‫המבוססים‬ ‫יותר‬ ‫מורכבים‬ ‫לאיומים‬ ‫ועד‬
SQL
,
‫בשפת‬ ‫פרצות‬
PHP
‫ו‬
XML
‫ואיומים‬
‫נוספים‬
.
‫אפליקציות‬ ‫לניטור‬ ‫פתרונות‬ ‫לשלב‬ ‫הרשתית‬ ‫האבטחה‬ ‫מתחום‬ ‫יצרנים‬ ‫הובילה‬ ‫האיומים‬ ‫ברמת‬ ‫העלייה‬
‫ע‬ ‫הרשת‬ ‫בשכבת‬ ‫כבר‬ ‫ותהליכים‬
"
‫מערכות‬ ‫של‬ ‫יישום‬ ‫י‬
NG FW, NBAD
‫נוספות‬ ‫וטכנולוגיות‬
.
‫בנטקום‬ ‫אנו‬ ‫השונות‬ ‫והאפליקציות‬ ‫הנתונים‬ ‫של‬ ‫האבטחה‬ ‫רמת‬ ‫על‬ ‫המשפיעים‬ ‫רבים‬ ‫גורמים‬ ‫שיש‬ ‫כיוון‬
‫אבטחה‬ ‫שכבות‬ ‫מספר‬ ‫של‬ ‫ויישום‬ ‫לנושא‬ ‫הוליסטית‬ ‫גישה‬ ‫מחייבת‬ ‫אפליקטיבית‬ ‫שאבטחה‬ ‫מאמינים‬
(Security Tiers)
‫הבא‬ ‫המודל‬ ‫לפי‬
:

One1
‫אבירם‬ ‫אסף‬
,
054-4971747
,
asafa@one1.co.il
‫רקע‬
–
‫באינטרנט‬ ‫גלישה‬
–
‫אסטרטגי‬ ‫עסקי‬ ‫מנוף‬
-
+
‫ע‬
"
‫י‬
Jetro Secure Browsing
‫הצורך‬
‫באינטרנט‬ ‫גלישה‬
‫יומיים‬ ‫היום‬ ‫העבודה‬ ‫מכלי‬ ‫נפרד‬ ‫בלתי‬ ‫חלק‬ ‫להיות‬ ‫הפכה‬
‫הארגונים‬ ‫במרבית‬ ‫מאוד‬ ‫רחב‬ ‫תפקידים‬ ‫במגוון‬ ‫רבים‬ ‫עובדים‬ ‫של‬
.
‫למדע‬ ‫ניגשות‬
‫זו‬ ‫במידיה‬ ‫הזמין‬
,
‫ביותר‬ ‫המעודכנת‬ ‫המדיה‬ ‫הינה‬ ‫אשר‬
" (
‫אמת‬ ‫בזמן‬ ‫עדכני‬ ‫מידע‬
"
)
‫ימינו‬ ‫של‬ ‫התחרותי‬ ‫בעולם‬ ‫קיומי‬ ‫הכרח‬ ‫הינה‬
.
‫המחשו‬ ‫ומערך‬ ‫הארגון‬ ‫פתיחת‬
‫לביטחון‬ ‫רבים‬ ‫סיכונים‬ ‫בחובה‬ ‫צופנת‬ ‫לאינטרנט‬ ‫ב‬
‫הארגוני‬ ‫המידע‬
,
‫התקין‬ ‫תפקודו‬ ‫ולהמשך‬ ‫לשלמותו‬
.
‫נוקטים‬ ‫ארגונים‬ ‫אלו‬ ‫איומים‬ ‫בשל‬
‫שונות‬ ‫מיגון‬ ‫ברמות‬
‫הארגון‬ ‫על‬ ‫הקיימת‬ ‫האיום‬ ‫לרמת‬ ‫בהתאם‬
.
‫רגיש‬ ‫שהארגון‬ ‫ככל‬
‫יותר‬
‫תגב‬ ‫ובהתאם‬ ‫לפגיעה‬ ‫יותר‬ ‫לאטרקטיבי‬ ‫הופך‬ ‫הוא‬ ‫יותר‬ ‫רגיש‬ ‫מידע‬ ‫ובעל‬
‫האבטחה‬ ‫רמת‬ ‫ר‬
‫שלו‬
.
‫רא‬ ‫תקנת‬ ‫הן‬
"
‫ם‬
,
‫הוראה‬
257
‫והוראה‬
357
‫מידע‬ ‫אבטחת‬ ‫נושא‬ ‫על‬ ‫אמונים‬ ‫אשר‬
,
‫במפורש‬ ‫מגדירים‬
‫איסור‬ ‫חל‬ ‫כי‬
‫קיימת‬ ‫אם‬ ‫אלא‬ ‫לאינטרנט‬ ‫משתמשים‬ ‫חיבור‬ ‫של‬ ‫מוחלט‬
‫מחלטת‬ ‫מערכות‬ ‫הפרדת‬
.
‫היכולת‬ ‫תהיה‬ ‫אחת‬ ‫עבודה‬ ‫שלתחנת‬ ‫מוחלט‬ ‫איסור‬ ‫חל‬ ‫דהיינו‬
‫ו‬ ‫הפנימית‬ ‫לרשת‬ ‫גם‬ ‫להתחבר‬
‫לאינטרנט‬ ‫גם‬
.

‫המוצע‬ ‫הפתרון‬
‫הקמת‬ ‫לצורך‬ ‫טרמינל‬ ‫שרתי‬ ‫בתשתיות‬ ‫שימוש‬ ‫הינו‬ ‫מתודולוגית‬ ‫המומלץ‬ ‫הפתרון‬
‫הארגונית‬ ‫לרשת‬ ‫מחוץ‬ ‫וירטואלית‬ ‫גלישה‬ ‫סביבת‬
.
‫ג‬ ‫חברת‬ ‫של‬ ‫הפתרון‬
'
‫בפתרונות‬ ‫בעולם‬ ‫המתמחה‬ ‫טרו‬
SBC
‫הינו‬
‫מאובטחת‬ ‫לגלישה‬
,
‫תפיסה‬ ‫על‬ ‫המבוסס‬
‫ע‬ ‫נעשית‬ ‫הגלישה‬ ‫בה‬
"
‫וירטואליות‬ ‫תשתיות‬ ‫ג‬
‫וייעודית‬ ‫מבודדת‬ ‫שרתים‬ ‫בחוות‬
.
‫רבים‬ ‫קונפליקטים‬ ‫כי‬ ‫במפורש‬ ‫צויין‬ ‫בפורום‬
,
‫ארגוניים‬ ‫פנים‬
,
‫רצון‬ ‫עקב‬ ‫הינם‬
‫מידע‬ ‫אבטחת‬ ‫להגברת‬
,
‫שבד‬
"
‫המשתמש‬ ‫נוחות‬ ‫חשבון‬ ‫על‬ ‫מגיעה‬ ‫כ‬
,
‫כן‬ ‫ועל‬
‫לכך‬ ‫רבה‬ ‫חשיבות‬
‫שהפתרון‬
‫למשתמש‬ ‫העבודה‬ ‫שקיפות‬ ‫על‬ ‫דגש‬ ‫שם‬
‫על‬ ‫ושמירה‬
‫הוא‬ ‫אליה‬ ‫שימוש‬ ‫חווית‬
‫לאינטרנט‬ ‫גישה‬ ‫המורשה‬ ‫מחשב‬ ‫על‬ ‫עבודתו‬ ‫בעת‬ ‫רגיל‬
.
‫הארגון‬ ‫של‬ ‫והפרודוקטיביות‬ ‫המידע‬ ‫אבטחת‬ ‫הגברת‬ ‫תוך‬ ‫זאת‬ ‫כל‬
.
‫הפתרון‬ ‫יתרונות‬

‫החיצונית‬ ‫המשתמשים‬ ‫ספריית‬ ‫של‬ ‫לחלוטין‬ ‫אוטומטי‬ ‫ניהול‬

‫ב‬ ‫טיפול‬
cookies

‫שקיפ‬
‫מוחלטת‬ ‫משתמש‬ ‫ות‬
(
‫שימוש‬
,
‫והזדהות‬
)

‫ב‬ ‫דפדפן‬ ‫של‬ ‫אוטומטית‬ ‫הפעלה‬
DMZ
/
‫הקישור‬ ‫לתוכן‬ ‫בהתאם‬ ‫מקומי‬

‫הצפנה‬
‫כל‬ ‫וצמצום‬
‫ל‬ ‫התקשרויות‬
IP
‫בודד‬

‫נבחרים‬ ‫אובייקטים‬ ‫סנכרון‬
(
‫מועדפים‬ ‫כגון‬
)

‫המידע‬ ‫אבטחת‬ ‫הגברת‬

‫אקוטי‬ ‫ביצועים‬ ‫שיפור‬

‫הדפסות‬ ‫הלבנת‬

‫פלאש‬ ‫בקבציי‬ ‫טיפול‬

‫מנועים‬
‫פילוח‬ ‫לפי‬ ‫מורשים‬ ‫משתמשים‬ ‫לקבוצות‬ ‫והפצתם‬ ‫הכוללים‬ ‫קבצים‬ ‫להלבנת‬
‫תוכן‬ ‫ובדיקת‬
:
o
‫וירוס‬ ‫אנטי‬ ‫בדיקות‬
o
‫קוד‬ ‫בדיקות‬
o
‫בדיקות‬
"
‫מילונים‬
"
o
‫קבצים‬ ‫ופריסת‬ ‫זיהוי‬ ‫בדיקות‬
,
‫הקובץ‬ ‫סוג‬ ‫של‬ ‫מוחלט‬ ‫וידויי‬
o
‫ע‬ ‫הארגון‬ ‫מדיניות‬ ‫החלת‬
"
‫מוקשחים‬ ‫קריטריונים‬ ‫פ‬

‫לכך‬ ‫בנוסף‬
-
‫חלק‬ ‫כי‬ ‫בפורום‬ ‫צויין‬
‫כתוצאה‬ ‫נגרם‬ ‫בארגון‬ ‫מהפגיעות‬ ‫גדול‬
‫המשתמשים‬ ‫של‬ ‫ידע‬ ‫מחוסר‬
-
‫עויינים‬ ‫לאתרים‬ ‫גלישה‬
,
‫הפרדה‬ ‫קיימת‬ ‫לא‬ ‫כאשר‬
‫הארגון‬ ‫של‬ ‫הקריטיות‬ ‫לאפליקציות‬ ‫האינטרנט‬ ‫סביבת‬ ‫בין‬ ‫מוחלטת‬
,
‫עלולה‬
‫הארגון‬ ‫של‬ ‫להשבתה‬ ‫לגרום‬
(
‫לפני‬ ‫שנפגעה‬ ‫האמריקאית‬ ‫חשמל‬ ‫חברת‬ ‫לראייה‬
‫האינטרנט‬ ‫דרך‬ ‫שחדר‬ ‫מוירוס‬ ‫כחודש‬
.)
‫לאפליקציות‬ ‫האינטרנט‬ ‫סביבת‬ ‫בין‬ ‫וירטואלית‬ ‫להפרדה‬ ‫גורם‬
‫ומונע‬ ‫ארגוניות‬ ‫הפנים‬
‫טעויות‬ ‫גם‬
,
‫תמימים‬ ‫ממשתמשים‬ ‫כתוצאה‬ ‫להיגרם‬ ‫שעלולות‬
,
‫הנ‬ ‫לאיומים‬ ‫מודעים‬ ‫שאינם‬
"
‫ל‬
.
SAP
‫נוי‬ ‫רותם‬
,
052-8342252
,
rothem.noy@sap.com
‫חברת‬ ‫התייחסות‬ ‫להלן‬
SAP ISRAEL
‫מידע‬ ‫אבטחת‬ ‫בתחום‬ ‫עגול‬ ‫שולחן‬ ‫במסגרת‬ ‫הועלו‬ ‫אשר‬ ‫מהנושאים‬ ‫לשניים‬
‫בארגונים‬
:
‫פנימיות‬ ‫אפליקציות‬ ‫על‬ ‫הגנה‬
‫המקבל‬ ‫נושא‬ ‫הינו‬ ‫ארגוניות‬ ‫למערכות‬ ‫וגישה‬ ‫הרשאות‬ ‫ניהול‬
‫ארגונים‬ ‫בקרב‬ ‫וגוברת‬ ‫הולכת‬ ‫לב‬ ‫תשומת‬
.
‫בארגו‬ ‫רב‬ ‫זמן‬ ‫מיושמת‬ ‫הארגונית‬ ‫שהמערכת‬ ‫ככל‬ ‫ויורדת‬ ‫הולכת‬ ‫למערכות‬ ‫וגישה‬ ‫הרשאות‬ ‫לסיכוני‬ ‫הבקרה‬ ‫רמת‬
‫ן‬
:

‫סיכוני‬
‫למערכות‬ ‫גישה‬
‫ו‬
‫ארגוניות‬ ‫ומערכות‬ ‫עסקיים‬ ‫תהליכים‬ ‫פני‬ ‫על‬ ‫מתפשטים‬ ‫הרשאות‬
.

‫המקודמים‬ ‫משתמשים‬ ‫של‬ ‫הרשאות‬ ‫הפרדת‬ ‫בסיכוני‬ ‫טיפול‬
‫כנדרש‬ ‫מטופל‬ ‫אינו‬ ‫בארגון‬
.

‫ולאנשי‬ ‫למתכנתים‬ ‫גם‬ ‫כמו‬ ‫מפתח‬ ‫למשתמשי‬
IT
‫ורגיש‬ ‫חשוב‬ ‫למידע‬ ‫גישה‬
.

‫כנדרש‬ ‫ומבוקר‬ ‫מסודר‬ ‫אינו‬ ‫ההרשאות‬ ‫מתן‬ ‫תהליך‬
.
‫נקודתי‬ ‫ליקוי‬ ‫תיקון‬ ‫הינו‬ ‫גם‬ ‫כמו‬ ‫מהארגון‬ ‫רבים‬ ‫משאבים‬ ‫צורך‬ ‫הרשאה‬ ‫מסיכוני‬ ‫הנובעים‬ ‫בליקויים‬ ‫טיפול‬ ‫כי‬ ‫נמצא‬
‫זמן‬ ‫לאורך‬ ‫ולא‬
.
‫לחברת‬
SAP
‫חבילת‬
‫פתרו‬
‫נות‬
‫ההרשאות‬ ‫הפרדת‬ ‫סיכוני‬ ‫בניהול‬ ‫מצורך‬ ‫הנובעת‬ ‫המידע‬ ‫אבטחת‬ ‫ובקרה‬ ‫לניהול‬
‫פתרון‬ ‫במסגרת‬ ‫למערכות‬ ‫והגישה‬
GRC Access Control
.
‫מ‬ ‫למעלה‬
-
600
‫לקוחות‬
‫העולם‬ ‫ברחבי‬
‫משתמשים‬
‫פתרונות‬ ‫בחבילת‬
GRC AC
‫לניהול‬
‫בקרת‬ ‫בתהליך‬ ‫שלב‬ ‫כל‬
‫גיש‬
‫ות‬
‫והרשא‬
‫ות‬
‫ארגוניות‬ ‫למערכות‬
.
‫המערכ‬
‫משויכות‬ ‫אלה‬ ‫ופעולות‬ ‫במידה‬ ‫אשר‬ ‫וסיכונים‬ ‫חוקים‬ ‫של‬ ‫סט‬ ‫כוללת‬ ‫ת‬
‫הסיכון‬ ‫להסרת‬ ‫אמת‬ ‫בזמן‬ ‫תפעולי‬ ‫טיפול‬ ‫מאפשרת‬ ‫ואף‬ ‫מתריעה‬ ‫המערכת‬ ‫לתפקיד‬ ‫או‬ ‫משתמש‬ ‫להרשאת‬
.
‫משולב‬ ‫שימוש‬
‫פתרונות‬ ‫בחבילת‬
‫גישה‬ ‫בקרת‬ ‫פתרון‬ ‫מספק‬ ‫אלה‬
,
‫ה‬
‫הבאים‬ ‫לתחומים‬ ‫מתייחס‬
:

‫סיכונים‬ ‫איתור‬
:
‫החבילה‬
‫לאתר‬ ‫מאפשרת‬
‫סי‬
‫ו‬ ‫ההרשאה‬ ‫כוני‬
‫גישה‬
‫מערכות‬ ‫פני‬ ‫על‬
SAP
‫ושאינן‬
SAP
‫וזאת‬
On Line
,
‫התרעה‬ ‫לרבות‬
On Line
‫הסיכון‬ ‫התרחשות‬ ‫על‬ ‫הרלוונטיים‬ ‫התפקידים‬ ‫לבעלי‬
.
‫זאת‬
,
‫תוך‬
‫מתן‬

‫תפקידים‬ ‫הפרדת‬ ‫לצורך‬ ‫מענה‬
(
SoD
)
,
‫ניטור‬
‫פעולות‬ ‫על‬ ‫ובקרה‬
‫של‬ ‫שוטפות‬
‫תהליכים‬ ‫לרוחב‬ ‫משתמשים‬
‫ארגוניות‬ ‫ומערכות‬ ‫עסקיים‬
.
‫לדוגמא‬
:
‫ללקוח‬ ‫זיכוי‬ ‫מתן‬ ‫בתהליך‬ ‫משתמש‬ ‫של‬ ‫ההרשאה‬ ‫סיכוני‬ ‫בקרת‬
,
‫הלקוחות‬ ‫שירות‬ ‫מערכת‬ ‫את‬ ‫הכולל‬
,
‫ה‬ ‫מערכת‬
-
ERP
‫ומערכת‬
‫הליבה‬
.

‫סיכונים‬ ‫של‬ ‫והפחתה‬ ‫תיקון‬
:
‫החבילה‬
‫מאפשר‬
‫ת‬
‫הרשאות‬ ‫סיכוני‬ ‫של‬ ‫ויעילים‬ ‫מהירים‬ ‫והפחתה‬ ‫תיקון‬
,
‫ע‬
"
‫י‬
‫ואפשרות‬ ‫העבודה‬ ‫תהליך‬ ‫של‬ ‫אוטומציה‬
‫ובקרת‬ ‫לניטור‬
‫ה‬
‫ע‬ ‫פעולה‬
"
‫י‬
‫וטכניים‬ ‫עסקיים‬ ‫משתמשים‬
.
‫כן‬ ‫כמו‬
,
‫יצור‬ ‫בסביבת‬ ‫ומתכנתים‬ ‫מפתח‬ ‫משתמשי‬ ‫של‬ ‫פעילויות‬ ‫וניטור‬ ‫לניהול‬ ‫ייעודית‬ ‫פונקציונאליות‬ ‫קיימת‬
‫רגישות‬ ‫ובפעולות‬
.

‫דיווח‬
:
‫החבילה‬
‫מספק‬
‫ת‬
‫דוחות‬
‫ומפורטים‬ ‫רבים‬
‫תפקיד‬ ‫מבוססי‬ ‫כלים‬ ‫ואוסף‬
,
‫נזקקים‬ ‫להם‬
‫ארגונים‬
‫מנת‬ ‫על‬
‫לנטר‬
‫מצבים‬
‫במי‬ ‫בפעולה‬ ‫ולנקוט‬
‫הצורך‬ ‫דת‬
.
‫המיטב‬ ‫את‬ ‫להפיק‬ ‫יכולים‬ ‫שונים‬ ‫ארגונים‬ ‫משתמשים‬
‫אחת‬ ‫ממערכת‬
:
‫מידע‬ ‫אבטחת‬ ‫מנהלי‬
,
‫הרשאות‬ ‫מנהלי‬
,
‫הפנים‬ ‫ביקורת‬
,
‫ומנהלי‬ ‫סיכונים‬ ‫מנהלי‬
SOX
.
‫לכל‬
‫אחת‬ ‫במערכת‬ ‫לו‬ ‫הרלוונטי‬ ‫והתיעוד‬ ‫הדוחות‬ ‫תפקיד‬ ‫בעל‬
.

‫סיכון‬ ‫מניעת‬
:
‫החבילה‬
‫מאפשרת‬
‫מניעת‬
‫הייצור‬ ‫למערך‬ ‫חדשים‬ ‫סיכונים‬ ‫כניסת‬
.
‫אפשרות‬ ‫מתן‬ ‫באמצעות‬
‫לבדוק‬ ‫עסקיים‬ ‫למשתמשים‬
‫הרשאה‬ ‫סיכוני‬
‫ומיכון‬ ‫אמת‬ ‫בזמן‬
‫ניהול‬
‫ה‬
‫משתמש‬
,
‫החבילה‬
‫הופכת‬
‫מניעת‬ ‫את‬
‫מתמשך‬ ‫לתהליך‬ ‫האיום‬
‫ופרו‬
-
‫אקטיב‬
‫י‬
.
Symantec
‫פבלו‬
‫ה‬
‫ורנשטיין‬
,
054-4929376
,
pablo_horenstein@symantec.com
‫כחלק‬ ‫מידע‬ ‫אבטחת‬
‫לא‬ ‫המקרים‬ ‫ולרב‬ ‫ותקציבים‬ ‫במשאבים‬ ‫גדולה‬ ‫תקורה‬ ‫מהווה‬ ‫אפליקטיבי‬ ‫פיתוח‬ ‫מתהליך‬
‫האפליקציה‬ ‫או‬ ‫המוצר‬ ‫חיי‬ ‫במשך‬ ‫האיומים‬ ‫בספקטרום‬ ‫הרבים‬ ‫השינויים‬ ‫עקב‬ ‫כדאית‬
.
‫חיצוני‬ ‫תוכן‬ ‫סריקת‬ ‫פיתרון‬ ‫הוא‬ ‫בתהליך‬ ‫לעזור‬ ‫שיכולים‬ ‫המנגנונים‬ ‫אחד‬
,
‫לבדוק‬ ‫לאפליקציות‬ ‫המאפשר‬
,
‫בעזרת‬
‫אפליקטיבי‬ ‫ממשק‬
,
‫מאיומים‬ ‫המידע‬ ‫וניקיון‬ ‫תקינות‬ ‫את‬
--
‫דרישה‬ ‫לפי‬
.
‫זה‬ ‫לצורל‬ ‫מושלם‬ ‫מענה‬ ‫לתת‬ ‫יכול‬ ‫סימנטק‬ ‫חברת‬ ‫של‬ SCAN ENGINE
‫ככלל‬
,
‫אפליקטיבי‬ ‫מידע‬ ‫באבטחת‬ ‫לטפל‬ ‫רצוי‬
,
‫כוללת‬ ‫מידע‬ ‫אבטחת‬ ‫במערכות‬ ‫דווקא‬
,
‫של‬ ‫ובדיקה‬ ‫ניתור‬ ‫יכולת‬ ‫עם‬
‫במנוחה‬ ‫שונים‬ ‫נתונים‬ ‫מבני‬
(
‫קבצים‬ ‫מערכות‬
,
‫נתונים‬ ‫בסיסי‬
,
‫נת‬
‫מובנים‬ ‫לא‬ ‫אפליקציה‬ ‫וני‬
)
‫של‬ ‫ובדיקה‬ ‫ניתור‬ ‫וכן‬
‫האפליקטיביות‬ ‫מהמערכות‬ ‫ונפלטים‬ ‫הנקלטים‬ ‫בתנועה‬ ‫ומידע‬ ‫נתונים‬
.
‫ייחודי‬ ‫מוצר‬ ‫הינו‬ ‫סימנטק‬ ‫חברת‬ ‫של‬
,
‫האירגוני‬ ‫המידע‬ ‫בכל‬ ‫הוליסטי‬ ‫פיתרון‬ ‫המאפשר‬ DLP ‫ה‬ ‫מוצר‬
-
‫בפרט‬
,
‫משתמש‬ ‫לכל‬ ‫וירטולית‬ ‫עבודה‬ ‫סביבת‬ ‫לדמות‬ ‫מקובל‬
/
‫ובכך‬ ‫לאפליקציה‬ ‫מתחבר‬ Web ‫באפליקציות‬
‫ואי‬ ‫שלמות‬ ‫את‬ ‫ומבטיחה‬ ‫מגנה‬
-
‫האפליקציה‬ ‫של‬ ‫פגיעות‬
.
‫בחיבור‬ ‫אפליקטיבית‬ ‫פגיעות‬ ‫מונע‬ ‫סימנטק‬ ‫של‬ On Demand Protection For Web Apps ‫ה‬ ‫מוצר‬
-
‫זה‬ ‫מסוג‬ ‫לאפליקציות‬ ‫משתמשים‬
.
‫נוספת‬ ‫מגמה‬
‫על‬ ‫הרצה‬ ‫לאפליקציה‬ ‫הגנה‬ ‫מעטפת‬ ‫או‬ ‫קליפה‬ ‫בניית‬ ‫היא‬ ‫באירגון‬ ‫קריטיות‬ ‫אפליקציות‬ ‫על‬ ‫לאבטחה‬
‫פתוחה‬ ‫הפעלה‬ ‫במערכות‬ ‫פלטפורמה‬ ‫כל‬
.
‫יעודיות‬ ‫אפליקציות‬ ‫של‬ ‫מדיניות‬ ‫בהגדרת‬ ‫היכולת‬ ‫וכן‬ ‫סטנדרטיות‬ ‫אפליקציות‬ ‫לטיפוסי‬ ‫מובנות‬ ‫הגדרות‬ ‫בעזרת‬
,
‫ומצד‬ ‫איום‬ ‫מכל‬ ‫חסינה‬ ‫להיות‬ ‫לאפליקציה‬ ‫מאפשר‬
‫כל‬ ‫את‬ ‫ולייעד‬ ‫אופטימלית‬ ‫בצורה‬ ‫לתפקד‬ ‫לה‬ ‫מאפשר‬ ‫שני‬
‫האפליקציה‬ ‫לטובת‬ ‫המכונה‬ ‫משאבי‬
.
‫על‬ ‫הרצות‬ ‫קריטיות‬ ‫לאפליקציות‬ ‫מקסימלית‬ ‫הגנה‬ ‫נותן‬ ‫סימנטק‬ ‫של‬ Critical System Protection ‫מוצר‬
‫וככזו‬ ‫הפתוחות‬ ‫ההפעלה‬ ‫מערכות‬ ‫כל‬
-
‫זה‬ ‫לאתגר‬ ‫אירגוני‬ ‫פיתרון‬ ‫מהווה‬
.
‫וסיקר‬ ‫חדירות‬ ‫מבדקי‬ ‫לגבי‬
‫סיכונים‬ ‫י‬
,
‫המתודולוגיה‬ ‫את‬ ‫ולשמר‬ ‫רציף‬ ‫מענה‬ ‫לתת‬ ‫יכול‬ ‫אשר‬ ‫פיתרון‬ ‫לבחון‬ ‫מקום‬ ‫יש‬
‫זמן‬ ‫לאורך‬
.
‫לתקופה‬ ‫אחת‬ ‫אלו‬ ‫בדיקות‬ ‫מבצעים‬ ‫שונים‬ ‫שגופים‬ ‫לעובדה‬ ‫מעבר‬
,
‫בדיקה‬ ‫שבין‬ ‫שבתווך‬ ‫לוודאי‬ ‫קרוב‬

‫לבדיקה‬
–
‫מתמשכת‬ ‫לפגיעות‬ ‫חשוף‬ ‫יהיה‬ ‫הארגון‬
.
‫בנוסף‬
,
‫נוהלים‬ ‫ולפי‬ ‫ידניות‬ ‫בדיקות‬
–
‫ל‬ ‫מועדת‬
‫טעויות‬
,
‫לאי‬
-
‫רב‬ ‫אנושי‬ ‫משאב‬ ‫ודורשות‬ ‫עיקביות‬
,
‫גדול‬ ‫ותקציב‬ ‫אדם‬ ‫שעות‬ ‫להרבה‬ ‫המתורגם‬
.
‫בנוסף‬
,
‫מגמות‬ ‫לבדוק‬ ‫ביכולת‬ ‫קושי‬ ‫יש‬
,
‫בפקרספקטיבות‬ ‫זמן‬ ‫לאורך‬ ‫הבדיקות‬ ‫בין‬ ‫הבדלים‬
,
‫ופרמטרים‬ ‫חתכים‬
‫שונים‬
.
‫ציות‬ ‫ה‬ ‫למצב‬ ‫רציף‬ ‫באופן‬ ‫מודע‬ ‫להיות‬ ‫לאירגון‬ ‫מאפשר‬ ‫סימנטק‬ ‫של‬ Control Compliance suite ‫מוצר‬
‫נדרשת‬ ‫ציות‬ ‫לרמת‬ ‫לחזרה‬ ‫עצמי‬ ‫תיקון‬ ‫ולבצע‬
.
‫החשיפה‬ ‫רמת‬ ‫את‬ ‫לבדוק‬ ‫לאירגון‬ ‫העוזר‬ ‫כלי‬ ‫הינו‬ ‫זה‬ ‫פיתרון‬
‫רציף‬ ‫באופן‬ ‫לפגיעות‬
.
‫אבטחה‬ ‫אירועי‬ ‫של‬ ‫האינטגרטיבית‬ ‫ביכולת‬ ‫מתבטא‬ ‫סימנטק‬ ‫של‬ ‫הבידול‬
-
‫סיכונים‬ ‫לניהול‬ ‫רגולטורית‬ ‫מערכת‬ ‫לתוך‬
. SIM ‫ע‬ ‫באירגון‬
"
‫מערכת‬ ‫י‬

217197385 application-security-2009

More Related Content

Similar to 217197385 application-security-2009 (20)

More from Inbalraanan (20)

217197385 application-security-2009