Finite Field
אבחון ב-30 שניות

אבטחה וטיפול בנתונים

טפלו בנתונים שהופקדו בידיכם
בלי עמימות.

אנו מגדירים אילו נתונים מטופלים, לאיזו מטרה, בידי מי, באיזו סביבה ולכמה זמן. מאבות-טיפוס מתמטיים ועד תפעול ייצור, גבולות ואחריות מוסכמים תחילה ונשמרים כראיות הניתנות לסקירה.

ניסוח פרופיל פרויקט צפייה במסע הנתונים
מישור בקרת נתוניםPROJECT / 001
01לקוחנתוני מקור וכללים עסקיים
המינימום הנדרש
02FINITE FIELDתכנון, פיתוח, אימות
היקף מוסכם
03שירותים בשימושענן ושילובים חיצוניים
מטרהמוגדרת מראש
גישהמוגבלת לאנשים הנדרשים
אחסוןמיקום ותקופה מוסכמים
מחיקהשיטה וראיה נקבעות
תכנון לפני העברהקבלה לאחר קביעת גבולות
גלילה

העמדה שלנו

אנו מפרסמים חומר החלטה, לא הרגעה עמומה.

אבטחה אינה נקבעת לפי שם מוצר או תכונה יחידה. אנו מתכננים סביב סוג הנתונים, המטרה, הארגון, התפעול ומעבדי המשנה, ואז משאירים את ההיקף שמומש ניתן לסקירה.

01 / צמצום

קבלת נתונים נחוצים בלבד

תחילה אנו בודקים אם אפשר להסיר שמות, כתובות, פרטי קשר, טקסט חופשי ומערכי נתונים מלאים. לפני נתונים בכמות גדולה עדיפות לדוגמאות קטנות ואנונימיות.

02 / גבול

הגדרת גבולות לפני העברה

מיקום אחסון, צופים, שירותים חיצוניים, שימוש ב-AI, שמירה ומחיקה מוסכמים לפני קבלת נתונים או מעבר לייצור.

03 / ראיות

השארת תוצרים הניתנים לסקירה

זרימות נתונים, זכויות גישה, מעבדי משנה, גיבוי, מחיקה ואנשי קשר לאירועים נשמרים כתוצרים שניתן לבדוק.

מה אנו מפרסמיםמדיניות, פריטי תכנון ותוצרים הניתנים לסקירה
מה כל פרויקט מחליטשירותים, הרשאות, שמירה והיקף בדיקות ספציפיים
מה איננו מפרסמיםסודות או הגדרות מפורטות שעלולות לסייע לתוקף

מסע הנתונים

החליטו בכל שלב מקבלה ועד מחיקה.

אותם נתונים דורשים בקרות שונות לאבחון, לאבות-טיפוס ולתפעול ייצור. אנו מפרידים בין מה שמתקבל, מה שצריך להחליט ומה הראיה שנשארת.

קליטה

מתחילים בחומרי הסבר ובדוגמאות אנונימיות.

עדיף נפח טיפול נמוך

דוגמאות שמתקבלות

  • עמודות הגיליון הנוכחי
  • כמה שורות בדויות או אנונימיות
  • כללים עסקיים ונקודות כאב
  • מדדים לשיפור

להחליט מראש

  • האם שמות אמיתיים נחוצים
  • כיצד נשלחים קבצים מצורפים
  • מי מטפל בייעוץ
  • שמירה לאחר הייעוץ

תוצרים שנשמרים

  • רשימת נתונים שהתקבלו
  • מזכר מטרה
  • תאריך יעד למחיקה
  • שאלות פתוחות

חשוב: אלה נקודות מבט סטנדרטיות לתכנון. שמירה בפועל, היקף מחיקה ובדיקות נקבעים סופית לפי החוזה וארכיטקטורת המערכת.

הורדת מרשם מחזור חיי הנתונים

בונה פרופיל אבטחה

ארגנו טיוטת תכנון ייעודית לפרויקט בכשתי דקות.

זהו כלי עזר לתכנון לקראת הפגישה הראשונה, לא ביקורת או הבטחה. אין צורך בפרטי קשר.

שלב 01 / סוג נתונים

בחרו נתונים שעשויים להיות מטופלים

הטיוטה מבוססת על הקטגוריה שדורשת את הטיפול הזהיר ביותר. אפשר לבחור כמה אפשרויות.

מודל בקרה

כסו זיהוי, תגובה והתאוששות, ולא רק מניעה.

אנו מתייחסים לשש הפונקציות של NIST Cybersecurity Framework 2.0 כנקודות מבט לסקירת פרויקט. זו אינה הסמכה או טענת תאימות מלאה.

GV

ממשל

הבהירו בעלים, מדיניות, חוזים, מעבדי משנה וסיכון מקובל.

דוגמה: טבלת אחריות, רשימת שירותים
ID

זיהוי

הבינו נכסים, נתונים, תלויות, איומים והשפעה.

דוגמה: זרימת נתונים, מרשם נכסים
PR

הגנה

תכננו אימות, הרשאות מזעריות, הצפנה, סודות ומימוש מאובטח.

דוגמה: מטריצת הרשאות, בדיקת מימוש
DE

זיהוי חריגות

הגדירו לוגים נדרשים, ניטור, התראות וקריטריונים לחריגה.

דוגמה: פריטי ניטור, שמירת לוגים
RS

תגובה

הכינו תיעדוף, הכלה, חקירה, תקשורת ומניעה.

דוגמה: עץ קשר, נוהל תגובה ראשונית
RC

התאוששות

תכננו שלמות גיבוי, סדר התאוששות, חזרה עסקית ובדיקת המשך.

דוגמה: נוהל התאוששות, רשומת בדיקה

אבטחת יישומים

בווב ובאפליקציות בודקים מהתכנון ועד התפעול.

אנו משתמשים ב-OWASP ASVS 5.0 כהפניה לדרישות אבטחה ולפריטי אימות. סקירה, בדיקות אוטומטיות, בדיקות ידניות ובדיקות חיצוניות משולבות לפי חשיבות ותקציב.

  1. 01דרישות ואיומיםארגון נתונים, הרשאות ומשטח תקיפה
  2. 02מימושאימות, קלט, סודות, תלויות
  3. 03אימותסקירה, בדיקות, בדיקת תצורה
  4. 04תפעולניטור, עדכונים, הרשאות, התאוששות

אב-טיפוס מול ייצור

איננו מתייחסים לאבות-טיפוס ולייצור באותו אופן.

ההשוואה מציגה קריטריוני תכנון שיש לסגור לכל פרויקט, לא ערבויות קבועות.

פריט סקירהP0 אב-טיפוס מתמטיP1 מערכת ייצור
מטרהאימות היתכנות ומדדיםעיבוד עסקי רציף
נפח נתוניםעדיפות לשדות קטנים, אנונימיים ונחוציםהגדרה רשמית של היקף תפעולי נדרש
סביבההפרדת סביבת אימות קצרת טווחשקילת הפרדה בין פיתוח, בדיקה וייצור
גישההגבלה לאנשים שהוקצוהרשאות תפקיד, אימות, סקירות
AI חיצוניהתחלה מתכנון שאינו שולח נתונים מיותריםהסכמה על מטרה, יעד, חוזה, הגדרות ולוגים
שמירהקביעת תאריך סיום תחילהשקילת מטרה, חוק, תפעול וגיבויים
מחיקהאישור מחיקה או המשך שימוש לאחר מסירהתכנון יציאת חשבונות, סוף חוזה, שמירה משפטית וגיבויים
התאוששותבדיקה אם אפשר ליצור מחדשקביעת יעדי התאוששות ובדיקות גיבוי

אחריות משותפת

הפרידו מי מגן על מה לפני החוזה.

שימוש בענן אינו הופך הכול לבטוח באופן אוטומטי, ומפתח אינו יכול לנהל כל סיכון לבדו. אנו מפרידים בין תפקידי הלקוח, Finite Field והשירותים שבהם משתמשים.

תחום האחריות שלנו

תכנון, מימוש ותפעול פיתוח

במסגרת ההיקף החוזי, אנו מטפלים בבקרות מערכת ובטיפול בנתונים בזמן פיתוח.

  • תכנון זרימת נתונים והרשאות
  • מימוש יישום מאובטח
  • ניהול סודות וסביבת פיתוח
  • בדיקות וסקירה מוסכמות
  • ניטור, עדכונים ותגובה במסגרת היקף התחזוקה
פריטים שיש להבהיר בחוזהמפעילשעות ניטורגיבויעבודת התאוששותפניותטיפול בסיום שימוש

AI וצדדים שלישיים

אל תהפכו AI חיצוני למעבד משנה בלתי נראה.

כאשר נתונים עוברים ל-AI גנרטיבי, מפות, דואר, אנליטיקה, התראות, תשלום או שירותים אחרים, המטרה וההיקף נכללים בזרימת הנתונים.

מצב 00

לא לשלוח

אל תשלחו נתונים עסקיים ל-AI חיצוני. השתמשו באלגוריתמים רגילים, בעיבוד מקומי או בנתונים אנונימיים וקבועים.

אפשרות ראשונה לבדיקה
מצב A1

שליחת נתונים מוגבלים

שלחו רק שדות מוסכמים לשירותים מוסכמים לאחר הסרת מזהים. בדקו אם אפשר לתעד את ההעברות.

דורש אנונימיזציה וצמצום נתונים
מצב C2

שליחה במסגרת אישור

אשרו תנאי שירות, שמירה, אזור, תנאי שימוש חוזר והרשאות, ואז תעדו את נתוני היעד.

דורש שיקול סיכון פרטני

בדיקת שירות חיצוני

מה לאשר לכל שירות חיצוני

  1. 01נתונים שנשלחיםשדות, תדירות, נפח
  2. 02מטרהעיבוד, התראות, ניתוח
  3. 03שמירה ושימוש חוזראחסון, למידה, לוגים
  4. 04מיקום ומעבדי משנהמדינה, אזור, שרשרת אספקה
  5. 05עצירה ומחיקהטיפול בסיום שימוש

תגובה לאירועים

תכננו מה קורה אם מתרחש אירוע.

לפני תפעול ייצור, הגדירו היקף אירוע, אנשי קשר, הודעה ראשונה, הכלה, התאוששות ואחריות למניעה.

01

זיהוי וקבלה

זיהוי אירועים מניטור, מפניית משתמש או מהודעות שירות.

02

הכלה

צמצום התפשטות ושמירת ראיות נחוצות.

03

ניתוח והחלטה

אישור נתונים מושפעים, סיבה, השפעה וצורך בדיווח.

04

תקשורת ותגובה

יצירת קשר עם בעלי עניין לפי חוק, חוזה ומצב.

05

התאוששות ושיפור

התאוששות לאחר אישור בטיחות ויישום מניעה.

לפני ייצוראיש קשר חירום
לפני ייצורהיקף אירוע
לפני ייצורנתיב הודעה ראשונה
תכנון פרויקטשעות ניטור ותגובה
חוק וחוזההודעה ודיווח

חבילת ראיות

הפכו עבודה שמומשה לניתנת לסקירה.

בהתאם לחשיבות ולהיקף החוזה, אפשר ליצור או לעדכן את התוצרים האלה. הם אינם תמיד תוצרים סטנדרטיים, לכן בוחרים בזמן האומדן מה נחוץ.

CSV / 01

מצאי נתונים

שדות, מטרה, רגישות, מיקום, בעלים.

הורדה CSV / 02

מרשם זרימת נתונים

מקור, יעד, מטרה, שיטה, מעבד משנה.

הורדה CSV / 03

מטריצת גישה

תפקיד, סביבה, פעולה, אישור, סקירה.

הורדה CSV / 04

מרשם שירותים חיצוניים

שירות, מטרה, נתונים, מיקום, חוזה.

הורדה CSV / 05

מרשם שמירה ומחיקה

סיבה, מועד יעד, שיטת מחיקה, ראיה, חריג.

הורדה CSV / 06

גיליון אנשי קשר לאירועים

סוג אירוע, איש קשר ראשי, חלופה, בעל החלטה.

הורדה CSV / 07

בדיקת שחזור גיבוי

יעד, נקודת התאוששות, זמן שחלף, תוצאה, בעיה.

הורדה CSV / 08

רשימת בדיקת דרישות

תכנון, מימוש, בדיקות, תפעול, טיפול ביציאה.

הורדה CSV / 09

טבלת החלטה ל-AI ולשירותים חיצוניים

מטרה, שדות שנשלחו, שמירה, אישור, נוהל עצירה.

הורדה
בקשה

תמיכה בשאלוני לקוח

אנו עונים על שאלוני אבטחה של לקוחות לאחר אישור הפרקטיקות בפועל והיקף הפרויקט. פריטים שטרם מומשו מצוינים כך, עם חלופות בנפרד.

דיון בשאלונים

מקורות

מקורות ומה שאיננו טוענים.

אנו משתמשים בחוקים, בהנחיות ציבוריות ובתקנים פתוחים כהפניות בעת בחירת בקרות לפרויקט. הפניה אליהם נפרדת מטענה להסמכה או לתאימות מלאה.

JAPAN / PRIVACY

חוק הפרטיות ביפן והנחיות PPC

משמשים בסיס לבדיקת אמצעי ניהול בטיחות, כללי טיפול, אמצעים ארגוניים, אנושיים, פיזיים וטכניים וסביבות חיצוניות.

פתיחת המקור הרשמי
RISK / MANAGEMENT

NIST Cybersecurity Framework 2.0

שש הפונקציות משמשות שפה משותפת לסיכונים ולפערים תפעוליים.

פתיחת המקור הרשמי
APPLICATION / VERIFICATION

OWASP ASVS 5.0

משמש כהפניה בעת ארגון דרישות אבטחה לווב ולאפליקציות ופריטי אימות.

פתיחת המקור הרשמי

הדף הזה לבדו אינו אומר את הדברים הבאים.

הסמכת ISO/IEC 27001הסמכת PrivacyMarkתאימות מלאה ל-NIST CSFהסמכת OWASP ASVSהבטחה שלא יתרחשו אירועיםאותן בקרות לכל פרויקט

שאלות נפוצות

שאלות נפוצות על טיפול בנתונים.

האם אבחון או אב-טיפוס דורשים נתוני ייצור?

ככלל, אנו בודקים תחילה אם אפשר לבצע אימות בעזרת דוגמאות מצומצמות, אנונימיות או פסאודונימיות. אם נדרשים נתונים אמיתיים, ההיקף, האחסון, הצופים ומועד המחיקה מוסכמים מראש.

האם אתם שולחים נתונים ל-AI גנרטיבי חיצוני?

שימוש ב-AI חיצוני, הנתונים שנשלחים, המטרה והשמירה נקבעים לכל פרויקט. אפשר לבחור גם תצורה שאינה שולחת נתונים עסקיים ל-AI חיצוני.

האם אפשר לבחור מדינת או אזור אחסון?

אנו בודקים דרישות מיקום במסגרת היכולות של הענן או השירותים החיצוניים שבהם משתמשים. כאשר העברה חוצת גבולות חשובה, השירותים וזרימות הנתונים מוצגים במפורש.

מה קורה לנתונים ולקוד המקור לאחר המסירה?

בעלות, אחסון, גישה, גיבוי ואחריות מחיקה מובהרים לפי החוזה, מודל התפעול והיקף התחזוקה.

האם יש לכם הסמכת אבטחה?

הדף הזה אינו טוען להסמכה מסוימת. בקרות ותוצרי סקירה מוגדרים לכל פרויקט, ואפשר לענות על גיליונות בדיקה של לקוחות בעת הצורך.

מתי מודיעים על אירועים?

אנשי קשר, היקף האירוע, שיטת ההודעה הראשונה ותדירות העדכונים נקבעים לפני תפעול ייצור. הודעות בפועל כפופות לחוק, לחוזה ולפרטי האירוע.

האם אפשר לטפל בנתונים רפואיים, סיעודיים או רגישים אחרים?

יש לבדוק נחיצות, דרישות חוק, היקף גישה, אחסון, לוגים, מחיקה ומעבדי משנה. נדרש תכנון מחמיר יותר, וההיתכנות נקבעת לכל פרויקט.

האם אפשר לבקש בדיקות אבטחה או הערכת חולשות?

בהתאם ליעד ולרמה הנדרשת, אפשר לשלב סקירת תכנון, בדיקות אוטומטיות, בדיקות ידניות ומומחים חיצוניים. ההיקף והתוצרים מוגדרים בזמן האומדן.

השלב הבא

ראשית, הפרידו בין נתונים שאפשר לשתף לבין נתונים שצריכים להישאר בחוץ.

לפני שליחת חוברת עבודה שלמה, אפשר להתחיל משמות עמודות או מדוגמאות אנונימיות. נסדר יחד את הבקרות הנדרשות ואת היקף הפיתוח.

התחלת האבחון דיון בטיפול בנתונים אנא אשרו את שיטת ההעברה לפני שליחת מידע סודי.
חינםניסוח פרופיל אבטחה