מעגלי האבטחה של מערכות מידע-שיעור 7
המעגל הראשון- המעגל הפיזי
- המעגל הפיזי כולל בתוכו את כל האמצעים הפיזיים שעוזרים לי להתגונן מכל מיני פגיעות ומתקפות.
- למשל בחדר שרתים בחברה יש צורך בנעילת החדר, וכניסה ע"י קוד.
- חיישנים לשריפה אשר מתיזים גז או מים. ההמלצה של התקן הישראלי הוא- מים.
- יש צורך להגן על אספקת החשמל במקרה של קלקול, הפסקת חשמל או קצר חמשלי. באמצעות UPS ="אל- פסק". מאפשר להמשיך לעבוד על המחשבים בהפסקת חשמל. הוא נותן אפשרות לעוד קצת עבודה זמנית על המחשב. או גיבוי מהיר של חומר חשוב.
- הגנה מברקים באמצעות כולה ברקים. מכניסים את הכולה ברקים לשקעים וזה מונע מהמשכיות של הברק.
- מיישרי זרם.
המעגל השני- המעגל הלוגי
- זה כל אמצעי ההתגוננות שהם בצורה של תוכנה, אלו תוכנות שעוזרות לי להתגונן. קיימות 3 קבוצות של תוכנות להתגוננות:
- תוכנות נגד- למשל תוכנות אנטי ווירוס, אנטי ספאם, אנטי BOTNET. ועוד. כיום יש יותר ויותר חברות שנותנות לך תוכנת הגנה שמכילה את כל התוכנות הללו יחד. בעבר הם היו בדידות. בקניית התוכנה לא פתרת את הבעיה מכיוון שכל יום יוצאים ווירוסים חדשים. ולכן כל הזמן האנטי ווירוסים מתעדכנים. ויש צורך לעדכן כל הזמן את התוכנות נגד. בחברות גדולות יש צורך בעדכון כל יום כמה פעמים.
- תוכנות מידור והרשאה- תוכנות שיודעות למדר הרשאה, כלומר למי יש רשות להיכנס ולמי אסור להיכנס. מדורי המידור וההרשאה הם לא רק לאנשים מבחוץ אלא לפעמים יש צורך בהגנה גם מאנשים בחברה עצמה. קיימת חלוקה לפי הדרגים בחברה להרשאות שונות למערכת. העובד SYSTEM ADMINISTRATOR מכין לכל עובד חדש את ההרשאות שלו מה שנקבע בדרג הבכיר של החברה.
- תוכנות הצפנה- הצפנה לא נולדה עם המחשבים אלא עוד בימי קדם היו עושים הצפנה במכתבים למשל. הצפנה זו יצרת כתב סתרים שמחליטים עליו. מאז הדברים נהיו מאוד מתוחכמים. כאשר התחילו מערכות המידע שמו דגש להשים תוכנות הצפנה על תקשורת נתונים. כאשר נעשית תנועה התנועה עוברת על החוטים עד למחשב המיועד, וכדי למנוע חדירה לנתונים בעת המעבר ממחשב למחשב, הצפינו את הנתונים. אך כאשר הגיע האינטרנט, חיברו את האינטראנט לאינטרנט הפריצה לנתונים נהייתה יותר פשוטה וההצפנה בדרך אינה עוזרת. לכן היום עושים הצפנת נתונים בתוך המחשב עצמו. אחת הטענות מול "סוני" שהמידע שלה על הלקוחות לא היה מוצפן. ניתן לפרוץ הצפנה אך זה הרבה יותר מסובך ויכול להוות כמגן.
- כל המעגל השני יחד נותן לי הגנה חזקה נקד מתקפות ותוכנות שליליות אשר עלולות לפגוע בי.
המעגל השלישי- גיבוי
- מעגל הגיבוי הינו מעגל שיוצא מנקודת הנחה שונה לגמרי מאשר שני המעגלים הקודמים. שני המעגלים הקודמים בולמים מתקפות ומונעים פגיעות באמצעים פיזיים ולוגיים. המעגל השלישי יוצא מנקודה שאני לא יכול להיות בטוח לגמרי מפגיעות בגלל העלות של הגנה, אמצעי הגנה זה מאוד יקר ויש חברות שלא יכולות להגן על עצמם מפני הכול. בעיה נוספת היא שלפעמים אמצעי ההגנה שלי לא יעבדו ביום שבו אני אצטרך אותם. לכן למקרים אלו יש צורך לגיבוי למקרה שתיפגע המערכת. ואז גם אם אני אפגע גול האסון לא יהיה כל כך נורא והחברה תוכל לשקם את עצמה. קיימים 2 סוגים של גיבויים:
- א.גיבוי נתונים- לכל ארגון, אפילו הכי קטן, יש צורך בגיבוי של נתונים. כך במקרה שהנתונים ימחקו בדרך מסוימת יהיה לי גיבוי.
- ב. גיבוי של מתקן המחשב עצמו- לבנק לאומי יש מתקן מחשבים בלוד, ובנוסף למתקן זה יש להם עוד מתקן כך שאם מתקן אחד הולך קיים מתקן נוסף שעוד עובד. גיבוי של מתקן עושות רק חברות גדולות כי זה הוצאה מאוד גדולה.
המעגל הרביעי- מעגל הביטוח
- כיום יש בעולם ובארץ פוליסות ביטוח למערכות מידע.רוב מנהלי מערכות המידע לא יודעים שיש פוליסות למערכות מידע. חשוב לדעת שזה קיים. אתה יכול לקבל שמה כיסוי למקרה של שריפת ציוד ומקרים נוספים. אתה יכול לקבל פיצוי לאיבוד נתונים. למשל- קרה לך נזק, אתה יכול לקבל מחברת הביטוח את עלות תיקון הנזקים ואת הרווחים שלא קיבלת בזמן תיקון הנזק. וכן הלאה.
- לסיכום: מנהל שמכניס מערכת מידע צריך לא רק לדאוג שהמערכת תהיה טובה, אלא צריך לדאוג איך להגן על המערכת. הגנה עולה המון כסף אך לפעמים הנזק הכספי בעת פגיעה במערכת הוא גדול יותר.
מחזור החיים של מערכת המידע
חיי מערכת המידע הם לא חיים נצחיים, אלא כל מערכת מידע היא פיתרון ל- X שנים ואז יש צורך להחליפה.
- מה גורם לכך שהחיים של מערכת מידע הם מוגבלים?
- הגורם המשותף לגורמים לכך הוא שינויים. במערכות המידע כל הזמן יש שינויים, פונקציות חדשות ותוספות. ובסופו של דבר המערכת המקורית שלי הופכת להיות לא יעילה.
- הגורמים לכך שחיי מערכת המידע היא מוגבלת:
- שינויים טכנולוגים- הטכנולוגיה של מערכות המידע כל יום יש התפתחות ושכלול. הטכנולוגיה משתכללת. כך שאם בניתי מערכת לפי הטכנולוגיה של היום אך מחר מוציאים מערכת חדשה יותר. זה יוצר מצב בו למערכת שלי יהיה קושי ליצור קשר ולעבוד עם הטכנולוגיה החדשה.
- שינויים בחברה- חברה הלכה וקנתה מערכת, בינתיים החברה השתנתה ולכן צריך לשנות את המערכת בהתאם לשינוי של החברה. לדוגמא- מפעל מסוים בנה לעצמו תוכנה אבל אחרי כמה שנים הם החליטו לפתוח סניף בניו יורק. הבעיה שבניו יורק עובדים באנגלית ואילו התוכנה המקורית שלי היא חד לשונית. עכשיו אני צריך שהתוכנה שלי תעבוד בשתי שפות. בעיה נוספת היא שהמערכת המקורית עבדה עפ"י השקל ועכשיו עליה לעבוד עפ"י הדולר ולהכין מאזן סופי עפ"י השקל. לכן יש צורך להתאים את המערכת מידע של החברה
- שינויים בענף- ענף התיירות בארץ עובר שינוי גדול ב10 שנים האחרונות פעם סוכני נסיעות מומנו ע"י עמלות מחברות התעופה. כיום חברות התעופה אינם משלמות לסוכני הנסיעות יותר. בשנים האחרונות רוב חברות התעופה בארץ הפסיקו לשלם עמלות למשרדי הנסיעות. לכן כיום קיימת בעיה לכל משרדי הנסיעות, משרד=י הנסיעות צריכים כיום לגבות את כספם מאת הלקוח ולא ממשרד הנסיעות. ולכן יש צורך להתאים תוכנה אשר קובעת כל פעם את האחוזים אשר נגבים מהלקוח על מכירת הכרטיסים.
- שינויים ברגולציה (חוקים וכללים)- ככל שהעולם נהיה יותר , ומשרד המסחר והתעשייה והביטוח הלאומי והעירייה כל יום ממציאים חוקים חדשים ותקנות חדשות . והחברות צריכות להתאים את עצמם כל פעם לחוקים המשתנים וכמובן להתאים לכך את המערכת מידע שלהם. למשל- לפני כמה שנים השתנו ההנחיות לכתיבת מאזנים (חשבונאות פיננסית), כלומר החישוב של רווח והפסד השתנה. בעקבות כך המון חברות היו צריכות להתאים את מערכת המידע לחישוב החדש של המאזנים. דוגמא חדשה- משרד הבריאות קבע שעד גיל מסוים טיפולי שיניים הם חינם ומגיל מסוים עם כסף מלא. בעקבות כלל זה היה צריך לשנות את מערכות המידע ולהתאים אותם לכל כך שלא ייגה כסף מילד שאינו צריך לשלם לפי הכלל.
- דרישות מנהלים- מנהלים עם הזמן משנים את הדרישות לגבי מערכות המידע, למשל- כאשר מגיע מנהל חדש למקום עבודה עם מערכת מידע הוא מכיר את מערכת המידע לאט עד לרמה גבוהה של שליטה במערכת. עד שהוא מעוניין לשפר אותה.