Ciso-as-a-service scope of work description- Technical & grc

---

מנהל אבטחת מידע כשירות חיצוני לחברה, ילווה את פעילויות חברתכם בניהול שוטף של סיכוני הסייבר ואבטחת המידע, בהתאם לצרכים העסקיים ודרישות הרגולציה החלות על הפעילות העסקית כגון המיקום הגיאוגרפי של הלקוחות והמיקום הגיאוגרפי של שרתי החברה, המאחסנים ומעובדים את נתוני לקוחות החברה. בין אם הדרישה למנהל אבטחת מידע חיצוני היא ליום בשבוע  או יומיים בשבוע ובין אם למספר ימים בחודש, או לפרוייקט ספציפי כגון ליווי לקבלת תקן אבטחת מידע, יועץ אבטחת המידע יבצע ניתוח פערים טכנולוגיים ועמידה ברגולציות, יגבש אסטרטגיית אבטחת מידע מתואמת עם ההנהלה, בדגש על היתכנות הטמעת התהליכים, הבקרות ומסמכי מדיניות / נהלי אבטחת מידע, תוך הפרעה מינימלית ככל הניתן לשגרת היום  של צוות הפיתוח, צוותי המכירות, צוותי השיווק והעובדים בארץ ובחו״ל

כחלק משירותי ניהול אבטחת המידע והסייבר, יבצע היועץ מיפוי של התשתיות הטכנולוגיות הפנימיות והחיצוניות של חברתכם במטרה לתכנן ארכיטקטורת תשתיות מותאמת וליישם הקשחות להגנת סייבר אפקטיבית יותר אשר ניתנת לתפעול וניטור. מנהל אבטחת המידע יטמיע בקרות תואמות הן לצרכי הארגון והן לצורך עמידה בדרישות הרגולצייה החלות על הארגון, כמו גם דרישות והתחייבויות חוזיות ללקוחות (לדוגמא: לקוחות שדורשים כי ההתחברות למידע רגיש יבוצע אך ורק באמצעות אימות דו שלבי ודרך רשת וירטואלית פרטית וכו׳) או למשקיעים פוטנציאליים לפני סבב גיוס / בדיקת נאותות

חברות המספקות שירותי תוכנה/ פלטפורמה לחברות או ליחידים, נדרשות להקטין את החשיפה והסיכונים לאירועי סייבר, בין היתר גם באמצעות יישום הגנות ברמה האפליקטיבית

מלבד התהליכים ליישום ממשל תאגידי תקין לעמידה בתקני אבטחת מידע כגון כתיבת מדיניות ונהלים, נדרשות פעולות אקטיביות ובקרות שוטפות כגון - סריקת חולשות, סריקת קוד מקור, סריקת ספריות קוד פתוח, בקרות על הרשאות גישה מצד משתמש קצה כמו גם מנהל מערכת מתוך הארגון ועוד. יועץ אבטחת המידע של הארגון יבצע סקר סיכונים לזיהוי חולשות בשירותים הניתנים על ידי החברה, וינהל את יישום ההמלצות לתיקון ממצאי הסקר באמצעות תכנית עבודה בהתאם לפרק זמן אשר יאושר על ידי ההנהלה על בסיס תעדוף הסיכונים ותקציב אבטחת מידע של הארגון

הכנת תכנית העבודה השנתית או התקופתית על ידע מנהל אבטחת המידע תכלול ברוב המקרים גם מבדקי חדירה / מבדקי חוסן אפליקטיביים ותשתיתיים בהתאם לצרכי ותקציב החברה ולהתחייבויות החוזיות ללקוחות, כמו גם לדרישות הרגולטוריות בתחום בו פועלת החברה (רגולציית סייבר לחברות פיננסיות, עמידה בתקני אבטחת מידע לחברות רפואיות וכדומה) או   בהתאם לביקורות לעמידה בתקני אבטחת מידע כגון  תקן-איזו-27001 או ביקורת סוק-2

סקר סיכוני אבטחת מידע הינו הבסיס לתחילת עבודתו של כל יועץ אבטחת מידע, שכן באמצעות ביצוע הסקר אשר טומן בחובו פעולות כגון  מיפוי נכסים פנימיים וחיצוניים של הארגון (אתרים אינפורמטיביים, שרתים, רשתות חיצוניות, רשתות פנימיות, עמדות קצה, תקשורת נכנסת ויוצאת של האפליקציה והשרתים וכדומה) יכול מנהל אבטחת המידע לזהות את החולשות ונקודות הכשל, להכין תכנית טיפול בממצאי סקר הסיכונים ובכך לצמצם את החשיפה לאיומי סייבר, חשיפה להפרות מידע, לשפר את מוכנות הארגון להתמודדות עם אירועי אבטחת מידע ולשפר את תאימות הארגון לעמידה בדרישות רגולטוריות  בתחום הגנת הפרטיות ועמידה בסטנדרטים בינלאומיים של אבטחת מידע

העלאת מודעות עובדי החברה, ההנהלה והדירקטוריון לאיומי סייבר מוכחת ככלי חיוני, מהותי ואפקטיבי ביותר לצמצום החשיפות הן בנושאי הגנת הפרטיות (של עובדי החברה כמו גם של לקוחות החברה) והן בנושאי אבטחת המידע במחלקות השונות. ניהול שוטף של הדרכות מודעות סייבר, הגנת הפרטיות ופיתוח מאובטח בהתאמה לתפקיד העובד, מתבצעת על ידי מנהל אבטחת המידע גם לעובדים בארץ באופן פרונטלי וגם לעובדים בחו״ל (באמצעות שיחות וידאו) על בסיס שנתי ובמהלך הימים הראשונים של קליטת העובד לעבודה בחברה, כחלק מדרישות עמידה בדרישות תקני אבטחת מידע ואף התחייבויות חוזיות ללקוחות (המצייתים/ כפופים לתקני ומסגרות עבודה בתחום אבטחת מידע והגנת הפרטיות). יועץ אבטחת המידע מבצע תרגילי פישינג לעובדים ולהנהלה, בוחן לעובדים בנושאי אבטחת מידע והגנת הפרטיות, הדרכות ייעודיות לצוותי הפיתוח להעלאת המודעות לפיתוח מאובטח הן מהיבטי אבטחת מידע והן מהיבטי הגנת הפרטיות, מודעות להגבלות על רישיונות קוד פתוח, הדרכה למודעות בשימוש בספריות קוד פתוח וקוד מקור - סריקת קוד והגדרת מדיניות ובקרות לפיתוח מאובטח

שאלוני אבטחת מידע ופרטיות המגיעים מלקוחות פוטנציאלים חדשים ואף לקוחות קיימים במסגרת הביקורת הפינימית השנתית של מערכת ניהול אבטחת המידע של הלקוח, כוללים בקשות ספציפיות למידע רגיש ופומבי כאחד, כאשר הלקוח ברוב המקרים מתייחס לתשובות הניתנות בשאלונים אלו להתחייבויות החברה. חשוב לוודא כי מנהל אבטחת המידע יבצע מיפוי מקיף של השירותים, השרתים, מסמכי התחייבויות השירות של החברה, תעבורת המידע של לקוחות החברה משרתי האחסון אל שרתי עיבוד המידע ובחזרה בהתחשב במיקום הגיאוגרפי בכל נקודה, הצפנות המידע בעת אחסון הנתונים/ המידע הרגיש של הלקוח, הצפנות בשימוש בעת העברת המידע של הלקוחות ועוד, בטרם מענה לשאלוני אבטחת מידע (בין אם מדובר בשאלוני אבטחת מידע מצד לקוחות אמריקאים/ אירופאים ובין אם מדובר בשאלון אבטחת מידע לספקים מצד לקוחות וגופים ישראלים / זרים)  כמו גם הצגת סכמות של ארכיטקטורת הרשת