תהליך התגובה לתקריות אבטחת מידע

התוכן הזה עודכן לאחרונה בספטמבר 2022, והוא מציג את המצב הקיים במועד כתיבתו. מדיניות האבטחה ומערכות האבטחה של Google עשויות להשתנות בעתיד, מכיוון שאנחנו כל הזמן פועלים לשיפור ההגנה על הלקוחות שלנו.

בראש סדר העדיפויות של Google ניצב הצורך לשמור על סביבה בטוחה ומאובטחת לנתוני הלקוחות. לשם כך, אנחנו משתמשים במערך מוביל בתחומו לאבטחת מידע, שמשלב תהליכים קפדניים, צוות שמומחה בתגובה לתקריות ותשתית רב-שכבתית לשמירה על פרטיות ואבטחת המידע. במסמך הזה מוסבר על הגישה העקרונית שלנו לניהול תקריות אבטחת מידע ותהליך התגובה אליהן ב-Google Cloud.

המונח "תקרית אבטחת מידע" מוגדר בתנאי האבטחה ועיבוד הנתונים שלנו בתור "פרצה באבטחה של Google שמובילה בטעות או בדרך המנוגדת לחוק להשמדה, לאובדן, לשינוי, לחשיפה בלתי מורשית של נתוני הלקוחות או לגישה אליהם במערכות ש-Google מנהלת או שבשליטתה בכל דרך אחרת".אנחנו פועלים לסיכול של כל האיומים שניתן לחזות מראש על הנתונים והמערכות, ולכן ניסיונות שנכשלו או פעילויות שלא מסכנות את האבטחה של נתוני הלקוחות לא נחשבים לתקריות אבטחת מידע. לדוגמה, ניסיון כושל לכניסה לחשבון, שליחת פינג, סריקת יציאות, התקפת מניעת שירות (DoS) והתקפות אחרות ברשת על חומות האש או המערכות ברשת, לא נחשבים כתקריות אבטחת מידע.

אחד ההיבטים המרכזיים בתוכנית הכוללת שלנו לאבטחה ופרטיות הוא תגובה לתקריות. יש לנו נוהל קפדני לניהול של תקריות אבטחת מידע, שמפרט מהן הפעולות שצריך לעשות, מתי צריך להעביר את הטיפול בתקרית לרמה גבוהה יותר, איך מצמצמים את הפגיעה ולמי מודיעים על תקריות שעלולות לפגוע בסודיות, בשלמות ובזמינות של נתוני הלקוחות.

בסקירה הכללית על תכנון האבטחה בתשתית ובמסמך העוסק באבטחה ב-Google Cloud מוסבר בהרחבה איך אנחנו שומרים על האבטחה ב-Google Cloud.

תגובה לתקריות אבטחת מידע

צוותי מומחים שמורכבים מבעלי תפקידים שונים הם אלה שמנהלים אצלנו את תוכנית התגובה לתקריות, כדי להבטיח שכל תגובה תותאם היטב לאתגרים הייחודיים של כל תקרית. צוות התגובה המקצועי יכול לכלול מומחים מהצוותים הבאים, בהתאם לאופי התקרית:

  • ניהול תקריות אבטחה בענן
  • הנדסת המוצר
  • Site Reliability Engineering
  • אבטחה ופרטיות בענן
  • זיהוי פלילי דיגיטלי
  • חקירות גלובליות
  • זיהוי אותות
  • יועצי אבטחה, פרטיות ומוצרים
  • אמון ובטיחות
  • טכנולוגיה למניעת ניצול לרעה
  • Cloud Customer Care

המומחים מהצוותים האלה פועלים במגוון דרכים. לדוגמה, מפקדי תקריות מרכזים את התגובה לתקרית, ואם צריך, צוות של זיהוי פלילי דיגיטלי מבצע חקירה פורנזית, אוסף ראיות ועוקב אחרי התקפות פעילוֹת. מהנדסי מוצרים פועלים להגבלת ההשפעה על הלקוחות ומספקים פתרונות לתיקון המוצרים שנפגעו. היועצים פועלים לצד האנשים המתאימים מצוות הפרטיות והאבטחה כדי ליישם את האסטרטגיה של Google לאיסוף ראיות, עובדים מול רשויות אכיפת החוק והרגולטורים ומייעצים בקשר לדרישות ולהיבטים המשפטיים. צוות Customer Care עונה לפניות של הלקוחות ומשיג פרטים נוספים ועזרה.

ארגון הצוות

כשאנחנו מכריזים על תקרית, אנחנו ממנים מפקד שירכז את התגובה אליה ואת הטיפול בה. מפקד התקרית מקים צוות תגובה שמורכב ממומחים מצוותים שונים, מקצה להם סמכויות לניהול ההיבטים השונים ומנהל את התקרית מרגע הכרזתה ועד לסיומה. בתרשים הבא מוצגות חלוקת התפקידים השונים והסמכויות של כל בעל תפקיד במהלך התגובה לתקרית.

תרשים ארגוני של צוות התגובה לתקרית אבטחת מידע

תהליך התגובה לתקריות אבטחת מידע

כל תקרית אבטחת מידע היא ייחודית במינה, ומטרת תהליך התגובה היא להגן על נתוני הלקוחות, להחזיר את השירות לפעולה תקינה כמה שיותר מהר ולתת מענה לדרישות הרגולטוריות והחוזיות כאחד. בטבלה הבאה מפורטים השלבים המרכזיים בתוכנית התגובה של Google לתקריות אבטחת מידע.

שלב התקרית מטרה תיאור
זיהוי איתור באמצעות תהליכים אוטומטיים וידניים אנחנו מאתרים נקודות חולשה פוטנציאליות ותקריות.
דיווח באמצעות תהליכים אוטומטיים וידניים אנחנו מדווחים על הבעיה לצוות התגובה לתקרית.
ריכוז ותיאום מיון ביצוע הפעולות הבאות:
  • תורן מצוות התגובה מעריך את אופי התקרית שדווחה.
  • התורן מעריך את חומרת התקרית.
  • התורן ממנה מפקד לתקרית.
מעורבות של צוות התגובה לתקרית ביצוע הפעולות הבאות:
  • מפקד התקרית סוקר ומעריך את העובדות הידועות.
  • מפקד התקרית ממנה אחראים מהצוותים הרלוונטיים ומקים צוות תגובה.
  • צוות התגובה מעריך את התקרית ואת מאמצי התגובה.
טיפול חקירה ביצוע הפעולות הבאות:
  • צוות התגובה לתקרית אוסף עובדות חשובות בקשר אליה.
  • משאבים נוספים משולבים לפי הצורך כדי להגיע לפתרון מהיר.
בלימה והתאוששות אחראי התפעול נוקט פעולה מיידית כדי:
  • להגביל נזק מתמשך.
  • לתקן את שורש הבעיה.
  • להחזיר את המערכות והשירותים שנפגעו לפעולה תקינה.
תקשורת ביצוע הפעולות הבאות:
  • בחינת העובדות המרכזיות כדי לקבוע אם יש צורך בהתראה.
  • שליחת עדכון למפתחים מרכזיים עם תוכנית תקשורת ואנשי קשר מתאימים.
סיום הטיפול הפקת לקחים ביצוע הפעולות הבאות:
  • צוות התקרית בוחן את התקרית ואת מאמצי התגובה בדיעבד.
  • מפקד התקרית ממנה אחראי על שיפורים לטווח ארוך.
שיפור שוטף הכנת תוכנית עדכון הצוותים, ההדרכות, התהליכים, המשאבים והכלים הנדרשים.
מניעה הצוותים משפרים את תוכנית התגובה לתקריות בהתאם ללקחים שהופקו.

כל אחד מהשלבים מפורט בהרחבה בהמשך.

זיהוי

כדי לנהל תקריות אבטחה, חשוב לזהות אותן מוקדם ובצורה מדויקת. בשלב הזיהוי ההתמקדות היא בניטור תקריות אבטחה, כדי לזהות תקריות פוטנציאליות של אבטחת מידע ולדווח עליהן.

צוות הזיהוי משתמש בכלי זיהוי מתקדמים, באותות ובמנגנוני התראה שמאפשרים לזהות מוקדם תקריות פוטנציאליות. המקורות שלנו לזיהוי תקריות הם, בין השאר:

  • ניתוח אוטומטי של הרשת ושל יומני המערכת: בעזרת ניתוח אוטומטי של התנועה ברשת ושל הגישה למערכת אנחנו מזהים פעילות חשודה, פוגענית או לא מורשית, ומעבירים תקריות לטיפול של צוות האבטחה.

  • בדיקות: צוות האבטחה מבצע סריקות יזומות לזיהוי איומי אבטחה באמצעות בדיקות חדירה, אמצעי בקרת איכות (QA), זיהוי פריצות אבטחה ובדיקות אבטחה לתוכנות.

  • בדיקות פנימיות של הקוד: אנחנו סורקים את קוד המקור כדי לגלות נקודות חולשה שמסתתרות בו, לזהות פגמים בעיצוב ולוודא שמנגנוני האבטחה מיושמים.

  • כלים ותהליכים ספציפיים למוצר: הצוותים משתמשים בכלים אוטומטיים שספציפיים לתפקידם בכל הזדמנות, כדי לשפר את היכולת שלנו לזהות תקריות ברמת המוצר.

  • זיהוי חריגות שימוש: אנחנו משתמשים בשכבות רבות של מערכות למידת מכונה כדי להבדיל בין פעילות בטוחה של משתמשים לבין התנהגות חריגה בדפדפנים, במכשירים, בהתחברות לאפליקציות ובאירועי שימוש אחרים.

  • התראות אבטחה במרכז הנתונים ובשירותי הארגון: באמצעות התראות אבטחה במרכזי הנתונים אנחנו מנסים לזהות תקריות שעלולות להשפיע על התשתית שלנו.

  • עובדי Google: עובדי Google יכולים לזהות חריגות ולדווח עליהן.

  • תוכנית התגמולים של Google לזיהוי נקודות חולשה: תוכנית שבמסגרתה חוקרי אבטחה חיצוניים יכולים לזהות בתוספים לדפדפן, באפליקציות לנייד ובאפליקציות האינטרנט שבבעלות Google נקודות חולשה טכניות פוטנציאליות שעלולות לפגוע בסודיות או בשלמות של נתוני המשתמשים, ולדווח עליהן.

ריכוז ותיאום

כשמתקבל דיווח על תקרית, התורן מצוות התגובה בודק אותה ומעריך את האופי שלה כדי להחליט אם היא מהווה תקרית פוטנציאלית של אבטחת מידע – ואם כן, מתחיל את תהליך התגובה לתקרית.

אחרי שהוא מאשר שמדובר בתקרית פוטנציאלית, התורן מעביר את הטיפול למפקד התקרית, שבוחן את אופייה ומתחיל בתגובה יזומה ומתואמת. בשלב הזה, התגובה כוללת הערכה של התקרית, שינוי מידת החומרה שלה במידת הצורך והפעלת צוות התגובה הנדרש שכולל אחראי תפעול ואחראים טכניים, שיבדקו את העובדות ויזהו אזורי מפתח שמחייבים חקירה. אנחנו ממנים אחראי מוצר ואחראי משפטי שיקבלו החלטות מרכזיות בקשר לאופן התגובה. מפקד התקרית מאציל סמכויות לחקירה והעובדות נאספות.

היבטים רבים בתגובה שלנו תלויים בהערכה של מידת החומרה, על סמך עובדות מרכזיות שצוות התגובה לתקרית אוסף ומנתח, כולל:

  • פוטנציאל הנזק ללקוחות, לצדדים שלישיים ול-Google.

  • אופי התקרית (לדוגמה, אם יש חשד שהייתה גישה לנתונים או שהם הושמדו או נעשו לא זמינים).

  • סוג הנתונים שיכול להיות שהושפעו מהתקרית.

  • ההשפעה של התקרית על היכולת של הלקוחות שלנו להשתמש בשירות.

  • סטטוס התקרית (לדוגמה, האם מדובר בתקרית מבודדת, בתקרית מתמשכת או בתקרית שנבלמה).

כשמתווסף מידע חדש במהלך מאמצי התגובה, מפקד התקרית ושאר האחראים מבצעים הערכה מחודשת לגורמים האלה כדי להבטיח שהמשאבים הנדרשים מוקצים ושהתקרית מטופלת במידת הדחיפות המתאימה. תקריות שיש להן את ההשפעה הקריטית ביותר מטופלות במידת החומרה הגבוהה ביותר. אנחנו ממנים אחראי תקשורת שיכין תוכנית תקשורת יחד עם שאר האחראים.

טיפול

בשלב הטיפול, ההתמקדות היא במציאת שורש הבעיה, הגבלת ההשפעה של התקרית, טיפול בסכנות אבטחה מיידיות (אם יש), יישום התיקונים הנדרשים כחלק מהתיקון ושיקום המערכות, הנתונים והשירותים שהושפעו.

ככל שיתאפשר לנו, נחזיר את הנתונים שהושפעו למצב המקורי שלהם. במידה הסבירה וכפי שנדרש בהתאם לכל תקרית לגופה, נבצע מספר פעולות שונות כדי לטפל בעניין. לדוגמה, יכול להיות שנצטרך לבצע חקירה טכנית או פורנזית כדי לשחזר את שורש הבעיה או לזהות השפעה על נתוני הלקוחות. יכול להיות שננסה לשחזר עותקים של הנתונים מעותקי הגיבוי שלנו, אם הם שונו בצורה שגויה או הושמדו.

אחד ההיבטים המרכזיים בתיקון הוא עדכון הלקוחות כשתקריות אבטחה משפיעות על הנתונים שלהם. לאורך התקרית, העובדות המרכזיות נבדקות כדי להחליט אם היא השפיעה על נתוני הלקוחות. אם יוחלט שיש צורך בעדכון הלקוחות, מפקד התקרית יתחיל את תהליך העדכון. אחראי התקשורת יכין תוכנית תקשורת עם מידע שיתקבל מאחראי המוצר ומהאחראי המשפטי, יודיע למי שהושפע מהתקרית וייתן מענה לפניות של לקוחות בעזרת צוות Customer Care.

אנחנו שואפים לשלוח עדכונים ברורים, מדויקים ובזמן, שמכילים את הפרטים הידועים בקשר לתקרית אבטחת המידע, האמצעים שנקטנו כדי לצמצם את הסיכונים הפוטנציאליים והפעולות שאנחנו ממליצים ללקוחות לבצע כדי לטפל בתקרית. אנחנו עושים כמיטב יכולתנו כדי לספק תמונה ברורה לתקרית כדי שהלקוחות יוכלו להעריך בעצמם את הצורך בעדכון, ולעדכן את מי שצריך.

סיום הטיפול

בסיום הטיפול בתקרית אבטחת המידע ואחרי תיקון הבעיה, צוות התגובה בוחן את הלקחים שהופקו בעקבותיה. אם התקרית הציפה בעיות קריטיות, מפקד התקרית יכול ליזום ניתוח פוסט מורטם, שבמהלכו צוות התגובה בוחן את הסיבות לתקרית ואת התגובה שלנו ומזהה נקודות מרכזיות לשיפור. בחלק מהמקרים, הדבר ידרוש שיחות עם צוותי מוצר, הנדסה ותפעול שונים ופעולות לשיפור המוצר. אם תידרש פעולה נוספת, צוות התגובה יכין תוכנית פעולה וימנה מנהלי פרויקט שיהיו אחראים על ביצועה בטווח הארוך. התקרית תסתיים כשיסתיימו מאמצי התיקון.

שיפור שוטף

אנחנו ב-Google שואפים ללמוד מכל תקרית וליישם אמצעים שימנעו הישנות של תקריות.

בעזרת התובנות הפרקטיות מניתוח התקרית אנחנו יכולים לשפר את הכלים, ההדרכות והתהליכים שלנו, וכן את התוכנית הכוללת לאבטחה, לפרטיות ולהגנה על הנתונים, את מדיניות האבטחה ואת מאמצי התגובה. בזכות התובנות המרכזיות אנחנו גם יכולים לתעדף את המאמצים ההנדסיים וליצור מוצרים טובים יותר.

כדי לשפר את התוכניות שלנו, מומחי האבטחה והפרטיות בוחנים את תוכניות האבטחה של כל הרשתות, המערכות והשירותים, ומעניקים לצוותי המוצר וההנדסה שירותי ייעוץ ספציפיים לפרויקט. מומחי האבטחה והפרטיות משתמשים בלמידת מכונה, בניתוח נתונים ובשיטות חדישות אחרות כדי לנטר פעילות חשודה ברשתות שלנו, לטפל באיומי אבטחת מידע, לבצע ביקורות ובדיקות שגרתיות לאבטחה ולערב מומחים חיצוניים לביצוע בדיקות אבטחה שוטפות. נוסף על כך, יש לנו צוות המכונה Project Zero, שמטרתו למנוע מתקפות ממוקדות על ידי דיווח על באגים לספקי התוכנה ותיעוד שלהם במסד נתונים חיצוני.

אנחנו עורכים הדרכות שוטפות וקמפיינים להעלאת המוּדעוּת כדי לעודד חדשנות בתחום האבטחה ופרטיות הנתונים. העובדים מצוותי התגובה לתקריות עוברים הדרכות בנושאי זיהוי פלילי וטיפול בראיות, כולל שימוש בכלים שבבעלותנו וכלים של צדדים שלישיים. אנחנו בוחנים את התהליכים והנהלים של התגובה לתקריות באזורים מרכזיים, כמו מערכות שבהן מאוחסנים נתונים רגישים של הלקוחות. בבדיקות האלה נלקחים בחשבון מגוון תרחישים, כולל איומים מבית ונקודות חולשה בתוכנה, ובעזרתן אנחנו יכולים להיערך טוב יותר לתקריות אבטחה ופרטיות.

התהליכים שלנו נבדקים באופן שוטף כחלק מהתוכניות שלנו לעמידה בתקנים ISO-27017‏, ISO-27018, ‏ISO-27001, ‏PCI-DSS, ‏SOC 2 ו-FedRAMP, כדי שללקוחות שלנו ולרגולטורים יהיו אישורים ממקורות בלתי תלויים בקשר למנגנוני האבטחה, הפרטיות והתאימות שלנו. במרכז המשאבים בנושא תאימות תוכלו למצוא את רשימת האישורים של Google Cloud ממקורות צד שלישי.

סיכום

בלב העסק שלנו ניצב הצורך להגן על הנתונים. אנחנו כל הזמן משקיעים בתוכנית האבטחה הכוללת, במשאבים ובמומחיות, כדי שהלקוחות שלנו יסמכו עלינו שנגיב ביעילות לכל תקרית, נגן על הנתונים שלהם ונשמור בשירותי Google על הרמה הגבוהה של מהימנות שהלקוחות מצפים לקבל.

תוכנית התגובה שלנו לתקריות היא מהמובילות בתחום, וכוללת את החלקים הבאים:

  • תהליך שנשען על שיטות מוֹבִילות לטיפול בתקריות וממוקד בשימוש יעיל בקנה המידה של Google.

  • מערכות ניטור, כלים לניתוח נתונים ושירותי למידת מכונה מהחלוצים בתחומם, שבעזרתם אנחנו יכולים לזהות ולבלום תקריות באופן יזום.

  • מומחים ייעודיים בתחום שיכולים לתת מענה לתקריות אבטחת מידע מכל סוג והיקף.

  • תהליך מבוסס לעדכון מהיר של הלקוחות שהושפעו, שעולה בקנה אחד עם המחויבויות של Google בתנאים ובהגבלות ובהסכמים שלנו עם הלקוחות.

המאמרים הבאים