NIST CSF 2.0 Quizz

מהי המטרה העיקרית של פונקציית ה-Govern במסגרת ה-NIST CSF 2.0?

• לסרוק את הרשת ולזהות חולשות תוכנה

• לבחון נהלי התאוששות ושחזור לאחר פריצה

• לקבוע מדיניות, הנחיות ואחריויות לניהול סיכוני סייבר בארגון

• לגלות התקפות סייבר בשלב מוקדם

איזה היבט אופייני של פונקציית Protect קשור להגברת מודעות עובדים בארגון?

• מיפוי ספקים צד שלישי בעסקאות מסחר אלקטרוני

• הקמת ועדת סייבר בדירקטוריון הארגון

• ניטור חריגות ויצירת התראות לאירועי סייבר

• קורסים והדרכות תקופתיות למניעת הונאות פישינג

מה הוא סדר הפונקציות בתכנית ה-NIST CSF 2.0? סדר לפי האות הראשונה של כל פונקציה.

מה מהבאים מדגים את עיקרון “Govern → Identify → Protect” באופן נכון?

• לקבוע מדיניות ונהלים (Govern), למפות את הנכסים והסיכונים (Identify), ואז ליישם בקרות הגנה טכניות ונהלים (Protect)

• להגדיר בקרת גישה ולבדוק אם העובדים מקיימים את כללי השימוש, ואז להפעיל ועדת משילות

• לשנות את מבנה הרשת מיד לאחר זיהוי חולשה טכנית ולגבש מדיניות בדיעבד

• ליישם אנטי וירוס ו-Firewall בתחנה, אחר כך לקבוע אחראים בתפקידי סייבר, ולבסוף לנסות למפות את הנכסים

חברת "סטאר-טק" השתלטה על חברת סטארט-אפ קטנה כדי להרחיב את בסיס הלקוחות שלה. בדיעבד התברר שלאחר המיזוג, כמה שרתים קריטיים של החברה הנרכשת נותרו מחוץ לרשת המנוטרת של "סטאר-טק", ללא עדכוני אבטחה וללא בקרה. כתוצאה מכך, בוצעה מתקפת סייבר שמקורה באותם שרתים לא מנוטרים.

איזו פונקציה חסרה (או לא בוצעה כראוי) בצורה הבולטת ביותר בסיטואציה זו?

• Recover – החברה לא ידעה איך לשחזר את המערכות לאחור לאחר התקיפה

• Respond – החברה לא הגיבה בזמן להתקפה כאשר הופיעו התראות ראשוניות

• Identify – החברה לא מיפתה את כל הנכסים הקריטיים לאחר המיזוג

• Protect – החברה לא הטמיעה בקרות הגנה מידיות בשרתי החברה הנרכשת

בארגון פיננסי גדול, המנכ"ל עדכן את כלל העובדים שכל כניסה למערכות תצריך כעת אימות רב-גורמי. יחד עם זאת, הוחלט לא לבצע הדרכות לצוותים טכנולוגיים מתוך הנחה שהם כבר יודעים להסתדר עם האפליקציה החדשה. כעבור חודש נתגלו בעיות רבות: עובדים איחרו לחיבור, התקבלו תלונות על עיכובים, וכמה עובדים עקפו את הנהלים באמצעות שיתוף סיסמאות.

איזה היבט של הפונקציות Govern, Identify או Protect בולט בהיעדרו לפי התרחיש?

• קביעת מדיניות כללית בארגון (Govern)

• הערכת סיכונים למערכות MFA (Identify)

• הגדרת בקרות גישה בסיסיות (Protect)

• הדרכה וסגירת פערים אנושיים כחלק מתוכנית ההגנה (Protect)

חברת "מגן-ענן" פיתחה תוכנית הדרכה למודעות סייבר והעבירה אותה לכל עובדי החברה. למרות זאת, בשבוע לאחר מכן נחשף מאגר מידע של לקוחות, משום שאחד המנהלים הבכירים המשיך להשתמש בסיסמת ברירת מחדל וישנה לשרת שבו שמר נתוני אשראי.

מה משקף הסיפור לגבי יישום פונקציית Protect?

• בעיה בתגובות לאירוע (Respond), כי הייתה דליפה לאחר ההדרכה

• כשל בשלב Identify – אין קשר להדרכה או סיסמאות

• כשל בהטמעת בקרות גישה ומדיניות סיסמאות, למרות שהיו הדרכות כלליות

• יישום מושלם של הדרכות לעובדים וכפועל יוצא, עמידה מלאה בדרישות הסייבר

חברה קטנה למתן שירותי תוכנה מחזיקה מידע אישי על לקוחותיה בענן ציבורי ללא הצפנה או הגבלת גישה. לאחר תקיפת סייבר, החברה הבינה שזיהוי הנכסים שלה (ובפרט המידע הרגיש) לא עודכן מעולם, והגדרות האבטחה בשרת מרוחק הוגדרו כברירת מחדל.

מה היה יכול למנוע את הפגיעה בצורה המיטבית?

• הסתמכות בלעדית על פתרון אנטי-וירוס מקומי במקום להשתמש בענן

• Identify מקיף של כל מאגר מידע רגיש והחלת בקרות הגנה (Protect) על סמך התיעדוף

• קביעת מדיניות משילות (Govern) לצמצום השימוש בספקי ענן

• יישום מורכב יותר של תהליכי Respond ושחזור מהיר (Recover)

ארגון "האקדמית טק" ביצע תהליך סדור לזיהוי סיכונים (Identify) והטמיע בקרות הגנה חזקות (Protect). עם זאת, בדו"ח ביקורת פנימית נמצא שיש בלבול בקרב הנהלת הארגון לגבי אחריותם של מנהלים שונים לנושאי אבטחת המידע, ויש קושי לרתום את הדירקטוריון לתהליכי אישור תקציב והחלטות אסטרטגיות בתחום הסייבר.

• פונקציית Recover –

  תכנון גיבויים אוטומטיים למערכות קריטיות

• פונקציית Identify –

  הפקת דוחות מפורטים יותר על המערכות

• פונקציית Govern –

  הגדרת אחריותיות (Accountability) וסמכויות ברמה ההנהלתית

• פונקציית Protect –

  הרחבת נהלי האבטחה על שרתים ישנים

ארגון ממשלתי בשם "ארגונית" מפעיל תשתיות קריטיות ומחויב ברגולציה גבוהה בתחום הסייבר. בביקורת חיצונית התגלה שהארגון טיפל היטב בפרצות אבטחה שהופיעו בעבר, אך לקה בחוסר עקביות בניהול תצורה (Configuration Management) ובמעקב אחר עדכוני אבטחה. הדו"ח ציין במיוחד:

• פונקציית Govern קבעה מדיניות עדכונים רבעונית, אך יש פער משמעותי בין המחלקות השונות ביישום המדיניות.

  פונקציית Identify איתרה נכסים פגיעים בתשתיות OT (Operational Technology) שלא טופלו חודשים ארוכים.

  פונקציית Protect הותקנה רק באופן נקודתי בחלק מהמערכות הנחשבות "מורכבות", ללא תהליכי פאטצ'ינג סדירים או הקשחת התקני OT.

בהתאם למסגרת NIST CSF 2.0, מהו המהלך המרכזי שהארגון צריך לאמץ כדי לשפר את החוסן בסייבר באופן עקבי ומתמשך?

• לחזק את הקשר בין Govern ל-Protect ול-Identify על ידי ניהול תצורה מתמשך ומעקב אחר עדכונים (Configuration & Patch Management) בכל יחידות הארגון, בליווי הנחיה מדיניות ברורה ואחידה.

• להשקיע בכלי SIEM יקר מאוד שנועד לגילוי חריגות בזמן אמת, בלי לגעת בתהליכי המדיניות וסקירת הנכסים הקיימים.

• ליזום סימולציות של אירוע סייבר (Incident Drill) כל חודש, במקום לעסוק ב-Govern או Identify.

• להתמקד רק בפונקציית Respond כדי לטפל בהשלכות האירועים לאחר שיתרחשו.