מומחי אבטחת המידע של איי פי וי סקיוריטי מבצעים מבדקי אבטחת מידע בארגונים רבים ומגוונים ולפיכך נחשפים לכל הטכנולוגיות הקיימות בעולם אבטחת המידע. 

לעיתים קרובות אנו נשאלים: "מה דעתכם על הפיירוול של ..." או "איזה WAF כדאי לשים"  או "כיצד לבחור את המוצר המתאים לארגון כמו שלנו הרי אנחנו לא משרד הבטחון!". שאלה נוספת מאוד נפוצה היא "איך אני משכנע את המנהלים שלי שכדאי לנו להשקיע ולקנות NAC?" ועוד ועוד.

כמה דובר, נכתב ועוד ייכתב על האיום הפנימי...

את האיום הפנימי ניתן לחלק לשתי קטגוריות עיקריות: איום בזדון ואיום בשוגג. הטיפול וההתייחסות לכל אחד מסוגי האיומים הינו שונה במהותו ובתכליתו וכמובן שבמסגרת מאמר זו נוכל רק לגעת בקצרה במאפיינים של כל קטגוריה.

ההתלבטות מתי לבצע סקר סיכונים, באיזה היקף, ואם בכלל יש צורך קיימת בכל ארגון ומקורה בעובדה ש"לא קרה לנו כלום כבר כמה שנים", אנחנו בטוחים שאנו עושים את כל הפעילויות כראוי, יש קיצוצים בתקציב וסקר הינו פריבילגיה ועוד ועוד.

להבדיל בדיקות וביקורת תקופתית/שנתית הן עניין שבשגרה כשמדובר בגופנו או ברכבנו למשל. אין לנו כל שאלה אם צריך, למה וכמה...

בשנים האחרונות מאפשרים ארגונים רבים גישה מאובטחת ממחשבים מרוחקים לרשת התקשורת הפנימית של החברה. חיבור מאובטח זה מאפשר לעובדי החברה, לשותפים עסקיים ולחברות המספקות תמיכה להתחבר מרחוק אל הרשת הארגונית דרך רשת האינטרנט ולבצע בה פעולות רבות.

במרבית המקרים, מתבצע חיבור מאובטח בין הלקוח (המחשב המרוחק) לבין תוכנה מרכזית הנמצאת בארגון, וזאת באמצעות אמצעי הזדהות כלשהו המסופק ע"י הלקוח ואלגוריתם הצפנה כזה או אחר אשר תפקידו להצפין את התעבורה בין המשתמש המרוחק לבין הרשת הארגונית.

סוגי הפתרונות המובילים להתחברויות מסוג זה הינם VPN, SSL-VPN ועוד; אמצעי ההזדהות כוללים מגוון רחב של אמצעים - החל מהקלדת שם משתמש וסיסמה, דרך Tokens המייצרים One-Time-Password (סיסמה לשימוש חד-פעמי אשר תוקפה מוגבל בזמן), המשך ב-SSO (Single-Sign-On), Two-Factor Authentication, כרטיסים חכמים ועוד.

ניהול סיסמאות והרשאות ברמות התשתית ובאפליקציות השונות בארגון הינו בעייתי מעצם היותו נוגד את הטבע האנושי אשר לא אוהב שינוי ומאופיין בזכרון קצר. בכל ארגון אפליקציות רבות אשר לעיתים מנהלות באופן עצמאי את רשימות המשתמשים והסיסמאות שלהן או לחילופין מבססות את נושא ניהול המשתמשים על ה-Active Directory (ראו מאמר בנפרד). חשיבות ניהול הסיסמאות (כולל כמובן מורכבותן, אורכן, חוזקן וכו') גבוהה במידה כזו, שגם אם נשקיע אמצעים ומשאבים רבים בכל אמצעי האבטחה האחרים שאמורים להגן עלינו מפני מתקפות - ונזניח את ניהול הסיסמאות - הרי שנייצר במו ידינו את החוליה החלשה בשרשרת האבטחה. וכידוע - חוזקה של השרשרת נמדד תמיד בחוסנה של החוליה החלשה ביותר.

ניהול משתמשים, קבוצות, הרשאות ומשאבים הינו נושא הדורש תשומת לב x24x3657 - מבחינת קביעת מדיניות ארגונית ברורה ואחידה, אכיפתה ותחזוקתה השוטפת. חשיבות ניהול הכלים המשמשים למטרה זו - כדוגמת ה-Active Directory של מיקרוסופט, אחד הנפוצים שבהם, גבוהה ביותר.