Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444

עגול-שולחן מפגש סיכום

מניעת זליגת מידע 0202 נובמבר

מאור גייגר שחר: עורך

Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444

Contents 2 ........................................................................................................................................ הקדמה

4 ........................................................................................................................... החמים הנושאים

DLP? .................................................................................................................... 4 ה שנת 0200

4 .................................................................................................................. ?"בגארדן? בפורום"

4 .................................................................................................................... משלימים פתרונות

4 ................................................................................................ מידע דליפת של הרמטית מניעה

5 .................................................................................................................... המידע סיווג שאלת

ROI ................................................................................................................. 5 מול גבוהה עלות

5 ................................................................................................................. מידע ודליפת פרטיות

5 ......................................................................................... במפגש המשתתפים הארגונים סטאטוס

6 ..................................................................................................................... גלובלי\עסקי מגזר

7 .............................................................................................................. ביטחון\הממשלה מגזר

8 ......................................................................................................................... הפיננסי המגזר

9 ........................................................................................................................ השירותים מגזר

DLP ................................................................................................................ 9 לפרוייקטי דוגמאות

9 .................................................................................................................... 0- לדוגמא הטמעה

10 .................................................................................................................. 0- לדוגמא הטמעה

11 .................................................................................................................. 3- לדוגמא הטמעה

12 .......................................................................................... הפרטיות לסוגיית התייחסות-' א נספח

14 .................................................................................. במפגש לנאמר ספקים התייחסות-' ב נספח

14 ..................................................................................................... סמיע אלון– Covertix חברת

14 ................................................................................................................ כהן רובי– HP חברת

15 ................................................................................................................ טל יוסי– IBM חברת

16 ................................................................................................. גוטליב רונן– Microsoft חברת

17 ........................................................................................................ רויטמן רוני– One1 חברת

הקדמה

אבטחת מידע עוסקת בראש ובראשונה בהגנה על המידע הארגוני. מבין כל קטגוריות היא האתגר הגדול מכולם. מדוע? מכיוון שמניעת זליגת מידע האבטחה, מניעת זליגת מידע

לתפר שבין הטכנולוגיה דדות של מנהל אבטחת המידע בדיוקמביאה את חזית ההתמו .אנשיםל

דרך מידע מקורם במעשה או שורת מעשים של עובדים בארגון. בעל פי רוב, ארועי זליגת כוונות זדון.אפילו תנהגות בעייתית של העובד או מדובר בטעות אנוש, רשלנות, ה כלל

חשוב להבין כי מניעת זליגת מידע היא אתגר לא פשוט כלל ועיקר. במקרים רבים יוצא כחלק משגרת העבודה. ברבים המידע הארגוני משליטת הארגון דרך ערוצים לגיטימיים

מהארגונים העסקיים כיום מקובל לשתף מידע רגיש גם גורמים חיצוניים שאינם כפופים

Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444

למדיניות אבטחת המידע הארגונית. כך זה המצב כשחברה מסחרית מעוניינת לקדם קמפיין יר ועליה לחשוף נתונים רגישים בפני יועצי הפרסום שלה וכזה הוא המצב כשגוף בטחוני מעב

מידת השליטה במידע . כחלק ממכרז שגרתי נתונים הקשורים למערכותיו לספק חיצוניהארגוני הולכת ויורדת בהתמדה ככל שצריכת המידע נעשית מחוץ ל"גבולות" הרשת

הארגונית. המציאות העסקית של היום דוחפת לשיתוף מידע כדי לייעל את התהליכים של העובדים בארגונים מעלה גם היא את הסיכון מידת הניידות קדם את העסק. העסקיים ול

חשב הנייד או מלדלף מידע שכן חלק גדול מצריכת המידע שלהם נעשית "מהדרך" ב במכשיר הסלולר ולא בתוך המשרד.

את תנועת מוחסימנהלי אבטחת המידע מוצאים את עצמם לא פעם בעמדה לא נוחה: אם לחשוף יםעלול יעשו זאת הםבהתנהלות העסק, אך אם לא הם עלולים לפגוע המידע החוצה

.סיכוני אבטחה כבדיםאת הארגון ל

)מניעת זליגת מידע( הוא כל אותן טכנולוגיות ומתודולוגיות שנועדו לתחום DLPתחום ה יודעים לשמור על firewallמחדש את גבולות השליטה במידע הארגוני. אם פתרונות כדוגמת

ידעו לזהות במדוייק DLPפתרונות , )לדוגמא, רשת התקשורת בארגון( םויילוגי מס אזורשום קשר למיקום מהו מסמך רגיש ואיך לאפשר השימוש בו על פי המדיניות הארגונית בלי

.המסמך ברשתכמו IRM (information rights management)מתחום הנקרא פתרונות משלימיםSecure Islands ,Coveritx לאפשר הוצאת מסמכים מתחומי הארגון אף תוכננוואחרים

תוך ניטור השימוש בהם ושמירה על אותה מדיניות גם מחוץ לגבולות הארגון.

מקרים כדוגמת דליפת המידע ממערכות משרד החוץ האמריקאי שנחשפו בימים האחרונים יחד הנהלים והטכנולוגיה גם או פרשת ענת קם, הם דוגמא להזנחת Wikileaksבאתר

. לפי גישה זו "בונים" על והתבססות על גישה ארכאית לפיה מי שעבר סיווג הוא "משלנו"צריכה . גישה זו שהייתה נפוצה ברוב ארגוני הביטחון בישראלהתנהלות צייתנית של הפרט

ומה לגישות מתקדמות יותר של שילוב נהלים בטכנולוגיה מתאימה. לפנות מק

נולוגיה לבדה לא תיתן מענה מספק. ארועי זליגת מידע טכברור שכמו שציינתי קודם, מתרחשים בראש ובראשונה בגלל מעשים של אנשים ולכן יש חשיבות גדולה מאוד

, אולם אין להשאיר בהתייחסות מתודולוגית וחינוכית כחלק מפרוייקט למניעת זליגת מידע 3ורך תקופה ארוכה את רוב המשקל לנהלים ובירוקרטיות. אם רב"ט אחד מסוגל להוריד לא מיליון מסמכים זה אומר שאין שום בקרה טכנולוגית אפקטיבית בנמצא.

ברגע שמעלים את המודעות בקרב העובדים, ניתן להוריד את מספר העבירות ברור, כי

המשמעתיות בעשרות אחוזים וזאת עוד לפני שהושקע כסף בהטמעת פתרונות טכנולוגיים. . הסקרנות בלבד הנחה כי העובדים יצייתו לאורך זמן לנהליםמצד שני, אסור להשען על ה

הטבעית וה"ישראליות" של העובדים תביא אותם במוקדם או במאוחר לבדוק את המערכת )"סתם סיקרן אותי לראות אם אני יכול להכנס לתיקייה הזו"(.

דוניים ויש אם קיים בארגון גורם שמניעיו ז יש לזכור: בהמשך לארועים האחרונים בחדשות הנהלים, במקרה ימצא דרך לעקוף את כל אמצעי האבטחה., הוא לו מספיק ידע ומוטיבציה

.ולכן רוב המשקל חייב לעבור לטכנולוגיה לא ישנו דבר הזה,

ארגונים גדולים במשק. 25מ נהלי ומנהלות אבטחת מידעמ 28השתתפו הפעם במפגש בכל המשמעויות הקשורות בפרוייקטי Wikileaksמשתתפים אלה דנו, בלי קשר לפשרת

(, בהיבטים המשפטיים שלהם, בפתרונות הקיימים ושמעו מארגונים שבהם DLPדלף מידע ) בוצעו פרוייקטים, היכן כדאי לשים דגש ולאלו בורות אסור להכנס.

Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444

הנושאים החמים

?DLPשנת ה 3122קיים במודעות של מנהלי האבטחת המידע. "האוייב DLPכבר כמה שנים שתחום ה

מבפנים" מוכר כסיכון הולך וגדל לאור המקרים המפורסמים תדיר בחדשות. חרף זאת, תחום זה לא הצליח לתפוס תאוצה עד לא מזמן. בחלק גדול מהארגונים נתפס התחום כלא בשל,

האחרונות חלו שינויים מסורבל ויקר ומספר הפרוייקטים שהחלו היה קטן מאוד. בשנתייםבמפת ספקי הפתרונות ורבות מהיצרניות הקטנות ניקנו על ידי השחקנים הגדולים. בקרב

DLPדובר על 2008בדיון שקיימנו בשנת מנהלי אבטחת המידע חזר הנושא לסדר היום. חלק , מהדוברים ראו בה בחובה ארגונית קטן חלקש מה מעניינת וחמה, אולם בעודמג כעל

השנה השתנה כיוון הרוח וחלק ניכר מהדוברים .nice to haveמותרות או ראו בכך אחר . 2011כעל סעיף רלוונטי מאוד )לפחות ברמת הדיון( לתוכנית העבודה ב DLPמדברים על

מאוד חשובים ברוב הארגונים בחדר אולם ברבים מהם הם לא יצאו DLPכיום פרוייקטי לפועל מסיבות שונות כמו תקציב, רגולציות חונקות שמורידות את הפרוייקט בסדר

מעניין יהיה לראות מה יהיה בשנה הקרובה.העדיפויות, מחסור בכוח אדם ועוד.

"בפורום? בגארדן?"או בתחנות הקצה? אולי בשני המקומות? פרוייקט כללי או רק ניטור מיילים? GateWayב

. גישות שונות. מהדיון לא יצאה תשובה אחת אחידה לכל המשתתפים DLPלפרוייקט ההיפך. כמעט כל אחד מהדוברים בעלי הניסיון אומר בצורה חד משמעית כי אין דין ארגון א'

להעשות לאחר תהליך מדוקדק של איפיון וזיהוי צרכי כדין ארגון ב'. תפירת פיתרון חייבתהארגון. אחד ההבטים שישפיעו מאוד על אופי הפיתרון הנבחר הוא התרבות הארגונית

ומידת הגיבוי מההנהלה ומהלשכה המשפטית.. פתרונות אלה GWעם זאת, ברור כי ההטמעות "הקלות" והמהירות יותר מבוצעות ב

צרים" מהירים מאוד מהמערכת ולהצדיק את ההשקעה. מאפשרים ללקוח "להראות תוהטמעות בתחנות הקצה מאופיינות בסיכון וסיבוך גדולים יותר, אך ביכולת אפקטיבית גדולה

יותר לזהות ארועים אמיתיים של דליפת מידע.

פתרונות משלימיםבהרבה ארגונים הוא השלב האחרון של התמודדות עם מניעת זליגת מידע. DLPפרוייקט

מהדיון עולה כי ברוב הארגונים בחדר מיושמים שורה של פתרונות שונים שנועדו, בשילוב עתידי לתת מענה מקיף לבעיית זליגת המידע בארגון. בחלק גדול DLPעם פיתרון

(, device controlכזי של התקנים חיצוניים )מהארגונים מיושמים פתרונות כדוגמת ניהול מר ושימוש במערכות ניטור. DoKו הצפנה של מחשבים ניידים

פתרונות אחרים שדובר עליהם במפגש הם כל אותם פתרונות שנועדו לתת מענה לניהול מידע ארגוני מחוץ לשליטת הארגון. בהקשר זה דובר בעיקר על פתרונות מעולם ה

information rights management מההתרשמות של העורך, רוב המשתתפים שמעו או .קראו על פתרונות מהסוג הזה, אולם רק חלק קטן מהמשתתפים באמת מכירים את

פתרונות אחרים שהוזכרו הם הצפנת מיילים ושימוש בכספות וירטואליות.יכולותיהם.

מניעה הרמטית של דליפת מידען דבר כזה חסימה הרמטית. כל מי שדיבר במפגש וראה ...למי שלא היה בטוח לגבי זה: אי

מבין, כי תחת האילוצים העסקיים של היום לא ניתן להבטיח ברמה גבוהה DLPפתרונות למרות חוסר הבשלות של חלק מהטכנולוגיות, לא של ביטחון שלא ידלוף מידע מחוץ לארגון.

ת בכירים כתוצאה מהפעלת חוק במערכת \הפחד מחסימת מייל של מנהל הן הגורם המגביל.הוא תמריץ מספיק כדי לקחת "צעד אחורה" ולנטר את המידע בצורה פחות DLPה

אגרסיבית.

Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444

שאלת סיווג המידעכאחת הנקודות המסובכות ביותר גם סיווג המידע הארגוני מתברר בדיון זה ובדיונים קודמים

. גם בקרב אותם ארגונים שהחלו פרוייקט ואף סיימו הטמעה ניתן DLPט לי קשר לפרוייקב

לראות עד כמה חלקי הוא הסיווג באותם ארגונים מורכבים.

DLPיהפכו פרוייקט מצד שני, העדר איתור וסיווג ראשוני או חלקי לפחות של המידע הרגיש

למאתגר הרבה יותר. שיטות הסיווג מתגלות כיצירתיות ומעניינות לא פחות מהפרוייקט עצמו. בחלק מהמקרים

מדובר על ראיונות אישיים עם בעלי המידע, בחלק מהמקרים מופעלים כלים טכנולוגים ובחלק מהמקרים נשלחו מיילים עם מספר שאלות מנחות שעזרו למנהלי הפרוייקט

להתחקות אחר המידע הרגיש.

ROIעלות גבוהה מול מול DLPאחד הנושאים שעלו מספר פעמים במפגש נוגע לעלות הגבוהה של פרוייקטי

הערך העסקי העצום שלהם.חלק מהדוברים שהסכימו לציין סדרי גודל של עלויות סיפרו כי מדובר בפרוייקטים יקרים

ו בארגונם לפני בצורה בולטת. אחדים מהמשתתפים אף ציינו במפורש הערכות עלות שבוצעתחילת הפרוייקט. חשוב להבין כי עלות גבוהה של פרוייקט בעל נטייה אבטחתית מקשה

מאוד על גיוס הכסף עבורו, שכן אבטחת מידע נתפסת באופן מסורתי על ידי מקבלי .כהשקעהולא כהוצאהההחלטות

גונים שכן , מעניין מאוד להקשיב לשינוי הגישה שחל בקרב מנהלים בארלאור דברים אלהיישמו פרוייקט. ברגע שמנהלי המערכת החלו להראות "תוצרים" ויירוטים מעניינים מתוך

. בהמשך המסמך מצוטטים המערכת, ראו מנהליהם "במו עיניהם" למה מערכת כזו מסוגלתחלק מאותם מקרים בהם מנהל בארגון מודה כי המערכת "מחזירה את העלות שלה כל

חודש מחדש".

ודליפת מידעפרטיות DLPנציג ארגון שמממש סוגיה אחרת שמטרידה משתתפים רבים היא סוגיית הפרטיות:

" goהוא רגיש ואינטימי מאוד. חוץ מ " מערכתהמאשר כי המידע אליו נחשפים בהפעלת

משפטי שחייבים לקבל טרם הפרוייקט, יש להקפיד על שמירה על פרטיות העובדים בתוך

חיד שנחשף ללוגים של המערכת הוא הוא עצמו. במידה והוא זיהה התהליך. בארגונו, הי

ארוע שדורש התייחסות, הוא מתייעץ עם המנהל שלו. חלק מהמשתתפים האחרים שאלו

האם בכלל חוקי לבלוש בצורה כזו אחרי מידע פרטי של העובדים? סוגיית החוקיות מהווה

בחדר כדי לתת תשובות מחלוקת בין המשתתפים בדיון, כשחסר ידע משפטי מתאים

מוחלטות. חלק מהמשתתפים טוענים כי על פי החוק מותר לנטר מידע "במידתיות". אחרים

ים טען כי כל המידע שקיים במשאבי פשואלים, מה זה אומר "מידתיות"?. אחד המשתת

הארגון "שייך" לארגון ואינו פרטי. משתתף אחר שאל האם, לפי ההגיון הזה, ניתן להציב

חדרי שירותים? מצלמה ב

או פרוייקט הדורש חשיפה של DLPהמסקנה מכל הדיון היא שארגון שהולך לכיוון פרוייקט

בגיבוי משפטי מתאים. גבהל העובדים ללא ידיעתם, כדאי שיתשמידע

נים המשתתפים במפגשסטאטוס הארגו

Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444

גלובלי\מגזר עסקיבארגון גלובלי מהמגזר העסקי אין פיתרון המוגדר כפיתרון למניעת זליגת מידע. בארגון זה

בפתרונות משלימים נוספים כמו כמו כן משתמשים . של מיקרוסופט RMSעושים שימוש ב

. ראו מספר פתרונות ם בחנו בעבר ואףה DLPאת נושא ה הצפנה של מחשבים ניידים.

שיישום פיתרון בארגון גלובלי, המורכב ממגוון אוכלוסיות הגיעו למסקנה בסופו של דבר

במספר מדיניות, יהיה "סיוט".

היא סוגייה שנפתחה כבר לפני שלוש שנים DLPארגון דומה מאותו מגזר סיפר כי גם אצלם

ל הגיעו למסקנה ש"זה לא יעבוד" בגלעם מוצרים שהיו זמינים באותה תקופה. גם בארגון זה

אופי האוכלוסיה והדינמיות הארגונית מקשים מאוד על יישום מדיניות האופי הארגוני.

בארגון זה ביצעו חישובי עלות של הפרוייקט והגיעו . DLPאפקטיבית וסטנדרטית של

אין כיום מדיניות או כתוצאה, למספרים מאוד גבוהים יחסית לפרוייקטי אבטחת מידע אחרים.

RMSמיישמים גם בארגון זה . אך הנושא עולה לבחינה מדי כמה זמן, מרכזי DLPפרוייקט

והשליטה במידע שיוצא מחוץ לדומיין הארגוני , אך מציינים את סוגיית הניהול כפיתרון מפצה

התלבטות . (Pointsec)במקרה הזה עם גם בארגון זה מצפינים מחשבים . ותחלש ותכנקוד

ליישם את הם החליטו. Win 7רכת הפעלה שהייתה להם נגעה להצפנת ניידים בעלי מע

פיתרון אבטחתי נוסף שמיושם אצלם הוא שימוש . (BitLockerהפיתרון של מיקרוסופט )

מוצפנים. DOKשכיח מאוד ב

כלל DLPארגון נוסף שלישי מאותו מגזר חווה אותן התלבטויות וקשיים ביישום פיתרון

מהפרוייקט תידרש ככל הנראה עבודת מיפוי מאסיבית . נציג ארגון זה מספר כי כחלק ארגוני

של היחידות העסקיות כדי לזהות את המידע הרגיש. הקצאת משאבים לנושא זה היא

זה מיושמים חלק מהאמצעים שהוזכרו בארגונים בארגון. גם מגבלה גדולה מאוד במבחינתם

פיתרון מיילים. )סימנטק( להצפנת PGPהקודמים. בארגון זה בחרו להשתמש בפיתרון של

זה נותן להם מענה מאוד טוב לעבודה עם גורמי חוץ.

יש אמר שלדעתו הכל קשור לחינוך. אומנם המורכב ממספר חברות בנות עסקי ג ארגוןנצי

: "הטכנולוגיה טובה לאנשים שפועלים בתום אי אפשר לסמוך עליהן בלבדטכנולוגיות אבל

מספר גורמים חשובים הקשורים יש בארגונו .זאת"לב. מי שרוצה להוציא מידע בזדון יעשה

מאגר מידע ברמת ימנהלו לתחום: פורום היגוי של הנהלת הקבוצה, מנהל מידע כללי

, מנהל מערכות מידע והגורם הם יצרו "משולש" המורכב ממנהל המאגר הרלוונטי. החברות

אגף הביטחון . כדי לטפל בכל ההבטים הקשורים למניעת זליגת מידע או הונאה האבטחתי

. מנהל מאגר אחראי לאכיפה ולענישה )נציג הארגון ציין ללא לפרט כי בהחלט יש ענישה(

כחלק מחייב טיפול בנושא ולכן זה מקבל דחיפה ארגונית. )שמתפקד כבעל המידע( המידע

בלי אישור רגישות לא מאפשרים גישה לתיקיותמאסטרטגיית הטיפול שלהם בדלף מידע

לא ניתן לגשת אליו והוא נחסם על ידי מערכות – "אבא"כל מידע שאין לו מנהל המאגרים.

ישנם . מידע עד אשר הוא משוייך ליחידה ארגונית כזו או אחרת והיא "לוקחת עליו אחריות"

. ועוד מוצפן DOK, וירטואליות כספות כמו: DLPפתרונות משלימים ל

בהיבטי שיווק ומכירות. קיימת תרבות בארגון זה עובדים הרבה מאוד עם גורמים חיצוניים

. ארגונית של העברת המידע לגורמי חוץ בצורה מאובטחת דרך כספות

טכנולוגיה. על %1 רקמהזמן על התרבות הארגונית ו %99נציג ארגון זה מספר כי הוא עובד

כדי הגברת מודעות לתחוםעבד שנה שלמה על למצב הזה הם לא הגיעו ביום אחד, הוא

.לארגון שמדובר בבעיה קריטית להוכיח

Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444

ביטחון\ממשלהמגזר הבשל אופי המידע שגוף זה נושא קריטיהיא דליפת מידע נציג ארגון ממשלתי סיפר כי אצלם

תכנון מבנה הרשת ב עד היום קשורההתמודדות גוף זה עם דליפת מידע היתה .חשוף אליו

יוצר סרבול בעבודת הרשת הרגישה מנותקת גם היום ומצב זה והפרדת סביבות.

פתרון לגלישה מימוש לחיבור רשתות ובזמן הקרוב יתחיל בארגון פרוייקט המשתמשים.

הם מקבלים עידוד גדול מהנהלת DLPבכל הקשור לבחינת נושא ה (.Jetroמאובטחת )

הגוף. בארגון זה מתכננים ליישם פיתרון לניהול התקנים חיצוניים כשלב ראשון לפרוייקט

DLP .רחב יותר שמתחייב מחיבור הרשתות והחשיפה לאינטרנט

נציגי משרד ממשלתי אחר ציינו כי אצלם קיים לא מעט מידע רגיש הנוגע לצנעת הפרט.

לא נמצא בעדיפות גבוהה בארגון זה אם כי יתכן ויעשו ניסיון כפרוייקט DLPלמרות זאת

יפים הם מעד עם דלף מידע.להגיע לסיווג המידע בארגון כהכנה עתידית להתמודדות

להקשיח את תחנות הקצה ולממש פתרונות להרזייתן כדי לשפר את ההתמודדות עם זליגת

מידע מהרשת. צעדים נוספים מתוכננים: מימוש פיתרון להגנה על מכשירים סלולריים

. IRMוהצפנה. גם בארגון זה בחנו פתרונות משלימים, בעיקר מתחום ה

נציג ארגון מהמגזר הביטחוני ציין כי אצלם דלף מידע כרוך לעתים בסיכון חיי אדם. בארגון

וסבלו מלא מעט חבלי לידה. בסופו של דבר gatewayברמת ה DLPזה יישמו בעבר פיתרון

הפרוייקט הניב תוצאות מצויינות ובארגון היו מאוד מרוצים מתוצרי המערכת. בשלב מסויים

לגרסה חדשה, שגרמה לפגיעה במערכת כולה ולמעשה השביתה את כל שודרגה המערכת

הפרוייקט. כתוצאה מכך הארגון חזר לנקודת ההתחלה. נציג זה הסכים לתת למשתתפים

: חשוב מאוד להגדיר מהו מידע רגיש. כמו כן DLPהאחרים טיפים חשובים לפני כל פרוייקט

סיווג המידע שלו. אומנם בארגונים חשוב להגדיר מי בעל המידע. בעל המידע אחראי על

ביטחוניים המצב פשוט יותר, אולם מתן דגש על נושאים אלה לפני תחילת פרוייקט מקילים

DLPבצורה משמעותית על היישום. גם נציג זה ציין כי ברשותם פתרונות משלימים ל

כדוגמת הצפנת ניידים, ניהול התקנים חיצוניים בתחנות הקצה וכן הלאה.

ן ביטחוני אחר מתכננים כניסה לפרוייקט השחרת מסמכים כחלק מאסטרטגיית ה בארגו

DLP שלהם. הם בחנו פיתרון של חברת מטריקס המבוסס עלSharepoint השחרת .

מסמך היא תהליך איטי יותר מהלבנה שכן היא דורשת אישור של קב"ט לאחר התהליך

וקחת מספר דקות, תלוי בעיקר ל ,עצמו. הלבנת קבצים, אשר ממומשת גם היא בגוף זה

בגודל הקובץ המולבן. למרות כל זאת, אין להם עדיין מוצר ייעודי המטפל בדלף מידע

והתחום מאוד מעסיק אותם. בארגון זה החליפו לאחרונה את ספק הפתרונות להגנה על

תחנות קצה והם מתכננים לממש ניהול התקנים בעזרת חבילת ההגנה של הספק הנבחר.

.DLPסיום פרוייקט נעילת ההתקנים, יכנסו לשאר הפתרונות של לאחר

גם בארגון זה מודעים לחשיבות סיווג המידע ואף נפגשו עם ספקים רלוונטיים. נושא אחר

שהם מודעים לו הוא הטיפול במסמכים העוברים לגורמים מחוץ לגוף. לשם כך נפגשו עם

ואחרים. Covertixיצרנים כדוגמת

נבחנו POC. במסגרת ה עם אחד הספקים POCארגון אחר מאותו מגזר החל לאחרונה

מספר מודולים משולבים של הספק אולם הוחלט לוותר על חלק מהיכולות בגלל העלות

. בהמשך לדברים שעלו אצל דוברים קודמים, גם כאן קיים אתגר גדול בסיווג המידע הגבוהה

בגלל ."פרוייקט בפני עצמוכ" ציג ארגון זה הגדיר זאתהארגוני כשלב מקדים לפרוייקט. נ

DLPלא פשוט של העברת המידע המסווג למנגנון ה ו ייחודי מבנה הרשת נתקלו באתגר

Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444

מאגדת מאחוריה DLPשנמצא ברשת חיצונית. לסיכום, ציין נציג זה כי הטמעת פיתרון

שינוי תפיסתי לא פשוט בארגון ובתרבות הארגונית.

פיננסיהמגזר הנציג ארגון מהמגזר הפיננסי סיפר שדלף מידע מעסיק אותם מאוד ובדיקות שעשו לארועים

אחד אבטחתיים מהעבר מצביעים על כך שדליפות מידע מהוות חלק לא קטן מאותם ארועים.

הוא שהענף הפיננסי מבוקר על ידי מספר רגולציות DLPהגורמים המעכבים פרוייקט

בארגון זה מפעילים אמצעי הגנה משלימים ל כבדות אשר דוחקות הצידה את הטיפול בנושא.

DLP הפרדת סביבות האינטרנט מסביבת העבודה, בקרת כמו הצפנת מחשבים ניידים ,

של GWיתרון ה ועוד. בארגון זה רכשו את פ , הצפנת מייליםגישה למערכות רגישות

Websense בסיסית בלבד. אחד הנושאים שמאוד אולם הוא ממומש בתצורת ניטור

נקודה אחרת .DLPמעניינים אותם הוא המשמעות הכלכלית ושיעבוד כוח אדם בפרוייקט

כל כך פולשני בארגון כל משפטית של יישום פיתרון \שמטרידה אותם היא הסוגייה הפוליטית

כמו משתתפים רבים אחרים ציינו את הצורך בליווי משפטי וגב חזק כך רגיש. משתתף זה

של ההנהלה כתנאי להצלחת פרוייקט מהסוג הזה.

עם אחד הפתרונות המוכרים DLPהתחילו פרוייקט סיפר כי בארגונואחר נציג ארגון פיננסי

". קרביים של המשתמשבתחום. הם בחרו בגישת הקליינט על התחנות כדי להיות "ממש ב

ת לגישה זו אך בניתוחים שלהם גישה זו מתאימה יותר לצרכים נוכמובן שיש יתרונות וחסרו

הארגוניים. הפיתרון המיושם מתוכנן לתת מענה גם למניעת זליגת מידע ברמת המחלקות

, בראש מטרת מנהלי הפרוייקט היא לשמורהארגוניות ולא רק מתוך הארגון החוצה.

. הפרוייקט החל בפריסה לקוחות ומניעת זליגתו החוצהעל מידע פרטי של וראשונה,

הדרגתית בכל תחנות הקצה בארגון הכוללת אכיפה מלאה, כשבשלב הראשון הוגדרה

יתווספו יכולות עומק יותר מאוחר מדיניות בסיסית לזיהוי זליגות גדולות או פשוטות לאיתור.

. ויוגדרו חוקים מורכבים יותר

ננסים סיפר שחשוב להתחיל את הפרוייקט בשאלה "איפה אחד מנציגי הארגונים הפי

המידע?". הם אומנם ניסו לגשת לסיווג המידע הארגוני, אך ללא הצלחה. לפי ההבנה שלהם,

על המשתמש עצמו לסווג את המידע וזה לא ישים מבחינה ארגונית. למרות זאת, בארגון

מבחינת פיתרון, בחרו ב .וקםשל המידע הרגיש והמקומות בהם הוא ממ ביצעו מיפוי מסודר

Websense לgateway בתחנות לא התקינו פיתרון בגלל המשאבים . ומאוד מרוצים

כחלק ממדיניות מרכזית בארגון . הנדרשים, אך במקום זאת יושמו מנגנונים מפצים אחרים

מנוטרות סביבות ספציפיות הקשורת לליבה העסקית. בין השאר חותמים בסיסי נתונים

. ופקסים מנטרים הדפסות רגישים ואף מנטרים

בארגון זה נעשה שימוש במחשבים ניידים עבור עובדים מסויימים. כדי לשמור מפני דליפת

מידע מתאפשר השימוש בניידים רק בגישה מרחוק לרשת הארגון ולא מתאפשרת שמירה

היא איך להתמודד בעיה מאוד עכשווית שבה נתקלו בארגון זה של מידע על הניידים עצמם.

.facebookעם מידע שמועלה באישור או שלא באישור לרשתות חברתיות כגון

Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444

שירותיםמגזר ה? בארגונים DLPכלל ליישם ממגזר השירותים העלה תהייה האם אפשר ב נציג ארגון

, אך חוק הגנת הפרטיות ועובדים לפיואת רגולציה לאבטחת מידע. יש כמעט אין בישראל

נותן מענה מספק לצרכי אבטחת המידע במציאות שלנו. הוא ציין כדוגמא את חוק זה לא

הארגון שלו שמתקדם לכיוון שירותים מבוזרים הדורשים מתן גישה מרחוק לחלק ניכר

שעובד עם גוף זה לא מתעניין באבטחת מידע. הוא או עובד איש מקצוע .ספקים\מהעובדים

מנהל ". שלו Tablet\IPADגונים לתוך ה רוצה לקבל מקסימום שירותים ומשאבים אר

."אבטחת המידע חייבים להתיישר ולא להגיד לא. הם לא יכולים להגיד לא

את כל המשמעויות של נושא ההגנה על המידע. בשנה הקרובה החליטו לבחוןבארגון זה

הולכים גילו בין השאר כי חסימת התקנים ניתנת לעקיפה על ידי משתמשים עם ידע. הם

הוא שהמשתמש מאחורי זה . הרעיון2011ב מכשירים ניידיםלכיוון של הקשחת תחנות ו

מדיניות הארגונית. פי היתיישר ל

על פי משתתף זה, . DLPמשתתף זה נשאל מה הם לדעתו התנאים להצלחת פרוייקט

חייבים לגבות את זה ". ארגונית חיונית גיהכאסטרט גדרולא יצליח אם לא י DLP פרוייקט

המשתתף סיפר כי בארגונו . "חייב להיות מאותר כסיכון מהותידלף מידע . בתרבות ארגונית

כנס כסיכון אסטרטגי לתוכנית.ישנתית והשנה דלף מידע י-מתכננים תוכנית יעדים חמש

גם בארגון זה ביצעו מספר חישובי עלות והגיעו לאומדן עלויות גבוה בצורה יוצאת דופן יחסית

לפרוייקטי אבטחת מידע. כדי לא להעמיס על תקציב הארגון יבוצע הפרוייקט בנתחים

שנתיים.

נציג ארגון נוסף מאותו מגזר סיפר כי בארגונו החלו מגעים לפני מספר שנים עם

PortAuthority וד לפני שזו נרכשה על ידי עWebsense . מאז עבר הרבה זמן והם "עדיין

נציג זה מספר כי הוא מודע לכך שגם היא מחיר ההטמעה. לכך . אחת הסיבותלא שם"

בהטמעה מלאה בארגון לא תיתכן חסימה הרמטית של הרשת מדליפה החוצה. בארגון זה

ניות זו מפעילים הצפנה )של אוטימקו( וכחלק ממדי DLPמופעלות כיום יכולות משלימות ל

על ידי חינוך. אלמנט נוסף במדיניות הוא העלאת מודעות העובדים על מחשבים ניידים.

על פי . המשתתף מאמין בגישה זו וטוען כי היא תורמת מאוד למניעת דליפות בשוגג

.)איתור פיתרון וגיוס תקציב( יכנסו לנושא ביתר שאת 2011התכנונים בארגון זה, ב

DLPדוגמאות לפרוייקטי . DLPבמפגש השתתפו מספר ארגונים אשר הטמיעו פתרונות

2-הטמעה לדוגמא נציג חברה פרטית גדולה סיפר כי בארגונו קיימות למעשה שתי מערכות שפועלות במקביל.

בתחנות מיושם . והוא מנטר את עיקר התעבורה Websenseמיושם פיתרון של GWב

לתחנות ועבודה מול האינטרנט. whitelistאשר אחראי על אכיפה של Verdasysפיתרון של

מנסיונו של נציג ארגון זה, אשר מכיר מספר מערכות נוספות מהעבר המקצועי שלו, עולה כי

לא מסוגלת ליירט את כל הארועים הרלוונטים ברשת. מצד שני, אותם DLPברור שמערכת

פנטסטי, שכן הנזק הפוטנציאלי ROIעים שכן נתפסים ומדווחים למנהלים מצביעים על הארו

".כל חודשחזיר את עלות ההשקעה שנמנע "מ

לגורמים בעלי השפעה DLPנושא אחר שנציג זה מזכיר במפגש הוא הצעה לשווק את ה

מאוד שממשק מסיבה זו חשוב בארגון כדי לסייע בגיוס הכסף לפרוייקט או בעת הרחבתו.

לשם כך, המערכת עם המשתמשים יהיה מאוד ידידותי גם עבור משתמשים לא טכנולוגים.

Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444

, אם קיים בארגון, ולקבל ממנו מידע מעובד שהגיע במקור ממערכת SIEMניתן לחבר את ה

.DLPה

שמה דגש על חינוך וקצת הפחדה: ברגע שהואביומיום באופן כללי הגישה שנוקט הדובר

עברה, האפקט על העובד ובסביבת שמערך אבטחת המידע איתרמש מסויים מראה למשת

העבודה שלו מדהים. בימים שלאחר מכן בכל המחלקה של אותו עובד עוד מדברים על

הארוע ועל כך שמנהל אבטחת המידע יודע על כל מילה שנכתבת בארגון. אותו נציג סיפר

מות נוהגים להתקשר אליו כדי שאפקט ההרתעה כל כך אפקטיבי, עד שממחלקות מסויי

לקבל אישור לשלוח מייל עם תמונות של הילדים מחשש שואלי מדובר בעבירה שהם לא היו

למרות כל זאת, בארגון זה נתקלים בממוצע בעבירת דלף מידע "קלה" מודעים אליה...

בתדירות של פעם בשבוע.

מתייחס להתראות שווא של המערכת. נציג DLPאחד הנושאים שעולים בכל הטמעת

הארגון מספר שאין מה לעשות בעניין למעט טיוב מתמשך של החוקים העסקיים ותחזוקה

שוטפת של המערכת. ניתן להוריד את מספר ההתראות הכללי וכך להוריד גם את מספר

.התראות השווא )ולתפוס מן הסתם פחות ארועים אמיתיים(

ם פתרונות הצפנה למחשבים ניידים ועוד. פתרונות משלימים נוספים הכולליבארגון קיימים

סה"כ ערכה הטמעת הפיתרון כולו כחצי שנה. זמן ההטמעה נגזר בין השאר מהחלטות

עקרוניות של מנהלי הפרוייקט לגבי מהירות הפריסה וקצב הכנסת חוקי הניטור למנוע

הטמעה של חצי שנה ויותר יכום בפגיעה מהמערכת. קצב זה יכול להיות מהיר יחסית, אך הס

בדר"כ.

יכול להיות שהפיתרון בצד הקליינט יותר יתאים.–בארגונים מבוזרים מאוד

המערכת הכי יעילה –כמה מאות אלפידולרים. כספית –הטמעה ראשונה –היקף השקעה

מבחינת תשומות כוח אדם בשוטף: המערכת מרתקת חצי מכל מערכות אבטחת המידע.

.או יותר ביום )תלוי בנסיבות(שעה

3-הטמעה לדוגמא שבוצעה בארגונו בשנים Mcafeeנציג ארגון פיננסי סיפר על הטמעה של פיתרון של

בפתרונות משלימים ה ובגמו כולל ניטור תכנים וניהול התקנים חיצונייםזה פיתרון האחרונות.

וירטואליות. נוספים כמו הצפנת ניידים וכספות

, חיבר מתודולוגיה חזקה לצד הטכנולוגי של DLPארגון זה, כמו ארגונים אחרים המממשים

המכסה נושאי אבטחת מידע ונושאים אחרים. פורום זה אחת לרבעון יש פורום הפרוייקט.

את החל למעשה בפנייה של אבטחת המידע בפורום. DLP. פרוייקט ה הוא ברמת הנהלה

החלו בארגון במיפוי וסיווג המידע. מהר מאוד התגלה כי יש כל מיני החלק המרכזי בפרוייקט

סוגים של מידע וכל מיני מקומות בהם ניתן למצוא אותו. מנהל הפרוייקט ישב עם בעלי

המידע הארגוניים כדי לאתר ולסווג את המידע שברשותם על הצד הטוב ביותר.

של המידע מחוץ לארגון. וצי היציאהער אלמנט חשוב נוסף לפני הפרוייקט היה איתור ומיפוי

יש הרבה ערוצים אחרים. מיפוי . כיום FTPבעבר היה ניתן להוציא מידע בעיקר דרך מיילים ו

נציג זה, כמו משתתפים אחרים, הבין בזמנו כי . ןכזה משפיע על סוג הפיתרון שמתאים לארגו

הוחלט לבצע תיעדוף כיסוי גם בשילוש של מספר פתרונות ולכן 100%לא ניתן להגיע ל

אם מישהו רוצה כך למשל הובן בארגון כי ולוותר מראש על נקודות שבהן יהיה קשה לטפל.

פיתרון על תחנות הקצה ייתן הגנה מאוד טובה ., הוא ימצא את הדרךאת המנגנונים לעקוף

ייתן מענה למספר צרכים GWלרוב ערוצי זליגת המידע. עם זאת, ישנם מקרים שפיתרון

קליינטמבוסס בחר פיתרון בסופו של דבר נשאי אפשר להשיג דרך פיתרון בתחנות הקצה.

. על תחנות הקצה

Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444

חלק מהמשתתפים שאלו מה לגבי המשמעות של הפעלת קליינט נוסף על תחנת הקצה

הן ים ופגיעה בתפעול התחנה? נציג ארגון זה מספר כי השבתת תחנות ופגיעה בביצוע

גם פתרון רשת עשוי אגב, ביצועים לא יורדים בצורה משמעותית.הברוב המקרים . "אגדות"

להשפיע על ביצועים ברמת הרשת אם כי באופן פחות בולט מתחנות קצה.

טחת טיפול בארועי אבלנוהל אחת הנקודות החשובות לדעתו של משתתף זה היא הגדרת

הכוללת ועדה לארגון יש נוהל כזה ואפילומידע במקרה ונתפסים ארועים כאלה במערכת.

משפטית.המחלקה נציגים מה

וודאות הוא לא %99"ארוע ב בכל הקשור לטיפול בארועים שמזוהים במערכת: עצה נוספת

אחד המשתתפים האחרים .משיך טיפול עם רמה ממונההוא מוודאות 100%רק ב ארוע"

ע מאשר לזהות ארוע לגיטימי ככזה. בגלל ציין בנקודה זו כי עדיף לא לזהות ארוע דלף מיד

שמנהל אבטחת המידע לא תמיד מודע לכל הפעילות העסקית, כדאי לטפל בצורה זהירה

ושקולה בכל הארועים שמתגלים.

ברמה הטכנולוגית ממליץ משתתף זה לא לחבר מספר פתרונות טכנולוגים שונים לפיתרון

. בנוסף קיים ערך מוסף מאוד רחב יצרן אחדאחד גדול. עדיף למצות את היכולות שמציע

ארגונית במידה וזו קיימת. SIEMגדול בחיבור המערכת עם מערכת

שמירה על הסטוריית ארועים היא נושא חשוב נוסף. משתתף זה ציין כי הוא לא רואה

ארועים שלא התפתחו לכלום כהתראות שווא. כמו כן הוא משתדל לא למחוק ארועים

ההסטוריה בתוך המערכת. הסיבה לכך היא יכולת תיחקור משופרת ולהשאיר את כל

במערכת שיש בה הרבה מידע הסטורי אשר ניתן לתחקר בעת הצורך.

שני אנשים בארגון: מנהל אבטחת המידע ועובד שלו.– DLPהרשאות למערכת

מה לגבי שעות עבודה סביב המערכת? בחצי השנה הראשונה להטמעה הוגדשה כשליש

י בארועים.ושעה בשבוע פחות או יותר, תל-תחזוקה וטיוב. כיום משרה ל

4-הטמעה לדוגמא .DLPארגון גלובלי החל בשנה האחרונה פרוייקט מורכב הכולל יכולות

נציג ארגון זה כי לפרוייקט מהסוג הזה יש להבטים הבאים חשיבות מאוד גבוהה: לשכה

יורד(.משפטית, משאבי אנוש וטכנולוגיה )בסדר חשיבות

ארגון גלובלי אשר לו נציגויות ואתרים רבים במדינות שונות חייב לבדוק תחילה איך, אם

בכלל, ניתן לנטר פעילות עובדים ברשת בכל אתר ואתר. זהו מרכיב משפטי קריטי לבדיקת

היתכנות של כלל הפרוייקט.

50%בות ו תר 50% מורכב מ DLPפרוייקט בשלב תחילת הפרוייקט משתתף זה מציין כי

לבצע מבחנים ופעולות נוספות בעלות , מקיפות הדרכותלבצע יםגבארגון דואטכנולוגיה.

גבוהה מאוד בכל שנה כדי לשמור על רמת מודעות טובה לאבטחת מידע בכלל ודליפת מידע

למרות כל אלה, אין לו ספק כי קשה מאוד להגיע לכל עובד ברחבי העולם. בפרט.

ום הפרוייקט הופץ בארגון שאלון שכלל מספר שאלות הנוגעות לאיתור סיווג מידע: בשלב טר

ונתן למנהלי הפרוייקט כלי חשוב 60%מיגע הדרוש סיווג מיוחד. אחוז ההענות עמד על כ

מאוד באיתור ומיפוי המידע הארגוני הרגיש.

ההטמעה . GWלתחנות ול Symantecהמערכת הקיימת בארגון מבוססת על פיתרון של

בתחנות היא בהחלט זהירה ואיטית יותר, אך מתקבלים הרבה מאוד תוצרים מהפיתרון ב

GW נציג זה סיפר על שיטת יירוט המידע במערכת ואמר כי היא מבוססת על "רמה .

של מילות מפתח וחוקים שניתן יהיה לעבוד איתם כמו שצריך. אין ולא גבוהה מדי הגיונית"

( בהחלט מקילות את העבודה.whitelistשל ביטויים )ספק של רשימות מוסכמות

Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444

RMSנציג ארגון זה סיפר כי בארגון מופעלות יכולות משלימות נוספות הכוללות שימוש ב

אשר יוכל לתת מענה Covertixשל IRMשיתוף פעולה בין הסימנטק לפיתרון ובחינה של

למידע רגיש היוצא מתחומי הארגון. בתחום אבטחת הסלולר נבחנים מספר פתרונות ייעודיים

מתוך הבנה כי מדובר בנקודת כשל בעייתית.

4כוח האדם הנדרש לעבודה מול המערכת בשוטף כולל עובד פעמיים בשבוע במשך כ

יכול להגיע בתחילת הפרוייקט או שעות. המערכת דורשת טיוב תמידי, כך שעיקר העבודה

תוך כדי "תנועה", כמדי פעם מוספים חוקים ומורדים אחרים שאינם רלוונטים עוד.

התייחסות לסוגיית הפרטיות -א' נספח

פרטיות על היא שעולה כפי הראשונה הבעיה, השלכות שתי יש משפטית מבחינה העולות לסוגיות מידע שמירת אי של אלא מידתיות של סוגיה רק אינה העבודה במקום פרטיות. העבודה במקום העובד

הקניין הוא עצמו המחשב אם שגם בכך הכירו המשפט בתי. המידע אבטחת למטרות אלא בו צורך שאין מ"עמר, דקל בני' נ פינננסים כלל 02020121 א"בש) בתוכו פרטיות מתחם יש לעובד עדיין, המעביד של

עבודת חוק על הממונה' נ איסקוב טלי 202000120 עב, טבריה עיריית' נ אליהו בנימין 03202-20-23 ברוב(. זאב בן יוני' נ' ואח שבע בת חן 0003123 פ"ה, מים אפיקי' נ פישר רני 0002120' עב ו נשים

מדברת לאחרונה שניתנה נוספת שהחלטה אלא, העובד של המייל בתיבת רק חיפוש על דובר המקרים חיפוש ואיפשרה( 'ואח יהב' נ מ"בע תוכנה מוצרי וואן 033-21-02 ע"ס) עובד של נייד במחשב חיפוש על

.דין עורך עם ולהוועץ מהמחשב שלו האישיים החומרים את למחוק רכהא ניתנה שלעובד לאחר

להתנהגותם הנוגע מידע, ביומטרי מידע, עובדים של רגיש מידע לשמור יכול אינו שהמעביד הוא הכלל DLP מערכות גם, לכן. המפורשת בהסכמתם אלא הרפואי ומצבם הפרט לצנעת הנוגע מידע או

המידע מהו בדיוק ידע שזה כך על ולשמור העובד מול גלויות להיות חייבות דלף למנוע שמיועדות שהמעסיק רק ולא בפרטיותו פגיעה תהיה שבכך הרי, המידע מהעובד שיוסתר במקרה. עליו שנשמר

.בפיצויים גם חייב להיות עשוי שהוא אלא, בראיות להשתמש יוכל לא

3010121 עשמ) החלטות בשתי. משמעת עבירת או פלילית בעבירה מדובר האם היא השניה הסוגיה בית של( המדינה שירות נציבות' נ אסדו יוסף 000121 מ"עש, המדינה שירות נציבות' נ ציילר שמואל

הוא שלה למטרה שלא בו שימוש או אחרים לגורמים והעברתו מידע שליפת כי נפסק העליון המשפט שלא במידע ששימוש, אלא. הפליליות בשאלת מלדון נמנע המשפט ובית משמעתיות עבירות הן נאגר

.העובד על ואזרחית פלילית אחריות להטיל יכולה המעביד בהסכמת

הכלים מהם להם ולהסביר העובדים את להדריך יש DLP של בכלים משתמשים כאשר גם, כלומר למטרות במידע להשתמש ניתן והאם המידע נמחק מתי, שומרים הם מידע איזה, בשימוש הנמצאים

או עובד על מיותר מידע ישמר לא לפיו העקרון על לשמור ויש, אולם, מספק אינו העובד יידוע. שונות .הדלף מניעת לצורך או המידע אבטחת לצורך נחוץ שאינו מידע

קלינגר יהונתן ד"עו

info@jonathanklinger.com ,3436436-052

:עוד מספר עקרונות הקשורים לפרטיות באדיבות אחד המשתתפים

לחברות מנחים עקרונות של נוסף מספר מצרף אני קלינגר יהונתן ד"עו של להתייחסותו בהמשך גלובאליות לחברות עבודה במקום הפרטיות שנושא לזכור חשוב. החברה ברשת מידע המנטרות

האיחוד במדינות נוכחות עם חברות של במקרים כמו, המקומית בחקיקה ותלוי יותר הרבה מורכב . האירופאי

Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444

-וחירותו האדם כבוד: יסוד חוק"מ נגזרת והיא בחקיקה מוגנת הפרטיות שזכות להדגיש חשוב הזכות כשמטרת, ועוד" ט"התשל-סתר האזנות חוק", "א"התשמ-הפרטיות הגנת חוק", "ב"התשנ

. חודרני מבט מפני במגן הצורך או אישי במרחב הצורך כמו, שונים פסיכולוגיים צרכים על להגן לפרטיות

השליטה עקרון על מבוססת, בישראל וגם באירופה במיוחד לפרטיות לזכות המקובלות התפיסות אחת אוסף היא לפרטיות הזכות(. לפרטיות הזכות של העיוני הבסיס: והסכמה שליטה - בירנהק מיכאל' דר)

האדם של שליטתו זו, כשליטה לפרטיות הזכות הבנת לצורך המשותף הרעיוני שהציר שונים מצבים של : מרכזיים עקרונות מספר נגזרים ומכאן, בו אחרים של שליטתם ולא, בעצמו

ההסכמה עקרון

אוסף על מוטלת, במעקב הנמצאים לעובדים, ההודעה חובת כי קובע הפרטיות הגנת לחוק 00 סעיף. מספיקה אינה לבד ההודעה אולם, ההסכמה של לקיומה חשוב תנאי היא לעובד המידע מסירת. המידע

המידע על השליטה בהפקדת טמון המפתח, השליטה עקרון על המבוססת לפרטיות הזכות דגם פי על מושאי שהם האדם בני בידי? זמן ולכמה? מטרות לאילו? יועבר למה? יועבר למי? יועבר מה, שיועבר . המידע ואיסוף המעקב

משנת הפרטיות הגנת לחוק התיקון לאחר, בכדי ולא לפרטיות בזכות חיוני מרכיב הוא ההסכמה עקרון נדרשים כלומר. החוק כלשון(" משתמעת) מכללא או במפורש, מדעת להיות צריכה הסכמה"ה, ז"תשס

בו אחר שימוש או מידע לאיסוף הכוונה על האדם של מוקדמת ידיעה של להסכמה מקדמיים תנאים .הפעולה משמעויות ומה מדובר במה שלו והבנה

המטרה צמידות עקרון

לאיסוף המלאה הסכמתו את הביע אם גם, אודותיו הנאסף במידע ולשלוט להמשיך יוכל שאדם כדי עליהם למטרות שלא שימוש מפני המידע על להגן אמצעים נדרשים, ההסכמה עקרון במסגרת המידע רק במידע לעשות שניתן השימושים את להגביל תפקידו המטרה צמידות עקרון[. 0]האדם הסכים בגלגוליו למידע מוצמדת שתהה צריך במידע השימוש מטרת. המוסכמות הראשוניות המטרות לאותן

. המוסכמות מהמטרות החורג שימוש למנוע כדי השונים

:בפרטיות פגיעה מגדיר הפרטיות להגנת בחוק( 3)0 סעיף

"נמסרה שלשמה למטרה שלא, לאחר מסירתה או אדם של הפרטים ענייניו על בידיעה שימוש"

:המידע נאסף לשמם למטרות רק השימוש הגבלת את מפורשות מגדיר( ב)2 וסעיף

הוקם שלשמה למטרה אלא, זה סעיף לפי ברישום החייב מידע שבמאגר במידע אדם ישתמש לא" "המאגר

הראויה התכלית עקרון

עקרון של תוכנם את יעקרו אשר המידע לאיסוף ורחבות כוללניות מטרות הגדרת למנוע נועד זה עקרון זה עקרון לפי. שיחפוץ מידע כל לאסוף לדרוש המידע לאוסף ויאפשר המטרה צמידות ועקרון ההסכמה

.מהדרוש חורג שאינו, הוגן באופן רק מידע לעבד מותר

המידתיות עיקרון

באופן שניתנה כהסכמה ולהיחשב תוקף בעלת להיות יכולה בפרטיות לפגיעה העובד של הסכמתו והיא ראויה לתכלית שהנה לפגיעה בהסכמה מדובר אם, מכללא ניתנת היא אם אף, ומרצון חופשי

:משנה מבחני בשלושה לעמוד צריכה בפרטיות הפגיעה כלומר. מידתית

משרתת העובד בפרטיות הפגיעה כי להראות נדרש המעסיק – למטרה האמצעי בין רציונאלי קשר .אחרת לגיטימית לא למטרה או לעובד התנכלות לשם ואינה אמיתית עסקית תכלית

לא דהיינו, מינימלית היא העובד בפרטיות הפגיעה כי להראות המעסיק על – המינימאלי האמצעי מבחן מקום יש זה מבחן במסגרת. פחות פוגעים, אחרים באמצעים מלא באופן מטרה אותה את להשיג ניתן

לקיים המעסיק של רצון ובין העובד נגד מבוסס ספציפי חשש למעסיק יש שבהן נסיבות בין להבחין; הדברים תוכן אחר בילוש ובין מסוימת פעולה ביצוע עצם אחר בילוש בין; חשד ללא אקראיות בדיקות

.פתע בדיקות ובין העובדים נציגי עם שהוסכם מראש ידוע בנוהל המעוגנות בדיקות בין

, מועטה אינה שנקט מהאמצעים לו שתצמח התועלת כי להראות נדרש המעסיק – תועלת מול נזק איזון .אלה באמצעים משימוש לעובדים שייגרם לנזק ראוי בלתי ביחס עומדת ואיננה

הציפייה מבחן

Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444

דו מבחן זהו. בישראל המשפט בתי שימוש עושים בו הפרטיות להגדרת נוסף מבחן הוא הציפייה מבחן מצפה היה הסביר האדם לפיו סובייקטיבי מבחן, הראשון: אדם של לפרטיות לזכות לציפייה שלבי

מצפה הסביר האדם לדוגמא. פרטיותו תישמר, היחיד ברשות הוא כאשר, מסוימים שבמצבים צריך לפיו אובייקטיבי מבחן, השני וחלקו; אבטחה מצלמת תמוקם לא בשירותים או שבמלתחה

הדואר את קורא לא שהמעביד מצפה עובד, לדוגמא. סבירה שתהה צריכה לפרטיות האדם שציפיית באופן בארגון הדואר תעבורת אחר עוקב לא שהמעביד לצפות יכול הוא אין אך שלו הפרטי האלקטרוני

.מוחלט

היא היתר בין, DLP-ה נושא מלבד רחבה יותר הרבה היא העבודה במקום הפרטיות סוגיית, אגב-דרך מצבים ועוד, אחר לעובד או למנהל עובד של ל"דוא הפניית, עובדים בין מחשבים להעברת נוגעת גם

.הדעת את להם נותנים לא המידע מערכות ומנהל המידע אבטחת שמנהלי אחרים רבים

התייחסות ספקים לנאמר במפגש-נספח ב'

asamia@covertix.com ,200-3010103 אלון סמיע– Covertixחברת

אמצעים חזית דלף המידע הפכה רחבה ביותר ופתרון יחיד הוא כמעט בלתי אפשרי. אמיילים, קבצים, נתיקים, רשתות אלחוטיות, ניידים, גורמי פנים, גורמי חוץ וכד'. כולם מהווים מקור אפשרי לזליגת

מספקת רמת אבטחה בסיסית ביותר, GWה"קלאסית" של ניטור המידע ברמת DLPמידע. גישת ה אולם מותירה פתח רחב לאבדן מידע וקשה מאוד ליישום בצורה גורפת.

היכן נמצא המידע הרגיש? מהיכן מגיעים האיומים הרציניים? האם באמת כל על מה נדרש להגן? אמייל זקוק לניטור?

פתרון ממוקד לבעיית זליגת המידע המספק הגנה מיטבית לנכסי המידע הכי Covertixלחברת

קריטיים לארגון על ידי התמקדות בקבצים החסויים ביותר ואכיפת פוליסת שימוש מותרת בלי תלות ליכולות ההגנה של עולם DLPם וזמן. הפתרון הייחודי שלנו משלב בין יכולות ניטור מעולם הבמקו

, ומאפשר יישום הדרגתי מבלי להפריע למשתמש הקצה או לגרום לשינויי בתהליך העיסקי. IRMהמסמכים לוויקי ולא רק אבדן אמייל 250,000אנו ממליצים להתמקד באיומים המשמעותיים, אבדן של

ספר כרטיס אשראי.עם מ

Covertix מתמקדת בעולם הקבצים היכולים להכיל מידע רב ביותר, ומספקת מענה משלים"קלאסיים" למשל כשנדרש לשתף מידע באופן מאובטח עם גורמי חוץ )גורמי חוץ DLPלפתרונות

נתיק ממקרי זליגת המידע(. עם קוורטיקס המידע יכול לנוע באמייל, אמצעי 40%אחראים למעל ל וכד' אולם הוא תמיד מוגן ומנוטר על ידי הפוליסה המלווה את הקובץ בכל מקום וזמן.

Ruby.cohen@hp.com ,2566017-054: רובי כהן– HPחברת

The TippingPoint Intrusion Prevention System (IPS) works to monitor outbound

traffic and prevent critical data from leaving the corporate network. With the advent

of web-based office suites and internet-connected backup technologies, a compromise

of a single system can now yield the sensitive data of thousands of organizations, as

opposed to just one. Further, organizations are increasingly concerned with customer

information being stolen or with intellectual property being leaked to competitors. In

all of these situations, data leakage prevention and detection becomes extremely

critical. Customers can use IPS filters to identify the packets that would contain that

information. If the contents of a particular packet are found to contain sensitive or

confidential data, the IPS will then take action based on policies set by the

administrator. This can include simply alerting the administrator that this information

has gone outbound or it can be blocked leaving from the network altogether.

Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444

TippingPoint's network-based, purpose-built hardware solution is flexible enough to

be placed at the network perimeter, at remote locations and at the network core. The

IPS is transparent in the network and blocks inappropriate traffic in real time,

protecting sensitive data from leaving the network, while also supporting compliance

regulations. The Digital Vaccine service, the security intelligence in the TippingPoint

IPS, offers evergreen security in the form of comprehensive vulnerability filters.

These filters are developed to cover the latest threats and can monitor for common

data points, such as Social Security numbers, to ensure these don't go out of the

network. However, since organizations vary in what they want to protect and how

they categorize sensitive data, TippingPoint offers a custom filter service that tailors

IPS filters to customers' specific needs. This could include product-naming codes or

financial information.

Challenging conditions are placing budget pressures on security executives. At the

same time, as today's data center is driving demand for uncompromised security, the

organization is driving to reduce IT administrative costs wherever possible.

TippingPoint's IPS can be configured to monitor outbound traffic and keep

confidential data from being leaked.

taljoseph@il.ibm.com, 200-2330020 :וסי טל י– IBMחברת

Safeguarding the privacy of client data isn’t just good business - in many cases, it’s

the law. De-identifying or encrypting confidential data are ways to protect privacy

and support compliance with regulations like HIPAA, DDP, PIPEDA, PCI DSS and

others. The InfoSphere Guardium and InfoSphere Optim solutions deliver powerful

database monitoring capabilities along with data transformation and encryption

techniques to protect confidential corporate data.

A data breach can cost an organization millions of dollars not to mention damage to

their reputation, customer loyalty, loss of revenue and the possibility of fines or other

penalties. The InfoSphere solutions provide organizations with a holistic approach to

protecting and securing their business-critical information across structured and

unstructured data in any environment (production, development, testing and training).

The InfoSphere Guardium and InfoSphere Optim Security and Privacy solutions help

organizations by:

Understanding where sensitive data exists across enterprise environments to

develop the best protection strategy.

Safeguarding both structured and unstructured sensitive data using encryption

and redaction allowing business data to be shared with authorized users.

Masking data in non-production environments while providing high-quality

test data sets to improve testing accuracy and accelerate solution delivery.

Providing continuous, real-time insight to heterogeneous database activity and

automating compliance controls.

Assessing vulnerabilities and assuring compliance with regulations and audits

both internally and externally.

Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444

The InfoSphere Guardium and InfoSphere Optim solutions support heterogeneous

enterprise environments including all major databases, custom applications, ERP

solutions and operating platforms including Windows, Unix/Linux and z/OS.

For more reading: http://www-01.ibm.com/software/data/optim/protect-data-privacy/ ftp://public.dhe.ibm.com/common/ssi/ecm/en/wgd03003usen/WGD03003USEN_HR.PDF

roneng@microsoft.com ,2003000302: גוטליברונן – Microsoftחברת

ממגוון המורכב ,גלובלי בארגון פיתרון יישום"... - 5 עמוד) DLP פרויקט מורכבות לנושא

ומתאפיין מורכב פרויקט הינו אכן DLP פרויקט – (."סיוט" יהיה ,מדיניות במספר אוכלוסיות

כל על כמעט זאת להגיד ניתן, נשימה באותה. וש"א בהיבטי לרוב ביטוי לידי הבאה בסיבוכיות

בארגון שולבה ולא הארגוני החיים במחזור יותר מאוחר בשלב משתלבת אשר ארגון חוצת מתודולוגיה ידע לניהול פרויקטים כגון, בכלל המיידע בתחום ופרויקטים מתודולוגיות על לומר ניתן זאת. מתחילתו

כל עם. DLP שלנו במקרה או זהויות ניהול פרויקטי כגון, בפרט המידע אבטחת ובתחום, ארגוני

לנו אל, שערכתם מהדיון שעולה מידע על בהגנה החשיבות לאור ובהחלט, בעניין והקושי המורכבות

על הגנה פתרון שילוב של למורכבות הראוי המענה. סיבוכיות בשל חשוב כה לפרויקט כניסה לפתור

אזורים/קבוצות של וסימון בחירה –" מתגלגלת" בהטמעה הוא ארגונית ובטכנולוגיה בתרבות המידע

של ומקצועי מתודולוגי ניהול תוך הכוללת הארגונית לרמה וגדילה המענה ישולב בהן הניתן ככל יעילה .ברורות דרך אבני והגדרת פרויקט

אכן - (המידע את לסווג עצמו המשתמש על - 8 עמוד) המשתמש בצד האחריות הפקדת לנושא

מודעות והקניית חינוך בהיבטי הן, המידע על ההגנה בחשיבות הקצה משתמש את ולשלב לחנך חשוב

שאבטחה היא חדשה אמירה לא, זאת עם. הארגונים אחד שצינו כפי" הפחדה" בהיבטי והן והבנה

מפני להגן מנסים אנו מידע דלף על מדובר כאשר. בלבד הקצה משתמש על להסתמך יכולה אינה

בצד היושב פתרון של הטמעה סותר זה אין. בשוגג או במזיד אם שנעשות הקצה משתמש של פעולות

ניתן וכי הקצה משתמש התערבות ללא לפעול יודע כזה פתרון כי לוודא חשוב אך, הקצה משתמש

שילוב המאפשר AD RMS של פתרון, כך. Tampering מפני הקצה משתמש בצד הטכונלוגיה על להגן

ועל SharePoint 2010 ביניהן טכנולוגיות על המבוססות הארגוני המידע תשתיות מתוך ופעולה

Exchange 2010 ושרתי Windows Server 2008 R2 על הגנה של אוטומאטית פעולה מאפשרות

פתרון עם בשילוב RMS טכנולוגיית. הקצה משתמש ידי על בפעולה צורך ללא, השרת בצד, המידע

הן, דליפתו ומנניעת המידע על הגנה של ושלם ארגון חוצה מענה מאפשרת, Secure Islands כמו

.הארגוניות בתשתיות והן המשתמש בעמדת

המידע אבטחת מנהל" - 9 עמוד) הארגון או העסק עם אחד בקו מיושרת להיות חייבת האבטחה ביותר החשובות האמירות אחת זוהי –( ."לא להגיד יכולים לא הם .לא להגיד ולא להתיישר חייבים

ועסקים חברות, ארגונים. המידע אבטחת תפיסת גם ביניהן ארגונית תפיסה לכל חשובה והיא במסמך

גופים המניע ברור חברתי או מסחרי צורך יש. מידע אבטחת תפיסות ולממש לקיים כדי נולדו לא

הם עיכובים ללא מהיר באופן לקבלו והיכולת למידע הזמינות, הפרודקטיביות מתמיד יותר היום. שונים

עסק או ארגון שמקדמים הגורמים אחד להיות חייבת המידע אבטחת. עסקי יתרון לתת שעשויים אלו

פרודקטיביות, למידע עובדים של זמינות להבטיח הצורך שבצד בכך נעוץ האתגר. נגף אבן להוות ולא

. אבטחה פרצות נוצרות לא כי להבטיח גם נדרש, מרחוק גם לעבוד ויכולת גבוהות ושיתופיות

האבטחתי, העסקי הצורך בין המשלבת כאמור אתגרית סביבה לקיים מאפשרות היום הטכנולוגיות

ForeFront כגון) מיקרוסופט מבית אחרים אבטחה פתרונות בצד RMS. שניהם את לנהל והיכולתUAG )כמו ידע ניהול תשתיות עם שלהם והשילוב SharePoint 2010 ו – EXCHANGE 2010 ובשילוב

לפתרון להגיע אחידה תשתית על הסתמכות תוך מאפשרות, Secure Islands -כ משלימים פתרונות

.אבטחתי מענה של גראנולרי שילוב בצד IT -ה לאנשי והן הקצה למשתמש הן ונוח נגיש, יעיל

Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444

מידע שיתוף, הקודמת בפסקה שתואר לקו בהמשך - ( 21 בעמ הוזכר) מבוזרים לארגונים פתרון

בין – פנימית הן נדרש השיתוף. העסק בחיי וגדל הולך מקום תופס, Collaboration – ה תפיסת וכל

AD RMS. לקוחות אפילו ולעיתים, שותפות חברות בין – חיצונית והן ארגון לאותו השייכים גופים

המוטמעות RMS תשתיות בין Trust יישום באמצעות חיצוניים ואף מבוזרים גופים לשתף מאפשר

- הענן מבוסס שירות או AD FS -כ Federation בטכנולוגיית שימוש באמצעות או שונים בגופים

Microsoft Federation Gateway .כאן למצוא ניתן נוספים פרטים :

us/library/cc755156.aspx-http://technet.microsoft.com/en

ronir@one1.co.il ,8364394-52-+972: רוני רויטמן– One1חברת

}שמסתמן שהיא תהיה אחת Secure Islandsאני רוצה להוסיף כאן את הפתרון הטכנולוגי של חברת

של מיקרוסופט... IRMמהמובילות בתחום{,ומה המשמעות של ארגונים שיש להם תשתיתיש . גראלי מהמערכתשל מיקרוסופט כחלק אינט IRM-סקיור איילנדס "מתלבשת" על התשתית של ה

... IRMלזה משמעויות לארגונים שיש להם מיקרוסופט ובטח

שהיא חברה שממוקדת אבטחה/הגנה והצפנה על מסמכים,יש כבר לקוחות Secure Islandsאגב

מכיוון שארגונים זה פריצת דרך, ,2010 -בישראל ובעולם שביצעו פרויקטים ממוקדים בנושא הנ"ל ב .DLPחלו להבין את המשמעויות של ה

Secure Islands {עם כל הטכנולוגיה IQProtector שלהם יכולים לתת לאותם לקוחות ערך מוסף }

שהוא משמעותי ביותר מבחינה טכנולוגית לכל נושא זליגת המידע, ובטח ערך מוסף מבחינה כלכלית.

לדוגמא:

1. IQProtector היא המערכת היחידה שלוקחת את הRMS של מיקרוסופט ומאפשרת

לאירגוניםלהטמיע ולהגן על מסמכים ומערכות בצורה אוטומטית ותומכת במגון פורמטים נוספים

בנוסף לפורמטי האופיס של מיקרוסופט.

2. IQProtector נה באופן אוטומטי על מידע הנמצא במערכות מגWEB על גבי הדפדפן עצמו

מאפשרת\ומגבילה וג המידע והמשתמש.שימוש במידע בהתאם לסיו

3. IQProtector מגנה על מידע מחוץ לגבולות האפליקציה ולמעשה ממשיכה את פוליסת

ההגנה של האפליקציות השונות או שרת לקוח באופן אוטומטי ופשוט. WEBאם הן מבוססות

בזדון לא יישלח ללקוחות אחרים.\הגנה על מידע של לקוחות הארגון שבטעות .4בצד השלישי IQProtectorשל AGENTללא צורך ב צד שלישי הגנה על מידע עם חברות .5

!!! נותן "ראש שקט" לגבי ניהול מערכת – RMSשימוש בתשתית ההצפנה של מיקרוסופט .6

.Recoveryההצפנה ו 7. IQProtector .מסווג ומגן על מידע באופן אוטומטי ללא צורך באינטגרציה עם אף מערכת

ללא צורך בסריקות ממושכות של מסדי נתונים או שרתי קבצים ומבלי להעמיס על תעבורת הרשת בארגון !!!

סיווג המידע נעשה בצורה קלה, פשוטה ומהירה לפי, קבוצות קיימות, מיקום, משתמשים, .8 אפליקציות, ותוכן

הסיווג הפשוט מאפשר הטמעה מהירה של המוצר במחלקות עם סיכון גבוה ומקנה ROI .מהיר

צע ניתוח סטטיסטי של השימוש במידע רגיש בארגון, מיקום, רמת מב IQProtectorה .9

חשיפה פנימית וחיצוניתגישה למידע, שליחת המידע ונותן למנהל המערכת מידע קריטי שמשפר את מהירות ונכונות

ההטמעה בארגון.

Moshav Bnei Zion P.O.Box 151, 60910 Israel Tel. 972-9-7907000 Fax. 972-97442444

במקרים בהם נדרשת יכולת זו כגון מנהלים יכולת סיווג עצמית לבעלי המידע מאפשר .10 ודות רגישותבכירים ונק

בארגונים ביטחוניים ועוד....