הגדרה מקצועית אינה קובעת לבדה את הסיווג המשפטי
NIST מרכז הגדרות breach ממסמכים שונים, ובהן גישה או פוטנציאל גישה לא מורשית למידע רגיש או אישי. צריך לקרוא את ההקשר של ההגדרה. הכינוי שבו משתמש ספק אינו קובע לבדו אם האירוע מקיים תנאי דין מסוים בישראל או מחייב פעולה מסוימת.
בעסק מתחילים ממיפוי הנתונים והגישה: איזה מידע, באיזו מערכת, למי היה מותר לצפות ומי יכול היה להגיע אליו בפועל. גם עובד בעל חשבון יכול לחרוג מהרשאתו, והעתקה אינה המסלול היחיד לפגיעה. לא מניחים שכל מידע שנמצא ברשת היה אמור להיות ציבורי.
חשיפה, גישה והוצאה הן שאלות שונות
קובץ נגיש יכול ליצור חשיפה גם בלי ראיה שמישהו הוריד אותו. לוג גישה עשוי להוסיף ראיה, אך צריך להבין איזה משאב נקרא ומה הלוג מכסה. הוצאה של מידע מחוץ לשליטה היא שאלה נוספת. הטבלה היא מסגרת מקורית לתיאור ודאות, ולא דרישה להמתין לשלושת השלבים לפני טיפול.
| שאלה | ראיה אפשרית | מגבלה שיש לציין |
|---|---|---|
| מה היה נגיש | הרשאה, קישור או תצורה שנבדקו | לא בהכרח ידוע מי השתמש בגישה |
| מה נצפה שנקרא | יומן רלוונטי או תצפית מאומתת | כיסוי חלקי אינו שולל גישות אחרות |
| מה הועתק או הועבר | ראיית פעולה או העברה מתאימה | אין להסיק היקף מעבר לראיה |
| מי הושפע | סוגי שדות, רשומות ותקופה | נדרש בירור כשאין מיפוי מלא |
| מה כבר צומצם | שינוי גישה ובדיקה חוזרת | סגירת הגישה אינה מוחקת עותקים קודמים |
דוגמה: ייצוא פניות נמצא בכתובת ציבורית
התרחיש להמחשה בלבד. קובץ ייצוא כולל פרטי קשר של פונים ונגיש ללא כניסה. הגבלת הגישה מטפלת במצב הנוכחי, אך אינה עונה לבדה על משך החשיפה ועל גישות קודמות. שומרים ראיות נדרשות באופן מורשה, מתעדים טווח ובוחנים מי יכול היה להגיע לקובץ.
לא מורידים או מפיצים את הקובץ מחדש כדי להראות לכולם את הבעיה. מעבירים לגורם המורשה מידע מצומצם המאפשר לאמת אותה. לאחר הטיפול בודקים גם עותקים, קישורים ותהליך יצירת הייצוא, בהתאם למערכת. לא מכריזים שכל הנתונים הוצאו, וגם לא שהיעדר לוג מלא מוכיח שאיש לא קרא אותם.
מה עושים במקביל לבירור הטכני
ממנים אחראי, מצמצמים גישה לא נחוצה ושומרים את המידע הנדרש להבנת המקרה. בוחנים סוגי מידע, מערכות, מקבלי גישה ותקופה. החלטות על שינוי או מחיקה צריכות לשקול גם מניעת פגיעה נוספת וגם שימור ראיות מתאים. לא מניחים שניקוי דף ציבורי מסיים את האירוע.
הרשות להגנת הפרטיות מפרטת בישראל תנאים לדיווח על אירוע אבטחה חמור, לרבות מצבים שבהם לא הוכח שימוש בפועל במידע. בודקים מיד את החובות החלות עם הגורם המוסמך, במקביל לטיפול. מונח מילוני או היעדר מסקנה סופית אינם פטור, ודיווח למערך הסייבר אינו בהכרח תחליף לדיווח לרשות.
איך נראית מסירה שאפשר לקבל עליה החלטה
התוצר צריך לתאר מידע ומערכות, מצב הרשאות, זמן ידוע, ראיות ומגבלות. מציינים מה שונה ומה נבדק מחדש, ומפרידים היקף שנצפה מהיקף שנותר לבירור. נוסח ללקוחות או לגורם אחר נקבע לפי העובדות והחובות, בלי הבטחות שאין להן בסיס.
חשיפת מידע יכולה להתקיים בלי השבתה, וכופרה יכולה לעורר גם שאלת דליפה לצד שאלת זמינות. לכן החזרת מערכת לעבודה אינה מספיקה לקביעה על סודיות. אחרי הטיפול מעדכנים מיפוי מידע, הרשאות ותהליך יצוא כדי לצמצם חזרה של אותו פער.