1. ‫במעבר‬ ‫מידע‬ ‫אבטחת‬ ‫אתגרי‬
‫בענן‬ ‫לעבודה‬ ‫ארגונים‬
‫ע‬ ‫נכתב‬"‫אסטרין‬ ‫אייל‬ ‫י‬,Cloud Architect@eyalestrin

2. ‫הפרק‬ ‫על‬ ‫נושאים‬
•‫המקומית‬ ‫המחשוב‬ ‫סביבת‬ ‫למול‬ ‫בענן‬ ‫עבודה‬
•‫בענן‬ ‫מידע‬ ‫אבטחת‬ ‫איומי‬
•‫מאובטח‬ ‫הענן‬ ‫האם‬?
•‫המשותפת‬ ‫האחריות‬ ‫מודל‬ ‫מהו‬?
•‫ענן‬ ‫ספקי‬ ‫לבחינת‬ ‫שאלון‬

3. ‫המקומית‬ ‫המחשוב‬ ‫סביבת‬ ‫למול‬ ‫בענן‬ ‫עבודה‬
‫ענן‬ ‫שירותי‬(Cloud Native) ‫המחשוב‬ ‫מרכז‬‫המסורתי‬
‫ספק‬‫הענן‬ ‫שירותי‬ ‫עצמו‬ ‫הארגון‬ ‫הפיזית‬ ‫ההגנה‬ ‫על‬ ‫אמון‬ ‫מי‬?
‫במרכזי‬‫שירותי‬ ‫ספק‬ ‫של‬ ‫המחשוב‬
‫הענן‬
‫במרכז‬‫המקומי‬ ‫המחשוב‬ ‫המידע‬ ‫מאוחסן‬ ‫היכן‬?
‫הענן‬ ‫שירותי‬ ‫ספק‬ ‫בשיתוף‬ ‫הארגון‬ ‫עצמו‬ ‫הארגון‬ ‫למידע‬ ‫הגישה‬ ‫על‬ ‫שולט‬ ‫מי‬?
‫עצמו‬ ‫הארגון‬ ‫עצמו‬ ‫הארגון‬ ‫המידע‬ ‫על‬ ‫אמון‬ ‫מי‬?
IaaS–‫עצמו‬ ‫הארגון‬
PaaS–‫הענן‬ ‫שירותי‬ ‫ספק‬
SaaS–‫הענן‬ ‫שירותי‬ ‫ספק‬
‫עצמו‬ ‫הארגון‬ ‫אבטחה‬ ‫חולשות‬ ‫איתור‬ ‫על‬ ‫אמון‬ ‫מי‬
‫והפצת‬‫אבטחה‬ ‫עדכוני‬?
‫שירותי‬ ‫ספק‬‫הארגון‬ ‫בשיתוף‬ ‫הענן‬
‫עצמו‬
‫עצמו‬ ‫הארגון‬ ‫אבטחת‬ ‫באירועי‬ ‫טיפול‬ ‫על‬ ‫אמון‬ ‫מי‬
‫מידע‬?
‫הענן‬ ‫שירותי‬ ‫ספק‬ ‫בשיתוף‬ ‫הארגון‬ ‫עצמו‬ ‫הארגון‬ ‫חוק‬ ‫בדרישות‬ ‫לעמוד‬ ‫אמור‬ ‫מי‬,
‫רגולציה‬‫ופרטיות‬(GDPR,‫הגנת‬ ‫חוק‬
‫בישראל‬ ‫הפרטיות‬,‫בנק‬ ‫הוראות‬
‫וכו‬ ‫ישראל‬')?

4. ‫בענן‬ ‫מידע‬ ‫אבטחת‬ ‫איומי‬
‫ה‬ ‫ארגון‬-Cloud Security Alliance‫אלפי‬ ‫בין‬ ‫סקר‬ ‫שנים‬ ‫למספר‬ ‫אחת‬ ‫מבצע‬
‫בעולם‬ ‫ארגונים‬,‫על‬-‫מול‬ ‫בעבודה‬ ‫מתמודדים‬ ‫הם‬ ‫איומים‬ ‫אילו‬ ‫מול‬ ‫להבין‬ ‫מנת‬
‫ענן‬ ‫שירותי‬.
‫בסוף‬ ‫שפורסם‬ ‫במסמך‬2017‫הבאים‬ ‫השכיחים‬ ‫האיומים‬ ‫הוגדרו‬:
•‫ממוקדות‬ ‫מתקפות‬(APT) •‫מידע‬ ‫למאגרי‬ ‫פריצה‬
•‫מידע‬ ‫אובדן‬ •‫הזדהות‬ ‫נתוני‬ ‫וגניבת‬ ‫חלשה‬ ‫הזדהות‬
•‫נאותות‬ ‫בבדיקת‬ ‫חוסר‬‫הספק‬(Due Diligence) •‫פיתוח‬ ‫ממשקי‬(API)‫מאובטחים‬ ‫בלתי‬
•‫ענן‬ ‫שירותי‬ ‫של‬ ‫לרעה‬ ‫ניצול‬ •‫ואפליקציה‬ ‫תשתית‬ ‫חולשות‬
•‫שירות‬ ‫מניעת‬ ‫מתקפות‬ •‫חשבונות‬ ‫גניבת‬(Account Hijacking)
•‫ב‬ ‫שימוש‬ ‫עקב‬ ‫חולשות‬‫משותפת‬ ‫טכנולוגיה‬
(Multi-tenancy)
•‫ע‬ ‫פריצה‬"‫הספק‬ ‫בצד‬ ‫עובד‬ ‫י‬

5. ‫מאובטח‬ ‫הענן‬ ‫האם‬?
•‫הקצרה‬ ‫התשובה‬–‫כן‬
•‫על‬ ‫האמונים‬ ‫ייעודיים‬ ‫בצוותים‬ ‫ניכרים‬ ‫כסף‬ ‫סכומי‬ ‫משקיעים‬ ‫הגדולים‬ ‫הענן‬ ‫ספקי‬
‫תחזוקה‬,‫אבטחה‬,‫חוסן‬ ‫בדיקות‬ ‫וביצוע‬ ‫מידע‬ ‫אבטחת‬ ‫באירועי‬ ‫טיפול‬(Penetration
Testing)‫שוטפת‬ ‫בצורה‬
•‫פס‬ ‫רוחבי‬ ‫בעלי‬ ‫והינם‬ ‫המחשוב‬ ‫משאבי‬ ‫את‬ ‫להגדיל‬ ‫מסוגלים‬ ‫הגדולים‬ ‫הענן‬ ‫ספקי‬ ‫כל‬
‫שירות‬ ‫מניעת‬ ‫במתקפות‬ ‫לטפל‬ ‫המסוגלים‬ ‫במיוחד‬ ‫גדולים‬
•‫הארוכה‬ ‫התשובה‬–‫בענן‬ ‫להשתמש‬ ‫מתכוונים‬ ‫אתם‬ ‫בו‬ ‫בתרחיש‬ ‫תלוי‬
•‫להשתמש‬ ‫מתכוונים‬ ‫אתם‬ ‫שירות‬ ‫מודל‬ ‫באיזה‬?(IaaS / PaaS / SaaS)
•‫בענן‬ ‫רגיש‬ ‫מידע‬ ‫לאחסן‬ ‫מתכוונים‬ ‫אתם‬ ‫האם‬(‫אשראי‬ ‫נתוני‬,‫ת‬.‫ז‬,‫רפואיים‬ ‫נתונים‬
‫וכו‬')?

6. ‫המשותפת‬ ‫האחריות‬ ‫מודל‬ ‫מהו‬?
‫שכבה‬‫כשירות‬ ‫תשתית‬(IaaS)‫כשירות‬ ‫פלטפורמה‬
(PaaS)
‫כשירות‬ ‫תוכנה‬(SaaS)
‫הנתונים‬ ‫שכבת‬‫הלקוח‬ ‫אחריות‬‫הלקוח‬ ‫אחריות‬‫הלקוח‬ ‫אחריות‬
‫היישום‬ ‫שכבת‬‫הלקוח‬ ‫אחריות‬‫הלקוח‬ ‫אחריות‬‫הענן‬ ‫ספק‬ ‫אחריות‬
‫ההפעלה‬ ‫מערכת‬‫הלקוח‬ ‫אחריות‬‫הענן‬ ‫ספק‬ ‫אחריות‬‫הענן‬ ‫ספק‬ ‫אחריות‬
‫הוירטואליזציה‬ ‫שכבת‬‫הענן‬ ‫ספק‬ ‫אחריות‬‫הענן‬ ‫ספק‬ ‫אחריות‬‫הענן‬ ‫ספק‬ ‫אחריות‬
‫שרתים‬‫הענן‬ ‫ספק‬ ‫אחריות‬‫הענן‬ ‫ספק‬ ‫אחריות‬‫הענן‬ ‫ספק‬ ‫אחריות‬
‫אחסון‬‫הענן‬ ‫ספק‬ ‫אחריות‬‫הענן‬ ‫ספק‬ ‫אחריות‬‫הענן‬ ‫ספק‬ ‫אחריות‬
‫תקשורת‬‫הענן‬ ‫ספק‬ ‫אחריות‬‫הענן‬ ‫ספק‬ ‫אחריות‬‫הענן‬ ‫ספק‬ ‫אחריות‬
‫הפיזית‬ ‫השכבה‬‫הענן‬ ‫ספק‬ ‫אחריות‬‫הענן‬ ‫ספק‬ ‫אחריות‬‫הענן‬ ‫ספק‬ ‫אחריות‬

7. ‫ענן‬ ‫ספקי‬ ‫לבחינת‬ ‫שאלון‬
•‫מטרה‬:‫הענן‬ ‫ספק‬ ‫עם‬ ‫לעבודה‬ ‫סיכונים‬ ‫ניהול‬ ‫לבצע‬ ‫לארגונים‬ ‫לאפשר‬
•‫לשאלות‬ ‫דוגמאות‬:
•‫פרטיות‬ ‫בתקני‬ ‫עומד‬ ‫הענן‬ ‫שירותי‬ ‫ספק‬ ‫האם‬(‫במדינת‬ ‫הפרטיות‬ ‫הגנת‬ ‫חוק‬ ‫דוגמת‬
‫ישראל‬,‫רגולציית‬GDPR‫וכו‬')‫הענן‬ ‫ספק‬ ‫של‬ ‫המחשוב‬ ‫מרכזי‬ ‫ממוקמים‬ ‫והיכן‬?
•‫הארגון‬ ‫נתוני‬ ‫על‬ ‫להגנה‬ ‫הענן‬ ‫ספק‬ ‫בצד‬ ‫מוטמעות‬ ‫לוגיות‬ ‫בקרות‬ ‫אילו‬?(‫מדיניות‬
‫סיסמאות‬,‫חזקה‬ ‫הזדהות‬,Firewall,Anti-Malware‫וכו‬')
•‫ה‬ ‫מהו‬-SLA‫השירות‬ ‫זמינות‬ ‫של‬ ‫בהקשר‬ ‫הענן‬ ‫שירותי‬ ‫ספק‬ ‫מתחייב‬ ‫אליו‬,‫שחזור‬
‫נתונים‬,‫בתקלות‬ ‫טיפול‬,‫וכו‬ ‫מידע‬ ‫אבטחת‬ ‫באירועי‬ ‫טיפול‬?'
•‫אחסון‬ ‫בעת‬ ‫רגיש‬ ‫מידע‬ ‫מצפין‬ ‫הענן‬ ‫שירותי‬ ‫ספק‬ ‫האם‬?
•‫מידע‬ ‫אבטחת‬ ‫באירועי‬ ‫לטיפול‬ ‫ותהליכים‬ ‫ייעודי‬ ‫צוות‬ ‫יש‬ ‫הענן‬ ‫שירותי‬ ‫לספק‬ ‫האם‬?