נהלי אבטחת מידע: גישה מרחוק לספקים

תוכן הנוהל

1. מטרות

מטרת נוהל זה להסדיר את סדרי הגישה מרחוק עבור ספקים ונותני שירות שונים, אשר נדרשים לעיתים לבצע עבודות תחזוקה, התקנות וטיפול בתקלות במערכות פנימיות בתוך רשת המכון. נוהל זה אינו חל על גישה מרחוק במסגרת שיתופי פעולה מדעיים (Scientific Collaboration), אשר מטופלים על ידי המזכירות האקדמית של המכון.

2. מונחים והגדרות

משתמש קצה: עובד המכון או עובד חיצוני שבמסגרת תפקידו משתמש במערכות המידע הממוחשבות של המכון ו/או נחשף למידע פנימי (להלן ״משתמש״).

שלמות מידע: זהות בין הנתונים במאגר המידע לבין הנתונים המקוריים. על המידע המקורי, ורק המידע המקורי להימצא במאגר המידע, בלא ששונה ללא צורך.

סודיות מידע: הגנה על תוכן המידע מפני גורמים שאינם מורשים לעשות בו שימוש.

זמינות מידע: האפשרות לגשת לנתונים לפי צורך.

אבטחת מידע: מכלול הפעילויות והאמצעים הננקטים במטרה להבטיח את שלמות, סודיות וזמינות המידע.

שם משתמש מכוני (User ID): שם ייחודי אשר נקבע לכל משתמש מחשב במכון, לצורך זיהויו במערכת הממוחשבת.

סיסמה: שדה המכיל מספר תווים, אשר משמש בצרוף שם המשתמש בכדי לאמת את זהות המשתמש במערכת הממוחשבת.

תוכנה מפגעת: תוכנת מחשב המיועדת להפצה בין מחשבים לצורך הסבת נזק למערכות המידע.

תוכנת אנטי-וירוס: תוכנה לזיהוי וחסימה של תוכנות מפגעות. זיהוי התוכנות המפגעות מבוצע באמצעות רשימה עדכנית (קובץ חתימות) של סוגי וירוסים נפוצים.

מידע מסווג: מידע פנימי אשר חשיפתו עלולה לגרום נזק משמעותי ישיר או עקיף למכון, כגון מידע פרטי על עובדי המכון, מידע עסקי רגיש וכו׳.

מידע פנימי: כל מידע של המכון, אשר גילויו לגורמים לא מוסמכים עלול לגרום נזק למכון. כמעט כל המידע הקיים במכון הינו פנימי וחל איסור לעשות בו כל שימוש שאינו לצורכי עבודה.

חוק הגנת הפרטיות: חוק מדינה שמטרתו להגן על פרטיותם של אזרחים, תוך שימת דגש על פרטים אישיים שמאוחסנים במערכות מידע ממוחשבות. במקרה של פגיעה בפרטיותו של אדם, החוק מטיל אחריות על בעל המידע ו/או בעל המאגר, ולא על מי שהשתמש במידע באופן בלתי חוקי.

פלטפורמות מידע: אמצעי מדיה המשמשים לאחסון מידע, לרבות נייר. מידע ממוחשב מאוחסן על גבי מדיה מגנטית (דיסקים, דיסקטים, קלטות, סרטים, מדיה אופטית), תקליטורים או מדיה אלקטרונית.

3. אחריות
   1. יישום וביצוע נוהל זה באחריות ענף תשתיות מחשוב - תחום אבטחת מידע באגף טכנולוגיות מידע במכון.
   2. אחריות ביצוע הנוהל חלה על כל המעוניין לאפשר גישה לספקים כפי שמוגדר בנוהל.

4. תחולה

נוהל זה חל על כל עובדי המכון, למעט מדענים אשר מבקשים ליישם גישה מרחוק לצורך שיתוף פעולה מדעי.

5. תהליך העבודה

תהליך הגישה מרחוק יבוצע באמצעות זיהוי על פי שם משתמש וסיסמה חד פעמית (OTP), ושימוש בטוקן SecurID.

1. על מבקש הגישה ליצור קשר עם מרכז התמיכה בטלפון 08-9344444 ולהזדהות.
2. לאחר אימות זהותו של מבקש הגישה תינתן סיסמה חד פעמית על ידי נציג השירות במכון.
3. בקש הגישה יגלוש באמצעות דפדפן אל הכתובת https://svpn.weizmann.ac.il.
4. על מבקש הגישה לעקוב אחר ההוראות להתקנת ActiveX/Java Applet ולבצע הזדהות.
5. לאחר ההזדהות יוכל מבקש הגישה לגשת למשאבים הספציפיים שהוגדרו עבורו, באמצעות פרוטוקולים מורשים.
6. לא תינתן גישה למשאבים שלא הוגדרו בטופס ואושרו מראש.
7. עם סיום העבודה, יש לנתק את ההתקשרות ואת הגישה מרחוק.

6. חשבון משתמש עבור עובד ספק
   1. לצורך מתן שרות הדורש גישה מרחוק למערכות פנימיות בתוך רשת המכון, תידרש הקצאת טוקן SecurID אישי עבור כל אחד מעובדי הספק.
   2. שם המשתמש שיוגדר עבור עובדי ספק לצורך גישה מרחוק יהיה כשם מבקש הגישה מרחוק (עובד המכון). החשבון יוגדר כחשבון נוסף ונפרד מהחשבון הראשי (Primary User) שמשמש את העובד בשגרה, ינוהל באמצעות מאגר מערכת ה-RSA ויוגדר ב-Firewall המכוני.

7. הרשאות גישה

הרשאות הגישה לעובד ספק יוגדרו בהתאם לצורך הגישה למערכות, לביצוע פעילותו בלבד, ויאפשרו גישה אך ורק למידע ההכרחי לצורך ביצוע פעילות זו.

8. בקרה
   1. מנהל אבטחת המידע יבחן אחת לרבעון את תוקפם של הסכמי ההתקשרות עם הספקים. ממונה אבטחת מידע יוכל לנטרל חשבונות אשר לא היו בשימוש מזה תקופה ארוכה של לכל הפחות שנה.
   2. ממונה אבטחת מידע ינהל רשימה של נותני השירות המורשים בגישה מרחוק וידאג לעדכנה בכל עת.
   3. ביקורת (Audit) תבוצע על חשבונות המשתמש של עובדי הספק בהתאם לאופי ורגישות ההתקשרות, על פי הגדרות מנהל אבטחת המידע.