חומר רקע

- 1 - 'הנחית רשם גורמים מאשרים מס5 1 02/ 2 חוות דעת של מבקר גורם מאשר 1. מטרות 1.1 מטרת הנחייה זו לפרט את התנאים ה נדרשים להתקיים בחוות דעת של מבק,ר המוגשת בהתאם לתקנה2(8 )לתקנות חתימה אלקטרונית (רישום גורם מאשר וניהולו), התשס"ב- 2001 (להלן– תקנות רישום וניהול ) לגבי מערכות גורם מאשר שנרשם במרשם הגורמים המאשרים לפי חוק חתימה אלקטרונית, התשס"א- 2001 (להלן- החוק ), כולל כל גורם רושם או אחר הפועל עבורו או מטעמו (להלן- הגורם המאשר). 1.2 לפרט את התנאים הנדרשים להתקיים במבקר העורך חוות דעת מבקר כאמור (להלן- המבקר). 2. ע רק 2.1 תקנה2(8 ) לתקנות רישום וניהול מחייבת הגשת "חוות דעת של מבקר לפי כללי ביקורת מקובלים בדבר נאותות מערכות המידע, מערכות הבקרה ואמצעי האבטחה... והכל להנח ת "דעתו של הרשם. 2.2 בנוסף, בתקנה2(8 ) לתקנות רישום וניהול מפ ורטות הדרישות אותן נדרש לקיים המבקר ."לצורך קיום חובה זו, כאשר הובהר בסיפא לס"ק (ה) כי "הכל להנחת דעתו של הרשם 2.2 הנחית הרשם מספר212010 בנושא תקן מקובל למערכת ניהול תעודות אלקטרוניות בגור ם מאשר מפרטת את הדרישות לעניי ן מהות הבדיקה שיש לערוך בחוות הדעת, כולל הפניה לתקןCWA 14167-1 . 3. הנחיה 2.1 הביקורת שעורך המבקר נועדה לב דוק האם כל מערכות המידע המשמשות את הגורם ,המאשר לרבות אמצעי הבקרה והאבטחה המשולבים בהן, מקיימות את הוראות החוק ותקנותיו המפורטות בנספח א' להנחיה זו, וכן האם אמצעי בקרה ואבטחה אלו מופעלים ומיושמים .כראוי על ידי הגורם המאשר 2.2 הנחייה זו מבטלת ומחליפה את הנחיית רשם412006 .""חוות דעת של מבקר 2.2 המבקר וצוות הבדיקה 2.2.1 על המבקר להיות להנחת דעת הרשם כמפורט בתקנה2(8 .) לתקנות רישום וניהול 2.2.2 הנחיית הרשם212010 גם מפנה לתקן העזרCWA-14172 לעניין הדרישות החלות על המבקר או על צוות הביקורת אשר הינו להנחת דעתו של הרשם. בפרט, סעיף2.2 להנחיה מדגיש כי על המבקר להיות בעל"ניסיון מעשי בתחום ה- PKI ,"להנחת דעתו של הרשם שכן תחום ה - PKI מהווה את הליבה של תשתיות אבטחת מידע בגורם .המאשר - 2 - 2.2.2 בנוסף, על המבקר לעמוד בתנאי הכשירות והניסיון המקצועי כמפורט בתקן CWA 16142-2 , ותקן16142-2 CWA על מנת להניח את דעתו של הרשם כאמור בתקנה 2(8 ) לתקנות ר י .שום וניהול 2.2.6 כל הבדיקות חייבות להתבצע על ידי אנשי מקצוע בעלי ,מומחיות כאשר צוות הבדיקה חייב לכלול גם מומחים לאבטחת מידע עם ניסיון תקיפה מוכח וניסיון בתחום PKI . 2.6 עריכת הבדיקות 2.6.1 בהתאם להנחיית הרשם212010 , עריכת הבדיקה על מערכות הגורם המאשר מחייבת שילוב של בדיקה נוהלית תפעולית עם בדיקה של מערכות ספציפיות שמותקנת בגורם המאשר, תוך התייחסות לסיכונים הקונקרטיים שיש לגורם המאשר הספציפי בהתאם לקווים המנחים בתקן16144 - CWA ול התמודדות עם סיכונים אלה. על הבדיקה להתבצע לפי הכללים הקבועים בתקן העזר 16142 - CWA . 2.6.2 ביצוע הבדיקות ייגמר בטווחי זמן ,סבירים ובתנאי שלא יבוצעו שינויים במערכת בין הבדיק,ות שאינן על דעת המבקר ושלא הובאו לידיעתו, והדבר אף יצוין בדוח הביקורת המפורט. 2.6.2 הבדיקות נה לו כל ת :את כל אלה 2.6.2.1 בדיקת קיום, שלמות ועדכניות תיעוד "תיק אתר" הכולל :תרשימי רשת, חומרה עדכנית כולל רכיבי רשת, שרתים ותחנות, גרסאות תוכנה של כל הנ"ל, תיעוד ,התקנות חוקי כלי ,אבטחה ז רימת פרוטוקולים ו תיעוד הגדרות כלי רשת; 2.6.2.2 בדיקת אמצעי האבטחה הפיזית בכל מתקני הגורם המאשר; 2.6.2.2 סקירה על מדיניות האבטחה ומידת הטמעתה אצל העובדים בארגו ן; 2.6.2.6 בדיקת הקשחות מלאה, הן ברמות מערכות ההפעלה, תוכנות התשתית והיישומים השונים, כולל בדיקות התקנת עדכוני יצרן וטלאי אבטחת מידע; 2.6.2.3 בדיקת כלי האבטחה כגון : AV , IPS , FW ,בדיקת מדיניות החוקי ם ובדיקת אפקטיביות החוקי ם; 2.6.2.4 בדיקת מערכות התחזוקה ( maintenance ) האמורות להבטיח המשך עדכונים בצורה )מאובטחת (ללא גישה ישירה לאינטרנט; 2.6.2.4 בדיק ת מערכת השו"ב, בדיקת מדיניות ובדיקת אפקטיביות; 2.6.2.8 בדיקת מערכת איסוף וניתוח הלוגים, בדיקת מדיניות ובדיקת אפקטיביות; 2.6.2.3 סקר סיכונים לכל מערכות המידע המשמשות את הגורם המאשר וכן בדיקות חדירות לאחר סיום כל העבודה כאמור בסעיפים2.4 ו- 2.8 להלן; - 2 - 2.6.2.10 בדיקת קוד(Code Review) לפיתוחים עצמאיים שאינם חלק מהתוכנה שנרכשה וקבצי התיעוד לבדיקות; 2.6.2.11 בחינת צורך בשדרוג מערכות קיימות במערכות חדשות בעלות רמת אבטחה גבוהה יותר או ברכישה והטמעה של מערכות אבטחת מידע שאינן קיימות במערכות המידע המשמשות את הגורם המאשר; 2.6.2.12 בחינת אירועי אבטחת מידע בתחום ה- PKI וה- CA שהתפרסמו והסקת מסקנות לגבי יכולת התמודדות הגורם המאשר ב אירועים מסוגים אלו (לדוגמה אירועdiginotar ). 2.6.6 לצורך הבדיקות רשאי המבקר להסתמך על דו"ח מעבדה מוסמכת המעיד על התאמת מערכת מבוקרת לתקן CC או תקן מקובל אחר להנחת דעתו של הרשם ובלבד שאימת את ההנחות המפורטות בדו"ח הבדיקה לגבי אופן השימוש במערכת . 2.3 דוח ביקורת מפורט 2.3.1 דוח ביקורת מפורט ייערך לפי המבנה שלהל:ן 2.3.1.1 תיאור גבולות הגזרה של הבדיקה בהתאם לסיכונים הקיימים בגורם המאשר, ועומק הבדיקה שהתבצע ה בהתאם לתוחלת כל סיכון. אם ישנו רכיב שלא נכלל בגבולות הגזרה של הבדיקה, על המבקר לנמק .את הסיבה לכך ,כאשר מדובר ברכיב של צד שלישי מוכר ניתן להתבסס על אסמכתאות מהליך תקינה או תיעוד אחר ככל שהן מקובלות; 2.3.1.2 פירוט באופן מדויק של מכלול רכיבי המערכת שנבדקו, לצד תיאור הארכיטקטורה של המערכת. ככל שמדובר בנתונים סטנדרטים הקשורים לרכיב המופיע בתיעוד של המוצר (כגון נתונים על אופן פעולת מערכת ההפעלה), ניתן להסתפק בהפניה קצרה יותר. 2.3.2 :לגבי כל בדיקה שבוצעה יש לפרט 2.3.2.1 הנושא הנבדק; 2.3.2.2 או במבחני הרשם1סעיף בתקן, בחוק או בתקנות ו; 2.3.2.2 המערכת הנבדקת; 2.3.2.6 תהליך הבדיקה, כול ל מפרט הפעולות שבוצעו ותיאור הכ לים שאיתם בוצעו הפעולות; 2.3.2.3 צילומי מסך של הנושא הנבדק; 2.3.2.4 לוגים ותיעוד רלוונטי של המערכות הנבדקות; 2.3.2.4 ממצאי הבדיקה; 2.3.2.8 הליקוי שנמצא והתיקון שבוצע לגביו, או הערכת הזמן ומשאבים הנדרשים ,לתיקון והבקרה המפצה בתקופה זו; - 6 - 2.3.2.3 סיכו1רמת חשיבות ן; 2.3.2.10 סטטוס במועד הגשת הדו ח; 2.3.2.11 במקרה בו דרישת האבטחה שבתקן 16144-1 - CWA לא מתקיימת ברכיב מסוים במ ערכות ה גורם המאשר, על המבקר לפרט את הפערים בין הרכיב לבין דרישת האבטחה בתקן. ככל שישנם פערים, יש לפרט כיצד הגורם המאשר מגשר על פערים אל ו תוך מתן הסבר הגיוני המניח את הדעת. יובהר, כי בכל מקרה תינתן עדיפות לכך שהיישום של הדרישה בתקן יתקיים ברכיב עצמו; 2.3.2.12 תאריך בדיקה; 2.3.2.12 )נבדק ע"י (שם המבקר; 2.3.2.16 א)ושר ע"י (נציג הגורם המאשר. 2.4 כללי ביקורת מקובלים 2.4.1 ,תקנים הנחיות ונהלים לעריכת ביקורת מערכות מידע שפורסמו ע"י אחד מבין הגופים המפורטים להלן יהוו"כללי ביקורת מקובלים" כנדרש בתקנה2(8) לתקנות רישום וניהול; 2.4.1.1 לשכת רואי החשבון בישראל; 2.4.1.2 ;ISACA - Information Systems Audit and Control Association 2.4.1.2 ICS2– International Information Systems Security Certification Consortium Inc 2.4.2 בביצוע הביקורת ניתן להיעזר גם בפרסומים הבאים: 2.4.2.1 מדריךSP 800-115 שלNIST Technical Guide to Information Security" Testing and Assessment" 1 ; 2.4.2.2 מסמךOpen Source Security Testing Methodology Manual ( (OSSTMM מאת ארגון2ISECOM ; 2.4.2.2 BSI-Standard 100-3 של משרד אבטחת המידע הפדרלי בגרמניה Risk Analysis" 3based on IT-Grundschutz " ; 1 :בקישור http://csrc.nist.gov/publications/nistpubs/800-115/SP800-115.pdf 2 :בקישורhttp://www.isecom.org/research/osstmm.html 3 :בקישור - 3 - 2.4.2.6 "BSI - Study A Penetration Testing Model" של משרד אבטחת המידע הפדרלי בגרמניה4. 2.4 סקר סיכונים 2.4.1 על סקר סיכונים להתייחס לכל הנושאים הבאים: 2.4.1.1 פירוט כל הנכסים עליהם יש להגן (כגון: מפתחות, תעודות, פרטים אישיים של ,מונפקים אובייקטים שונים במערכות ההפעלה ו ביישומים השונים, בסיסי ,הנתונים מערכי אחסון, רשת וציודי התקשורת ורכיבי )האבטחה השונים; 2.4.1.2 פירוט האיומים השונים העומדים בפני הגורם המאשר, רמת הסכנה הנשקפת למידע בכל איום שהתגלה, וכיצד הגורם המאשר מתמודד עם כל איום שכזה; 2.4.1.2 פירוט תוצאות בדיקות, הן ידניות והן של כלי האבטחה השונים בהם התבצע שימוש לצורך הבדיקות, מפרט הקשחות של רכיבי רשת, שרתים ומסדי-נתונים; 2.4.1.6 תיאור מפרטי ביצוע ותוצאות בדיקות חדירות פנימית וחיצונית בשיטות קופסא שחורה וקופסא לבנה. 2.4.2 את הסקר יש לממש גם באמצעות כלים, ביחוד בבדיקות ההקשחה ובדיקות התקנת הטלאים המומלצים. כל הבדיקות שתעשינה, לרבות אלו המציגות תוצאות חיוביות ת תועד נה באופן מלא. 2.8 בדיקות חדירות 2.8.1 בדיקות החדירות ת בוצע נה על הרשת הפנימית ועל הרשת החיצונית של הגורם המאשר וכן בדיקות מחוץ לרשת הגורם המאשר. 2.8.2 בדיקות החדירות ת כלו לנה שני סוגי בדיקות: בדיקה כללית ואוטומטית לזיהוי בעיות אבטחת המידע ובדיקה יסודית וידנית לאיתור חשיפות שונות בשירותים הפעילים בגורם המאשר; 2.8.2 על הבדיקה הידנית לכלול את האפשרות הפוטנציאלית לביצוע, בין היתר, את הנושאים הבאים : 2.8.2.1 ע קיפת מערכות ההגנה מסוגים שונים; 2.8.2.2 ע קיפת מ נגנוני ההזדהות ופיצוח סיסמאות; https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/Publications/BSIStandards/standard_100- 3_e_pdf.pdf?__blob=publicationFile 4 :בקישור https://www.bsi.bund.de/SharedDocs/Downloads/EN/BSI/Publications/Studies/Penetration/penetration_ pdf.pdf?__blob=publicationFile - 4 - 2.8.2.2 השתלטות על מערכות ברשת הארגון והחדרת קוד עוין לתוך הארגון; 2.8.2.6 ביצועSocial Engineering להשגת מידע מעובדי הארגו;ן 2.8.2.3 אפשרות לחדירה פיזית לתוך הארגון. 2.3 חוות דעת המבקר 2.3.1 חוות דעת המבקר תהיה ערוכה בהתאם לטופס המצוי בנספח ב', תישא תאריך חתימה עדכני אשר הפרש הימים בינו ובין תאריך ההגשה אינו עולה על שבועיי.ם 2.3.2 לחוות הדעת יצורפו: 2.3.2.1 דוח ביקורת מפורט, לפי כל המפורט לעיל; 2.3.2.2 דוח סקר סיכונים, לפי כל המפורט לעיל; 2.3.2.2 דוח מבדקי חדירות לפי כל המפורט לעיל; 2.3.2.6 טופס הסכמה לקבלת מידע מהמרשם פלילי והצהרה על העדר כתב אישום חתום ומאומת על ידי עו ין ד רך )(ר' נספח ג' להנחיה . 2.3.2 חוות הדעת תסכם את תוצאות דוח הביקורת המפורט, ותכלול מסקנת המבקר לאור תוצאות אלה כי מערכות הגורם המאשר נאותות ומהימנו .ת 2.10 יודגש, כי ההחלטה הסופית בעניין קבלת חוות הדעת ודוחות הביקורת הינה של הרש .ם אלון בכר ראש הרשות למשפט, טכנולוגיה ומידע רשם גורמים מאשרים - 4 - נספח א' – הוראות חוק ותקנות הרלבנטיות לביקורת 'מס סעיף/תקנה חיקוק הנושא 81 )(ד חוק חתימה אלקטרונית מערכות חומרה ותוכנה מהימנות 3 תקנות חומרה ותוכנה5 זמינות מערכת לבדיקת תוקף תעודות 4 תקנות חומרה ותוכנה אבטחת אמצעי חתימה של הגורם המאשר 5 )(א תקנות חומרה ותוכנה עמידת מרכיבי המערכת בתקן CC או תקן מקובל אחר 5 )(ב תקנות חומרה ותוכנה אבטחת אמצעי התקשורת 7 )(א תקנות חומרה ותוכנה הפרדת תפקידים 7 )(ב תקנות חומרה ותוכנה בקרת גישה 7 )(ג תקנות חומרה ותוכנה זיהוי ותיעוד גישה 83 תקנות רישום וניהול6 איסור החזקת אמצעי חתימה בידי הגורם המאשר 84 תקנות רישום וניהול שימוש בשפה העברית 85 )(ב תקנות רישום וניהול אבטחת מאגרי נתונים 85 )(ג תקנות רישום וניהול זמינות מאגרי תעודות 81 תקנות רישום וניהול מערכת לניהול תצורה 81 תקנות רישום וניהול רישום פעולות ואירועים 02 תקנות רישום וניהול גיבוי ושמירה 5 תקנות חתימה אלקטרונית (חתימה אלקטרונית מאובטחת, מערכות חומרה ותוכנה ובדיקת ,)בקשות התשס"ב- .2001 6 תקנות חתימה אלקטרונית (רישום גורם מאשר ,)וניהולו התשס"ב- 2001 . - 8 - חוות דעת של מבקר - 'נספח ב בהתאם לתקנה2(8 )לתקנות חתימה אלקטרונית (רישום גור ם מאשר וניהולו), התשס"ב- 2001 _______ ,אני הח"מ___ ,___נתבקשתי ע"י _____________ (להלן: "הגורם המאשר") לחוות ,דעתי בנוגע למערכות המידע של הגורם המאשר ואמצעי הבקרה והאבטחה המשולבים בהן בהתאם לתקנה2(8 )לתקנות חתימה אלקטרונית (רישום גורם מאשר וניהולו), התשס"ב- 2001 . הריני להצהיר כי איני ממלא משרה או בעל עניין כל שהוא בגורם המאשר, ואיני קרוב משפחה מדרגה ראשונה של הגורם המאשר או מנהל הגורם המאשר. כמו כן הנני מצרף לחוות דעתי טופס הסכמה לקבלת מידע מהמרשם הפלילי להוכחת עמידתי בדרישת תקנה2(8 )(ג) לתקנות חתימה .אלקטרונית הנ"ל :להלן פרטיי השכלתי והכשרתי המקצועית (אנא פרט: )השכלה אקדמית, תארים, הכשרה בביקורת מערכות מידע וצרף אסמכתאות _________________________________________________ _________________________________________________ _________________________________________________ _____________________________________ ____________ _________________________________________________ :להלן פרטי ניסיוני המקצועי בתחום ביקורת מערכות מידע _________________________________________________ _________________________________________________ _________________________________________________ _________________________________________________ _________________________________________________ :ערכתי את ביקורתי לפי כללי ביקורת מקובלים כדלקמן _________________________________________________ _____ ____________________________________________ _________________________________________________ _________________________________________________ :על סמך הביקורת שערכתי הריני לחוות דעתי כדלקמן _________________________________________________ ___________ ______________________________________ _________________________________________________ _________________________________________________ _________________________________________________ _________________________________________________ _________________ ________________________________ _________________________________________________ _________________________________________________ - 3 - _________________________________________________ _________________________________________________ _________________________________________________ מצורפים דו"ח הביקורת המפורט, דוח סקר הסיכונים, דוח מבדקי החדירות והמסמכים הנוספי ם.שעליהם מבוססת חוות דעתי לעיל ______:שם מלא:_______________ תואר: _______ מספר רישיון ________________ :כתובת__________ :תאריך:______ חתימה - 10 - נספח ג': הסכמה לקבלת מידע מהמרשם פלילי והצהרה על העדר כתב אישום ,אני ______________________ :בעל תעודת זהות שמספרה _____________________ שם ושם משפחה של המצהיר מ.ספר ת.ז כולל ספרת ביקורת מבקר מערכות המידע :תאריך לידה _________ :שם האב ___________ :ארץ לידה ____________ :עסק1שם החברה _____________ 1. אני החתום מטה, נותן הסכמתי לכך, שרשם גורמים מאשרים, הפועל מכוח חוק חתימה אלקטרונית, התשס"א- 2001 , יקבל, בכל עת ולפי דרישתו, פרטים אודותיי מהמרשם הפלילי המנוהל על פי חוק המרשם הפלילי ותקנת השבים, התשמ"א- 1381 . 2. אני החתום מטה, מצהיר בזה, שלמיטב ידיעתי, לא הוגש נגדי כתב אישום ולא הורשעתי בעבירות המפורטות להל :ן 2.1 . עבירה מסוג "פשע" לפי הגדרתה בסעיף26 (1 )לחוק העונשין", התשל ז- 1344 . 2.2 . עבירות לפי סעיפים114 עד120 , 216 ,)(א231 , 284 עד288 , 232 , 618 , 620 , 622 , 626 , 620 עד622 , 663 , 642 , 644 , 684 עד688, ו- 634 לחוק העונשין , התשל"ז- 1344 . 2.2 . עבירות לפי סעיפי ם3 , 21 א לחוק הגנת הפרטיות, התשמ"א- 1381 . 2.6 . עבירות לפי סעיפים2 עד3 לחוק המחשבים, התשמ"ה- 1333 . 2.3 . עבירות לפי סעיפים32ד ו- 32(א) לחוק ניירות ערך, התשכ"ח- 1348 . 2.4 . עבירה לפי סעיף4 לחוק איסור לשון הרע, התשכ"ה- 1343 . 2.4 . עבירות לפי סעיף81ג לחוק ההוצאה לפועל, התשכ"ז- 1344 . 2.8 . עבירות לפי סעיף14 לחוק שיקים ללא כיסוי, התשמ"א- 1381 . 2.3 . ע בירות לפי סעיף20 לחוק חוקרים פרטיים ושירותי שמירה, התשל"ב- 1342 . 2 . אני.החתום מטה, מצהיר בזה, כי איני תאגיד 6 . אני.החתום מטה, מצהיר בזה, כי אני תושב ישראל ___________ ______________ תאריך חתימה חתימה - 11 - אישור עו"ד אני ,הח"מ עורך ת לי1דין _______________ מאשר בזה כי _______________ המוכר 1 אישית ה בפני בתעודת זהות שמספרה ______________, לאחר1תה עצמו1שזיהה ה כי1שהזהרתיו ה לעונשים הקבועים בחוק אם1תהיה צפוי1ה להצהיר את האמת וכי יהיה1עליו ,תעשה כן1יעשה .ה דלעיל1ה את נכונות הצהרתו1אישר :תאריך____________ :שם עורך הדין ______________ :חתימת עורך הדין ____________ :חותמת עורך הדין ____________ :מספר רישיון עריכת דין ________ מע:ן עורך הדין _______________ - 12 - מידע לגבי ההנחיה 1. :מס' ההנחיה202/15 2. נושא ההנחיה :חוות דעת של מבקר גורם מאש ר 2. תאריך פרסום : 2310112013 6. בתוקף מתאריך: 2310112013 3. חקיקה שאוזכרה: א. חוק חתימה אלקטרונית, התשס"א- 2001 ב. חוק המרשם הפלילי ותקנת השבים, התשמ"א- 1381 ג. חוק העונשין, התשל"ז- 1344 ד. חוק הגנת הפרטיות, התשמ"א- 1381 ה. חוק המחשבים, התשמ"ה- 1333 ו. חוק ניירות ערך, התשכ"ח- 1348 ז. חוק איסור לשון הרע, התשכ"ה- 1343 ח. חוק ההוצאה לפועל, התשכ"ז- 1344 ט. חוק שיקים ללא כיסוי, התשמ"א- 1381 י. חוק חוקרים פרטיים ושירותי שמירה, התשל"ב- 1342 יא. תקנות חתימה אלקטרונית (רי שום גורם מאשר וניהולו), התשס"ב- 2001 יב. תקנות חתימה אלקטרונית (חתימה אלקטרונית מאובטחת, מערכות חומרה ותוכנה ובדיקת בקשות), התשס"ב- 2001 4. פסקי דין שאוזכרו: .אין 4. מאמרים שאוזכרו: .אין 8. הנחיות היועץ המשפטי לממשלה שאוזכרו: .אין 3. הנחיות רשם מאגרי המידע שאוזכרו: א. 412006 חוות דעת של מבקר ב. 212010 .תקן מקובל למערכת ניהול תעודות אלקטרוניות בגורם מאשר 10 . מילות מפתח: אבטחה, בדיקות חדירות, גורם מאשר, הקשחות, חוות דעת, חתימה .אלקטרונית, מבקר מערכות מידע, מערכות מידע, נהלים, סקר סיכונים, רישום 11 . עדכונים גרסה פרטים תאריך