למה מערך הסייבר כתב מסמך גיבוי דווקא לעסקים קטנים?
כי מתקפות כופרה מכוונות היום גם ליכולת לשחזר, ולא רק לשרת עצמו. בארגונים גדולים יש מי שמטפל בגיבוי, ובעסקים קטנים מגלים לרוב ביום התקלה שאי אפשר לשחזר.
זה בדיוק מה שהמסמך כותב בפתיחה שלו, והניסיון שלנו מהשטח זהה. הגיבוי במשרד טיפוסי רץ כל לילה לדיסק חיצוני שמחובר לשרת. הוא מצליח כל לילה, ואף אחד לא שחזר ממנו מעולם. כופרה שמצפינה את השרת מצפינה גם את הדיסק הזה, כי מבחינתה הוא עוד כונן.
המסמך מחלק את ההמלצות לארבעה תחומים. בהמשך סידרנו אותם לפי סדר עבודה, ולכל המלצה הוספנו איך בודקים שהיא מתקיימת אצלכם.
אילו חמישה דגשים הכי חשובים מול כופרה?
שני עותקים ואחד מחוץ למשרד ומנותק (דגש 8), הפרדה מאחסון הייצור (7), קבצי גיבוי לקריאה בלבד (10), הרשאות מינימליות לחשבונות הגיבוי (3), ושחזור מבחן (15). בלי חמשת אלה, מתקפה אחת לוקחת גם את השרת וגם את הגיבוי.
8 · שני עותקים, אחד מנותק
- מה הוא אומר
- לפחות שני העתקים, ואחד במתקן מאובטח מחוץ למשרד, מנותק מהרשת במידת האפשר
- איך בודקים אצלכם
- האם יש עותק שהשרת לא יכול לכתוב אליו? אם כל העותקים נגישים מהשרת, אין
7 · הפרדה מהייצור
- מה הוא אומר
- אחסון הגיבוי מופרד מאחסון מערכות הייצור
- איך בודקים אצלכם
- האם הגיבוי יושב על אותו מערך דיסקים או אותו NAS שמשמש לעבודה?
10 · קריאה בלבד
- מה הוא אומר
- בסיום הגיבוי מונעים גישה לקבצים: קריאה בלבד או מדיה מסוג WORM
- איך בודקים אצלכם
- נסו למחוק קובץ גיבוי ישן עם משתמש רגיל. אם הצלחתם, גם כופרה תצליח
3 · הרשאות מינימליות
- מה הוא אומר
- חשבונות המשתמשים וחשבונות השירות של מערכת הגיבוי בהרשאות המינימליות הנדרשות
- איך בודקים אצלכם
- האם תוכנת הגיבוי רצה עם חשבון אדמין של הדומיין? אם כן, מי שגנב אותו שולט בגיבוי
15 · שחזור מבחן
- מה הוא אומר
- בדיקות שחזור תקופתיות, ושחזור נכס קריטי שלם לפחות פעם בשנה
- איך בודקים אצלכם
- מתי שוחזר השרת כולו בפעם האחרונה, וכמה זמן זה לקח?
| דגש | מה הוא אומר | איך בודקים אצלכם |
|---|---|---|
| 8 · שני עותקים, אחד מנותק | לפחות שני העתקים, ואחד במתקן מאובטח מחוץ למשרד, מנותק מהרשת במידת האפשר | האם יש עותק שהשרת לא יכול לכתוב אליו? אם כל העותקים נגישים מהשרת, אין |
| 7 · הפרדה מהייצור | אחסון הגיבוי מופרד מאחסון מערכות הייצור | האם הגיבוי יושב על אותו מערך דיסקים או אותו NAS שמשמש לעבודה? |
| 10 · קריאה בלבד | בסיום הגיבוי מונעים גישה לקבצים: קריאה בלבד או מדיה מסוג WORM | נסו למחוק קובץ גיבוי ישן עם משתמש רגיל. אם הצלחתם, גם כופרה תצליח |
| 3 · הרשאות מינימליות | חשבונות המשתמשים וחשבונות השירות של מערכת הגיבוי בהרשאות המינימליות הנדרשות | האם תוכנת הגיבוי רצה עם חשבון אדמין של הדומיין? אם כן, מי שגנב אותו שולט בגיבוי |
| 15 · שחזור מבחן | בדיקות שחזור תקופתיות, ושחזור נכס קריטי שלם לפחות פעם בשנה | מתי שוחזר השרת כולו בפעם האחרונה, וכמה זמן זה לקח? |
מה ההמלצות לגבי אחריות וספקים?
ממנים אדם אחד בעסק שאחראי על הגיבוי, גם כשהגיבוי אצל ספק חיצוני, ומעגנים בהסכם עם כל ספק את דרישות ההגנה על המידע, כולל הגיבוי.
התנהלות כללית, דגשים 1 עד 4
- 1 · מיפוי עיתי של המידע בעסק, כולל מידע שיושב בענן או אצל ספקים, ורמת הרגישות שלו
- 2 · בעל תפקיד אחד שאחראי על גיבוי ושחזור. במיקור חוץ, עובד מהעסק שמפקח על הספק ובודק את הגיבוי
- 3 · הרשאות מינימליות לחשבונות המשתמשים ולחשבונות השירות של מערכת הגיבוי
- 4 · עיגון משפטי של דרישות ההגנה על המידע בהתקשרות עם צד שלישי, כולל הגיבוי
דגש 2 הוא החשוב מבין הארבעה. ספק גיבוי טוב מריץ את הגיבוי, אבל רק מי שנמצא בעסק יודע אם תוכנת השכר החדשה שהותקנה בחודש שעבר נכנסה לרשימה.
איך מגדירים מדיניות גיבוי לפי ההמלצות?
לכל סוג מידע מגדירים מדיניות לפי הרגישות והקריטיות שלו. המסמך מציג כדוגמה שילוב של גיבוי יומי, שבועי וחודשי עם מספר דורות לכל אחד, ומערכת גיבוי עם ניהול מרכזי.
יומי
- מה מגבים
- שינויים בלבד
- כמה דורות שומרים
- 7
- כיסוי
- שבוע אחורה
שבועי
- מה מגבים
- גיבוי מלא
- כמה דורות שומרים
- 5
- כיסוי
- חודש אחורה
חודשי
- מה מגבים
- גיבוי מלא (העותק השבועי הראשון)
- כמה דורות שומרים
- 12
- כיסוי
- שנה אחורה
ארכיון
- מה מגבים
- לפי צורך
- כמה דורות שומרים
- מספר שנים
- כיסוי
- דרישות חוק ותיעוד
| שכבה | מה מגבים | כמה דורות שומרים | כיסוי |
|---|---|---|---|
| יומי | שינויים בלבד | 7 | שבוע אחורה |
| שבועי | גיבוי מלא | 5 | חודש אחורה |
| חודשי | גיבוי מלא (העותק השבועי הראשון) | 12 | שנה אחורה |
| ארכיון | לפי צורך | מספר שנים | דרישות חוק ותיעוד |
זו דוגמה מהמסמך, לא חובה. מה שהיא מראה הוא העיקרון: כמה נקודות שחזור לאורך זמן, ולא רק הגיבוי של אתמול. כופרה שנכנסה לרשת לפני שלושה שבועות והופעלה היום הופכת את כל הגיבויים של השבועות האחרונים לחשודים, ורק נקודה ישנה יותר מחזירה מצב נקי.
דגש 6 ממליץ על מערכת גיבוי בעלת ניהול מרכזי. במשרד זה אומר מקום אחד שבו רואים את כל משימות הגיבוי ואת התוצאות שלהן, ולא סקריפט על השרת ועוד אחד על המחשב של המנכ״ל.
איפה ואיך לאחסן את הגיבוי?
בנפרד מהייצור, בשני עותקים לפחות עם אחד מחוץ למשרד, מוצפן, לקריאה בלבד אחרי הכתיבה, ובמיקום שעומד בדרישות החוק והחוזים שלכם.
אחסון ושיטת הגיבוי, דגשים 7 עד 14
- 7 · אחסון הגיבוי מופרד מאחסון מערכות הייצור
- 8 · לפחות שני העתקים, ואחד במתקן מאובטח מחוץ למשרד, מנותק מהרשת במידת האפשר
- 9 · שילוב סוגי גיבוי שנשענים על טכנולוגיות שונות, במיוחד כשיש הרבה מידע קריטי
- 10 · קבצי הגיבוי לקריאה בלבד בסיום הגיבוי, או מדיה מסוג WORM
- 11 · המיקום הלוגי והפיזי של הגיבוי עומד בדרישות החוק, הרגולציה והחוזים
- 12 · הצפנה של הגיבוי, קריטית במיוחד כשהעותק יושב מחוץ לעסק
- 13 · שיטת הגיבוי עומדת ביעדים, כמו כמה זמן לוקח לשחזר נכס מאפס
- 14 · תוכנת גיבוי עם מנגנונים מובנים לזיהוי וחסימה של כופרה
מה בודקים באופן שוטף?
שחזור מבחן תקופתי עם בדיקת תקינות בסיום, בדיקה שנתית שהמדיניות עדכנית, דוח אחרי כל גיבוי ושחזור, סריקת נוזקות לפני גיבוי ושחזור, ועדכון של תוכנת הגיבוי והסוכנים.
- 1
15 · שחזור מבחן
קובץ בודד, תיבת דואר, בסיס נתונים, ולפחות פעם בשנה נכס קריטי שלם. בסיום בודקים שהמערכת באמת עובדת, לא רק שהקבצים קיימים.
- 2
16 · בדיקה שנתית של המדיניות
האם כל מה שחדש בעסק נכנס לגיבוי, והאם אחסון הגיבוי מוגדר נכון.
- 3
17 · הגנה על המידע המגובה
הגיבוי מכיל את כל המידע של העסק. דליפה שלו שווה לדליפה של השרת, ולכן מאבטחים אותו באותה רמה.
- 4
18 · דוח אחרי כל פעולה
בסיום גיבוי או שחזור, דוח לבעל התפקיד האחראי. דוח שאף אחד לא קורא שווה לדוח שלא נשלח.
- 5
19 · סריקה לפני גיבוי ושחזור
בדיקה לגילוי והסרה של נוזקות, כדי לא לגבות את הבעיה ולא לשחזר אותה בחזרה.
- 6
20 · עדכון התוכנה והסוכנים
תוכנת גיבוי ישנה היא עוד רכיב פגיע ברשת.
מאיפה מתחילים אם אין כרגע כלום?
מהשחזור. לפני שקונים תוכנה או דיסקים, בודקים אם הגיבוי הקיים בכלל משתחזר ותוך כמה זמן. התוצאה אומרת מה חסר, ומשם בונים את השאר.
זו הסיבה שאנחנו מציעים בדיקת שחזור גיבוי חינם: לוקחים עותק של הגיבוי שלכם, משחזרים אותו אצלנו בסביבה נפרדת, ומחזירים דף אחד שעונה על דגש 15 ודגש 13: האם השרת עלה, כמה זמן זה לקח, ומה היה חסר. אם תחליטו להמשיך, העותק יכול להישאר אצלנו כעותק מחוץ למשרד, וזה כבר דגש 8. לגיבוי מנוהל של שרתים ראו גיבוי שרתים בענן.
שאלות נפוצות
המסמך 'דגשים למדיניות גיבוי בעסקים קטנים בראי הגנת הסייבר' מונה 20 המלצות בארבעה תחומים: התנהלות כללית, מדיניות גיבוי, אחסון ושיטת הגיבוי, וטיפול שוטף. המרכזיות הן שני עותקים לפחות ואחד מחוץ למשרד ומנותק מהרשת, הפרדה מאחסון הייצור, הצפנה, קבצי גיבוי לקריאה בלבד, ובדיקות שחזור תקופתיות.
המסמך ממליץ לגזור את התדירות מרמת הרגישות או הקריטיות של המידע, לפי המחמירה מהשתיים, ולבצע שחזור של נכס קריטי שלם לפחות פעם בשנה. בנוסף מומלץ לשחזר סוגים שונים: קובץ בודד, תיבת דואר, בסיס נתונים, ולבדוק תקינות בסיום כל שחזור.
עותק שאין אליו חיבור רשת קבוע מהשרת שמגובה. מתקפת כופרה מצפינה כל מה שהיא מגיעה אליו, כולל דיסק גיבוי שמחובר לשרת או תיקייה ברשת. עותק שאין אליו גישה מהרשת, או שמוגדר לקריאה בלבד, הוא העותק שנשאר שלם.
המסמך לא קובע תדירות אחת, אלא ממליץ להגדיר מדיניות לכל סוג מידע לפי הרגישות והקריטיות שלו. כדוגמה הוא מציג שילוב: גיבוי שינויים יומי עם 7 דורות לכיסוי שבועי, גיבוי מלא שבועי עם 5 דורות לכיסוי חודשי, וגיבוי חודשי מלא עם 12 דורות לכיסוי שנתי.
כן. המסמך ממליץ במפורש למנות עובד בעסק שיפקח על הספק ויבצע בדיקות תקופתיות לוודא שהגיבוי תקין, ולעגן בהסכם עם הספק את דרישות ההגנה על המידע, כולל הגיבוי. מיקור חוץ מעביר את העבודה, לא את האחריות.
המסמך הוא המלצה מקצועית, לא חקיקה. לעסקים שמחזיקים מידע אישי חלות בנוסף תקנות אבטחת המידע, שבחלק מרמות האבטחה מחייבות נהלי גיבוי ושחזור. ההמלצות של מערך הסייבר הן דרך מעשית לעמוד גם בהן.
מקורות ובדיקה אחרונה
התאריכים והתנאים במדריך הזה נקבעים על ידי היצרן ויכולים להשתנות. אלה המקורות הראשוניים, כדי שתוכלו לאמת מול המקור ולא מולנו.
נבדק לאחרונה: