חקירה אחרי דליפת מידע — לשחזר מה קרה עם ההקלטות של Teramind

תקנה 11 לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017, מטילה על בעל מאגר מידע את האחריות לתעד אירועי אבטחה, ככל האפשר על בסיס רישום אוטומטי. כשמחשב בארגון שלך הוציא מידע החוצה, המשפט היבש הזה הופך לשלוש שאלות מעשיות: מה עושים ברגע הגילוי? איך יודעים מה בדיוק יצא ומתי? והאם ההקלטה תשמש כראיה כשמישהו יבקש לראות אותה?

העמוד עונה על השאלות האלה לפי הסדר, בתוך Teramind. הוא חלק מסדרה, ואת התמונה המלאה תמצא במדריך המלא ל-Teramind בעברית. המטרה כאן היא לשחזר אירוע אחד ולהגן על מידע של לקוחות ועובדים. היא לא לבדוק מה עוד העובד עשה ביום שלישי בבוקר. חקירה שממוקדת באירוע אחד הוגנת יותר כלפי העובדים, וגם קל יותר להציג אותה.

השעה הראשונה: מה לא לעשות

הדחף הטבעי הוא לרוץ למחשב, לזמן את העובד לשיחה ולתקן את הכלל שלא עצר את הדליפה. כל אחד מהצעדים האלה עלול לפגוע בדבר היחיד שיש לך ביד בשלב הזה: רצף אירועים שלם ומתועד. ובארגון של 80 עובדים, דווקא בשעה הזאת פתאום כולם מומחים לפורנזיקה.

• לא להתחיל מהגרפים הכלליים. לפי Teramind, גרפים וטבלאות רגילים בדשבורד עשויים להתעדכן באיחור של עד ארבע שעות. באירוע חמור נשענים על ההתראות עצמן.
• לא לערוך את הכלל שהתריע. שינוי באמצע חקירה מטשטש את השאלה מה היה בתוקף ברגע האירוע. דשבורד Audit מתעד פעולות שבוצעו בתוך הקונסולה, כך שגם השינויים שלך יופיעו בו.
• לא לפתוח גישה לכולם. דרך Access Control מגבילים את הצפייה לחוקר ולמנהל אחד. כך מגנים על פרטיות העובד ועל שלמות החקירה.
• לא לדחות את הייצוא. הקלטות לא נשמרות לנצח, ופרטי המדיניות מופיעים בהמשך העמוד.

למצוא את ההפרה בטבלה

מסך הפתיחה הוא Dashboards › Overview. בו מופיעה הטבלה List of Behavior Rule Violations. כל שורה בטבלה היא הפרה של כלל, עם Timestamp (מתי זה קרה) ו-Computer (מאיזה מחשב). אם נוח לך יותר לעבוד מתור מלא, דשבורד Behavior Alerts מציג את ההפרות, את פעולות האכיפה שבוצעו ואת Risk scores, כלומר ציון הסיכון שהמערכת נתנה לכל הפרה.

ומה אם אף כלל לא התריע, והדליפה התגלתה מבחוץ, למשל כשלקוח התקשר? אז מחפשים לפי ערוץ:

• Insider Threat Detection מרכז במקום אחד העלאות קבצים, קבצים מצורפים בהודעות ובמסרים מיידיים, הדפסות ומילים רגישות.
• Login Sessions מציג כניסות, כתובת IP, מחשב מקור וחיבורי RDP. כך בודקים אם מי שישב מול המחשב הוא באמת בעל המשתמש.
• OCR מחפש טקסט שהופיע על המסכים, כולל עברית. אם ידוע שם הלקוח שהרשומה שלו יצאה, כאן מחפשים אותו. לפי דף המחירים, OCR כלול בחבילת Enterprise.

לצפות בהקלטה של אותו רגע

כאן Teramind שונה מכלי לוגים רגיל: במקום לנחש מה קרה משורות טקסט, רואים את המסך עצמו. נגן ההקלטות Session Player תומך בצפייה חיה ובצפייה היסטורית, ויש בו Timeline, קול (אם הופעל), Tags וייצוא.

• פותחים את ההתראה לוחצים על השורה הרלוונטית ב-Behavior Alerts.
• לוחצים על סמל Movie Camera ה-Session Player נפתח בזמן המדויק של ההפרה.
• קוראים את ה-Timeline מה קרה דקות ספורות לפני ואחרי: איזה קובץ נפתח, לאן הועתק ולאיזה אתר הועלה.
• עוברים בין Sessions אם הפעולה התפרסה על כמה כניסות או על כמה ימים.
• מסמנים ב-Tags ו-Notes מה ראית ובאיזו דקה, כדי שמי שיצפה אחריך לא יתחיל מאפס.

לייצא ולשמור את הראיה

מתוך הנגן מייצאים Clip של הקטע הרלוונטי ותמונה של הרגע המכריע. ב-System › Video Export עוקבים אחרי מצב הייצוא, מורידים את הקובץ, מבטלים ייצוא שגוי ומנהלים את משך השמירה של הקטעים. ההורדה היא החלק החשוב, כי קטע שנשאר רק בענן כפוף למדיניות המחיקה של הספק.

בפריסת On-Premise או Private Cloud הארגון קובע את משך השמירה לפי האחסון שלו (מדיניות השמירה של Teramind). אם צריך גם טבלאות, ייצוא CSV מדשבורד מוגבל ל-10,000 שורות בקובץ וכולל רק Grid widgets, לא תרשימים. לצד הקובץ המיוצא, רשום ביומן החקירה:

• מקור: שם המערכת, המחשב והמשתמש.
• טווח זמן: מאיזו דקה עד איזו דקה הקטע.
• חוקר: מי ייצא, ומתי. דשבורד Audit יתעד זאת גם בצד שלו.
• Hash ושרשרת משמורת: לפי הנוהל הפנימי שלכם, כדי שאפשר יהיה להראות שהקובץ לא שונה.

מה התקנות דורשות לתעד

תקנה 11 לתקנות הגנת הפרטיות (אבטחת מידע) קובעת שבעל מאגר מידע אחראי לתיעוד אירועי אבטחה, ככל האפשר על בסיס רישום אוטומטי. כאן Teramind נותן ערך אמיתי: התראה עם חותמת זמן, הכלל שהופר, ההקלטה ויומן Audit נוצרים אוטומטית, בלי שמישהו יצטרך לזכור לרשום אותם.

שני דברים הכלי לא יעשה בשבילך. הוא לא יקבע אם האירוע חמור, והוא לא יתעד את ההחלטות שקיבלתם. לכן יומן החקירה הידני מהשעה הראשונה הוא חלק מהתיעוד, לא קישוט. לפירוט על התקנות ועל תיעוד הגישה ב-Teramind, ראה את העמוד על תיעוד גישה ותקנות אבטחת המידע.

מתי מערבים עורך-דין או את הרשות

לפי תקנה 11, באירוע אבטחה חמור בעל המאגר צריך להודיע לרשם באופן מיידי ולדווח על הצעדים שנקט. השאלה אם האירוע שלך חמור היא שאלה משפטית, ולכן כדאי לשאול אותה מוקדם ולא אחרי שבוע של התלבטות.

גם שאלת הקבילות שייכת לעורך-הדין. ייצוא מסודר אינו מבטיח שההקלטה תתקבל כראיה, ו-Teramind עצמה ממליצה להתייעץ עם יועץ משפטי מקומי. כדאי לערב עורך-דין לפני שיחה עם העובד, לפני שמעבירים הקלטה לגורם מחוץ לארגון, ולפני ההחלטה אם לדווח.

מה זה אומר עליך

מתי Teramind גדול מדי או לא מתאים

השוואה מלאה תמצא בעמוד החלופות ל-Teramind. ואם אתה מקים את הכלי עכשיו, מוקדם מדי לחקירה: הגדר הקלטה לפי הפרה, הודע לעובדים בסוכן גלוי וכתוב נוהל קצר. כך ביום הדליפה תהיה לך ראיה, ולא רק תחושה.

בשורה התחתונה: אתה אחראי למידע של לקוחות ועובדים, וזה לא נעלם ביום שמשהו דולף. מה שאתה יכול לבחור הוא אם תגיע לאותו יום עם התראה, הקלטה מיוצאת ויומן חקירה, או עם ניחושים. חקירה טובה היא ממוקדת, שקופה כלפי העובדים ומתועדת מהדקה הראשונה, והיא מתחילה בהגדרות שאתה קובע כבר היום.