אבטחת מידע לחברות בטחונית
אנו מספקים שירותי אבטחת מידע לספקי משרד הבטחון

מעטפת ניהול סיכון לספקי משרד הביטחון

רב מגן 2 ו ISO/IEC 27001  מעטפת אחת לניהול הסיכון ולהגנת המידע הביטחוני.

חברות ביטחוניות וספקים בשרשרת האספקה נדרשים להגן על מידע רגיש בסביבה של איומים מתקדמים, דרישות לקוח מחמירות ותלות הולכת וגוברת בספקים, בענן ובמערכות מקושרות. עוגן מספקת ליווי מקצועי בהובלת CISO למיפוי, יישום והכנה למבדקים לפי רב מגן 2 ולפי ISO/IEC 27001, בהתאמה לדרישות החלות על הארגון.

לתיאום שיחת היערכות לחברה ביטחונית

 

בחברה ביטחונית, אבטחת מידע היא חלק מיכולת הביצוע

מידע ביטחוני אינו נמצא רק במערכת מרכזית אחת. הוא עשוי להופיע בקוד, בשרטוטים, בתכניות ייצור, בהצעות מחיר, בדואר אלקטרוני, בסביבות ענן, בתחנות קצה, אצל קבלני משנה ובממשקים עם הלקוח. חולשה בנקודה אחת עלולה לסכן פרויקט שלם, לפגוע באמון המזמין ולעכב התקשרות או השתתפות במכרז.

לכן נדרשת יותר מרשימת בקרות. נדרשת מערכת ניהול שמחברת בין הנהלה, עובדים, תהליכים, טכנולוגיה, ספקים וראיות. רב מגן 2 ו ISO/IEC 27001 מספקים שתי מסגרות שונות ומשלימות לבניית המעטפת הזו.

מהו רב מגן 2

רב מגן 2 הוא תקן של משרד הביטחון להגנה בסייבר על מידע ביטחוני בראי חברות וספקים בשרשרת האספקה של מערכת הביטחון. רמה 2 היא הרמה הבינונית הפומבית במסגרת, והיא מיועדת להגנה על מידע ביטחוני הנשמר, מעובד או מועבר בתשתיות ארגוניות בלתי מסווגות.

הגרסה הפומבית כוללת 110 דרישות המאוגדות ב 14 קבוצות מקצועיות, בקרת גישה, מודעות והדרכה, ביקורת ואחריות, ניהול תצורה, זיהוי ואימות, תגובה לאירועים, תחזוקת מערכות, הגנה על מדיות, אבטחת כוח אדם, הגנה פיזית, ניהול סיכונים, הערכת רמת ההגנה, הגנה על תקשורת בין מערכות, שלמות המידע והמערכות.

התקן תואם ל NIST SP 800 171 ול CMMC 2.0 ברמה 2, אך משרד הביטחון מדגיש כי יש להסתמך על הנוסח של רב מגן עצמו. רמת ההגנה הנדרשת והמסלול הרלוונטי נקבעים לפי ההתקשרות, רגישות המידע, הוראות הגוף הביטחוני המזמין והנחיות משרד הביטחון. לכן אין להניח שכל ספק נדרש אוטומטית לאותו תהליך או לאותה הסמכה.


מהו ISO/IEC 27001
ISO/IEC 27001:2022 הוא תקן בינלאומי למערכת ניהול אבטחת מידע, ISMS. הוא מספק מסגרת לניהול שיטתי של סיכוני מידע באמצעות מדיניות, חלוקת אחריות, הערכת סיכונים, בחירת בקרות, מדידה, ביקורת ושיפור מתמיד.

התקן מתאים לארגונים מכל גודל ומכל מגזר. עבור חברה ביטחונית הוא מאפשר ליצור שכבת ניהול ארגונית עקבית סביב סודיות, שלמות וזמינות המידע, להוכיח ללקוחות ולשותפים שמתקיים מנגנון סדור לניהול הסיכון, ולבסס תשתית שניתן לתחזק גם כאשר הארגון, הפרויקטים והאיומים משתנים.

יישום התקן אינו מחייב בהכרח הסמכה, אך ארגון יכול לבחור לעבור תהליך התעדה באמצעות גוף מוסמך כדי להציג אישור חיצוני למערכת הניהול שהקים.


שני תקנים, שתי מטרות, תכנית עבודה אחת

רב מגן 2 ממוקד בהגנה על מידע ביטחוני ובבחינת ההתאמה של הנכסים והתהליכים הכלולים בתיחום שנקבע. ISO/IEC 27001 ממוקד בהקמת מערכת ניהול אבטחת מידע מבוססת סיכון, בהקשר הרחב של הארגון.

ISO/IEC 27001 יכול לשמש תשתית ניהולית חזקה לרב מגן 2. תהליכים של ניהול סיכונים, ניהול נכסים, בקרת גישה, טיפול באירועים, ניהול ספקים, ביקורת ושיפור יכולים לשרת את שתי המסגרות, אם התיחום, היישום והראיות מתאימים. עם זאת, הסמכת ISO/IEC 27001 אינה מחליפה התאמה או הסמכה לרב מגן 2, ואינה מוכיחה כשלעצמה עמידה בכל דרישותיו.

הגישה היעילה היא לבנות מפת בקרות משולבת. כך הארגון נמנע מכפילויות, משתמש במסמכים ובראיות באופן חכם, מזהה דרישות ייחודיות לכל מסגרת ומפתח מערכת אחת שניתן לנהל לאורך זמן.

למי מתאים הליווי

הליווי מתאים לתעשיות ביטחוניות, לחברות המבקשות להפוך לספק של משרד הביטחון, לספקים ולקבלני משנה שקיבלו דרישת רב מגן, לחברות תוכנה, ענן, הנדסה, ייצור, אלקטרוניקה, אינטגרציה ושירותים מקצועיים הפועלות בפרויקטים ביטחוניים, לארגונים המבקשים לקבל הסמכת ISO/IEC 27001, ולחברות המבקשות להכין תשתית אחת שתשרת דרישות מקומיות ובינלאומיות.

גם חברה שאינה מחזיקה מידע מסווג עשויה לטפל במידע ביטחוני בלתי מסווג או בתוצרים רגישים. שאלת התחולה נקבעת לפי המידע, המערכות, השירות, שרשרת האספקה והדרישות שנמסרו לארגון, ולא רק לפי חותמת הסיווג.