שולחן עגול בנקאות רגולציה וענן

Matrix IT work Copyright 2014. Do not remove source or Attribution from any graphic or portion of graphicMatrix IT work Copyright 2014. Do not remove source or Attribution from any graphic or portion of graphic

Matrix IT work Copyright 2014. Do not remove source or Attribution from any graphic or portion of graphic
‫רקע‬:‫ענן‬ ‫ומחשוב‬ ‫בנקאות‬
‫לאחרונה‬ ‫עד‬,‫בסקטור‬ ‫ענן‬ ‫מחשוב‬ ‫לגבי‬ ‫בהירות‬ ‫חוסר‬
‫הבנקאות‬!
‫הוראה‬357-‫לנושא‬ ‫נרחבת‬ ‫התייחסות‬‫מיקור‬‫החוץ‬,‫אין‬ ‫אך‬
‫ענן‬ ‫למחשוב‬ ‫פרטנית‬ ‫התייחסות‬:

‫רקע‬:‫ענן‬ ‫ומחשוב‬ ‫בנקאות‬
‫מס‬ ‫מידע‬ ‫מאגרי‬ ‫רשם‬ ‫הנחיית‬'2/2011
‫חוץ‬ ‫מיקור‬ ‫בשירותי‬ ‫שימוש‬Outsourcing))‫אישי‬ ‫מידע‬ ‫לעיבוד‬

"‫ניהול‬‫מחשוב‬ ‫בסביבת‬ ‫סיכונים‬‫ענן‬"
‫מהבנק‬ ‫דרישות‬

‫בסעיפים‬ ‫עמידה‬18,17,30‫בהוראה‬357.
‫מדיניות‬ ‫גיבוש‬‫ענן‬ ‫מחשוב‬(‫בהנהלה‬ ‫ואישורה‬‫ובדירקטוריון‬.)
‫סיכונים‬ ‫הערכת‬ ‫ביצוע‬‫לפרויקטים‬‫הענן‬ ‫בסביבת‬.

‫לעשות‬ ‫לא‬‫עבור‬ ‫ענן‬ ‫במחשוב‬ ‫שימוש‬‫ומערכות‬ ‫פעילויות‬‫ליבה‬.
‫מידע‬ ‫לאחסן‬ ‫לא‬/‫נתוני‬‫מדינת‬ ‫לגבולות‬ ‫מחוץ‬ ‫בענן‬ ‫לקוחות‬
‫כן‬ ‫אם‬ ‫אלא‬ ‫ישראל‬,‫את‬ ‫מקיים‬ ‫הענן‬ ‫שספק‬ ‫ווידא‬ ‫בדק‬ ‫הבנק‬
‫בהתאם‬ ‫ההגנה‬ ‫רמת‬‫במדינות‬ ‫המידע‬ ‫הגנת‬ ‫על‬ ‫לדירקטיבה‬
‫האירופי‬ ‫האיחוד‬.
•Data Protection Directive(Directive 95/46/EC)‫מה‬ ‫חלק‬EU
Privacy Law.
•Safe Harbor.
•‫ידעתנו‬ ‫למיטב‬,‫ל‬ ‫ברורה‬ ‫הגדרה‬ ‫אין‬"‫ליבה‬ ‫ומערכות‬ ‫פעילויות‬"
‫הבנקאות‬ ‫בסקטור‬.

‫כלכלי‬ ‫חוסן‬ ‫בדיקת‬,‫הענן‬ ‫ספק‬ ‫של‬ ‫וניסיון‬ ‫מקצועיות‬.
‫ענן‬ ‫בטכנולוגיות‬ ‫השימוש‬ ‫נושא‬ ‫של‬ ‫בדירקטוריון‬ ‫אישור‬:
•‫הצגת‬‫ענן‬ ‫מחשוב‬ ‫בטכנולוגיות‬ ‫הגלומים‬ ‫הסיכונים‬.
•‫הבקרות‬ ‫הצגת‬‫להפחתה‬ ‫והמתוכננות‬ ‫הקיימות‬.
‫במדיניות‬ ‫יעמוד‬ ‫בענן‬ ‫פרויקט‬ ‫שכל‬ ‫תוודא‬ ‫הבנק‬ ‫הנהלת‬
‫הענן‬ ‫מחשוב‬.
‫אחסון‬ ‫הכולל‬ ‫פרויקט‬ ‫לכל‬ ‫הבנקים‬ ‫על‬ ‫מהפיקוח‬ ‫אישור‬ ‫קבלת‬
‫בענן‬ ‫מידע‬.

"‫ענן‬ ‫מחשוב‬ ‫בסביבת‬ ‫סיכונים‬ ‫ניהול‬"
‫הענן‬ ‫מספק‬ ‫דרישות‬

‫הזכות‬‫אחר‬ ‫לספק‬ ‫לעבור‬ ‫או‬ ‫הספק‬ ‫בשירותי‬ ‫השימוש‬ ‫את‬ ‫להפסיק‬
‫תוך‬‫הנתונים‬ ‫מחיקת‬‫את‬ ‫לאחזר‬ ‫ניתן‬ ‫שלא‬ ‫הספק‬ ‫והתחייבות‬
‫במחשביו‬ ‫נתוניו‬.
o‫הענן‬ ‫ספק‬ ‫עם‬ ‫ההתקשרות‬ ‫בהסכם‬ ‫זה‬ ‫נושא‬ ‫לעגן‬–‫מהספק‬ ‫לדרוש‬ ‫מומלץ‬
‫זו‬ ‫דרישה‬ ‫ליישום‬ ‫באשר‬ ‫הסברים‬.
o‫בדרישה‬ ‫שעומדים‬ ‫מצהירים‬ ‫הענן‬ ‫ספקי‬ ‫מרבית‬-CSA CAIQ.
o‫גדולים‬ ‫ספקים‬(‫לדוגמה‬:Amazon)‫בהתאם‬ ‫נתונים‬ ‫מחיקת‬ ‫לבצע‬ ‫מאפשרים‬
‫לתקנים‬/‫כגון‬ ‫סטנדרטים‬:
• DoD 5220.22-M - “National Industrial Security Program Operating Manual “
• NIST 800-88 - “Guidelines for Media Sanitization”
oThe Code Space case study.
o‫נתונים‬ ‫הצפנת‬.

‫ביקורת‬ ‫לביצוע‬ ‫הזכות‬‫ע‬"‫הבנק‬ ‫של‬ ‫והחיצונית‬ ‫הפנימית‬ ‫הביקורת‬ ‫י‬
‫ע‬ ‫וכן‬"‫הבנקים‬ ‫על‬ ‫הפיקוח‬ ‫י‬.
•‫נושא‬ ‫לעגן‬ ‫לנסות‬‫ספק‬ ‫עם‬ ‫ההתקשרות‬ ‫בהסכם‬ ‫זה‬‫הענן‬.
•‫הקטנים‬ ‫הספקים‬ ‫עבור‬ ‫יעיל‬ ‫כלי‬ ‫הינם‬ ‫ביקורות‬,‫בספקים‬ ‫אך‬
‫ועלולה‬ ‫יעילה‬ ‫פחות‬ ‫הינה‬ ‫הביקורת‬ ‫גדולים‬‫להוות‬‫מכשול‬.
•‫על‬ ‫להסתמך‬ ‫גוברת‬ ‫מגמה‬‫ותקנים‬ ‫רגולציות‬‫כתחליף‬‫לביקורת‬.
•‫בתחום‬ ‫והסמכות‬ ‫ביקורת‬ ‫דוחות‬ ‫של‬ ‫קיומם‬ ‫לבדוק‬‫א‬"‫מ‬:
ISO 27001,STAR,PCI,HIPAA,SOC 2,SSAE 16,ISAE 3402,
‫לאבטחת‬ ‫תקנים‬Data Centers(Tier 1-4.)

‫הצפנה‬:
‫להיות‬ ‫הבנקאי‬ ‫התאגיד‬ ‫של‬ ‫המידע‬ ‫על‬‫מוצפן‬‫בתקשורת‬ ‫העברתו‬ ‫בעת‬
‫מאוחסן‬ ‫הוא‬ ‫כאשר‬ ‫וכן‬‫במערכת‬‫שאינה‬‫הבלעדי‬ ‫לשימושו‬(Multi-
tenancy.)
‫כאמור‬ ‫המידע‬ ‫כל‬ ‫את‬ ‫להצפין‬ ‫הבנקאי‬ ‫לתאגיד‬ ‫קושי‬ ‫יש‬ ‫בהם‬ ‫במקרים‬,
‫בחשיפתם‬ ‫ושיש‬ ‫כרגישים‬ ‫ידו‬ ‫על‬ ‫שסווגו‬ ‫הנתונים‬ ‫את‬ ‫לפחות‬ ‫להצפין‬ ‫יש‬
‫ובלקוחותיו‬ ‫הבנקאי‬ ‫בתאגיד‬ ‫לפגוע‬ ‫כדי‬.
•‫הבנק‬ ‫של‬ ‫פרטי‬ ‫לשימוש‬ ‫המיועדות‬ ‫בסביבות‬ ‫גם‬ ‫להצפין‬ ‫מומלץ‬
(‫כגון‬VPC)‫האיומים‬ ‫עם‬ ‫להתמודד‬ ‫מנת‬ ‫על‬:Subpeona,
Malicious Insider.

‫ניטור‬:
‫על‬‫אפשרות‬ ‫לו‬ ‫יש‬ ‫שבפועל‬ ‫לוודא‬ ‫הבנקאי‬ ‫התאגיד‬‫אבטחת‬ ‫אירועי‬ ‫ניטור‬
‫מידע‬‫ענן‬ ‫מחשוב‬ ‫במערכות‬ ‫לשימושו‬ ‫הקשורים‬.
‫אם‬‫ע‬ ‫המסופקים‬ ‫כלים‬ ‫באמצעות‬ ‫מבוצע‬ ‫זה‬ ‫ניטור‬"‫הספק‬ ‫י‬,‫לוודא‬ ‫יש‬
‫מקובלים‬ ‫בסטנדרטים‬ ‫עומדים‬ ‫שהכלים‬‫ומאפשרים‬‫מערכות‬ ‫עם‬ ‫שילוב‬
‫הניטור‬‫הבנק‬ ‫של‬ ‫הקיימות‬.
IAAS
•‫בעלות‬ ‫מערכות‬ ‫להטמיע‬ ‫הבנק‬ ‫על‬
‫נאותות‬ ‫ניטור‬ ‫יכולות‬.
•‫לניטור‬ ‫כלים‬ ‫לספק‬ ‫הענן‬ ‫ספק‬ ‫על‬
‫קונסולת‬‫הענן‬ ‫של‬ ‫הניהול‬
(‫לדוגמה‬:Cloud Trail‫באמאזון‬.)
SAAS
•‫עומדת‬ ‫שהתוכנה‬ ‫לוודא‬ ‫הבנק‬ ‫על‬
‫הניטור‬ ‫בדרישות‬.
•‫בכלי‬ ‫שימוש‬SAAS Audit Tools
(‫כגון‬Adallom)

‫ענן‬ ‫מחשוב‬ ‫מדיניות‬
‫מידע‬ ‫מקורות‬:
‫ענן‬ ‫מחשוב‬ ‫בסביבת‬ ‫סיכונים‬ ‫ניהול‬ ‫בנושא‬ ‫טיוטה‬.
CAIQ(Consensus Assessments Initiative Questionnaire.)
CCM(Cloud Control Matrix.)
The Forrester Cloud Security Compliance Checklist(‫על‬ ‫מבוסס‬
FedRAMP.)

‫ענן‬ ‫מחשוב‬ ‫מדיניות‬–‫מבנה‬

‫בענן‬ ‫לפרויקטים‬ ‫סיכונים‬ ‫הערכת‬
‫א‬ ‫שלב‬
‫הקונטקסט‬ ‫הבנת‬
‫ב‬ ‫שלב‬
‫הסיכונים‬ ‫מיפוי‬
‫ג‬ ‫שלב‬
‫הענן‬ ‫מספק‬ ‫למידע‬ ‫דרישה‬
‫ד‬ ‫שלב‬
‫סיכונים‬ ‫הערכת‬ ‫ביצוע‬

‫בענן‬ ‫לפרויקטים‬ ‫סיכונים‬ ‫להערכת‬ ‫מתודולוגיות‬
1)‫טיוטת‬ ‫נספח‬‫על‬ ‫הפיקוח‬‫הבנקים‬

‫סיכונים‬ ‫להערכת‬ ‫מתודולוגיות‬‫בענן‬ ‫לפרויקטים‬
2)‫הנחייה‬‫הרגולטור‬ ‫של‬ ‫ענן‬ ‫במחשוב‬ ‫סיכונים‬ ‫לניהול‬(‫על‬ ‫פקוח‬
‫הבנקים‬)‫ההולנדי‬(DNB.)
‫סיכונים‬‫ארגוניים‬–‫לדוגמה‬:‫הספק‬ ‫אצל‬ ‫נעילה‬(vendor locking),‫סיכונים‬
‫אספקה‬ ‫שרשרת‬ ‫לאבטחת‬ ‫הקשורים‬.
‫טכניים‬ ‫סיכונים‬–‫לדוגמה‬:‫הענן‬ ‫ספק‬ ‫של‬ ‫זדוני‬ ‫עובד‬‫את‬ ‫לרעה‬ ‫המנצל‬
‫הרשאותיו‬,‫הענן‬ ‫משרות‬ ‫אפקטיבית‬ ‫לא‬ ‫נתונים‬ ‫מחיקת‬-‫של‬ ‫שמידע‬ ‫הסיכון‬
‫לזמן‬ ‫מעבר‬ ‫בענן‬ ‫זמין‬ ‫יהיה‬ ‫הבנק‬‫שנקבע‬.
‫תאימות‬ ‫סיכוני‬–‫לדוגמה‬:Subpoena,‫רגולציות‬ ‫בין‬ ‫להתנגשות‬ ‫סיכון‬(‫לדוגמה‬
‫מאוחסן‬ ‫המידע‬ ‫בה‬ ‫ובמדינה‬ ‫בישראל‬.)
‫הענן‬ ‫לסביבת‬ ‫ספציפיים‬ ‫שאינם‬ ‫נוספים‬ ‫סיכונים‬-‫לדוגמה‬:‫גישה‬(‫פיזית‬)‫לא‬
‫ל‬ ‫מורשית‬Data Center‫הענן‬ ‫ספק‬ ‫של‬,‫גניבה‬/‫ומדיות‬ ‫מציוד‬ ‫מידע‬ ‫זליגת‬
‫מחשוב‬.

3)Enisa-Risks and recommendations
for cloud computing
‫פירוט‬23‫ענן‬ ‫מחשוב‬ ‫סיכוני‬
‫ל‬ ‫משמעויות‬ ‫ניתוח‬IAAS,PAAS,SAAS
4)CSA–"The Notorious Nine”

‫הספק‬ ‫על‬ ‫מידע‬ ‫איסוף‬
CSA STAR Self-Assessment
‫ביקורת‬ ‫דוחות‬(‫כגון‬SOC 2)
‫הענן‬ ‫לספק‬ ‫אבטחה‬ ‫שאלון‬

‫הענן‬ ‫לספק‬ ‫אבטחה‬ ‫שאלון‬

PCI DSS & Cloud Computing

Security and Shared Responsibility

‫תודה‬!
‫מטריקס‬ ‫לעובדי‬ ‫מיוחדת‬ ‫תודה‬‫בתמונות‬ ‫ששיתפו‬‫ושל‬ ‫שלהם‬‫יקיריהם‬
7/19/2015

שולחן עגול בנקאות רגולציה וענן

Recommandé

Recommandé

Contenu connexe

Similaire à שולחן עגול בנקאות רגולציה וענן

Similaire à שולחן עגול בנקאות רגולציה וענן (20)

Plus de Arthur Schmunk

Plus de Arthur Schmunk (13)

שולחן עגול בנקאות רגולציה וענן