הקדמה
את המשפט "עזוב, לוגים זה רק המלצה של אנשי IT" שמענו יותר מדי פעמים. אז בואו נעשה סדר פעם אחת ולתמיד: תקנה 10 לתקנות הגנת הפרטיות (אבטחת מידע), תשע"ז-2017, הופכת את ניהול הלוגים מ"נחמד שיש" לחובה חוקית מחייבת עם עיצומים כספיים של עד 160,000 ₪ לצד.
אבל לפני שנפרק את הסעיפים, בואו נבין למה הלוג הזה כל כך קריטי מלכתחילה.
מה זה בכלל לוג?
לוג (Log), או בעברית "קובץ יומן", הוא בעצם הקופסה השחורה של מערכות המחשוב שלכם. כל פעולה שמתבצעת במערכת כניסה, צפייה ברשומה, מחיקת קובץ, שינוי הרשאות מייצרת שורת טקסט שמתעדת מה קרה.
כדי שלוג יהיה אפקטיבי, הוא חייב לענות על ארבע שאלות בסיסיות:
Who (מי) איזו זהות ביצעה את הפעולה? שם משתמש, כתובת IP, או תהליך מערכת.
When (מתי) תאריך ושעה מדויקים עם חותמת זמן (Timestamp).
What (מה) מה בדיוק הייתה הפעולה? צפייה, מחיקה, שינוי הרשאות, ניסיון התחברות.
Where (איפה) באיזה חלק של המערכת או מאגר המידע הפעולה בוצעה.
למה הלוגים כל כך חשובים?
הלוגים הם העיניים והאוזניים של אנשי אבטחת המידע. בלעדיהם, אתם עיוורים. הנה למה:
חקירת אירועי סייבר (Forensics)
מתגלה פריצה? מידע דולף? הלוגים הם המקום הראשון שחוקרי הסייבר הולכים אליו. בלעדיהם, אין שום דרך לדעת איך התוקף נכנס, מה הוא גנב, אילו קבצים הוא שינה וכמה זמן הוא שהה במערכת.
זיהוי מוקדם של התקפות
מערכות ניטור חכמות סורקות את הלוגים בזמן אמת ומחפשות התנהגויות חריגות. למשל: משתמש שמנסה להקליד סיסמה שגויה 50 פעמים בדקה סימן לניסיון פריצה. עובד שרגיל לשלוף 10 תיקים ביום ופתאום מוריד 10,000 תיקים באישון לילה חשד לגניבת מידע מתוך הארגון.
אחריותיות והרתעה
כשעובדים יודעים שכל פעולה שלהם במאגר מתועדת, זה מייצר הרתעה אמיתית נגד חיטוט לא מורשה. אי אפשר להגיד "זה לא הייתי אני" כשהלוג מוכיח מי עשה מה ומתי.
פתרון תקלות תפעוליות
גם מעבר לאבטחה הלוגים הם כלי קריטי עבור מתכנתים ואנשי סיסטם כדי להבין למה מערכת קרסה, איפה יש באג, או למה משתמש מסוים לא מצליח להתחבר.
מה בדיוק אומר החוק? בואו נפרק את תקנה 10
המחוקק הישראלי הבין שאי אפשר להגן על פרטיות במאגר מידע בלי מעקב אחרי מי שניגש למידע. תקנה 10 חלה על מאגרי מידע ברמת אבטחה בינונית וגבוהה, ומפרטת בדיוק מה נדרש.
סעיף (א) חובת הקמת מערכת לוגים
"בעל מאגר מידע שחלה עליו רמת האבטחה הבינונית או הגבוהה, יקיים מנגנון תיעוד אוטומטי אשר יאפשר בקרה על הגישה למערכות המאגר וכן תיעוד של הפעולות שנעשו בהן."
המשמעות: החוק מחייב אקטיבית להתקין ולהפעיל מנגנון שאוסף לוגים בצורה אוטומטית, ללא מגע יד אדם. אין כאן מקום לשיקול דעת זו חובה.
סעיף (ב) מה חייב להופיע בלוג?
"מנגנון התיעוד האוטומטי כאמור בתקנת משנה (א) יתעד לכל הפחות את זהות המשתמש, תאריך ושעת ניסיון הגישה או ביצוע הפעולה, רכיב המערכת שעליו בוצעה הפעולה, סוג הפעולה והיקפה, וכן אם אישר המנגנון את ביצוע הפעולה או דחה אותו."
המשמעות: זו רשימת המינימום. שימו לב לנקודה קריטית חובה לתעד גם פעולות שנדחו. משתמש שניסה לגשת לתיקייה שאין לו הרשאה אליה? המערכת חסמה אותו? זה חייב להיות רשום. זה בדיוק איך מזהים ניסיונות תקיפה.
סעיף (ג) הגנה על הלוגים עצמם
"בעל מאגר יקבע נהלים להגנה על נתוני מנגנון התיעוד האוטומטי מפני גישה שאינה מורשית ובכלל זה מפני שינוי או מחיקה שלהם, ויישם אותם."
המשמעות: תוקף שפורץ למערכת (או עובד שסרח) ינסה מיד למחוק את הלוגים כדי להעלים ראיות. הסעיף הזה מחייב לאבטח את קובצי הלוג עצמם, כך שרק מורשים מעטים מאוד לרוב צוות אבטחת מידע מבוקר יוכלו לגשת אליהם, ובשום אופן לא למחוק אותם לפני תום התקופה המוגדרת.
סעיף (ד) ניטור במאגרים ברמת אבטחה בינונית
"בעל מאגר שחלה עליו רמת אבטחה בינונית ידאג לביצוע בקרה על נתוני מנגנון התיעוד האוטומטי לעיתים מזומנות, ולפחות פעם בשישה חודשים או בסמוך לאחר אירוע אבטחה."
המשמעות: לא מספיק לאגור לוגים "במחסן". צריך לעבור עליהם אקטיבית לפחות פעמיים בשנה כרף מינימלי, ומיד אחרי כל אירוע אבטחה. המטרה: לוודא שהמנגנון עובד, שהנתונים לא נמחקים או משתנים, ולנסות לאתר פעילות חשודה בדיעבד.
סעיף (ה) ניטור במאגרים ברמת אבטחה גבוהה
"בעל מאגר שחלה עליו רמת אבטחה גבוהה, או מאגר שחלה עליו רמת האבטחה הבינונית שעיקר ייעודו איסוף מידע כדי למוסרו לאחר כדרך עסק, ידאג לביצוע בקרות תקופתיות או אמצעים אוטומטיים אחרים לשם גילוי חריגות בנתוני מנגנון התיעוד כאמור, כדי לאתר חריגות העלולות להעיד על פגיעה באבטחת המידע, בסמוך ככל האפשר למועד שבו התרחשו."
המשמעות: כאן המחוקק מעלה הילוך. מאגר ברמה גבוהה (או מאגר בינוני שעוסק בדיוור ישיר או מסחר במידע) חייב אמצעים אוטומטיים כמו מערכות SIEM או SOC שמתריעים על חריגות בזמן אמת. לא פעמיים בשנה, אלא בסמוך ככל האפשר למועד שבו קרה האירוע.
סעיף (ו) כמה זמן לשמור?
"בעל מאגר ישמור את נתוני התיעוד לתקופה של 24 חודשים לפחות."
המשמעות: שנתיים מינימום. למה כל כך הרבה? כי תקיפות סייבר מתגלות פעמים רבות חודשים ואף שנים אחרי שהתוקף חדר למערכת ושהה בה בסתר (תופעה המכונה APT Advanced Persistent Threat). שמירת לוגים לשנתיים מאפשרת לחקור אחורה בזמן.
הסתייגות חשובה: החוק מגדיר שנדרש לשמור את הלוגים במערכות החברה שישה חודשים, ובמערכת חיצונית מאובטחת ומופרדת ל-18 חודשים נוספים. גם להפרדה הזו יש חשיבות מהותית אם התוקף השתלט על המערכות הפנימיות, הלוגים החיצוניים נשארים בטוחים.
הנקודה שארגונים מפספסים: מעבר מסבילות לאקטיביות
הרבה ארגונים מפעילים מערכת לוגים, מסמנים וי ברגולציה, וממשיכים הלאה. אבל תקנה 10(ד) דורשת משהו שונה לחלוטין גישה אקטיבית.
לא מספיק לשגר ולשכוח. החוק מחייב את מנהלי המאגר לגשת אל הנתונים ולבדוק אותם. לוודא שהמנגנון עובד ולא הפסיק לשמור נתונים. לוודא שהנתונים לא נמחקים. לחפש התחברויות בשעות לא שגרתיות, כמות גדולה של פעולות דחויות, או ניסיונות גישה למידע רגיש על ידי מי שאינו מורשה.
ואם עולה חשד לאירוע סייבר פריצה, תוכנת כופר, עובד שגנב מידע חובה לבצע בדיקה מיידית של הלוגים. בשלב הזה הלוגים משמשים לחקירה פורנזית כדי להבין איך התוקף נכנס, מה הוא עשה, ואיזה מידע נחשף, מידע שעלול לסכן את הארגון, את ספקיו, את לקוחותיו ולעיתים גם את עובדיו.
בקיצור: לוגים הם לשון החוק, לא רק best practice
תקנה 10 מבטיחה שהלוגים לא יישמרו סטטית על השרת, אלא ישמשו ככלי עבודה חי ואפקטיבי לבקרת אבטחת המידע בארגון. קיימת חובה לעבור למצב אקטיבי.
ההמלצה שלנו ב-SPD: פנו אלינו לשיחת ייעוץ על מערכת LOGZ.IO פתרון שמאפשר עמידה מלאה בדרישות תקנה 10 מבלי שתצטרכו להפוך למומחי רגולציה.
