מפו את התהליכים שמייצרים עבודה והכנסה
התחילו משאלה פשוטה: אילו פעולות העסק חייב לבצע מחר בבוקר? קבלת פנייה, שליחת הצעה, הזמנה, גישה למסמכים ותקשורת עם לקוח עשויות להישען על כמה שירותים שונים. רשמו גם תלות שאינה גלויה באתר, כמו רשם דומיין, ספק זהות או חיבור שמעביר פניות.
NIST SP 1300 מציע לעסקים קטנים להתחיל בזיהוי נכסים, שימוש, בעלים ומידע רגיש הקשור אליהם. המפה צריכה להתאים לעסק, ולא להיות רשימת מוצרים אקראית. אין צורך לרכוש מערכת מלאי כדי ליצור בסיס שימושי, אך צריך אדם שמסוגל לאמת ולעדכן אותו.
בחרו שדות שעוזרים לקבל החלטה
הטבלה היא מבנה עבודה מקורי, לא מסמך סיווג משפטי או פורמט מחייב. כל רשומה צריכה לעזור לזהות אחריות, גישה ותלות. אם אין תשובה, סמנו לא ידוע ובעלים לבירור במקום להמציא פרטים מתוך זיכרון. לרשימה עצמה יש רגישות תפעולית ולכן מגבילים גישה אליה.
| שדה | מה מתעדים | שאלה שהוא פותר |
|---|---|---|
| נכס ומשימה | שירות ופעולה עסקית שהוא מאפשר | למה צריך לשמור עליו |
| בעלים ומנהל | מקבל החלטה ואחראי טכני | מי מאשר שינוי ומי מבצע |
| ספק וזהות בעלות | חשבון ארגוני וגורם מחזיק | מה קורה כשמחליפים ספק |
| גישה ושחזור | מיקום מנוהל ואחראי מורשה | איך משיבים גישה בלי תלות באדם יחיד |
| מידע ותלות | סוג מידע ושירותים קשורים | מה מושפע מתקלה או שינוי |
| ראיה ומועד | אימות אחרון ומקור מתאים | מה ידוע ומה דורש בדיקה |
הפרידו בעלות עסקית, ניהול טכני והרשאה
ספק יכול לנהל את האתר בלי להיות בעל הדומיין או החשבון שבו נרכש השירות. עובד יכול לשלם על כלי בכרטיס עסקי אך להחזיק את ההרשמה בתיבה אישית. הבדלים כאלה חשובים בזמן חידוש, מעבר או שחזור. תעדו את המצב בפועל ואת מי שמוסמך להסדירו.
אין לשנות בעלות או להעביר חשבון מתוך הרשימה בלבד. קודם מאמתים מסמכים, גישה וסמכות מול הגורמים הרלוונטיים. אם נדרשת גישה זמנית לבדיקה, היא מקבלת היקף ומועד בחינה. רשימת הנכסים נועדה לחשוף פערים, ולא לתת לכל מי שקורא אותה הרשאת ניהול.
דוגמה: הטופס עובד אבל איש אינו יודע לאן הפנייה מגיעה
התרחיש להמחשה בלבד. פנייה מהאתר עוברת דרך חיבור למערכת חיצונית וגם לתיבה עסקית. רשימת האתר לבדה אינה מציגה מי מחזיק את החיבור ומי בודק כשמסירה נכשלת. בעל העסק מוסיף רשומת חיבור עם תפקיד, ספק ואחראי, בלי לשמור את מפתח הגישה.
בדיקה עם נתוני ניסיון מוודאת את היעד והתפקוד בהיקף מורשה. אם מתגלים יעדים נוספים או כלי שכבר אינו בשימוש, מתעדים אותם לבירור ולא מוחקים מיד. למידע אישי נדרש גם מיפוי זרימה נפרד; רשימת המערכות אינה מחליפה בדיקה אילו שדות נשמרים בכל יעד.
תעדפו פערים לפי תלות והשפעה
סמנו נכסים שאין להם בעלים, גישה חלופית או הבנת שחזור, ורכיבים שעדיין מנוהלים בידי ספק שכבר אינו פעיל. בדקו מה יקרה אם יאבד דומיין או חשבון זהות שמשרת כמה מערכות. אותה תקלה יכולה להשפיע על כמה תהליכים, ולכן חשיבות נכס אינה נמדדת רק במחיר המנוי.
לכל פער הגדירו פעולה ואחראי: בירור בעלות, בדיקת הרשאות, בדיקת שחזור או ביטול שירות מיותר לאחר אישור. אין להציג את עצם קיום הרשימה כעמידה בתקן או כהוכחה שכל מערכת בטוחה. היא בסיס לתוכנית עבודה שנבדקת בנפרד.
הפכו את הרשימה לחלק מהשינוי הבא
עדכנו רשומה בהקמת כלי, שינוי ספק, תפקיד חדש, מעבר אחסון או סגירת שירות. שמרו מועד אימות ומקור שמתאר את המצב, ולא רק את תאריך כתיבת הגיליון. בדיקה חוזרת צריכה להקיף גם כלים שנוספו מחוץ לצוות הטכני, בהתאם להיקף שהוגדר.
מסירת אתר או חיבור צריכה לכלול את בעליו ואת התלות בו, בלי למסור סודות בתוך הדוח. ב-CyberFixCrew אפשר להתחיל במיפוי האתר והתשתיות שבתחום השירות ולהגדיר משימות המשך. מיפוי מורשה אינו סריקה של כל חשבון או מכשיר בלי הסכמה והיקף.
