סקר סיכונים הינו אוסף של מבדקים טכנולוגיים, מבדקי תהליכים ונהלים שמטרתם לגלות תוך פרק זמן קצר חשיפות של נכסי המידע הקריטיים של הארגון ולעזור בקביעת סדרי עדיפויות להקצאת משאבים להקטנת הפגיעויות בתחום אבטחת המידע והסייבר.
החשיפות אותן סקר הסיכונים בא לגלות עשויות לגרום לפגיעה בסודיות (Confidentiality), זמינות (Availability) ונכונות/שלמות (Integrity) של נכסי מידע ותהליכים קריטיים לארגון.
מחקרים מראים באופן ברור כי ככל שהארגון נוקט באופן פרו-אקטיבי באמצעות פעילויות מניעה (כגון ביקורת אבטחת מידע, סקר סיכונים, תאימות לתקנים, מערכות ניטור והתראה וכד') כך הסבירות לפגיעה וחשיפה הולכת וקטנה.
מיקוד הביקורת וסקר הסיכונים נקבע בהתאמה לצרכי הארגון.
להלן מספר דוגמאות לביקורות וסוגי סקרי סיכונים הנפוצים:
- סקר סיכונים למיפוי וזיהוי נקודות תורפה של זליגת מידע (ממוקד בסוג מידע הקריטי לארגון)
- סקר סיכונים בהתאם לדרישות תקן PCI-DSS
- סקר סיכונים בהתאם לדרישות ,SOX (Sarbanes-Oxley) iSOX
- סקר סיכונים לצורך ביקורת פנים
- סקר סיכונים בהתאמה לדרישות ISO 27001
- סקר סיכונים בהתאמה להוראות המפקח על הבנקים (357) או הביטוח (257)
- סקר סיכונים כולל של תשתית מערך המחשוב
- סקר סיכונים של מערכת אשר הוגדרה כקריטית לארגון
חברת איי פי וי סקיוריטי, מאז היווסדה בשנת 2005, ביצעה סקרי סיכונים ומבדקי אבטחת מידע ביותר מ-200 חברות וארגונים בשוק הישראלי.
סקר הסיכונים מותאם לכל ארגון על-פי גודלו, פריסתו הגיאוגרפית, סוג התעשייה, דרישות רגולטיביות ועוד, ומבוצע על ידי מומחי אבטחת המידע (Ethical Hackers) של החברה על בסיס מתודולוגיה ייחודית שפותחה על ידי החברה. מתודולוגיה המשלבת:
1. מבדקי אבטחת מידע, בתצורות Black Box, White Box ו-Grey Box
2. ראיונות עם אנשי מפתח למיפוי הנכסים וזיהוי נקודות התורפה
3. בדיקת נהלי אבטחת המידע ואופן יישומם במסגרת התהליכים העסקיים של הארגון
בסיומו של כל סקר סיכונים מוגש דו"ח תמציתי המכיל תמונת מצב ניהולית כמו גם פירוט של כל הממצאים, המסקנות וההמלצות המתועדפות לתיקון הליקויים.
