חקירה פנימית במקום העבודה: מעילה, גניבה ודליפת מידע

אירוע דליפת מידע: פרוטוקול 90 הדקות הראשונות

בחשד לדליפה דיגיטלית יש מתח בין שתי מטרות: לעצור את המשך החשיפה ולשמור את העקבות שיסבירו מה קרה. ניתוק גורף, מחיקת חשבון או התקנה מהירה מחדש עשויים לעצור פעולה מסוימת, אך גם למחוק סשנים, לוגים ומידע על מקור האירוע. לכן כל פעולה נרשמת ביומן אירוע ומאושרת בידי מנהל האירוע.

בלימה ושימור הן פעולות שונות

בלימה נועדה לעצור גישה או העברה נוספת. שימור נועד לאפשר שחזור אמין של האירוע. לעיתים אותה פעולה משרתת מטרה אחת ופוגעת בשנייה. לדוגמה, השבתת משתמש עוצרת גישה אך עלולה לבטל סשן שמכיל נתוני חקירה; מחיקת קובץ ששותף החוצה מצמצמת חשיפה אך עלולה למחוק את הגרסה וההרשאות שמוכיחות מי שיתף.

מפת מקורות הראיות באירוע דליפה

אין "לוג אחד" שמספר את כל הסיפור. בונים ציר זמן מכמה שכבות ומציינים את אזור הזמן, שעון המערכת ותקופת השמירה של כל מקור.

• זהות והרשאות: כניסות, אימות רב-שלבי, שינויי סיסמה, יצירת מפתחות, תפקידי מנהל והרשאות זמניות.
• דוא״ל ושיתוף: העברה, כללי תיבה, הורדת קבצים, קישורים ציבוריים, אורחים ושינויי בעלות.
• תחנת קצה: התקני USB, הדפסה, דפדפן, סנכרון ענן, תוכנות ארכוב והעתקת קבצים.
• רשת ואבטחה: VPN, Proxy, Firewall, DNS, EDR, DLP והתראות SIEM.
• מערכות עסקיות: CRM, ERP, מערכת שירות, מאגר לקוחות, מערכת קוד וכלי ניהול מסמכים.
• מקורות פיזיים: כניסה למשרד, מצלמות, מדפסת, חדר מסמכים, שליחים והשמדת נייר.
• מקורות אנושיים: מי ביקש את המידע, מי אישר גישה, מי ראה את הפעולה ומי קיבל את החומר.

שימור בענן: אל תניחו שהספק שומר הכול

Microsoft 365, Google Workspace, Salesforce, מערכות קוד וכלי אחסון שומרים סוגים שונים של לוגים ולתקופות שונות, בהתאם לרישיון ולהגדרה. אירוע אינו הזמן לגלות שלוג ביקורת לא הופעל או שנשמר לשבעה ימים בלבד. עם פתיחת הבדיקה מתעדים:

• שם השירות, סביבת הלקוח, אזור הזמן ורמת הרישוי.
• סוגי הלוגים הפעילים, טווח השמירה והמועד המוקדם ביותר הזמין.
• זהות האדם שמבצע ייצוא והרשאותיו.
• שאילתת החיפוש, מסננים, טווח זמן ופורמט הייצוא.
• קובץ מקורי, עותק עבודה וערך גיבוב כאשר הוא רלוונטי.
• בקשת שימור לספק או ייעוץ משפטי כאשר קיימת סכנת מחיקה.

ארבע שכבות להוכחת הוצאה של מידע

גישה לקובץ אינה בהכרח העתקה, והעתקה אינה בהכרח מסירה למתחרה. דוח איכותי מפריד בין ארבע שכבות:

1. יכולת גישה: למי הייתה הרשאה, מאיזה מכשיר ובאיזה פרק זמן.
2. פעולת איסוף: פתיחה, חיפוש, הורדה, ארכוב, הדפסה או חיבור התקן.
3. העברה או הוצאה: העלאה לענן אחר, שליחה, העתקה להתקן, צילום או מסירה פיזית.
4. קבלה או שימוש: החומר נמצא אצל גורם חיצוני, שימש בפנייה ללקוחות, הוטמע במוצר או הופיע אצל מתחרה.

ככל שהחקירה מוכיחה יותר שכבות באמצעות מקורות בלתי תלויים, כך התמונה חזקה יותר. גם אז מציגים הסברים חלופיים: הרשאה עסקית, גיבוי אוטומטי, חשבון שנפרץ, פעולה של מנהל מערכת או מחשב משותף.

מי השתמש בהרשאה? חשבון אינו אדם

לוג שמציג שם משתמש מוכיח שמערכת ייחסה פעולה לחשבון, לא בהכרח שאדם מסוים ביצע אותה. בודקים כתובת מקור, מכשיר, אימות רב-שלבי, מיקום, סשן, שעות עבודה, שימוש משותף ופעולות סמוכות. אם קיימת אפשרות שהסיסמה נגנבה או שהמכשיר נשלט מרחוק, מסלול חקירת הסייבר מתקיים במקביל למסלול העובד.

בחשד לפריצה, התחזות או דלף טכנולוגי אפשר לדווח למערך הסייבר הלאומי ולקבל סיוע ראשוני באמצעות מוקד 119. הדיווח למערך אינו מחליף דיווח למשטרה או לרגולטור אם קיימת חובה אחרת.

מפת המידע שנפגע: לפני שמדברים על "סוד"

מסווגים כל קבוצת מידע לפי תוכן, מקור, בעלים, הרשאות, אמצעי הגנה והשימוש העסקי. לא כל מסמך פנימי הוא סוד מסחרי, ולא כל רשימת לקוחות מוגנת באותה מידה. בחשד לגניבת סוד בודקים בין היתר:

• האם המידע אינו נחלת הרבים ואינו ניתן לגילוי בנקל.
• מהו היתרון העסקי שנובע מסודיותו.
• אילו אמצעים סבירים ננקטו לשמור עליו: הרשאות, סיווג, NDA, הדרכה, הצפנה ובקרת יציאה.
• מי היה צריך את המידע לצורך תפקידו ומי קיבל גישה עודפת.
• האם החומר שנמצא אצל גורם אחר הוא אותו חומר, גרסה נגזרת או מידע שנאסף ממקור ציבורי.

המסגרת המשפטית לסוד מסחרי נמצאת בחוק עוולות מסחריות, התשנ״ט-1999. החוקר מתעד עובדות; עורך הדין מנתח אם מתקיימים יסודות העילה ומהו הסעד המתאים.

דליפה מסחרית לעומת אירוע אבטחה במאגר מידע

דליפת מחירון, קוד מקור או תוכנית עסקית יכולה להיות חמורה גם אם אין בה מידע אישי. לעומת זאת, גישה ללא הרשאה למאגר לקוחות או עובדים עשויה להפעיל חובות לפי דיני הגנת הפרטיות. לכן מגדירים בנפרד:

• איזה מידע עסקי או קנייני נפגע.
• האם נחשף מידע אישי, על כמה אנשים ובאיזו רגישות.
• רמת האבטחה שחלה על המאגר והאם מדובר בשימוש, העתקה, העברה, פגיעה בשלמות או גישה בלתי מורשית.
• אילו גופים מנחים או רגולטורים רלוונטיים לארגון.
• מי מוסמך להחליט על דיווח, הודעה לנושאי מידע ותקשורת חיצונית.

הרשות להגנת הפרטיות מפעילה שירות לדיווח מיידי על אירוע אבטחה חמור. החובה והעיתוי נבדקים עם גורם משפטי וממונה אבטחת המידע; דיווח לגוף אחד אינו בהכרח מחליף חובה כלפי גוף אחר.

מכשיר פרטי ועבודה מהבית

העובדה שקובץ עסקי נמצא בטלפון פרטי אינה מעניקה למעסיק היתר לחפש בכל המכשיר. לפני פעולה בודקים מדיניות BYOD, הסכמה, בעלות על החשבון, הפרדה בין אזור ארגוני לפרטי, מידתיות וחלופה פחות פוגענית. לעיתים ניתן לענות על השאלה באמצעות לוגי השרת או מערכת ה-MDM בלי לעיין בתוכן אישי.

אם נדרשת בדיקה פורנזית של מכשיר, מגדירים מראש את טווח התאריכים, סוגי הקבצים, מילות החיפוש, מי ייחשף למידע פרטי ומה ייעשה בחומר שאינו רלוונטי. הנחיות הרשות להגנת הפרטיות בנושא פרטיות בעבודה מרחוק מדגישות את הסיכונים שבניטור רחב ואת הצורך בבחינת האמצעי.

עובד שעומד לעזוב: נוהל יציאה שאינו האשמה

עזיבת עובד, גם למתחרה, אינה הוכחה לעוולה. נוהל יציאה אחיד מפחית סיכון בלי לסמן אדם כאשם:

• מלאי חשבונות, הרשאות, מפתחות, מכשירים ותיקיות משותפות.
• העברת בעלות על מסמכים וחשבונות עסקיים לפני השבתה.
• שימור תקין של תיבה ולוגים לפי מדיניות וייעוץ משפטי.
• החזרת ציוד ומידע, ביטול הרשאות במועד מתועד ואישור ביצוע.
• תזכורת ממוקדת לחובות סודיות ולמידע ששייך לארגון, בלי להרחיב איסורים מעבר לדין ולהסכם.
• בדיקת חריגים מבוססת סיכון, לא חיפוש גורף בכל מי שעוזב.

תקשורת פנימית וחיצונית בזמן חקירה

מידע על האירוע נמסר לפי צורך. שמועה ארגונית על "עובד שגנב מידע" עלולה לפגוע באדם, להזהיר מעורבים ולזהם עדויות. מכינים שלושה מסרים נפרדים:

• מסר תפעולי: מה העובדים צריכים לעשות עכשיו כדי להגן על המערכות.
• מסר חקירתי: למי מדווחים, מה שומרים וממי מקבלים הוראות.
• מסר חיצוני: ללקוחות, שותפים או רגולטור רק לאחר אימות ובאישור הגורם המוסמך.

מבחן סיום: מתי החקירה בשלה להחלטה?

חקירה אינה מסתיימת כשנמצא ממצא מפליל אחד. לפני סגירה בודקים:

• האם הוגדרה תשובה לכל שאלת חקירה או מגבלה שמונעת תשובה.
• האם נשמרו גם ממצאים מזכים וסותרים.
• האם ניתן לשחזר את שרשרת הפעולות והעברות החומר.
• האם הופרדה עובדה ממסקנה משפטית או משמעתית.
• האם נבדקה אפשרות של חשבון פרוץ, פעולה אוטומטית או הרשאה לגיטימית.
• האם בוצעו דיווחים נדרשים והוגדרה אחריות להמשך.
• האם נסגרה פרצת הבקרה בלי למחוק חומר שעדיין דרוש.

אחרי האירוע: מתיק חקירה לתיקון בקרה

הדוח צריך להפיק גם תוכנית מניעה: צמצום הרשאות, תקופות שמירת לוגים, סיווג מידע, בקרת שיתוף חיצוני, תהליך יציאת עובדים, ניהול ספקים, הדרכה ותרגיל תגובה. לכל פעולה קובעים בעלים, מועד ומדד הצלחה. המטרה אינה רק להסביר את האירוע שעבר, אלא להקטין את הסיכוי שהאירוע הבא יעבור באותו נתיב.

שאלות נפוצות על דליפת מידע בארגון

האם צריך לכבות מיד את המחשב החשוד?

לא באופן אוטומטי. כיבוי עשוי לעצור נזק אך גם למחוק מידע נדיף. מבודדים או מכבים לפי הערכת צוות התגובה ומתעדים את ההחלטה.

האם לוג הורדה מוכיח שהעובד מסר את הקובץ?

לא לבדו. הוא עשוי להוכיח פעולה שיוחסה לחשבון. עדיין צריך לבדוק מי השתמש בחשבון, מדוע בוצעה ההורדה והאם קיימת ראיה להעברה או לשימוש.

האם NDA מספיק כדי להוכיח סוד מסחרי?

הסכם סודיות הוא רכיב חשוב, אך בודקים גם את אופי המידע, ערכו, זמינותו לציבור והאמצעים שננקטו בפועל לשמירתו.

האם כל דליפת מידע אישי מחייבת דיווח?

לא כל אירוע מסווג באותו אופן. החובה תלויה ברמת האבטחה, היקף וסוג האירוע והדין החל. יש לבצע הערכה מיידית עם הגורמים המוסמכים ולא להמתין לסיום החקירה המלאה.

מי צריך להוביל: IT, משאבי אנוש או חוקר פרטי?

מנהל אירוע אחד מתאם צוות רב-תחומי. IT שומר ומנתח מערכות, משאבי אנוש מטפל בהליך העבודה, עורך הדין מגדיר מסגרת וחובות, והחוקר בודק עובדות ועדויות. גוף אחד לבדו בדרך כלל אינו מכסה את כל הסיכונים.

מה מעבירים למוקד 119?

מערך הסייבר מבקש בין היתר זמן האירוע, צילומי מסך, כתובות IP או URL, מזהים טכניים, הודעת דוא״ל מקורית ולוגים. שומרים עותק של מה שנשלח ואת מספר הדיווח.