מבחן חדירה או סקר סיכונים? שתי בדיקות שונות לשתי שאלות שונות

"אנחנו רוצים לבדוק אם אנחנו מאובטחים." זה משפט שאנחנו יכולים להבין. אבל הוא עדיין לא מגדיר איזו בדיקה הארגון צריך.

שני שירותים שנשמעים לעיתים קרובות הם סקר סיכוני סייבר ומבחן חדירה. שניהם עוסקים באבטחה, ושניהם יכולים לחשוף בעיות. אבל הם מסתכלים על המציאות מזוויות שונות.

מבחן חדירה שואל: האם ניתן לנצל חולשה?

Penetration Test בוחן בדרך כלל מערכת או סביבה מוגדרת בגישה התקפית. לדוגמה: אפליקציה, תשתית, שירות אינטרנטי או רשת.

המטרה היא לא רק להריץ כלי שמדווח על חולשות, אלא להבין כיצד חולשות מסוימות עשויות להתחבר לתרחיש תקיפה. זה כלי חשוב מאוד כאשר רוצים לבחון את החוסן הטכני של מערכת.

סקר סיכונים שואל: מה יכול לפגוע בעסק?

סקר סיכונים רחב יותר. הוא אינו מוגבל לשאלה האם קיימת חולשה טכנית, והוא יכול לבחון גם מידע, אנשים, ספקים, הרשאות, גיבויים, המשכיות עסקית, נהלים, מערכות קריטיות ותהליכים.

כלומר, המיקוד אינו רק ב"איך פורצים". המיקוד הוא ב"מה יכול להשתבש, ומה תהיה המשמעות".

מערכת יכולה להיות קשה לפריצה ועדיין להיות סיכון

נניח שיש מערכת פנימית שמוגנת היטב. מבחן חדירה לא מצא בה חולשה משמעותית. מצוין.

אבל אותה מערכת היא קריטית לפעילות החברה. אין עבורה מנגנון התאוששות מתאים. רק אדם אחד יודע לתפעל אותה. והספק שלה אינו זמין במהירות.

מבחינת העסק קיים כאן סיכון משמעותי, גם אם לא נמצאה דרך לפרוץ למערכת.

ולהפך: סקר סיכונים לא מחליף בדיקה התקפית

סקר יכול לזהות שמערכת חשובה מאוד. אפשר לבדוק מדיניות, תצורה ובקרות. אבל לעיתים הדרך להבין האם קיימת חולשה מעשית היא לבצע בדיקה התקפית מבוקרת.

לכן השירותים אינם מתחרים. הם משלימים סוגים שונים של ידע.

אז איזו בדיקה כדאי לבצע?

השאלה הנכונה אינה "מה יותר טוב?", אלא מה אנחנו מנסים ללמוד?

• האם רוצים להבין את תמונת הסיכון של הארגון?
• האם רוצים לבדוק מערכת חדשה לפני עלייה לאוויר?
• האם לקוח דורש Penetration Test?
• האם התרחש שינוי משמעותי בתשתית?
• האם הארגון מעולם לא ביצע מיפוי רחב של סיכונים?

כאשר המטרה ברורה, קל הרבה יותר לבחור את סוג הבדיקה.

למה לפעמים צריך את שתיהן?

סקר עשוי לזהות שמערכת מסוימת קריטית ודורשת בחינה מעמיקה. בעקבותיו אפשר להחליט לבצע מבחן חדירה ממוקד.

בכיוון השני, מבחן חדירה עשוי לחשוף חולשה שמצביעה על בעיה רחבה יותר באופן שבו הארגון מנהל מערכות. בדיקה אחת יכולה להוביל לשנייה.

לא "לעשות בדיקה". לקבל תשובה.

בסופו של דבר, המטרה אינה לסמן שבוצע Pentest או שהושלם סקר. המטרה היא לקבל מידע שמוביל להחלטה: מה הסיכון? מה המשמעות? מה צריך לעשות? ומה חשוב קודם?

בדיקות אבטחה עם מרום סייבר

מרום סייבר מסייעת לארגונים לבחור את הבדיקה בהתאם לשאלה העסקית והטכנית שהם רוצים לפתור. סקרי סיכונים ומבחני חדירה הם חלק משירותי אבטחת המידע וייעוץ הסייבר שלנו.

שאלות נפוצות