אתגרי אימות הזהות במערכות בטחון

עם הגידול בשימוש במערכות טכנולוגיות מתקדמות והגידול בכמות המשתמשים הקבועים והמזדמנים עולה הצורך הארגוני באימות הזהות של המשתמשים. במערכות הביטחון החשיפה לאיומים חיצוניים משתלבת עם צורך זה ומייצרת אתגרים שונים מאלו בחברות האזרחיות.

בעידן הטכונולוגיה החדשנית של עידן הסייבר הנוכחי, נוצרים אתגרים שמקורם בשתי מגמות מנוגדות:

מצד אחד, יש צורך בשקיפות מידע לציבור עם דרישות רגולטוריות בנושא הגנה על הפרטיות;

מצד שני, גוברת הדרישה לאמצעי ההגנה על מאגרי נתונים ומערכות מידע.

אחד האתגרים בארגון מתבטא בצורך להתאים מחדש תהליכים במעגל הבטחון הראשוני אשר כולל, מערכות בקרת כניסה, בקרת מעבר רכבים, טלויזיה במעגל סגור (טמ"ס), אנליטיקת זיהוי ומעקב ועוד.

בקרת כניסה ומעברים בארגון מבוססת על אימות הזהות של הנכנסים והיוצאים בעוד שמערכות האנליטיקה והטמ"ס מתעדות צילום ומעקב במרחב החיצוני ובמתחמים פנימיים.

במקביל קיימת דרישת רגולציה לשמירה על צנעת הפרט והגנה על פרטיות המידע, כך שגם כשאדם חותם על "טופס וויתור על סודיות" במועד הכניסה לארגון, אין לארגון בעלות על המידע ואינו מורשה להחזיק במידע מעבר לזמן המוגדר בחוק.

המדדים לבקרת כניסה

לאור הגידול באיומי סייבר, החשש מגניבת זהויות והצורך בהקטנת החשיפה של הארגון לאיומים, נדרשות מערכות הבטחון להרחיב את תהליכי ההזדהות הקיימים ל"הזדהות חזקה" המבוססת על מינימום של שלושה מדדים שהצלבתם מאשרת או דוחה כניסה:

מדד 1 >> משהו שיש לי (כגון: תג RFID, ת.ז., רשיון נהיגה, דרכון)

מדד 2 >> משהו שאני יודע (כגון: סיסמה, קוד, PIN או OTP)

מדד 3 >> משהו שהוא "אני" (זיהוי ביומטרי)

על מנת לבצע אימות של מדדי ההזדהות החזקה יש צורך במאגר נתונים אישיים לרבות מידע ביומטרי.

מדדי זיהוי ביומטרי שכיחים בשימוש במערכות בטחון הם: תמונת פנים, טביעת אצבע, טביעת כף יד.

חשוב להדגיש שבמערכות בטחון הנדונות במאמר זה אין הכוונה לזיהוי ביומטרי פורנזי אשר נמצא בשימוש בתחום הקרימינולוגיה (טביעת רגל, טביעת שיניים, סוג דם, DNA ואחרים).

האתגר העיקרי מתבטא בצורך הארגוני לנהל תהליכי זיהוי מורכבים הכוללים מידע אישי,  אל מול האילוץ לנהל  מאגר הנתונים האישיים, (הרכשת נתונים ביומטריים, הגנה על הנתונים ומחיקת נתונים מהמאגר לשמירה על צנעת הפרט כפי שנדרש בחוק).

בניית תרחישי זיהוי מותאמים אישית

לגיבוש פתרונות מתאימים לעמידה באתגר נדרשת חשיבה יצירתית ובניית תרחישי זיהוי מגוונים כך שיתאימו לצרכי כל לקוח בנפרד במקביל לניהול שונה עבור אוכלוסיות שונות.  לדוגמה: ניהול מידע ביומטרי של עובד מן המניין בארגון יישמר במאגר במשך תקופת העסקתו לרבות תקופת ארכיון כנדרש.  לעומת זאת, ניהול מידע ביומטרי של מבקר או קבלן יישמר במאגר עד תום שהותו בארגון ויימחק בהתאם לנהלי אבטחת מידע בארגון.

הקלטות מערכת הטמ"ס ונתוני האנליטיקה מטופלות בדומה לניהול הקלטות ב"עיר חכמה" כך שמחיקת נתונים אינה בתוקף על כל יתר נתוני החוזי שנאגרו באמצעות צילום במרחב ונתונים אלה נחשבים לקניין הארגון כחלק מהגנה על המרחב שלו.

החדשנות בטכנולוגיה מתקדמת בשילוב הנדסת מערכות מתוחכמת מחייבת חשיבה עם ראייה רחבה תוך שימוש מושכל בתכונות המערכות המותקנות במערך הבטחון לכדי יצירת מארג של תהליכי בקרת כניסה מהירים, הכוללים התראות בזמן אמת, דווחים ועדכונים שוטפים לגורמי הבטחון ופיתוח תהליכי הגנה ותחזוקה שוטפים בניהול מאגרי מידע מוגנים.

האתגר הנוסף הוא הגבלת הגישה של אנשי מערכות המידע בארגון אל מאגר הנתונים ומידור המידע הפרטי באמצעות אמצעי חומרה ותוכנה לכדי יצירת סגמנטים של מידע עם מטריצת הרשאות והטמעת תהליכי בקרה מתמדת.

האילוץ מחייב חשיבה חדשה כך שכל לקוח מקבל פתרון מערכות בטחון "תפור" לצרכיו הייעודיים, אין כאן פתרון מסוג "העתק / הדבק" (Copy & Paste) אלא גיבוש תהליכים חדשני מבוסס על ידע נצבר והתאמה לצרכי הלקוח.

לסיכום, חשוב לזכור שאתגרים אלה הם רק הסנונית הראשונה בשינוי המתחולל ומצביע על מגמה בה הטלפון הנייד הופך לארנק דיגיטלי, הבתים הופכים "חכמים", התחבורה הכללית במגמת "רכבים אוטונומיים"  ואבטחת המידע האישי, הביומטרי והפיננסי תחייב פתרונות לאתגרים שבדרך.