עיריית רעננה קיבלה את תקן ניהול האבטחה ISO 27001

עיריית רעננה השלימה בימים האחרונים את התהליכים הדרושים לקבלת תקן ISO 27001 – התקן הגבוה ביותר לאבטחת מידע בארגונים. בכך היא הפכה לרשות הראשונה בישראל שיש לה תקן אבטחת מידע ברמה זו ובעירייה מקווים שהדבר יהווה מודל לחיקוי לרשויות מקומיות אחרות.

ISO 27001 מגדיר את העקרונות השיטתיים והתכליתיים להקמה, ניהול ותחזוקה של מערכות אבטחת מידע.

את המהלך הוביל אגף המחשוב של העירייה, בראשותה של המנמ"רית, ענת ספקטור, ובגיבוי מלא של הנהלת העירייה וראש העיר, זאב בילסקי. תהליך ההסמכה נעשה בליווי מכון אופק לניהול מידע, שסייע לעירייה בהגדרת התקן, בהכנת הנהלים ובתהליך הבקרה לקראת קבלתו על ידי מכון התקנים.

עיריית רעננה השקיעה בפרויקט כולו, כולל התאמה של מערכות מידע ומחשוב והתקנת מערכות חדשות, מאות אלפי שקלים. המבדק לקראת ההסמכה עצמה נערך במשך יומיים, ובסופו קיבלה העירייה ציון גבוה.

"התקן מחזק את רמת האבטחה שלנו"

ספקטור אמרה כי "בעת האחרונה התגברו האיומים על מערכות המידע הממוחשבות וארגונים נדרשים להגן עליהן על מנת להבטיח רציפות עסקית. רשות מקומית מנהלת מידע רגיש ביותר של התושבים ואבטחת מידע היא נושא מאוד קריטי, גם בהיבטים רגולטוריים, שמירה על צנעת הפרט והתאמה לדרישות חוק חופש המידע".

אריה יוגב, מנהל מחלקת תפעול וטכנולוגיה באגף המחשוב של עיריית רעננה

היא ציינה ש-"נהלי אבטחה קיימים אצלנו מזה שנים. בגלל היותנו גוף ציבורי, המדיניות היא קפדנית – קלה כחמורה, ולא עושים הנחות לאף אחד. חלק מגדול מהנהלים שיושמו כבר היו קיימים אצלנו, אבל כעת הכנסנו אותם למסגרת מסודרת תחת תקן מחייב – וזה רק מחזק את רמת האבטחה שלנו".

אריה יוגב, מנהל מחלקת תפעול וטכנולוגיה באגף המחשוב של עיריית רעננה, שהוביל בפועל את ביצוע התהליך, אמר כי "אבטחת מידע כוללת בתוכה מרכיב גדול של ניהול סיכונים. אפשר להשקיע את כל התקציב וגם אז זה לא יספיק. כלומר, יש פה עניין של תעדוף ובעיקר הגברת המודעות אצל העובדים, שזהו תהליך שאף פעם לא נגמר".

יוגב ציין סיבה נוספת מדוע החליטה העירייה לצאת מיוזמתה לפרויקט הזה ולהקצות לו משאבים לא מעטים: "העולם משתנה. אם בעבר הסתפקנו בשמירה על מערכות הליבה, כי הנגישות אליהן הייתה מוגבלת, הרי שכיום המידע מצוי בכל מקום, אצל כל אחד מ-1,000 משתמשי המחשבים שלנו".

לדבריו, "בלתי אפשרי להעמיד שומר ליד כל עובד ולכן, חלק מאוד מרכזי בפרויקט היה טיפול בגורם האנושי. התקן החדש אפשר לנו לעשות אצלם סדר, לחדד את מה שצריך לחדד, להגדיר גבולות של שימוש, מה מותר ומה אסור".

"ההכנות לתקן החדש היו לא רק בתחום המחשוב", אמרה ספקטור. "הן חוצות ארגון וקשורות לתקני איכות ולחוק חופש המידע, שהוא נושא בפני עצמו בתקן".

"בסופו של יום", סיכמה, "אני סבורה שאנחנו הרבה יותר מוגנים, עובדים בצורה מסודרת".