1. תהליכי SOX ותהליכי ISOX​

  > תיעוד תהליכים בתחום טכנולוגיות המידע ואבטחת מידע.

  > בניית קטלוג בקרות לתחומים: אבטחת מידע (לוגית ופיסית), פיתוח, ניהול שינויים ותפעול מערכות.

  > בניית מטריצת סיכונים ובקרות – RACM-Risk And Control Matrix.

  > מיפוי פערים ובניית תכניות עבודה לתיקונם.
  > ביצוע בדיקות (Testing) למדידת אפקטיביות הבקרות - דוגמא לטופס בדיקת אפקטיביות בקרות ITGC

    

     * התאמת קטלוג בקרות לסביבת SOX עבור הגופים המוסדיים בהתאמה

        לדרישות ההוראה לניהול אבטחת המידע של הגופים המוסדיים (257).

​

     * התאמת קטלוג בקרות ממוקד לדרישות הרשות לניירות ערך - ISOX עבור

        מערכות/תהליכים שהוגדרו כקריטיים לדיווח והגילוי.

​

​

2. סקרי ציות

- בדיקת התאמת הציות לדרישות:

  > הוראה לניהול אבטחת מידע של הגופים המוסדיים - 257.

  > נוהל בנקאי תקין (נב"ת) 357 החל על הבנקים.

  > הוראה לניהול טכנולוגיות המידע של הגופים המוסדיים.

  > ניהול טכנולוגיות המידע מטעם הבורסה.

  > חוק הגנת הפרטיות - ניהול מאגרי מידע.

  > יישום הוראות ארגוניות כמדיניות ונהלים, הנחיות דירקטוריון וכדומה.

​

​​

3. המשכיות עסקית / חוסן ארגוני

- מידת המוכנות העסקית להמשכיות:

  > מיפוי ותיעוד תהליכים קריטיים, תשתיות ומערכות.

  > בצוע הערכה ובחינה עסקית לקביעת ההשפעה האפשרית מהתרחשות אירוע כשל - BIA-Business Impact Analysis.

  > הגדרת זמני השבתה מקובלים ומידת עדכניות המידע אליה הארגון מעוניין לחזור במסגרת התאוששות.
  > התאמת תכנית המשכיות עסקית (BCP) לרמת הארגון ולרמת היחידות העסקיות השונות.
  > תרגול תהליכי המשכיות עסקית.

 

 

4. ניהול אבטחת מידע

- התאמת בקרות ותהליכי אבטחת מידע:

  > הגדרת תהליך אישור ובקרה של מסמכים פורמאליים כמדיניות ונהלים.

  > הגדרת תהליך הענקת הרשאות ופתיחת משתמשים במערכות שונות.

  > הגדרת תהליך הוצאת מידע רגיש אל מחוץ לחצרות הארגון.

  > הגדרת תהליך סיווג והערכת נכסי מידע.

  > הגדרת תהליך אבטחת מידע בטיפול במשאב האנושי משלב המיון-גיוס-עזיבה.

  > הגדרת תהליך ניהול שינויים במערכות.

  > הגדרת תהליך הוצאת מידע לגורמים צד ג' ושמירה על סודיות המידע.

  > הגדרת תהליך העברת מידע בין סביבות שונות.

  > הגדרת תהליך הכנסת מערכת חדשה ועוד..

​

​ציות ורגולציה

הפיקוח על פעילות חברות ציבוריות/פרטיות מבוצע לרוב בדרך של חקיקה/הוראה הנקבעת על ידי הרגולטורים השונים (כגון: המפקח על הבנקים-נב"ת 357, הממונה על אגף שוק ההון והחסכון באוצר-257/ניהול טכנולוגיות מידע/SOX, הבורסה לניירות ערך בתל-אביב-ניהול טכנולוגיות מידע, הרשות לניירות ערך-ISOX ועוד).

​

על מנת לעמוד בדרישות הרבות ולציית למגוון ההוראות הארגונים נדרשים להתאים תהליכי עבודה ולהקצות משאבים בהתאמה (רכש, כוח אדם, הכשרה הדרכה ועוד).