שנת 2020, הייתה שנה מרובת אירועי סייבר. כמות האירועים המדווחים למערך הסייבר הלאומי בשנה זו עמד על כ 9,000 דיווחים (עלייה של כ 50% בשיעור הדיווח בהשוואה לאשתקד) ובמהלך שנה זו, עדכן המערך באופן יזום ארגונים שונים במשק אודות 6,750 חולשות שאותרו במרחב הישראלי.

בתחילת חודש אפריל, פרסם המערך את דו"ח סיכום שנת 2020 במרחב הסייבר. סיכום זה, מציג בין היתר את עיקרי התובנות שלנו, לאור ניתוח אלפי חולשות ומאות מתקפות אותן ליווה המערך.
מהניתוח עולה כי, בשנת 2020 נצפו בעולם מספר מגמות עיקריות ואירועים בולטים, ובהם:

• עלייה בהיקף ובסוגי תקיפות סייבר בעקבות השפעות התפשטות נגיף הקורונה על דפוסי העבודה – המעבר לעבודה מרוחקת בצורה משמעותית, הוביל להגדלת משטח התקיפה של הארגונים, להכנסת ציוד פרטי וללא אמצעי הגנה מתאימים לרשת הארגונית, להוצאת מידע מהרשת ולאחסונו במחשבים פרטיים ולתהליכים עסקים פנימיים לארגון וחיצוניים אשר השתנו תוך כדי תנועה.

• עלייה בכמות מתקפות אשר מכוונות אל שרשרת האספקה של ארגונים, כאמצעי להגעה אל הרשתות או אל המידע של לקוחותיהם. במסגרת זו, נראו בארץ בשנה זו מספר חברות IT אשר לאחר פריצה אליהן, נמצא כי הן היו בעלות חיבור קבוע ולא מאובטח אל תוך הרשתות של לקוחותיהן, דבר שהוביל לפריצה לעשרות רבות של ארגונים במשק הישראלי. במקרים אחרים, נפגעו חברות אשר מספקות שירותי מחשוב לצדדים שלישיים, דוגמת מספר חברות אירוח אתרים אשר נתקפו, ואשר הפגיעה בהן, השליכה ישירות על זמינות המידע והשירות של אלפי ארגונים בישראל.

• ריבוי מקרי אירוע כופר – גם בשנה זו, ממשיכה המגמה של ריבוי אירועי כופר, בהם התקופים משתלטים על מחשבים בארגון ומונעים גישה אל הקבצים, לרוב באמצעות הצפנתם, תוך דרישה לתשלום עבור שחרור הקבצים.

• בין האירועים הדומיננטיים והפומביים שנצפו השנה, ניתן למנות את המתקפה על חברת SolarWinds שהשפיעה בעיקר על ארה"ב, הפריצה לחברת הביטוח שירביט, ניסיונות פגיעה במגזר המים; מתקפת השחתת אתרים נרחבת דרך ספק הוסטינג דומיננטי, קמפיין תקיפה שכלל תקיפה של חברות שילוח ולוגיסטיקה במשק הישראלי ועוד.

המתקפה על חברת SolarWinds 

בחודש דצמבר 2020 נחשפה אחת ממתקפות הסייבר החמורות שנצפו בשנים האחרונות. קמפיין תקיפה מתוחכם ונרחב, שכוון נגד גופי ממשל אמריקאים, חברות IT מובילות וחברות אבטחת סייבר בינלאומיות.

במסגרת הקמפיין השיג התוקף אחיזה ראשונית בכ-18,000 חברות וגופים וביצע מהלכי המשך מול עשרות גופים ערכיים. התקיפה בוצעה באמצעות הטמעת פוגען בחלק ממוצרי ענקית ה-IT SolarWinds ,יצרנית תוכנת Orion לניטור וניהול מערכות IT ,דבר שאפשר פריצה ללקוחות החברה. העדכונים שהפיצה החברה עבור התוכנה נוצלו להדבקת לקוחותיה במתווה שרשרת אספקה.
דגשים לדירקטוריון בנושא היערכות הגנתית בסייבר

בהתאם למודל רמ"ה, של רשות החברות הממשלתיות , המידע הינו הבסיס לתהליך קבלת ההחלטות והשפה המקצועית של הדירקטוריון. מידע איכותי הוא התנאי העיקרי לדירקטוריון אפקטיבי ויעיל . כל תהליך קבלת החלטות אשר מבוסס על מידע מוטעה (או מטעה) יוביל בהכרח לקבלת החלטה אשר אינה תואמת למציאות העסקית. כשם שהמידע שאנו מקבלים ממערכת החושים שלנו מכוון את פעילותנו, כך גם המידע שמגיע לדירקטוריון הוא זה שמכוון את פעילותו ומכאן גם חשיבותו לדירקטוריון . חוק החברות קובע כי רמת המיומנות ואמצעי הזהירות של דירקטורים נקבעים בעיקר על–פי רמת איסוף המידע על-ידיהם.

גם בתי המשפט מייחסים חשיבות גדולה למידע שהיה בידי הדירקטורים בעת קבלת ההחלטה. בתי- המשפט קבעו כי כדי שדירקטור יוכל לקבל הגנה בהליך משפטי נגדו, עליו להראות שההחלטה היתה Informed Decision –

מידע ברמ"ה גבוהה:

ר –המידע הוא רלוונטי, שהוא כולל את כל ההיבטים המהותיים ואין בו פרטים מיותרים. למשל, קבלת סקירה מגורם הסייבר אודות איומים שקשורים למידע רפואי ולמגזר הבריאות, במידה ומדובר על מוסד רפואי

מ –המידע הוא מהימן, דהיינו שהמקורות יהיו כאלה שניתן לסמוך עליהם, שהמידע הוצלב בין המקורות השונים, ושלנותני המידע אין ניגודי אינטרסים. למשל, דו"ח סקר הסיכונים שהוצג למועצת המנהלים מייצג נאמנה את רמת ההגנה של הארגון ולא בוחן זווית מאוד צרה של הארגון

ה –המידע הוא השוואתי, משום שרק נתונים השוואתיים יכולים להוביל למסקנות ביחס למידע. למשל, תקציב הסייבר בארגון תוך השוואה לחברות מקבילות בענף

שאלות לדוגמה לטובת בחינת יעילות ואפקטיביות המידע שברשותכם:

לטובת סיוע במימוש תפיסה זו, מערך הסייבר הלאומי מסייע לארגונים עם מספר כלים:

1. מסמך שאלות חשובות לקובעי מדיניות בארגון

2. מסמך לדירקטוריון עבור הגנה על סביבות תפעוליות

3. מחשבון סיכונים לאומי לטובת הצגת רמת הגנה וסטטוס התקדמות להנהלה

4. מתודולוגיה סדורה לשימוש מנהל/גורם הגנת הסייבר בארגון

לסיכום:

במציאות בה בכל כמה שניות, מתבצעת מתקפת סייבר על ארגונים שונים בישראל ובעולם, נדרש לבחון את המוכנות הארגונית לאיום זה. ברגולציה הקיימת בישראל, ניתן למצוא במגזרים שונים התייחסות ישירה לחובתו ואחריותו של הדירקטוריון. בנוסף לכך, קיימות הוראות כלליות ביחס לחובת הדיווח על סיכונים ייחודיים בפעילות תאגידים, ובהם גם סיכוני סייבר. לדוגמה, תקנות ניירות ערך (פרטי התשקיף וטיוטת תשקיף – מבנה וצורה) מגדירות כי בתשקיף יובא סיכום קצר של האיומים, החולשות וגורמי הסיכון האחרים של התאגיד, הנובעים מסביבתו הכללית, מן הענף ומן המאפיינים הייחודיים שבפעילותו. כמו כן, תקנות ניירות ערך (דוחות תקופתיים ומידיים) מציינות כי בהערכת השווי יובא ניתוח הענף והסביבה העסקית שבה פועל נושא ההערכה, וניתוח הסיכונים שהוא ניצב בפניהם; ועוד.

לטובת העלאת רמת ההגנה והמוכנות, מומלץ להתחיל עם וידוא הנקודות הבאות:

בכל שאלה או דילמה, ניתן לפנות אל מערך הסייבר הלאומי בטלפון 119 מכל טלפון.