יוני 2022

מתכוננים לאיום הגדול ביותר על העולם
שימרי וכטר, מנהל אסטרטגיית סייבר ופיתוח עסקי EMEA , CIS
תארו לעצמכם, בוקר אחד בשנת 2026 אתם קמים, שוטפים את הפנים, אוכלים ארוחת בוקר ונכנסים למכונית החכמה שתיקח אתכם למקום העבודה שלכם בזמן שאתם קוראים את הדוא"ל שלכם על המסך הקדמי של המכונית.
במהלך הנסיעה, פתאום המכונית נוסעת בדרך לא מוכרת. את/ה מנסה לשנות מסלול, אבל המכונית לא מגיבה לפעולות שלך וממשיכה לנסוע לעבר יעד לא מוכר.
בעת ניסיון לבצע שיחת חירום, מתקבלת הודעה שהטלפון הנייד שלך קודד. ברגע זה גם לא ניתן להודיע לאף אחד שאתה נוסע במכונית נעולה עם טלפון מקודד ליעד לא ידוע.
האם זה נשמע מפחיד, כמו משהו שנלקח מסיפור מדע בדיוני? למעשה זהו תרחיש סייבר מציאותי לחלוטין ובר ביצוע, המהווה איום הן ברמת האיום הלאומי והן מצד ארגוני פשיעה. נכון לעכשיו, עולם אבטחת הסייבר הארגוני נמצא במצב מתמיד של סגירת פערים, ואינו תואם את האופן שבו ארגוני התקיפה מאורגנים, כולל מטרות ודרכים להשגת יעדי ההתקפה ברמה הלאומית, ברמת ארגוני הפשיעה והתוקפים האינדיבידואליים.

נכון לעכשיו, האופן שבו מתבצעות התקפות Zero-Trust (התקפות שאינן ידועות ובדרך כלל ספציפיות לקורבן) , והתקפות על חולשות ידועות, בעגה מקצועית CVE, הוא יעיל ומתוחכם ביותר. הוא משלב ניצול של חוסר המודעות של משתמשי הקצה יחד עם פערים רחבים באבטחת הסייבר של הארגונים, כמו גם את יכולת התגובה האיטית.
יתר על כן, מההיבט של תקציבי הסייבר הארגוניים לעומת משאבי הסייבר של מדינות עוינות ועולם הפשע המאורגן, האיזון הוא בבירור לטובת הצד העוין של המשוואה.

הדירקטור ככלי לקידום יכולות הסייבר הארגוניות
שוק פתרונות הסייבר רווי כיום במאות אם לא אלפי פתרונות שונים. הרוב המכריע מתמקדים בגישור על פערי אבטחת מידע בתחומים מסוימים בארגון, כגון: משתמשי קצה, מרכז הנתונים, קישוריות לאינטרנט, מסד הנתונים, הגנה על עולם הגישה האלחוטית, הניידים, הבקרים התעשייתיים (ICT) והאינטרנט של הדברים.
ריבוי פתרונות זה מציב אתגר רציני של ניהול סיכונים בפני מועצת המנהלים של הארגון: תעדוף וקבלת החלטות בכל הנוגע לרכישת מוצרים ופתרונות שירות המתאימים לבעיות הקיימות בשטח, בניגוד להשארת אזורים מסוימים חשופים להתקפות של האקרים.
כיום, תהליך בניית ההגנה של הארגון מחולק לשני שלבים עיקריים, המתבצעים על ידי סוגים שונים של חברות. התהליך הראשון הוא בדיקת יכולת החדירה של הארגון בנקודת זמן מסוימת. מדובר בדו"ח מעמיק על המצב הקיים, וקובע מה יש לעשות, על פי הממצאים ומצבו החיצוני והפנימי של הארגון.
תהליך זה מבוצע בדרך כלל על ידי חברות ייעוץ - לא אלה המספקות את הפתרונות הטכנולוגיים והשירותיים בפועל.
עם השלמת שלב הייעוץ, הנהלת הארגון ממשיכה לתהליך השני – בניית התקציב על פי הממצאים, יציאה לרכש מסיבי של מוצרים והטמעת חברות אינטגרציה שונות, יישום ממצאים והתאמה לתוצאות הביקורת. במקרה הטוב, תהליך זה לוקח מספר חודשים; עם זאת, כאשר מתבצע באופן פחות יעיל זה יכול לקחת עד שנה וחצי.
במסגרת תפקידי בשנים האחרונות, בשיחות אסטרטגיה עם הנהלות בכירות של לקוחות החברה באיזור EMEA, בדיונים מתמשכים שנערכו ברמות ה-CXO הגלובליים, כמו גם עם מנהלי סיכונים בכירים, נראה כי הרוב המכריע מבין את הפער שקיים כיום, בין דוקטרינת האבטחה הארגונית לבין דוקטרינת התקיפה של גורמים זדוניים – מה שמעניק לתוקפים יתרון מובהק.
"כדי ליצור פתרון יעיל יותר לעולם העתידי של מתקפות הסייבר, אנחנו צריכים לשנות גם את השיח וגם את הדוקטרינה - מצד תעשיית הטכנולוגיה וחברות הייעוץ מצד אחד, והלקוחות מצד שני. עלינו לאמץ גישה הוליסטית ופרואקטיבית הבוחנת, מנהלת ומשרתת את הארגון מקצה לקצה באופן שוטף – עם הייעוץ, המתודולוגיות והיבטי האבטחה הפרואקטיביים של הארגון".
בעולם הסייבר הנזיל של היום, ובוודאי זה של העתיד, עלינו לפעול לפחות באותה מהירות כמו העולם הזדוני המנסה לחדור לארגונים כדי לגנוב מידע, להחזיק מידע תמורת כופר, לפגוע במוניטין שלהם ולמטרות זדוניות אחרות.
לשם כך, על הדירקטורים ומועצות המנהלים ליזום ולייצר תהליכים מובנים, תקציבים ושיתופי פעולה בנושאי מידע על שיטות אבטחה ותגובה הן בתוך תעשיות מסוימות והן ברמות שונות בארץ. מה ש'עמיתינו' בעולם הזדוני עושים ברשת האפלה, אנחנו יכולים לעשות באינטרנט הרגיל.


התאוששות מאסון
אחת הנקודות המטרידות ביותר בארגונים בהיעדר יכולת להתמודד ביעילות עם התאוששות ממתקפות סייבר. כשמדברים על ארגון קטן עד בינוני, הנושא הזה עלול להוביל לפשיטת רגל. בכל הנוגע לארגוני ענק כמו אנדר ארמור, פייסבוק ונורסק, זה עלול להוביל להפסדים של מאות מיליוני דולרים.
כאשר עוסקים בעניין זה, דירקטוריונים של חברות צריכים להבין היטב את ההבדל בין היכולת להתאושש מאסונות כמו אסונות טבע ושריפות, לבין היכולת להתאושש ממתקפות סייבר. אלה שני סוגים שונים לחלוטין של התאוששות, וגם הדרך להתכונן אליהם שונה לחלוטין.
כדי להתאושש מהתקפת סייבר, על הארגון להתכונן ברמת תרגילי סייבר למועצת המנהלים, מוכנות סייבר עם טכנולוגיות ושירותים מתאימים, ושירותי התאוששות מאסון סייבר – צוות IR, הרצוי הוא של חברה בינלאומית. על חברי הדירקטוריון להבין כי האחריות הינה שלהם, ואינה נמצאת בלעדית בידיהם של מנהל מערכות המידע ומנהל אבטחת המידע.
יש לציין על מועצת המנהלים לייצר פתרון מתמשך לטווח ארוך, הכולל שירותי המשכיות עסקית הכוללים אפיון מתמשך של המתודולוגיה הארגונית על פי רגולציות וחוקים בינלאומיים יחד עם טכנולוגיה מתאימה, ולא מבחן בנקודת זמן נתונה כחלק מהערכת סיכונים, הנוהג הנוכחי ברוב הארגונים שהוא כמעט חסר משמעות ביחס לצורך הנ"ל.


לסיכום, פול אני וטיל שוורמן ציינו במאמרם (Harvard Business Review, ספטמבר 2018): "אנו מדרגים את מתקפות הסייבר כאיום הגדול ביותר העומד בפני עולם העסקים של ימינו, אפילו גדול יותר מטרור, בועות כלכליות וסיכונים אחרים".


איך מנהלי אבטחה יכולים לקבל את התמיכה הזו מלמעלה?
על ההנהלה הבכירה לפעול בגישת CBRT -Continuous Business Resilience and Trust כלומר, גישת הגמישות העסקית והאמון. על הדירקטורים להבין לעומק את איומי הסייבר על התהליכים העסקיים המהותיים של החברה, והKPI שלה, ולמנף את הידע והניסיון שלהם בכדי להעביר את הדיון לתחום של התמקדות באסטרטגיה ארוכת טווח הכוללת באופן יזום תהליכים עסקיים עמידים בסייבר, ובכך ליצור שותפים ולקוחות נאמנים שסומכים עלינו מול כלל סוגי ההתקפות והאיומים. כך הדירקטורים יחד עם מועצת המנהלים, יבנו את גישת החוסן ארוכת הטווח של הארגון. זוהי גישה שצריכה להיות מוצהרת ומודגשת על ידי המנכ"ל וחברי הדירקטוריון באופן רציף באירועים, בתקשורת ובחזון החברה.
אין סיכוי ממשי שאחד או אפילו 20 אנשי מקצוע בתחום האבטחה יוכלו לעכל את הכמות העצומה של השינויים היומיומיים בנוף איומי הסייבר. מחקר של בית ספר קלארק באוניברסיטת מרילנד הוא אחד הראשונים לכמת את הקצב הכמעט קבוע של התקפות האקרים של מחשבים עם גישה לאינטרנט – כל 39 שניות בממוצע!
על מנת להפחית את הרעש ולסנן את הבעיות הדחופות באמת, דירקטורים צריכים להכין את התקציב השנתי שלהם לשילוב של העסקת מנהלי סייבר מנוסים מהשורה הראשונה, והעברת הארגונים שלהם ל-SASE (כלומר Secure Access Service Edge), כאשר רוב התקציב מוקצה לשירותי סייבר מקצועיים ביותר בענן. הסיבה לכך היא שספק שירותי סייבר עולמי תמיד יקבל את האפשרות לאסוף, להתמודד ולצמצם הרבה יותר אירועים, מאשר צוות הסייבר המקומי שלך.
סיבה חשובה נוספת היא שעם התנועה לעבר דור התקשורת של ה-G5, הכמות העצומה של נתונים שנוצרים ומחוברים בקצה צריכה להיות מתואמת עם שירות אבטחת סייבר בזמן אמת בקצה.
זה בתורו, יאפשר תגובה פרואקטיבית כמעט בזמן אמת לסייבר, והפחתת עלויות חומרה ותוכנה עצומה, עם יכולת גבוהה בהרבה לספק BRT איכותי (עמידות עסקית ואמון) לדירקטוריון שלך.

כיצד דירקטורים יכולים לאזן בין אבטחה לחדשנות?
בימים אלה, ובעתיד הנראה לעין, עלינו להיות מהירים יותר, חדשניים יותר ולשחרר מוצרים ושירותים לשוק בהקדם האפשרי, כדי לא להישאר מאחורי המתחרים והשינויים בשווקים שלנו. בשל כך, ארגונים במהלך השנים האחרונות משתמשים יותר ויותר בסביבת קונטיינרים, המאפשרת להם לפרסם את הקוד במהירות וביעילות רבה יותר. זה כשלעצמו יוצר איום סייבר חדש על הארגונים שלנו, ובכך חושף אותנו הרבה יותר לפגיעויות כבר משלב פיתוח הקוד, מה שמאפשר לתוקפים לקבל רמה הרבה יותר עמוקה של פריצה בכל פעם שמתרחשת.
על מנת למתן את הבעיות הללו, ספקי ההגנה הפרואקטיבית בסייבר , הוסיפו דגש על כלי אבטחה להתהליכי פיתוח המוצר, המאפשרים לארגון להישאר זריז עם מחזור החיים של פיתוח המוצרים, לצד הוספת רמת האבטחה הנדרשת. זהו חלק חיוני משלב פיתוח המוצר, המסייע ביצירת סביבת פיתוח חדשנית, ובכך מאפשר גמישות עסקית ואמון לדירקטוריון, בכך שהוא זה שמאפשר לעסק לצמוח עם פתרונות סייבר חדשניים.   

לסיכום 

מהי הגישה הכוללת שהיית ממליץ לדירקטור לטובת נושא אבטחת המידע?
אני מאמין שהנכס החשוב ביותר שיש לחברה כיום הוא המידע שלה לגבי עובדיה, שותפיה ולקוחותיה. ככזו, כל דירקטור נושא אחריות אישית ולעיתים פלילית למידע זה , ועליו לייצר שכבות הגנה ושירותים יעילות ככל הניתן כאילו היה היהלום היקר ביותר. יותר מזה, יש לדאוג להעלאת המודעות של חשיבות מעורבות ההנהלה הבכירה בקרב הספקים והשותפים של החברה, ולוודא שהם מקיימים מתודולוגיות ופרקטיקות ברמה הגבוהה ביותר על מנת להגן על נכסי מידע אלו. אחרון חביב, יש לייצר שרשרת של אמון על ידי מינוף השילוב של תהליכי סייבר זריזים, מתודולוגיות ושימוש נכון במשאבי סייבר פנימיים וחיצוניים לטובת יצירת המשכיות עסקית.



Phone
www.www.idu.org.il
Phone
שלמה המלך 37-39 קרית אונו
Phone
03-7363146