תוקפי סייבר מנצלים חולשות פנימיות וחיצוניות בארגון

איום הסייבר הוא אחד מהסיכונים המשמעותיים כיום בעולם העסקי כך קבעה אילה חכים, CIO הבנק ומנכ"ל חטיבת הטכנולוגיה של מזרחי טפחות, במפגש ניהול סיכונים של פורום CFO. לדבריה, מימד הסייבר מהווה תופעה המשנה את פני האנושות ואת דפוסי הפעולה הכלכליים החברתיים והפוליטיים. שדה הקרב המסורתי השתנה והנושאים הכלכליים והעסקיים עשויים לתפוס חלק נרחב מבעבר במאזן האיומים והמתקפות.

"סייבר זו לא תופעה פיסית, אלא מימד מלאכותי. אין לו גבולות ברורים, אינו עוסק רק במחשבים אישיים ובטלפונים סלולרים אלא גם בתשתיות משובצות/מפוקחות מחשב לדוגמא, והוא משפיע על הסביבה עתירת הטכנולוגיות המתחדשת כל יום בהשפעה של השתנות הטכנולוגיה, וכן על ההתנהגות האנושית העושה שימוש בטכנולוגיה. עצם העובדה כי. "כולנו מחוברים נון סטופ" מייצרת סיכון מתמשך בר קיימא בכל נקודת זמן, עם זאת הסיכון אינו מוחשי ואינו ניראה לעין. מאפייניו המיוחדים ושל המרחב הקיברנטי יוצרים אתגר משמעותי ומורכב . להגנה, אומרת חכים ומוסיפה, בשל גילו הצעיר של המימד הקיברנטי והדינמיות הרבה שבו, הרי שנכון לנקודת זמן זו ,נושא החקיקה, במדינות ובינלאומי עדיין לא מפותח דיו, ורב האפור על כללי ה"שחור" וה"לבן".

חכים מציינת כי הגורמים העומדים מאחורי האיומים מתפתחים גם הם כל העת. אם לפני כמה שנים דיברו על האקרים מזדמנים כמו הנער שפרץ למערכות הפנטגון, הרי שכיום קיימות התארגנויות ממוסדות בתחומי הפשיעה והתקיפה הקיברנטית. קיימים אנשי מקצוע בתחום המשכירים את שירותיהם לפיתוח/ ביצוע תקיפות מסוגים שונים. התפתחה תעשייה שלמה של מלחמה במימד הסייבר המייצרת איומים, עד כדי פגיעה בתשתיות וכלכלה למדינה אף מרחוק. אחד מכללי היסוד לעוסקים בתחום זה ובדגש על ההגנה - "לעולם אל תזלזל בכוחו של יריב. הנח שהוא חכם לפחות כמוך ועוד קצת מעבר", מזהירה חכים.

המוטיבציה לביצוע מתקפה יכולה לנבוע ממספר רב של סיבות ומקורות: עובד מפוטר ששם המשתמש שלו עדיין לא נמחק מהמערכת, ריגול תעשייתי חיצוני, מתחרים ועוד. התוצאה של מתקפה יכולה להיות שונה בין מתקפה ומיתקפה בהתאם למיתווה שאליו כוונה, ולאירגון המותקף. התוצאות יכולות להיות כגון: מניעת שירות מלקוחות (DDOS), פגיעה באמינות נתונים על ידי ביצוע שינויים בנתונים, "הזלגת כסף" החוצה ועד כדי הובלה לכדי קריסה כלכלית. חכים מזכירה כמה ממתקפות הסייבר הגדולות בעבר, כמו: הפריצה ללוקהיד מרטין שהתרחשה לאחר פריצה לחברת RSA .. הפריצה נבעה בין היתר מניצול העדר הפרדה מלאה בין סביבות הפיתוח והייצור. מקרה גניבת כרטיסי האשראי TARGET בחגי 2014, שזוהתה רק כאשר לקוחות רבים טענו שניצלו את כרטיסי האשראי שלהם, למרות ש-TARGET קיבלו כמה התרעות, אך התעלמו מהן עד שהיה מאוחר מדי.

חוסר ידע יכול להרוס

חשיפת הענק של נתוני הלקוחות של JPMorgan באוקטובר השנה, ניתן אולי לייחס לכך שהחברה לא האמינה בגודל האיום. "זו היתה החלטה עקרונית, ובדיעבד שגויה . התוקפים מיפו מגוון מערכות ואספו מידע טרם ביצוע המתקפה – ללא זיהוי מצד החברה. קובעת חכים ומוסיפה: "נוכח העליה בשימוש במערכות המידע וההתבססות עליהם כחלק בלתי נפרד מכל מישור בחיינו, הרי שמיתקפה במימד זה עשוי להיות לה אפקט מאד משמעותי. לפיכך, תוקפי הסייבר מחפשים גישה למערכות המידע, למערכות השליטה והבקרה, לתשתיות התקשורת ולכל מקום ממנו יצליחו לבצע חדירה ופעולת תקיפה. בין יתר הנקודות מהם ינסו לבצע חדירה, עשויים התוקפים לנצל את חולשותיו של הגורם האנושי – של העובדים אשר בגין חוסר מודעות, חוסר הבנה או "שיטוי" בהם עלולים לאפשר את המיתקפה ולהוביל לתוצאות קשות לארגון. הפגיעה אינה בהכרח בעלת נזק כספי ישיר, תתכן בהחלט מיתקפה שמכוונת לפגיעה במוניטין שלנו ,פגיעה אשר ללא ספק בעלת משקל הן במרחב הכלכלי, העסקי, הביטחוני, הפוליטי, כל אחד בתחומו.

"זו מלחמה א-סימטרית. הארגון נדרש להגן על הכל, ולתוקף נדרשת נקודת חולשה אחת. הארגון רוצה לאפשר ללקוחות לעבוד באינטרנט מבלי לאבד דבר מה מנכסינו, כל זה תוך סביבה משתנה ואיומים משתנים. זו מקבילית מוחות בלתי פוסק" .

לדברי חכים, בכדי להגן על עצמו ועל מערכותיו, הארגון נוקט בפעולות שונות ובמגוון מנגנונים, - "מעשה אומן", חלקם טכנולוגים, וחלקם כללים והנחיות ל"עשה ואל תעשה". כמו כן, נעשות תרגולות, ורצוי מאד לנקוט בגישה פרו-אקטיבית, קרי, התבוננות מתמדת בכדי לאתר נקודות תורפה חדשות. לצד ההשקעה הטכנולוגית הארגון נדרש גם בהעמקת המודעות בקרב עובדי הארגון למשמעויות, הסכנות והאיומים בתחום. העובדים אשר השימוש במחשב ובמידע הינו לחם חוקם בעבודתם השוטפת חייבים להיות מודעים גם לסיכונים ולסכנות. כולנו אמונים על ההגנה של הארגון שלנו מפני הסייבר, כולם חייבים להיות "חוליות חזקות" בשרשרת המגן. אין להניח אף פעם ש'הכל בסדר'. הכל חשוד למעט מה שנבדק וזוכה. CIO ממצמץ בו זמנית רק עם עין אחת כדי לא לפספס כלום. עינינו צופיה 24 שעות ביממה. במטרה לאפשר לכולם לפעול באופן מאובטח ובטוח.