נדב ארבל, סייברהאט: "ברוב הסוגיות הקשורות להגנה ומוכנות מפני מתקפות סייבר – אין קווים מנחים"

"אחת המגבלות המונעת מנהלי אבטחת מידע מלפעול באופן מיטבי, היא העובדה שברוב הסוגיות הקשורות להגנה ומוכנות מפני מתקפות סייבר – אין קווים מנחים", כך אמר נדב ארבל, מנכ"ל סייברהאט, בכנס GOVSEC 2013. לכנס, שנערך בהפקת אנשים ומחשבים, הגיעו מאות מקצועני אבטחת מידע. האירוע התקיים לפני ימים אחדים במרכז הכנסים אבניו שבקריית שדה התעופה, בהנחיית אבי וייסמן, מנכ"ל שיא סקיוריטי.

לדברי ארבל, "הבסיס לאבטחת איכות בתוכנה הוא מדדים: איכות הפיתוח, כמות התקלות בשורות קוד, איכות צוות הבדיקות, כמות התוכנות והשורות שלא עובדות ונדחות, כמות התקלות הקריטיות אשר מתגלות, איכות הבדיקות שבוצעו". לדבריו, "ישנה אפשרות להציב מדדים מדידים וברורים, ועל בסיסם לבחון את האיכות של התהליך שבוצע על התוכנה שפותחה ואת האיכות של התוצר הסופי".

לגבי תחום ההגנה הקיברנטית, אמר ארבל, כי "צוות QA מקצועי מסוגל להקים KPI (מדד הגנה בסייבר). ניתן להתבונן על מערך ההגנה, לבדוק את יכולת החדירה אליו, לבצע איסוף מודיעין ולהיות פרואקטיבי בתחום".

עיקר ההסמכה לתחום, אמר, "מגיע מיחידות בצבא. הגדרות רגולטוריות ממשיכות לצוץ במגזרים שונים, אבל הן מהוות עדיין דרישות-על אשר מחייבות לבצע פעולות בדיקה. הבעיה היא שלא ברור מהן בדיקות אותן פעולות". כך, אמר, "נוצר מצב בו כל עוד הדו"ח נראה טוב, והוא מכסה את הברור למזמין – ובפועל יצא משהו שאפשר לסמן עליו V, אז הכל טוב לכאורה".

הוא ציין, כי "לארגונים נדרשת הכשרה והיכרות עם העולם החדש של הסייבר, עם מודעות שלא קיימת אצלם כיום. נדרש תפקיד חדש בארגונים – קב"ט סייבר, שיהיה יוזם ופרו-אקטיבי".

על ארגונים, המליץ, "להעתיק את מה שגופי הביטחון בעולם כבר עושים מזה שנתיים-שלוש: להקים מערך הגנה בסייבר. מערך ההגנה כולל בראש ובראשונה כוח אדם המוכשר, מוסמך ומיועד לתחום זה – ולא נוסף על תפקיד אבטחת מידע". הוא ציין, כי "קב"ט הסייבר נדרש להיות בעל הכשרה והיכרות עם העולם הזה, ועם מודעות לתחום. עליו לצאת אל מחוץ למערך ה-IT הארגוני, לגלוש במרחבי הרשת ולחפש מי 'מדבר' בה על הארגון שבו הוא עובד, מה אומרים עליו, האם מפורסמים ברשת פריטי מידע ונתונים מסווגים ארגונית, האם עובדי הארגון עושים מעשים אסורים ברשתות החברתיות, והאם המתחרים של הארגון בענף מותקפים אף הם".

"ארגונים לא צריכים להיכנס לפאניקה או לחשוב על תרחישים אפוקליפטיים כתוצאה ממתקפות סייבר", סיכם ארבל. "יש להסביר ולהדגיש שארגונים חייבים לעבור לגישה האקטיבית ולהציף את הסכנות הטמונות בסייבר".