אופיר אגסי, צ'ק פוינט: "מסמכים מסווגים של ארגונים זולגים לרשת – ומנהלים לא יודעים על כך"

"הגבולות הארגוניים נפרצים. אם בעבר המידע היה בתוך הארגון בלבד, כיום חלק נרחב ממנו עולה לרשת וארגונים לא תמיד יודעים מי ניגש אליו", כך אמר אופיר אגסי, מנהל מוצר מובייל ואבטחת מידע בצ'ק פוינט (Check Point).

אגסי דיבר בכנס Mobility 2013. הכנס, שהתקיים בהפקת קבוצת אנשים ומחשבים, נערך במלון דיוויד אינטרקונטיננטל שבתל אביב, בהשתתפות מאות מקצועני IT מהתחום. יהודה קונפורטס, העורך הראשי של הקבוצה, הנחה את הכנס.

בדבריו ציין אגסי מחקר שערכה החברה בשנה שעברה בקרב אלפי הלקוחות שלה ברחבי העולם, בכלל זה ארגונים שנמצאים ברשימת 100 החברות הגדולות של המגזין פורצ'ן (Fortune). "הצענו לאותם ארגונים את שירות 3d analysis וביקשנו – וקיבלנו – מהם אישור לבדוק באמצעות השירות את כל התעבורה אצלם", אמר. "גילינו ממצאים שהדהימו אותנו: 80% מהארגונים הגדולים מפעילים ברשת שלהם תוכנת שיתוף קבצים, ל-70% מהם יש דרופבוקס (Dropbox) ובחלק מהארגונים, המנהלים לא יודעים מה עובר בתוכנות הללו".

הוא הוסיף כי "ב-29% מהארגונים עלה לרשת מידע פיננסי של הארגון, ובארגונים נוספים עברו מידע רפואי ומסמכים מסווגים. הנתונים האלה מראים שגם אם מדיניות אבטחת המידע של הארגון טובה, אם הוא לא מעביר אותה לעובדים שלו היטב, הוא מסתכן מאוד".

"קיימים סיכונים רבים בכך שהמידע עוזב את הארגון, כי כל מה שעולה לרשת חשוף לכל גנב והאקר. שירותי הענן הנפוצים כמו דרופבוקס כבר נפרצו. אחת הבעיות הגדולות היא שאנשים נוטים להשתמש באותם שם משתמש וסיסמה, וההאקרים יודעים לעלות על זה", הוסיף אגסי.

"מגמת ה-BYOD רווחת ב-90% מהארגונים"
לדבריו, "ממצא נוסף שגילינו הוא ש-9 מכל 10 ארגונים מאפשרים לעובדים להביא את המכשירים שלהם לעבודה, מה שיוצר בעיות אבטחה נוספות, מאחר שאין לארגון שליטה מלאה על מכשירים כאלה. נוצר מצב בעייתי עד כדי כך שארגונים מפחדים לשלוח סיכומי ישיבות במייל ומדפיסים אותם על דפים".

הוא הביא כסיפור לקוח את אחד הבנקים באירופה, שהפסיד מיליונים רבים של יורו כתוצאה מפריצות של האקרים. "בכל פעם שלקוח של הבנק ביצע העברה בנקאית, ההאקרים גבו כסף", אמר. "באופן רגיל, בנקים שולחים הודעת SMS ללקוח בכל פעם שמבוצעת בחשבון שלו העברה בנקאית. ההאקרים יירטו את ההודעות הללו ושלחו אותם למספר סלולרי אחר".

אגסי ציין בהקשר זה פתרון של החברה שמאפשר למשתמש ברשת הארגונית לדעת בכל פעם שהוא מבצע עבירה על המדיניות של הארגון. "הפתרון לא מונע ממנו לעשות את הפעולה אולם מזהיר אותו. זה מייתר את התערבות מחלקת ה-IT של הארגון".

לסיכום, ציין אגסי, "גבולות הגזרה נפרצו מזמן. משתמשים מתחברים לא רק ממכשיר של הארגון אלא מכל מיני מכשירים. אנחנו רוצים לוודא שהמידע לא זולג – ושזה יהיה בצורה פשוטה".