הסייבר עולה כיתה

החמאס השתמש בסוף השבוע בעוד סוג של לוחמה (פסיכולוגית) נגדנו, הישראלים: הוא שלח לטלפונים ניידים של רבים מאיתנו הודעות SMS עם מסרים מאיימים, לפיהם ישראל תהפוך בקרוב לפלסטין ומקבל ההודעה יהיה גלעד שליט הבא. לא נעים.

מתקפת ההודעות הזו צריכה ללמד את ראשי מערכת הביטחון כמה דברים. ראשית, היא נותנת להם אישוש להערכות קודמות לפיהן היכולות של ארגוני הטרור הולכים ומתרחבות לא רק בתחום הנשק הקונבנציונלי, אלא גם בתחומי המובייל, הסייבר והמיחשוב ככלל.

עד כה, כאשר דובר על פעולות סייבר נגד ישראל, האויב שאינסטינקטיבית חשבנו עליו היה איראן. תוקפים נוספים שהוזכרו בהקשר זה הם ארגוני טרור בינלאומיים והאקרים בעלי יוזמה פרטית. והנה קם החמאס, מבצע פעולת סייבר גלויה ולא טורח להסתיר את העובדה שהוא אחראי לה. זוהי ללא ספק עליית מדרגה שכל מי שאמון על המאבק בטרור צריך להסיק את המסקנות ולהיות ערני לגביה.

הלקח השני הוא שצריך שהנורות האדומות של גורמי הביטחון צריכות לפעול יותר. העובדה שארגון טרור מסוגל לשים את ידו על שורה ארוכה של מספרי טלפון ניידים של ישראלים ולפרוץ לאתר שעוסק בענייני צבא וביטחון צריכה להטריד עד מאוד, במישור של אבטחת המידע. הנה לנו דוגמה מוחשית, בלתי ניתנת לטשטוש, שסייבר ואבטחת מידע גרים באותה שכונה, וכשמדברים כיום על אבטחת מידע – אין שום דרך שלא להתייחס לסייבר. יש למנוע או לצמצם מצבים שבהם האקרים מכל סוג שהוא יוכלו לשים את ידם על מאגר נתונים קריטי כל כך: מספרי טלפונים ופרטים אישיים אחרים של מנויי חברות סלולר.

זה מעביר אותנו לתחום אחר: לאזורים האפורים של הגנה על נתונים בכל הרכיבים הניידים. המובייל, הרשתות החברתיות ומגמת ה-BYOD טרפו את כל הקלפים שהיו בעבר קרובים מאוד לחזה של מנהל אבטחת המידע. הם ערערו לחלוטין את הביטחון העצמי והשליטה שלו על המידע, שרוב רובו היה בתוך הארגון פנימה, מוגן בחומות אש, בסיסמאות ובדרכים יצירתיות אחרות. בעידן הנוכחי "הכול פתוח", הארגון לוחץ על אנשיו לשחרר מידע ולשתף אותו עם כמה שיותר לקוחות ושותפים, מה שמסבך מאוד את אסטרטגיית ההגנה על הנתונים. לא רק זה: הרכיבים הניידים מכילים הרבה יותר מידע מאשר בעבר, בכלל זה מידע רגיש, בעיקר ברמה העסקית. רגיש לא פחות מהשרתים בארגון שכל מנהל אבטחה מתחיל לומד להגן עליהם בצורה הטובה ביותר. הנכס היקר ביותר של הארגון, המידע, כבר לא נמצא בידיו אלא במכשירים ניידים שנמצאים בכל מקום ומשמשים גם לצרכים פרטיים. הסודי והאישי, הגלוי והעסקי מתערבבים ועדיין לא נמצאו החומות שתדענה להגן על המידע.

הבעיה היא גם בבעלי הטלפונים – העובדים והמנהלים. אם בתוך הארגון הצליחו מנהלי האבטחה "לאלף" אותם ולהחיל כללי אבטחה פחות או יותר ברורים, הרי שבכל מה שקשור לאבטחת המידע בניידים, המשמעת רופפת ביותר ואולי אפילו פחות מזה. הגוף שסובל מכך במידה הגבוהה ביותר הוא דווקא צה"ל, על אף אנשי אבטחת המידע הטובים שלו והסודיות המתבקשת. הצבא מחפש דרכים יצירתיות איך לחנך את חייליו, מראשון הטוראים ועד אחרון המפקדים, כיצד לנהוג בזהירות משנה במכשירים הניידים שלהם. אלא שאבטחת המידע במובייל הצה"לי לא נגמרת אצל המשתמש אלא עולה למנהלי המיחשוב.

מבחינה זו, אין הבדל צה"ל לארגונים עסקיים ובין חייל או מפקד לאזרח. גם מנהלי המיחשוב בארגונים גדולים ורגישים הולכים לישון עם תפילה בלב שאף אחד מהמנהלים לא יאבד את הטלפון שלו, לא יפטפט עצמו לדעת ולא ימסור, אפילו בטעות, דברים שהוא לא צריך למסור באמצעות SMS. אכיפה וענישה בלבד לא אפקטיביים, ואפילו בצה"ל מבינים את זה. מדובר במקרים כאלה בהפרה רבתי של כל כלל בסיסי של אבטחה והדרך המרכזית להתמודד איתה היא הסברה, ערנות ובעיקר לדבר על זה כמה שיותר בכל מקום.

גם אנחנו נרתמים למשימה: אבטחת מידע ברכיבים ניידים יהיה אחד הנושאים שבהם נדון בכנס InfoSec in CyberSpace של אנשים ומחשבים, שיתקיים ב-15 במאי.

בינתיים, תשמרו טוב על הניידים שלכם ואל תפטפטו את עצמכם לדעת, כי איומי הסייבר הולכים ונעשים הרבה יותר מוחשיים ומסוכנים.

מתעניינים בסייבר ובאבטחת מידע? הירשמו לכנס InfoSec in CyberSpace של אנשים ומחשבים