המימד החדש של אבטחה

כנס InfoSec 2012, שנערך הבוקר (א') במלון דייוויד אינטרקונטיננטל בתל אביב, היה הכנס העשירי בסדרה. השנה עמד האירוע בסימן הסייבר. מצד אחד זה לא מפליא, כי הרי אין מפגש או כנס בנושא אבטחה כיום, שלא מזכיר את המילה "סייבר". מצד שני, InfoSec 2012 אמנם עסק  בסייבר – אבל התייחס לשם שינוי לכל היבטי אבטחת המידע – הטכנולוגיים והמקצועיים כאחד. בכך, סייע הכנס לעשות למשתתפיו סדר בראש בנושא הכל-כך מבולבל הזה.

סייבר הוא איום משמעותי ובעל אלמנטים חיצוניים, שרבים מהם כלל אינם תלויים במנהל אבטחת המידע בארגון או באזרחים מהשורה. כאשר ראש הממשלה, בנימין נתניהו, אומר שישראל היא מעצמת סייבר, הוא מתכוון לזרועות הביטחון, שתפקידן הוא להיות חוד החנית במאבק של ישראל מול האיום הקיומי שמרחף מעליה. ברמה האזרחית, אין לאיש מתכון כיצד להתגונן מפני האיום הזה, שהרי סייבר הפך להיות נייר הלקמוס של כל מי שעוסק במיחשוב ואחראי על אבטחת מידע.

ההגנה מפני איום זה אינה שונה מהגנה מפני כל איום אחר בארגון: מנהל אבטחה יכול להתגונן מפני הסייבר אם ינקוט שורה של פעולות מוכרות וידועות – החל מרענון נהלים, שימוש ביישומים, פתרונות ותכונות שמגבירות את שכבות ההגנה. כמו כן, הוא צריך לרענן ולהגביר את פעולות ה-DR שלו, כולל תרגומים. זו היתה אחת התובנות המרכזיות של כנס InfoSec 2012, שביקש לעשות בידול חד משמעי בין סייבר צבאי-מדיני לבין סייבר "אזרחי" – שהוא אתגר אבטחה לכל דבר.

תובנה נוספת מהכנס היא, שבכל זאת משהו השתנה. אם בעבר היעדים עליהם הגן מנהל האבטחה היו בקמפוס גיאוגרפי תחום פחות או יותר – שהרי הוא ידע בדיוק איזה שרת מספק מה למי – כיום המציאות היא אחרת. בעידן המובייל והענן, איומי האבטחה עלו לרמה שמנהל האבטחה לא ידע על קיומה קודם. כאשר כל עובד מחזיק ברכיב נייד שעליו הוא מתקין את הסרטים מבר-המצווה של בנו, לצד נתוני מכירות רגישים מאתמול בערב – מנהל האבטחה צריך להיות להשתמש בכלים אחרים ולנקוט במדיניות חדשה. לא לכל דבר יש פתרון, אבל נציגי החברות שפרשו את חסותן על הכנס בהחלט דיברו על הנושא והציגו שורה של כלים חדשים שנועדו לסייע למנהלי האבטחה להתמודד עם המציאות המורכבת הזו.

תובנה שלישית מהבוקר מחזירה אותנו לנושא המקורי: הסייבר. ישראל היא אולי מעצמת סייבר, אבל הטיפול בו בהיבט הסקטור האזרחי מפגר מאוד ביחס למדינות אחרות. אחת הסיבות לכך, על פי אופיר זילביגר מ-SECOZ, היא העדר שקיפות. רשויות הממשלה מדברות הרבה על סייבר, כמוהן גם הרשויות שאמורות להגן על העורף, אבל הן לא נותנות לנו את הדברים הבסיסיים ביותר להתמודדות עם הבעיה: מידע, שקיפות והסברה. הסיבות לא ברורות ומן הראוי שמי שאחראי על זה ייקח זאת לתשומת ליבו.

בהקשר הזה, קשה מאוד היה לשמוע את דבריו של אבי וייסמן – מנכ"ל סי-סקיוריטי, שפירט בפני המאזינים נתונים מדאיגים ומדכאים. וייסמן סיפר מדוע ישראל לא מוכנה לסייבר וכיצד המדינה עלולה לאבד את היתרון האמיתי שלה בתחום: כוח אדם. אין דור עתיד בטווח הנראה לעין, אמר. רק עכשיו החלו רשויות ממשלה להכשיר תלמידים, ועד שהם יגיעו לבשלות ייקח זמן רב – זמן שאין לנו.

אבל יש גם מקום להיות אופטימי: שיחת היום במסדרונות הכנס היתה הידיעה הבלעדית של אנשים ומחשבים מהבוקר, על רכישתה של חברת אבטחת המידע סיקר סקיורטי על ידי חברה צרפתית. זהו אחד האקזיטים הגדולים ביותר שנעשו השנה בתחום האבטחה. אם שמעתם את הרצאתו של עופר מאור, מנכ"ל החברה הנמכרת, יכולתם להבין את תמצית הסיפור: צניעות, חריצות, התרחקות מזרקורים ועבודה טובה עם לקוח, שבסוף רכש את החברה. בניגוד לאקזיטים אחרים, המוחות והאנשים יישארו פה. כן ירבו.