"שרשרת אספקת פשיעת הסייבר הבשילה והפכה לענף לכל דבר"

"העצה הטובה ביותר שקיבלתי במהלך הקריירה שלי היא 'מנהלים לא אוהבים הפתעות'. במקצוע אבטחת המידע והגנת הסייבר, לעתים קרובות מנהל האבטחה הוא מבשר החדשות הרעות. עצה זו עזרה לי להבין איך להעביר את אותן חדשות רעות בצורה הטובה ביותר", כך אמר רוס מק'קרצ'ר, מנהל אבטחת המידע הראשי של סופוס.

בראיון בלעדי לאנשים ומחשבים ציין מק'קרצ'ר כי "אחד האתגרים המרכזיים שמולם מתמודדים מנהלי האבטחה בארגונים הוא גיוס כישרונות בתחום אבטחת הסייבר – ושימורם. מול סביבת איומים שרק הופכת למורכבת יותר, צוותי אבטחת הסייבר מוצאים את עצמם מתמודדים עם סביבה ארגונית עתירת טכנולוגיה – אך כזאת שבה המערכות השונות לא מתקשרות זו עם זו, כך שקשה לקבל תמונת מצב מלאה ולדעת במה להתמקד. גם התקציבים הופכים לאתגר. התייקרות עלויות השכר והספקים, כמו גם האינפלציה במדינות השונות, הן רק חלק מהגורמים לכך שבכל שנה על ארגונים להגדיל את תקציבי אבטחת הסייבר שלהם, רק כדי לשמור על הקיים".

"אין צורך בטכנולוגיות מתקדמות כדי להיות פושעי סייבר"

לדברי מק'קרצ'ר, "אחת המגמות העולמיות המובילות בתחום היא הבשלת שרשרת אספקת פשיעת הסייבר – והפיכתה לענף לכל דבר. אנחנו עדים לשוק שעובר התמקצעות והתמחות חסרות תקדים בכל התחומים והיכולות שנחוצים להוציא לפועל מתקפות סייבר מוצלחות, ואפילו בתחרות בין הספקים. פירושו של דבר הוא שכבר אין צורך ביכולות טכנולוגיות מתקדמות כדי לעסוק בפשיעת סייבר. כל מה שצריך זה לדעת כיצד למצוא את ה-'ספקים' המתאימים. מנקודת מבטם של מנהלי הטכנולוגיות הראשיים, חשוב להדק את ההלימה לרגולציה, כולל הגדרה ברורה מתי וכיצד לדווח על פריצה למערכות הארגון".

מאיפה מגיע האיום הגדול ביותר – מסין, רוסיה, צפון קוריאה או איראן?
"המושג 'האיום הגדול ביותר' הוא מתעתע ומטעה, כיוון שהאיומים נגזרים מפרופיל הסיכונים הייחודי לכל ארגון. מנהלי הטכנולוגיה והאבטחה צריכים לשאול את עצמם: מהו האיום הגדול ביותר על הארגון שלי? על זה, רק הארגון יכול לענות".

ממה מנהלי הגנת הסייבר צריכים לדאוג?
"למנהלי הגנת הסייבר בארגונים יש שלל סיבות לדאגה – החל מקבוצות תקיפה מדינתיות, עבור בפשיעת סייבר כלכלית וכלה באיומים מתוך הארגון".

מהו האיום החמור מביניהם?
"זה משתנה מארגון לארגון, בהתאם לפרופיל האיומים. כמו כן, קיימת חפיפה לא קטנה בין הקבוצות האלה, כך שלא נכון להתייחס אליהן כאל ישויות ואיומים נפרדים. לפעמים אותו פושע סייבר עובד במהלך היום בסוכנות סייבר התקפי ממשלתית, ובסיום יום העבודה חוזר הביתה ו-'מחלטר': הוא מציע את שירותיו לקבוצות של פשיעה קיברנטית כלכלית. ראינו גם ניסיונות של קבוצות פשיעת סייבר כלכלית לגייס עובדים מתוך הארגון, כדי שיעזרו לחבריהן לפרוץ אליו. לכן, הסכנות הגדולות ביותר הן המהירות שבה מתפתח ענף פשיעת הסייבר והנכונות של פושעי הסייבר לשתף ניסיונות ולקחים, וללמוד זה מזה".

האם האיום הפנימי גדול יותר מזה החיצוני – או להפך?
"בהתמודדות למול כלל האיומים, האיום הגדול ביותר הוא זה החיצוני. לא צריך להקל ראש בסכנת האיומים הפנימיים, אבל גם אם ניקח בחשבון ששיעור הזיהוי והדיווח של איומים פנימיים נמוך יותר, המספרים עדיין מראים בבירור שמספרם קטן יותר, ובפער גדול, מזה של האיומים החיצוניים".

הכופרות לא הולכות לשום מקום. צילום: BigStock

מה יש לך לומר בכל הנוגע למתקפות הכופרה?
"קודם כל, שהן לא הולכות להיעלם. בדצמבר האחרון פרסם צוות Sophos X-Ops סקירה מסכמת של מתקפת כופרה שסוכלה שבשלביה הראשונים, שהשביתה תוכנות אבטחה וכלי הגנה על נקודות קצה באמצעות התקנת מנהל התקן זדוני וחתום דיגיטלית שיצרו התוקפים. זיהינו את הניסיון להשבית את המוצרים שלנו, דיווחנו עליו למיקרוסופט, ששחררה במהירות עדכון אבטחה, וכך תרמנו את תרומתנו הצנועה לשיפור אבטחת הסייבר של כלל הציבור. אבל זה רק מקרה אחד מני רבים: סוג המתקפה הזה הופך לנפוץ יותר וכל ספקי פתרונות האבטחה נמצאים על הכוונת. קבוצות התקיפה לומדות זו מזו, משפיעות זו על זו והמתקפות רק ימשיכו להפוך למתוחכמות יותר".

איך בוחרים את פתרון אבטחת הסייבר המתאים ביותר?
"קשה לדעת מאיפה להתחיל ואיך לבחור אותו. צריך להתמקד ביכולות ולא בטכנולוגיה. יש להתחיל בניתוח פרופיל האיומים על הארגון, להגדיר מהן הדרישות ממוצרי האבטחה ואז לבחור בפתרון שעונה עליהן בצורה הטובה ביותר. לא צריך ליפול ל-'הייפ' שמסביב, כיוון שבדרך כלל יש יותר מדרך אחת להשיג את רמת אבטחת הסייבר הרצויה ואין צורך להשתמש בכל סוגי הפתרונות שקיימים בשוק".

לסיום, יש לך עוד עצה למנהלי ומנהלות האבטחה בארגון?
"יש לי יותר מעצה אחת. העצות הן: לפתח את מיומנויות התקשורת הבינאישית שלהם.ן, להבין את העסק וההתנהלות הכלכלית שלו ולהיות פרגמטיים. ניתן להסביר היטב סיכון או תקרית רק אם אפשר לנסח זאת במונחים הגיוניים, למנהלים.ות שלא מבינים.ות באבטחה. זה גם בדרך כלל יעיל ביותר על מנת להסביר את ההשפעה העסקית".