נקודת מפנה בעולם האבטחה

בעוד כשבועיים תקיים מערכת הביטחון את תרגיל "נקודת מפנה 5", שנועד לבחון את הערכות העורף לשעת חירום. התרגיל, יש לציין, יבוצע במשותף על ידי רח"ל (רשות חירום לאומית), פיקוד העורף ושאר גורמי ההצלה בישראל. מטרתו העיקרית של "נקודת מפנה 5" היא לבדוק עד כמה אנו מסוגלים להמשיך את השגרה שלנו, למרות העובדה שחלק מאיתנו יצטרך חלילה לבלות חלק מהזמן במקלטים ובחדרים מוגנים.

אין זה התרגיל הראשון – ובוודאי שלא האחרון, אולם בכל זאת יש בו חידוש. בכנס InfoSec2011 שנערך הבוקר (ה'), סיפר חנניה כפרי מבנק לאומי, כי לראשונה ישתתף גם הבנק בתרגיל, מרצונו החופשי. בשורה זו היא חשובה מאוד, משום שעד כה שררה תפיסה שגויה, לפיה המשך השגרה בעורף פירושו שמרבית האזרחים קמים בבוקר והולכים לעבודה. זה אמנם נכון, אבל זו לא התמונה המלאה. מה יקרה כאשר יכנסו העובדים למשרדיהם ויגלו שכל מערכות המחשב שלהם מושבתות? כך, הם לא יוכלו לתת שירות ללקוחות שלהם, והמונח "שגרה בזמן חירום" יקבל מימד אחר.

בעולם הטכנולוגי קיימת מזה שנים תפיסת ההמשכיות העסקית, או בז'רגון המקצועי – BCP. בשעת חירום, תכנית ההמשכיות העסקית אמורה לאפשר לנו להמשיך את חיינו. לא צריך מלחמה כוללת חלילה כדי להקשות את חיי היומיום שלנו – מספיק שניתקל בסניף דואר סגור בגלל בעיית חשמל, או לגלות שהסופרמרקט הקרוב לביתנו לא יכול לספק שירות כי נפלו כל מערכות המיחשוב, והנה נפגעה לנו השגרה. אפשר, כמובן, להמשיך ולהפליג בדוגמאות.

כדי שלא נגיע למצבים כאלו, נערכים בשנים האחרונות התרגילים מסוג "נקודת מפנה 5". באופן מוזר למדי, המגזר העסקי, שאינו נכלל ברשימת הגופים הלאומיים, נשאר מאחור בתרגילים האלה. חלק מהסיבות קשורות לאופייה של מדינה דמוקרטית, שאינה יכולה לחוקק חוקים שיכפיפו בתי עסק כאלו או אחרים לפקודותיהן של זרועות ביטחון – יהיו חשובים ככול שיהיו.

הפתרון לבעיה הזו מחולק לשני שלבים: הראשון הוא עידוד וקבלה של גופים שמתנדבים להשתתף בתרגילים הללו, כמו בנק לאומי למשל. חנניה כפרי, שדיבר כאמור במסגרת InfoSec2011, הודה כי ההערכות לתרגילים האלו קשה מאוד, כי אף ארגון לא אוהב לשבור שיגרה, ולבצע פעולות יזומות שגוזלות זמן ואנרגיה. השלב השני הוא ביצוע תרגולים ובדיקות כל השנה. התרגילים היעילים ביותר הם תרגילי הפתע – שבמסגרתם מתקילים מחלקות ספציפיות או בעלי תפקידים מסוימים.

המשימה של הכנת הארגון לשעת חירום מוטלת על כתפי מנהלי האבטחה והמנמ"ר, כמובן. שניהם יחד וכל אחד לחוד רואים את התמונה הכוללת – הן של צורכי הארגון והן של ההשלכות כלפי חוץ. את ההשלכות כלפי חוץ צריך "למכור" להנהלה. בעבר זה היה קשה כקריעת ים סוף, אולם היום זה קצת יותר קל – בעיקר בזכות גורמים חיצוניים והתמורות במזרח התיכון. זה בעצם היה המוטו המרכזי של ועידת InfoSec2011 שנערכה היום. כל מי שראה את המאות הרבות של המשתתפים שהגיעו לכנס וגדשו כל מטר פנוי בלובי של אווניו, הבין כי נושא האבטחה הופך להיות אקוטי הרבה מעבר למשרדו של ה-CISO. התודעה לפיה לשעת חירום יש להיערך בצורה רצינית הולכת ומחלחלת ליותר ויותר ארגונים והשילוב של התרגיל הקרוב בגופים מסחריים הוא ללא ספק נקודת מפנה חשובה בעולם האבטחה.