"יש להילחם באיומי הסייבר על מנת שלא יהיה ענן – אלא קשת"

"מערכות הליבה בארגונים נבנו במאה הקודמת, בתוך מרכזי מחשוב פרטיים, עם פילוח מלא והפרדת רשתות. עבודה בדרך זו הבטיחה הגנה על המערכות והנתונים. בשנים האחרונות יש תהליך של מעבר לענן. המעבר לעננים הציבוריים מחייב פיתוח של מערכי הגנה חדשים, כי לצד התועלות הרבות שיש בקלאוד, הוא מביא לאיומים ולמתקפות חדשים, כמו גם את האתגר הטמון בכך שעדיין, חלק מהאנשים לא מיומנים בטיפול באבטחה בענן. יש לפעול, כדי להילחם באיומי הסייבר, באופן מוכלל, תוך שינוי הפרדיגמות, על מנת שההגירה תהיה קשת בענן – ולא שבר ענן", כך אמר בועז דולב, מייסד ומנכ"ל קלירסקיי.

דולב דיבר בפתח מפגש של פורום המנמ"רים בממשלה eGov מבית אנשים ומחשבים, שנערך היום (ד') במלון ענבל בירושלים ועסק ב-"אתגרי הסייבר של הממשלה בעידן הנימבוס". את המפגש הנחה יהודה קונפורטס, העורך הראשי של אנשים ומחשבים, ופתח אותו בברכות ד"ר נחמן אורון, יועץ אסטרטגי לדיגיטל לממשלה.

לדברי דולב, "יש כמה סיכונים עיקריים למערכות ה-IT בעת המעבר לענן: ראשית, הן מהוות יעד תקיפה מרכזי, כל קבוצת האקרים רוצה להגיע למערכות אלה. המתקפה המשמעותית האחרונה הייתה על משרדי הממשל הפדרלי בארצות הברית, לפני כחודש וחצי. מערכות הענן הפכו ליהלום שבכתר עבור ההאקרים. כך, למשל, מיקרוסופט יצרה מפתחות פרטיים להכנה לכניסה לענן שלה, Azure, ואלה אבדו או נגנבו. זה הביא לכך שיש בידי ההאקרים מפתחות פרטיים רבים שאיתם הם יכולים להיכנס למערכות שיושבות בענן של Azure".

הביקור של שר החוץ האמריקני בבייג'ינג נכשל בגלל פעולת סייבר

אתגר נוסף שאותו ציין הדובר הוא איום הסייבר המדינתי, וסין מצוינת כמדינה המאיימת ביותר בהקשר זה. "הסינים התכוננו לביקור האחרון של שר החוץ האמריקני, אנתוני בלינקן, אצלם בכך שחדרו ל-28 ארגוני ממשל בארצות הברית כדי להיערך ולדעת מה צפוי בביקור, לפחות מבחינת וושינגטון. בסופו של דבר, הביקור נכשל, כי הסינים ידעו את הכול מראש", אמר.

שר החוץ האמריקני, אנתוני בלינקן. צילום: ShutterStock

לדברי דולב, "אתגר נוסף טמון בכך שלארגוני ממשל אין מספיק ניסיון בהגנה בסייבר. מצב זה מהווה מקור משיכה לתוקפים".

"עוד איום מגיע מכך שאבטחת הענן הציבורי לא נמצאת באופן מלא בידי הלקוחות הארגוניים", אמר. "השליטה, ההבנה וזיהוי האיומים למול המערכות הם מוגבלים. לכן, על ארגונים להבין מהם נכסי הליבה הכי חשובים להם – ולא להעלות אותם לענן".

"יש אתגר גם בקושי להעריך את רמת הסיכון. לכן, יש ליזום ביצוע של הצפנות וניטור, שייעשו על ידי הלקוחות. עוד יש להתייחס לפגיעויות ולחולשות – ידועות ולא ידועות – המשמשות למתקפות", ציין.

שורה של אתגרים נוספים

דולב מנה שורה של אתגרים נוספים: האיומים מגיעים מכל סוגי הפושעים בסייבר – מקבוצות פשע ועד לארגוני טרור ולסייבר מדינתי ומעצמתי; איום פנימי; תצורה לא נכונה; אפליקציות לא מאובטחות; הכשרה לא מספיקה בתחום; איומים במישור הגיאו-פוליטי; ריבוי מתקפות מסוג מניעת שירות מבוזרת (DDoS); גניבת הרשאות; מיקום הנתונים והמידע; שרידות וגיבויים; מצב עמידות הדאטה סנטר; הקשרים שבין ספקי ה-IT והממשלה; והסכמי שירות".

לסיום הוא נתן שורת המלצות למנמ"רים במשרדי הממשלה, שלפחות חלקן רלוונטיות לכלל הארגונים: "יש לפעול לאורו של מסמך בנושא 'אפס אמון' שאותו הנפיק הממשל בארצות הברית ושמסייע לדעת מה לעשות טרם הכניסה לענן; לוודא שיש לארגון שליטה על מפתחות ההצפנה – זה נושא קריטי; לקבל שליטה וניטור מלאים על המשתמשים וההרשאות; לקבל גישה מלאה למערכות הניטור של הענן; להקים מערך גיבוי עצמאי ונפרד מנימבוס; להפעיל אמצעי אבטחה מיוחדים לשמירה על מנהלי מערכת; ולקבל מודיעין איומים ולפעול על בסיסו".