האיום הפנימי הופך למגיפה

מאת צח קאופמן, סמנכ"ל טכנולוגיות בחברת אבטחת המידע Covertix

סדרת אירועים המחישו היטב את הסכנות הטמונות בעובדה, שעובדים בארגונים חשופים למידע רגיש, שאותו הם יכולים בזדון או בשוגג להעביר לגורמים חיצוניים.

פרשות וויקיליקס וענת קם העלו לתודעה את הקושי של ארגונים להתמודד עם דליפת המידע. בעולם, שבו חלק גדול מהמידע השייך לארגון כלל לא נמצא פיזית בשליטתו, קשה למנוע מעובד המעוניין ליטול עמו מידע רגיש ולהעבירו לגורמים אשר עשויים להשתמש במידע כנגד החברה לעשות זאת.

כיום, המידע השייך לארגונים נמצא לא פעם במחשבים ניידים, על גבי USB ואפילו בטלפונים סלולאריים, שיש להם כידוע נטייה מרגיזה במיוחד ללכת לאיבוד. בנוסף, ארגונים רבים חולקים את המידע שלהם עם שותפים עסקיים או מאחסנים אותם על גבי שרתים חיצוניים.

אובדן מידע הפך למגיפה והאיום הפנימי משפיע על האמון שרוחשים מנהלים לעובדים. בפורום מנהלי ההיי-טק, אמר ראש השב"כ היוצא יובל דיסקין, כי הקלות שבה ניתן להדליף מידע בעידן האינטרנט היא אתגר לא רק לזרועות הביטחון, אלא לכל חברה המעוניינת להגן על קניינה הרוחני. לדבריו, הדבר נכון במיוחד בתקופתנו, שבה הדבר הופך לאופנה והמדליף מקבל לגיטימציה.

סקר מבריטניה מראה כי אחד מכל עשרה עסקים גדולים סבל מדליפת מידע ואחד מכל עשרים טען כי נפגע מהאירוע. הנזק גרם לפגיעה במוניטין, איבוד יתרון עסקי, אובדן לקוחות וספקים וקנסות על אי עמידה בתקנות.

מחקר נוסף, שפורסם על ידי מכון פונמון מגלה כי הנזק הממוצע לעסק בארה"ב כתוצאה מדליפת מידע הסתכם ב-7.2 מיליון דולר ב-2010.

ברור כי הצורך לשלוט על המידע חיוני יותר מאי פעם. עובדים, ספקים ולקוחות נחשפים למידע הרגיש ביותר בארגונים. בארה"ב פורסם לדוגמא, כי כ-83% מהעובדים, העוזבים את מקום עבודתם, נוטלים אתם מידע פנימי לפני עזיבתם.

ככל שרמת הסיכון עולה מנסים הארגונים לשפר את רמת המיגון. חלק מהארגונים הולכים לקיצוניות ומונעים כל אפשרות לגשת למידע מבחוץ. אולם, בעולם של שיתוף מידע עם גורמים חיצוניים כגון ספקי משנה, יועצים, מפיצים וכדומה, הנזק של פתרונות אלו עולה, לא פעם, על תועלתם. מתברר גם, כי עובדים נוהגים לשתף מידע גם במקומות בהן אין לארגון כל שליטה כמו אתרי שיתוף מסמכים ורשתות חברתיות.

בעולם האבטחה הבינו זה מכבר, כי יש לאמץ גישה שונה לחלוטין ולעבור מהגנה על המידע להגנה על המסמכים עצמם. זו הסיבה גם להתעניינות הגוברת בתחום ה-IRM (ר"ת Information Rights Management), המתמקד בהגנה על המידע מפני משתמשים לא מורשים. התחום עוסק במיקוד מאמצי ההגנה על המידע הרגיש ביותר בארגון באמצעות הצמדת מעין פוליסה אישית לכל מסמך מסווג, הקובעת מי רשאי לעיין בו, היכן ובאילו נסיבות.

אם נשאל מונח מעולם הכדורסל, תחום האבטחה עובר מהגנה אזורית להגנה אישית. במקום להתגונן באמצעות הגבהת חומות הביטחון, עוברים לשימוש במעין שומר ראש אישי המצוי על גבי הקובץ ומלווה אותו לכל מקום שהוא הולך או נשלח: הוא הופך להיות חלק אינטגרלי מהמסמך שלא יכול לתפקד בלעדיו. תוכנות מסוג זה מבטיחות כי המידע, בלי קשר למקום הימצאו, בתוך הארגון או מחוצה לו, מנוטר בכל רגע נתון ונמצא תחת שליטה והגנה מלאה של החברה. לא משנה להיכן זורם המידע, שומר הראש האישי עובר יחד עמו ומבטיח כי ניתן יהיה לשלוט עליו ולמנוע מגורמים לא מוסמכים לצפות בו בכל מקום ובכל שעה. שימוש בשיטות כאלה מאפשר למנוע ממי שנחשף למידע לעשות בו שימוש לרעה.