"הגנת הסייבר בארגונים רבים בישראל טעונה שיפור משמעותי"

בכיר במערך הסייבר הלאומי מזהיר מפני מצב הגנת הסייבר של המשק הישראלי: בעוד שיש חברות שבהן המצב תקין ואף יותר מכך, יש ארגונים שבהם המצב טעון שיפור משמעותי.

"המשק הישראלי נחלק לשני שווקים: האחד, ה-'היי-טק' של הסייבר, הוא כל אותן חברות שמפתחות ומוכרות שירותי סייבר בעולם. בתחום זה אנחנו מעצמת סייבר, במקום הראשון בעולם: ההשקעה העולמית בסייבר בישראל מדורגת ראשונה, עם נתח של 51.6% – יחסית הרבה לפני ארצות הברית, שנמצאת במקום השני עם 42% מההשקעות. זה מותיר לשאר מדינות העולם 'פירורים' של השקעות. בצד השני של המשק הישראלי יש 700 אלף חברות, רבות מהן קטנות. מצב הגנת הסייבר של 300 אלף החברות הבינוניות טעון שיפור משמעותי. אם בממד הראשון, של ה-'היי-טק' של הסייבר, אנחנו ראשונים, הרי שמצב כלל המשק בהיבטי הגנת סייבר הוא ברמה לא מספקת", כך אמר דדי גרטלר, ראש אגף בכיר לחדשנות ולשיתופי פעולה טכנולוגיים במערך הסייבר הלאומי.

גרטלר דיבר בכנס שערך היום (ד') הסניף הישראלי של טרנד מיקרו, בהפקת אנשים ומחשבים ובשיתוף זברה טכנולוגיות, באולם האירועים East בתל אביב.

לדבריו, "הרגולציה היא רכיב מפתח בפעילות של מערך הסייבר הלאומי. המדינה יכולה לעשות בתחום הגנת הסייבר רק את מה שהחוק מתיר לה באופן פרטני".

"אנחנו מטפלים בכלל מגזרי המשק, ובאופן ממוקד יותר – במגזרי האנרגיה, התחבורה, הבריאות והחינוך", אמר גרטלר. "הרגולציות הבודדות הקיימות, שהן הבסיס להקמת מערך הסייבר, נשענות על חוק שמגדיר גופי תשתיות קריטיות, דוגמת חברת החשמל, בזן, רכבת ישראל ובנק ישראל. בסך הכול מדובר ב-36 גופים קריטיים לתפקוד המשק. מערך הסייבר הוא הרגולטור שלהם לתחום, והם נמדדים ומבוקרים על עמידה בתקינה".

מה עם המצב בשאר המשק? שם, ציין, אין רגולציה. "חוק הסייבר עוד לא עבר ולכן, על שאר המשק לא חלה חובת הגנת סייבר בחוק", אמר גרטלר. עם זאת, הוא ציין ש-"בשל המלחמה יצאה הוראת שעה זמנית, שהתוקף שלה הוארך באחרונה, על חברות IT ואחסון – שמגדירה להן חובה לדווח על אירועי סייבר ועמידה בתקנים. למעט אלה, אין כרגע רגולציות בנושא סייבר על המשק, ואנחנו בפער משמעותי מול הרגולציות האירופית והאוסטרלית בנושא. ללא רגולציה, כל פעילותנו מול המשק והארגונים נעשית באופן וולונטרי מצידם".

למה מצב הסייבר ברוב המשק לא טוב?

"יש כמה סיבות לכך שברוב המשק, מצב הסייבר לא טוב", ציין. "בין השאר, בשל הפופולריות של 'שיטת הסמוך' והעדר מודעות של הנהלות לרמת הסיכון העסקי שהסייבר מטיל עליהן. התחום לא ברור, נהיר ושקוף להנהלות. לשיטתן, אם העסק עובד, יש הכנסות, יש עובדים ויש מתחרים – הכול טוב. איש לא מביא בחשבון, בתפעול היומי המטריד, את שיקולי הסייבר. בנוסף, מעט מדי ארגונים עושים ביטוח סייבר. לצד העדר של מודעות הנהלה, לארגונים רבים, בעיקר הקטנים – שחייבים להשקיע סייבר, אין את המשאבים הכספיים, וכל מה שיש להם בהגנה הוא אנטי וירוס ופיירוול. ההשקעה בסייבר נתפסת כהוצאה לא קריטית לניהול העסק. בעיה נוספת היא שיועצי ה-IT של אותם ארגונים כלל לא מבינים בתחום".

גרטלר ציין כי חוסר ההבנה בסייבר בא לידי ביטוי גם באקדמיה: "התחלנו בהליך גדול עם כמה מוסדות חינוך להשכלה גבוהה בארץ, על מנת להכניס יותר חומרי סייבר במערכי הלימודים. חסר הרבה ידע".

לסיום הוא אמר כי "מאז ה-7 באוקטובר, כלל הגופים בישראל חוו התעצמות משמעותית בהיקף ובאיכות מתקפות הסייבר עליהם, גם מצד איראן ושלוחותיה. קטסטרופה בסייבר עדיין לא קרתה, ונקווה שלא תקרה. החדשנות בהגנת הסייבר תגיע באמצעות שיתופי פעולה כלל מגזריים – של המדינה, האקדמיה והתעשייה הפרטית".