כרמי גילון, לשעבר ראש השב"כ: "הסייבר הוא נחש מתחת לקש – כי הוא לא דורש תשתיות"

"מתקפת הסייבר והפריצה לאולפני סוני (Sony Pictures Entertainment) עשתה דבר חשוב: היא הביאה לעימות בין שתי מדינות. לא סתם מדינות, אלא כאלה שהן בעלות גרעין אפקטיבי. חברה מסחרית גרמה לנשיא ארצות הברית להכריז מלחמה על צפון קוריאה ולהפך. מלחמת סייבר, אמנם אבל עדיין מלחמה", כך אמר כרמי גילון, לשעבר ראש שירות הביטחון הכללי.

גילון, כיום יושב ראש Cytegic, דיבר בכנס המקצועי השנתי של הביקורת הפנימית. הכנס, של איגוד המבקרים הפנימיים בארץ, IIA ישראל, נערך היום (ה') במלון הילטון תל אביב. לאירוע, בהפקת אנשים ומחשבים, הגיעו מאות משתתפים והנחו את מושבי הפתיחה שלו רו"ח דורון רונן ורו"ח דורון רוזנבלום, סגני נשיא ויו"ר משותפים של ועדת הכנס מטעם IIA ישראל.

"אני מבוגר בשביל המינוח אבטחת מידע", התלוצץ גילון. "בשבילי פירושו של המונח הזה הוא לקחת מאבטח, לשים אותו על הכספת וככה לשמור עליה".

"המתקפה על מערך ה-IT של סוני הייתה מאוד אמוציונלית", אמר גילון, "כי היא נסבה על הקרנת סרט. אבל התוצאה שלה היא הרסנית מבחינת סוני בכמה רמות: גנבו להם קניין רוחני; התקיפה הוציאה את הכביסה המלוכלכת החוצה, וכעת ההנהלה נתבעת על ידי העובדים על שסודותיהם ניגלו לעיני כל; ולחברה נגרמו נזקים כספיים וכן נזקי תדמית, שטרם ניתן לחשב את עלותם". אבל, ציין, "מסתבר שהעובדה שחברה פרטית נפרצת היא אירוע שיכול להיות בעל משמעויות לאומיות ובינלאומיות".

"הטרור פנים רבות לו", אמר גילון. "כך גם הטרור הקיברנטי. שמעתי הלילה כי דאע"ש עושה שימוש במתקפות סייבר לצרכי טרור. בתקופת מבצע צוק איתן, האקרים ואנשים פרטיים תקפו אתרים בישראל בשיעור העולה עשרות מונים על השגרה. אחרי שהחמאס המציא את טרור המתאבדים עברו לסיכול ממוקד ולבניית החומה. אחרי הרקטות פותחה כיפת ברזל. לאחר מכן המחבלים עברו למנהרות, ותוך תקופה קצרה יימצא הפתרון למנהרות שבנה החמאס. המתקפה הבאה תהיה מתקפת סייבר. הסייבר הוא נחש מתחת לקש, כי הוא לא דורש תשתיות".

לדברי ראש השב"כ לשעבר, "הפוטנציאל הגלום במתקפות סיבר הוא 'נפלא'. למה לשדוד כספת אחת של סניף בנק אם אפשר לחדור את מערך המחשוב של טארגט (Target) ולגנוב פרטי מידע של מיליוני לקוחות? כל אחד מאיתנו, עם הטלפון שלו, נכנס למערכת מידע של הבנק, ואתם, מבקרי הפנים בארגונים – תפקידכם לגלות מה בארגון חשוף. אין ארגון שלא חשוף למתקפת סייבר".

בהתייחסו למבקרים אמר גילון כי "הדברים מתחילים לעלות לרמת ההנהלה. המתקפות החדשות הן כבר לא רק עניין של מנהל אבטחת המידע בארגון. מבקרי פנים בארגון הם כלי עזר ביד המנכ"ל. עליהם לוודא שהגוף המבוקר עובד נכון ומשקיע נכון בבקרה".

"תמיד עבדתי צמוד למבקר הפנים, שישב בחדר לידי", ציין. "אבל לא תמיד זה כך. המנכ"ל שואל מה הערך של מבקר הפנים, איפה הוא תורם לשורת הרווח. המדד האפקטיבי מאוד בעייתי בתחום הסייבר: האם העובדה שהטמעתי על המערכות כל מיני הגנות רלוונטית לסוגי התקיפה שאני עתיד לסבול מהן? יתירה מזאת, ניהול עכשווי מתקיים בעידן של אי ודאות. אלא שהמשפט הזה כולל בתוכו 'כיסוי תחת' אחד גדול. האם ניתן לצפות את העתיד ולמדוד את הסיכוי והסיכון מול יכולת ההגנה שלי? אני אומר שכן, אך איננו משתמשים בכלים הללו".

על כל מנכ"ל, אמר גילון, "לבחון ולמפות את הנכסים הקריטיים של הארגון, לקבוע מהם נכסי הליבה, ולפעול בהתאם. בבנק לדוגמה, אם הוא יאבטח באופן הרמטי את כלל המערכות, תבוטל הבנקאות המקוונת, והעסקים ייפגעו, לכן אי אפשר לאבטח ב-100%, נדרש לנהל סיכונים מחושבים. אם תאבטח 100%, לא תהיה במשחק העסקי. התעדוף צריך להיעשות על ידי המנכ"ל – ולא על ידי מנהל האבטחה. רק לאחר הגדרת הסיכונים, בחינת הנזקים, יש ללכת לאיש המקצוע ולבקש שיגן על מערכות א', ב' ו-ג'".

"תחום הסייבר הולך ומתעצם והנזקים אדירים", ציין. "בטארגט, הנזק הישיר בשבוע הראשון היה 63 מיליון דולר, רק בהשקעה באמצעי הגנה ושיקום תיקי לקוחות. בנוסף, המנייה נפלה ביום אחד ב-20% מערכה. בעלי מניות העיפו את המנכ"ל מתפקידו ולפני כן הוא העיף את מבקר הפנים. כל מנכ"ל צריך לזכור כי לקוחות הארגון אינם סלחניים כשפרטי המידע האישי שלהם נגנבים".

"תמיד ברור שיהיה תחום קטן של אי ודאות", סיכם גילון. "תפקיד מבקר הפנים הוא לצמצמו. על מבקרי הפנים להטמיע כלי מדידה שיבחנו את האפקטיביות של הסיכון. יש מדדי אפקטיביות גם להגנות סייבר – נדרש להכירם ולהשתמש בהם, וזה מה שאנו ב-Cytegic עושים".