"ארגון ששומר את האבטחה שלו 'בבית' – מוגן פחות"

כסגן נשיא ומנהל אבטחת מידע גלובלי ב-ServiceNow, יובל כהן אחראי על אבטחת המידע הן של החברה והן של לקוחותיה, שהמידע של רובם מאוחסן ב-18 הדטה סנטרים שלה ברחבי העולם. כשמדובר במידע שקשור לגורמים ממשלתיים וביטחוניים – הדאגה שלהם לאבטחתו מובנת, אבל לא רק, כי גם ארגונים מסחריים מעדיפים לשמור את הנתונים שלהם "צמוד לחזה". מנגד, כשהם שומעים שכהן הוא יוצא יחידת 8200 הצה"לית – מפלס הדאגה שלהם יורד פלאים. "בשרתים של ServiceNow הלקוחות מפקידים מידע ומצפים שיהיה מאובטח ויהיה זמין ולא משובש. מעולם לא קרה שהייתה תקלה או פריצה, והסיכויים נמוכים מאוד", אמר כהן.

נפגשתי עם כהן, שחייו מתחלקים בין סנטה קלרה, סן דייגו וישראל, במהלך כנס Knowledge 2017 שערכה ServiceNow באחרונה באורלנדו.

אחד החסמים לכניסת ארגונים לשירותי ענן הוא סביב הדאגה לאבטחת המידע, בגלל עצם העובדה שהמידע החשוב ביותר של הארגון מאוחסן מחוץ לחצרותיו. אולם, לדברי כהן, "היכולת שלנו להגן על המידע בשרתים שלנו גבוהה יותר מהיכולת של הלקוחות להגן על המידע במתקניהם. לכן, דווקא המידע בשרתים מאובטח יותר מאשר אילו היה אצל הלקוח".

"בעצם", לדבריו, "יש שתי סביבות הגנה – הענן והארגון – וזו של הארגון קשה יותר להגנה, כי נקודות החדירה רחבות יותר. כל עובד מהווה נקודת חדירה, כמו גם כל מכשיר של כל עובד, מה שמביא למשטח תקיפה עצום. בענן, משטח התקיפה הוא קטן – צינור אחד, שבאמצעותו הנתונים נכנסים ויוצאים, ושם ניתן להגן עם כל ה-'תותחים'. לכן, ארגון שיש לו הן את כל הנתונים הארגוניים והן את השרת On premise פחות מוגן מאשר כשהוא משתמש בשירותי ענן".

מניבולה – ל-ServiceNow

כהן הצטרף ל-ServiceNow לפני כשלוש שנים, כשהחברה רכשה תמורת כ-100 מיליון דולר את ניבולה, שאותה הקים וניהל עד רכישתה. הרכישה אף שימשה כבסיס להקמת גוף הפיתוח למוצרי ה-ITOM (ר"ת IT Operation Management) של החברה, שיושב כעת בישראל. לדברי כהן, פתרון ה-ITOM של ניבולה הוא הבסיס לקו מוצרי ה-ITOM של ServiceNow, שכ-20% מההכנסות שלה בקו מוצרים זה מגיעות מהפתרונות של ניבולה.

הוא ציין כי הטכנולוגיה של ניבולה הייתה מיפוי של שירותים עסקיים, שהם שירותי תוכנה הזמינים ללקוחות ולעובדים ובנויים מהחלק האפליקטיבי – למשל Web front end והדטה סנטר, ומהחלק התשתיתי, שעליו יושב השירות – חומרה (פיזית או לוגית), שרתים, רשת וכו'. התוכנה של החברה מיפתה את כל הרכיבים – אפליקציה, חומרה ורשת.

"יש לכך חשיבות רבה", אמר כהן, "מפני שזה משרת יישומים רבים. הפופולרי ביותר הוא בתחום השליטה והבקרה, שכן כשמתרחשת תקלה, יש צורך לבצע איתור של מקור התקלה (RCA – ר"ת Root Cause Analysis), וכשיש מפה קל יותר לעשות זאת. הדבר נכון לגבי תחומים נוספים, כולל האבטחה".

הוא הוסיף כי "יש לכך השלכות גם על ההשפעה ההדדית שיש לתקלה על שירותים שונים. נניח שיש כלי ניטור שמודיע על נפילת שרת. ברגע שיש מיפוי – יש אפשרות לדעת על אילו שירותים אחרים זה משפיע, והדבר מאפשר לבצע תעדוף של המשימות. העולם נהיה מאוד וירטואלי וכשמתקינים שירות, בגלל הווירטואליות קשה לדעת היכן הוא נמצא פיזית ולעקוב אחריו, אך בעזרת הכלים הללו אפשר למפות את כל השירותים".

"שירות מעין זה התאים ל-ServiceNow, שבאה לעולם בלי היסטוריה ארוכה של מוצרים בתחום ה-ITOM ומדברת בשפה חדשה יותר של שירות. הפתרון הזה העלה את רמת הדיון מרמת הטכנאי לרמת המנמ"ר, ומאפשר לו לראות לוח מחוונים עם שירותים ולא עם שרתים. המנמ"ר רואה מפה עם כל השירותים שניתנים לארגון ועל ידי הארגון", אמר כהן.

מפיתוח עצמי – למוצר לארגונים

"מוצר האבטחה של ServiceNow פותח על ידי הקבוצה שלי כאפליקציה לעצמנו, כדי שיהיה לנו משהו שינהל את האירועים שלא על ידי קובץ Excel, ולאחר שנתיים הוא הפך להיות מוצר שמוצע ללקוחות", ציין. "הפתרון מיועד לניהול תהליך תגובה לאירוע ומאפשר לייעל באופן ניכר את גילויו של אירוע אבטחה, את תהליך הטיפול בו ואת זמן התגובה. כשיש אירוע אבטחה, הפתרון שלנו מחבר את כל החלקים – ניהול התגובה לאירוע מרוכז בפלטפורמה נוחה ונגישה שכל רכיבי המחשוב בארגון מתחברים אליה, כמו גם תוספת של ניהול פגיעויות ומודול GRC (ר"תGovernment Risk and Compliance), וגם ל-CMDB, המכיל מיפוי כל המצאי והשירותים. בנוסף, הוא מתחבר לניהול פרויקטים, וכל המידע הזה זמין לאנליסטים שמטפלים באירוע".

הצוות של כהן מונה כ-100 אנשים, "ואנחנו באותו יחס של אנשי אבטחה יחסית לכלל עובדי החברה בחברות כמו גוגל (Google), ומשקיעים את אותה ההשקעה כמו חברות שיש להן אינטרס גדול להגן על עצמן. אנחנו משקיעים תקציבי ענק באבטחה, שהוא הנושא החשוב ביותר בחברה".

כהן הדגיש שרמת אבטחת המידע של ServiceNow היא הגבוהה ביותר האפשרית, והחברה עומדת בתקנים האירופיים והאמריקניים. בארצות הברית, אמר, "מלבד העובדה שאנחנו עומדים בתקינה, הגוף המרכזי הוא זה שמפקח עלינו. הוא עורך בדיקות בכל חודש, כל השנה. גם אירופה מתייחסת ברצינות לפרטיות ומכניסה את תקינת GDPR, שתושת בעוד כשנה, וגם בה אנחנו עומדים".

"הדרישות האלה של הגופים הממשלתיים בארצות הברית ובאירופה שדרגו את ההגנה של שאר הלקוחות שלנו", אמר כהן, "שכן גישתנו היא שלא תהיה אבטחה שונה לכל לקוח. כך, לקוחותינו נהנים מרמת האבטחה הגבוהה ביותר".

הכותבת הינה שליחת אנשים ומחשבים לכנס.