"ארגונים צריכים לאבטח הענן, כי אין פיות שיעשו זאת במקומם"

"פעמים רבות ארגונים שוכחים את העובדה הפשוטה: בעננים הציבוריים אין מלאכיות קסם, פיות, שיאבטחו את האפליקציות ונתוני הארגונים. האחריות על אבטחת המערכות בענן מוטלת כולה על הארגון ומנהל אבטחת המידע שלו – ולא על ספקיות הענן", אמר פרד סטריפלנד, מנהל אבטחת מידע לאזור אירופה, פאלו אלטו (Palo Alto Networks).

סטריפלנד דיבר בפתח Cloud Security Summit, אותו ערכה ענקית אבטחת המידע. הכנס, בהפקת אנשים ומחשבים, שנערך היום (ג') באולם אירועים LAGO בראשון לציון, בהשתתפות כאלף מלקוחות החברה ושותפיה העסקיים. הנחה את הכנס ליאור אביב, מנהל מכירות אזורי לתחומי ביטחון ופיננסים, פאלו אלטו נטוורקס.

"כשמכונית מתנגשת בקיר", אמר סטריפלנד, "כל המערכות שבמכונית עובדות באופן מתואם ומתוזמר: לחיצת הבלמים מביאה להתנפחות כריות האוויר, וכך הנוסעים מוגנים והחלונות לא נשברים. אלא שמערכות האבטחה בארגונים אינן פועלות כך: יש ריבוי של רכיבי אבטחת מידע, יש חוסר תיאום ביניהם, לעתים הם פוגעים בביצועי ה-IT, ואין אבטחת מידע מוכללת".

"מנהלי אבטחת מידע", אמר סטריפלנד, "צריכים יותר נראות ופחות מורכבות. מדי יום נוצרים בעולם 43 מיליון טרה בייט של נתונים. כבר כיום יש יותר טלפונים חכמים מאשר בני אדם. עד סוף העשור יהיו 22 מיליארד רכיבי IoT בעולם, והדבר יצמח משמעותית עם מגמות הבתים החכמים והערים החכמות. ההגעה של דור 5 תביא להגדלת התעבורה ברשתות בהיקף של פי מאה. מערכות הארגונים נהיות מורכבות יותר, בשל מגמות המובייל, העבודה מרחוק, עבודה בסניפים ומהבית. מעבר הארגונים לענן מקשה אף הוא – ומגדיל את משטח התקיפה הארגוני. נדרש לענות על הרגולציות השונות, ולטפל בהגנת הפרטיות. העולם הופך ליותר ממוכשר ומקושר. יש לשנות את תפישות אבטחת המידע המסורתיות, שהיו נכונות לשעתן, אבל אינן רלוונטיות כיום".

"מנגד", הסביר סטריפלנד, "היריבים, ההאקרים למיניהם, לא יושבים בשקט, אלא מתפתחים ביכולות הפריצה שלהם ונעים במהירות קיצונית קדימה. הם פועלים באופן אוטומטי, גדלים בהיבט היכולות, ומשתפים פעולה זה עם זה. עלינו לעשות את אותו הדבר. בנוסף, הם מנצלים את הענן לפיתוח מהיר של כלי תקיפה, ולשימוש ביכולות אוטומטיות והקצאת משאבים לתקיפה".

זמנים קשים למנהלי האבטחה

"אלה זמנים קשים למנהלי אבטחת המידע בארגונים", ציין סטריפלנד, "היקף העסקים בארגונים שלהם גדל, ארגונים נהיים גלובליים, יש מוצרי אבטחה שאינם משתלבים ואינם אוטומטיים. מנהל האבטחה בארגון מוצא עצמו במרדף אינסופי אחר האיומים החדשים, שצצים כמו פטריות אחרי הגשם. הוא צפוי להפסיד אם ימשיך לעשות מחר את מה שעשה אתמול".

"אסור שמנהלי האבטחה יטמיעו עוד ועוד מוצרים", אמר, "זה לא באמת יעזור להם. עליהם להתמקד בהיבטים העסקיים של הארגון. עליהם לטפל בצמצום סיכונים. עליהם לחדול מלעשות שיפורים במוצרי האבטחה, שהם אוהבים לעשות. עליהם להגן עם אסטרטגיית Zero Trust, להתמקד במה שחשוב, להטמיע חדשנות באבטחה ובמהירות – כי זה מה שהרעים עושים".

לחשוב כמו מאבטחי נשיא ארה"ב

לדבריו, "על מנהלי האבטחה לחשוב כמו אנשי השירות החשאי המאבטחים את נשיאי ארה"ב: מי הנשיא? איפה הנשיא? למי יש גישה לנשיא? עליהם לבחון מהם יהלומי הכתר של הארגון – הנתונים, האפליקציות ומערכות הליבה. יש לברר היכן הם נמצאים ולמי יש גישה אליהם".

"גישת האבטחה החדשה", ציין, "בנויה על שלושה עמודים. הראשון – התחל את האבטחה בפנים ומשם צא החוצה. העמוד השני הוא מיקוד במה חשוב ונדרש לאבטח, כי יש איומים וסיכונים עקביים, ובכל מקום. האבטחה צריכה להיות בכל שכבות ה-IT, עם ארכיטקטורה כוללת, משולבת, עם מיכון, תזמור ונראות. העמוד השלישי מטפל בחדשנות, ובצורך להזריק אותה גם לאבטחה. לא עוד פיתוח ב'מפל מים', הכל אג'ילי וזריז – עם קיצור מחזורי הפיתוח משבועות לשעות. הרעים כבר הבינו זאת: הם מהירים ב'טירוף', יש הדבקה חדשה כל 3 שניות, שבדקה הופכת ל-2,021 הדבקות, וברבע שעה מגיעה ל-9,864 הדבקות".

סטריפלנד סיים בצטטו את ניר צוק הישראלי, מייסד החברה וה-CTO שלה, "שאמר 'אל תציבו אנשים במלחמתם במכונות – רק מכונות ינצחו מכונות. מפתחות ההצלחה בהגנת הסייבר הם שימוש בענן, מיכון, אינטגרציה, תזמור ולימוד מכונה'. אי אפשר ולא נכון לאבטח עם רכיבי אבטחה נישתיים. זה קשה – אך אפשרי. מנהל אבטחת המידע צריך לעבור ממצב של מרדף סיזיפי ואינסופי אחר האיומים הצצים בלא הרף – ולשבת בניחותא, כשרגליו על השולחן".