ממשל אובמה התווה מפת דרכים למחקר ופיתוח של אבטחה קיברנטית

ממשלו של נשיא ארצות הברית, ברק אובמה, התווה מפת דרכים עם תעדוף למחקר ופיתוח בתחום האבטחה הקיברנטית, עבור סוכנויות ממשלתיות העוסקות בכך.

המדיניות של משרד המדע והטכנולוגיה (OSTP) האמריקני בנושא אורגנה כך שתספק מענה לסדרי העדיפויות של הממשל בארבעה עקרונות ושדות פעילות עיקריים: לחולל שינוי, לפתח יסודות מדעיים, למקסם את השפעות המחקר ולהאיץ את העשייה. הדו"ח, שפורסם בסוף השבוע, נושא את הכותרת: "סייברספייס אמין – תוכנית אסטרטגית למחקר פדרלי בנושא אבטחה קיברנטית". התוכנית שפורסמה מסכמת שבע שנות בחינה של הנושא על ידי מומחי אבטחה קיברנטית מהמגזרים הפרטי והציבורי, ובראשם אניש צ'ופרה, ה-CTO של ממשל אובמה, והווארד שמידט, מנהל ומתאם האבטחה המקוונת בבית הלבן.

זמן קצר לאחר שנכנס אובמה לתפקידו כנשיא ארצות הברית, ב-2009, הוכן עבורו מסמך הסוקר את מצב האבטחה הקיברנטית במדינה. המסמך קרא לפעולה דחופה על מנת לאבטח את תשתית המיחשוב ותקשורת המחשבים בארצות הברית. התוכנית שפורסמה כעת מפרטת מהן הדרכים להניע את תהליכי המו"פ, להעלות את רמת האבטחה הקיברנטית במדינה וכיצד לפתח וליישם מתודולוגיות וטכנולוגיות בצורה מהירה ויעילה יותר.

"בהתחשב בעוצמה ובהתפשטות של האיומים במרחב הקיברנטי על הכלכלה והביטחון הלאומי שלנו קיים הכרח, כי נשנה באופן יסודי ומהותי את הדינמיקה של האבטחה הקיברנטית", כתבו צ'ופרה ושמידט. "הדבר ייעשה באמצעות פיתוח של פתרונות וטכנולוגיות חדישים ומוערכים. לרשות הממשל הפדרלי יש את משאבי המחקר הנחוצים על מנת לספק פתרונות לאיומי האבטחה במרחב החדש".

עקרונות הפעולה של הממשל

שדה הפעילות הראשוני שבו נדרש לפעול בתחום נושא את הכותרת "לחולל שינוי". על פי המסמך, יש להשתמש במתודולוגיות "המשנות את כללי המשחק", על מנת להבין לעומק את סיבות השורשים של ליקויי האבטחה הקיימים במרחב הקיברנטי ואת הדרכים לספק עבורם פתרון. זאת, "כדי לשנות ולשבש את הסטטוס קוו הקיים כיום". על פי הדו"ח, המחקר בתחום זה יתמקד ביצירת "מטרות נעות", במטרה להקשות על התוקפים הקיברנטיים לחדור לרשתות מיחשוב.

העיקרון השני המפורט במסמך הוא "פיתוח יסודות מדעיים", כך שתחום האבטחה הקיברנטית יטופל ככל שדה מדעי אחר. הדבר ייעשה על ידי פיתוח מתודולוגיות, שיטות וטכניקות, כמו גם תיאוריות בקרה להתקפות. החוקרים, נקבע, יתקננו (מלשון תקן) את השיטות איסוף הנתונים, ימסדו ויקבעו טכניקות למדידה, מדדים ומינוח משותף לתחום.

עיקרון נוסף קובע, כי יש למקסם את השפעת המחקר על ידי עיסוק נרחב יותר של קהילת המומחים בתחום לצד טיפוח הקשר בינם לבין הסוכנויות הפדרליות. המטרה, נכתב במסמך, היא להעמיק את שיתוף הפעולה, על מנת לייצר יותר תוצרי מחקר שניתן לממש אותם באופן מעשי. שיתופי פעולה שכאלה ישולבו בפעילות הסוכנויות הפדרליות ויביאו להעלאת רמת האבטחה הקיברנטית בכלל, על פי המסמך.

רביעי ואחרון הוא העיקרון הנושא את הכותרת "האיצו את העשייה". על פי המסמך, יש לחפש ולמצוא דרכים שיביאו לכך שהמו"פ יגיע להיבט המעשי שלו מהר יותר מבעבר ותוצריו יהפכו במהירות למוצרי צריכה בתעשייה. "קיימת תהום בין קהילת המחקר המדעי וצוותי התפעול לתחום האבטחה הקיברנטית בארגונים", כתבו החוקרים. "יש הכרח לגשר במהירות על פער זה".

מהמסמך עולה, כי הממשל רוצה להשיג יותר גמישות ויותר יכולת התאוששות במרחב הקיברנטי. הדבר ייעשה על ידי פיתוח טכנולוגיה שתאפשר פיתוחי תוכנה מאובטחים; מתן תמריצים כלכליים לארגונים, כגון התבססות בשוק; התערבויות ממשלתיות שונות – משפטית, רגולטורית או מוסדית; הגדרת אסטרטגיות כדי לסייע למקצועני האבטחה לנתח ולהטמיע מנגנונים שיסבו נזק לתוקפים, או שיקשו עליהם את התקיפה, בשל יצירת מערכות הגנה מסובכות הקשות לפריצה; ופיתוח והפצה של סביבה קיברנטית מאובטחת ומהימנה.

ממשל אובמה ושורה של חברים בקונגרס האמריקני התחייבו לקדם בעדיפות גבוהה את תחום האבטחה הקיברנטית. ואמנם, קיימות כמה הצעות חוק שנמצאות בהליכי חקיקה שונים בבית הנבחרים ובסנאט, בהן חוקים הנוגעים לפרטיות באינטרנט, לאבטחת התשתיות הלאומיות הקריטיות ולשיתוף מידע בין המגזר הציבורי למגזר הפרטי. אלא שרוב ההצעות הללו מצוי בשלבי טיוטה ראשוניים והקונגרס טרם חוקק חוק כולל ומקיף לתחום.