"הגורם המפריע ביותר למאבק בסייבר: מחסור כרוני בכוח אדם"

שלוש בעיות גדולות מפריעות לנצח במאבק מול תוקפי הסייבר. החשובה שבהן היא המחסור הכרוני בכוח אדם. כך אמר השבוע מפקד יחידת 8200 לשעבר, נדב צפריר, בכנס הסייבר הבין-לאומי בראשות פרופ' יצחק בן ישראל שנערך זו השנה החמישית באוניברסיטת תל אביב.

"התוקפים של היום הפכו מאופורטוניסטים לפרואקטיבים. היו טקטיים ועכשיו אסטרטגיים ואם בעבר מרכז עבודתם היה טכנולוגיה היום גם הם מוכוונים עסקים ושוקלים כל תקיפה לפי ה-ROI (החזר השקעה) שלה. הם חושבים לפני שהם תוקפים היכן כדאי להם, כמה ירוויחו כספית מהפריצה, הסבירות שיצליחו לפרוץ, מהם המאמצים שיצטרכו להשקיע, ורק אז יבחרו את וקטור התקיפה הבא", אמר צפריר.

הוא ציין כי "דוגמה מצוינת לכך היא התקיפה על סוני (Sony). בואו נחשב מהו ה-ROI של התוקף שלה: אם המטרה הייתה שאף אחד לא יראה את הסרט, קרוב לוודאי שהוא לא מי יודע מה. למעשה, יותר אנשים ראו את הסרט מאשר ללא פרשת הפריצה. כמובן, המטרה שלהם הייתה שונה: להביך את סוני ולגרום לאחרים לפחד מלהביע ביקורת על צפון קוריאה".

"סוגיה חשובה המפריעה לנצחון על ההאקרים היא פער הידע בין המנהלים של הארגון ובין אנשי הסייבר", הוסיף צפריר. "המנהלים יודעים הרבה על עסקים, משאבי אנוש, פיננסים, מכירות, ייעוץ משפטי ועוד. הם גם מכירים את הסיכונים שמגיעים עם כל אחד מהתחומים הללו, אבל הם יודעים מעט מאוד, או כמעט כלל לא, על אבטחת סייבר. לעומתם, ה-CISO, מומחי הסייבר, יודעים כל מה שהם צריכים לדעת על אבטחת סייבר אך אינם יודעים דבר על הצד העסקי של הארגון. אין זו סביבה המעודדת יצירת דו שיח שיוביל להגנת סייבר מוכוונת עסקים ועל כן, יש לסגור את הפער. אינני אומר בכך שהמנהלים העסקיים צריכים להיות מומחים לסייבר וגם לא שהמומחים לסייבר יהפכו להיות המובילים העסקיים של הארגונים שלהם, אך צריך לצמצם לפחות את הפער. אם המנהלים העסקיים נדרשים לקחת אחריות הכול תלוי באישיות שלהם".

בהינתן הבנה של המנהלים באבטחת מידע, יהיה עליהם לעשות את מה שצפריר מכנה 'סימטריית הידע' כדי להתמודד עם התוקפים המתוחכמים. "אם התוקף חושב על ההכנסה הכספית, מנהל הארגון צריך לחשוב על ההשפעה. אם התוקף חושב על הסיכוי להצלחה, אתה צריך להקשות עליו ולהגן על יהלומי הכתר שלך. אם הוא חושב על וקטור התקיפה, אתה צריך לחשוב על הגנת סייבר מוכוונת עסקית שתאפשר ליצור אסטרטגיית סייבר בעלות סבירה ולדאוג שתהיה סימטריה בעולם מתקפות הסייבר שהיום הוא א-סימטרי לחלוטין", ציין צפריר.

"כאמור", אמר, "הבעיה החמורה ביותר היא בעיית המחסור במומחי סייבר. שאלו כל מומחה אבטחה והוא יגיד להם שהקושי הגדול ביותר באבטחת סייבר אינו לטפל בקוד עוין, ולא הטכנולוגיה, אלא הנדירות של כישרונות הסייבר".

"הביקוש לעובדים בתחום הסייבר רחוק מקבלת מענה. לדוגמה, בארצות הברית לבדה לא מולאו 300 אלף משרות בשנת 2014 – נתון שהוא 6% מכלל המשרות הפנויות במדינה זו באותה השנה. המנהלים שיודעים זאת מבקשים למצוא דרכים לפתח מערך הגנת סייבר בעלות סבירה. איך עושים זאת? אינני יודע. זו בעיה קשה. ואולם מהנסיון שלנו בישראל למדנו שאם אין מספיק טאלנטים, צריך להכשיר אותם בעצמנו. צריך לחשוב מעבר לתארים והסמכות אם מודעת הדרושים שלך מנוסחת ב-'עשר שנות נסיון באבטחת סייבר'. אולי אין מספיק אנשים כאלה משום שבעיות אבטחת הסייבר של היום לא היו קיימות לפני עשר שנים. צריך לפזר את הבקשה ברשת רחבה יותר, צריך גם להכשיר אנשים בתוך הארגון שיעברו לתחום הסייבר ולערוך הכשרות כדי לייצר מערך סייבר משל עצמך. בישראל הצלחנו לשכנע צעירים רבים לבוא לתחום וסיפקנו להם הכשרה מהירה באמצעות הצבא. זה אולי לא אפשרי במדינות אחרות, אך חייבים למצוא דרך לעשות זאת".