"מתקפת סייבר הינה אירוע עסקי – ולא רק טכנולוגי"

"מתקפת סייבר הינה אירוע עסקי – ולא רק טכנולוגי, שחייב להיות מנוהל. לתרגולות הנהלה מהסוג כמו שעשינו, יש ערך מוסף וחשוב בהבנת הסיטואציה ודרכי ההתמודדות איתה", כך אמר עמית בר און, מנהל סיכוני סייבר, ארנסט אנד יאנג (E&Y) ישראל.

ביום ה' האחרון ערכו חברי קבוצת הווטסאפ (WhatsApp), ה-Cybersecurity club, אותה מובילים בר און וניר אמקייס, תרגיל סייבר. בתרגיל השתתפו כ-70 מנהלי אבטחת מידע, חברי הקבוצה, המנהלים צוותי אבטחת מידע בארגונים במשק, בהם משרדי ממשלה, ארגוני תחבורה, פיננסים, בריאות ועוד.

בתרגיל הוצג תרחיש, לפיו ארגון פיננסי גלובלי חווה מתקפת סייבר בדרישה לתשלום כופר, לאחר הצפנת קבצים. המשתתפים התחלקו לתפקידים השונים בארגון, והתמודדו עם דילמות מקצועיות מגוונות. בסיום התרגיל בוצעה הפקת לקחים.

את התרגיל ערכה קונסיינטה, חברה המתמחה בחינוך הגורם האנושי ושינוי התרבות הארגונית בחברות, לבניית תרבות מאובטחת והפיכת הגורם האנושי מהחוליה החלשה במערך הגנת הארגון – לחזקה.

הפיכת הגורם האנושי מהחוליה החלשה במערך הגנת הארגון – לחזקה. צילום: יח"צ

קובי פרידמן, דירקטור ושותף בקונסיינטה, אמר כי "לתרגיל הוגדרו כמה מטרות שאחת הבולטות שבהן הייתה לתת אפשרות למנהלי אבטחת מידע לחוות את הפן העסקי באירוע סייבר. זאת כי כיום הם נדרשים להבנה עסקית, מעבר להבנה הטכנולוגית, כחלק מתפקידם בארגון".

לדבריו, "תרגילים כאלה הכרחיים לצמצם את אי הוודאות והכאוס המתרחשים בזמן אמת, בקרב הנהלות ארגונים, בהם יש לפעול בחזיתות רבות ומורכבות. פעמים רבות, הפן הטכנולוגי אינו המוביל אירוע שכזה, אלא העסקי והמשפטי. התנהלות מסודרת, מחושבת, תוך התייעצות מתמדת עם המומחים השונים לנושא – הם הכרח כדי לשרוד את האירוע".

פרידמן סיים באומרו כי "בתרגיל עלו כמה פערים – בפן התקשורתי, בהתנהלות מול הרגולטורים השונים, בהיבט חוזי ביטוח הסייבר, ובפן המשפטי. אנו מתמחים במתן מענה לפערים אלה".

"שיתופי פעולה בין מדינות – קריטיים להתמודדות מול האיום"

אלי עמר, מנהל הטכנולוגיות ברשות הלאומית להגנת הסייבר, ציין כי "תפקיד ה-CISO חשוב בהגנה, בשוטף ובחירום, ויש ליצור את התהליכים הנדרשים ברגיעה ולתרגל אותם".

לדבריו, "הרשות משתפת מידע הגנתי, תוך העשרת המזהים ממקורות קשרי חוץ, ועורכת שיתופי פעולה באמצעות סייברנט, המחוברת ל-58 מדינות ו-168 מרכזי מחקר. שיתופי הפעולה הם קריטיים להתמודדות מול איום: חתימה של מזהה תקיפה מארגון, מהווה את מרכיב ההגנה לארגון אחר. אנו עומדים כיום על 40 שניות לשיתוף מידע זה בין חברות ומגזרים שונים, ככל שנשתפר – נמנע מתקפות בזמן אמת".

ליצור את התהליכים הנדרשים ברגיעה ולתרגל אותם. צילום: יח"צ

חגי פרלמוטר, יועץ אבטחת מידע וסייבר, הרשות לאכיפה וגבייה, ציין כי "בקבוצות בהן השתתפו גורמי ממשל או פיננסים, ניכרה המודעות לשיתופו של המפקח על הבנקים בכל אירוע סייבר, לפי תקנות 848, 361 ועוד. זאת בהשוואה לחוסר מודעות בשאר הקבוצות".

"מטרת הפיקוח על הבנקים אינה להיות 'האיש הרע' באירוע סייבר – אלא להשקיט את הכאוס בחמ"ל הארגון, לעצור, לחשוב ולמלא את לוחות הדיווח כמתבקש, וכך להכריח את מקבלי ההחלטות בבנק לחשוב מסודר, לפרוט את הדיווח למקטעים סבירים ובשום אופן לא 'לירות מהבטן' ולהחליט החלטות העלולות להשפיע על שאר המשק".

"אסור לשדר פאניקה"

עינת מירון, מומחית למוכנות הנהלה למשברי טכנולוגיה וסייבר, ציינה כי "בעוד שבתחום הטכנולוגי והרגולטורי יש הנחיות בסיס לארגונים, המייעלות את ההתמודדות עם תרחיש אמת, התרגיל הנוכחי המחיש לנו עד כמה החשיבה האוטומטית של המשתתפים בו, מצריכה התאמות, לפי השינויים הדרמטיים שעובר המשק בהתייחסות לאירועי סייבר".

לדבריה, "בפן התקשורתי, כל הקבוצות נקטו גישה כמעט זהה, התעלמות או מסרים מרובים שהעידו על פאניקה וחוסר ארגון. זמן יקר עבר עד שיידעו את העובדים, וגם אז לא הוצגה כל התייחסות לאופן התהליך ולרציפותו. היו אפילו מי שבחרו במודע לשקר בהודעותיהם. הסתרת מידע או תדריך שקרי עלולים להוביל לכדור שלג שתוצאותיו קשות מהנזק הטכנולוגי והכספי".

"התנהלות תקשורתית נכונה בזמן אירוע סייבר קריטית לשרידות ולתדמית – לא פחות מהחזרת הארגון לכשירות מלאה. היו גם מי שנטלו לעצמם עצמאות, שיחקו את תפקיד הדוברים, והתעלמו משאלות משפטיות והצורך לסנכרן ביעילות בין האינטרסים השונים. תפקיד דובר הארגון הוא לאפשר להנהלה לנהל את האירוע בשקט המירבי, התנהלות נכונה שלו עשויה להוריד את גובה הלהבות ולהשפיע ישירות על הסיקור התקשורתי".

על כל ארגון לשקול עלות מול תועלת בתחום

בוריס איליאייב, מנהל אבטחת מידע וסיכוני טכנולוגיות מידע, הפניקס, ציין כי "אחת הדרכים העיקריות לצמצום העלויות מאירוע סייבר, היא רכישת ביטוח סייבר, שתעניק כיסוי למגוון רחב של הוצאות עימן הארגון יתמודד: הוצאות שוטפות בשל אירוע הסייבר, לרבות מומחים, יחסי ציבור, צוותי סיוע ועוד; אחריות כלפי צד שלישי בגין הפרת פרטיות/סודיות; אובדן רווחים לחברה ועלות שחזור הנתונים; תשלום בעבור הכופרה. עלויות פוליסות הסייבר כיום אינן בשמיים, וחובה על כל ארגון לשקול עלות מול תועלת בתחום".

עו"ד מילי בך, מהרשות להגנת הפרטיות, ציינה כי "פרסום מידע אישי, באופן לא חוקי, פוגע בהיבטי הפרטיות ואבטחת המידע, ומהווה אקט כואב לציבור הקורבנות ולארגון עצמו. מעבר לפגיעה במוניטין, הארגון ומנהליו חשופים לסנקציות מנהליות ופליליות ממחלקת האכיפה של הרשות להגנת הפרטיות, ובמקרים המתאימים לאכיפה במישור הפרטי, בדמותה של תובענה ייצוגית, למשל".

ניר פיינברג, מנהל מחלקת הסייבר, אבטחת מידע ופרטיות במשרד עו"ד שיבולת ושות', ציין כי "תקנות אבטחת המידע החדשות בישראל ובאיחוד האירופי, שייכנסו לתוקף במאי הקרוב, יקבעו בראשונה חובת דיווח מנדטורית לרגולטורים וללקוחות. כך, החשיפה המשפטית של ארגונים שלא יטמיעו את הדרישות הרגולטוריות החדשות – תעלה משמעותית".