האם העורף מוכן לפגיעות במערכות מידע כתוצאה ממתקפות טילים?

השבוע הביא עמו בתחילתו עשרות טילים שנורו לעבר הדרום והשרון, ולקראת סופו מזהירה ישראל את החמאס במערכה רחבה, אם הוא ימשיך להתגרות בה. למרות הפגיעה השבוע בבית במושב משמרת, במרבית הפעמים מיירטת מערכת כיפת ברזל את הטילים ששולחים הארגונים הפלסטיניים מעזה אל עבר ישראל. במקרים אחרים, הממ"דים, שאליהם ממהרים התושבים, מתגלים כמצילי חיי אדם. אך האם העורף באמת מוכן למלחמה?

דו"ח מבקר המדינה שפורסם אתמול (ד') חשף כי פיקוד העורף לא ערוך לתרחיש של פגיעת טילים במרכזי הערים. כאשר מדברים על היערכות העורף, אין מדברים רק על פינוי נפגעים. בעידן הנוכחי יש מגוון אפשרויות של פגיעה בעורף – לאו דווקא פגיעה פיזית קטלנית, אלא גם כזו שתשבש מערכות מחשוב, תשתיות, תקשורת וסלולר. האם העורף מוכן לחזרה מהירה לשגרת חיים סבירה פחות או יותר לאחר מקרי חירום? לחזור לתפקד ולעבוד כמה מהר שרק ניתן? די בפגיעה במערכת מידע של מערכות לוגיסטיות של יצרנית מזון או תרופות, או בתשתית של ניהול תנועה, כדי לשבש את החיים בעורף. היקף הנזק שיכול להיגרם משיבוש כזה עלול להיות גבוה מאוד.

ההיערכות הזו, במקרה שהיא טובה, היא במידה רבה תוצאה של שמירה על תשתיות המחשוב והמידע, הקמת מתקני גיבוי ו-וידוא שכל המערך מתפקד. זאת, לצד הדרכת העובדים הרלוונטיים בארגון, כדי שידעו מה עליהם לעשות בשעת חירום.
המוכנות הזו צריכה להדאיג כל מנכ"ל וכל מנמ"ר. הסכנה הגדולה טמונה באדישות, או נכון יותר בביטחון עצמי מופרז. אם תשאלו רבים מהם האם ארגונם מוכן למקרי חירום, התשובות שתקבלו ינועו בין "בוודאי שמוכנים", "יש גיבויים" ו-"הכול בסדר". אלא שבחלק גדול מהארגונים, במיוחד אלה שממוקמים באזורים שאינם קרובים למקומות שבהם פוגעים הטילים, המוכנות רחוקה מלהיות מושלמת.

הרגליים שעליהן עומדת תורת ההתאוששות מאסון

התורה הבסיסית למוכנות למקרה של קריסת מערכות – בין אם מפגיעת טילים או מכל סיבה אחרת – עומדת על כמה רגליים. רגל אחת היא המוכנות הפיזית, שכוללת בדיקות תקופתיות לתקינותן ועדכניותן של המערכות. הרגל השנייה היא קיומו של מתקן אחד או יותר של גיבוי, שמסוגל להחזיר את העבודה לשגרה בתוך דקות. הרגל השלישית היא תרגולים קבועים, אחת לכמה חודשים, של עבודה בשעת חירום, שבהם לוקחים חלק כל עובדי הארגון.

בארגונים שיש להם מערכי גיבוי עצמאיים או מתארחים בדטה סנטרים, רצוי שהעובדים שאמורים לעבוד בהם במקרי חירום יבקרו במתקן לפחות פעם בשנה, ילמדו את המקום, את דרכי הגישה אליו, כיצד פועלות בו המערכות ועוד.

דרכי גישה הן בין החסמים הבולטים בהיערכות לשעת חירום. כאשר יש פעילות צבאית, הכבישים באזור הרלוונטי עמוסים בכלי רכב של צה"ל. יש סיכוי סביר שחלק מהם לא יהיו נגישים ואם הארגון ממוקם לא הרחק מהכבישים האלה, או שהם קריטיים על מנת להגיע אליו – יש בעיה. בארגונים רבים לא מודעים לכך, כולל בכאלה שהפעילות שלהם חיונית להמשך שגרת החיים שלנו.

בסופו של דבר, ההיערכות לחירום תלויה בשגרה. כלומר, עד כמה מתרגלים את שגרת החירום בזמנים רגילים. וזה חיוני, משום שבכל תסריט ואירוע מלחמתי גדול ואפשרי, העורף הוא חלק מהחזית.

איך פרצו לי לארגון?

עד כה הטור עסק באיומים על ארגונים באופן כללי, כשהספציפיקציה היחידה הייתה בהקשר האקטואלי של טילים. אלא שיש איום ספציפי שיש לשים עליו דגש רב בבואנו לדבר על מוכנות לחירום: הסייבר. מדובר בתחום מדובר שהמודעות לעצם קיומו גבוהה. דווקא בגלל זה היה מעניין לקרוא השבוע על מחקר חדש, שגילה ש-20% מהמנמ"רים שנחשפו למתקפות סייבר לא יודעים כיצד זה קרה להם ואיך הצליח ההאקר לפרוץ לארגון שלהם. העובדה שמנמ"רים לא מודעים מספיק ליכולות של האקרים לפגוע בהם אינה חדשה. אבל מה שחמור פה הוא שהם לא יודעים כיצד הרעים נכנסו.

אפשר להבין מצב שבו המנמ"ר לא ידע על כל אחד מחורי האבטחה שדרכם ההאקרים יכולים לפרוץ לארגון – בתקווה שאין כאלה בכלל, אבל כשלא יודעים על קיומו של איום, הסיכוי להתמודד מולו ולמגר אותו – אפסי. לכן, המנמ"רים חייבים למפות את הסביבה שלהם ואת סביבת האיומים שיש עליה, ולהבין אילו רכיבים במערכות ההגנה שיש לארגון עלולים להיות פרוצים.
בהקשר זה, יש לשים לב לאיום הצד השלישי: בעידן המסחר המקוון והבנקאות הדיגיטלית יש שורה ארוכה של ספקים, סוכנים ושותפים שנכנסים למערכות של הארגון, אבל אין לו את היכולת האפקטיבית לפיקוח על רמת האבטחה שלהם.

בארגונים גדולים ובמגזרים מסוימים מתגבשת רגולציה, שמחייבת את השותפים השונים לשמור על רמת האבטחה. זה עדיין בשלבים מאוד מוקדמים, אבל עלולים לעבור עוד הרבה האקרים ב]רצות עד שהדבר יגיע לכדי הסדרה.

כך או כך, על המנמ"רים לשים לב היטב לאיומי הסייבר ולפרצות, כדי שלא ייווצר מצב שבו לא יהיה להם מושג איך חדרו לארגונים שלהם.