"המענה לאיומי הסייבר: שילוב טכנולוגיות עם מודעות העובדים"

"משבר הקורונה הביא את העולם למצב שבו עובדי הארגונים, שעובדים מהבית, הפכו לחשופים יותר. הנחייה של העובדים היא לא פתרון מספק. יש 'חוק' בן ארבעה עשורים בעולם אבטחת המידע: 'אל תסמכו על המשתמשים'. ההגבלות לא יכולות להישמר ברמת ההוראה. מודעות לאיומים היא דבר חשוב, אבל בטח לא הדבר היחיד. גם מענה טכנולוגי בלבד איננו מספיק. המענה המיטבי הוא שילוב בין הממד הטכנולוגי לממד החינוך, העלאת המודעות והאכיפה", כך אמר גיא מזרחי, סמנכ"ל סייבר בקבוצת רייזון.

מזרחי דיבר בכנס Infosec2021 של אנשים ומחשבים, שהתקיים היום (ה') בהנחיית יהודה קונפורטס, העורך הראשי של הקבוצה.

לדברי מזרחי, "בעבר, העולם התאפיין במגמת ה-BYOD, כאשר כל עובד הביא מהבית לארגון רכיבי מחשוב פרטיים לשימוש בעבודה. כיום, לאחר משבר הקורונה, הגענו למצב חדש, שבו במקום שהציוד יגיע מהבית למשרד – העולם 'התחלף', והציוד, כולל העובד, הגיעו הביתה. זה מניב כל מיני אתגרי הגנת סייבר חדשים".

סיכון לאבטחה הארגונית – כי העובד לא עדכן סיסמאות בבית

הוא הסביר כי "בעבודה, הציוד מוגן ואנחנו מצויים תחת חומות ארגוניות, בעוד שבבית אנחנו במצב לא מוגן. כמו כן, בניגוד לעבר, כיום אין פיירווול ארגוני, אין איש אבטחת מידע צמוד למשתמשים, אין בקרה ואין ניטור. זה מקשה מאוד על העבודה של מנהלי האבטחה. העולם נהיה מסובך ועלה הצורך להגן על דברים לא ארגוניים, כמו מחשב שמשמש את ילדי העובד לאינסטגרם ולטיקטוק". "כמו כן", אמר מזרחי, "בבית, בחיים הפרטיים, איש לא מעדכן את הסיסמאות של מצלמות האבטחה או של רכיבי האינטרנט של הדברים האחרים שיש ברשותו. ישנם רכיבים רבים שכאלה, והם עלולים לסכן את אבטחת המידע הארגונית".

מזרחי מנה את אתגרי אבטחת המידע בעולם הפוסט קורונה: "עבודה עם מחשב; ערבוב בין הבית ורכיבי המחשוב הפרטיים לאלה של העבודה; עולם חדש של אתגרים בתחום הגנת הפרטיות; ועולם חדש של נראות מוגבלת. המשמעות של כל זה היא שיש חשש לחשיפה רבה לאיומים, כאשר מנגד, רמת הניטור היא מוגבלת. עלולים להיווצר מצבים שבהם נעשית עבודה על רשת פרטית בבית, כאשר זו איננה מוגנת, הנתב הוא עם סיסמה של ברירת מחדל, ה-Wi-Fi לא מוגן, וכך גם רכיבי האינטרנט של הדברים שבבית העובד, כשהמחשב המשרדי לא מעודכן, כי הבעלים שלו לא פקד זה שנה את מקום העבודה, וכאשר בני הבית האחרים עובדים על המחשב שלו בבית. כל אלה מעלים את רמת הסיכון".

לסיכום הוא אמר ש-"יש לנטר כל מה אפשר. נדרש להחתים את העובדים והעובדות שהכול מנוטר על ידי מערכות הארגון. בעת עבודה על רשת פרטית בבית, שאינה מוגנת, יש לטפל בנתב שבו יש ברירת מחדל. צריך להשקיע משאבים רבים בבניית והפצת נהלי אבטחה ובאכיפה שלהם. רק כך תגדל מודעות העובדים לאיומים הסובבים אותנו. לצד הטמעת פתרונות טכנולוגיים, יש לשים דגש למודעות. השינויים שאותם עשו ארגונים, בעיקר הגדולים שבהם, היו איטיים ולא מספיקים. צריך ללכת בדרך רבת כיוונים: לדאוג לא רק שיוטמעו טכנולוגיות הגנה, אלא לוודא שהן יוטמעו באופן עמוק, בצורה כוללת, מוכללת, ונכונה. לצידן, יש לטפל בהיבט המודעות והנחיית העובדים. רק שילוב בין הדרכים יביא להגדלת רמת הגנת הסייבר בארגונים בעידן החדש".