החוליה החלשה בהגנה על המידע: משתמשי הקצה

כתב: אור יעקב, ארכיטקט פתרונות אבטחת מידע לאזור EMEA ב-F5.

הידיעה הבלעדית שפורסמה אתמול (א') באנשים ומחשבים, בה דווח על גניבת פרטים של מאות אלפי כרטיסי אשראי כשהלקוחות שילמו באתרי e-Commerce, מעלה שוב על השולחן את חשיבותה של הגנת משתמשי הקצה, הלוא הם הצרכנים, והאחריות עליה.

גניבת כרטיסי האשראי שדווח עליה אתמול היא דוגמה קלאסית לדרך שבה האקרים טוענים קוד זדוני, בין אם דרך תחנת הקצה או דרך האפליקציה, ובכך גונבים מידע סחיר. האקרים תמיד יחפשו את הדרך הקלה להשיג רווח קל ומהיר, במקומות שבהם מסתובב כסף רב. הם שמו על הכוונת שלהם את כל האתרים והאפליקציות שמאפשרים אינטראקציה ומסחר עם צרכנים, בין אם מדובר באלה של ארגונים פיננסיים, בנקים שנותנים גישה לפעולות באינטרנט – כלומר, כולם – פורקסים, אתרי e-Commerce וחברות ביטוח. הקוד השתול פוגע במשתמש בזמן השימוש באפליקציה, באזורים הרגישים בהם ניתן לגנוב את המידע הפרטי.

הארגונים, מצדם, משקיעים משאבים רבים בהגנה על האפליקציות הארגוניות, אך לרוב אין להם יכולת להגן על תחנת הקצה או לשלוט במה שקורה שם. זאת בדיוק נקודת התורפה שההאקרים אוהבים ומנצלים יותר ויותר. יש להם אמנם יכולת לתקוף גם אפליקציות, אבל משום שהם מודעים למערכי ההגנה המשוכללים המותקנים בארגונים, הם פונים כעת לחוליה החלשה – המשתמש.

מדוע פריצה בצד של הצרכן צריכה להפריע לארגון?

השאלה שעולה בכותרת הביניים היא שאלה של יחסי אמון, מוניטין והרבה כסף. ארגונים רבים צריכים לשאול את עצמם אם הם רוצים שיתקפו את הצרכנים שלהם כאשר אלה משתמשים באפליקציה שלהם. רוב הארגונים הפיננסיים כבר הגיעו למסקנה שמצב כזה לא יכול להתקיים כשמדובר בלקוחות שלהם – ולא בכדי: הסיכון והנזק גבוהים מאוד כשמדובר בגניבה של נכסים בנקאיים. אולם, מרבית הארגונים שמאפשרים מסחר אלקטרוני עדיין לא לוקחים ברצינות מספקת את הגנת משתמשי הקצה.

כאשר ארגונים שוקלים הטמעת פתרונות הגנה על משתמשי הקצה, עליהם בראש ובראשונה להבין את הנזק העצום שיכולה לגרום פגיעה פיננסית, אך גם פגיעה בשמם הטוב. אם לוקחים בחשבון שהקוד פועל על מסה של צרכנים, הפגיעה הופכת משמעותית מאוד ומגיעה בדרך כלל עם פרסום שלילי בתקשורת, וכך ההתאוששות כרוכה בהוצאות כספיות לא מבוטלות ובטיפול רב ביחסי ציבור – שגם הוא עולה כסף.

הגנה על אפליקציה או על תשתיות אינה מספקת ויש להרחיבה עד לתחנת הקצה. פתרונות טכנולוגיים חדשניים מאפשרים לעשות זאת באופן קל ושקוף, וללא ספק מתריעים ומונעים זליגת מידע, מבלי להטריד את המשתמש בהתקנות של תוכנות הגנה מיוחדות ומבלי לעשות כל שינוי או התקנה מיוחדת באפליקציה הארגונית.