ענן של אבטחה

כנס InfoSec חגג השנה עשור לקיומו. כאשר אופיר זילביגר, מנכ"ל חברת הייעוץ SECOZ, העלה בזמנו את הרעיון להפיק ועידה בנושא, היה "אבטחת מידע" מושג שעוד היה צריך להסביר אותו. תפקיד מנהל אבטחת המידע הארגוני, ה-CISO, כמעט ולא היה קיים אז, ועל כן במשך כמה שנים טובות, הנושא המרכזי בכל InfoSec היה חשיבותו ומעמדו של ה-CISO.

ברוך גינדין – מנכ"ל גרטנר (Gartner) המזרח התיכון, אמר אתמול (ב') בהרצאת הפתיחה שלו, כי עד לפני ארבע שנים, אמרו מנמ"רים שאבטחה עומדת בראש סדר העדיפויות שלהם מבחינת השקעה. כיום, הסביר, זה כבר דבר מובן מאליו. אחת הסיבות לכך, היא אולי העובדה שהאיומים הולכים ונהיים מתוחכמים יותר, במקביל לטכנולוגיה – שמתפתחת גם היא. על כן, לא מפתיע היה לגלות שהמילה שנאמרה יותר מכל ב-InfoSec אתמול היתה "ענן". בימים אלו קשה למצוא כנס מיחשוב שבו שלא מדברים על ענן.

למיחשוב ענן יש הרבה יתרונות, אבל אלו לא מצליחים להסתיר את הסיכונים והסכנות שבו. הענן הרי מהווה את אחד האתגרים הגדולים ביותר שעומדים בפני מנהלי האבטחה בארגונים, מפני שהוא מגביל את היכולת שלהם לשלוט על המידע.

הדוגמאות הפופולאריות ביותר שהובאו אתמול בכנס היו גוגל (Google) ופייסבוק (Facebook). מנהלי שני הארגונים הללו לא מסתירים את העבודה שכל הקלקה באתר שלהם נשמרת בארכיון. אך נשאלות השאלות: מהי מדיניות אבטחת המידע? מהי מדיניות הגיבוי? מה עושים עם המידע הזה? בפועל, אף אחד לא יודע. העמימות כאן כמעט מוחלטת.

הסכנות אדירות. אין זה סוד שלכל עובד יש חשבון בג'י-מייל או בהוט-מייל. כך, כמויות המידע הארגוני הסודי שזורמות – או לפחות עלולות לזרום – בכל יום דרך אותם חשבונות, גדולות מאוד.

ויש כמובן את נושא הרגולציה שעלה לדיון. העשור השני של כנסי InfoSec נפתח בעידן שבו הרגולטור צריך להתאים את עצמו למציאות החדשה – ובתוכה לא רק הענן, אלא גם ריבוי המכשירים הניידים, שהולכים ותופסים תאוצה מדי יום.

אם תשאלו את מנהלי האבטחה, אלו הם הדברים שגורמים להם להזיע. 23 המרצים שהשתתפו אתמול ב-InfoSec ניסו לתת פתרונות, אך אין ספק שנצטרך לתת לזמן לעשות את שלו.