אבטחת תשתיות לאומיות
יותר ויותר האקרים הולכים ומשתכללים והופכים מחשבונות בנק ומכשירים חכמים למיקוד בתשתית של מדינה. כתוצאה מכך אבטחת סייבר מעולם לא הייתה חשובה יותר.
ברחבי העולם התשתית הקריטית שתומכת ומקיימת חברות מודרניות נתקפת בהתקפה, בין אם ממדינות לאום או מגורמים שאינם קשורים למדינה כמו פושעים או טרוריסטים.
התקפות אלה מסוגלות לערער תשתית קריטית על ידי פגיעה בציוד לא רק באמצעות הפרעה לפעולות אשר, בתורן, יכולות לעלות לארגונים מיליוני לירות לפתרון.
עם זאת, למרות רמת האיום ארגונים רבים עדיין אינם מצליחים לטפל או אפילו להבין את הסיכונים שהם עשויים להתמודד איתם.
מתקנים, מערכות, אתרים, מידע, אנשים, רשתות ותהליכים נחשבים חיוניים בשמירה על חברה פונקציונלית ותפעולית.
לפי האיחוד האירופי, "רשת החשמל, רשת התחבורה ומערכות המידע והתקשורת הם בין מה שמכונה 'תשתיות קריטיות', החיוניות לשמירה על תפקודים חברתיים חיוניים. ללא אספקת אנרגיה אמינה או תחבורה צפויה, אורח החיים הנוכחי שלנו לא היה אפשרי. "
אז עד כמה התשתית שלנו פגיעה להתקפות סייבר? כיום, פיגועים פיזיים, כגון מסעות הפצצה, פינו את מקומם להתקפות סייבר - הם הרבה יותר זולים לארגון וקשה הרבה יותר להתמודד איתם ועלולים להשפיע משמעותית על זמינותם, תקינותם ומסירתם של שירותים חיוניים.
היקף ההתקפות מדהים. על פי דיווחים אחרונים של פחמן שחור 88 אחוז מחברות בריטניה סבלו מהפרות אבטחה בשנים עשר החודשים האחרונים, ועסק קטן אחד בבריטניה נפרץ כל 19 שניות!
האיום על גורמי המדינה מאתגר באותה מידה ובוודאי גדל, ולפי ארגון המשטרה הפלילית הבינלאומית, "החפיפה של העולם הדיגיטלי והפיזי - בעוד שהיא מאפשרת לנו לפקח ואף לשלוט בתשתיות מכל מקום בעולם הולכת וגוברת יותר ויותר. פגיעים לאיומים. "
קישוריות רבה יותר פירושה שתשתיות מודרניות נוטות להסתמך על מבוססי אינטרנט טֶכנוֹלוֹגִיָה לתפקד – בעבר הוקמו והופעלו רשתות מסוג זה באופן עצמאי ונפרד.
המערכות של ימינו אחראיות על שליטה ופיקוח על שירותים ואיסוף ושליחת מידע הקשור לתשתית מבוקרת זו, אולם הם מותירים אותם פגיעים מאוד להתקפות סייבר.
מוקדם יותר השנה האקר למחשבים קיבל גישה למערכת המים של עיר בפלורידה, וביקש להזרים כמות כימית 'מסוכנת' של חומר כימי למערכת הטיפול במים בעיר.
זה לא היה מקרה בודד. זה קרה בארה"ב לפני ובשנת 2020 היו התקפות רבות על אספקת המים בישראל, אם לא הצליחו.
ברחבי העולם נבדקים מים, חשמל, תחנות גרעין ותחבורה לכל סימן של חולשה בהאקרים המעוניינים לנצל מערכות IT מעודכנות ופגיעות.
התשתית שלנו שתלויה זו בזו ותלות קשורה זו בזו, חשופה יותר להפרעות סייבר והתקפות יכולות לגרום להפרעות נרחבות בגלל 'אפקטים מדורגים'.
לפי אינטרפול. "התקפה אחת על נקודת כשל אחת עלולה להוביל לשיבוש או להרס של מערכות חיוניות מרובות במדינה שנפגעו ישירות, ולהוביל לאפקט אדווה ברחבי העולם."
התוקפים מגוונים וכוללים קבוצות פשע, האקרים, עובדים ומדינות זרות העוסקות בריגול ובמלחמת מידע, כמו גם מחבלים. כתוצאה מכך, יכולתם לפעול והמניעים המניעים אותם ישתנו. מתקפת מערכת המים בפלורידה מיוחסת לעובד ממורמר, למשל.
כדי להתמודד עם סוג זה של התקפות וכדי לאבטח ארגוני תשתית לאומיים יצטרכו להיות מסוגלים לזהות נקודות תורפה ולהיערך לאירועים, וזה מצריך יכולת לא רק לזהות מתקפות אפשריות, אלא גם לקבוע מתי ואלמנטים שונים נמצאים במתקפה.
הגנה על תשתיות קריטיות
"הגנה על תשתיות קריטיות דורשת גישה רבת פנים המאבטחת את מערכות התשתית הפיזית והווירטואלית," אמר פול דנט, סגן נשיא, ניהול מוצרי אבטחה ב- Digital.ai המסייע לארגונים באמצעות שילוב של תכנון זריז, אבטחת יישומים, אספקת תוכנה. ושימוש בבינה מלאכותית לאספקת מוצרים ושירותים דיגיטליים.
"עסקתי באבטחה לאורך שנים רבות בסקר הנדסה לאחור וכיצד האקרים מסוגלים להתעסק בתוכנה ולהביא אותה לשליטתם. נושאים אלה חוזרים שנים רבות אך בהחלט רלוונטיים לאתגרים העומדים בפני תשתיות קריטיות כיום.
"אני מה שאתה קורא לצייד שהפך לשומר המשחק. התחלתי בפיתוח משחקים ועם הזמן ראיתי את הפגיעות בתוכנה ורציתי להבין טוב יותר את נושא האבטחה ואיך חברות מחפשות לטפל בזה.
"התוכנה פגיעה ולאורך זמן הובלתי מספר הערכות אבטחה בדקתי תחנות כוח גרעיניות, בתי חולים ואפילו ערכות סרטים."
הערכות מסוג זה חיוניות אם יש להבין את האיומים העומדים בפני תשתיות קריטיות וארגונים מסוגלים לנקוט טוב יותר בצעדים הדרושים לשיפור אבטחת הסייבר של פעולותיהם.
"ב- Digital.ai אני עובד על מוצרי אבטחת יישומים המהווים חלק מפלטפורמת ניהול זרם ערך רחבה בהרבה, העוסקת לעזור לחברות לבנות מוצרים דיגיטליים בצורה 'הנכונה'."
לדברי דנט, עם כל כך הרבה יותר דיגיטליזציה בין ענפים, הפלטפורמה של Digital.ai מסייעת לארגונים להבין טוב יותר את המורכבויות והמורכבויות הקשורות לפיתוח פלטפורמות מאובטחות המחברות משתמשים עם תשתיות קריטיות.
"אם זה לא נעשה כהלכה זה יכול להוביל לפריצות חמורות או לכלול מערכות," הזהיר.
קצב הדיגיטיזציה גם גורם לבעיות ובעוד שחברות רבות פנו לטכנולוגיה, לא מעט בגלל ההשפעה של COVID-19, רבות לא ממש היו מוכנות בכל מה שקשור לספק פלטפורמות מאובטחות.
"ארגונים צריכים להיות מודעים לכך שהתקפות סייבר לא רק גדלות אלא מתפתחות ומשתנות כל הזמן; פעילויות ההאקרים עוברות כעת אוטומציה מכיוון שהן מכוונות לתשתית קריטית. התקפות זדוניות הן בדרך כלל אוטומטיות והנדסה חברתית נותרה כלי רב ערך להשגת תוכנות זדוניות בפתח הכניסה לארגון. "
בהתייחסו במיוחד לתשתיות קריטיות, אמר דנט שלמרות שיש כמה דברים מאשר לייחד אותה, יש כמובן בעיות נפוצות ופגיעות - "אנחנו פשוט מדברים על מחשבים ורשתות בסופו של יום."
ההבדל הגדול בתשתיות הוא שבמקרים רבים הוא בנוי סביב חיישנים ורכיבים קריטיים אחרים שיכולים להיות "ממש ישנים".
"גם פיזית, אך גם באופן בו מערכות אלו נוצרו, פותחו ונפרסו", אמר דנט.
"יש הרבה נקודות תורפה במערכות האלה. ישנם רכיבים קריטיים שקשה להוציא מהשירות כדי לשדרג אותם או להוסיף רכיבים חדשים ובטוחים יותר. ובגלל הדרישה לדיגיטציה יש צורך הולך וגובר בקישוריות מרחוק אשר בתורו מספקת ערוץ לגישה להאקרים - כל צורות הקישוריות מרחוק מהוות סיכון ביטחוני. "
לדברי דנט, אם נצטרך להתמודד עם איומים מסוג זה - והוא הצביע על מתקפת מערכת המים האחרונה בפלורידה - אז צריך לקחת ברצינות רבה יותר את מודל האיומים.
"זה נוטה ללכת לאיבוד במינוחים מורכבים. בסופו של יום כל זה הוא כלי להבנת טוב יותר היכן נמצאים הסיכונים, כיצד יש להתמודד איתם ואלו צריכים לקבל עדיפות.
"דוגמנות יעילה תזהה איומים ותבין טוב יותר את ההשפעה של התקפות אלה. זה נושא מפחיד עבור ארגונים, אבל נושא קריטי. "
לא רק המינוח הוא המרתיע ארגונים אלא העלות ולא באמת יודע מה לעשות, הציע דנט.
עם זאת, דנט הצביע על שיבושים ברשת בארצות הברית שנגרמו על ידי טמפרטורות קפואות בתחילת השנה, בהן מיליוני אנשים בטקסס איבדו את כוחם כדי להדגיש את ההשפעה המשתקת של כל שיבוש ברשת החשמל.
"אמנם זו לא הייתה מתקפת סייבר, אך היה בה סכנת איום והיישום של ניהול איומים נכון היה יכול לזהות את האיום הזה ולאפשר תכנון טוב יותר, עם מערכת תוצאות שונה מאוד."
ביטחון לאומי
לאחרונה צצו חדשות מיפן כי צבא סין חשוד כי הורה להאקרים לתקוף מאות יעדים ביפן, כולל סוכנות החלל במדינה וחברות הקשורות להגנה.
על פי המשטרה, גבר סיני שהשכיר כמה שרתים ביפן השתמש בהם לצורך ההתקפה ותעודת השרתים ותעודות אחרות הועברו לקבוצת האקרים סינית, המכונה "Tick", קבוצת האקרים פרטית שנחשבת לעבוד. בהוראות הרשויות לביטחון לאומי בסין.
"כל סוגי השירותים והארגונים נמצאים בסכנה," הזהיר דנט. "ביליתי שנים בהערכת מערכות אך לא רק פריצה היא איום. אנשים עושים טעויות שמבטלות כל ביטחון שהיה עשוי להיות במקום. "
לדברי דנט, יש לבחון גם את הביטחון הפיזי וגם את המרכיב האנושי.
"ערכתי הערכה על מתקן גרעיני ובעוד שהמערכת הייתה מאובטחת, המתקן בהחלט לא היה - היה חור בגדר המערכת. צריכה להיות גישה הוליסטית בכל הנוגע לאבטחה, אחרת תשאיר את המערכות הקריטיות שלך פגיעות. "
הבינה המלאכותית נתפסת כבעלת תפקיד חשוב בלמידה מהתקפות ואז בהיערכות לקראת העתיד.
"אמנם יש לו תפקיד, אבל אני לא מוכר לגמרי ב- AI ו- ML מבחינת הגנה על מערכות. זה יכול לעזור בהבנה טובה יותר של התקפות ומודע שזה אמנם, זה עדיין משחק ניחוש, "אמר דנט. "התקפות יכולות להיראות לגיטימיות ולכן לא נזהר אותנו בכל פעם, ובעוד ש- AI יכול לשמש לפיתרון בעיות, אני כן חושב שאנחנו צריכים לחזור ליסודות, כלומר, מה האיומים האפשריים, מה יש לי ערך ואיך זה יכול להיות נפגעת, איזו השפעה תהיה להפרת אבטחה - אינך זקוק לאלגוריתמים מורכבים של AI בכדי להבין זאת. "
מבחינת Dant, יתרונות הדיגיטיזציה צריכים להיות מאוזנים עם האבטחה, וכשמדובר בפיתוח מערכות, הנושא לא צריך להיות על תיקונים או חומות אש אלא מלכתחילה על פגיעות בתכנון.
תגובות הממשלה
בארה"ב, לאחרונה השיק ממשל ביידן צוות משימות חירום המורכב ממספר סוכנויות לטיפול במתקפת סייבר אגרסיבית שהשפיעה על מאות אלפי לקוחות מיקרוסופט ברחבי העולם והגיעה על עקבות SolarWinds, סדרה נפרדת של מתקפות מתוחכמות. אשר ממשלות בריטניה וארה"ב ייחסו לרוסיה שהפרו כמאה חברות אמריקאיות ותשע סוכנויות פדרליות.
עם זאת, למרות האיומים הברורים הנשקפים, תוכנית התשתית של הנשיא ביידן בסך 2.25 טריליון דולר אינה כוללת שום כספים להגנה על תשתיות קריטיות מפני מתקפות סייבר, גם כאשר האיום הזה הולך וגדל.
בבריטניה המנכ"לית החדשה של ה- NCSC, לינדי קמרון, הציעה לאחרונה כי היגיינת סייבר בסיסית היא מיומנות חיים חשובה כמו לדעת לחבר תקע - וכי אוריינות דיגיטלית אינה ניתנת למשא ומתן בחדרי הישיבות כמו אוריינות פיננסית.
קמרון אמר כי "אבטחת הסייבר עדיין לא נלקחת ברצינות כפי שהיא צריכה להיות, ופשוט אינה משובצת בחדרי הישיבות בבריטניה", והמשיך ומביא דוגמאות כמו מקרי כופר אחרונים והפשרות של SolarWinds ו- Microsoft Exchange כמראים את הסכנה האמיתית שבה פרצופים בבריטניה.
בסופו של יום צריך להפוך תשתית קריטית למטרה קשה ככל האפשר עבור אלה העלולים לשבש אותה ולהגן על הנתונים שנוצרו ולעבד אותם כראוי, הזהירה.
אולם אם הממשלה והעסקים יתייחסו לכך נותר לראות.