מה ארגון צריך לעשות כדי להישאר מוגן מתקיפת סייבר?

מתקפות סייבר הן לא נושא חדש, אבל נדמה שהוא לא יורד מסדר היום בארץ ובעולם. בשיחה עם גלובס, מדברים משה אסרף, מנהל פיתוח עסקי לפתרונות תקשורת ואבטחת מידע ב-Vmware; ולב אנדלמן, סמנכ"ל טכנולוגיות ב-TeraSky על שאלות אבטחת המידע שנוגעות לכל הארגונים, ומה אפשר לעשות כדי להתגונן ממתקפות כאלה?

"כל ארגון למעשה הוא חשוף. הנושא של אבטח מידע הופך להיות מרכיב מהותי ומשמעותי בפעילות העסקית של כל ארגון, בטח חברות ציבוריות וממשלות", אומר משה אסרף.

"יש דוח של הלמ"ס ומערך הסייבר הלאומי שבו רשום ש-1 מ-5 מכל העסקים חווה תקיפת סייבר. אבל אני חושב שרק אחד מחמישה יודעים שיש תקיפות סייבר. יש הרבה חברות שלא יודעות שהן מותקפות: חברות באות אלינו עם תלונות על בעיית ביצועים, ואנחנו באים ומגלים שיש איזה קריפטומיינר, שכורה על חשבון החברה. זה שהם לא קמו ביום ירושלים וגילו שהאתר הושחת, לא אומר שהם לא נפרצו", אומר לב אנדלמן.

" המודעות לנושא קפצה בזמן האחרון", אומר אסרף, "למנהל אבטחת מידע כיום יותר פשוט להסביר לארגון את המשמעות של התפקיד שלו". לפי אנדלמן, "יש הבנה שהעולם של אבטחת מידע לא חל על מישהו אחד, אלא על כל הארגון, ומנהל אבטחת המידע רק מתווה את המדיניות". אסרף מוסיף ש"אתה חזק כמו החוליה החלשה שלך - לכן יש חשיבות לכל חלק בארגון".

נתון אחר מהלמ"ס מדבר על כך שמתוך העסקים שדיווחו על תקיפה, רק כחמישית דיווחו על נזק שנגרם. אך אנדלמן אומר ש"פריצה שלא עשתה נזק זה "ווישפול ת'ינקינג". אולי הם נשארים לעשות משהו בעתיד. אולי לקחו סיסמא של מישהו ורשמו על שמו מלא שרתים. הם בוודאות עושים משהו".

עד כמה צריך שהעובדים בחברה להיות בעלי מודעות לתחומי הסייבר?
אנדלמן: "זה סופר קריטי. יש האקר מאוד מפורסם, שמספר שחלק מהשיטות שלו כללו דברים שלא קשורים למחשוב - הוא היה מחכה שאנשים יסיימו לעשן ואז נכנס איתם לתוך המשרדים. נכנס לפח הזבל ומחפש דברים שקשורים לסיסמאות. השיחה על אבטחת מידע חשובה לכולם".

"כל אחד הוא שותף לעולם אבטחת המידע. אפילו אנשים לא מהחברה, אלא צד שלישי בשרשרת האספקה - איזה קבלן משנה או אפליקציה אחרת שאתה משתמש בה. בעולם אבטחת המידע, אתה חייב להיות ערני. איפה שתתן את המרווח, מישהו יכנס לארגון ויפגע בך", מוסיף אסרף.

אסרף מציין שהמטרה של מנהל אבטחת המידע הוא ליצור מערך שיאפשר גמישות לחברה תוך כדי שמירה על האבטחה: "אבטחת המידע חייבת לאפשר לארגון לעבוד, ועדיין לתת את היכולת להגן על עצמו. ככל שהפתרון יהיה יותר אוטומטי ויאפשר לארגון להיות גמיש, וככה אנשי אבטחת המידע ידעו שהם עושים את העבודה הטובה. זה לא משהו שאתה עושה פעם אחת וזהו".

בסופו של דבר, לשאלה מה ארגון צריך לעשות כדי להישאר מוגן, אומר אסרף ש"ארגון צריך לקום בבוקר ולשאול את עצמו "האם אני מוגן", ואז להבין על מה אני צריך להגן ואיך להגן עליו . להבין את הסיכונים הקיימים, לתת להם מענה, ואז ללכת ולבצע מהלכים שיתרמו לאבטחת המידע".

*** גילוי מלא: סדרת "תוכנית עבודה - ניהול וכלי עבודה בעולם טכנולוגי" מתקיימת בחסות החברות VMware ו-Terasky.