זה לא קרה בוואקום! חברת שירותי המחשוב לעסקיםIT-START  חושפת: השטח המת של אבטחת המידע בעסקים

הנחת העבודה הרווחת היא שאירועי סייבר הם תוצר של תכנון מוקדם, אינטרס ומתקפה של האקר גאון, או השתלת קוד זדוני בסגנון "נקמת היורמים". במבחן המציאות מקורם של מרבית אירועי הסייבר הוא דווקא שחיקה איטית ומתמשכת של מערכות המחשוב ואבטחת המידע, שיוצרת פרצה קוראת לגנב.  

בין הטעויות הנפוצות שמסכנות ארגונים ועסקים:

• חוסר התאמה להיקף הידע הארגוני שהולך וגדל. 

• תפיסה רווחת שמה שעובד לא צריך לתקן.

• מדיניות מגיבה ללא נקיטת יוזמה שמקדימה תרופה למכה. 

• ניהול הרשאות לקוי, אי התאמה של הרשאות לצרכי העובד, שיתוף הרשאות וסיסמאות כתרבות ארגונית. 

• מתן "אמון עיוור" במערכות ללא הקפדה על בדיקות ותחזוקה. 

• הנחה שגויה שעסקים קטנים לא חשופים לפריצות  למידע ולנזקים. 

גיל פוקס, מנכ"ל חברת IT-START ובין המומחים המובילים בישראל להגנה על מידע ואבטחת מערכות, מדגיש שהשטח המת אינו בעיה טכנולוגית אלא תופעה ניהולית. מערכות לא קורסות כי הן מיושנות, אלא כי הן לא מותאמות לצרכים שהשתנו. מנהלים בוחרים בשקט תעשייתי ובמערכות עובדות שמפיקות דו"חות, על פני כניסה לעובי הקורה וחיפוש כשלים וליקויים. 

בעידן הדיגיטל והטכנולוגיה ארגון ללא שירותי IT והגנה על מערכות ומידע הוא כמו רכב שנוסע במהירות מופרזת ללא מראות, ללא ברקסים וללא ביטוח.

השאלה היא לא אם תקרה תאונה אלא מתי ומה הנזק שתותיר מאחוריה.

לא רק בנקים ובתי חולים חשופים לסיכוני סייבר

"בעלי עסקים רבים פשוט לא מבינים למה המידע שלהם צריך להיות מוגן, ומפני מה" חושף גיל פוקס ואף מספק דוגמא: 

אתר ההיכרויות "אטרף" הוא אחת הדוגמאות הבולטות לסיכוני הסייבר אליהם חשוף כל עסק בישראל. 

האתר שנפתח בתחילת שנות ה-2000 זכה להצלחה רבה והפך למפעל חיים ולמוקד הכנסות עבור הצעירים שהקימו אותו. מעבר לאתר היכרויות לקהילה הלהט"בית הוא הציע מנויים בתשלום וכלל מנוע למכירת כרטיסים ולפרסום אירועים לקהילה ונחל הצלחה רבה.  מטבע הדברים האתר הכיל פרטים אישיים לרבות כרטיסי אשראי, תמונות והתכתבויות אינטימיות של אלפי משתמשים, שאוחסנו על גבי שרתים חיצוניים. 

הפריצה למידע על ידי גורמים איראנים נחשפה בשנת 2021, ולא נבעה ממתקפה מתוזמנת ומתוכננת של האקרים בעלי יכולות על, אלא משורה של כשלים מתמשכים בניהול מאגרי המידע ובאבטחתם. 

חקירת הרשות להגנת הפרטיות מצאה עשרות ליקויים שיצרו שטח מת בגודל של מגרש כדורגל: היעדר נהלי אבטחה עדכניים, חוסר במיפוי מסודר של המערכות, בקרה לקויה על הרשאות, היעדר בדיקות תקופתיות כנדרש. 

ההזנחה השקטה שאפשרה את הפריצה ואת הדלפת המידע גרמה נזק בל יתואר הן לבעלי האתר והן לחברת CyberServe שהייתה אחראית על אחסון המידע. האתר נסגר, בעליו נקנסו בסכומי עתק ותביעה ייצוגית נגד חברת האחסון הובילה להסדר פיצוי של מיליוני ₪ לנפגעים. 

השילוש הקדוש של אבטחת המידע בעסק

מרבית בעלי העסקים שנתקלים במקרים כאלה ממהרים להשקיע כסף ולרכוש עוד מערכת שנחשבת למילה האחרונה בתחום אבטחת המידע. ההמלצה של פוקס היא דווקא לעצור ולא למהר להשקיע בעוד מנעול או שער שסופו להיפרץ בסופו של דבר. 

"מערכות המחשוב, המידע והתקשורת בארגון הן מערכות דינמיות, לא משהו שמקימים ומשאירים כל עוד זה עובד. צריך לבדוק ולהכיר את נקודות התורפה של העסק הן בראייה עכשווית והן באמצעות הערכה עתידית. חברת IT START יודעת לזהות את התחומים האפורים, הסיכונים המינוריים שמולידה שגרת העבודה, כשלים שעוברים מתחת לראדר בשטח המת ופוגעים ברמת החוסן של הארגון". 

המודל שמציג פוקס פשוט ליישום ונותן מענה לכל סוגי העסקים וצרכי אבטחת המידע:

1. מיפוי והערכת סיכונים. 

2. הקמת חומות הגנה. 

1. תחזוקה ובקרה. 

"הפתרון שלנו הוא מצד אחד מותאם אישית לכל ארגון ולכל עסק בכל סדר גודל, ומצד שני מובנה מכל שלושת השלבים הללו, שהם מהותיים ובלתי נפרדים". 

הקשר בין שירותי IT מנוהלים להגנה ואבטחת מידע

"עבודה עם שירותי IT מנוהלים על ידי גורמים מקצועיים שמכירים את המערכות היא מודל שמספק צמצום תקלות מחשוב ומערכות בעסק, מענה מידי לתקלות מרחוק, הגעת טכנאי במקרה הצורך, ומעטפת שירותים שכבר מתחילת הדרך מצמצמת את אותם שטחים מתים במערכות ההגנה והאבטחה של הארגון" מסביר גיל פוקס ומפרט: 

"השירות אינו מסתכם בתגובה לתקלות ולבעיות, כי אם באמצעות הקמה וחיזוק של חומות אש ואבטחת מידע, ביצוע בקרות שוטפות, זיהוי מוקדם של ליקויים וניסיונות חדירה, ניהול שוטף של הרשאות, גיבוי מידע על גבי ענן פרטי ושירותים נוספים". 

מערכות המחשוב בעסק הם חלק בלתי נפרד מהעבודה היום יומית וכלי לניהול נכון ולהצלחה. לצד זאת, ללא ניהול נכון והקפדה על מערכות אבטחה הן עשויות להפוך לנקודת תורפה משמעותית.  

 שירותי IT והגנה שוטפת על המידע מסייעים הן בייעול העבודה ובצמצום עלויות בטווח הקצר, והן בהפחתת סיכונים והגנה על הלקוחות, המוניטין ויציבות העסק לטווח הארוך

---