איפה אנחנו נכשלים בטיפול באירועי סייבר? 4 תחזיות לשנת 2018
לאן הולך עולם אבטחת המידע? כיצד יתמודדו ארגונים עם איום הסייבר הגואה? להלן 4 תחזיות לשנת 2018 טור מיוחד של יובל כהן סמנכ"ל אבטחת המידע בחברת ServiceNow העולמית
איומי אבטחת מידע ומתקפות הסייבר של 2017 הציבו סטנדרטים חדשים בכל הנוגע לגניבת מידע אישי: מאירוע ה- WannaCry ועד אירוע ה- Petya, רשימת תקיפות הסייבר המתוחכמות מתארכת מדי יום כל זאת כשבמהלך השנה האחרונה מתקפות אלו פגעו במאות מליוני אנשים ברחבי העולם.
המשימה להגן על המידע, לנטר ולהגיב לתקיפות סייבר רלוונטית לכל סוגי המערכות, העסקים והחברות, מרשתות מערכות מידע ומחסני נתונים ועד למערכות תשלום ומכשירים מחוברים, מבוססי אינטרנט של הדברים (IoT).
במהלך 10 השנים האחרונות כמות הסטארטאפים והחברות שצמחו בתחום הגנת הסייבר היא עצומה, ובמיוחד בישראל עם למעלה מ- 400 סטארטאפים בתחום זה. כל המוצרים והתוכנות הללו אמנם מסייעים לארגונים לשרוד את היומיום ולהגן על המערכות שלהם אולם, יחד עם זה, האזור המוזנח ביותר הוא דווקא זה הנתון לשליטתינו המלאה - ניהול כושר התגובה שלנו. ב- 2018 התקיפות רק יהפכו למורכבות יותר ומהירות יותר, השאלה היא האם הארגונים ילמדו כיצד לדייק ולזקק את התגובות שלהן כלפי איומי הסייבר?
1. תהליכי הניטור והתחקור של תקיפות הסייבר יתבצעו באופן אוטומטי
צוותי הגנת המידע בארגונים מתלבטים לגבי כל אירוע סייבר - האם להגיב לו אם לאו. ארגונים רבים משתמשים בעשרות כלי אבטחת מידע אשר מייצרים כמויות עצומות של התראות אל שולחנם של מומחי אבטחת המידע בארגון. אלה מבלים שעות על גבי שעות בניתוח האירועים ולבסוף מגלים כי חלק ניכר מעבודתם היה לשוא. לכן, ב- 2018 ארגונים יתחילו להשקיע באוטומציה של תהליכי ניטור וניתוח של אירועי אבטחת מידע. חברות שיטמיעו התנהגות ארגונית מתאימה ויצטיידו בכלי אוטומציה מתאימים יציגו ביצועים טובים יותר מן המתחרות. דיווח על אירועי אבטחת מידע יהווה חלק מרכזי מן הדיווח העסקי היומיומי. החברות יוכלו לתעדף תהליכי אבטחת מידע ולמדוד התקדמות. האוטומציה אף תסייע לקבל החלטות בכל הנוגע לתיקון וטילוא פרצות אבטחה במערכות השונות. כושר התגובה כלפי מתקפות פישינג יבוא לכלל יישום תוך דקות ספורות, זאת לעומת ימים אחדים היום, וישפר לא רק את התוצאות אלא גם את גאוות היחידה של צוותי הסייבר בארגון. מערכות ניהול אוטומטיות יביאו את הקץ על תהליכי מחקר ידני סיזיפיים וישאירו בידי מומחי הסייבר די זמן להתמקד בפרוייקטי אבטחת מידע אסטרטגים.
2. אסטרטגיות אבטחת מידע יעמדו על סדר היום של הדירקטוריון
תוכניות אסטרטגיות לאבטחת מידע מקטינות את הסיכון ואת החשיפה - זה מובן מאליו. על מנת שתוכניות כאלה יבנו וילקחו בחשבון, צוותי אבטחת המידע והסייבר בארגון ידרשו לתעדף אירועי סייבר במהירות גבוהה יותר, להבין כיצד הם עומדים לפגוע בעסקי הארגון - ואת כל זה לשלב באסטרטגיה העסקית של הארגון. לשם כך, מנהלי אבטחת מידע ידרשו להציג בפני הדירקטוריון נתונים הנוגעים להחזר על ההשקעה (ROI), רמת הסיכון לעומת הערך העסקי לארגון.
תחום אבטחת המידע הארגוני יעבור פאזה - ממרכיב חיוני לבלימה, ניהול וטיפול בסיכוני סייבר ל- Game Changer עסקי, אשר ישפיע על השורה התחתונה של הארגון. תוכנית סייבר אסטרטגית, עד מהרה תיכנס ותשפיע על כל אספקט בארגון, אבל בראש וראשונה תשפיע על עמידה בדרישות הרגולציה, מניעת אובדן הכנסות, שמירה על מערכת היחסים עם הלקוחות, עמידה בחוקיות משפטית, הובלה ויתרון יחסי לעומת המתחרים, הגנה על זכויות יוצרים, נאמנות לבעלי מניות והגנה על מוניטין המותג. כדי שכל זה יקרה, בצורה הקלה ביותר, הדירקטוריון וצוותי ה- IT יצטרכו ללכת זה לקראת זה. גישור על פערי הידע יספק מסגרת מתאימה להבטחת אסטרטגית אבטחת מידע אפקטיבית, הערכת סיכונים וקבלת החלטות אולטימטיבית.
3. פריצות הסייבר יעלו כיתה: מגניבת מידע אישי לפגיעה פיזית
עד היום התרגלנו בעיקר לפריצות סייבר הפוגעות קודם כל במידע. אולם גניבת פרטי כרטיס אשראי, פריצה לתיק רפואי או גניבה של מידע אישי הם אירועים כואבים והרי אסון אך אינם גורמים לפגיעה פיזית בקורבנות. ב- 2018 נראה תקיפות שישפיעו על החיים האישים ועל המצב הפיזי שלנו. תקיפת מכשור רפואי או מיחשוב לביש, פגיעה בתשתיות לאומיות או במכונות תעשייתיות מחוברות, או פגיעה במערכת המחשוב של המכונית הפרטית או של המקרר בבית יוכלו להסתיים בפגיעה פיזית עד כדי אובדן חיים.
4. האיחוד האירופי יעניש חברות אשר יפרו את נהלי ה- GDPR
החל מה- 25 למאי 2018 ה- GDPR (General Data Protection Regulation) יכנס לתוקף. GDPR יספק מסגרת חוקית בכל הנוגע להגנה על המידע עבור חברי האיחוד האירופי. אולם בזמן שהרגולציה תגן על מדינות האיחוד האירופי, היא תשפיע גם על ארגונים ברחבי העולם. כל חברה גלובלית המשרתת לקוח או עובד באיחוד האירופי תהיה אחראית לבצע את תהליכי אחסון וההגנה על המידע, בהתאם להנחיות ה- GDPR אחרת תיקנס, כאשר הסכום המקסימלי יגיע לכדי 20 מיליון אירו, או 4% מההכנסות השנתיות של החברה, הגדול מבינהם.
עוד יש מקום להניח, כי האיחוד האירופי יקח את אחד המקרים הראשונים של הפרת הרגולוציה כמקרה לדוגמא, וידרוש קנסות אסטרונומים, למען יראו וייראו. ברגע שסיפור כזה יקבל חשיפה תקשורתית יש מקום לקוות כי ארגונים ברחבי העולם יזדרזו להטמיע ולפעול בהתאם להנחיות ה- GDPR.