ניהול סיכונים כולל וניהול סיכוני טכנולוגיית המידע

בשנים האחרונות ובעיקר מאז רגולציית בזל II (רגולציה לניהול סיכונים לתאגידים בנקאיים) שמציפה את המונח "סיכונים תפעוליים" מתחילה לפרוח מתודולוגיה החורטת על דגלה את המונח "ניהול כולל של הסיכונים בארגון" – Organizational Risk Management.
ישנם הרבה סיכונים לנהל בארגון. לדוגמה: סיכונים אסטרטגיים (קשורים להליכי קבלת החלטות על ניהול פעילויות הארגון), סיכונים טקטיים (קשורים לאופן שבו מממשים את הפעילויות הארגוניות), סיכונים תפעוליים (קשורים לאופן שבו מבוצעים או לא מבוצעים תהליכי עבודה), סיכונים פיננסיים (קשורים לאי התאמה בין כמות וזמינות מקורות כספיים לצורכי הארגון ולפעילויות שאינן נאותות בכספי הארגון), סיכונים משפטיים (קשורים להיעדר יכולת אכיפה של זכויות משפטיות), סיכוני ציות (קשורים לאי יכולת ציות לחוק/רגולציה), סיכון סקטוריאלי (במגזר רפואי – סיכוני רשלנות רפואית לדוגמה, במגזר האנרגיה – אי יכולת לספק את השירות או המוצר) וכך הלאה.
מה קורה עם סיכוני השימוש בטכנולוגיית המידע?
ובכן לכאורה, מאז בזל II סיכוני טכנולוגיית המידע כלולים בסיכונים תפעוליים. מדוע?
הגדרת סיכון תפעולי: "הסיכון שבהפסד הנובע מכישלון או אי התאמה של תהליכים פנימיים, אנשים או מערכות, או מאירועים חיצוניים".
מערך טכנולוגיית המידע מורכב ממערכות (חומרות ותוכנות טכנולוגיית המידע למיניהן), אנשים, ותהליכי העבודה אשר אותם מפעילים אנשים על אותן המערכות או שהמערכות מפעילות זו על זו. מאחר ועפ"י ההגדרה לעיל, טכנולוגיית המידע הינה לא יותר ממקרה פרטי של סיכון תפעולי, אזי בשיטת "הכל כבר כלול" לא צריך להתעמק באופן ייחודי ב"דבר הזה" שנקרא בשם טכנולוגיית המידע, הכל כבר מסודר תחת העולם הקסום של "הסיכונים התפעוליים".
ואז באה המציאות ומראה לנו שלא כך הם פני הדברים. מדוע?
אני מונה שתי סיבות ואתחיל מהקלה יותר:
כל הסיכונים כולם מתממשים רק בטכנולוגיית המידע או גם בטכנולוגיית המידע.
ככל שאנו מתקדמים על סרגל הזמן, כל הפעילויות החל מהטריוויאליות ביותר, כמו לוח הזמנים שלי, ועד לרמה האסטרטגית הכל מצוי שם בתוך טכנולוגיית המידע. על כן, סיכון יהיה זה משפטי, פיננסי, ואפילו אסטרטגי, קשור באופן זה או אחר ל"דבר הזה" שאנו רוצים להתעלם ממנו ולהחביא אותו בתוך קופסא אחרת. כן, גם הסיכון האסטרטגי אותו סופרלטיב, תהליך קבלת ההחלטות הרות הגורל, איך יתבצע ללא מערכות ה-BI וה-BIG DATA? כך שללא שמירת הסודיות, השלמות והאמינות, הזמינות והשרידות, ההתאמה לצורכי הארגון, הסקלביליות ועוד לא מעט נושאים שמיוחסים לסיכוני טכנולוגיית המידע הם התשתית למימושם של הסיכונים האחרים.
הסיבה השנייה היא היא הגורם שלדעתי לא ניתן לחבר את עולם סיכוני טכנולוגיית המידע לשום עולם סיכונים אחר. לטוב ולרע דרך אגב.
מהו היום רכיב טיפוסי שהולך וכובש את מקומם של שאר הרכיבים? הסמארטפון. כן, איזה שם חיבה לרכיב שמתאים לכיס, הכולל מחשב וטלפון סלולרי ועוד מיני מינים של גאדג'טים.
קשה להאמין, אך הרכיב התמים לכאורה הוא חרב פיפיות. מצד אחד משמש את בעליו לצרכיו, ובה בעת עלול לשמש מאן דהוא שיחדיר לתוכו קוד עוין לצרכים אחרים לחלוטין, בעוד בעליו של הסמארטפון החביב כלל איננו מודע שמה שהוא נושא בכיסו או בתיקו הינו כלי נשק שעלול להיות מופעל נגדו או נגד בני משפחתו או נגד, השד יודע מי.
יאמרו לי: גם מכונית היא צעצוע מסוכן. נכון הדבר, אלא שהמסוכנות ברוב רובם של המקרים נובעת מהאופן שבו הנוהג בה משתמש בצעצוע שקרוי מכונית ולא במהותה של המכונית.
מסוכנותם המובנית, המהותית של רכיבי טכנולוגיית המידע איננה נגזרת מהתנהגות המשתמש בהם, אלא מהעובדה שלא תוכננו כלל להתמודד עם היכולת להשתמש בהם למטרות שונות בתכלית, כמו לדוגמה: כתיבת קוד שמטרתו הצגת מצגת וכתיבת קוד שהוא קוד עוין (לדוגמה וירוס), שליחת דואר אלקטרוני לחבר ומשלוח דואר אלקטרוני שהוא ספאם או נועד לפתות אותי למסור מס' כרטיס אשראי לגורם עוין (דוגמה לפישינג), גלישה באתרי רשתות חברתיות או שימוש ברכיב כחלק מצבא מחשבים עוינים (BOTNET).
ההיפך הוא הנכון, רכיבי טכנולוגיית המידע נבנו בדיוק למטרה של שימוש מגוון. ההוכחה היא שהשימוש בהם הינו בכל תחומי החיים, בלא שנצטרך לשנות דבר ברכיב גופו. בואו נזכור, המחשבים האישיים הראשונים נבנו על מנת שניתן יהיה לשחק באמצעותם משחקים. אח"כ בא יישום הגיליון האלקטרוני לוטוס 1-2-3 והשאר היסטוריה.
מי העלה על דעתו שמחשבים אלו יהיו בכיסו של כל אדם?
מי מסוגל היה לחשוב באותה העת שהיצירתיות המופלאה הזו, המחשב האישי ידרוש מאתנו כעבור לא יותר מעשרות ספורות של שנים התמודדות להגנת תשתיות חיוניות, סיכון לקריסת מערכות שבשימוש יומיומי כמו בנקאות, בריאות, תקשורת וכד'?
זו מציאות חדשה. המחשב האישי שמתורגם כעת לסמארטפון, מחשב לוח, מחשב נייד, ועושר עצום של מגוון סוגי רכיבי טכנולוגיית המידע הינו רכיב רב שימושי, התועלות בשימוש בו רבות מספור וכך גם הסיכונים שנלווים לכך.
אין לכך אח ורע בכל עולם ניהול הסיכונים הסובב אותנו.
תקנו אותי עם אני טועה.
תעיזו ללכת עוד צעד אחד יחד איתי? אז הנה...
בכנס RSA בתחילת חודש מרץ בסן פרנציסקו, התקיים פנל שכותרתו:

Risk Management smackdown II: The wrath of Kuhn

בפנל הועלו דעות מדעות שונות, כאשר ניתן למצוא אחדות מהן בקישור הבא:

http://www.readwriteweb.com/enterprise/2012/03/invasion-of-the-risk-managers.php

בין המשתתפים בפנל זה היה גם Bob Blakely, שהינו סגן נשיא וחוקר מכובד בחברת גרטנר. הוא הגיע לפנל זה לבוש בהתאם לתפקיד שנטל על עצמו, תפקיד השטן.
הציטוט שלהלן לקוח מהקישור הנ"ל. אני מקווה שהוא מדויק, כיוון שהוא פרובוקטיבי למדי ולצערי לא מצאתי במרשתת שפנל זה קיים לשמיעה. סדר היום של הכנס ראו בקישור להלן:

https://ae.rsaconference.com/US12/scheduler/eventcatalog/eventCatalog.do

לדבריו, ניהול סיכונים איננו רע, הוא זדוני, והוא למעשה אויב האבטחה. וואו....

Risk management is not bad, its evil, and it's actually the enemy of security.

צודק או טועה האדון בוב בלייקלי?
אולי נאמרו דבריו רק על מנת לעורר דיון, להעיר מוחות רדומים מתרדמתם...?

דעתי היא שבנקודת הזמן הזו, ניהול מושכל של סיכוני טכנולוגיית המידע הינו עדיין תהליך בהתהוות ומטרת העוסקים בו למצוא מענה הולם.

עדיף שנמשיך לחפש את המענה במקום להחביא את הבעיה תחת המעטה המעורפל של "ניהול סיכונים כולל".

חג שמח.

לקראת הפסח – מה השתנה בניהול סיכוני טכנולוגיית המידע הרבה וכלום

פוסט זה יתייחס לשני מחקרים המתפרסמים זמן קצר לפני הפסח.
פסח, זמן טוב לרענן את המחשבה, מעבדות לחירות נאמר, אז גם של חשיבה.
אז מה היה לנו?
1. דוח שנתי של חברת וריזון הנושא את הכותרת: Verizon report on data breaches
2. מחקר קרימינולוגי מיהם פושעי המחשב. הקרימינולוג דר' מיכאל מקגוויר מהאוניברסיטה העירונית של לונדון וצוותו מציגים נתונים מעניינים ו"שוחטי פרות קדושות" בעניין זה. האומנם? המחקר מומן בידי חברת BAE systems Detica וכותרתו: Organized Crime In the Digital Age
הדוח של חברת וריזון אומר בלשון שאיננה משתמעת לשתי פנים: שכחנו את השיעור הראשון. כלומר, ארגונים שוכחים שהגנת המידע איננה מתחילה באמצעי אבטחה מתקדמים אלא ב-א. וכך לדבריהם רובם המכריע (מעל 90%) של מאות רבות של אירועי פריצה למערכות שנחקרו על ידם נגרמו כתוצאה של רשלנות, חוסר ידע מקצועי או טעויות פשוטות ולא דרשו מהפורצים רמה מקצועית גבוהה על מנת לפרוץ למערכות טכנולוגיית המידע הארגוניות. שורה תחתונה, השקעה יחסית קטנה הייתה מונעת אותם.
המחקר של הקרימינולוג מציג תמונה שבה הפשע המאורגן הפיזי והמיחשובי מתאחדים.
שלושה יסודות הבונים את העידן הנוכחי של הפשיעה הדיגיטלית הינם:
א. מי העוסקים בכך? התשובה היא שבקרוב ל-50% מהמקרים, זהו אדם מעל גיל 35 ופחות משליש הינם בני פחות מ-25.
ב. מה יכולותיהם? רובם אינם בעלי ידע מקצועי עמוק בתחום טכנולוגיית המידע.
ג. זה מצליח. ועוד איך מצליח.
מה הולך פה? הרי מספרים לנו השכם והערב שהאקרים זה חבר'ה צעירים, מומחי טכנולוגיית מידע והנה פה מדובר בתמונה הפוכה.
הסיבה היא פשוטה. הפשיעה הדיגיטלית (הממוחשבת) הפכה לפס ייצור של כלי תוכנה זמינים לרכישה באמצעות האינטרנט. חלק נכבד מהפשיעה מתבצעת על בסיס מודלים כלכליים שפותחו על מנת לשרת את עולם הסחר האלקטרוני המודרני והפשיעה הדיגיטלית "עלתה על הגל" ומצאה את מקומה באותם השיטות, רק למטרות "קצת" אחרות...
למה זה מצליח?
כי רכיבי טכנולוגיית המידע המצויים בידינו מלאים בכשלים הניתנים לניצול (פגיעויות), או לחילופין, ראה הדוח של וריזון בחלק הראשון של הפוסט...
קיצורו של דבר, חברת המידע והשפע המודרנית צריכה לתת לעצמה דין וחשבון.
המענה הינו ביצירת תהליכי אכיפה ושילוב ידע טכנולוגי בחדירה לעולם הפשע הדיגיטלי לצמצומו באופן פרואקטיבי ולא רק בשימוש בשיטות הגנתיות תגובתיות קלאסיות.
מהעבר השני, נדרש כי תשתיות טכנולוגיות המידע החל מייצורן וכלה בשימוש השוטף בהן יזכו לקבל את תשומות האבטחה הנדרשות.

נדרשת תפישה חדשה על מנת לאפשר המשך השימוש בטכנולוגיית המידע

טכנולוגיית המידע שבה אנו משתמשים בבית, במשרד, בצבא, בבית החולים, בכל מקום מצויה תחת מתקפה 24x7x365. טכנולוגיית המידע ואנו כיוצריה ומשתמשיה, מצויים אם כך במלחמה. במלחמה מחפשים נצחון. לכל הפחות לא להפסיד. לכותב שורות אלה לא נראה שאנו מנצחים בה. האם אנו מפסידים? נראה שבשלב זה אנו שורדים איכשהוא, לא יותר מכך.

השאלה הינה האם יש לשנות את ההיערכות שלנו על מנת להשיג נצחון? אולי צריך רק עוד קצת (אולי קצת הרבה קצת) כסף והכל יבוא על מקומו בשלום?
בפוסט זה אני אנסה לקשר בין מספר התבטאויות שאני לוקח איתי כבר יותר משנה. לקראת סופו, מספר הערות הבהרה המציגות גישות שיש לנקוט בהן כאבני בניין לתפישה החדשה.
נתחיל מהסוף ונלך אחורנית להתחלה. זה איננו מקרי.
המסקנה הראשונה שלי היא שיש לבסס את התורה החדשה על חשיבה "מהסוף להתחלה":
להתחיל מהסוף, דהיינו, מהו היעד העתידי (מה אנחנו רוצים שיקרה, ומנקודה זו להתייחס כאילו היעד כבר הושג) עכשיו בוא נתכנן מה נדרש לעשות מהיום ועד להשגת היעד, כדי שהוא באמת יושג.

ב-3 במרץ, כותבת אלינור מוריס מאמר ב-CNET שכותרתו:

Why the Security Industry never actually makes us secure

http://news.cnet.com/8301-27080_3-57389046-245/why-the-security-industry-never-actually-makes-us-secure/

כותרת חלופית לטעמי לכתבה (או בכלל למצב של תעשיית אבטחת המידע) הינה "יורים ובוכים". כלומר, רואים את המצב, מבינים שתעשיית האבטחה לא באמת מספקת את הסחורה, אבל מה לעשות, זה היה, זה הווה וזה כנראה גם מה שיהיה, אז בואו נמשיך לעשות עוד מאותו הדבר...
לסיכום מציגה הכתבת את דבריו של אחד מחשובי הגורואים של אבטחת מידע בימינו, מנהל אבטחת המידע של בריטיש טלקום, ברוס שנייר, "בדומה לזיהום סביבתי, אירועי אבטחת מידע הינם משהו שכל אחד בפוטנציה תורם להם וסובל מהם בה בעת. זהו חוסר מיתאם יסודי אשר כוחות השוק לבדם אינם מסוגלים להתגבר עליו ללא התערבות של הממשלות".
ב-21 בפברואר, שבועיים לפני, מפרסם David Lacey בבלוג שלו פוסט שכותרתו:

The Wrong type of loop
http://www.computerweekly.com/blogs/david_lacey/2012/02/the_wrong_type_of_loop.html

כוונתו, המעגל היסודי של ניהול אבטחת המידע כפי שבא לידי ביטוי בתקן לניהול אבטחת המידע 27002, המעגל המתואר ברצף הפעילויות:

PLAN – DO – CHECK - ACT

איננו מתאים לאבטחת מידע.
לפני שאמשיך, מספר מילים על David Lacey, כדי להבין מדוע יש לקחת את אמירותיו בהתייחס לתקן זה ברצינות.
David Lacey הינו אחד מאבותיו של תקן אבטחת המידע 27001/27002.
תקן זה תחילתו במסיבת עתונאים ב-30 בספטמבר 1993 בחברת של הבריטית.
ראו קישור:

Historical records from the birth of BS7799

http://www.computerweekly.com/blogs/david_lacey/2009/04/historical_records_from_the_bi.html

לפני למעלה משנה, בחודש ינואר 2011, הוא יוצא באמירה פרובוקטיבית:

Security: Best practice or ancient ritual?

Time to scrap ISO 27002 security standard says its author

http://www.computerworlduk.com/in-depth/security/3256436/security-best-practice-or-ancient-ritual/

אינני יודע אם זו הפעם הראשונה שהוא חושב כך, אבל ישנו קו ברור המתוח בין אמירתו לפני 14 חודש והאמירה הנוכחית: לדעתו, אנו שבויים בקונספט מוטעה.
האמירה הנוכחית מתייחסת למעגל הניהולי המהותי שב-27000 (החולק אותו עם שני תקני ניהול נוספים: תקן אבטחת האיכות ISO-9001, ותקן איכות הסביבה ISO-14001) שעיקרו: PLAN – DO – CHECK - ACT

לדברי דויד, מהלך זה מתורגם באופן מעשי למעגל שמבוסס על תכנון תקציב שנתי. לדעתו, זהו מהלך איטי, איטי מדי. את התוצאות נמצא בעיתונות. ארגונים רבים וגדולים שנפגעו בשנת 2011 היו מוסמכים לתקן בעת שנפרצו.

לדוגמה, חברת סוני היא יפנית ומוסמכת לתקן בעת שנפרצה. דרך אגב, החדירה המאסיבית ביותר של התקן הינה ב...יפן. מה זה אומר על התקן? על יפן? על סוני? ואולי זה לא אומר כלום?
על פי מידע הקיים במרשתת (מרשתת, המילה העברית לאינטרנט) תקן 27001/27002 יעודכן במהלך שנת 2013. מה יכלול העדכון? יתווספו בקרות, יבוטלו בקרות. יבוצע איזשהוא "פריש-מיש" סמנטי כדי שהתקן יחלוק תפישה ניהולית וטקסטואלית אחידה עם בין 8 ל-12 תקנים נוספים, ולא רק שניים כפי שהמצב היום.
האם במסגרת מהלך זה יבוטל גם ה- PLAN – DO – CHECK – ACT. ימים יגידו.
בנתיים, מה החלופה המוצעת ע"י David Lacey?
לחלופה ראשי התיבות OODA, עבור: OBSERVE – ORIENT – DECIDE - ACT
רעיון זה פותח ע"י קצין בחיל האוויר האמריקאני בשם ג'ון בויד ומתאר (בין היתר) את האסטרטגיה של השגת נצחון בקרבות אוויר. ההשראה למעגל זה היתה האתגרים שהוצבו להפעלת הכוח האווירי האמריקני במלחמת וויטנאם.
לא אכנס כאן לדיון מהו בדיוק OODA והאם הוא הפתרון המתאים? הנכון? מה שחשוב לי להדגיש שבמקום "לעשות יותר מאותו הדבר"... (וזה בבירור לא עונה על הציפיות) צריך וחיוני לחשוב על מה צריך לעשות אחרת! (וגם מה לא צריך לעשות אחרת).
OODA בהיותה אסטרטגיה לקרבות אויר בהכרח טומנת בחובה תפישה של מהירות תגובה. יתר על כן, איך מנצחים בקרב אוויר? אחת הדרכים הינה להקדים את האויב, "להתלבש על תהליך ה-OODA" של היריב, ולחתוך אותו. מי שרוצה דוגמה, שילך ויראה שוב את הסרט : TOP GUN (אהבה בשחקים).
מספר הערות להבהרה, על מנת למנוע טעויות ואי הבנה ולהסביר מהן לדעתי אבני בניין לתפישה החדשה:
1. אינני מציע לזרוק את תקן אבטחת מידע 27002/27001 וסדרת התקנים הנלווית. ההיפך הוא הנכון. הסמכה לתקן הינה תהליך נכון, אבל "לא באופן עיוור". חובה לקרוא ולהבין את 27002. זו התורה האבטחתית, שם כתוב "למה התכוון ISO". אח"כ יש להפעיל שיקול דעת מקצועי וניהולי, לשלב את הרגולציות הרלוונטיות שמספקות תקדימים, לבצע את ההתאמות הארגוניות ועיקר העיקרים, להפעיל את הראש. לחשוב. לחשוב. לחשוב.
כיוון נכון ש-ISO נוקט הינו להוסיף תקנים מגזריים. כיום ישנם כבר שני תקנים מגזריים: 27011 למגזר התקשורת, ו-27799 למגזר הבריאות. תקן מגזרי שלישי למגזר הפיננסי (27015) נמצא בהכנה. תקינה מגזרית ממקדת דרישות מותאמות למגזר ומחייבת את יישומם, דהיינו, מצמצמת את מרחב חופש הפעולה של הארגונים במגזר לבחור שלא ליישם בקרה ספציפית. התקן הכללי, 27001 מספק חופש בחירה רחב מדי לארגון.
דוגמאות לשילוב רגולציות רלוונטיות:
א. הוראת ניהול בנקאי תקין 357 של בנק ישראל בעניין "ניהולה התקין של טכנולוגיית המידע" וההוראה לניהול סיכוני אבטחת מידע מטעם המפקח על הביטוח באגף שוק ההון במשרד האוצר מספקות לנו מענים לגבי (בין היתר) מספר סוגיות:
(1) חובת מינוי מנהל אבטחת מידע בכפיפות ישירה לחבר הנהלה (כל חבר הנהלה כולל מנהל מערכות המידע במידה והוא חבר הנהלה כמובן),
(2) חובת ביצוע סקר הערכת סיכונים למערך טכנולוגיית המידע כולו. בעקבותיו נדרש תכנון וביצוע סקרי סיכונים למערך זה וביצוע מבדקי חדירה מבוקרים ע"י חברות חיצוניות בעלות ידע ויכולת מקצועית בלבד,
(3) הצגת דרישות מינימום הכרחיות למתן גישה ללקוחות למערכות המידע וביצוע שאילתות לקבלת מידע ופעולות פיננסיות בחשבונותיהם, לדוגמה תוך כדי עשיית שימוש באינטרנט ("בנקאות בתקשורת"),
(4) התייחסות לדרישות בנוגע למיקור חוץ, לגיבוי והתאוששות.
ב. הנחיות הרשות למשפט טכנולוגיה ומידע (רמו"ט) אשר בשלוש השנים האחרונות החלה לייצר סדרת הנחיות (ובקנה גם שינוי חוק הגנת הפרטיות והוצאת צו המעדכן את דרישות אבטחת המידע למידע זה) בכל הנוגע לאבטחתו של מידע אישי המוגן עפ"י החוק והתקנות להגנת הפרטיות. הנחיות הנגישות לכלל באמצעות אתר האינטרנט של הרשות.
ג. פעילות משמעותית במגזר הבריאות שבוצעה במהלך השנים האחרונות ע"י מר איציק כוכב, ממונה הגנת המידע בשירותי בריאות כללית, ואשר כוללת הנחיות מפורטות להגנת מידע בתהליכי העבודה המורכבים והמגוונים בקופת חולים ובבתי חולים.
ד. תקן PCI-DSS מטעם חברות כרטיסי האשראי הקובע דרישות טכנולוגיות במידה ובארגון נאגר, מעובד או מועבר בתקשות מספר כרטיס האשראי.
הדוגמאות הללו (ויש נוספות) מספקות תשתית, תקדימים, מידע מקצועי תומך, תקראו לזה איך שנוח לכם, אבל בשורה התחתונה, יש הרבה ממה ללמוד, לא כל דבר צריך להמציא מהתחלה.

2. בה בעת נדרש שינוי גישה בהתייחסות לנושא האיומים, הסיכונים והמענה להם. ויסלחו לי כולם. זה לא להגיד CYBER במקום אבטחת מידע. נקודת מוצא חייבת להיות שמערך טכנולוגיית המידע (טכנולוגיית מידע כוללת גם את המרכיבים הטכנולוגיים של אבטחת המידע. נא לזכור זאת!) מותקף כל העת, 24x7x365.
מערך טכנולוגיית המידע מספק:
א. לפרט, תשתית לפעילויתיו הפרטיות. לדוגמה: גלישה באינטרנט, משלוח דוא"ל.
ב. לארגון, תשתית לפעילות הארגונית. לדוגמה: מערכות מידע בהתאם לשיוך מגזרי.
ג. למדינה, תשתית לפעילויותיה כמדינה. לדוגמה: מערך ממשל זמין, מערכת מרכבה.
בה בעת, אותו מערך מספק את התשתית לביצועה של הפעילות העויינת כנגדו או כנגד הפרט, הארגון או המדינה או כל צירוף אפשרי.
כל עוד מערך טכנולוגיית המידע פועל, וזה קורה 24x7x365, הוא מותקף ללא הרף.

מי המתקיף? וזה הכי כואב: הטכנולוגה היא התוקף והמותקף בה בעת.

למה הכוונה? רכיב אחד תוקף את השני. וזה עשוי להתרחש אפילו בין בני אותה המשפחה, כאשר לכל אחד ישנו איזשהו רכיב טכנולוגיית מידע בבעלותו (כל אחד וסמארטפונו הוא...), האחד עלול לתקוף את האחר, בלא שאיש מהם תכנן זאת או רוצה בזאת...

3. שתי התייחסויות למונח: מערך טכנולוגיית המידע מותקף ללא הרף:

א. מיהו מערך טכנולוגיית המידע, מי מחזיק/מפעיל אותו? מי אמור להגן עליו ואיך?
אנו נדרשים להתחיל לשאול שאלות שלא שאלנו בעבר ולספק תשובות ופתרונות.
זה שמדובר במחשבים הארגוניים זה ברור. האם זה כולל גם את המחשב/הסמארטפון הפרטי שלי? מה נדרש על מנת לבצע הגנה? איפה מתבצעת ההגנה? במחשב הארגוני/הפרטי? אצל ספק האינטרנט? במרחב האינטרנט? מה זה בכלל הגנה? ומה עם הפרטיות? שאלות עתידניות? לחלוטין לא. זה כבר קורה.
פרוייקטי I-Code באוסטרליה (החל מדצמבר 2010), ו – Bot-Frei בגרמניה (החל מאוגוסט 2010) מהעבר האחד, והפעילות של מיקרוסופט וממשלת ארה"ב למיגורם של BotNets מהעבר האחר מהווים הוכחה שבעולם החלו ניצני עידן חדש. זה בהחלט יותר מניצנים, יש גיבוי טכנולוגי ומשפטי לתהליכים אלו.
ב. מחייב שינוי בסיסי ועמוק של תפישת ההפעלה של טכנולוגיית המידע.
"עבודה תחת מתקפה", זה שם המשחק. חלק מהמתקפות ייעצרו לפני מערך טכנולוגיית המידע הרלוונטי לאספקת השירות, וחלקן יחדרו.
אלו שיחדרו, מערך טכנולוגיית המידע כולל מרכיבי האבטחה נדרשים להכיל את החדירה ולהתמודד איתה באופן המאפשר לטכנולוגיית המידע להמשיך לפעול, לספק את השירות (אם כי ברמה שעשוייה להיות מופחתת) ולטפל במפגע בו זמנית, עד לחזרה לכשירות מלאה וברצף תפעולי.
טכנולוגיית מידע שבעת שמצויה תחת מתקפה תחייב כמענה ברירת מחדל השבתה, איננה מהווה מענה מקצועי מספק בעידן החדש.

ניהול אבטחת מידע - הבהרה

ציפיתי לקבל תגובות על הרשימות שחלקן עשויות להיות פרובוקטיביות (?) בנושא ניהול אבטחת המידע. לצערי לא כך הוא הדבר.
אשמח מאד לקבל הערות / הסכמות וכמובן אי הסכמות. זה דיון פורה ומפרה.
ניהול אבטחת מידע (שעסקתי בה בעבר כמנהל אבטחת המידע של משרד הבריאות בשנים 1993-2000) וגם ייעוץ (שאני מספק מעל עשור, כולל ייעוץ למנהלי אבטחת מידע) מחייבים יושרה ואמירת אמת. לעתים האמת לא נעימה ולעתים היא יותר נעימה. אבל יש לאומרה בנימוס ובפומבי. אני מאמין שכך אני נוהג. אני מצפה מקהיליית מנהלי ויועצי אבטחת מידע האחרים בישראל ובעולם אלא הקוראים את הבלוג וגם אלו שאינם מוצאים בו עניין לנהוג כך.
לעצם העניין, מעולם לא טענתי שאבטחת מידע איננה כוללת את שלושת המרכיבים: סודיות, אמינות ושלמות, זמינות ואמינות. ההיפך הוא הנכון
הדיון שאני מעלה עוסק בניהולה של אבטחת המידע.

בתאוריה: אבטחת מידע זה כל השלוש

במציאות: "אבטחת מידע" הכוללת את שלושת המרכיבים מחולקת ארגונית לנושאי תפקיד שונים. הנושא בתואר: "מנהל אבטחת המידע" מנהל בפועל בעיקר את מרכיב הסודיות ואיננו אחראי לזמינות, שרידות שלמות ואמינות. איננו אחראי איננו אומר שאיננו תומך בהשגת יעדי הארגון בתחום, אך איננו המנהל האחראי להם.

זו הכללה ואני מניח שיש יוצאים מן הכלל, אך לגבי הרוב, למיטב שיפוטי זה המצב.
זה טוב? זה רע? ככה נכון לעשות? ככה לא נכון לעשות? אלו שאלות אחרות לחלוטין. לפני שדנים בכל השאלות הללו, יש להכיר את עובדת היסוד.
איך בודקים?
קל ופשוט: לכו לתקן 27001/27002 תקחו את 12 הנושאים, תעברו על העשרות הרבות של הבקרות המצויות בתקן (133 ליתר דיוק), ושימו תפקיד למול כל בקרה, מיהו זה בארגון האחראי עליה? תגלו מהר מאד שקיימת חלוקה ברורה בין מרכיבי הסודיות ושני המרכיבים האחרים. לדוגמה: פרק 14 בתקן כותרתו:

IMFORMATION SECURITY ASPECTS OF BUSINESS CONTINUITY PLANNING

שימו לב לכותרת: הבטי אבטחת מידע בתוכנית להמשכיות עסקית. כיוון שהתוכנית להמשכיות עסקית ברוב המקרים איננה באחריות אבטחת מידע...
דוגמה נוספת:
סעיף 10.3.1 בתקן: ניהול קיבולת - CAPACITY MANAGEMENT
איזהוא מנהל אבטחת המידע שאחראי על ניהול קיבולת של מערך טכנולוגיית המידע בארגון? להזכיר, ניהול קיבולת הינו מרכיב של זמינות. זמינות אחד ממרכיבי אבטחת מידע.
אשמח לקרוא ולדעת...

ותקנו אותי אם אני טועה.

שקיפות אירועי אבטחת מידע פוסט קצר

בוקר טוב,

בעקבות אירועי חשיפת פרטי כרטיסי אשראי מועלה נושא שקיפות אירועי אבטחת המידע בהתייחס ליידוע קורבנות החשיפה ומדובר על החוק הקליפורני.

שתי הערות:

1. בארה"ב במגזר הבריאות קיימת חקיקה פדרלית:

(Health Information Technology for Economic and Clinical Health (HITECH)

המחייבת ארגון שחל עליו חוק ה-HIPAA ושותפיו העסקיים (והחשיבות לשותפים עסקיים הינה משמעותית, שכן לדוגמה ארגון המספק שירותי גיבוי לארגון בריאות הדרישה חלה עליו) החל מספטמבר 2009 אשר התרחש אצלו אירוע שגרם (פוטנציאלית) לחשיפת מידע אישי על יותר מ-500 אנשים (ללא קשר האם מדובר באירוע ממוחשב או תדפיס נייר), לדווח על האירוע למשרד הבריאות האמריקאני. ואז, שומו שמיים, מתרחש הלא יאומן, הדיווח מועבר ע"י משרד הבריאות לאתר אינטרנט, וכל העולם יכול לראות במה מדובר.

להלן קישור:

http://www.hhs.gov/ocr/privacy/hipaa/administrative/breachnotificationrule/HealthInfoBreaches.csv

החל מספטמבר 2009 ועד להיום מדובר במספר הלא יאמן של: 18,059,831 כן מעל 18 מליון רשומות.

קישור על מנת לקרוא על החקיקה והשינוי בארה"ב:

http://www.hhs.gov/ocr/privacy/hipaa/administrative/breachnotificationrule/index.html

2. ככלל, בעולם נושא השקיפות בדיווח על אירועי אבטחת מידע הרבה הרבה הרבה יותר מפותח מאשר בישראל.

גם בנושא זה יש לנו הרבה מה ללמוד ולא להתהדר כאילו אנחנו "מתקדמים".

ועוד בעניין גניבת מספרי כרטיסי האשראי

במסגרת פורטל השירותים והמידע הממשלתי, פורסמה כתבה קצרה אשר בפתיחתה ישנם הקישורים לשלושת חברות כרטיסי האשראי (לאומי קארד, ויזה וישראכרט) המספקות אפשרות לבדוק באינטרנט (כל אחת לכרטיסיה היא) האם כרטיס מצוי ברשימה של הכרטיסים שנחשפו.
כמו כן מצוי בכתבה זו מידע תמציתי וחשוב לאזרח כיצד להתגונן בעת פעילותו ברשת האינטרנט.
קישור לאתר הממשלתי: http://www.checkfraud.gov.il/
קישור נוסף: http://www.gov.il/FirstGov/News/News_CreditCard.htm

מדינה כמרקחה, בגלל בעיה ברמה של כיתה ב' באבטחת מידע

מדינת ישראל כמרקחה. כווווווולם מתראיינים, כותבים והכותרות זועקות "הפריצה של ההאקרים הסעודיים היא תחילתה של מלחמת סייבר", "מאות אלפי אזרחי המדינה בסכנה"... ועוד כהנה וכהנה.

איפה נעוצה הבעיה האמיתית?

הבעיה היא שאנחנו כאזרחים מרמים את עצמנו. נוח לנו שהטכנולוגיות החדישות זמינות, זולות, לא דורשות לימוד מעמיק והכל עובד והכל נגיש בפשטות, והכל עומד לרשותנו. פשוט ככה בלי כל עיה. נכון?

אז זהו שזה בחלקו בלוף. הטכנולוגיות זמינות, נגישות, תפעוליות בנוחות מירבית כי אנחנו כאזרחים,משתמשים, מצפצפים על הגנתן והגנת המידע האגור, מעובד או מועבר בתקשורת באמצעות טכנולוגיות אלו.

ניתן לממש אבטחת מידע, אבל זה יגרום לכל התהליך של תכנון, ייצור, שיווק ושימוש בטכנולוגיות המידע המודרניות להיות איטי יותר, יקר יותר ועלול חס וחלילה גם להיות פחות נוח לשימוש.

על כן, חלק מאתרי אינטרנט האוגרים מידע רגיש שלנו לא מאובטחים כיאות, כי אנחנו מוכנים לעבוד מולם גם אם לא עמדו בדרישות האבטחה הנדרשות. למה? כי אנחנו כאזרחים לא מתענינים מספיק בנושא.

דרך אגב, דווקא במגזר כרטיסי האשראי קיימת הסדרה רגולטורית מעניינת. הרגולטור במקרה זה הינן חברות כרטיסי האשראי עצמן, באמצעות מועצה שהוקמה על ידן. התקן הבסיסי נקרא PCI-DSS ואלו ראשי תיבות של:

Payment Cardsystems Industry - Data Security Standards

https://www.pcisecuritystandards.org/index.php

ניתן להתווכח לגבי התקן ויש על מה להתווכח. אבלללללללללל, יישום (לכל הפחות) של הדרישות הינו חיוני על מנת להתמודד ברמה הבסיסית מול מתקפות ברמה כפי שהתקיפה שבוצעה הייתה.

זו ממש תקיפה ברמה של כיתה ב'. ואת זה אומרים כל מומחי האבטחה שעלו ודיברו וכתבו ביומיים האחרונים.

אנחנו כאזרחים, כמשתמשים בשירותים של מארחי אתרי האינטרנט, של החנויות בהם אנו רוכשים באמצעות כרטיס אשראי ובכל מקום בו אנו מוסרים את מספר כרטיס האשראי כאמצעי תשלום, עלינו מוטלת החובה לברר האם הארגון שמקבל מאיתנו את מספר הכרטיס מאובטח כיאות, כלומר עומד בתקן או בתהליך עמידה בתקן.

אם לא נתחיל לשאול, לא יקרה דבר. נתחיל לשאול, המצב לא ישתנה בן לילה, אבל משהו כן ישתנה. כל הבעיות ייפתרו עקב כך? לא. המצב ישתפר, כן. תקיפה מהסוג שהתרחשה, ככל שידיעתי מגעת היום, הייתה נכשלת. זה מספיק טוב לטעמי.

בקיץ דיברנו על מהפיכה חברתית. רבותי קוראי הבלוג, נדרשת מהפיכה באופן שאנו מתייחסים לאבטחת המידע. זו לא הבעיה של הארגונים בלבד. זו קודם כל הבעיה שלנו כצרכנים. ויש מה לעשות בנושא.

השאלה: האם אנחנו נהיה מוכנים גם לשלם את המחיר של מהפיכה זו?