אחרי החדשות בשבועות האחרונים נראה שבאמת אין אבטחת מידע

תקיפות מקוונות ניתנות לחלוקה לארבע קטגוריות עיקריות:
1. תקיפות להשגת רווח כספי. אלו מבוצעות בעיקר ע"י פושעים (כולל פשע מאורגן) ויעדיהן אתרים פיננסיים כדוגמת בנקים או חברות סליקת כרטיסי אשראי, או אתרים שבהם מתבצעת פעילות כספית.
2. תקיפות ע"י גורמי מדינה או סוכנויות ביון למטרות מגוונות. ביניהן ניתן למנות:
א. איסוף מידע מודיעיני באמצעות שתילת קוד זדוני המשמש כאמצעי האזנה או דלף מידע באופן כלשהו,
ב. פגיעה במערכות שלטוניות כדוגמת אתרי ממשל זמין של מדינות.
ג. פגיעה במערכות המחשוב של תשתיות חיוניות (כדוגמת מתקפות על מערכות ביטחוניות, תעשייה ביטחונית, כורי
גרעין ומערכות הולכת חשמל).
בהקשר זה יש לציין שהמונח "תשתיות חיוניות" שונה ממדינה למדינה ומשתנה גם במהלך השנים. כך למשל בארה"ב הכריזו במהלך שנת 2010 על החברות המייצרות את רכיבי התשתית לתחנות הכוח החשמליות (דודים, טורבינות וכד') כחלק ממגזר התעשייה המשוייך גם הוא לתשתיות חיוניות.
3. "האקטיוויסטים" שמטרתם להציג עמדות פוליטיות ויעדם עשוי להיות מגוון מטרות בהתאם לסוג הקבוצה. לאחרונה קבוצת פורצים המכונה אנונימוס פעלה כנגד חברת SONY וממשלת טורקיה אשר לדברי קבוצת הפורצים פועלת לאכיפת צנזורה מקוונת.
4. אלה שעושים זאת "בשביל הכיף" או פשוט "להראות להם" שאין להם אבטחת מידע. בשבועות האחרונים קבוצת פורצים המכנה עצמה LulzSec עולה לכותרות בשל פעילות פריצה ברמה יומית.
נראה שבשבועות האחרונים, כאילו כל ארבע הקבוצות שבעבר פעלו כל אחת בזמנה היא והותירו לנו "מרווח נשימה" כלשהו בין תקיפה לתקיפה, החליטו "בינן לבין עצמן" שהגיעה העת "לשבור שגרה" או "לשבור את האשלייה של אבטחת מידע" לרכז מאמצים ולהראות כל אחת ממניעיה היא ש"אין אבטחת מידע".
התקיפות על Codemasters ו-Citibank משוייכות לקטגוריה הראשונה. בתקיפה על Citibank, כ-360,000 לקוחות הבנק יודעו שחשבונותיהם מצויים בסיכון אחרי שפורצים בלתי מזוהים זכו לגישה לנתוניהם. לדברי הניו יורק טיימס הפריצה ל-CitiBank התאפשרה עקב כשל אבטחה בסיסי ומביך מאד באתר הציבורי הבנק. לדברי הידיעה, לקוח לגיטימי שהתחבר לחלק האתר שבו מזינים מספר החשבון בכתובת הדפדפן, יכול היה לשנות את מספר החשבון ולקבל נתוני חשבון אחר. הפורצים השתמשו במחולל מספרי חשבון וכך השיגו פרטיהם של מאות אלפי לקוחות.
תקיפת מערכות המחשוב של קרן המטבע הבינלאומית משוייכת ככל הנראה לקטגוריה השנייה. כך גם התקיפות שבוצעו על יצרנית מוצרי אבטחת המידע RSA (בחודש מרץ) שגררה וגוררת אחריה שרשרת של פגיעות בחברות מהגדולות בארה"ב ובעולם לייצור אמצעי לחימה מתקדמים כגון חברת לוקהיד-מרטין (יצרנית מטוס העתיד של חיל האוויר הישראלי, ה-F-35) וחברת L3. חברת החדשות FOX הודיעה ב-1 ליוני כי חברת גרומן יצרנית מערכות לחימה אמריקאית גדולה נוספת החליטה לפי שעה לא לאפשר יותר גישה מבחוץ למערכותיה. האם זה נקיטת אמצעי זהירות לפני (תוצאה אפשרית של תהליך ניהול סיכונים) או מסקנה של אחרי (תוצאה אפשרית של תהליך ניהול משברים). השימוש באמצעי הזדהות השונה מקוד משתמש וסיסמה כדוגמת האמצעי שנמכר ע"י חברת RSA נפוץ יותר בשימוש בגישה מרחוק למערכות הארגון, ופחות נפוץ בשימוש יומיומי בהזדהות מקומית ברשת הפנימית של הארגון.
שניים מארבעת הבנקים הגדולים באוסטרליה (ANZ ו-Westpac) הודיעו כי יחליפו את רכיבי ההזדהות החזקה של RSA ללא עלות ללקוחותיהם. הבנק השלישי (Commonweal) הודיע כי הוא שוקל את צעדיו והבנק הלאומי של אוסטרליה ממלא פיו מים (בנתיים)...
הערה: בשנת 2005 פירסמה חברת Yankee Group מחקר שהצביע שכמות הפגיעויות במוצרי אבטחת מידע מתקרבת לכמות הפגיעויות במוצרי התשתית של טכנולוגיית המידע (מערכות הפעלה ובסיסי נתונים) שמוצרי האבטחה אמורים להגן עליהם. ועל כן, על יצרניות מוצרי האבטחה להיערך לספק טלאי אבטחה למוצריהן באותו האופן שיצרניות מוצרי טכנולוגיית המידע נערכו. באותה המידה על לקוחות מוצרי טכנולוגיית ואבטחת טכנולוגיית המידע להיערך גם הם בהתאם. כעת עברו 6 שנים ועלינו מדרגה. על יצרניות מוצרי אבטחת המידע לוודא כי רמת האבטחה בחברתן מספקת על מנת שניסיון פגיעה בהם לא יפגע בלקוחות שרכשו את מוצריהן.
כאמור פעילותה של אנונימוס מזוהה עם הקטגוריה השלישית. הם עלו לכותרות לפני מספר חודשים כאשר פגעו בחברות כרטיסי אשראי וחברות סליקה אשר הודיעו שיפסיקו לספק שירותים פיננסיים לויקיליקס, עקב בבדלפות של מסמכים סודיים.
קבוצת LulzSec מזוהה (בשלב זה) עם הקטגוריה הרביעית. כמות הפריצות הנזקפות "לזכותה" עולה מיום ליום בקצה מסחרר. פריצה למערך הבריאות האנגלי (NHS), לאתר הסנאט של ארה"ב, לשלוחה של ה-FBI (Infragard), ובעצם נראה שהם יפרצו "לכל מה שזז".
למרות שהנזקים מהפריצות של שתי הקבוצות המשוייכות לקטגוריות השלישית והרביעית מזעריים לעומת נזקי הקבוצות הפועלות בקטגוריות הראשונה והשנייה, דווקא הן אלו התופסות את הכותרות.
ייתכן ובכך על הארגונים לשנות במשהו את ההתייחסות המזלזלת (יחסית) לסיכון הקרוי "סיכון תדמיתי".
סיכון תדמיתי איננו כלול בסיכוני אבטחת המידע הקלסיים: סודיות (Confidentiallity), שלמות ואמינות (Integrity), זמינות ושרידות (Availability). גם הרבה יותר קשה, עד בלתי אפשרי לכמת אותו.
התוצאה הכוללת הינה ש"אין אבטחת מידע". כמות הפריצות עולה בכל יום. אין יום בלי דיווחי פריצה מסוג זה או אחר. אין יום כתבתי? משעה לשעה הולכים ומתרבים דיווחי הפריצה בכל יום. זה איננו (FUD-(Fear Uncertainty Doubt שבהם הואשמו יועצי ומנהלי אבטחת המידע, כאילו הם סתם צועקים "זאב, זאב", אבל כלום בעצם לא קורה... זו המציאות. יהיו הסיבות אשר יהיו, חוסר מקצועיות, רשלנות, זדוניות, שילוב תקיפות מסוגים שונים, מה שתרצו. זה כבר לא משנה.

הרשימה הקודמת (בשפה האנגלית) הציגה את הצד הכלכלי, מדוע אין אבטחת מידע. כי זה פשוט לא השתלם כלכלית. או כך חשבו שזה איננו משתלם כלכלית. באו מחוקקים, רגולטורים, גופים מנחים, תקנים ובעצם, לא שינו את המצב באופן מהותי.
מה קורה בחודשים ובעיקר בשבועות האחרונים? האם למישהו פשוט נמאס? ייתכן. אינני יודע מה התשובה.

נראה בעליל שכמות הפריצות והמשמעויות שלהן צריכות לשנות את העמדות הבסיסיות של ההנהלות הן של יצרני טכנולוגיית המידע והן של הלקוחות העושים שימוש במוצרי טכנולוגיית המידע.
טעות נפוצה היא שהבעיה הינה רק או בעיקר איך להציל אותנו מפגיעה בתשתיות חיוניות. אם נגן עליהן מספיק טוב, או כי אז "ניצלנו מפרל הארבור דיגיטלי" כדברי האמריקנים.
כל מרקם החיים המודרני מבוסס על טכנולוגיית המידע.

ללא שינוי מהותי בשילוב אבטחת המידע בטכנולוגיית המידע ולא רק אצל לקוח הקצה, יהיה זה הבנק או חברת הביטוח או בית החולים או מערך המיחשוב של בית המחוקקים ומשרדי הממשלה, או תחנת הכוח, או מפעל המים, או הממשל המקומי, או מערכת בתי המשפט, או מפעלי התעשייה או... כל מקום שבו מוטמעת טכנולוגיית מידע, אלא החל משלבי ייצורה של טכנולוגיית המידע, לא יימצא פיתרון ראוי.
אבטחת מידע מתחילה או אמורה להתחיל ב-ה-ת-ח-ל-ה ולא באמצע או בסוף. לכל אחד בשרשרת הייצור והשימוש של מערכות טכנולוגיית המידע תפקידו הוא באבטחת המידע.

כך זה לא יכול להימשך.

ניהול כולל של סיכונים

1. קצת על אוסטרליה

אוסטרליה חוותה בשבועות האחרונים אסון טבע בקנה מידה שקשה לתאר אותו, שטחים בגודל של צרפת וגרמניה ביחד הוצפו, ביניהן העיר השלישית בגודלה באוסטרליה, בריסביין.
יחד עם זאת, מספר הנפגעים בנפש יחסית קטן. עשרות בודדות. נכון, הרוב התרחש באיזורים לא מיושבים. גם אם ניקח את זה בחשבון, עדיין זה איננו מובן מאליו יחסית לכמות הבתים שנפגעו: עשרות אלפי בתים. כיצד זה קורה? האם זה נס?
זה לא נס. זוהי מקצוענות ולה שם אחד: ניהול כולל של סיכונים.
באתר של הגורם האחראי באוסטרליה להגנה על תשתיות לאומיות מופיע המשפט הבא:

It is vital that owners and operators of critical infrastructure, both the private sector and government organisations, are able to plan for, withstand and respond to a broad range of threats and hazards, including pandemics, negligence, accidents, criminal activity, cyber attack, and natural disasters that have the potential to disrupt their operations.

לא נעשית אבחנה בין לדוגמה: רשלנות (negligence), מתקפת מחשבים (Cyber attack), או אסון טבע (natural disaster), לכולם יש לספק מענה.

לדעתי, הסיבה שלא נעשית האבחנה ברמה האסטרטגית נובעת מהבנה בסיסית של ניהול סיכונים, כיוון שלשלל האיומים המתוארים ישנו פוטנציאל ליצור תוצאה סופית זהה. זאת למרות שהסיכויים שזו תתרחש כתוצאה מרשלנות, ככל הנראה שונה מאשר שתתרחש כתוצאה מאסון טבע, והסיכוי שיתרחש אסון טבע בהיקף שהתרחש בשבועות האחרונים הוא מזערי לעומת הסיכוי של תאונות, או מתקפת מיחשוב זדונית. ועדיין, ללא קשר לסיבה, התוצאה עלולה להיות אסון בממדים עצומים ועל כן המערך כולו מטפל גם בסיבות (כל אחת דורשת התייחסות מקצועית נפרדת) וגם בתוצאות (אלו דווקא עלולות להיות זהות וללא קשר לסיבות שגרמו להן).

2. קצת על אירוע ההאפלה הגדול בהיסטוריה של ארה"ב, אוגוסט 2003
במהלך חודש אוגוסט 2003, אירעה תקלת החשמל החמורה בתולדות ארה"ב. 50 מליון אזרחי החוף המזרחי (חלקם בקנדה) זכו לכבוד המפוקפק של עלטת חשמל. זו נמשכה עבור אחדים מהם כשבוע.
הדוח המפורט של וועדת חקירה רשמית משותפת לארה"ב ולקנדה קבעה רשימה של סיבות לכשל המחריד. החל מאי ציות לנהלי גיזום עצים גבוהים שפגעו בחוטי הולכת החשמל, דרך חוסר מקצועיות של מפעילים בטיפול במשבר במערך הולכת החשמל ועד כשל בתוכנת ניהול המערכת, כשל מקצועי הידוע כ: race condition.
חלק מהכשלים היו כשלים חוזרים שכבר הופיעו באירועי עלטה קודמים, צויינות בדוחות ביקורת פומביים ולא טופלו כיאות על מנת שלא יחזרו על עצמם. (הלו, זה ארה"ב, נשמע יותר כמו ישראל?).
כלומר, אירוע חמור ביותר נגרם מרצף שניתן לתאר אותו במילה אחת: רשלנות. לא יותר, לא פחות. לרשלנות זו חברו גורמים שונים במקומות שונים במערכת הולכת החשמל בחוף המזרחי באותה העת, אך אם יש לנקוב בסיבה אחת, המילה רשלנות הינה התאור הנאמן ביותר.

3. קצת על ישראל
המדינה חוותה מספר אירועים שבהחלט נכנסים לקטגוריה של אירועים "אסוניים" בקנה מידה לאומי. שניים בתחום הטלקום: פגיעה ממשית בשירותי חברת סלקום בתחילת חודש דצמבר 2010, ודבר דומה בחברת בזק לפני ימים מספר והאירוע השלישי אירוע השריפה בכרמל שהתרחש מיד לאחר שהתרחשה התקלה בחברת סלקום.
כל שלושת האירועים נמצאים בתהליך בדיקה וחקירה ואיננו יודעים בדיוק מה הסיבה לכל אחד מהם. על כן במסגרת זו מותר להניח שהתרחשו מאחת הסיבות המנויות במסמך האוסטרלי.
אם ללמוד מהנסיון האוסטרלי, ניתן לומר שיש לספק מענה לאיומים, דהיינו, לסיבות הספציפיות הדורשות מיומנויות מוגדרות ויחד עם זאת לקחת בחשבון שגם תקלה כתוצאה מטעות אנוש (מענה באמצעות מכלול כלים ושיטותלצמצום טעויות אנוש), חוסר מקצועיות (מענה אפשרי הינו הדרכה מסיבית בבצוע פעילות הדורשת ידע מקצועי), רשלנות (מענה עשוי להיות נהלים ברורים, אכיפתם וענישה על חריגות), או תאונה פשוטה עלולה להביא לאסון ממשי ולא רק מתקפת טילים של חיבאללה או אירועי טרור אחרים.

אם זה לא היה ברור קודם, אז עכשיו זה ברור. המשרד לביטחון המולדת (DHS) מחפש "פורצים ברשיון" על מנת לשפר את הגנת התשתיות החיוניות

עכשיו זה רשמי. הגישה שיש לשפר את האבטחה באמצעות שילוב חשיבת התוקף או בצורה יותר מדוייקת, פעילות התקפית "ע"י כוחותינו" הופכת להיות נחלת הכלל.

הנשיא הנבחר, ברק אובאמה, אדם המקושר היטב לעולם הטכנולוגי, הבין עוד טרם כניסתו לתפקידו כנשיא עד כמה הבעייה של הגנת התשתיות החיוניות בארה"ב חמורה, ומה רמת הפער בין הקיים לנדרש.

צוות שהוקם עפ"י הנחייתו אמור היה להגיש את המלצותיו בסוף השבוע. נראה שזו אחת ההמלצות שכבר החל יישומה "תוך כדי תנועה".

מה צופן העתיד? ימים יגידו.

ובנתיים, מתפרסמת לה בשעות אלו ידיעה על גניבת מידע צבאית:

http://online.wsj.com/article/SB124027491029837401.html

האקרים פרצו למחשבים בהם הנתונים על תוכנית מטוס הקרב המשולב. התוכנית היקרה ביותר של הפנטגון מעולם: 300 מליארד דולר. הפורצים הצליחו לשים את ידם על מספר טרהבייטס של נתונים, בהם מידע על תכנון ומערכות אלקטרוניות. הגניבה עלולה להקל על התגוננות מפני כלי הטיס הזה.