שינוי פרדיגמה באבטחת מידע: המדינה לוקחת אחריות על מחשבים המקושרים לאינטרנט. בעולם כבר התחילו. בישראל (בנתיים) מדברים...

הפוסט נכתב לאחר שאתמול ישבתי בכינוס המתוקשר ורב המשתתפים במסגרת סדנת יובל נאמן למדע טכנולוגיה וביטחון שכותרתו: "לוחמת סייבר – אתגרים בזירה העולמית, המדינית והטכנולוגית". הכינוס מתקיים שבועות ספורים לאחר הכרזתו של רוה"מ של הקמת "מטה הסייבר הלאומי" כחלק מיישום המלצות דוח הוועדה שמונתה על ידו ובראשה עמד פרופ' (אלוף מיל.) יצחק בן רפאל. חיכיתי בתור הארוך יותר משעה, בשמש הקופחת, כחלק מבדיקות הביטחון והאזנתי ברוב קשב לכל ההרצאות החל מהרצאתו של ראש הממשלה שפתח את הכנס ועד לסיומו של הכנס, לפנות ערב.
הפוסט הזה יהיה ארוך במקצת, אבל אני מקווה מאיר עיניים באשר לשלב הבא שבו מצוי המאבק להשגת מרחב מיחשובי עולמי נקי יותר מזיהומים...
מבין כל הנאומים הרבים בכינוס (חלקם מעניינים ומחדשים כדוגמת ההרצאה האחרונה בכינוס שניתנה ע"י פרופ' בני פנקס מאוניברסיטת בר-אילן שהציג חשיבה מעניינת על איומים במחשוב ענן, וחלקם פחות מעניינים…) שהתארך הרבה מעבר לשעה הנקובה אני בוחר לקחת שני משפטים משתי הרצאות ולצרף אותם יחד.
המשפט הראשון נאמר במהלך ההרצאות לפני הצהריים, בעת שהאולם עדיין היה מלא מפה לפה, ע"י ויליאם בייר, מנהל PwC לונדון וראש היוזמה של החברה המכונה: OneSecurity שהודה בגילוי לב נדיר במחוזותינו (טוב, הוא אנגלי...) שבמצב הנוכחי ולמרות כל התקנים והרגולציות (ואולי דווקא בגללם...) איננו מצליחים לייצר את האבטחה הנדרשת.
המשפט השני נאמר ע"י שי בליצבלאו מחברת מגלן באחת ההרצאות האחרונות בכינוס, בעת שבאולם כבר נכחו הרבה פחות צופים. לדבריו, בארץ יש הרבה מאד מחשבים המתחברים לאינטרנט שייתכן ויש בהם קוד פוגעני, דהיינו מחשבים "מזוהמים".
כאשר מחברים את שני המשפטים יחדיו מקבלים את האמת המרה "ישר בפרצוף": הרבה מערכות מחשוב המתחברות לאינטרנט (בארץ ובעולם) הינן מסוכנות. הן נגועות בקוד זדוני שהושתל בהם והן או משמשות בפועל או עלולות לשמש בעתיד כפלטפורמה למשלוח מתקפות. נשאלת השאלה: מתקפות על מה? בעצם על מה לא? על כל מחשב אחר המתחבר לאינטרנט. איפה מצויים המחשבים הללו? בכל בית, משרד מכל סוג שהוא, בנק, חנויות בקניונים, בתי"ח, מוסדות ממשלתיים, ארגונים פרטיים. אלו המחשבים המצויים בכל מקום במדינת ישראל ובידי כל אזרח, יהיה זה אזרח נאמן למדינה ככל שיהיה, מחשבו עלול להיות מסוכן לו עצמו ולכל האחרים במדינה.
המסקנה הינה שכל עוד מדינות העולם (וישראל ביניהן) ימשיכו לעצום את עיניהן ולומר שנקיון המחשבים הללו מהקוד הזדוני והשמירה על המשך נקיונם איננו מעניינה של המדינה, אזי המדינה במו ידיה מפקירה את בטחון אזרחיה.
בדיוק כשם שהביטחון האישי ברחובות איננו תפקידו של האזרח שומר החוק, אלא תפקידה של המדינה באמצעות המשטרה וגורמי אכיפה אחרים (מערכת המשפט כדוגמה), כך זה מתפקידה של המדינה לדאוג שמחשבים של אזרחים יהיו "בטוחים". הכוונה במונח "בטוחים" הינה שהמחשב (המונח מחשב דרך אגב כולל כבר היום את הטלפונים החכמים למיניהם, שהם צירוף של טלפון ומחשב וכל סוגי מחשבי הלוח, ובקיצור, כל מה שהוא "דמוי מחשב" ומתחבר לאינטרנט) המתחבר לאינטרנט איננו מהווה פלטפורמה לשליחת מתקפות כנגד מחשבים אחרים באותה המדינה או במדינות אחרות.
אינני רוצה להיכנס בבלוג זה לדיון הארוך והמורכב של הגנת פרטיות כנגד הגנת מרחב הסייבר. על כן אקצר בעניין זה:
א. מסתבר שעולם המחשבים בתוספת האינטרנט מזמן לנו אתגרים מעניינים בנושא זה.
ב. המחשב הפרטי והמידע בו הוא רכושו הפרטי של אדם, בזה אין ספק.
ג. ההתחברות לאינטרנט למיטב הבנתי אמורה לייצר שינוי מסויים בהתייחסות למונח "פרטיות", אבל לא לבטלה.
ד. כאשר הקישוריות הזו הינה ברת פוטנציאל לסכן את המחשב המתחבר או מחשב אחר במדינת ישראל או מחוצה לה, על המדינה לנקוט באמצעים סבירים, תוך כדי שמירה על הפרטיות. בהמשך הבלוג, נסקור תחילת פעילות בעולם המבקשת לייצר איזון בין הפרטיות ובין הצורך "לנטרל את הפצצה המתקתקת במחשבים האזרחיים".
ה. לצערי, בכנס החשוב אתמול לא נמצא מקום לנושא הגנת הפרטיות המעוגנת בחוק ובתקנות להגנת הפרטיות במדינת ישראל, (החוק הראשון במדינת ישראל שחייב מינויו של ממונה על אבטחת מידע בגופים ציבוריים, בנקים וחברות ביטוח עוד בשנת 1996) ושעל יישומו מופקדת הרשות למשפט טכנולוגיה ומידע במשרד המשפטים. אם מישהו שכח לרגע, אז להגן על מדינה זה (בין היתר) להגן על אזרחיה ולא רק על "המדינה". ולהגן על אזרחיה משמעותו (בין היתר) להגן על פרטיותם. רוב רובו של המידע במערכות הבריאות במדינת ישראל הוא מידע המוגן עפ"י חוק זה, ולא סתם מידע רפואי לא מזוהה. רוב רובו של המידע בבנקים ובחברות הביטוח הוא מידע כלכלי מזוהה על לקוחותיהם, ולא סתם מידע פיננסי. חלק לא מבוטל מהמידע על אזרחי המדינה המוגן בחוק הגנת הפרטיות מצוי במרחב הסייבר שכה רבות דברו בו אתמול.
ו. הגנת פרטיות היא חלק מההגנה האזרחית במרחב הסייבר. משום מה לנושא זה לא נמצא מקום בכנס, וגם לא במסמך שמתפרסם במקביל לו מטעם המכון למחקרי ביטחון לאומי, (שותף פעיל בכנס), מסמך הנושא את השם: לוחמה במרחב הקיברנטי: מושגים, מגמות ומשמעויות לישראל, יוני 2011 מאת שמואל אבן ודוד סימן-טוב. אינני יודע מה הסיבה להעדרות זו של נושא הגנת הפרטיות מהגנת מרחב הסייבר.
ז. אין לצפות מאזרח נורמטיבי שיתמודד לבדו עם הסכנות שהאינטרנט טומן בחובו ובעיקר עקב העובדה שהמחשב המתחבר הופך לכלי בידי יריב שהפרט איננו יכול להתמודד איתו כלל ועיקר.
ח. יש לצפות שהמדינה תאזן בין הגנת הפרטיות וחובתה להגן על אזרחיה.
ט. אנו נוטים להתעלם מהעובדה שהתחברות לאינטרנט איננה תהליך נטול הסדרה. בין המחשב הפרטי או המוסדי המתחבר לאינטרנט, קיים ספק שירות. לעתים, מדובר בארגון שהוא עצמו ספק שירותי קישוריות לאינטרנט עבור עצמו או עבור ארגונים אחרים.

אז מה קורה בעולם? קורים שני דברים שונים, המשלימים זה את זה. הראשון החל את דרכו ב-1 בדצמבר 2010, באוסטרליה, השני טרי עוד יותר בן חודשיים, מתרחש בארה"ב.

1. אוסטרליה: פרוייקט iCode
פרוייקט וולונטרי שבו רוב ספקי הקישור לאינטרנט באוסטרליה (מעל 90%, נכון ל-1 ביוני 2011) מדווחים ללקוחותיהם (ובמידת הצורך, עפ"י חוקי אוסטרליה), לגורמי אכיפת חוק ול-CERT האוסטרלי, על מחשב לקוח החשוד כנגוע בקוד זדוני.
הלקוח יכול לנקוט באחד משני מהלכים לנקוי מחשבו: לפעול בעצמו או לפנות לאחד ממספר מצומצם של ספקים שנבחרו לצורך עניין זה ולהיעזר בהם לנקיון מחשבו.
המהלך כולל הרבה אתרי מידע להסבר על אבטחת מידע, קוד זדוני וכד', כך שלא מדובר במשהו העומד בפני עצמו, אלא כחלק מתפישה לאומית שהגנת מרחב המיחשוב של אוסטרליה שזו דאגה של המדינה, שהחלה בפעילות נרחבת להגנת תשתיות לאומיות חיוניות לפני מספר שנים (באוסטרליה, הנושא באחריותו של התובע הכללי), כוללת באופן משולב גם איתור מחשבים נגועים של אזרחי המדינה (ולאו דווקא של ארגונים במדינה) וטיפול בהם.
אחד מהעקרונות של המהלך הוא שמירה קפדנית על פרטיותם של לקוחות ובלשונם:
The privacy of customers is paramount;
הפרוייקט הושק ב-1 בדצמבר 2010 וייבחן לאחר 18 חודשי הפעלה ראשוניים.
מאחורי היוזמה עומד איגוד תעשיית האינטרנט באוסזטרליה: Internet Industry Association והמנוע מאחוריו הוא מנהלו הפורש של האיגוד, Peter Coroneos.
הוא הוזמן להציג את היוזמה ב-6 במאי 2011 בפני הווארד שמידט, ראש תוכנית הגנת המרחב המיחשובי בארה"ב. כמו כן, לדברי פיטר קורונאוס היוזמה הזו דחתה איומים של הממשלה האוסטרלית להתחיל בחקיקה מגבילה לשירותי האינטרנט במדינה.
כל החומר על היוזמה הזו פתוח באינרטנט באתר ייעודי: http://www.icode.net.au
אתר האינטרנט של איגוד תעשיית האינטרנט האוסטרלי: http://www.iia.net.au/


2. ארה"ב: התמודדות משפטית וטכנולוגית כוללת
בעוד היוזמה האוסטרלית איננה מטפלת בשורש הבעיה, אלא רק עם התוצאה, ניקוי מחשבי קורבנות, ארה"ב פתחה ביוזמה מקיפה שמטרתה לצמצם את הזיהום במרחב האינטרנט "קצה לקצה". בשלב זה מדובר בפעילות שיעדה Botnet ספציפי המכונה: Coreflood, הפעיל מזה עשור וכמות המחשבים שנדבקו באמצעותו עומד על כ-2 מליון מחשבים.
המהלך כולו מגובה משפטית מטעם משרד המשפטים האמריקני ומנוהל ע"י ה-FBI בתוך ארה"ב ומתואם באמצעות היחידה הבינלאומית שלו מחוץ לגבולות ארה"ב.
הפעילות שהחלה ב-12 באפריל 2011 כוללת את המרכיבים הבאים:
א. תפישת חמשת מחשבי השליטה והבקרה (Botnets C&C) ו-15 מרחבי הכתובות (DNS) של הגורמים המבצעים את הדבקת מחשבי הקורבנות. במקביל, ועל בסיס הסכם לסיוע משפטי הדדי, רשויות אכיפת חוק באסטוניה תפשו שרתים אחרים שככל הנראה פעלו כמחשבי השליטה והבקרה הקודמים של ה-Botnet. כל זאת מבוצע ללא שקיימת הצבעה על זהותם של מפעילי ה-Botnet, ובכתב התביעה מדובר ב-13 אלמונים שכולם מזוהים בשם: John Doe.
ב. החלפת המחשבים הללו בשני אחרים (אחד מהם הפסיק את פעולתו 9 ימים לאחר שהחל) ובשתי כתובות DNS אחרות בשליטת ה-FBI. מחשבים נגועים שהתקשרו כעת למחשבי השליטה והבקרה קיבלו במענה פקודת עצירה למניעת המשך התקשרות המחשב הנגוע.
ג. עוד פרטים נחשפים בתצהיר לבית המשפט של סוכנת ה-FBI Briana Neumiller מתאריך: 23 אפריל 2011:
 שלושה סוגי כתובות IP נחשפו כתוצאה מהמלכים שתוארו לעיל:
1 . כתובות IP בתוך ארה"ב שהוענקו ע"י ספק שירותים בארה"ב ללקוח קצה שאיננו ידוע באופן פומבי.
2. כתובות IP בתוך ארה"ב שהוענקו לגורם בר זיהוי.
3. כתובות IP מחוץ לארה"ב.
 אופני הפעולה שננקטו:
1. לקטגוריה הראשונה, ה-FBI סיפק וממשיך לספק לספקי השירות את הכתובות של מחשבים שנחזים להיות נגועים ב-Coreflood ביחד עם טופס על "הודעה על מחשב נגוע" שאותו ה-ISP ישגר ללקוח הקצה.
2. לקטגוריה השניה, ה-FBI פנה באמצעות משרד ה-FBI המקומי, לגורם המזוהה ומיידע אותו ישירות. נכון למועד מתן התצהיר, כוללים כ- 17 מדינות או רשויות מדינה מקומיות, כולל מחלקת משטרה אחת, שלושה נמלי תעופה, שני קבלנים של משרד ההגנה, חמישה מוסדות בנקאיים או מוסדות פיננסיים, כ-30 אוניברסיטאות וקולג'ים, כ-20 בתי חולים או מוסדות טיפול רפואי אחרים.
באחד מבתי החולים, כך דיווח מנהל אבטחת המידע של אותו ביה"ח, נתגלה כי כ-2,000 מתוך 14,000 מחשביו נגועים.
לגורמים הנ"ל מסופק טופס הרשאה לקבלת הסכמת הגוף הנגוע לביצוע ביטול הקוד הזדוני ממחשביו.
3. לקטגוריה השלישית, ה-FBI הכין רשימת כתובות עפ"י מדינה. זו סופקה לאגף לפעילות בינלאומית של ה-FBI אשר ימשיך לטפל בנושא באמצעות העברת המידע לגורמי אכיפת החוק במדינות הרלוונטיות.

האם פרוייקט ADEONA כפי שכונתה הפעילות הזו הינו יחיד או יריית פתיחה לפעילות עתידית?
גורדון סנו, העזור למנהל אגף הסייבר של ה-FBI אומר בתשובה לשאלה כי הפעילות הזו תמשך גם כנגד Botnets אחרים. ימים יגידו.

לסיכום:
בעולם החלו יוזמות, אומנם הם עדיין בודדות ובוודאי שלא מדובר במענה של זבנג וגמרנו. סימני שאלה רבים עומדים על הפרק. גם לא ברור עד כמה היוזמות האלו נוחלות הצלחה ארוכת טווח. אבל שני מקומות מהחשובים בעולם טכנולוגיית המידע המודרנית הכירו בעובדה שיש לבצע שינוי משמעותי והם עושים. עשייתם מלמדת שהדיבורים אצלם נעשו כבר במשך השנים האחרונות וכעת יש בידם יכולת להוציא מהכח אל הפועל, ובמקביל ממשיך להתקיים דיון בנושא.
אני יכול רק להמליץ בפני אותם גורמים במדינת ישראל האמונים על הנושא, ללמוד ממה שקורה בעולם, לבחון את האופנים שבהם החלו לטפל ולהתחיל לרתום את הגורמים שיש לשתפם לפעילות בישראל, ויפה שעה אחת קודם.

כיצד השתמש בן לאדן בדוא"ל בלי להתגלות ע"י ארה"ב

למרות שבמקום מחבואו לא הייתה לו גישה לאינטרנט, אוסמה בן לאדן עשה שימוש נרחב בדוא"ל. הוא בנה תהליך מדוקדק וזהיר אשר שמר אותו צעד אחד לפני מיטב המצותתים של ממשלת ארה"ב.
התהליך שתואר לכתב ה-AP ע"י גורם רשמי העוסק במלחמה בטרור וגורם נוסף שתודרך ע"י גורמי החקירה מטעם ממשלת ארה"ב, שימש אותו היטב במשך שנים תוך שהוא משאיר את גורמי המעקב אחריו מתוסכלים. התהליך איפשר לבן לאדן שהישאר בקשר עם שלוחיו ברחבי העולם בלא להותיר עקבות אלקטרוניות.
אז כיצד זה עבד? התהליך התבסס על משמעת ואמון והותיר אחריו ארכיון גדול של דוא"לים שייסרקו כעת ע"י החוקרים. האוצר הבלום של הודעות הדוא"ל שהוצא ע"י האמריקנים בעת הפשיטה לאחר הריגתו מגלה אלפי מסרים ופוטנציאל למאות כתובות דוא"ל ומספרי טלפון.
מסוגר בתוך המתחם המגודר שלו בצפון מזרח פקיסטן ללא יכולות תקשורת טלפונית או אינטרנט, בן לאדן היה מקליד את ההודעה שרצה להעביר לשלוחיו על גבי מחשבו, שומר אותה על גבי DOK. את ה-DOK היה מעביר לידי בלדר מהימן שהיה יוצא איתו לקפה אינטרנט מרוחק. שם הבלדר היה מחבר את ה-DOK למחשב, מעתיק את ההודעה הכתובה להודעת דוא"ל ומשגר אותה לנמענים. גם התהליך ההפוך פעל באותה הצורה, הבלדר היה מעתיק את ההודעה ל-DOK, מביא את ה-DOK למתחם, שם בן לאדן היה מחבר את ה-DOK למחשבו וקורא אותה.
היה זה תהליך איטי, מיגע, אבל מדוייק ומוקפד, כך שאנשי מודיעין ותיקים מתפעלים מהיכולת של בן לאדן להפעיל אותו באופן מוצלח זמן כה רב. בארה"ב חשדו זמן רב שבן לאדן משתמש בבלדרים על מנת לתקשר, אבל היקף השימוש נחשף רק כעת, לאחר הריגתו ותפישת החומרים שהותיר.
מדובר בכ-100 DOKs אשר בהם מתועדים התשדורות שעברו הלוך ושוב בין בן לאדן ושותפיו ברחבי העולם.

The changing landscape of Information technology drives changes in information technology security

I thought this subject to be interesting enough for the global IT & security community so I decided to write it in English instead Hebrew. The article will follow the evolving history of IT & IT security from the start point of IT security somewhere during the 60's of the 20th century till today, the beginning of the 2nd decade of the 21st century, about 50 years altogether. I'll not hide the reasons behind writing this blog entry, It's a combinations of my personal knowledge & thoughts about what happened during the past 50 years in IT & IT security and what lies ahead in the coming years. I was also inspired by an interesting white paper called: "Rethinking Information Security to Improve Business Agility", By Intel IT. Published January 2011:

http://www.intel.com/en_US/Assets/PDF/whitepaper/Rethinking_Information_Security_Improve_Business_Agility.pdf

So Its going to be a combination of history and some prophecy.

1. 20th century: 60's – 70's – Computers were found almost only at companies. Computers were BIG machines located at specially designed Computer Centers that needed careful design, special cooling systems etc. Users used a terminal but had no independent computing power of their own.

Security: Information security was mainly the business of those handling those big machines coupled with a never ending problem - the human factor. The known answer was (and still is): user awareness.

2. During the 70's started to appear on the market early "Personal Computers" like: commodore 64, Atari machines, Sinclair computers (I had one) and others. Those were computers with limited capabilities, but they started a revolution. No more computers at companies only. These were the first wave of computers owned by people. NO connection of these early computers to the company computers.

Security: Security? Nothing changed as a result of these newcomers.

3. 12 August 1981 – IBM PCG the first PC (Personal Computer) from IBM is announced and arrives at the market. It costs between 1,500 $ (the basic configuration) up to 6,000$ for a fully loaded version with color graphics. A lot of other companies rise, fall or merge to create today a huge industry of Personal Computers. The beginning was modest. A clumsy machine for personal use. NO connection to corporate computers. What changed the way the organizations looked at the PC was one application: THE SPREADSHEET. Then it was called Lotus 1-2-3. It was a huge success. Now we all use Excel for personal and organizational usage.

Security: At this point, information security was not a word mentioned together with personal computing. The challenge was to make it something worthwhile for business. This will take sometime.

4. The 80's saw the emergence of Networks based on PCs instead of Main computers and terminals. In this new era, the "main computer" is called "A server" and the workstations are called "Clients". The important point is that the end user has a computer on his desk, not just a "dumb terminal". It started as a Local Area Network (LAN) and his parallel Wide Area Network (WAN). During this decade emerged the connection of computers by telephone lines using modems. Across the world and in Israel BBSes started to emerge. A BBS (Bulletin Board System) used to be like a "mini Internet". It's a computer managed by somebody (organization or private). He keeps the information and manages connections of others to this information & enables the communication among the subscribers to his service. BBSes used to provide much of what Internet provides today.

Security: As those PCs started to become part of the "organizational computing infrastructure", the problem of securing them arose and from that time on the words "PC, server, workstation or endpoint" and "security" or "Insecurity" (depending who is the speaker and when) are inseparable.

5. In the 90's a lot starts to change:

5.1. Slowly but steadily, Internet emerged as a powerful tool for the working environment and for personal use.

5.2. PC industry develops a new "branch", the laptops, a portable personal computer. A PC that can be taken by the end users in a bag, weights a few kilos and holds anything as if it was the PC in the office.

5.3. The connection possibility using the telephone lines from any point to any point made it possible to connect people (generally system administrators and technical staff) from home to the main company computers to assist in problem determination and solving after "normal" working hours. At that time, this was the main reason to allow remote access to the main "crown jewel of the IT at the company", the main computers. We all remember the famous software PC Anywhere used for this purpose.

5.4. Then came the Y2K crisis and almost everybody replaced the old Technology and bought new hardware and software to avoid this coming crisis. Now at the beginning of the new century, the 21st century, the companies had a lot of modern IT. This was a good reason to explore new directions with this new & advanced technology.

Security: Information Security in general is following the changes in the use of IT described above, but always lagging behind new technological innovations of IT and the ways they are being used.

6. The 21st century:

6.1. Emergence of more remote access to the organizational computers connectivity. Organizations allow remote access not solely for problem solving, but many if not all business activities have the ability to be carried out by the relevant employees from outside the organization via remote access, by using secured channels over the unsecured Internet.

6.2. Emergence of customers accessing the organizational computers as part of the service to customers, replacing many of the traditional physical engagements between the customer and the service giver.

6.3. As we turn the page and enter the 2nd decade of the 21st century starts a new revolution. Instead of two separate devices, a computer and a mobile phone, one device being both: a computer and a cellular phone. This is the SMARTPHONE.

Security: We are at the beginning phase of a revolution in security architecture. Till now we are accustomed to use a static architecture. We implement a lot of security features. On the servers, throughout the entire enterprise network, end point security on every end point workstation inside the enterprise, the perimeter of the enterprise is filled with a lot of security features comprising H/W & S/W, security on laptops, encrypted DOK and monitoring capabilities with siem/soc functionality etc. What is emerging is the need to adjust to a dynamic situation instead of a static one. We start to use sometimes our own mobiles, from different places (home, internet café's, planes, different countries etc.), asking for various kinds of using rights from the enterprise where we work or other organizations where we are registered as clients or support team or whatever it be. This new security architecture should be able to identify the risk that a connecting device poses to the device it wishes to connect to, or the risk posed by the services the connecting device asks for throughout the IT infrastructure. I'll not go further into details of this architecture but I believe this is the revolution IT security will undergo in the coming years.

‏הדלפת המסמכים הגדולה בוויקיליקס והמענה שיינתן

הסיבות: צירוף של צורך לשתף מידע בין מחלקת המדינה (מידע דיפלומטי) וסוכנויות ביון שונות, קושי ביישום עיקרון "הצורך לדעת" במערכות מודיעיניות והסתמכות על ההכשר הביטחוני ללא בקרה טכנולוגית על הוצאת חומר מסווג. המענה: מניעה ובקרה טכנולוגית על הוצאת מידע מסווג ושינויי חקיקה שמשמעותם איבוד פנסיה לעובד פדרלי בסוכנות ביון שידליף חומר ואפילו איננו מסווג.

ב-8 במרץ התקיים שימוע בוועדת הסנט לביטחון וענייני המדינה שבה הציגו פטריק קנדי, תת שר המדינה האמריקני, ותומס פרגוסון, סגן תת השר העיקרי למודיעין של משרד ההגנה, כיצד התאפשרה התקלה במנגנוני האבטחה שגרמה בסופו של דבר שהחייל הזוטר, טוראי ברדלי מנינג מצליח לשלוף מעל רבע מליון מסמכים מסווגים ומברקים דיפלומטיים רגישים מהרשת המאובטחת של משרד ההגנה ה-SIPRNet ולהעתיקם ל-CD's. המברקים הללו נמסרו לויקיליקס אשר פרסם אותם במהלך חודש נובמבר 2010. ההעתקה בוצעה במהלך כחצי שנה: נובמבר 2009 – מאי 2010. באותו השימוע, המנמ"רית של משרד ההגנה, טרזה טקאי מציגה כיצד משרד ההגנה מתכנן לשפר את מערך אבטחת המידע על מנת להגן טוב יותר מפני נסיונות עתידיים של גניבת מידע מסווג. ועוד בבלוג זה, על מהלכי חקיקה עתידיים ותוכנית ה-Director of National Intelligence בנושא.

1. כיצד התאפשרה הדליפה הענקית של מסמכים מסווגים לוויקיליקס

1.1. לשאלה מדוע רשת המחשוב המסווגת של ה-DoD תכיל מסמכים דיפלומטיים של מחלקת המדינה האמריקנית ותהיה נגישה למישהו שאיננו נדרש להם לשם ביצוע תפקידו ניתנה התשובה שהמברקים האלו נמצאים ברשת משרד ההגנה על מנת שקציני המודיעין הצבאי יהיו נגישים להם. כמו באינטרנט, חלק מהמידע ב-SIPRNet מוגן סיסמה וחלק לא. המברקים הללו לא היו מוגני סיסמה.

1.2. לדברי המשתתפים בשימוע הם מאמינים בחשיבות שיתוף מידע. תהיה זו טעות גדולה וסיכון לביטחון הלאומי אם מחלקת המדינה תנסה להגדיר כל אחת מ-65 הסוכנויות שאיתן משתפים מידע כדי לומר: "טוראי סמית יכול לצפות במברק זה, לויטנט ג'ונס יוכל לצפות במברק אחר". המדיניות שבתוקף כבר שנים רבות בין מחלקת המדינה והסוכנויות האחרות הינה שאנו מספקים את המידע לסוכנות אחרת והסוכנות האחרת אחראית לבקרת הגישה של עובדיה למידע שאנו מספקים לה.

1.3. חוקי אבטחת מידע אחרים מיושמים במערכות IT באזורי קרבות. בשונה מההומוגניות של מערכות IT אשר משתפות מרכיבים דומים בארה"ב, כפי שנמצא ב-Bank Of America, מחשבים באזורי קרבות בהרבה מקרים מחוברים באופן בלתי מקצועי / ברשלנות. ולעתים על מנת להעביר מידע ביניהם, פשוט ומהיר יותר להשתמש במדיה נתיקה, במיוחד כאשר באזורי קרבות אלה, צבא ארה"ב עובד יחד עם צבאות אחרים שלהם מערכות מיחשוב אחרות. המיקוד בשדה הינו מהירות וגמישות - (Speed & Agility). נלקח סיכון מחושב של הענקת הרשאת גישה לא רק לטוראי מנינג, אלא גם לרבים אחרים אשר משרתים שם "לנוע באותו הקצב". לכל מי שהותרה גישה לרשת ה-SIPRNet יש הכשר בטחוני. רוב המיקוד שלנו בנושא מענה לאיומים, כוון כנגד הסיכון של חדירת גורם עויין חיצוני. ולא לאיום הפנימי.

2. המענה המתוכנן של משרד ההגנה האמריקני

2.1. על מנת למנוע פריצות עתידיות, המנמ"רית של משרד ההגנה אמרה שתתחיל הנפקה למשתמשי רשת ה-SIPRNet של כרטיסים חכמים הזהים לאלו שחולקו למשתמשי הרשת הלא מסווגת שלהם. המספר הגדול של כרטיסים שנדרש לחלק (חצי מליון), ביחד עם קוראי כרטיסים ותוכנת העזר הנלווית, משמעותו שהחלוקה תסתיים בסוף שנת 2012. ויקח עד מחצית 2013 כך שכל שרתי SIPRNet יכירו בכרטיסים.

2.2. זמן ההנפקה הארוך נגרם מאחר ויש להנפיק מספר גדול של כרטיסים בסביבה ברת אמון, ובנוסף, מספר גדול של מחשבים וכח אדם אשר אמורים לקבל את הכרטיסים, קוראי הכרטיסים והתוכנה מצויים באתרים מבודדים, כגון ספינות בלב ים.

2.3. המנמ"רית הוסיפה שהמשרד מקווה למנוע הישנות דליפת מידע בעתיד באמצעות הטמעת מערכת אבטחה אשר מנטרת את קונפיגורציית המחשב. מודול במערכת מבצע בקרה על שימוש בהתקנים ומאפשר לבטל את היכולת לעשות שימוש במדיה נתיקה. עבור מקרים יוצאים מן הכלל האמור, יופק דוח בזמן אמת לכל נסיון לכתיבה למדיה נתיקה. במחשבים שבהם לא תוטמע מערכת האבטחה ייעשה שימוש באמצעים אחרים, כגון: הורדת התוכנה המאפשרת כתיבה ל-CD. המנמ"רית ציינה שהמשרד ביטל את אפשרות הכתיבה ב-90% ממחשביו ורכיביו. בשאר אלו שבהם הושארה יכולת הכתיבה למדיה נתיקה חיצונית מסיבות של דרישה מבצעית, ביצוע העתקה נעשה תחת בקרה אנושית הדוקה.

2.4. המנמ"רית הוסיפה כי המשרד בוחן מודול ביקורת ייעודי שפותח ע"י ה-National Security Agency הניתן לשילוב במערכת האבטחה. המודול משפר את יכולות מערכת הביקורת הקיימת ומדווח למפעילי הרשת על התנהגות חשודה של משתמשים ברשת.

2.5. בתשובה לשאלה מדוע משרד ההגנה איננו מתבסס על תוכנה מבוססת תפקיד (roll based software) המגבילה את המשתמשים למידע שקיבלו היתר לגשת אליו מתוקף תפקידם (Need To Know) ענתה המנמ"רית שאומנם הטכנולוגיה ישימה, אך במקרים רבים יהיה קשה לקבוע עפ"י הגדרת התפקיד מהן ההרשאות שיש להעניק למי שמבצע את אותו התפקיד. לדבריה, בעוד שייתכן שאפשר יהיה למנוע מהאנליסט הכלכלי מלקבל גישה להיקפים גדולים של מידע מודיעיני, עדיין יידרש כי האנליסט המודיעיני או מתכנן הפעילות יידרש לגישה לכמות עצומה של מידע מאחר וגישה כזו הינה חיונית להצלחת הפעילות של הפונקציה אותה הוא משרת.

3. שני צעדים נוספים נחשפים גם הם במהלך חודש מרץ

3.1. חקיקה שתלויה ועומדת בוועדת הסנט לענייני מודיעין תחייב עובדים פדרליים המועסקים ברשויות מודיעיניות לחתום על נספח לחוזה שבו הם מתחייבים לוותר על הפנסיות הפדרליות שלהם באם ייתפסו מדליפים אפילו מידע לא מסווג לגורמים חיצוניים דמויי וויקיליקס או אפילו לחברי קונגרס. הדרישה הזו הופכת את המדליפים לגרועים ממרגלים וזו נקודה מעניינת למחשבה. אשתו של אחד מרבי המרגלים רוברט הנסן, הצליחה לקבל מחצית מהפנסיה של בעלה לאחר הגעה להסדר טיעון עם השלטונות בעוד בעלה הואשם והורשע בריגול חמור ויושב מאחורי סורג ובריח. שאלה נוספת האם מנסות סוכנויות המודיעין לחפות על "פשעים אזרחיים" כדוגמת הונאה ומעילה (והיו כאלו) בשם הביטחון הלאומי.

3.2. מנהל הביון הלאומי (Director of National Intelligence-DNI) מפרסם ב-11 במרץ הנחיה (דירקטיבה) לקהיליית המודיעין הדורשת גישת פעילות אחידה להגנת סביבת המידע של קהיליית המודיעין. סביבה זו היא סביבה מקושרת של סיכון משותף כאשר סיכון שנלקח ע"י גורם אחד של הקהילייה הופך מעשית לסיכון של כולם. על כן הגנה משולבת של סביבת המידע הינה חיונית על מנת לשמר את הסודיות, שלמות ואמינות וזמינות של המידע המצוי בכל אחד ממרכיבי הקהילייה. בעוד שההנחייה איננה מפרטת את אמצעי ההגנה שיינקטו היא קובעת שיכללו בה "איתור, בידוד, הכלה ותגובה לאירועים הכוללים דלף, הפסקת פעילות, ניצול פגיעויות, תקיפות ופגיעויות אחרות". יוקם מרכז תגובה לאירועים עבור הקהילייה אשר יאפשר קבלת תמונת מצב של טופולוגיית הרשת, כולל נקודות החיבור שבין רשתות חברי הקהילייה, איומים, ופעילויות אשר עלולות לפגוע בסביבת המידע של הקהילייה והצגת המצב הכללי של הגנת סביבת המידע של הקהילייה.

ניהול יעיל של אבטחת מידע בעשור הראשון במאה ה – 21 מרובת הרגולציות באמצעות הסמכה לתקן אבטחת מידע ת"י 27001 - עדכון למאמר מלפני שנתיים

מאמר שזו כותרתו פורסם בדיוק לפני שנתיים, כאחד מהמאמרים הראשונים בבלוג.

אם נתמצת את האמור בו תוך עדכון להיום, במשפטים הבאים:

ניהול יעיל של אבטחת מידע בארגון יתבסס על יישום אבטחת מידע באופן יזום ע"י מנהל אבטחת המידע לפני שייאלץ לעשות זאת בגין רגולציה מגזרית או חובה חוקית לאומית או בינלאומית. בתהליך זה מומלץ להשתמש בתקן 27001/27002.

היתרון הוא שבתהליך פרואקטיבי (יזום) ע"י מנהל אבטחת המידע יש סיכוי (מותנה במנהל אבטחת המידע ובהשגת התקציבים הדרושים) לבנות מערך אבטחת מידע ארגוני אפקטיבי המספק מענה סביר לאיומים ולסיכונים בכל מערך טכנולוגיית המידע לאורך כל מחזור החיים שלו ובסביבות השונות שבהן הוא מופעל.

תהליך יישום אבטחת מידע שיתבסס רק על חובה רגולטורית אומנם יתרחש, אבל בדרך כלל יש לו שני חסרונות מרכזיים:

1. לוח הזמנים מוכתב ע"י הרגולטור ועל כן המטרה איננה לעשות אבטחת מידע נכון, אלא לעמוד בדרישות עפ"י לוח הזמנים.

2. מסיימים ליישם אבטחת מידע היכן שמסתיימת הדרישה הרגולטורית. הפורץ איננו מסיים לפרוץ עפ"י קווי ההגנה שהרגולטור קבע. להיפך, נקודת ההתחלה שלו היא בדיוק נקודת הסיום של הרגולטור, ובכך הופך את יישום הרגולציה רק עד לנקודה שבה הרגולטור אמר את דברו לבעייתית. שכן היא יוצרת פירצה מצויינת עבורו. הוא אפילו לא צריך להתאמץ לחפש אותה היא מוגשת לו על "מגש של כסף".

לפני חודשיים,מופיע מאמר שכותרתו פרובוקטיבית:

Security: Best practice or ancient ritual? Time to Scrap ISO 27002 security standards says its author

אמירה נוקבת. הוא איננו מאשים אחרים, שכן לדבריו הוא עצמו כתב את רוב הטיוטה של מה שהפך ברבות הימים להיות התקן.

הוא יוצא בעיקר כנגד העובדה שהגיון בריא ויצירתיות פסו מעולם אבטחת המידע. לדבריו לפני שני עשורים עולם אבטחת המידע היה עשיר ברעיונות תחרותיים ואילו כיום כל מצגת דומה לאחרת. מנהלי אבטחת המידע כבולים לטחנת רוח של דרישות ציות שאבד עליהם הכלח ומונע מהם להסתכל קדימה לעבר הסיכונים החדשים.

לדעתי הברנש צודק וטועה. הוא צודק בעובדה שעולם אבטחת המידע קפא על שמריו, יש המון טכנולוגיות חדשות אבל חשיבה חדשנית ויצירתית חסרה. הוא טועה בכך שהוא מאשים את התקן. התקן נולד מתוך מציאות שבה מוצרי היסוד של מערך טכנולוגיית המידע (חומרות ותוכנות) אינן מספקות אבטחה טובה, ועל כן יישום אבטחת המידע נותר לשלב ההטמעה של הטכנולוגיות הללו בארגון.

התקן לניהול אבטחת המידע (27001/27002) איננו פתרון לשאלה מדוע מוצרי היסוד (חומרה ותוכנה) אינם מאובטחים כראוי. זו בעיה אחרת. התקן מספק מענה שבהינתן חומרות ותוכנות אלו, מהי המעטפת האבטחתית שהארגון מספק. בכך זו כבר שאלה של מנהל אבטחת המידע בארגון לאן הוא לוקח את הארגון במסע להסמכה לתקן.

אשמח לקבל תגובות ולשמוע דעותיכם בנידון.

הגנת פרטיות ואבטחת מידע, לא שני צדדים של אותה המטבע.

המאמר השלישי יעסוק בנושא הגנת פרטיות ואבטחת מידע.
חשבתי שיהיה זה המאמר האחרון בסדרה זו, ובא פסק דין תקדימי של בית הדין לעבודה בעניין
מה מותר ואסור לכם לעשות במחשב של העבודה :
http://www.ynet.co.il/articles/0,7340,L-4026589,00.html

וגרם לכך שבימים הקרובים תתווסף לה רשימה רביעית בסדרה זו.

לכאורה אמירה תמוהה: הרי בחוק הגנת הפרטיות הישראלי, אבטחת מידע הינה אבן הראשה בכל הגנת הפרטיות.
במאמר זה אני מנסה להציף נושא בעייתי. טענתי היא שפעילויות מסויימות הנדרשות לשם שמירה על רמה נאותה של אבטחת מידע, עלולות לגרום (וככל הנראה מחוסר הבנה ומודעות לעניין) גורמות כיום לפגיעה בפרטיות, יתר על כן, הפגיעה נובעת מדרישות רגולטוריות אזרחיות ולא דרישות בטחוניות.

נקח לדוגמה את הדרישה הקיימת ברגולציות רבות (ישראליות ובינלאומיות) של רישום מלא של פעילויות עובדים ולקוחות במערכות המידע. כך ארגונים פיננסיים למול עובדיהם ולקוחותיהם, כך ארגונים העושים שימוש בכרטיסי אשראי במסחר אלקטורני (מסוגים שונים) למול המבצעים את פעילויות הקניה ועוד. בעידן של שימוש באמצעים ניידים (בלשון העדכנית "טלפונים חכמים", אלא שזה איננו טלפון כלל וכלל, זה מחשב לכל עניין ודבר) לפעילויות הללו, לא רק שנשמר מידע על מבצע הפעילות, אלא עלול או עשוי (תלוי בנקודת המבט) להירשם מידע על מיקומו של מבצע הפעילות בעת עשיית הפעולה (במכשירים אלה, GPS הינו מרכיב מובנה...). המצרפיות של המידע הנאגר במערכות המידע הארגוניות, שנדרש לאוספן, לשומרן ולנתחן מהסיבות הכי מוצדקות ברמה הפיננסית (מניעת הונאות, עקב גניבת זהות לדוגמה), מאפשרת מהפן השני בניית פרופילי התנהגות, איתור מיקומו של הלקוח (בניית פרופיל "התנהלות גיאוגרפית") ונתונים נוספים שהינם אישיים פרטיים. השימוש בהם נתון לגחמותיו של הארגון.
מן העבר האחד, אפילו נניח שאיסוף ושמירת כל הנתונים חיוני ונעשה תוך שימוש במיטב שיטות ואמצעי אבטחת המידע ההולכים ומשתכללים, למיטב ידיעתי, שיקולי הגנת הפרטיות הקשורים בעצם איסופם, אופני שמירתם (כולל גיבויים) ועיקר העיקרים למי הזכות לצפות בהם, אילו שימושים מותרים ואילו אסורים, מה משך שמירתם והיכן, אינם נדרשים ע"י הרגולטורים השונים, ומן הסתם אינם מחייבים באותה הרמה כפי שמחייבים שיקולי אבטחת המידע.
דוגמה נוספת הינם פערים מהותיים בידע וביכולת יישום דרישות אבטחת המידע אל מול הגנה על הפרטיות.
בעוד שהדרישה למימוש אבטחת מידע נדרשת מהארגונים, הדרישה להתמודד עם ההגנה על הפרטיות "מופלת" ברובה על הפרט. בארגונים רבים יש מנהל אבטחת מידע, מנהל טכנולוגיית המידע, וצוות מקצועי רב ומיומן (יחסית) להתמודד עם נושאי אבטחת המידע. אם חסר, אז יתכבד הארגון וירכוש שירותים מקצועיים במיקור חוץ. היכן אנשי המקצוע שתפקידם לממש הגנת פרטיות בארגונים? נדא, אין. אפס. את ההגנה על הפרטיות משאירים לאזרח עצמו. זה כל כך מגוחך שאני חושב שאין צורך להוסיף אפילו מילה אחת מהי המשמעות.
אפילו בחוק הגנת הפרטיות הישראלי הקיים המקצוען בחוק הינו: "ממונה על אבטחת המידע" ואין שום דריש למקצוען "ממונה על הגנת הפרטיות". (כאן המקום לגילוי נאות: אני אחד ממעצביו של החוק. בשנים 1994-1996, בעת היותי מנהל אבטחת המידע במשרד הבריאות, השתתפתי מטעם המשרד בישיבות וועדת החוקה חוק ומשפט והייתי זה שבמו ידיו גרם להוספת הסעיף המחייב מינוי ממונה על אבטחת המידע. בשנת 1996 זה נראה שיפור משמעותי להגנת הפרטיות. היום זה איננו המצב). הפער הזה ממש צועק לשמים.
למעשה, ככל שפתרונות אבטחת המידע מאפשרים את פריחת המסחר האלקטרוני, השימוש באמצעים ניידים אישיים וביצוע חלק משמעותי של הפעילויות הדיגיטליות "תוך כדי תנועה", כן יגבר הלחץ לוותר על הפרטיות. אנו נחזה ביותר כלים טכנולוגיים של מיקוד הפרסום מול הגולש, פיתויו לבצע Personalization מול האתר האינטרנטי, שימוש מרובה ב – Cookies וכדו', מבלי שהגולש התמים מבין בכלל את המשמעות של החדירה לפרטיותו המתלווית לכל הטכנולוגיה הזו. נכון, יש לו אפשרות "לוותר" opt out...
נדרשת רוויזיה משמעותית בהבנה שבלי אבטחת מידע אין הגנת פרטיות, אך הגנת פרטיות מחייבת הרבה יותר מאשר אבטחת מידע. בין יתר השינויים הנדרשים יש להפוך את נושא הגנת הפרטיות למקצוענות מחייבת בדומה לאבטחת מידע.

הגנת פרטיות - על ציות ואי ציות לחוק במדינת ישראל

המאמר השני בסדרה יעסוק בנושא של ציות לחוק. במקרה זה, ציות לחוק הגנת הפרטיות.

במהלך כהונתי כמנהל אבטחת המידע של משרד הבריאות נשאלתי לא אחת ע"י מנהלי בתיה"ח הממשלתיים, מהן החובות שלו כמנהל מאגר המידע המרכזי של ביה"ח ובייחוד חובות שעל פניהן איננו יכול לעמוד בהן. דוגמה מובהקת הינו הסעיף הבא המגדיר את אחד מהמקרים המנויים בחוק לפגיעה בפרטיות, פרק א', סעיף 2, סעיף קטן 11:
פרסומו של ענין הנוגע לצנעת חייו האישיים של אדם, לרבות עברו המיני, או למצב בריאותו, או להתנהגותו ברשות היחיד.
ונצטמצם ל: "פרסומו של עניין הנוגע... למצב בריאותו של אדם".
בלשון פשוטה, פרסום דבר אשפוזו של אדם בבי"ח (שכן אדם בריא איננו מתאשפז, אלא רק מי שחולה) מהווה פגיעה בפרטיות. למותר לציין שבמדינתנו רוויית אירועי ריבוי נפגעים, לא ניתן היה בעבר (וספק אם גם כיום) לציית לדרישת סעיף זה בחוק, והוא איננו הסעיף היחיד הבעייתי.
ומה הייתה תשובתי למנהלי בתיה"ח? בלשון של היום היינו מכנים אותה: ניהול סיכונים כולל, אלא שאז ניסחתי זאת כך:
מדינת ישראל מינתה אותך לנהל בית חולים. בתפקיד זה עליך למלא אחר מגוון דרישות חוק, רגולציות, צווים, הנחיות מקצועיות ומינהליות. כולם נועדו להגדיר ולסייע לבית החולים למלא את ייעודו כמוסד רפואי במדינת ישראל המטפל בחולים. לא התמנית למלא אחר שורה אחת, פסקה אחת או חוק אחד. התמנית כדי שתעצב על פי נסיונך המקצועי והניהולי ובעזרת ההנהלה של המוסד את התקן שעל פיו יפעל המוסד שאתה מנהלו. עליך למצוא את האיזון הנכון המתאים לאוכלוסיה אותה אתה משרת, החולים הבאים בשעריך, בני משפחותיהם וגם מעגלים רחבים יותר, ולהנחיות הפורמליות המוטלות עליך. אין בסמכותי מטעם משרד הבריאות לומר לך לא לציית לדרישה בחוק. בסמכותך לקבוע את סדרי העדיפויות על מנת לבצע את תפקידך ולעמוד על כך לביקורת הציבורית כפי הקבועה בחוק. ובכל תנאי, עליך לפרסם את ההנחיות שעל עובדי המוסד לעבוד על פיהן, לוודא הדרכתם בעת קבלתם לעבודה ובאופן תקופתי, ועיקר העיקרים, ולגבות אותם במידה ופעלו בהתאם להנחיותיך. זוהי תמציתה של מנהיגות ניהולית.
כך נהגתי אני עצמי בתהליכי קבלת ההחלטות בתחום אחריותי במשרד הבריאות. ניהול פירושו ללמוד את התחום, לקבל החלטות ולעמוד לביקורת הרלוונטית על אותן ההחלטות.
דוגמה א': החלטתי בזמנו כי מאחר ואין הפרדה חוקית בחוק ובתקנות להגנת הפרטיות בנושא סוגי מידע רפואי לחלקיו השונים, אזי נהלי אבטחת המידע להגנת המידע הרפואי במסגרת מערכת הבריאות הממשלתית יהיו אחידים ולא יבדילו בין סוגי מידע רפואי. חושבת החברה הישראלית כי מידע בתחום בריאות הנפש רגיש יותר, תתכבד החברה הישראלית באמצעות נציגיה בכנסת לשנות את החקיקה בעניין זה.
דוגמה ב': על הפרק מימוש דרישות אבטחת מידע בבתי החולים הממשלתיים הכלליים. השנה 1997. באותה השנה יוצא לדרך פרוייקט נמ"ר. פרוייקט שמשמעותו החלפת כל מערך המיחשוב בבתי חולים אלה בתוך מספר שנים. החלטתי לא "לטרטר" את בתי החולים בשיפור המצב הקיים ולהשקיע את כל המאמצים בשילוב דרישות אבטחת המידע בפרוייקט הנמ"ר.

שתי ההחלטות נבעו מהליך של ניתוח המצב הקיים על בסיס "ניהול סיכונים כולל", הצגת ההמלצה בפני דרגי הניהול במשרד הבריאות ובפני גורמי הביקורת הרלוונטיים כדוגמת מבקרת המדינה ושכנועם. בכך הוכח כי ישנה דרך אמיתית להתנהל בטווח קצר, בינוני וארוך במערכת הממשלתית כאשר לך כמנהל אבטחת המידע יש את הידע, היכולת והכושר הניהולי להתמודד, כמו גם גיבוי ניהולי בתוך המשרד עצמו.