פוסט מסכם – ניהול אבטחת מידע – מילות סיכום ומבט לעתיד

פוסט זה מסכם את סדרת הפוסטים בנושא ניהול אבטחת מידע ומתייחס גם לאופנה הנפוצה כיום של איחוד נושאי ניהול סיכונים תחת "מטריה אחת" – ניהול סיכונים ארגוני.

ראשית, מבט קצר על פרקי הסדרה

תחילת הסדרה עסקה בשאלה: את מה מנהל מנהל אבטחת המידע?

המתודולוגיה מכתיבה שאבטחת מידע הינה טיפול בשלושה מרכיבים: סודיות, שלמות ואמינות, זמינות ושרידות.

במדינת ישראל, אם בארגון מונה מנהל אבטחת מידע אזי בפועל הוא אחראי בעיקר על מרכיב הסודיות. אין לזלזל במרכיב זה, מבין השלושה, דווקא המענה לסודיות דורש את ההתייחסות הרחבה ביותר כאשר אנו עוסקים בטכנולוגיית מידע. המענה לנושא האיומים על הסודיות מתפרס על פני התחומים הבאים: ארכיטקטורת פריסת מערכות טכנולוגיית המידע, הגדרת מדיניות להפעלת מערכות טכנולוגיית המידע רכיב אחרי רכיב (רכיבי התקשורת, מערכות ההפעלה, מסדי הנתונים, יישומים) ולבסוף מגוון תהליכי העבודה שנקבעו עבור המשתמשים לסוגיהם השונים. האחריות לנושא שלמות ואמינות המידע תמצא בדרך כלל בידי מנהלי הפיתוח/מנהל מערכות המידע (מנמ"ר) עצמם, כך גם נושא הזמינות. שונה לגמרי נושא השרידות, שכן שרידות הנה פתרון לתרחיש/ים של פגיעה בזמינות. בדרך כלל האחריות לשרידות ניתנת למנהל בכיר בארגון שכן מדובר בתקציבים ומשאבים גדולים ליישום מענה.   

ניהול אבטחת מידע וחקיקה/רגולציה בישראל

מספר חוקים רגולציות עוסקות בנושא זה ומחייבות חברות וסקטורים שונים:

1.        חוק ותקנות להגנת הפרטיות,

2.         חוק להסדרת הביטחון בגופים ציבוריים,

3.        הוראת ניהול בנקאי תקין מס' 357 לתאגידים בנקאיים מטעם המפקח על הבנקים,

4.        ניהול סיכוני אבטחת מידע לגופים מוסדיים מטעם המפקח על הביטוח.

שני מרכיבים לניהול אבטחת מידע: מיצוב ארגוני ותחומי אחריות:

 

א.   מיצוב ארגוני. שלושה מהארבעה (חוק להסדרת הביטחון, והוראות המפקח על הבנקים והמפקח על הביטוח) שמים דגש ומציבים עמדה ברורה בעניין זה (מנהל אבטחת המידע הנו נושא משרה בכיר). חוק הגנת הפרטיות איננו מתייחס לסוגיה זו כלל וכלל. גם הסמנטיקה של "ממונה אבטחת מידע" בלשון חוק הגנת הפרטיות ממעיטה מחשיבות/בכירות המשרה, בבחינת מיהו ממונה? מי שמונה וזה יכול להיות כל עובד בארגון, לעומת מנהל שזו הגדרה ברורה לנושא משרה ניהולית, ומבדלת את נושא המשרה מעובד שאיננו מנהל.

ב.   תחומי אחריות. במישור CIA (סודיות, שלמות ואמינות, זמינות ושרידות) ובמישור אבטחה פיזית למול אבטחת המחשבים:

1.     חוק הגנת הפרטיות מתייחס לכל ה-CIA וכולל התייחסות לדרישות לאבטחה פיזית ומיחשובית,

2.     חוק להסדרת הביטחון נחזה להתייחס ל-C בלבד וקיימת הפרדה בין פעילות אבטחה פיזית ופעילות אבטחת מידע,

3.     הוראת המפקח על הבנקים ל-C ול-I בלבד ומחייבת אספקת מענה פיזי ומיחשובי,

4.     הוראת המפקח על הביטוח לכל ה-CIA. גם הוראה זו מתייחסת לפן הפיזי והמחשובי.

נראה שבמבחן ההתאמה למציאות, המחוקקים והרגולטורים במדינת ישראל אינם קוהרנטיים בינם לבין עצמם, דבר העלול להקשות על ארגונים הנדרשים לעמוד במספר חוקים/דרישות רגולטוריות לקבל החלטות בעניין תחומי האחריות של מנהל אבטחת המידע.

מנהל אבטחת מידע: טכנולוג או מנהל

אבטחת מידע בארגון הנו תהליך החוצה את כל היחידות הארגוניות. מדובר במגוון פעילויות הדורשות הכרת תהליכי יצירת, שינוע ואגירת מידע בכל תהליכי העבודה בכל אחת מהיחידות הארגוניות. ככזה מחייב מוטת שליטה רחבת היקף. מזה זמן כבר לא מדובר על משימה טכנולוגית בלבד. זו משימה המחייבת כישורים ניהוליים. כישורים ניהוליים נדרשים כוללים את:

1.        היכולת להבין מתוך הגדרת התפקיד כפי שהוטל, כיצד לפרק אותו לנושאים הספציפיים.

2.        לסמן בכל נושא מי אמור לבצע אותו, מתי אמור להתחיל ולהסתיים, ומה המשאבים הנדרשים על מנת לבצע אותו.

3.        להוציא לפועל את הפעילויות הנ"ל.

4.        להוביל בארגון את ניתוח האיומים, הסיכונים והמענים להם למידע ולטכנולוגיית המידע בתחום הסודיות, ובמידה מסוימת גם בנושאי שלמות, אמינות וזמינות.

5.        להגדיר פרמטרים למדידת רמת אבטחת המידע של הארגון בתחומי אחריותו.

6.        להציג בפני הנהלת הארגון מעת לעת ועפ"י בקשה את מצב אבטחת המידע עפ"י פרמטרי המדידה.

מערך הנושאים המתואר לעיל הינו במובהק בתחום הניהול. על כן, מנהל אבטחת המידע, בין שהינו בעל רקע טכנולוגי רחב או צר, חייב להיות בעל יכולות ניהול לפחות ברמה של כל מנהל אחר בארגון. באם יהיה רק בעל יכולת טכנולוגית, יבצר ממנו להפוך את תחום אבטחת המידע (ואפילו זה "רק" מרכיב הסודיות), לנושא המוטמע בתהליכי העבודה הארגוניים, כדוגמת: תהליכי רכש, שיווק, פעילויות ליבה עסקיות (בהתאם למגזר שאליו משתייך הארגון) וכד'. אבטחת מידע בארגון משמעותה הינה אחת, אבטחת מידע המוטמעת כדבר שבשגרת העבודה בתהליכי העבודה הארגוניים. כבר מזה זמן לא מדובר בתהליך טכנולוגי צר.

אבטחת מידע: הנחיה, ביצוע ובקרה – הפרדת תפקידים וסמכויות

שלושה תהליכי עבודה מרכיבים את מקצוע אבטחת המידע: הנחייה – הצבת דרישות, ביצוע ההנחיה, וביצוע בקרה כיצד ההנחיה מבוצעת בפועל.

בדרך כלל נעדיף שמנהל אבטחת המידע יעסוק בהנחיה ובבקרה יישום הנחיותיו. ביצוע ההנחיות יימסר בידי גוף תפעולי בתחום טכנולוגיית המידע אשר חייב להכשיר עצמו לביצוע המשימה. זאת למעט מספר נושאים מצומצם שגם ביצועם יישאר בידי מנהל אבטחת המידע (נושאי הניהול עצמם). רזולוציית ההנחיה הינה עניין לשיקול דעת מקצועי והתאמה ארגונית. בקרה על ביצוע ניהול אבטחת המידע עצמה תימסר לידי יחידת ביקורת הפנים בארגון אשר נדרשת לידע מקצועי בנושא זה.

מיקום ארגוני של מנהל אבטחת המידע ותפקוד אבטחת מידע

שתי אסכולות קיימות:

1.        מנהל אבטחת המידע אסור שיהיה חלק ממערך מערכות המידע בארגון.

2.        מנהל אבטחת המידע יכול להיות חלק ממערך טכנולוגיית המידע בארגון.

לטעמי השאלה שיש לספק עליה מענה הנה שונה:

בהינתן כל מה שידוע לנו עד לנקודה זו, מהם התנאים הנדרשים על מנת שמנהל אבטחת המידע יוכל לבצע את תפקידו כהלכה. התשובה מורכבת משתי אבני בניין.

הראשונה, היררכיה ארגונית סמכות ואחריות:

1.      על מנהל אבטחת המידע להיות חבר בהנהלת הארגון, או כפוף למנהל שהוא חבר הנהלת הארגון. אותו חבר הנהלה יכול להיות מנהל מערכות המידע, או כל מנהל אחר שהנו חבר הנהלה.

2.      נדרשת וועדת היגוי לאבטחת מידע. מנהל אבטחת המידע משמש מזכיר הוועדה. יו"ר הוועדה הנו מנהל בכיר מבין חברי הנהלת הארגון. וועדת ההיגוי תשקף פריסת סמכויות ואחריות הנהלת הארגון בתחום אבטחת מידע.

השנייה, ההיבטים הפורמליים של תיעוד תהליכי עבודה:

1.        מדיניות אבטחת מידע שבה נכללת מחויבות ההנהלה לאבטחת מידע ולתקצובה הנאות.

2.        תהליך מובנה, סדור, מנוהל ומבוקר של כתיבת מסמכים המתארים תהליכי עבודה (נהלים, הוראות עבודה, הוראות תפעוליות וכיו"ב) לאבטחת מידע ולשילוב אבטחת מידע בכל תהליכי העבודה הארגוניים הרלוונטיים.

אבטחת מידע ואבטחה פיזית

אבטחה פיזית מספקת מעטפת אבטחה המהווה תשתית להגנה על אנשים, נכסים ומידע. על כן קיימת חשיבות רבה לשיתוף פעולה בין שתי הפונקציות.

יחד עם זאת, אין הכרח שיהיו תחת אותה קורת גג ניהולית, אם כי, כאשר האבטחה הפיזית ואבטחת המידע מצויות תחת קורת גג ניהולית משותפת קיים פוטנציאל גבוה יותר לשילוב מנצח של הגנה על המידע ונכסי המידע.

אבטחת מידע וניהול כולל של סיכונים

בעשור הקודם החלו לנשב רוחות חדשות. תחילה רגולציה כלל עולמית בשם בזל II שחלה על מערכת הבנקאות ברחבי העולם. זו מביאה לעולם מונח חדש: "סיכונים תפעוליים". ומהו סיכון תפעולי אליבא דבאזל II?

"הסיכון שבהפסד הנובע מכישלון או אי התאמה של תהליכים פנימיים, אנשים או מערכות, או מאירועים חיצוניים". מערכות טכנולוגיית המידע מתאימות "בול" להגדרה זו.

אז מה קיבלנו? שסיכוני טכנולוגיית המידע הם בסה"כ מקרה פרטי של עולם הסיכונים התפעוליים.

התוצאה: לא עוברות אלא שנתיים שלוש מאז שמומצא המונח הזה, וכבר יש לנו תוכנות שמסייעות לתאגידים הבנקאיים הגדולים בעולם לנהל את הסיכונים התפעוליים. והיכן היא טכנולוגיית המידע/אבטחת מידע? פשוט נעלמת... מדהים, אבל בכלי התוכנה הללו טכנולוגיית המידע איך אמרנו בילדותנו "לא פונקציה"? אז זהו, לא סופרים את טכנולוגיית המידע. מדוע ולמה? כי הרי הכל תהליכים עסקיים. טכנולוגיית המידע היא רק "ספק שירותים" של התהליכים העסקיים.

עוברות עוד שנתיים שלוש ונדמה ש"קם הגולם על יוצרו" בואו נעשה את מגדל בבל של ניהול הסיכונים. נקים פונקציה שתקרא: "משרד ניהול הסיכונים הארגוני" נעשה "פריש מיש" ונקבל על סרגל אחד את כל הסיכונים של הארגון מהנמוך ביותר ועד הגבוה ביותר. הרי זה משובח. עכשיו סוףסוף תוכל הנהלת הארגון פעם ראשונה בתולדותיה לראות מהם הסיכונים שאתם הארגון צריך להתמודד ולתעדף.

ועכשיו אנה נעלם מנהל אבטחת המידע? נחזור לתחילת הדיון. הוא מנהל בעיקר את הסיכון לסודיות של המידע במערכות המידע. איזו חשיבות כבר יכולה להיות לסודיות המידע? כיצד יישום מדיניות שימוש נכון בתשתיות טכנולוגיית המידע (מה שקרוי בז'רגון המקצועי: "הקשחה") מתמודדת עם סיכון של אובדן שוק עקב תחרות? כיצד הטלאת כשלי אבטחה (מה שקרוי בז'רגון המקצועי (Security patches policy משפר את התחרותיות? הרי לכם המענה: אי אפשר לדעת. רק בעקיפין נוכל לומר שבהעדר יישום מדיניות הקשחה נכונה, או בהעדר מדיניות הטלאה של פגיעויות בתוכנות גובר הסיכוי לריגול תעשייתי. מישהו מקשיב בהנהלה? מסופקתני.

אז מה עושים? מחכים שהאופנה הזו תעבור, כפי שכל אופנה עוברת חולפת לה. בינתיים עושים ככל הניתן לשמר ולשפר את המענים לאיומים ולסיכונים למידע ולטכנולוגיית המידע שכן אלו לא מתייחסים לאופנה כזו או אחרת ומשתדלים ככל הניתן להיות מקצוענים. שם המשחק הוא מקצוענות.האויב הנו מקצוען גם מנהל אבטחת המידע וכל מי שעיסוקו ניהול סיכוני המידע וטכנולוגיית המידע חייב להתמקצע.

      

                                                                                 

אבטחה פיזית ואבטחת מידע

פוסט בסדרת הפוסטים העוסקים בניהול אבטחת מידע

פוסט זה מתייחס לנושא הזיקה שבין האבטחה הפיזית ואבטחת מידע וכיצד עדיף למסד אותו.

הביטחון הפיזי, כשמו כן הוא, מתן מענה, דהיינו הענקת ביטחון, למול איומים וסיכונים לנכסים פיזיים, כדוגמת: אנשים, בניינים, מתקנים, וכל ציוד או נכס שהנו בעל ערך. המענה נדרש כאשר הנכס שיש להגן עליו מצוי "במנוחה" או "בתנועה", דהיינו נייח או נייד. מתודולוגיות אבטחה פיזיות לנכסים פיזיים הינן ותיקות, מוכרות וידועות וכמובן מתפתחות עם השנים, בהתאמה לאיומים והסיכונים הפיזיים ובהתאם לטכנולוגיות המתחדשות.

בהיבט זה, מתקן עשוי להיות מתקן המחשב (בשמו אז, "מרכז החישובים המרכזי", או בשמו היום: "חוות שרתים ארגונית"), ציוד עשוי להיות מחשב (נייד או נייח), ונכס בעל ערך עשויה להיות מדיה מגנטית נתיקה (דיסק שליף, Disk On Key, CD ודומיהם) או דוח שהודפס על נייר. דוגמאות אלה ממחישות (כך אני מקווה) באופן ישיר ומידי את העובדה שהביטחון הפיזי קשור קשר ישיר להגנה על נכסי המידע של הארגון. אין זה הקשר היחיד. בשנים האחרונות, ומגמה זו רק הולכת וגוברת, חלק הולך וגדל מאמצעי ההגנה שבהם משתמש הביטחון הפיזי כדוגמת אמצעים לבקרת כניסה פיזית למתקן, לחדר או לאזור כלשהו, מצלמות וציוד התראה ומעקב הפכו להיות אמצעים דיגיטליים, משמע, ממוחשבים. המשמעות הינה שאותם האמצעים המשמשים כאמצעי הגנה פיזית, חשופים כעת לאותם האיומים והסיכונים שאליהם נחשפים אמצעי המחשוב הארגוניים. ניקח לדוגמה את מצלמות האבטחה. מדובר במצלמות דיגיטליות אשר מחוברות לרשת תקשורת, מעבירות למרכז בקרה מרוחק את התמונה וניתנות לשליטה מרחוק למטרת שינויי התמקדות בשטח המצולם, זום וכד'. במה שונה המצלמה מכל רכיב מחשובי אחר המחובר לרשת וקיימת אליו גישה מרחוק? אז זהו, המצלמה איננה שונה, היא פשוט עוד רכיב ברשת התקשורת. על כן גם היא חשופה לאותם המפגעים שאליהם חשופים רכיבי מחשוב דיגיטליים. בין יתר האיומים ניתן למנות את מתקפות הפצחנים (האקרים בלעז) העלולים לשבש את עבודתה. דוגמאות יהיו: הסטת המצלמה באופן זדוני, "שתילת" תמונה כוזבת במסך הבקרה, או "סתם" הפסקת פעולתה. המשמעות הינה שבחלק הולך וגדל מאמצעי האבטחה הפיזיים נדרש לממש אבטחת מידע מיחשובית.

מהעבר האחר, אמצעי המחשוב שבידי המשתמשים שבעבר היו בעיקר נייחים, תחנות עבודה (מסופים או מחשבים שולחנים) הופכים למחשבים ניידים מסוגים שונים. המחשב הנייד הופך להיות כלי עבודה תקני במקום המחשב השולחני ונוסף עליו הטלפון החכם (סמארטפון) שהינו חיבור בין מחשב נייד לכל עניין ודבר, מכשיר טלפון סלולרי וגם GPS (זו טעות לקרוא לו טלפון חכם, זה מחשב לכל ענין ודבר וגם טלפון, הייתי מכנה אותו "מחשבלולר" או "סלומחשב", על מנת להבהיר לכל שמדובר במחשב ולא בטלפון!). כל אלה מחייבים שגורמי האבטחה הפיזית יספקו הנחיות/מענים להתנהלות בעת ניוד הרכיבים הללו, שהרי טבעם הוא שהם מניידים ברוב הזמן.

אם לא די בכך, הרי נושא ניהול האירועים מציג בפנינו צורך ממשי ומידי לשילוב נושאי האבטחה הפיזית ואבטחת המידע. אירוע עשוי להתחיל מאירוע פיזי של חדירה לשטח המתקן אשר יזוהה באמצעות רכיבי האיתור כדוגמת מצלמות או גלאי פריצה מסוגים שונים. לאן ידווח המידע הזה? למרכז שליטה ובקרה ממוחשב כמובן. יישלח סייר למקום שיעשה שימוש בסמרטפון על מנת לתקשר קולית עם מרכז הבקרה, אח"כ ייתכן גם אירוע מיחשובי של חיבור רכיב מיחשובי לרשת התקשורת הארגונית שיאותר ע"י רכיב אבטחת מידע ייעודי וידווח על האירוע למרכז הבקרה הממוחשב. שוב יישלח סייר לנקודה שבה בוצעה ההתחברות הלא מורשית וייתכן ויתפוס את הפורץ בעודו עסוק במלאכתו... והיו דברים מעולם.

מנהל ביטחון פיזי ומנהל אבטחת המידע

אם שני הנושאים קשורים זה בזה מה זה אומר מבחינת ניהול הנושאים הללו בארגון?

אפתח בדוגמה אישית. בשנים 1993 עד 2000 שימשתי בתפקיד מנהל אבטחת המידע של משרד הבריאות. במספר הזדמנויות נקראתי ע"י מנהלים במשרד שביקשו לשפר את רמת אבטחת המידע אצלם. במקרים אלו, זימנתי דיון אצל אותו המנהל שבו נכחו קצין הביטחון המחוזי של משרד הבריאות, ממונה המחשוב הרלוונטי ואנוכי. הבעיה הוצגה בפנינו ועוצב פתרון אשר לעתים היה בנוסח: "יש להגביר אמצעי אבטחה פיזיים", לעתים היה "אמצעי אבטחה פיזיים לא רלוונטיים, יש להגביר אמצעי אבטחה מיחשוביים" ולעתים "קצת מזה וקצת מזה".

אם נעבור מהמקרה הפרטי למקרה כללי, אזי המשמעות הינה שאמצעי אבטחה פיזיים ואמצעי אבטחה מיחשוביים שלובים אלו באלו כאשר אנו עוסקים בהגנה על נכסי מידע. יש לזכור מרכיב נוסף. בימינו, כאשר אנו משתמשים במונח "נכסי מידע", הכוונה איננה רק למחשבים במובנם המידי, אלא גם לטכנולוגיות הדיגיטליות שבהן נעשה שימוש בארגון, לדוגמה: הסמארטפונים, רכיבי שליטה ובקרה במערכות תפעוליות ומבצעיות ובארגוני בריאות המכשור הרפואי הדיגיטלי המתקדם.

המסקנה היא שמנהלי הביטחון הפיזי ואבטחת המידע חייבים לעבוד ביחד כאשר מדובר בהשגת הגנה על נכסי המידע הארגוניים במובנם הרחב.

האם "לעבוד ביחד" מחייב ניהול שתי הדיסציפלינות תחת מנהל אחד?

אינני חושב שזו חובה, יש יתרון לחיבור ארגוני בין מנהל האבטחה הפיזית ובין מנהל אבטחת המידע, שכן קל יותר לאזן ולשלב את המענים הפרטניים. יחד עם זאת, אין לשכוח שמנהל האבטחה הפיזית עוסק גם בנושאים נוספים שאינם הגנה על נכסי מידע. מה שהכרחי הוא ששני מנהלים אלו יקיימו ביניהם דו-שיח שוטף שכן כפי שכבר הצבעתי בתחילת המאמר, מדובר בצורך ממשי משני הכיוונים.

קיימות דוגמאות בארץ ובעולם שבהן שתי הפונקציות, הביטחון הפיזי ובטחון המידע שולבו תחת גורם ניהולי אחד. ואז עולות שתי שאלות:

(1) מי מנהל את מי? מנהל הביטחון הפיזי את מנהל אבטחת המידע או מנהל אבטחת המידע את מנהל הביטחון הפיזי?

(2) אם שתי הפונקציות אינן מנהלות זה את זה, מיהו זה המנהל אותן, והיכן מיקומו הארגוני?

לטעמי, השיטה הנכונה תהיה ששתי הפונקציות יהיו כפופות למנהל אבטחה ולא ינהלו האחד את השני, כך שהמענה לשאלה הראשונה יהיה: לא רלוונטי.

השאלה השנייה מתורגמת למעשה לשאלה הבאה: מהו מיקומו הארגוני של מנהל האבטחה בארגון?

תשובה אחת, קצת יוצאת דופן ניתנה בארה"ב. במהלך שנת 2011 פורסם שבמדינת מישיגן בארה"ב, מנהל אבטחת המידע ומנהל הביטחון הפיזי שניהם כפופים למנהל אחד. לא, לא מנהל האבטחה של המדינה, אלא כפופים למנהל מערכות המידע, כן, מנהל מערכות המידע הינו מנהלו של מנהל הביטחון הפיזי וגם של מנהל אבטחת המידע. המענה הזה אולי חריג משהו בנוף הניהולי של ניהול האבטחה, אבל הוא מרמז שניתן להכפיף ניהולית את פונקציית הביטחון (הפיזי והמיחשובי) לגורמי ניהול ארגוניים שונים.

קיימות למעשה שתי אפשרויות לניהול משולב של אבטחה פיזית ואבטחת מידע:

1. מנהל האבטחה הינו חבר הנהלת הארגון. תחתיו קיימות שתי פונקציות ניהוליות (לפחות): מנהל הביטחון הפיזי ומנהל אבטחת המידע.

2. מנהל האבטחה כפוף לחבר הנהלה. גם במקרה זה מתחתיו שתי פונקציות ניהוליות (לפחות): מנהל הביטחון הפיזי ומנהל אבטחת המידע.

בשתי האפשרויות שנמנו לעיל, בנוסף לביטחון הפיזי ולאבטחת המידע ניתן לשלב גם את נושא הבטיחות.

ההחלטה בין שתי האפשרויות הנ"ל הינה בתחום ההחלטה הפנימית של הארגון וכוללת מרכיבים שאינם בהכרח בתחום הדיון של מאמר זה. הייתי מסכם ואומר שקיימת חשיבות רבה לכך שמנהל האבטחה יהיה בכיר ככל שניתן בארגון. במידה והוא עצמו איננו חבר הנהלה, נדרש שמנהלו יהיה חבר הנהלה בכיר, דהיינו, מה שבחלק מהארגונים יכונה חבר "בהנהלה המצומצמת" או פורום דומה. בכל מקרה מנהל האבטחה חייב שיהיה חבר הנהלה או כפוף לחבר הנהלה.

לסיכום ניהול האבטחה בארגון:

קיימת חשיבות רבה לשילוב שבין אבטחה פיזית ואבטחת מידע. ניתן להשיג את השילוב כאשר שתי הפונקציות מנוהלות בשתי יחידות ארגוניות נפרדות באמצעות בניית תהליכי עבודה מתאימים. מובן מאליו שהשילוב מושג ביתר קלות, כאשר שתי הפונקציות מנוהלות תחת גורם ניהולי אחד.

סייבר - חדש וישן בעשור השני למאה ה-21/חלק ב'

1. תזכורת קצרה מחלקו הראשון של המאמר:

בחלק הראשון של המאמר עסקתי בקיצור רב בהיסטוריה של המחשוב, החל מהמחשב הראשון הקולוסוס שפותח בבריטניה במהלך מלחמת העולם השנייה ועד לסמארטפונים של ימינו. במקביל סיפקתי הצצה חטופה להתפתחות האינטרנט שצמח מה-ARPANET ועולם הטלפוניה שעבר מהפיכה ממכשיר נייח שנדרש לתקשורת קווית ועד לטלפונים הסלולריים והלווייניים של ימינו. כל היכולות קיימות היום במכשיר אחד שברשות כולנו, הסמארטפון. אלא שמרוץ הפיתוח הטכנולוגי המסחרר, הותיר מאחור ובאופן משמעותי מאחור את שילוב אבטחת המידע. כמו כן הוצג כי המתקפות המודרניות כמו STUXNET על סרקזות איראניות ו-FLAME לשאיבת מידע ממחשבים, אינן כל כך מודרניות וכבר היו מעולם ואפילו לפני כמה עשרות שנים.

חלקו השני והאחרון של המאמר מנסה לענות לשאלה מה נדרש לשנות על מנת לספק מענה אבטחתי טוב יותר בעידן שבו טכנולוגיית המידע סובבת אותנו מכל עבר ופגיעותה מסכנת את היחיד והחברה כולה.

חלקו הראשון של המאמר הסתיים באמירה הבאה:

"הדרישה הראשונה הינה יכולת איסוף מידע מודיעיני ברמות שונות עבור גורמים שונים ולמטרות שונות.

הדרישה השנייה תהיה מיצוי המידע המודיעיני לכדי יכולות מבצעיות"

נמשיך מנקודה זו:

2.  מידע מודיעיני

  2.1 על איזה מידע מודיעיני אנחנו מדברים?

צריך לחפש את "הרעים". איך נעשה זאת?

    2.1.1 יש להגדיר (לפחות באופן חלקי) מהי זדוניות ומיהו זדוני... נא לשים לב שהמונח האקר (פצחן בעברית) משמש לעולמות מנוגדים לחלוטין: החל מאנשי המקצוע "הגורואים" של עולם המחשוב, אלו שהצעידו אותו קדימה ובקצה השני של הסקלה, הפושעים, הארכי פושעים... אז זה לא פשוט כל כך. אם זדוניות הינה פועל יוצא של פעילות של האקרים אזי אנו מתחילים להבין עד כמה משימה זו מורכבת.

    2.1.2 כאשר הגדרנו, ולו באופן חלקי, מהי זדוניות נוכל לנסות ולאתר את מערכות טכנולוגיית המידע המכילות מידע זדוני מאותם הסוגים.

    2.1.3 באופן דומה יש להתייחס לפרטים הזדוניים. לדוגמה, לאתר פורומים שבהם גורמים זדוניים (אנשים...) מבלים למטרות שונות.

    2.1.4 חברות וארגונים המשמשות את התהליכים הזדוניים.

  2.2 מי מסוגל לאסוף מידע מודיעיני?

    2.2.1 רשויות מדינה שזהו ייעודן.

   2.2.2 בעולם המחשוב זו לא רק המדינה. גם חברות אבטחה שברשותן ידע מקצועי יכולות לאסוף מודיעין והן מבצעות זאת. חלק מהפרויקטים של חלק מחברות אלו (וגם של התאגדויות של יחידים/"גורואים") עוסק בדיוק בנושאים אלו. יש חברות ישראליות שעוסקות בכך וחברות בחו"ל.

  2.3 מי עושה ומה עושים עם המידע המודיעיני:

    2.3.1 רמת המדינה

  

      2.3.1.1 הבסיס הינה קביעה שרמת הביטחון הלאומי של מדינה תלויה ברמת אי הזדוניות של רכיבי טכנולוגיית המידע, ככל שהמדינה יכולה לטפל באותם הרכיבים.

           2.3.1.2 דוגמאות טובות לכך הינן אוסטרליה וגרמניה.

           2.3.1.3 באוסטרליה : פרויקט iCode: http://www.icode.net.au/

           2.3.1.4 בגרמניה: botnetfrei: https://www.botfrei.de/en/ueber.html

          2.3.1.5 דרום אפריקה הודיעה כי תאמץ את המודל האוסטרלי. (מאי 2012).

     2.3.1.6 המודלים שהוזכרו מטילים, בסופו של יום, את האחריות להפיכת המידע המודיעיני לתהליך ניקוי מבצעי של הרכיב הנגוע, על המשתמש. האם יש דרכים אחרות? יש, ונראה בהמשך את המודל האמריקני.

 

        2.3.1.7 מערכת החינוך הממלכתית נדרשת לספק את הכלים והמיומנויות על מנת ללמד את בני הנוער את השימוש הנכון ברכיבי טכנולוגיית המידע.

       2.3.1.8 חקיקה-אכיפה-ושפיטה. נדרשת רגולציה מקיפה לנושא אבטחת המידע שתחול גם על כל אדם ולא רק על ארגונים כאלו ואחרים. החיבור לאינטרנט משנה את נושא הגנת הפרטיות כיוון שהאינטרנט, ומצבם האמתי של רכיבי טכנולוגיית המידע מהווה, לפי הבנתי, איום על בטחונה הלאומי של המדינה (ראה לעיל אוסטרליה וגרמניה).

    2.3.2 רמת הארגון – טכנולוגיית מידע/חברת אבטחת מידע.

       2.3.2.1 לדוגמה: הפעילויות שנעשות בארה"ב. אחת מהפעילויות מטרתה לפעול לצמצום משמעותי של סוג ספציפי של פשיעה ממוחשבת, אותו הסוג המאפשר לקבוצת פושעי מחשב לבנות לעצמם "צבא מחשבים העומד לרשתם" למטרות תקיפה שונות, וזאת ללא ידיעתם של בעלי אותם המחשבים. מדובר בפרויקטMARS של חברת מיקרוסופט Microsoft Active Response for Security

http://www.microsoft.com/government/ww/safety-defense/initiatives/Pages/dcu-economic-crime.aspx

המשלבת בפעילות חברות אבטחה נוספות (כדוגמת קספרסקי, FireEye, ועוד), גורמי ממשל ואכיפת חוק בארה"ב ושלוחות בינלאומיות של גורמים אלו. השלבים הם: איתור ליבת הפעילות הזדונית (טכנולוגית), השתלטות עליה המאפשרת עצירת המשך הפעילות הזדונית ואח"כ פעילויות רלוונטיות בתחום המשפטי והטכנולוגי.

באחד המקרים מתואר הליך של ניקוי מרחוק של כ-19,000 מחשבים שבוצע (לאחר קבלת אישור בעליהם) כחלק מהפעילות (ראה עדותו של סוכן ה-FBI בפרשת Botnet Coreflood):

http://krebsonsecurity.com/wp-content/uploads/2011/06/U-Keller-declaration.pdf

    2.3.2.2 ככלל חברות אבטחת המידע אמורות להוות גם זרוע מודיעינית וגם זרוע לתרגום המודיעין שנאסף, ומיצויו לכדי מענה אבטחתי עבור רכיבי טכנולוגיית המידע הרלוונטיים. אלו יכולים להימצא בידי אזרחים פרטיים, גופים פרטיים או גופים מוסדיים וציבוריים..

.

       2.3.2.3 רמת ארגון – צבא/גופי ביטחון

      2.3.2.3.1 הארגון הצבאי מהווה נושא בפני עצמו. עד לתחילת המאה ה-21, הצבא היה ישות שמערכותיה היו אומנם בחלקן אזרחיות, אך היה נתק די משמעותי בין העולם האזרחי והצבאי. הפיכתו של שדה הקרב לשדה קרב הכולל בתוכו מערכות מחשוב תקניות והפיכת תשתיות המחשוב האזרחיות ליעדי מתקפות המסכנות את מרקם החיים האזרחיים, משנה את התמונה באופן מהותי. במובן מסוים ניתן לומר ש"טנק הוא בנק ובנק הוא טנק", כיוון שבשניהם מותקנות פלטפורמות מחשוב זהות. היישומים שונים, אבל מדובר בסה"כ בקוד שמטרותיו אמנם שונות, אך קוד נותר קוד.

     2.3.2.3.2 למרות הסעיף הקודם, עומדת בעינה השאלה מהו מקומו של הצבא בהגנת מערך המחשוב האזרחי. בדומה לפיקוד העורף שהוא גוף צבאי המופקד על מרכיבים חשובים בהגנת העורף האזרחי, נשאלת השאלה האם על הצבא, בהיותו ערוך לספק לעצמו ולמקבלי ההחלטות במדינה מודיעין וגם למצות מהמודיעין את ההיבטים המבצעיים, לקבל על עצמו את תפקיד המגן על מערכות/רכיבי המחשוב האזרחיים?

    2.3.2.4 ארגון – רגיל.

  2.3.2.4.1 לממש אבטחה על כל רכיבי הארגון הניגשים למערכות המידע הארגוניות באופן של בחינת רמת האבטחה של הרכיב הניגש. האתגר הזה הולך ומתעצם לאור מדיניות חובקת עולם של שימוש ברכיבים טכנולוגיים שהמשתמש מביא עמו (Bring Your Own Device)

    2.3.2.5 האזרח היחיד.

       2.3.2.5.1 נדרש לפעול בהתאם לכללים ולהנחיות המדינה.

3. סיכום

תמונת אבטחת המידע הנפרשת לנגד עינינו שונה באופן מהותי מעולם האבטחה הקודם. לא עוד המדינה נותנת "עצות" במובן של הנחייה נקודתית לגוף זה או למגזר אחר. מדובר בצורך לשלב הגנה על כל מרחב הפעילות של טכנולוגיית המידע המצויה בידי כל אחד מאזרחי המדינה, יחידים וארגונים כאחד, כך שאין עוררין על כך שמדובר בשינוי תפיסה מהותי ולא נקודתי.

סייבר – חדש וישן בעשור השני למאה ה-21/חלק א'

1.           מהי המשמעות של המינוח "עידן הסייבר"?

1.1             רקע היסטורי של עולם המחשוב

1.1.1       תחילת עידן המחשוב בשלהי מלחמת העולם השנייה בבריטניה (מחשב הקולוסוס לפצוח צופן לורנץ שנבנה לא ע"י אלן טורינג כפי שכולם חושבים אלא ע"י מהנדס טלפוניה ממשרד הדואר בשם Thomas H. Flowers) ואח"כ בארה"ב מחשב ה-ENIAC לחישובים בליסטיים. בתחילה אם כך, מחשבים בודדים במערכות ביטחוניות, ואח"כ כחלק ממאמצים אקדמאיים לקדם נושאים מדעיים.

1.1.2       לאחר מכן מתחיל עידן של כשני עשורים של מחשבים מסחריים שנוצרים בידי חברות גדולות מבין המובילות: יבמ שהמתכנן הראשי שלהם הוא אמדאל וחברת CDC כאשר המתכנן הראשי הוא קריי. כל אחד משני הגאונים הללו יעזוב בשלב כלשהו את חברת האם שלו ויקים חברה משל עצמו. המחשבים לא תקשרו אחד עם השני.

1.1.3         במקביל החל מתחילת שנות ה-70 של המאה ה-20 מתחילים ניסיונות רבים ומגוונים לפתח מחשבים עבור שימושים ביתיים ואישיים. מבין הידועים ניתן למנות את מחשב קומודור (מי לא זוכר את המחשב קומודור 64), אטארי, סינקלייר (לי היה אחד כזה, ZX Spectrum...) ועוד רבים. בתחילת שנות ה-80 מכריזה חברת יבמ על המחשב האישי וכעבור עשור וחצי מחשבים אישיים אלו מתחילים להחליף את המחשבים המרכזיים (שרתים) ואת עמדות הקצה שבידי המשתמש (תחנות עבודה).

1.1.4       במקביל להם דרש נשיא ארה"ב לפתח תקשורת בין מחשבים כחלק ממענה לאיומי המלחמה הקרה. כך מתפתחת יכולת שמחשבים ידברו ביניהם למרות שהם מיצרנים שונים ואין בהם יכולת מובנית כזו. כך נוצרת רשת ARPANET (בשנות ה-70 וה-80 של המאה הקודמת) שברבות הימים הופכת לרשת ה-אינטרנט.

1.1.5        בשנות ה-80 של המאה ה-20 עובר עולם התקשורת הטלפונית מהפיכה. לא עוד טלפונים קבועים בבית או במשרד, אלא טלפון נישא בידי האדם וניתן להתקשר ממנו ואליו מכל מקום ולכל מקום. התקשורת הסלולרית והלוויינית מתווספת לתקשורת הטלפונית הרגילה. בתחילה אלו מכשירים כבדים ומסורבלים ועד למכשירים קטנים וקלי משקל של היום.

1.1.6        אבטחת מידע המתפתחת לאורך הדרך במערכות האזרחיות מתבססת בעיקר על מספר חברות טכנולוגיית מידע (י.ב.מ., דיגיטל ואחרות) ודרישות של המדינות באמצעות כלי החקיקה והרגולציה העומדים לרשותן. אלו דורשים (בעיקר) מהחברות העושות שימוש בטכנולוגיית המידע לממש את הדרישות. באופן חלקי מתחילה גם התייחסות לרמת האבטחה המוקנית לרכיבי טכנולוגיית המידע באמצעות תקינה הידועה בשמה Common Criteria. מעבר לכך המדינות אינן מתייחסות לרכיבי טכנולוגיית המידע כמרכיב בחוסן הלאומי או כמרכיב במדיניות הביטחון הלאומית ואינן מתייחסות כלל לרכיבים שבידי האזרחים.

 

1.1.7        בעשור הראשון של המאה ה-21 מתרחש המיזוג: הרכיב האישי מצטמצם בגודלו לכדי יכולת הכנסתו לכיס, הוא כולל מחשב ויכולת תקשורת מכל סוג כולל נגישות לאינטרנט ולכל היישומים שהאינטרנט מאפשר.

בכל כיס יש לנו רכיב שהוא גם מרכז חישובים וגם מרכז תקשורת. וכל זה מתרחש ברכיבים שרמת הפיקוח עליהם, דהיינו מה שהם כוללים ומה שהם מסוגלים לעשות היא 0 (אפס) או קרובה מאד לאפס!

משחקים אשר ילדינו משחקים בהם כפופים לתקנים מחמירים פן יאונה להם רע. המכשירים והתוכנות המאפשרות להפעיל אותם שכל חיינו תלויים בהם אינן כפופים לתקנים שכאלו.

1.2             התוצאה

1.2.1         בידי כל אדם (האנושות) מצוי רכיב המהווה איום פוטנציאלי (על עצמו) ועל כל האחרים.

1.2.2         הסבר קצר:

1.2.2.1          איום הינו יכולת לגרום נזק מסוג כלשהו. לדוגמה: לא לאפשר לסיים משימת כתיבת המסמך שנכתב כעת ואמור להיקרא מאוחר יותר.

1.2.2.2          מה יש במכשירים הללו? הרבה מאד תוכנות.

1.2.2.3          מהן תוכנות?

1.2.2.4          קוד הנכתב בידי אדם או בידי מחולל שאותו כתב אדם או בידי מכונה שיכולתה לכתוב קוד הוענקה לה ע"י אדם או מכונה אחרת.

1.2.2.5          קוד עשוי לאפשר לי לכתוב את המסמך הזה. לדוגמה הקוד של יישום המשרדWORD  של חברת מיקרוסופט מאפשר לי ברגע זה לכתוב את המסמך שאני כותב.

1.2.2.6          קוד אחר יכול לגרום לי שכאשר אכתוב את המסמך ואנסה לשמור אותו, אזי הוא יימחק ולא יישמר.

1.2.2.7          את הקוד כותב בעל מקצוע. שם המקצוע: תכנות. שם העוסק במקצוע: תוכניתן.

1.2.2.8          כלומר ההבדל בין קוד שייעודו לאפשר לי לכתוב את המסמך לבין קוד שייעודו לא לאפשר לי לשמור אותו בעת שסיימתי את כתיבתו איננו שפת הכתיבה אלא המטרה שייעד לה התוכניתן.

1.2.2.9          האם המשתמש במכשיר יכול לעצור הכנסה של קוד שיגרום לו או לאחר נזק? אני מניח שהתשובה הינה שחלקית הוא יכול לסייע בכך, אבל לא מעבר לזה. אין למשתמש במכשיר הזה יכולת אמתית לדעת במה דברים אמורים. המשתמש איננו קורא קוד. הוא לכל היותר משתמש בו.

1.2.3       על כן התוצאה הבלתי נמנעת היא שבידי כל אחד מצוי רכיב שטמונות בו יכולות מסוכנות לו לעצמו ולכל הסובב אותו. יתר על כן, ידוע לנו כבר כי יכולות השתלת תוכנות זדוניות כמו השתלת תוכנות שאינן זדוניות וגם יכולת שימוש זדונית או לא זדונית הינה למעשה היינו הך... וזה תהליך המתרחש כל העת ואיננו ניתן למניעה בארכיטקטורה הקיימת של המכשירים הללו.

1.3             מסקנות

1.3.1       בעידן הקודם, מה שהיה חשוב לדעת בארגונים השונים כבסיס לאבטחת מידע היה לדעת ולתחזק רישום של המכשירים שבבעלות הארגון או בהרחבה המכשירים שיש לארגון אחריות עפ"י דין לגביהם. מה שאנו קוראים גם כיום "מיפוי מערך טכנולוגיית המידע." מכאן דרשנו לממש אבטחה (הגנה) על המכשירים הללו.

1.3.2       עידן הסייבר - CYBER מחייב אותנו להרחיב את הידע הזה. כאשר המונח יהיה "מיפוי הרכיבים המסכנים אותי".

1.3.3        זה קל לומר, אבל איך ממשיכים מכאן? כבר אמרתי שכל המכשירים הקיימים בעולם מסכנים אותי ורק את מיעוטם הבטל בשישים (אלו המשויכים לסעיף 1.3.1) אני מכיר, וגם זה בהצלחה חלקית..., אז מה עושים?

2.           רעיונות, עקרונות ודרכי פעולה:

2.1             הדרישה הראשונה הינה יכולת איסוף מידע מודיעיני ברמות שונות עבור גורמים שונים
            ולמטרות שונות.

2.2             הדרישה השנייה תהיה מיצוי המידע המודיעיני לכדי יכולות מבצעיות. גם זה ברמות
           שונות ולמטרות שונות.

                  ועל כך במאמר השני (והאחרון) בסדרה קצרה זו.

          אבל לפני סיום, שתי התייחסויות נוספות ושתיהן מנסות להציג מה איננו עידן הסייבר החדש (לדעתי):

3.           על DIGITAL PEARL HARBOUR:

 

3.1             התבטאות חדשה של שר ההגנה האמריקני הנוכחי? יש או אין חדש תחת השמש? ובכן ממש לא התבטאות חדשה. לקראת סוף שנת 2000 השתמש בביטוי זה ריצ'ארד קלארק, אז יועצו של הנשיא קלינטון לנושא Cyberspace. ב-7 לדצמבר 2000 ביום השנה לתקיפת היפנים בפרל הארבור (בשנת 1941) הציע קלארק לנשיא הבא של ארה"ב לשפר את אבטחת מערך המחשוב הפדראלי על מנת למנוע "Digital Pearl Harbor.".

      http://lubbockonline.com/stories/120900/sci_120900097.shtml

3.2     ספטמבר 2001 היווה תזכורת כואבת שהאויב לא פועל על פי הנחות היסוד שלנו. אחד בלבד ככל הידוע לי אמר משהו בעניין זה שנתיים אח"כ. בחודש אוגוסט 2003 מרואיין מרכוס זכס גם הוא אחד מעמודי התווך ב"מטבח" של הנשיא קלינטון בנושאי מחשבים, תשתיות והגנה ואומר כך: "עפ"י הידע שהיה בידינו אז, התרחיש המתקבל ביותר על הדעת הייתה מתקפה מקוונת, לא מטוסים המתרסקים על בניינים." המסקנה שלו היא שיש ליצור איזון בהתייחסות בין ההיבטים הפיזיים להיבטים המיחשוביים הם קשורים זה בזה באופן הדוק.

             http://www.theregister.co.uk/2003/08/01/fed_cyberterror_fears_missed_real/

4.           על STUXNET ו-FLAME:

האם מדובר בקטגוריות תקיפה חדשות שלא היו ולא נבראו קודם לכן? גם במקרים אלו התשובה היא שהיו גם היו דברים מעולם:

4.1    STUXNET קוד שנועד לפגוע ברכיבים פיזיים במקרה זה סרכזות איראניות. בשנת 1982 שתל ה-CIA קוד בתוכנת סקדה שהרוסים "גנבו". מדבור בתוכנה שמאפשרת שליטה על מגופים באמצעות ממשק דיגיטלי למשתמש. התוצאה הייתה פיצוץ צינור הובלת הגז הרוסי בשנת 1982. הפרסום הראשון של הפרשה הזו בשנת 2004 (22 שנה אחרי התרחשותה!) בספר שכותב יועץ לשעבר לביטחון לאומי של הנשיא רייגן:

Thomas Reed, At the Abyss: An Insider's History of the Cold War

4.1        FLAME זו תוכנה שמטרתה שאיבת מידע ממחשבים. האם מישהו מקוראי הבלוג מכיר את הספר "העין של וושינגטון"? או את תוכנת PROMIS / פרשת חברת INSLAW. הכל מצוי באינטרנט. צריך פשוט לשבת ולקרוא. כל האירועים "הסייבריים הכאילו חדשים" כולם כבר היו.

 

המאמר השני (והאחרון) יסקור מה לפי דעתי הינו השינוי האמיתי של עידן הסייבר בהיבטי אבטחת המידע ומהי המשמעות של שינוי זה.

ניהול אבטחת מידע - מי אתה מנהל אבטחת המידע - טכנולוג או מנהל ואולי שניהם

בפוסט שנקרא: " ניהול אבטחת מידע - מה זה ניהול אבטחת מידע ומה מיקומה בארגון: חלק א' " (מדצמבר 2011), הצגנו את הפער שבין המתודולוגיה הצרופה, אבטחת מידע הינה טיפול בנושאי סודיות, שלמות ואמינות, זמינות שרידות (Confidentiality – Integrity – Availability), לעומת המציאות שבה מנהל אבטחת המידע אחראי בפועל בחלק גדול מהארגונים רק על היבטי הסודיות (Confidentiality).

בפוסט הנוכחי נספק מענה לשתי שאלות:
1. מהו הידע הנדרש לבצוע המשימה? האם נדרש ידע טכנולוגי, יכולות ניהוליות, מה חשוב יותר?
2. מהי קשת המשימות שמנהל אבטחת המידע נדרש לבצע במסגרת התהליך הניהולי. האפשרויות הינן: הנחייה בלבד, הנחייה ובקרה בלבד, הנחייה ביצוע ובקרה.

המענה לשאלה הראשונה, מה הידע הדרוש לביצוע משימת ניהול אבטחת מידע, כאשר נקודת המוצא הינה שמנהל אבטחת המידע אחראי בעיקר לנושא הטיפול במרכיב הסודיות, תורם למרכיב שלמות ואמינות ומספק דרישות אבטחת מידע לתוכנית להמשכיות עסקית.
ראשית נתייחס לעובדות כמות שהן. מה נדרש על מנת לממש סודיות ראויה במערכות שבהן נאגר דרך קבע, מועבר בתקשורת ומעובד מידע מסווג. הסיווג עשוי להיות ביטחוני, צנעת הפרט או עסקי. כל אחד לחוד או צירוף של שניים או כל השלושה.
ובכן מסתבר שאנו עוסקים כמעט בכל פן של נושא מערכות המידע ואבטחתן. כיוון שעל מנת לממש סודיות יש לבנות מארג של בקרות. נושא השגה ושימור של סודיות טומן בחובו בקרות בכמעט כל התחומים של טכנולוגיית המידע:
א. פריסת רכיבי טכנולוגיית המידע – טופולוגיה. לדוגמה שימוש בסגמנטציה.
ב. רכיבי התקשורת – ניתן לשלב דרישות אבטחה ברכיבי תקשורת כדוגמת נתבים ומתגים.
ג. מערכות הפעלה – הדרישה ידועה בשם "הקשחה". אני נוטה יותר לשם "קביעת מדיניות השימוש במערכת הפעלה" כיוון שהוא מייצג סמנטיקה פחות "מיליטנטית".
ד. בסיסי נתונים – שילוב דרישות לסודיות בבסיסי הנתונים, לדוגמה, הצפנת שדות המכילים מידע רגיש.
ה. יישום (אפליקציה) – היישום ניגש לבסיס הנתונים והוא זה הפועל על הנתונים הרגישים שקיימים ע"י שליפתם (לדוגמה למטרת הצגתם על מסך המשתמש או עדכונם. (עדכון = שינוי ערכך, ביטול נתון , הוספת נתון). מושג תוך שימוש בטכניקה הקרויה בשם "פיתוח מאובטח", שמשמעותו, הוספת מרכיבי אבטחת מידע בקוד של היישום על בסיס ניתוח איומים הניתנים למימוש בעת שהיישום מורץ בפועל.
ו. מוצרי אבטחת מידע התומכים בדרישה להשגה או לשימור של סודיות. לדוגמה: הצפנת רכיבים ניידים.
ז. תהליכי עבודה – הבחנה בין מה שמותר לבצע ומה שאסור לבצע. מימוש ראשוני הינו באמצעות מערכת הרשאות. אך זה בדרך כלל איננו מספיק. שכן מערכות הרשאות איננה יודעת להבחין בין שימוש ראוי שנעשה בהרשאה שניתנה כדין, לבין שימוש שאיננו ראוי באותה ההרשאה. למה הכוונה? אסביר באמצעות דוגמה. פקיד בנק העובד בסניף וניגש לרשומת הלקוח, יכול לעשות זאת כאשר הלקוח עומד מולו ומבקש לקבל שירות, ואז הגישה הינה כדין, ויכול לעשות זאת ללא סיבה כיוון שההרשאה לגישה לרשומת הלקוח הינה קבועה ואיננה תלויה באספקת הסבר לעצם הגישה, ואז זה שלא כדין. הגישה למידע מותנית בקבלתה של הרשאה וזו ניתנה על בסיס התפקיד. השימוש בהרשאה איננו תלוי בדבר, וזו הבעיה.
עכשיו בואו ונשאל מחדש את השאלה:
האם זו ממש חובה שמנהל אבטחת המידע יבין טכנולוגית את כל תשתיות טכנולוגיית המידע על מנת שיוכל לטפל בסוגיית הסודיות?
מגוון המרכיבים שיש לטפל בהם על מנת לספק מענה לסוגיית הסודיות (וזו כמובן איננה הבעיה היחידה, אלא שהיא המרכזית בעבודתו של מנהל אבטחת המידע) מכיל קשת רחבה של נושאים טכנולוגיים. האם ישנו אדם שהינו בעל ידע טכני כה מקיף? לדעתי התשובה הינה שלילית. על כן ברור כבר בנקודה זו, שאין למנהל אבטחת המידע היכולת להקיף את כל תחום הידע הטכנולוגי הנדרש. למרות זאת, נדרשת בכל זאת הבנה טכנולוגית מסוימת.
מה חיוני על מנת שמנהל אבטחת המידע יבצע כהלכה את תפקידו?
התשובה החד משמעית הינה יכולת ניהול. שם התפקיד הינו: "מנהל אבטחת מידע" ואין זו אמירה סתמית. מדובר בניהול של תחום בארגון. התחום הינו אבטחת מידע. ניהול אבטחת מידע משמעותו:
1. היכולת להבין מתוך הגדרת התפקיד כפי שהוטל, כיצד לפרק אותו לנושאים הספציפיים.
2. לסמן בכל נושא מי אמור לבצע אותו, מתי אמור להתחיל ולהסתיים, ומה המשאבים נדרשים על מנת לבצע אותו.
3. להוציא לפועל את הפעילויות הנ"ל.
4. להוביל בארגון את ניתוח האיומים, הסיכונים והמענים להם למידע ולטכנולוגיית המידע בתחום הסודיות, ובמידה מסוימת גם בנושאי שלמות, אמינות וזמינות.
5. להגדיר פרמטרים למדידת רמת אבטחת המידע של הארגון בתחומי אחריותו.
6. להציג בפני הנהלת הארגון מעת לעת ועפ"י בקשה את מצב אבטחת המידע עפ"י פרמטרי המדידה.
מערך הנושאים המתואר לעיל הינו במובהק בתחום הניהול. על כן, מנהל אבטחת המידע, בין שהינו בעל רקע טכנולוגי רחב או צר, חייב להיות בעל יכולות ניהול לפחות ברמה של כל מנהל אחר בארגון. באם יהיה רק בעל יכולת טכנולוגית, יבצר ממנו להפוך את תחום אבטחת המידע (ואפילו זה "רק" מרכיב הסודיות), לנושא המוטמע בתהליכי העבודה הארגוניים, כדוגמת: תהליכי רכש, שיווק, פעילויות ליבה עסקיות (בהתאם למגזר שאליו משתייך הארגון) וכד'. אבטחת מידע בארגון משמעותה הינה אחת, אבטחת מידע המוטמעת כדבר שבשגרת העבודה בתהליכי העבודה הארגוניים. כבר מזה זמן לא מדובר בתהליך טכנולוגי צר.

לסיכום החלק הראשון במאמר זה, מי שמופקד על אבטחת המידע בארגון נדרש להיות בעל יכולות ניהול כפי שכל מנהל בארגון נדרש להן, ובוודאי מנהל שמבקש להטמיע דרישות (במקרה זה, דרישות אבטחת מידע) בתהליכי עבודה רבים ומגוונים בארגון. מומלץ שיהיה בעל ידע טכני בתחום טכנולוגיית המידע, אבל ברור מאליו שידע זה יהיה מוגבל למספר תחומים מצומצם מתוך מגוון הנושאים הטכנולוגיים.

כעת נעבור לדון בשאלה השנייה שבה יעסוק מאמר זה: מהו מרחב הפעילות של מנהל אבטחת מידע?
קיימים שלושה מרכיבים באבטחת מידע:
1. הנחייה – הגדרת הדרישות.
2. ביצוע – יישום (הטמעת) הדרישות ותפעולן השוטף.
3. מעקב ובקרה – אחר הביצוע.

ברמה התאורטית ניתן לבצע משימה אחת, צירוף של שתי משימות או ביצוע של כל שלושת המשימות.
עקב הצורך לבצע הפרדת רשויות, בין הנחייה וביצועה של ההנחיה, יועדף באופן מעשי המודל שבו מנהל אבטחת המידע אחראי על ביצוע המשימה הראשונה – הנחייה והמשימה השלישית – מעקב ובקרה אחר ביצוע הנחיותיו. המשימה השנייה בדרך כלל תועבר לגוף הטכנולוגי התפעולי, למעט מספר מצומצם של פעילויות שהן בליבת ניהול אבטחת המידע עצמה כדוגמת: ניהול אירועי אבטחת מידע, הצגת רמת אבטחת המידע הארגונית.
אבל גם במודל זה נשאלת השאלה: מהי רזולוציית ההנחיה?
ניתן להנחות ברמה של הנחית על. לדוגמה: נדרש תהליך למניעת חדירת קוד עוין.
ניתן להנחות ברמת הרזולוציה המדויקת ביותר: נדרש להתקין קונפיגורציה מסוימת של מוצר מסוים. הן המוצר והן הקונפיגורציה ייבחרו ע"י מנהל אבטחת המידע. עליו האחריות למצוא את המוצר אשר יספק את המענה המיטבי תוך מתן התייחסות להיבטים ארגוניים נוספים, כגון: תקציב, כוח אדם, יכולת טכנית לשלב את המוצר הספציפי וכיוצ"ב.
מהי הגישה הנכונה יותר? זו כבר שאלה ניהולית-ארגונית ולאו דווקא שאלה מתודית מהותית. השאלה הינה כיצד מחולק נושא אבטחת המידע, מהי רמת הידע של כל אחד מהעוסקים בנושא, וכיצד הארגון מעוניין לחלק את תפקיד ההנחיה. זאת מכיוון שכל רזולוציה שהיא שתקבע, טומנת בחובה יתרונות וחסרונות גם יחד.
אם ההנחיה הינה רק ברמת הנחית-על, אזי עלולה העובדה שנמנעת ממנהל אבטחת המידע לרדת לפרטי בחירת המוצרים הספציפיים והקונפיגורציה שלהם לגרום להעדפה של מוצרים שאינם מספקים את כל דרישות האבטחה אך מספקים את הדרישות התפעוליות במלואן, ולהיפך.
המענה יינתן בדרך כלל באמצעות "ניסוי וטעייה" עד שתמצא הדרך הארגונית הנכונה. זו תיקבע בדרך כלל לאחר מספר פעולות מעקב ובקרה שאחראי להן מנהל אבטחת המידע עצמו.
בכל זאת, אין לשלול לחלוטין את ביצוע כל שלושת השלבים באחריות אבטחת המידע, דהיינו: הנחיה, ביצוע בפועל ומעקב ובקרה אחר הביצוע. התנאי העיקרי לביצוע כל שלושת הפעילויות הינה יחידת אבטחת מידע גדולה מספיק המאפשרת חלוקת עבודה ברורה בין שלושת הפעילויות ובעיקר בין ההנחיה והבקרה ובין הביצוע. באם ניתן לממש הפרדה חד משמעית, אזי אפשרי. ברוב המקרים ולו רק בגלל כמות מצומצמת של כוח אדם ביחידת אבטחת המידע, זה איננו מתאפשר כלל.
נושא אחד בתחום המעקב והבקרה חשוב לציין, וזוהי הביקורת על מנהל אבטחת המידע עצמו. הרי לא יעלה על הדעת שמנהל יבדוק את עצמו, במקרה זה, מנהל אבטחת המידע יבדוק את פעילותו הוא. לשם כך מומלץ שמבקר הפנים יפעל במסגרת סמכותו בארגון וישלב במסגרת תוכנית שנתית לביקורת בארגון את נושא ביקורת ניהול אבטחת המידע בארגון. לפעילות זו נדרש ידע מקצועי מתאים ועל כן מומלץ שיחידת ביקורת הפנים בארגון תכלול לפחות עובד אחד בעל יכולת לבצע את הפעילות או לכל הפחות לנהל את הפעילות באם זו ניתנת לביצוע רק ע"י גורם חיצוני לארגון.

לסיכום הנושא השני: בדרך כלל נעדיף שמנהל אבטחת המידע יעסוק בהנחיה ובבקרה על יישום הנחיותיו. ביצוע ההנחיות יימסר בידי גוף תפעולי בתחום טכנולוגיית המידע אשר חייב להכשיר עצמו לביצוע המשימה. זאת למעט מספר נושאים מצומצם שגם ביצועם יישאר בידי מנהל אבטחת המידע (נושאי הניהול עצמם). רזולוציית ההנחיה הינה עניין לשיקול דעת מקצועי והתאמה ארגונית. בקרה על ביצוע ניהול אבטחת המידע עצמה תימסר לידי יחידת ביקרות הפנים בארגון אשר נדרשת לידע מקצועי בנושא זה.

אתגרי ניהול אבטחת המידע כיום

סטוקסנט ולהבה. תוכנות זדוניות שחדרו לתודעה בשנתיים האחרונות. יש או אין חדש תחת השמש? כמי שעוסק בתחום אבטחת המידע כבר 30 שנה התשובה היא שאין חדש תחת השמש. אירועים כאלו כבר היו בעבר.

סטוקסנט, תוכנה ייעודית לפגיעה ברכיב פיזי במקרה זה צנטריפוגות במתקן העשרת אורניום באירן. בשנת 1982 ה-CIA פעל באופן דומה והחדיר תוכנה זדונית לרכיב SCADA שברה"מ גנבה/קיבלה מהמערב. התוכנה הזדונית גרמה לפיצוצו של צינור הולכת הגז הרוסי מסיביר לאירופה, פיצוץ השווה בעוצמתו לחמישית עוצמת הפיצוץ שהחריבה את הירושימה. הפיצוץ גרם לפגיעה קשה בכלכלה הסובייטית המתמוטטת.
מי שמחפש באינטרנט, ימצא את הסיפור תחת הכותרת: The Farewell Dossier
https://www.cia.gov/library/center-for-the-study-of-intelligence/kent-csi/vol39no5/pdf/v39i5a14p.pdf

וירוס להבה, תוכנת ריגול שהושתלה במחשבים אירניים ואחרים על מנת (ככל הנראה) לקבל מידע מקדים לקראת תקיפת סטוקסנט ותקיפות אחרות. גם במקרה זה אין חדש. מי שקרא את הספר "העין של וושינגטון" שבו נחשפת פרשת חברת Inslaw ותוכנת PROMIS (התוכנה הובאה לארץ ע"י כך נטען רפי איתן) מבין שכאז כן עתה, ארגוני ביון/ריגול עושים שימוש ביכולות (או בכשלים) של מערכות מחשוב למיצוי מידע ולשיגורו לגורמים אחרים.
באינטרנט יש הרבה מידע. אפשר להתחיל מויקיפדיה ומשם להמשיך...
http://en.wikipedia.org/wiki/Inslaw

אם כל האמור לעיל איננו חדש, אז מה כן חדש? בזה בדיוק יעסוק המשכו של הפוסט.
יש לבחון מה התחדש בתהליכי העבודה הארגוניים ובמערך טכנולוגיית המידע המשרת תהליכים אלו, וכיצד חידושים אלו משפיעים על עבודתו של מנהל אבטחת המידע בארגון.

1. הארגון והעולם החיצון:
1.1. עבודה מבחוץ לתוך מערכות המידע הארגוניות. השינוי המשמעותי ביותר הינו שרוב תהליכי העבודה אשר בעבר בוצעו רק כאשר המשתמש במערכת המידע מצוי בתוך חצרי הארגון (בלשון מערכות המידע: עובד ברשת הפנימית) מופעלים היום גם או רק כאשר המשתמש מצוי מחוץ לחצרי הארגון (בלשון מערכות מידע: עובד מבחוץ אל תוך הרשת הפנימית של הארגון).
1.2. המשמעות האבטחתית: ה-FIREWALL הארגוני, זה החוצץ בין הרשת הפנימית והעולם החיצון מאבד את משמעותו הייחודית. מירב הפעילות הלגיטימית מתבצעת מבחוץ לתוך הארגון. העולם החיצון, על כל איומיו וסיכוניו הופך לחלק מהארגון.
2. הארגון ורכיבי טכנולוגיית המידע:
2.1. שימוש ברכיבי טכנולוגיית מידע שלא בבעלות הארגון. מתרבה השימוש ברכיבי טכנולוגיית מידע שהמשתמש הינו בעליהם ולא הארגון. הכינוי לכך: Bring Your Own Device. הרכיב המוביל את השינוי הינו הסמארטפון. רכיב המשלב תקשורת סלולרית, מחשוב, GPS ועוד.
2.2. המשמעות האבטחתית: רכיב שאיננו בבעלות הארגון לא מוכלת עליו מדיניות אבטחת מידע ארגונית. הרכיב עלול להכיל תוכנות זדוניות שונות שיפגעו בארגון בעת חיבורו לרשת הארגונית. וגם, מידע מסווג ארגוני שיישמר עליו לא בהכרח יהיה מוצפן ועל כן לא מוגן מפני חשיפתו לבלתי מורשים.
3. מנהל אבטחת המידע, רכיבי טכנולוגיית המידע והמתקפות:
3.1. רמת הידע של מנהל אבטחת המידע על מצבם של רכיבי טכנולוגיית המידע הניגשים למערכות המידע הארגוניות והמתקפות עליהם ועליו. למרות אמצעי האבטחה הרבים, רכיבי טכנולוגיית מידע עלולים להיות מודבקים בתוכנות זדוניות מסוגים שונים. ללא יכולת קבועה של ידיעת מצבם של רכיבי טכנולוגיית המידע הניגשים למערכות המידע הארגוניות, ומעבר לכך, מצב המתקפות הקיימות והמתוכננות עליהם, מנהל אבטחת המידע נותר מגיב לאירועים שכבר התרחשו (אבטחה ריאקטיבית) ולא "מכין תרופה למכה" (אבטחה פרואקטיבית).
ומהם המענים שמנהל אבטחת המידע נדרש ליישם כעת ובעתיד הקרוב:
1. גישה דינמית לניהול סיכוני טכנולוגיית המידע
על מנת לספק מענה לשתיים מהבעיות שהוצגו לעיל, העולם החיצוני בתוך הארגון והשימוש ההולך ומתרבה ברכיבים שאינם בבעלות הארגון יש צורך בפרדיגמה חדשה של ניהול סיכוני טכנולוגיית המידע.
נקודת המוצא הינה שבסיכומו של יום, קיים משתמש אנושי אשר בידיו מצוי רכיב טכנולוגי כלשהו, המבקש גישה למערכת מידע ארגונית באמצעות תווך תקשורת כלשהו על מנת לבצע מטלה מסוימת בשימוש בנתוני הארגון.
מודל האבטחה הדינמי מממש מבדק ומענה בזמן אמת מהו הסיכון אליו נחשף הארגון בעת ביצוע גישה של משתמש קצה וכיצד מצמצמים את הסיכון. מדובר ביצירת "מטריצת איום" המתבססת על חישוב האיום שמייצר כל אחד מהרכיבים הנוטלים חלק בתהליך: 1-מקור הגישה: (א)-ציוד הקצה, (ב)-המשתמש, (ג)-המיקום בו מצוי הציוד, 2-תווך התקשורת, 3-יעד הגישה: (א)-רכיבי ה-IT, (ב)-מסד הנתונים, (ג)-צורת הגישה, (ד)-מטרת הפעילות. כבר היום מצויים בידינו מענים חלקיים. יש להשלים את המלאכה. חברת אינטל החלה בשנת 2009 בפרויקט חומש ל-5 שנים בנושא זה.
2. אבטחת מידע מבוססת מידע
אבטחת מידע איננה שונה מתחומי העיסוק האחרים בארגון. אם אנו מדברים היום על לדוגמה, רפואה מבוססת מידע, אזי באותו האופן יש לדבר על אבטחת מידע מבוססת מידע. במישור הארגוני עליו מופקד מנהל אבטחת המידע מדובר בשני נושאים:
1. נתונים על הדבקת רכיבי טכנולוגיית המידע המתקשרים למערכות המידע הארגוניות או על התרחשויות במערכות המידע הארגוניות.
2. מידע על מתקפות צפויות על רכיבי טכנולוגיית המידע בארגונו או בסקטור שאליו משתייך ארגונו.
נושאים אלו מטופלים כבר היום באמצעות כלי SIM ואיתור רכיבים נגועים באמצעות כלי מודיעין ייעודיים. יש להעמיק ולשכלל פעילויות אלו.

טביעתה של הטיטאניק - ומה הקשר לניהול סיכוני טכנולוגיית המידע

בפוסט זה אחרוג ממנהגי הקבוע ונקודת המוצא הינה אישית, אבל בסופו אקשור הנאמר לפוסטים האחרונים בתחום סיכוני טכנולוגיית המידע.
ביום שבת צפיתי בסרט בערוץ National Geographic. סרט עוסק בטביעתה של הטיטאניק וכותרתו: הטיטאניק – תיק סגור – Titanic – closed case. הסרט הינו מסעו של אדם אחד, ההיסטוריון והחוקר טים מלטין לחקר ההתרחשויות שהובילו לאסון טביעת הטיטאניק. הסרט מבוסס על ספר שנכתב על ידו: A very Deceiving Night.
אז מה חדש בסרט הזה?
הוא מנסה (ולדעתי מצליח) להסביר מה באמת קרה שם בלילה ההוא לפני 100 שנה.
הוא מפזר את ענן המסתורין סביב אולי השאלה החשובה ביותר. אבל בגלל חשיבותה כולם דלגו מעליה בצורה כזו או אחרת.
המונח שבלב העניין הוא "זמן ההתראה". והנה השאלה:
מה היה זמן ההתראה הצפוי בתנאי הראות שהיו באותו לילה לגבי קרחון בסדר גודל שהטיטאניק התנגשה בו? שהרי הסכנה הייתה ידועה, הוצבו תצפיתנים מיומנים, כולנו קראנו וראינו זאת. אבל אף אחד לא אמר לנו עד עכשיו, מה היה הצפי של פעולתם?
יש לציין ששני הצופים שהיו במשמרת בלילה ההוא שרדו את האסון, נצלו ועדויותיהם קיימות.
המענה הניתן בסרט הינו שזמן ההתראה הצפוי היה, נא לקרוא היטב: 20 דקות! זמן מספיק על מנת לסובב את הספינה ולמנוע התנגשות.
אז למה בפועל כפי שכולנו קראנו וצפינו זה ממש אבל ממש לא מה שקרה בפועל? זמן ההתראה ועד לתחילת ההתנגשות היה פחות מדקה (55 שניות ליתר דיוק).
איך ניתן להסביר את העובדה הזו?
קל לומר: הם לא היו ערניים, היו שתויים או כל מיני סיבות שאינן ענייניות. על מנת לקבל תשובה טובה צריך לרדת לפרטים. זה קשה, זה לוקח זמן וזה אולי לא תמיד הכי "תקשורתי". אבל חקר האמת חיוני על מנת להפיק את הלקחים הנכונים.
המענה נעוץ בחקירה יסודית של הרבה רישומים. עדויות ניצולי הטביעה (יש כאלו), עדויות של רב חובל ומספר אנשי צוות שהיו על אנייה שהייתה סמוכה מאד לטיטאניק (קליפורניאן), תיעוד רישומי אניות אחרות ששטו בנתיב קרוב לנקודת הטביעה (מאחר וזו זוהתה במדויק רק לפני 25 שנה אזי מסביר את האיחור הרב בניסיונות להתחיל בחקירה מעמיקה ומדעית) במספר הימים שבין לפני האסון ולאחריו, אלו אותרו בגרמניה, יומני רישומי מזג אוויר שמצויים באנגליה ועוד.
התוצאה מפתיעה.
הסיבה הינה ככל שהסרט מציג תעתוע אופטי, מיראז'.
אנו מכירים את התופעה כמתרחשת במדבר, כאשר עקב צירוף נסיבות נראה שקיים במרחק מה מאתנו אגם מים, אך זהו לא יותר מתעתוע אופטי, מקסם שווא.
זה קורה גם על פני המים, כאשר צירוף של נסיבות עלול לגרום לשינוי במיקום קו האופק ולגרום בכך לאי יכולת להבחין בעצמים על המים כמו אותו קרחון, אלא רק כאשר מאד קרובים אליו. אותו צירוף נסיבות עלול לעוות צורות (של אניות) וליצור מגוון שלם של אשליות אופטיות נוספות.
אין ביכולתי לשפוט עד כמה התאוריה המוצגת נכונה. על פניו נחזית להיות מוצקה ואמינה.
אם היא אכן מתארת נאמנה את מה שהתרחש באותו הלילה, אזי זהו אחד מאותם מקרים שנדרשת סבלנות ועבודת נמלים של "חוקר מקרי פשע" על מנת למצות מתוך תילי תילים של מילים, דעות, טעויות ודברי הבל את אותן העובדות שמאפשרות לקבוע מהי התקלה ואלו לקחים יש להפיק לעתיד.
הטיטאניק נבנתה כך שביכולתה לספוג נזק עד רמה מסוימת ולא לטבוע. הנזק שנגרם עקב ההתנגשות הצידית בקרחון היה מעבר ליכולת זו. ההתנגשות הצידית כפי שהתרחשה בפועל לא נחזתה שתתרחש כלל. משזו כן התרחשה, גורלה של הטיטאניק נחרץ.
מה כן היה יכול אולי למנוע את הטביעה?
אני יוצא מנקודת הנחה שהאיתור המאוחר של הקרחון היה בלתי נמנע. האם היה משהו אחר שהיה יכול למנוע את האסון?
נכון, זו שאלה בסגנון "מה היה קורה אלו?" ונכון זו חוכמה שלאחר מעשה. אבל אין לזלזל גם בה.
ככל שאנו יודעים היום, טיטאניק הייתה שורדת התנגשות חזיתית בקרחון.

עכשיו בואו נחזור על הסיפור כולו בסגנון "ניהול סיכונים":
1. אחד מהאיומים לספינה הינם קרחונים צפים. האיום הינו פגיעה בשלמות מבנה הספינה כך שבהינתן מפגש בין גוף הספינה והקרחון, הגוף יינזק וקיים סיכון לחדירת מים שעלול לגרום לטביעה.
2. ידוע שרק חלק קטן מהקרחון גלוי מעל פני המים, ורובו הגדול נסתר כיוון שמצוי מתחת לפני המים. מסיבה זו התחככות בקרחון עלולה להיות קטלנית כיוון שחלק הקרחון שאיננו גלוי יגרום לנזק מבני של חלקי האנייה המצויים מתחת לפני המים.
3. תרחיש א': קרחון נצפה במרחק המתאים ברמה גבוהה של וודאות שהספינה תוכל למנוע התנגשות בקרחון. התגובה: תמרון הספינה להתחמקות מהקרחון.
4. תרחיש ב': קרחון נצפה במרחק קטן מדי או בתנאים שאינם מאפשרים התחמקות. התגובה: להאט את מהירות הספינה אבל לא לנסות לתמרן למניעת התנגשות, להפעיל "נוהל התנגשות" (לדוגמה להזהיר את הנוסעים) ולהתנגש בקרחון.
ובמה זה קשור לניהול סיכוני טכנולוגיית המידע? קשור ועוד איך קשור.
הפוסטים שלי לאורך התקופה האחרונה מנסים לשדר שעל מנת לספק מענה טוב יותר מזה שאנו מספקים היום לסיכוני טכנולוגיית המידע, נדרשת יצירתיות מחשבתית.
האם מניעת חדירת מתקפה עדיפה על שומו שמיים שאיבת המתקפה לתוכך?
אולי הגזמתי אז נרכך קצת:
אולי עדיף להכיל את המתקפה משזו כבר חדרה מאשר מה?
אינני יודע לענות בוודאות על השאלה. אז אני משאיר אותה פתוחה.
מסיפור הטיטאניק למדתי שחשוב להתחיל לשאול, גם אם אין לך את התשובה ברגע ששאלת את השאלה. אם תשאל את השאלות הנכונות תוכל בהמשך לספק את תשובות.

בפוסטים קודמים ציטטתי מספר דוברים מרחבי העולם בחודשים האחרונים.
אפשר להוסיף מצגת שניתנה בחודש נובמבר האחרון בכנס במלטה ע"י Brian D. Snow. בריאן סנו עבד במשך 31 ב-NSA וכיהן שם בתפקידים טכנולוגיים בכירים.
הקישור סופק מהבלוג של גורו אבטחת המידע ברוס שנייר.

http://www.synaptic-labs.com/resources/streaming-videos/synaptic-labs-2012-annual-reports-video-series.html#a

Interesting video of Brian Snow speaking from last November. (Brian used to be the Technical Director of NSA's Information Assurance Directorate.)