מאמר מתורגם – "פריצות במגזר הבריאות בארה"ב עברו את 1,000 האירועים. מומחים מספקים תובנות לגבי לקחים[1]

הרישום הפדרלי של אירועי פריצה עיקריים למאגרים רפואיים בארה"ב עבר את רף 1,000 האירועים הרשומים. הרישום כולל רק את אלו המשפיעים על לפחות 500 או יותר אנשים. הרישום הנו חובה ע"פ חוק ה-HITECH האמריקני ומבוצע החל מספטמבר ¹2009.

רקע:

בארה"ב קיימים שני חוקים חשובים העוסקים בהגנת פרטיות ואבטחת מידע למגזר הבריאות:

1.      HIPAA – Health Insurance Portability and Accountability Act: כולל שני "תת חוקים". האחד לנושא הגנת הפרטיות והשני לנושא אבטחת מידע.

2.      HITECH –  Health Information Technology for Economic and Clinical Health act אשר נחקק כחלק מחוק רפורמת הבריאות של הנשיא אובמה. משדרג נושאים ב-HIPAA. 

לאחרונה נוסף חוק שלישי (תוספת ל-HIPAA). ה-HIPAA OMNIBUS, אשר בין היתר מחייב "שותף עסקי – Business Associate" של מי שמחזיק רשומה רפואית פרטנית (לדוגמה ספק שירותי גיבוי או ספק שירותי ענן...) לציית לדרישות HIPAA.

אבל לענייננו המרכיב החשוב ביותר הנו חוק ה- Breach Notification Final Rule(שנחקק במסגרת ה-(HITECH מאוגוסט 2009, ואשר מחייב ישויות החייבות לעמוד ב-HIPAA לדווח למשרד הבריאות האמריקני על אירוע אשר פגע בפרטיות או באבטחה ובמהלכו התאפשרה גישה בלתי מורשית למידע הרפואי המוגן באופן שהשימוש או החשיפה מהוות סיכון משמעותי בתחום הכלכלי, התדמיתי או נזק אחר (HARM) לאדם שנפגע. גולת הכותרת הנה שכאשר מדובר בלמעלה מ-500 יחידים באירוע בודד, האירוע לא רק מדווח למשרד הבריאות אלא גם הופך לפומבי באתר האינטרנט של משרד הבריאות ("קיר הבושה – Wall of Shame")[2].

ללא קשר לכמות הנפגעים הפוטנציאליים בכל אירוע, החקיקה מאפשרת הטלת קנסות כבדים (עד מיליוני דולרים) באירוע בודד.

עתה נפנה לתרגום המאמר בסופו שלוש מסקנות/המלצות למנהלי אבטחת מידע ולמחוקקים/רגולטורים בישראל.

עשרת האירועים החמורים ביותר משפיעים על כ-18.4 מיליון אנשים, יותר מחצי מסך של 31.5 מיליון אנשים שעלולים להיות קורבנות של 1,010 אירועי פריצה עיקריים המדווחים מאז שהוחלה החובה החוקית בספטמבר 2009.

 

כל עשרת האירועים החמורים ביותר (ע"פ מספר הנפגעים בפריצה), המתועדים באתר האינטרנט של משרד הבריאות האמריקני ("קיר הבושה") קשורים לאובדן או גניבה של רכיבי מחשוב או רכיבי זיכרון שאינם מוצפנים. ככלל, גניבה או אובדן של רכיבים שאינם מוצפנים קשורים לכחצי מכלל אירועי הפריצה העיקריים הרשומים ברשימה הפדרלית של "קיר הבושה".

לדברי בריאן אוונס מחברת הייעוץ טום וולש, "עשרת האירועים העיקריים מצביעים על חשיבותה של ההצפנה להגנה על מידע המצוי בתנועה או במנוחה. מאחר ופתרון ההצפנה מסופק כיום כמענה "out of the box" (ללא עלות) או כתוסף מוצר צד ג' (בעלות נמוכה יחסית), אזי נתן לצמצם באופן משמעותי את הסבירות של פגיעה. להבטיח שהצפנה מיושמת באופן הנכון הנה צעד בסיסי שכל הארגונים חייבים לבצע".

 

אבל אי קיומה של הצפנה איננה מצביעה על תקלה נקודתית בהגנה על המידע הרפואי האישי שמדאיגה את מומחי האבטחה, למעשה, לדבריהם, העדר הצפנה הנו סימן לכשלי אבטחה מהותיים יותר.

 

"ראשית, אי בצוע הצפנה איננו טעות אבטחה, זוהי החלטה ניהולית גרועה", אומר מומחה האבטחה מק מקמילן, מנכ"ל חברת האבטחה סינרגיקטק.

בעשרת האירועים החמורים, כמו גם בהרבה אירועים אחרים, "ההצפנה לא נכשלה, היא מעולם לא יושמה". כך לדבריו. "טעויות אחרות כוללות אי ידיעה היכן מצוי המידע, היכן הסיכון, ועקב כך אי קביעת בקרות נאותות לטיפול בסיכון." 

תחומי בעיות אחרות לדברי מקמילן, כוללים את הכישלון בבחינת נהלי האבטחה של שותפים עסקיים (מה שאצלנו ייקרא "מבדק ספקים"), וחוסר בניטור גישת משתמשים למידע רפואי רגיש ובקרות שאינן מספקות לזיהוי משתמשים ומערכות. ואחרון, אך לא בחשיבות, תוכניות הדרכה המתוכננות באופן כושל, מונעות ומתמקדות בציות לדרישות במקום מה משתמשים באמת צריכים לדעת על מנת לשרת את ההגנה על נכסי המידע של הארגון.

אוונס מתמצת את המצב באופן הבא: "ארגוני בריאות אינם מיישמים את העקרונות הבסיסיים של אבטחה. מבוצעים בהם מאמצי אבטחה חלקיים ללא ראיה ארגונית כוללת ומשולבת ללא ממשל תאגידי או הלימה לשאר פונקציות ותהליכי ניהול סיכון ארגוניים אחרים. ארגונים רבים חסרים תהליך הערכת סיכונים מתמשך ונכשלים באיתור איומים, סיכונים ופגיעויות או ביישום שיטתי של בקרות. הם לא קבעו בעלות וחבות לאבטחה ולציות לדרישות. כתוצאה מכך, הן אינם מצייתים לרגולציות אבטחה נאותות, תקנים ודרישות".

סקר אבטחת המידע בבריאות לשנת 2014 מראה שרק כמחצית מארגוני הבריאות בארה"ב כתבו אסטרטגיית אבטחה.

אוונס גם מתלונן שרבים הארגונים שמיישמים "רשתות שטוחות", ארכיטקטורות אד-הוק וטכנולוגיות שאינן מגובות במשאבים, תמיכה וניהול מספקים. הם אינם מיישמים מדיניות ונהלים מתאימים או אוכפים את מה שיישמו. תפעול של ושימוש בעקרונות יסוד אבטחתיים יכול להציע שיפור משמעותי בניהול סיכוני המידע לדבריו.

לקחים שנלמדו

לקחים מרכזיים שנתן להפיק מהאירועים העיקריים הנ"ל:

לדברי מקמילן:

1.        כל אחת מהפריצות הללו לא הייתה מחויבת המציאות, את כולן היה נתן למנוע, באם נהלים בסיסיים של אבטחת מידע היו מקוימים. המשמעות היא שלא מדובר במתקפות מתוחכמות כלל וכלל, אלא בטעויות שנבעו משיפוט לקוי ואי יישום אבטחה פשוטה.

2.        סטייה קלה ופשוטה מנהלי אבטחה טובים עלולה להיות בעלת משמעויות גדולות לארגון. רבים מהם (אך לא כולם) היו יכולים לקבל מענה באמצעות הצפנה.

3.        למרות שרק כ-20% מכלל הפריצות משויכות לאירועים בשותפים עסקיים (Business associates), המספר קופץ דרמטית ל-50% כאשר מצמצמים את ההתייחסות רק לפריצות העיקריות, דהיינו אלו שבהן הפגיעה הנה במספר הגדול ביותר של מטופלים. אלו עדיין מספר שניים בחיוב הכספי ב"קיר הבושה". (הפרשנות שלי למשפט זה הנה שהשותפים העסקיים עד לאחרונה לא שילמו קנסות כספיים כבדים, ועל כן הם שניים בחשבון הקנסות שעליהם לשלם).

תחת החוק החדש HIPAA Omnibus Rule שנכנס לתוקף בשנה שעברה, שותף עסקי  אחראי לציות מלא ל-HIPAA ועל כן במקרה של הפרה הנו בר תביעה באופן ישיר, וכמו הישויות המכוסות (Covered entities), נתון לפעילות אכיפה של הגורם המוסמך בארה"ב. אלו עשויים לכלול קנסות עד לגובה של 1.5 מיליון USD להפרה בודדת של HIPAA.

כתוצאה מכך, מומחים אחדים צופים שמספר הדיווחים על אירועי פריצה שבהם מעורבים שותפים עסקיים יגדל. הסיבה העיקרית לדעתם הנה שהם מקפידים פחות מהישויות המכוסות על נהלי אבטחת המידע הרפואי ובהחלט ייתכן שאחדים מהם עדיין לא מודעים לחובה החדשה שהוטלה עליהם.

לדברי מקמילן הרבה שותפים עסקיים אינם מאמינים שהם שותפים עסקיים (ע"פ הגדרת המונח ב-HIPAA), או שהם מנסים להגביל את אחריותם כיוון שהם מאמינים שרק חלק מהחוק חל עליהם. שותפים עסקיים אינם מבצעים ניתוח סיכונים (Risk Analysis) כפי שמבצעות הישויות המכוסות המקבילות. בקיצור, הם "אינם בעניין"... עדיין.

במקרים אחדים, שותפים עסקיים "חיים בהכחשה" או שהם חסרי ידע לחלוטין לגבי חבותם ב-HIPAA, כך מסכם אוונס וממשיך, חזרתי מכנס שבו עובדת של שותף עסקי שאלה בעצתי לגבי הצוות המשפטי שלה שהתעקש שהחברה שלהם איננה חייבת לציית לחוק האבטחה של HIPAA. אותה החברה מאמינה שכל פריצה לרשומה הכוללת מידע רפואי אישי (Personal Health Information) הנה הבעיה של הישות המכוסה ולא שלהם. ייעצתי לה שהצוות המשפטי יקרא מחדש את חוק ה-HIPAA Omnibus.

 

צופה פני עתיד

לדברי אוונס: כל ארגוני הבריאות חייבים להגדיר מדיניות ונהלים לאבטחת המידע, לקבוע דרישות מינימום ולוודא שהם מיושמים כפי שנדרשו.

הם חייבים לוודא שנושא הבעלות והחבות מוגדר היטב. עליהם לבחון את תהליכי ניהול הסיכונים של כל העוסקים בכך, ולאתגר כל תהליך או גישה שאינם מיטביים, ולדרוש שיפורים היכן שזוהו פערים.

... כמו בכל פונקציית בריאות, עסקים או IT חשובה, מנהיגות תקיפה הנה חיונית לניהול יעיל של סיכוני המידע.

מקמילן אומר ש"קיר הבושה" של הפריצות העיקריות צריך לשמש לנו כתזכורת שעדיין לפנינו דרך ארוכה לפני שאנו כמגזר (הבריאות), נוכל לומר שאנו באמת מגנים על זכות הציבור לפרטיות. וחשוב אף יותר, המשמעות הנה שעדיין בידינו מערכות ומידע בסיכון במגזר שהפך לתלוי בנכסים אלו בכל תהליך רפואי ותפעולי שלו.

אוונס מסכם בראיה דומה: ""קיר הבושה" של משרד הבריאות האמריקני מציג בבהירות שמספר ארגוני בריאות עדיין זקוקים לשיפור של אבטחתם וזאת 9 שנים אחרי שהדרישה לעמוד בחוק האבטחה שלHIPAA  נכנס לתוקף באפריל 2005.

 

לסיכום ולהתייחסות למנהלי אבטחת מידע, למחוקקים ורגולטורים בישראל (זה לא חדש, כתבתי את זה לסיכום מאמר לפני 1/2 שנה. לצערי, דבר לא השתנה מאז):

1.        חקיקה או רגולציה נאותה הנה הבסיס ההכרחי להגנה על הפרטיות וליצירת מסגרת ליישום אבטחת מידע.

2.        פרסום מידע על אירועי אבטחת מידע ופגיעה בפרטיות ע"י גורם ממשלתי מוסמך הנו כלי חשוב באכיפת הדרישות הכלולות בחקיקה/רגולציה, וגם מספקת אפשרות הפקת לקחים לכלל המגזר כדי להימנע מטעויות שנעשו ע"י אחרים.

במגזר הבריאות בישראל, משרד הבריאות אומנם מחייב את יישומו של תקן אבטחת מידע בבריאות, תקן 27799. במסגרת תקן זה קיימת דרישה המקבילה בחלקה ל-Breach Notification Law (בחלקה כיוון שהדיווח הנו לקורבן הפגיעה אבל לא לרגולטור, ללא פרסום פומבי או צעדי ענישה). אך גם דרישה מצומצמת זו איננה מעשית, כל עוד לא קיימת במדינת ישראל תשתית חקיקתית מחייבת לעניין זה.

בשלב זה אני ממליץ למנהלי אבטחת המידע להתייחס לדוחות מבקר המדינה בישראל בנושאי אבטחת מידע כמקבילה לדוחות האכיפה של ה-OCR. נתן למצות מהם את הבעיות שהתגלו ולהפנות שאלה לעצמך בסגנון הבא:

      לו הארגון שאני משמש בו מנהל אבטחת המידע היה הארגון המבוקר, מה היה נכתב עלי בדוח?
      התשובה הנה בסיס טוב וריאלי לתוכנית עבודה על מנת שכאשר תתבצע "ביקורת אמת", התוצאה תהיה
      טובה יותר.

3.        הטלת קנסות גבוהים בצמוד לחובת ביצוע פעילות מתקנת מהווים בדרך כלל אמצעי יעיל, למרות שאירוע בודד עלול לקלקל את הסטטיסטיקה. מדינת ישראל מפגרת מאד בנושא זה.

---

[1] קישור למאמר המקורי: http://www.healthcareinfosecurity.com/health-breach-tally-tops-1000-incidents-a-6891

 

[2] קישור ל"קיר הבושה - Wall of SHAME": http://www.hhs.gov/ocr/privacy/hipaa/administrative/breachnotificationrule/breachtool.html

מתי ואיך הפכתי למידען-משהו אישי הפעם וזה קשור מאד לאריק שרון ז"ל. הפוסט הזה מוקדש לזכרו.

במהלך חיי אדם ישנן נקודות שבהם הוא מעורב במשהו כאשר באותו הרגע הוא לא קולט מהי המשמעות ארוכת הטווח.

בשלב כלשהו במהלך שירות הסדיר שלי בצבא התגלגלתי לפיקוד דרום. אריק שרון אלוף הפיקוד. הזמן: חודש דצמבר שנת1971. הוצע לי למלא את מקומה של קצינה שעסקה בנושא שרק לאחר זמן הבנתי שהוא ייחודי (נכון לאותה התקופה), ושהיום ניתן לקרוא לו בשם "מידענות אגמית" או "מידענות מבצעית". אריק שרון הבין כבר אז מהי החשיבות של הפיכת נתונים למידע בתהליך קבלת החלטות מבצעיות.

אלא שנכון לאותה התקופה הגופים היחידים שעסקו בכך בצה"ל היו יחידות שונות באמ"ן (על הבעייתיות של העברת נתונים/מידע בין אמ"ן ואג"ם/מבצעים לא צריך להרחיב כאן, את המשמעות או אחת מהמשמעויות למד על בשרו כל עם ישראל במלחמת יום הכיפורים) ומחלקת ההיסטוריה במטכ"ל (אבל הם עסקו בהיסטוריה, דהיינו, בעבר ולא בעתיד).

אינני יודע באיזה שלב הוחלט ע"י אריק שרון שהנושא מספיק חשוב לו, והוא מוכן להקצות לכך כח אדם. אני הגעתי בדצמבר 1971 ומצאתי את עצמי בתהליך חפיפה עם קצינה שלמיטב זכרוני שמה היה דליה.

הפרויקט הראשון שלתוכו "הוטלתי" (עוד כחלק מהחפיפה שלי) היה למלא איזושהי טבלה שכללה כמובן חיתוך של אירועי פח"ע החל מתום מלחמת ששת הימים ועד לאותו המועד. והיו לנו "חורים" כל מי ששאלנו באותו הלילה במחלקת היסטוריה במטכ"ל ואצל גורמי האמ"ן השונים, לא ידעו למלא לנו את החורים הללו. למחרת לקח אריק שרון את הטבלה והעבירה לראשת ממשלת ישראל, גולדה מאיר. זה היה שיעור מאלף.

(1) מי שחשבתי שיודע, לא יודע, והמשמעות שאני צריך לסמוך הרבה מאד על יכולותי להגיע למידע בעצמי 

(2) כאשר לא יודעים, לא ממציאים, אומרים "לא יודע". גם אם צריך להגיד "לא יודע" לבכירים ביותר.

במהלך שנת 1972 הייתי אני, סמל בצה"ל, הגורם שנבר בחומרים הגולמיים שנוצרו ע"י מש"קי המבצעים בפיקוד ובדוחות המסכמים היומיים והשבועיים על מנת לספק לאלוף הפיקוד, אריק שרון ז"ל לראש המטה ולקצין האגם הפיקודי סיכומים חודשיים וסיכומים עפ"י דרישה. מחשב כמובן לא היה. הכל היה ביד.

הדרישות היו מגוונות ולא אפרט אותן כאן כמובן. דבר אחד אני יכול לומר באופן חד משמעי, מעולם לא נדרשתי "לערבב ידיעות", לכסתח, או חמור מכך לבלף, ההיפך הוא הנכון.

הסוד של הפיכת נתונים למידע טמון במקום אחר והוא "מסמך מוכוון מטרה": מה המטרה לשלמה נועד המסמך? על בסיס זה מבוצעות הפעילויות הבאות:

1. בחירת אלו נתונים גולמיים ייעשה בהם שימוש.

2. בחירת אלו נתונים גולמיים לא ייעשה בהם שימוש.

3. בחירת אופן הצגת הנתונים הגולמיים שהוחלט לעשות בהם שימוש.

4. הצגת שורת הסיכום אשר אמורה לשרת את המטרה אשר בגינה נכתב המסמך.

 

לא ידעתי אז שבשנה זו נזרעו בי זרעי העיסוק בתחום המידענות. תחום שבעשור האחרון משמש אותי בעבודתי כיועץ  אבטחת מידע.

ומילה אחת נוספת על אותה שנה, שנת 1972 והשנה שלאחריה, 1973.

בשנת 1972, ראיתי גוף צבאי עובד בהרמוניה. יש ראש ויש לב. הכל בגלל מי שפיקד על היחידה הזו, אריק שרון. אינני יכול לומר שראיתי הכל ושמעתי הכל ובטח ממרחק שנים כה רב קשה לזכור כל פרט, אבל היה שם משהו מאד מיוחד במקום הזה אז, ולמשהו הזה היה שם: אריק שרון, אלוף הפיקוד.

אני השתחררתי משירות סדיר כחודשיים לפני פרוץ מלחמת יום הכיפורים. אלוף הפיקוד כבר היה גורודיש.

לפני שחרורי ירדתי לפיקוד לשוחח עם מש"קי המבצעים. הם סיפרו לי על כך שמה שהיה איננו עוד.

ההרמוניה שאיפיינה את העבודה של הצוות שאריק שרון ריכז סביבו נעלמה. הפיקוד היה עוד יחידה צבאית שמנוהלת ע"פ פקודות ורק ע"פ פקודות. גם את התוצאה הזו חווינו כאשר פרצה מלחמת יום הכיפורים.

עדכון ותוספות - אבטחת/הגנת מידע והגנה בסייבר: שני עולמות או סתם באזזוורד

אני מייחס למילים משמעות. על כן תחילת הפוסט הנה שעור בסמנטיקה.

אבטחה או הגנה על מידע כשמה כן היא, הגנה על "מידע" מפני "משהו לא טוב" שיכול לקרות לו, ל"מידע".

אם נגדיר מה זה "המשהו הלא טוב" הזה ונגדיר מהו "מידע" אזי נדע בדיוק למה הכוונה בצמד המילים "אבטחת מידע" או "הגנת מידע" (היינו הך לדעתי לפחות סמנטית).

אז הגדירו. אני חושב שההגדרה המקובלת כיום היא שאותו ה"משהו הלא טוב" כולל את הפגיעה בסודיות המידע (אם המידע סודי), פגישה בשלמות ואמינות המידע (אם שלמות ואמינות חשובה), ופגיעה בזמינות הגישה למידע (אם זמינות זו חשובה).

וגם הגדירו מה כלול במילה "מידע". כדי לפשט נאמר שמדובר באוסף נתונים בשלל צורות (אותיות, מילים, משפטים, סימנים) המצויים על גבי תשתיות מדיה שונות (נייר, תשתית מחשוב דיגיטלית, אופטית) בצורה של מסמכים, שרטוטים וכד'.

 

בסיכומו של דבר זוהי הגדרת אבטחת המידע הידועה משכבר הימים. הגנה על:

                                                                                       Confidentiality , Integrity , Availability.

מה לא כלול בהגדרה הזו?

מי אחראי על מה בחלוקת האחריות הארגונית:

§         הטיפול בסיכונים השונים: מי אחראי על הטיפול בסיכון הפגיעה בסודיות, מי מטפל בסיכון הפגיעה בשלמות ואמינות ומי מטפל בסיכון הפגיעה בזמינות. האם זה גורם ארגוני אחד או יותר. והיכן ממוקם בארגון אותו הגורם או אותם הגורמים.

§         הטיפול במישורים הפיזי והמיחשובי: המישורים הפיזיים שבו מצוי המידע (נייר, מחשבים נייחים וניידים), במנוחה או בתנועה (לדוגמה, במגירה במשרד או בתיק כאשר נלקח ממקום העבודה לאתר לקוח ויהא זה דוח או מחשב נייד או סמרטפון) ובמישורים המיחשוביים/דיגיטליים/אופטיים שבהם מעובד המידע, נאגר המידע ומועבר המידע בתקשורת (ההגנה המקצועית הנדרשת במדיום הדיגיטלי או האופטי, וזה כולל המון, כמו לדוגמה: מערך מידור והרשאות, טיפול בקוד זדוני, איתור והדיפת התקפות מכיוון הרשת הפנימית והחיצונית, U Name IT).

עכשיו, בואו נשלב בין שני הנושאים לעיל. מה קיבלנו?

-          טיפול במישור הפיזי של סיכוני סודיות, שלמות ואמינות, זמינות.

-          טיפול במישור המיחשובי של סיכוני סודיות, שלמות ואמינות וזמינות.

בדרך כלל הפתרון המקובל הנו:

המישור הפיזי מטופל כולו ע"י הקב"ט (סודיות, שלמות ואמינות, זמינות). לעתים הטיפול בסיכון הסודיות מספק מענה גם לשאר הסיכונים. לדוגמה: אם נדרש להעביר מסמך מסווג ממקום אחד לשני, אזי המסמך מוכנס למעטפה מאובטחת (פתיחה מגלה את עובדת פתיחתה), ובזה טופלו בבת אחת היבטי הסודיות וגם שלמות ואמינות. נעשה שימוש בשירות בלדרות שעבר בדיקת מהימנות וטופלה גם הזמינות וגם אמינות השירות. הכל תחת גורם מקצועי אחד בארגון, הקב"ט.

אבל המישור המיחשובי לא מטופל כולו ע"י מנהל אבטחת/הגנת המידע.

• מנהל אבטחת/הגנת המידע מטפל בסיכון הסודיות בלבד.
• מנמ"ר ומנהל הפיתוח מטפלים בסיכון השלמות והאמינות. הם אינם מתייגים את עצמם כאחראים על אבטחת מידע, הרי לזה "יש מנהל אבטחת מידע",
• נושא הזמינות מתחלק לשניים, השגה ושימור של זמינות בשגרה ואספקת זמינות (ולו גם חלקית) כאשר השגרה הופרה, בעתות חירום:

1. מנהל תפעול מערך טכנולוגיית המידע אחראי על אספקת הזמינות בעת שגרה, דהיינו, טיפול בסיכון אי הזמינות. מבוצע בדרך כלל באמצעות תכנון קיבולת ועומסים ואספקת יתירות. מנהל התפעול איננו מתייג את עצמו כמטפל בנושא אבטחת מידע, הרי "יש מנהל אבטחת מידע בארגון".
2. סמנכ"ל תפעול או סמנכ"ל בכיר אחר או המנמ"ר מטפל בסיכון הזמינות לעת חירום באמצעות הכנת מענה הנקרא בז'רגון המקצועי "תוכנית המשכיות עסקית".. מי שממונה על הנושא איננו מתייג את עצמו כעוסק באבטחת מידע, כי בשביל אבטחת מידע "יש את מנהל אבטחת המידע".

המענה על כן קיים מאז ומעולם, אין פה שום חידוש, אלא שברמה הסמנטית יש עיוות. ישנם כל הזמן איומים חדשים ולא סיכונים חדשים, כן גם כאן הסמנטיקה חיונית[1]. אויבים חדשים עלולים גם הם לצוץ, סדרי העוצמה של איומים קיימים עלולים להשתנות, טכנולוגיות עשויות לקום וליפול, מבנה ארגוני עשוי להשתנות וכד', כמו גם מענים המתפתחים כדי לספק מענה לאיומים ולסיכונים כל אחד בנפרד ובמשולב.

דוגמא נפלאה בת עשור בדיוק הוא הפישינג. הוא היה קיים מאז ומעולם, כן מאז שיכולנו לעבוד אחד על השני באמצעות המדיום הדיגיטלי בדוא"ל. בחג במולד בשנת 2003 פתאום בחודש אחד כמות הפישינג קפצה ב-400% ומאז האיום הזה לא ירד ממסך הרדאר. העובדה היא שבנקודת זמן ספציפית מאד, קבוצה של (מי יודע?) החליטה להקפיץ בצורה משמעותית את השימוש בפישינג ומאז זה מוכר וידוע. אבל זה היה כבר קודם.

מודיעין על תקיפות דבר חדש? נו באמת חבר'ה. באותה המידה אפשר להגיד שגם הצפנה הייתה דבר חדש. כן, אתם הצעירים אינכם זוכרים, אבל עולם ההצפנות המסחריות שכל משתמש יכול להשתמש בהם לא היה. לא היה דבר כזה. הצפנה הייתה נחלת גופי מערכת הביטחון. ואז יום אחד אי שם בשנות ה-70 של המאה הקודמת הטכנולוגיה הזו התחילה לזלוג מהעולם הביטחוני לעולם המסחרי. היה צורך, היה ידע, היו חבר'ה ש"זלגו" מעולם הביטחון לעולם האזרחי ו"הזליגו" אתם את הידע והיכולות... אז לידיעתכם, גם נושא "מודיעין הסייבר" איננו שונה. איסוף מודיעין היה מאז ומעולם למטרות ביטחוניות ולמטרות אזרחיות. אל מה? הביטחוניסטים יצאו החוצה מהיחידות הטכנולוגיות הביטחוניות ו"הזליגו" יחד אתם את הידע שרכשו שם. אז לא זה מה שיוצר את ההבדל.

ואם נדרשת דומה ספציפית לעניין תקיפה למטרת איסוף מודיעין, אני מפנה את כל הקוראים את הפוסט לספר "העין של וושינגטון", או בשמה היותר ידוע של אותה הפרשה:

                       The Inslaw Affair / PROsecutors Management Information Systems-PROMIS

זוהי תקיפת APT מצוינת. רק שהיא מתחילה מתישהו בשנות ה-70 של המאה הקודמת...

הרי בלי אינטרנט אין APT. תתעוררו בבקשה, עידן האינטרנט לא המציא את ה-APT

סיימנו בזאת את הדיון באבטחת מידע? עדיין לא.

בכל הדיון שלנו קיימת הנחה סמויה. הנחה זו מתייחסת לבעלות על רכיבי המחשוב שבהם המידע הארגוני נאגר ומעובד. ההנחה הנה שמדובר ברכיבים שבבעלות הארגון. פועל יוצא הנו שהארגון באמצעות אגף מערכות מידע שלו חולש על אותם הרכיבים ועל כן החלוקה שהוצגה לעיל תקפה (מנהל אבטחת המידע אחראי על סיכוני הסודיות, מנמ"ר/מנהל פיתוח אחראי על סיכוני שלמות ואמינות והאחריות לטיפול בזמינות מתחלקת כפי שמצוין לעיל).

עד כאן הכל טוב ויפה.

מה קורה כאשר המידע מצוי בבעלות גוף אחר אבל עדיין הסיבה שהמידע מצוי שם נעוצה בעובדה שהארגון החליט כך אבל המידע לא הועבר מהארגון לגוף האחר בתקשורת. הוא פשוט הגיע לשם מלכתחילה. דוגמה טובה לכך עשויה להיות במגזר הבריאות.

כל אחד מאתנו הנו לקוח של אחת מארבע קופות חולים. כאשר אני מיישם את זכותי לקבלת טיפול רפואי באמצעות זכאותי ועל בסיס הביטוח בקופה, ישנן שתי אפשרויות:

1.       את הטיפול הרפואי אני מקבל במרפאה של הקופה. המטפל עושה שימוש במערכות המידע של הקופה.

       במצב זה, אנו מצויים בתחום חלוקת האחריות לאבטחת המידע שתוארה לעיל.

2.     את הטיפול הרפואי אני עושה במכון חיצוני אליו הופניתי ע"י הקופה. המטפל עושה שימוש במערכות מידע שאינן של הקופה, אלא של המכון. לא תמיד המידע מועבר מהמכון לקופה בתקשורת מחשבים. אני מתייחס למצב שבו המידע יימצא רק במערכות המידע של המכון. המטופל עשוי לקבל תדפיס של המפגש או מידע על מדיה מגנטית בצורה כלשהי.

במצב זה, דרישות האבטחה מושתות על המכון החיצוני באמצעות ההסכם הנחתם אתו. ההסכם עשוי להיות תוצאה של הליך רכש באמצעות מכרז. במקרה זה אגף מערכות מידע של הקופה איננו חלק מתהליך רכש השירות ע"י הקופה ועל כן בהחלט עשוי להיווצר מצב שעל מנהל אבטחת המידע לקבוע דרישות בשלושת התחומים:

א.      שימור סודיות המידע כיוון שמדובר במידע רפואי-אישי, כזה המוגן ע"פ החוק והתקנות להגנת הפרטיות במדינת ישראל,

ב.      שימור שלמות ואמינות המידע תתפלאו לקרוא, אבל בחוק הגנת הפרטיות, כן זה המיושן, הלכאורה חסר שיניים, נושא שלמות ואמינות המידע כן כלול בהגדרת אבטחת המידע, ועל כן גם נושא זה מצוי באחריות מנהל אבטחת המידע במקרה זה,

ג.       שימור זמינות השירות בשגרה ובמקרי חירום לא יאומן כי יקרא, אבל גם הזמינות מצויה שם בהגדרת אבטחת המידע בחוק הגנת הפרטיות.

מה למדים אנו אם כך? במקרה זה, מנהל אבטחת המידע בבואו לכלול דרישות אבטחת המידע שעל ספק שירותי הבריאות החיצוני לספק למבוטח, בסמכותו, והייתי אומר מחובתו לכלול דרישות לסודיות, שלמות ואמינות וזמינות.

השאלה הנה כמובן האם יש בידיו את הכלים הנאותים לדרוש זאת?, שכן ביומיום כפי שהסברתי לעיל, הוא אחראי רק על סודיות המידע.

 בזאת סיימנו למיטב הבנתי את הדיון באבטחת מידע.

ומה נותר לנו? תחומים שאינם עיסוק במידע. כיוון שהם אינם כלולים בהגדרת המונח אבטחה או הגנה על מידע. למה? כי הגנה או אבטחה של מידע מתחילה ונגמרת במונח מידע.

השאלה כמובן האם קיימים תחומים כאלה? לדעתי כן.

בעבר התחומים הללו לא נצמדו לעולם הטכנולוגי המודרני המבוסס שבבים המרכיבים את המרכיב היסודי בעולם המחשוב.

קחו לדוגמה מכשיר רפואי ידוע ומוכר, מכונת צילום רנטגן. מה היה בה? מכשיר ליצירה וירייה של קרן אלקטרונים, (זה היה קיים הרבה לפני שהומצא הטרנזיסטור שבלעדיו אין שבב ובלעדיו אין מחשב), ולוח צילום שמאפשר לקלוט את תוצאת הקרנת קרן האלקטרונים הזו על חפץ שבחלקו בולע את הקרן ובחלקו לא בולע אותה. גם זה לא קשור למחשבים דיגיטליים. חוץ מזה הייתה שם הרבה מכניקה, וחומרים כימיים לפיתוח התמונה. בסוף היה לנו ביד פילם שאתו הלכנו לרופא והוא על סמך מה שראה בפילם הפיזי שהחזיק אותו ביד קובע את האבחנה הרפואית ושולח אותנו לקבל טיפול.

אבטחת המידע במקרה זה נועדה להגן על המידע המצוי בפילם. כן הייתה חשיבות לשלמות ואמינות המידע המצוי בפילם. לכך דאגו הרשויות המוסמכות לדוגמה ה-FDA כאשר סיפקו אישור למכשיר הרפואי שהוא מבצע את פעילותו כנדרש.

כמו כן, נדרש לאחסן את הפילמים במקום שלא ייגנבו ויישמרו כיאות, כך שניתן יהיה לאחזרם בעת הצורך (עד שנמאס לקופות החולים והם העבירו את האחריות לחולים. זוכרים?).

היום מכשיר רנטגן קרוי CR – Computerized Roentgen או DR – Direct Roentgen.

כי אין יותר מידע על פילם אלא יש מכונה שיש בה מחשוב בכל מיני שלבים של פעילותה וניהול פעילותה. היא מייצרת מידע דיגיטלי מסוג תמונת רנטגן אבל הוא מיוצר בנבכי מערכות המחשוב, בתהליך דיגיטלי. כלומר כל תהליך הפעולה של המכונה כבר מבוקר ומנוהל באמצעות ממשקי מערכות מיחשוביות, חלקן משובצות מחשב וחלקן מחשוב "רגיל".

מהי כאן "אבטחת/הגנת המידע"? על מה מנהל אבטחת/הגנת המידע אמור להגן? האם הידע ותחומי האחריות שלו מספיקים/רלוונטיים?

באופן דומה נוכל להתייחס לכל מערכות הייצור והבקרה. ייצור של ובקרה על אנרגיה לסוגיה השונים (חשמל, דלק, גז), מערכות חיים כדוגמת מים וביוב, מערכות שליטה ובקרה בתחומי הטיס, שיט, תנועת רכבות ועד מערכות ניהול מעליות, מיזוג אוויר. מקררים תעשייתיים ומעבדתיים, וחמצן בבתי חולים. הדוגמאות הן מכל חיינו. כל העולמות הללו שהיו בעבר עולמות מכניים, חשמליים, והידראוליים וכללו מנגנוני טיפול בסיכוני בטיחות למפעיליהם ולתהליכים שבוצעו באמצעותם (באופן כזה או אחר) הפכו לעולמות שבהם משולב ומעורב שבב המחשב ואתו כל העולם הדיגיטלי כולל ממשקים מהרכיב הממוחשב לעולם החיצוני למטרות שונות החל מהצגת הנתונים, קבלת פקודות לבצוע פעולות (לפתוח לסגור שסתום להזרמת מים, דלק, גז, לנהל את מערך ייצור החשמל, לנהל את מערך הרמזורים והדוגמאות רבות מספור) וכמובן בצוע תחזוקה מרחוק באמצעות ממשק אלחוטי או אינטרנט או כל ממשק אחר.

מה לאמור לעיל ולאבטחת מידע/הגנת מידע? ישנה מעורבות בהתייחסות למידע, אינני מתכחש לעובדה זו, אבל ניהול הסיכונים של מערכות הנדסיות כדוגמת מכשור רפואי, מערכות שליטה ובקרה (חלקן בזמן אמת), ייצור חשמל, ניהול רמות דלק והזרמתו, אינו ניהול סיכוני מידע או ניהול סיכוני טכנולוגיית מידע, הם תחום מקצועי אחר לגמרי. ועל כן וכבר מהרמה הסמנטית, אבטחת/הגנת מידע איננה הכותרת הנאותה. אם היא לא הכותרת הנכונה, אזי קשה להניח שניהול אותם הסיכונים הנו בר בצוע ע"י מי שכל ידיעותיו, הכשרתו וסמכותו מצויות בתחום המקצועי של ההגנה/האבטחה על המידע וטכנולוגיית המידע בלבד.

על הבעייתיות הזו עמדו כל העוסקים בנושא בתחילת העשור הקודם כאשר החל בעולם, כמו גם בארץ הטיפול בנושא.

נדרש ליצור שיתוף פעולה בין עולם ההנדסה המייצר את הרכיבים הללו ובין עולם המחשוב שהרכיבים הללו משתמשים בתשתיותיהם (חומרה/קושחה ותוכנה) ופועלים בהם בשילוב. נדרש ליצור שפה משותפת של ידע כיצד הדברים פועלים ומהם האיומים בשני העולמות השונים, כיצד איומים אלו מתורגמים לסיכונים (ומהם הסיכונים) וכיצד ביחד, בשיתוף פעולה בין עולם ההנדסה (לדוגמה בסקטור הבריאות, ההנדסה הרפואית) ועולם המחשוב (אגף מערכות מידע, ומנהל אבטחת/הגנת המידע, בין אם הוא ממוקם בתוך האגף ובין אם הוא ממוקם מחוץ לאגף) מייצרים תהליך להגנה נאות מפני אותם איומים וסיכונים.

זו לא אבטחה/הגנה על מידע. נקודה. זו הגנה על יכולת התפקוד של הרכיב ושל מה שהרכיב הזה אמור לבצע. וזו תוספת להגנת המידע ולא במקומה.

אז איך נקרא לזה? הגנת סייבר? זה אומנם תפס, אבל זה לדעתי לא המונח הנכון.

שם אחר שנתן: אבטחת שרשרת האספקה. יופי. ארוך מדי, מסורבל, לא קליט ולא ממש מבינים מה זה.

אפשר לעשות תחרות למצוא את השם הנכון. כרגע אין לדעתי שם נכון.

אבטחת/הגנת מידע זה לא. אני מקווה שלפחות בכך הצלחתי לשכנע.

הגנה בסייבר זה גם לא, אבל זה תפס. אז נגיד...

ויש עוד מקום לדיון נוסף האם מדובר בשני ממלאי תפקיד בארגון: מנהל אבטחת/הגנת המידע ומנהל הגנת הסייבר (נגיד שזה השם), כאשר ההפרדה היא לא המודיעין, האינטרנט, התוקף, תקיפת APT או פצחנות "רגילה", אלא על מה יש להגן, על המידע או על מרכיבים אחרים שאומנם גם בהם יש מידע, אבל העיקר בהם איננו המידע אלא יכולת התפקוד. נקודת המוצא לדיון נוסף זה אמורה להיות לדעתי זו:

הגנה על מידע מיושמת בסיכומו של דבר במערכות טכנולוגיית המידע. מערכות אלו מיוצרות ברחבי העולם והן בעיקרן מערכות לשימוש כללי. שרת/תחנת עבודה/מחשב נייד עשויים לשמש תשתית לסוגים שונים מאד של שימושים. יישום אבטחת מידע מוטל על כן בעיקר על הרוכש את הרכיב ומותנה מאד באופן השימוש ברכיב.

הגנה על רכיבים תפעוליים אשר מראש יועדו לשמש מטרה מסוימת, כמו מכשור רפואי, נדרש שהיצרן יפעיל מראש רכיבי אבטחה כחלק מהתכנון ההנדסי והייצור. אם לא יעשה זאת, לא יוכל המשתמש להוסיף רכיבים כלל או יתקשה לעשות זאת משלל סיבות. זהו מצב שונה.

---

 

[1]  איום – Threat: הפוטנציאל להתרחשות "משהו לא טוב" ("נזק"). סיכון – Risk: מה עלול לקרות אם יתממש הנזק. לדוגמה: חדירת קוד זדוני זה איום. הסיכון מאיום זה הנו משולש: שיבוש מידע, שיבוש עד השבתת יכולת הפעילות, גניבת מידע. האיום לא חייב להתממש או עלול להתממש בכל קומבינציה אפשרית של מרכיבי הסיכון. כמו כן, סיכון אחד יכול להתממש מיותר מאיום אחד. לדוגמה: השבתה יכולה להתממש עקב חדירת קוד זדוני או מטעות אנוש או מפעולה זדונית של פצחן (האקר).

מאמר מתורגם – "קיר הבושה –Wall of SHAME" ארבע שנים אחרי: צבר האירועים – נתן להפיק לקחים חשובים

לאחרונה הכריז ארגון ה-ICS2 (International Information Systems Security Certification Consortium) על הסמכה חדשה, HCISSP. לכל מי שלא יודע הסמכת CISSP הנה ההסמכה הוותיקה והנפוצה ביותר בתחום אבטחת המידע בהיבט הכללי. ההסמכה החדשה הנה CISSP למגזר הבריאות.
נשאלתי, מדוע לספק הסמכה ייחודית למגזר זה?
אחת התשובות שיש באמתחתי הנה המאמר שאת תרגומו אביא להלן.

רקע:
בארה"ב קיימים שני חוקים חשובים העוסקים בהגנת פרטיות ואבטחת מידע למגזר הבריאות:
1. HIPAA – Health Insurance Portability and Accountability Act: כולל שני "תת חוקים". האחד לנושא הגנת הפרטיות והשני לנושא אבטחת מידע.
2. HITECH – Health Information Technology for Economic and Clinical Health act אשר נחקק כחלק מחוק רפורמת הבריאות של הנשיא אובמה. משדרג נושאים ב-HIPAA.
לאחרונה נוסף חוק שלישי (תוספת ל-HIPAA). ה-HIPAA OMNIBUS, אשר בין היתר מחייב "שותף עסקי – Business Associate" של מי שמחזיק רשומה רפואית פרטנית (לדוגמה ספק שירותי גיבוי או ספק שירותי ענן...) לציית לדרישות HIPAA.
אבל לענייננו המרכיב החשוב ביותר הנו חוק ה- Breach Notification Final Rule(שנחקק במסגרת ה-(HITECH מאוגוסט 2009, ואשר מחייב ישויות החייבות לעמוד ב-HIPAA לדווח למשרד הבריאות האמריקני על אירוע אשר פגע בפרטיות או באבטחה ובמהלכו התאפשרה גישה בלתי מורשית למידע הרפואי המוגן באופן שהשימוש או החשיפה מהוות סיכון משמעותי בתחום הכלכלי, התדמיתי או נזק אחר (HARM) לאדם שנפגע. גולת הכותרת הנה שכאשר מדובר בלמעלה מ-500 יחידים באירוע בודד, האירוע לא רק מדווח למשרד הבריאות אלא גם הופך לפומבי באתר האינטרנט של משרד הבריאות ("קיר הבושה – Wall of Shame") .
ללא קשר לכמות הנפגעים הפוטנציאליים בכל אירוע, החקיקה מאפשרת הטלת קנסות כבדים (עד מיליוני דולרים) באירוע בודד.
בספטמבר 2013 מלאו 4 שנים לכניסתו לתוקף של חוק ההודעה על אירוע פגיעה בפרטיות ואבטחת הרשומה הרפואית (Breach Notification Rule).

קישור ל"קיר הבושה - Wall of SHAME": http://www.hhs.gov/ocr/privacy/hipaa/administrative/breachnotificationrule/breachtool.html

קישור למאמר:
healthcareinfosecurity.com/wall-shame-four-years-later-a-6104



עתה נפנה לתרגום המאמר בסופו שלוש מסקנות/המלצות למנהלי אבטחת מידע ולמחוקקים/רגולטורים בישראל.

בארבע השנים מאז כניסתו לתוקף של חוק ההודעה על אירוע פגיעה בפרטיות ואבטחת הרשומה הרפואית (Breach Notification Rule), אושרו ע"י הרשויות הפדרליות כ-674 פגיעות משמעותיות אשר פגעו בכמעט 27 מיליון יחידים.
לקח אחד חד משמעי ב"קיר הבושה" של פגיעות משמעותיות הנו הערך של הצפנה כאמצעי מניעת פגיעה. למעלה ממחצית מכל הפגיעות המשמעותיות שדווחו מאז ספטמבר 2009 קשורות לאובדן או גניבה של רכיבים שאינם מוצפנים, בעיקר מחשבים ניידים.
אמצעי הימנעות מסיכון הבדוק ביותר הנו הצפנה, כך לדברי לאון רודריגז מנהל המשרד לזכויות האזרח (Office of Civil Rights, להלן OCR) במשרד הבריאות האמריקני. לדבריו קיימת הערכת יתר של עלויות וסיבוכיות של הצפנה.
רבים מהאירועים של פגיעה בהיקפים גדולים של רשומות, ו-22% מכל האירועים מערבים "שותפים עסקיים – Business Associates". דבר זה מצביע על הצורך של הגופים הנדרשים לעמוד ב-HIPAA )מוסדות רפואיים, הערת המתרגם) לנטר כיצד ספקיהם מממשים בקרות אבטחה יעילות. החשיבות של מרכיב זה גדלה לאחר שהם (השותפים העסקיים) הפכו כעת לאחראים ישירים לציית ל-HIPAA תחת ה-HIPAA OMNIBUS RULE.
בינתיים, כ-20% של הפגיעות ערבו "גישה בלתי מורשית", לעתים בכוונה לבצע מעילה. מה הלקח? להפעיל מדיניות המונעת מבעלי זכות גישה לחטט ברשומות של אחרים, ואם מוצאים שהם מבצעים פעילות כזו, לנקוט באמצעים נגדם. כך לדברי ג'וי פריטס, קצין הפרטיות הראשי במשרד המתאם של מערך ה-IT במשרד הבריאות האמריקני.
בנוסף להפקת לקחים מהסיבות שגרמו לפגיעות המשמעותיות, ארגוני בריאות יכולים ללמוד גם מפעילויות האכיפה שבהם נקט ה-OCR, לאחר מיצוי חקירה של אירועי פגיעה קטנים יותר בהיקפם או המעקב אחר תביעות הקשורות בהפרה של HIPAA. פעולות רבות כאלה מציגות את החשיבות של הערכת סיכונים ככלי לאיתור מוקדם של חולשות אבטחתיות היכולות לגרום לבעיות גדולות יותר.




מגמות ב"קיר הבושה"
ה-OCR, מוסיף את האירועים שפגעו ב-500 ומעלה יחידים לרשימתו, כאשר הפרטים מאומתים. ולמרות שמספר האירועים שבהם נפגעו רבים נמצא במגמת ירידה, מספר מגה-אירועים עדיין מתרחשים.
לדוגמה, נכון ל-27 בספטמבר 2013, דהיינו לפני כשישה שבועות, כ-81 אירועים שהתרחשו בשנת 2013 נרשמו ברישום הפדרלי, בהשוואה ל-160 בשנת 2012 וכ-165 ב-2011.
אבל למרות המספר הנמוך יחסית של האירועים ב-2013 עד לסוף ספטמבר 2013, מספר היחידים שנפגעו עומד המספר המדהים של 4.8 מיליון. הסיבה העיקרית לכך הינה אירוע אחד בודד: גניבת 4 מחשבים ניידים שלא היו מוצפנים מה-ADVOCATE HEALTH SYSTEM. באירוע בודד זה נפגעו כ-4 מיליון יחידים. (הערת המתרגם: אירוע אחד של 4 מיליון ו-80 אירועים המסתכמים בפחות ממיליון... אירוע אחד יכול לשנות את כל התמונה).
בהשוואה, בשנת 2012, 2.6 מיליון יחידים נפגעו מכל האירועים המשמעותיים ביחד, ובשנת 2011, בשנה שבה התרחשו 8 מגה-אירועים נפגעו למעלה מ-11 מיליון יחידים.
ישנם המצפים שכמות האירועים המדווחים תעלה בעקבות כניסתו לתוקף של ה-Hipaa Omnibus Rule. הסיבה לכך היא שה-Hipaa Omnibus Rule שינה את ה-Hipaa Breach Notification Rule. התקן להודעה על פגיעה השתנה מהערכה האם אירועי עלול להסתיים בפגיעה משמעותית בהיבטים כספיים, תדמיתיים או פגיעה אחרת ליחיד, להערכה אובייקטיבית יותר שאירוע חייב בדיווח אלא אם כן קיים סיכוי נמוך שמידע נחשף.
אני מצפה שביטול מרכיב הפגיעה (HARM) ויישום הערכת סיכונים על מנת לקבוע סיכון לחשיפת מידע... ישפיע משמעותית על עלייה בדיווחים על אירועים ל-OCR..." כך לדברי דנה בוגאן, קצינת HIPAA לאבטחת מידע ופרטיות בביה"ח סט. דומיניק ג'קסון במיסיסיפי.

אירועים יקרים
חקירות פדרליות של מספר אירועים המצוינים ב"קיר הבושה" הסתיימו בהסדר כספי משמעותי (קנסות) כחלק מהסדרי הטיעון. ביניהם נתן למנות את הקנסות הכספיים הבאים:
1. קנס בגובה 1.7 מיליון דולר שהוטל על חברת הביטוח WellPoint,
2. קנס בגובה 1.5 מיליון דולר שהוטל על מרפאת עין ואוזן במסצ'וסטס.
3. קנס בגובה 1 מיליון דולר שהוטל על ביה"ח הכללי במסצ'וסטס.
אבל, בסמכות ה-OCR לאכוף ענישה גם בעבירות על HIPAA אשר הנם קטנות מדי בהיקפן ועל כן אינן מצדיקות פרסומן ב"קיר הבושה".
בחודש ינואר 2013, ה-OCR פרסם את הסדר הטיעון הראשון המקושר לאירוע שהשפיע על פחות מ-500 יחידים, אירוע שאיננו מתפרסם ב"קיר הבושה". האירוע התבטא בגניבת מחשב נייד שלא היה מוצפן ובו מידע על 441 מטופלים מההוספיס של צפון איידהו. ההוספיס נאלץ לשלם קנס בגובה 50,000 דולר על מנת להסדיר את הפרשה למול ה-OCR.
חשוב לציין שההסדרים כוללים לא רק קנסות כספיים אלא גם התחייבות לתקן את הפגמים שבעטים אירעה הפגיעה ולבצע סקרי סיכונים מקיפים על מנת לאתר את כל החולשות ולטפל בהן (הערה של המתרגם).

תחת ה-Hipaa Omnibus, קנס עבור הפרה בודדת עלול להגיע ל-1.5 מיליון דולר. רודריגז מנבא שה-OCR יגדיל את "הקנסות המנהליים – Civil Penalties" (קנסות שאינם מהווים ענישה פלילית) כאשר תתקדם האכיפה של ה-HIPAA Omnibus.
הקנס הגבוה ביותר שהוטל ע"י ה-OCR, והקנס המנהלי היחיד עד כה, לא היה חלק מ"קיר הבושה". באירוע זה, ה-OCR השית קנס של 4.3 מיליון דולר על Cignet Health לאחר שלא סיפקו גישה למידע הרפואי למטופליהם, והגדילו עשות כאשר לאחר מכן, גם לא שיתפו פעולה בחקירת ה-OCR.

הבהקי אכיפה
פיל קוראן, מנמ"ר ביה"ח האוניברסיטאי קופר בקמדן, ניו ג'רסי, אומר שבחן את הסדרי הטיעון של OCR על מנת להבין אלו חולשות אבטחתיות זוהו על ידם ומהן הפעולות המתקנות שהומלצו.
המלצתו: בחן האם ישנם דברים שה-OCR המליצה עליהם (כפעולות מתקנות) במקרים אחרים. לדוגמה, לקח חשוב מפעולות מתקנות רבות הנה החשיבות של הערכת סיכונים.
פעילות אכיפה שבוצעה בחודש אוגוסט ע"י ה-OCR המדגימה את חשיבות הערכת הסיכונים פורסמה במסגרת הסדר הטיעון עם Affinity Health Plan, חברה ניו יורקית לניהול טיפולים רפואיים. החברה הסכימה לשלם קנס בגובה 1.2 מיליון דולר על מנת לסיים הטיפול באירוע משנת 2010 אשר פגע ב-345,000 יחידים אשר נתונים עליהם נחשפו על דיסקים קשיחים של מכונות צילום אשר הוחזרו לחברת ההשכרה.
שוב ושוב OCR מוצאים בחקירותיהם שבצוע סקר הערכת סיכונים מעמיק לוקה בחסר, מציין רודריגז. סקר כזה נדרש שיכלול הערכה היכן עשויה להימצא רשומה רפואית מזוהה פרטנית (PHI - Personal Health Information), קביעת הפגיעויות וצמצום הסיכונים.
לדוגמה, אי בצוע סקר מעמיק של הערכת סיכונים, עומד לעתים מאחורי העדר ההצפנה של רכיב שנגנב או אבד. התוצאה לדברי רודריגז הנה דיווחים רבים על פגיעות. (לו היה מוצפן, לו היה צורך לדווח על פגיעה. הערת המתרגם.). ישויות אשר לא בצוע הערכת סיכונים כנדרש כשלו בבצוע ההצפנה מסכם את הנושא רודריגז.
למרות שרוב האירועים קשורים לרכיבים שאבדו או נגנבו, חלק מהאכיפות המבוצעות ע"י
ה-OCR התמקדו ב"חשיפות שערורייתיות", כגון חיטוט ברשומות רפואיות של מטופלים ע"י אנשי הצוות הרפואי.
לדוגמה, ביולי 2011, המרכז הרפואי באוניברסיטת לוס אנג'לס (UCLA Health System), הסכים לשלם קנס בגובה 865,000 דולר ולהתחייב ליישם פעילות מתקנת שמטרתה לסגור פערים בציות ל-HIPAA. שני מטופלים סלבריטאים טענו שעובדים במרכז הרפואי חזרו וצפו ברשומותיהם הרפואיות, כמו גם ברשומות של מטופלים אחרים, ללא רשות.
אירועים כאלו מתרחשים כאשר לא קיימים אמצעים טכנולוגיים להבטיח שמי שניגש למידע הנו מורשה אליו מסכם רודריגז.

עד כאן התרגום הכולל פה ושם מספר הערות שלי.

לסיכום ולהתייחסות למנהלי אבטחת מידע, למחוקקים ורגולטורים בישראל:

1. חקיקה או רגולציה נאותה הנה הבסיס ההכרחי להגנה על הפרטיות וליצירת מסגרת ליישום אבטחת מידע.
2. פרסום מידע על אירועי אבטחת מידע ופגיעה בפרטיות ע"י גורם ממשלתי מוסמך הנו כלי חשוב באכיפת הדרישות הכלולות בחקיקה/רגולציה, וגם מספקת אפשרות הפקת לקחים לכלל המגזר כדי להימנע מטעויות שנעשו ע"י אחרים.
במגזר הבריאות בישראל משרד הבריאות מחייב את יישומו של תקן אבטחת מידע בבריאות, תקן 27799. במסגרת תקן זה קיימת דרישה המקבילה בחלקה ל-Breach Notification Law (בחלקה כיוון שהדיווח הנו לקורבן הפגיעה אבל לא לרגולטור, ללא פרסום פומבי או צעדי ענישה). אך גם דרישה מצומצמת זו איננה מעשית, כל עוד לא קיימת במדינת ישראל תשתית חקיקתית מחייבת לעניין זה.
בשלב זה אני ממליץ למנהלי אבטחת המידע להתייחס לדוחות מבקר המדינה בישראל בנושאי אבטחת מידע כמקבילה לדוחות האכיפה של ה-OCR. נתן למצות מהם את הבעיות שהתגלו ולהפנות שאלה לעצמך בסגנון הבא:
לו הארגון שאני משמש בו מנהל אבטחת המידע היה הארגון המבוקר, מה היה נכתב עלי בדוח?
התשובה הנה בסיס טוב וריאלי לתוכנית עבודה על מנת שכאשר תתבצע "ביקורת אמת", התוצאה תהיה טובה יותר.
3. הטלת קנסות גבוהים בצמוד לחובת ביצוע פעילות מתקנת מהווים בדרך כלל אמצעי יעיל, למרות שאירוע בודד עלול לקלקל את הסטטיסטיקה. מדינת ישראל מפגרת מאד בנושא זה.

עוצמתו של האיום הפנימי - בעקבות דיווח ברויטרס - מה עזר לסנודן

דיווח באתר רויטרס מה-18 באוקטובר:
בסיס ה-NSA שבו הוצב סנודן כשל בעדכון תוכנה למניעה או איתור בזמן אמת של ניסיונות הורדת מסמכים בלתי חוקית
Exclusive – NSA delayed anti-leak software on base where Snowden worked
http://www.reuters.com/article/2013/10/18/us-usa-security-snowden-software-idUSBRE99H10620131018

כמי שעוסק באבטחת מידע כבר למעלה משלושה עשורים (משנת 1982), אינני מופתע לגלות כל פעם מחדש שבסופו של יום אירועי אבטחת מידע קטנים כגדולים, מקורם בכשלים שהטיפול בהם הוא שלב א (לכל היותר שלב ב) של כל מי שלומד ומפנים את יסודות תורת האבטחה. אז מדוע זה חוזר על עצמו כל פעם מחדש? אינני מתיימר לספק תשובה. המקרה שלפנינו הוא דוגמה חיה. והלקחים ממנו ממש פרוסים לפנינו על מגש. רק לקרוא וליישם. והרי עיקרי הפרטים לדברי הידיעה ברויטרס ולפי לוח הזמנים:
1. בשנת 2010 טוראי בריאן מנינג (שבינתיים הפך לצ'לסי מנינג) מדליף באמצעות אתר הויקיליקס מאות אלפי מסמכים. מהומה ענקית בכל העולם.
2. הנשיא אובמה (שנכנס לבית הלבן כנשיא ארה"ב בתחילת 2009, שביום השבעתו לנשיא, מתפרסם אחד מאירועי אבטחת המידע החמורים, גניבת 130 מיליון מספרי כרטיסי אשראי מחברת הסליקה השישית בגודלה בארה"ב - Heartland) מורה לשפר את בקרת הגישה מפני הסיכון הפנימי. עיקרי ההוראה הנה כמובן להתקין אמצעי בקרה טכנולוגיים על מנת למנוע הוצאת מידע ע"י בלתי מורשים או לכל הפחות לאתר בזמן אמת אירועים מסוג זה ולמצות את הדין עם העבריין.
3. הזמן עובר לו, והדחיפות לטפל בכשלים מפנה ככל הנראה את מקומה לצרכים מבצעיים דחופים יותר, לפחות כך הדבר בסוכנויות בטחון ומודיעין, לדברי הכתבה. מוכר לכולנו, הלא כן? התירוץ במקרה זה הוא שאין מספיק רוחב פס על מנת להתקין בנוחות את התוכנה ולהבטיח את פעולתה התקינה.
4. בסיס ה-NSA בהוואי שבו מדובר עבר למקומו החדש בתחילת שנת 2012 והחליף בסיס ישן שהופעל באתר מתקופת מלחמת העולם השנייה.
5. בחודש מרץ או אפריל 2013 מגיע לבסיס זה מנהלן רשת בשם סנודן מטעם חברת בוז-אלן-המילטון לעבודה במסגרת הסכם למיקור חוץ.
6. כעבור כמה שבועות הוא מודיע למעסיקו כי בשל מצב בריאותי לקוי עליו לחזור ליבשת.
7. הוא נעלם למספר שבועות וצץ בהונג קונג. השאר היסטוריה.
8. עוד עובדה אחת, לדברי רויטרס (עפ"י דיווח בחודש אוגוסט 2013), שמעלליו של סנודן החלו כבר שנה לפני כן, בחודש אפריל 2012 כאשר הוריד מסמכים באופן בלתי מורשה אודות פעילויות הריגול האלקטרוניות של ארה"ב בהיותו מועסק ע"י חברת דל.
9. ב—30 לאוקטובר, מדווח באתר רויטרס שמשרד המשפטים האמריקני הודיע שהוא הצטרף לתביעה כנגד החברה אשר בצעה את בדיקת המהימנות של סנודן (US Investigation Services), למרות השם הפסבדו רשמי, זו חברה פרטית. התביעה הוגשה דרך אגב לפני שנתיים וחצי (יוני 2011) ע"י עובד לשעבר של החברה שפוטר לאחר שסרב לבצע את "עיגולי הפינות" שהחברה דרשה ממנו לבצע. "קפיטליזם", "הפרטת הביטחון" אמרנו?

אז מה היה לנו?
1. חוסר בקרה על קבלן. א-ב של אבטחה בפעילות מיקור חוץ.
2. הסתמכות על מבדק מהימנות העובד הפנימי. עובד פנימי? מנהלן מערכת במיקור חוץ... מבדק מהימנות? גם הוא במיקור חוץ. ומה מתברר? הוגשה תביעה כנגד החברה שמבצעת את מבדקי המהימנות ע"י עובד שפוטר לאחר שהאשים את המעביד ב"עיגול פינות". מיקור חוץ בריבוע... ואפוא הבקרות? אחת הסתמכה על השנייה. גם זה א-ב של אבטחה.
3. וגולת הכותרת רעיון התעתועים שבעידן ההיפר תקשובי, היפר טכנולוגי, ניתן להמשיך לתת אמון במבדקי מהימנות, "בקרות תהליכיות" במקום להתקין את מערכות האבטחה הטכנולוגיות בצמוד ליכולות הפונקציונאליות. זה חוסר מקצועיות משווע. את המחיר משלם כל העולם המערבי.

מה הלקחים?
1. אין בקרה שאפשר לוותר עליה מבלי לנהל את הסיכון שאי מימוש הבקרה טומן בחובו.
2. הפרטה או בלשון המקצועית "מיקור חוץ", מייצרת סיכונים חדשים. גם אותם יש לנהל.
3. זמינות ערוצי התקשורת, נפחי מידע עצומים הניתנים להעברה ממקום למקום בהקשת מקש, ונפחי אחסון גדולים של מידע הניתנים לניוד בכיס או בתיק קטן, מחייבים שינוי מהותי בגישת הבקרה. סיכון טכנולוגי חייב לקבל מענה טכנולוגי. הסתיים העידן שבו לסיכון טכנולוגי נתן להסתפק בהוראה מנהלית. זה לא עובד. כבר ראינו ב-2006 כיצד קורסת התפיסה שמספיק להגיד ש"אסור" ואין צורך לספק הגנה. (המקרה של גניבת דיסק מביתו של מנתח מערכות במשרד גימלאי כוחות הביטחון בארה"ב. למה להצפין, הרי ישנה הוראה ש"אסור לקחת חומר הביתה". הדיסק הכיל רק כ-18 מיליון רשומות...). ולא לשכוח, כל טכנולוגיה, כולל טכנולוגיית אבטחה טומנת בחובה את הסיכונים שלה וגם לכך יש לספק מענה החל מרגע הפעלתה.