זה מה שצריך להדאיג את העסקים בישראל בתקיפות סייבר

עד לא מזמן, המילה "סייבר" הייתה אלמנט קולנועי שבו הרעים משגעים את מערכת הרמזורים או גונבים לגיבור את זהותו או פורצים למערכות טילים מתקדמות. כיום, כשכולם כבר מדברים על איומי סייבר באותה מידה שבה מדברים על איומים ביטחוניים אחרים, גם המציאות העסקית היא שדה קרב יומיומי של ניסיונות פריצה וחדירה.

הנה כמה דוגמאות מהעת האחרונה: בתחילת החודש הודיעה רשת הום דיפו האמריקאית על חשד למתקפת האקרים, שבה נגנבו מהמערכות שלה נתוני כרטיסי אשראי של לקוחות. זאת, כעשרה חודשים אחרי שחוותה ענקית הקמעונאות האמריקאית טארגט אירוע סייבר שאיים למוטט אותה, אחרי שפרטים של 70 מיליון לקוחות נגנבו. האקרים רוסים פרצו לבנקים אמריקאים, בהם ג'יי פי מורגן צ'ייס, ומידע רב על הלקוחות נחשף. עד כדי כך גדולה הפאניקה, שחברות הביטוח והבנקים בארצות הברית התחילו להפעיל לחץ על הממשל, על מנת שהוא יהיה זה שיישא בפיצויים אם יתרחש מה שהם מכנים "ה-11 בספטמבר של הרשת".

המידע על מתקפות על חברות ישראליות פחות זמין, אך לא מפני שהן אינן מותקפות, אלא כיוון שיש פחות דרישות רגולטוריות לחשוף התקפות כאלה. ולא שלא היו דיווחים: רק לאחרונה טענה חברת הגנת סייבר כי האקרים סיניים פרצו למחשבי החברות המייצרות את סוללות כיפת ברזל, וגנבו משם מידע - עניין שהוכחש מיידית מכל וכל.

אחת המטרות של מטה הסייבר שהקים ראש הממשלה בנימין נתניהו היא לארגן רגולציית סייבר, שתקבע בין השאר כללי גילוי, אולם בינתיים רק ארגונים המחויבים לעשות זאת (למשל, גופים המדווחים למשרד הביטחון ולדומיו, או הבנקים שחייבים לדווח לפיקוח על הבנקים), עושים זאת, וגם אז, הדיווח הוא לא לציבור.

רוב החברות לא מניחות שהן יעד. עניין הסייבר חדש להן. רו"ח הילה בר הויזמן מחטיבת הסיכונים בדלויט ברייטמן אלמגור זהר (פירמת דלויט העולמית, מתברר, הקימה כבר לפני כעשר שנים חברת ייעוץ מהגדולות בעולם לתחום הסייבר), אומרת שלפעמים עליה להסביר בדירקטוריון מה זו בכלל מתקפת סייבר. זאת, על אף ההפסדים העצומים הכרוכים בסיכון: ניתוח שנערך בארצות הברית על-ידי דלויט קבע כי עלות אירוע של זליגת מידע על כל הכרוך בו - הקמת מרכזים למידע, תיקון נזקים, יחסי ציבור וכדומה - יעלה לחברה בינונית סכום של כ-5.8 מיליון דולרים.

מוקד הסייבר המוקם בימים אלה עתיד להפעיל תת-מרכזים על-פי מגזרים, אך בינתיים הגופים היחידים שמתעתדים להרכיב מגזר כזה הם הבנקים, שכבר זמן רב עומדים לצאת במכרז להקמת מרכז סייבר בנקאי. מחלקת הסייבר של דלויט גם היא מתכוננת לגשת למכרז, עם קבוצה שבה חברה בין השאר התעשייה האווירית.

הבנקים משתפים כבר כיום מידע מסוים הנוגע למתקפות, דרך ועדה משותפת, אולם שיתוף פעולה מלא יותר איננו פשוט: גם מפני שבנק לא ישוש לתת בידי מתחריו מידע על כך שהוא מותקף, וגם, כפי שאומר ליאור כלב, מוביל תחום סיכוני סייבר בדלויט, "מפני ששיתוף המידע צריך להיבדק חוקית".

סיסמה כבר החלפתם?

לכל מגזר ישנם צרכים שונים של הגנה. אם הבנק שומר על הכסף ועל מתן הפקודות לפעולות בבורסה, חברות היי-טק מותקפות כדי לשדוד מהן את המוצר שהן שוקדות לפתח.

"חברות סטארט-אפ צומחות מהר מאוד", אומרת בר הויזמן, "ויש הרגשה שצריך לפתח מהר ושכל עניין אבטחת המידע רק מפריע בדרך. בשנה האחרונה רואים בחברות ישראליות כאלה שינוי גדול. הן מתחילות לחשוב על אבטחת מידע כבר בתחילת הדרך, כי הן יודעות שכאשר ינסו למכור את המוצר, הקונה ידרוש לדעת מה עשו בעניין האבטחה".

על-פי דו"ח של דלויט העולמית, המגזר החשוף ביותר לאיומי סייבר הוא תקשורת מקוונת, שעלולה הן לספוג פגיעה במוניטין והן שימוש בה כדי להדביק את המשתמשים במדיה בתוכנות מזיקות שונות.

מגזר המסחר האלקטרוני חשוף בעיקר למתקפות למניעת שירות, שיפגעו בהכנסות החברה או ישביתו את המערכות המקוונות לתשלום, מה שיפגע הן ברווחים והן במוניטין. עוד נקודה רגישה היא נתוני הלקוחות הרוכשים באתרים: לא רק פרטי כרטיסי האשראי אלא גם נתונים אישיים, שיאפשרו להאקרים "להתלבש" עליהם, להריץ את הסיסמה שנתנו לאתר המסחר במקומות אחרים כגון חשבון הבנק או מקום העבודה שלהם (והרי רוב האנשים משתמשים בסיסמה אחת לכל דבר) ולחדור כך למקומות אחרים.

גם הקמעונאות הקלאסית שנראית רחוקה מענייני רשת היא מגזר הסופג לא מעט התקפות, בעיקר בתחום ניסיון גניבת נתוני כרטיסי אשראי ופרטי לקוחות, וכן זליגת מידע. אבל השבתה של כל הקופות הרושמות יכולה להיות הרסנית יותר מכל גניבת מידע.

המדינה בהחלט רואה בהגנה על המגזר האזרחי מטרה לאומית, ואחת הפעולות של המטה הקיברנטי הלאומי היא ללכת בעקבות ארצות הברית והאיחוד האירופי ולהקים פלטפורמה עבור הסקטור האזרחי, מוקד CERT לאומי (Computer emergency respond team), שיעניק סיוע ראשוני בהתמודדות עם מתקפת סייבר.

"מניעת התקפות זה גם אינטרס של המדינה", מסביר ניר פלג, ראש אגף בכיר למחקר ופיתוח במטה הקיברנטי הלאומי, "כי אם כמה חברות בסקטור מסוים נפגעות, יכולה להיות לזה השפעה על כל המשק".