CISO Insider: מהדורה 1

מגיפת הקורונה דרשה מארגונים להגדיל את ההסתמכות על גמישות של מקום העבודה ולהאיץ טרנספורמציה דיגיטלית - ושינויים אלה דרשו באופן טבעי גם כמה שינויים בטקטיקות אבטחה. הגבולות התרחבו והפכו להיברידיים יותר, ועוברים בפלטפורמות ובעננים רבים. למרות שהטכנולוגיות החדשות העניקו יתרון גדול לארגונים רבים ואפשרו פרודוקטיביות וצמיחה גם בזמנים מאתגרים, שינויים אלה העניקו גם הזדמנות לפושעי סייבר, שפועלים לניצול לרעה של הפגיעויות הקיימות בסביבות הדיגיטליות שהולכות ונעשות מורכבות יותר.

השיפור במתקפות דיוג שקשורות לעבודה מרחוק נמצא בראש סדר העדיפויות של אנשי מקצוע בתחום האבטחה ששוחחתי איתם - ואנחנו רואים זאת משתקף גם במחקר שלנו. בסקר Microsoft של מובילי אבטחה שנערך ב- 2020, 55% אמרו לנו שהארגונים שלהם זיהו עלייה במתקפות דיוג מתחילת המגיפה ו- 88% אמרו שמתקפות דיוג השפיעו על הארגונים שלהם. שמעתי גם באופן קבוע על עליה ניכרת במתקפות תוכנת כופר, על האופן שבו תוכנה זדונית נותרת איום עקבי והאופן שבו חשיפת זהות לסכנה ממשיכה להיות אתגר גדול שמטרידה צוותי אבטחה.

בנוסף לזה, אנחנו יודעים שמתקפות מדינת לאום הולכות ונהיות אגרסיביות ועקביות יותר ויותר. מתקפת שרשרת האספקה של NOBELIUM, שמינפה את פלטפורמת SolarWinds, הייתה מתקפה אחת מבין מתקפות חדשות שהגיעו לכותרות בשנה האחרונה. בעוד שטכניקות נוצצות חדשות לעתים קרובות היו אלו שהגיעו למחזורי החדשות, מנהלי אבטחה אומרים לי באופן עקבי שאפילו גורמי איום מתקדמים אלה, כמו רוב פושעי הסייבר, נוטים להתמקד בהזדמנויות של מתקפות בעלות נמוכה ובערך גבוה.

כדי להמשיך ולהדגים את הנקודה הזאת, ראינו שיפור בשימוש של תוקפי מדינת לאום במתקפות password spray. מובילי אבטחה עוסקים בניהול סיכונים ובתעדוף - ומובילים רבים מספרים לי שחיזוק היגיינת הסייבר שלהם למניעת קווי המתקפה הנפוצים ביותר, בייחוד ברחבי טביעת הרגל הדיגיטלית המתרחבת שלהם, עומד בראש סדר העדיפויות. הנתונים והמחקר שלנו תומכים בסנטינמט זה – אנחנו מעריכים שהיגיינת האבטחה הבסיסית עדיין מגנה מפני 98% מהמתקפות (עיין בדף 124 ב דוח ההגנה הדיגיטלית של Microsoft, אוקטובר 2021).

אולי אתה חושב שקל לדבר על צעדי אבטחה בסיסיים, אבל הרבה יותר קשה להטמיע אותם בחיים האמתיים, במיוחד כאשר הצוות שחוק ונמצא בחוסר של כוח אדם. אבל אני אטען שמוביל אבטחה עוסק גם בניהול סיכונים וגם בתעדוף - מכן שהמיקוד ביסודות הופך לגישה פרגמטית מוצקה. לעתים קרובות מדי, תקריות אבטחה אינן עניין של ”אם” אלא של ”מתי”. ישנם מאות נתונים סטטיסטיים מדאיגים בתחום אבטחת סייבר כגון כ- 4,000 מתקפות פשעי סייבר שמתבצעות מדי יום בארה”ב בלבד ומעל 30,000 אתרי אינטרנט ברחבי העולם שנפרצים מדי יום.

אני מאמין שקו ההגנה הטוב ביותר הוא לנקוט בגישה מאוזנת ובהשקעה בזיהוי ותגובה לתקרית לצד פעולות מניעה.

על אף שייתכן שההשקעה ברמות חדשות של מניעה יכולה להיראות קשה בזמן ניסיון לשמור על קצב הדרישה העולה של זיהוי ותגובה, מציאת האיזון הנכון בין שני המאמצים הוא חיוני ומועיל. מחקר שנערך בשנת 2021 על-ידי Ponemon Institute ו- IBM Security גילה שארגונים שאין להם צוות תגובה לתקריות או תוכנית בפועל, ראו את העלות הממוצעת של הפרות נתונים עולה ב- 55%. צוותי אבטחה שיכולים לאזן בין מניעה מוצקה עם אסטרטגיה שכוללת תגובה לתקריות והשקעות בכלי זיהוי ותיקון, יהיו במיקום מוצלח כדי להחזיק מעמד מול הבלתי נמנע.

כולנו שמענו על ההתפטרות הגדולה. מעל 40% מכוח העבודה הגלובלי שוקלים לעזוב את המעסיק שלהם השנהומובילי אבטחה והצוותים שלהם כבר מרגישים את המחסור בעובדים. לעתים קרובות אני מדבר עם מנהלי אבטחה לגבי האופן שבו דברים מתקדמים באופן כללי, והם אומרים שעמידה במחיר, איתור ושמירה של כישרונות מובילים זה אחד מהחששות העיקריים שלהם. ואם כישרונות מובילים אכן עוזבים, הם לעתים קרובות מתמודדים עם איתור כישרונות מובילים חדשים או שיפור המיומנויות של הכישרונות שנשארו בחברה. טכנולוגיה יעילה, משולבת ואוטומטית יותר יכולה לעזור, אבל היא בהחלט לא מספיקה.

מונחי אבטחה עדכניים הפכו לחלק מקומי יומיומי מאחר שמתקפות סייבר מופיעות בחדשות באופן קבוע - ומתקפות אלה (והחדשות לגביהן) יכולות להשפיע רבות על חברה. אך נחשו מה? זה לא בהכרח חדשות רעות לגמרי. בהינתן שאבטחת סייבר הפכה לנושא מוכר בכל התחומים של ארגון, אנחנו שומעים שהרעיון של ”אבטחה היא העבודה של כולם” מתחיל להדהד ברחבי ארגונים. במיוחד עכשיו כשמודלים של עבודה היברידית ומתחמים מאובטחים נדחפים בכל מיני דרכים חדשות - מובילי אבטחה מסתמכים יותר ויותר על דרכים חדשניות לשמירה על כולם בטוחים, אפילו בזמן שהם מתמודדים עם פערים בכישרונות ובמיומנות. מובילי אבטחה חדשניים כבר לא עוסקים ב”לעשות יותר בפחות”, אלא כיום הם עוסקים ב”לעשות יותר אחרת”.

בעוד שהמחסור בכישרונות ובמיומנויות בהחלט אינו חיובי, ישנה קרן אור קטנטנה - יצירת תרבות של אבטחה הופכת למציאות. מנהלי אבטחה רבים מספקים לנו שאחת הדרכים היעילות ביותר לטפל באתגרי האבטחה שלהם בקרב אתגרי ניהול צוות היא לבנות תרבות של אבטחה שבה אבטחה היא העבודה של כולם. מנהלי אבטחה תומכים יותר ויותר ברעיון שהארגון כולו יכול לשאת באחריות של אבטחה, במיוחד מאחר שהם מתמודדים עם מחסורים בצוותים או עם אתגרי מימון.

צוותי פיתוח, מנהלי מערכת וכן, גם משתמשי קצה, חייבים להבין את פריטי המדיניות של אבטחה שקשורים אליהם. שיתוף מידע הוא בסיסי וצוותי אבטחה מוצאים יותר ויותר דרכים חדשות לעבוד עם מפתחים, מנהלי מערכת ובעלים של תהליך עסקי כדי להבין סיכונים ולפתוח פריטי מדיניות ונהלים שמועילים לארגון כולו.

המחסור בכישרונות והפערים במיומנויות (במיוחד במקצוע אבטחת הסייבר שמשתנה ללא הרף) גרם למנהלי אבטחה לחפש דרכים חדשות וחדשניות להישאר בקדמה. אסטרטגיה אחת שאנחנו ממשיכים לשמוע עליה היא ”מינוי לתפקידים בכירים” מתפתח של עובדים מחוץ לצוות האבטחה. מנהלי אבטחה מחפשים למנף את כל הארגון, באמצעות מיקוד מיוחד על הדרכת משתמשי קצה כך שיהיו חלק מהפתרון ובניית תמיכה מצוותים סמוכים.

חיזוק ושיפור הידע של משתמשי קצה לגבי איומי אבטחה - כמו וידוא שהם מבינים מהו דיוג ואת הסימנים של מתקפות עדינות - משפיע רבות על הגדלת הראייה והשמיעה של צוות האבטחה, במיוחד כאסטרטגיית ”חוד החנית”, שבה משתמשים קצה מהווים לעתים קרובות נקודת כניסה עבור מתקפה. אני לא אומר שניתן להדריך משתמשי קצה בדרך פלא כך שיבינו הכל, אך התראה והכנה של משתמשים יכולות לצמצם באופן דרמטי את העומד על צוותי אבטחה.

אסטרטגיה נוספת היא למנות IT לתפקידים בכירים כחלק מהאבטחה. שמירה על צוות ה- IT מחובר היטב לצוות אבטחה והקפדה על כך שה- IT יזכה לתדרוך לגבי אסטרטגיות אבטחה, עוזרות למובילי אבטחה רבים להרחיב את המשימה שלהם לכל תחומי הארגון.

מתן הדרכה ועזרה לאוטומציה וזרימת עבודה יזומה אחרת ואסטרטגיות ניהול משימות, היא דרך יסודית שבה מנהלי אבטחה מרחיבים את הצוותים שלהם וממנפים את מחלקת ה- IT כדי שהיא תעזור להבטיח מצב אבטחה כולל יציב.

כל המחקר המצוטט של Microsoft משתמש בחברות מחקר עצמאיות שיוצרות קשר עם מומחי אבטחה למחקרים כמותניים וגם איכותניים, ומבטיחים הגנה על פרטיות וניתוח מוקפד. ציטוטים וממצאים שכלולים במסמך התקבלו כתוצאה ממחקרים של Microsoft, אלא אם צוין אחרת.