למה מצב באבטחת מידע בארגונים עדיין גרוע ?
לפי היסטוריה, התקפות של ransomware החלו במאי 2005. מאז אחת
השנים הכי פוריות של מתקפות ransomware היתה שנת 2017, בה התבצעו התקפות של WannaCry, של Petya , ושל Bad Rabbit.
מאז כמובן היו התקפות יותר גדולות ומוצלחות, אך השאלה היא - למה מ-2005, או מ-2017 עדיין הרבה חברות נופלות קורבן להתקפות אלו, ולא רק להתקפות ransomware , כי נכון להיום, התקפות ransomware הן השלב המסכם של גניבת מידע.
אז הבעיה לא רק בהצפנת קבצים, היא הרבה יותר עמוקה - במערך אבטחת המידע בחברות, בארגונים ציבוריים, עד לתשתיות ממשלה (במדינות שונות).
כידוע אבטחת מידע זה רצף הגנות - גדרות אשר מקשות על התוקף להיכנס פנימה לתוך הארגון. בניה נכונה של מערך ההגנה זה הדבר הנכון שצריך לעשות, והוא צריך לכלול את הדברים הבאים לפי דעתי:
- בניה נכונה ומאובטחת של ארכיטקטורת הארגון
- בנית מפת סיכונים ועדכונה בצורה תקופתית
- ניהול נכון של סיכוני אבטחת מידע שכוללת גם סיכוני טעיות אנוש בתשתיות ובפיתוח
- שימוש במוצרי הגנה מטוייבים
- בנית מערך הבקרות כן בתחום הטכנולוגי וכן בתחום התהליכי
- בניה נכונה של מערך הניתור
- העלאת מודעות בתחומי אבטחת מידע אצל כלל המשתמשים ובמיוחד אצל עובדי תשתיות ופיתוח
- ביצוע עדכוני אבטחה בזמן
- ניתור של פגיעויות של מוצרים ותשתיות בשימוש הארגון
- סקירות משטח תקיפה חיצוני
- ביצוע סקרים ומבדקי חדירה חיצוניים ופנימיים
- ביצוע תרגילי סייבר לטיוב תהליכי ניתור, חקירה והגנה
- ליווי סייבר בשינוי ו/או יצירה / רכישה של מוצרים / פתרונות טכנולוגיים בארגון
- ליווי סייבר בהטמעת קוד פתוח בארגון
- ליווי סייבר בתהלכי פיתוח מאובטח
זה רק חלק של מה שצריך לעשות, אך לטעמי חלק חשוב. היום ישנם תקנים וצריך להיצמד אליהם. אך כמו ששמתם לב, הדגש ברשימה זו בא על מילה נכון - לעשות דברים נכון.
אנסה להסביר מה זה נכון בראיה שלי. נכון זה לעשות את העבודה במסירות ובצורה הטובה ביותר. נכון זה לא להפקיר, לא לכסת"ח, לא למצוא תירוצים. נכון זה להביא צוות תשתיות מיומן מקצועי שהוא גם SECURITY ORIENTED, נכון זה לקחת אחריות ולמלא אותה.
אך לצערי אני רואה בשטח תמונה אחרת.
נו טוב, נראה לאן זה יוביל...
