מה אפשר ללמוד מהשבתת הענק של קלאודפלייר?

בסדרת המותחן הפוליטי יום אפס (Zero Day), שמשודרת בנטפליקס, מגלם רוברט דה נירו את ג'ורג' מאלן, לשעבר נשיא ארצות הברית, שכותב את זיכרונותיו. סוכנת ספרותית שבאה לזרז אותו בכתיבת האוטוביוגרפיה התקועה שלו מעורבת בתאונת דרכים קטלנית, שמתרחשת בעקבות דקה של כאוס בכלי תחבורה, ברשתות החשמל ובתקשורת. הכאוס מוביל לסדרת אסונות ותאונות – ולאלפי הרוגים. בלי ספוילר: מכאן ואילך מתבררת קנוניה פוליטית חוצת עולם, שמשולבת בעוד נפילה בסגנון יום אפס – חמורה וממושכת יותר.

אתמול (ג') התרחשה "הפסקת חשמל" רחבת היקף. זו נגרמה עקב בעיות בקלאודפלייר, שמעניקה שירותי אספקת תוכן וניהול של עומסי תעבורה לאתרים ולפלטפורמות. התקלה גרמה להפרעות משמעותיות ברחבי האינטרנט, לבעיות גישה ולהשבתה של אתרים שונים, בהם X; של שירותים מבוססי AI כמו ChatGPT וקלוד; של כלים דיגיטליים פופולריים, כולל ספוטיפיי, שופיפיי ודיסקורד; ושל כמה בורסות קריפטו. היא תוקנה כעבור יותר מארבע שעות.

לא הייתה זו התקלה הטכנית הראשונה שמשפיעה באופן גלובלי על מאות אלפי אתרים ומיליוני משתמשים. רק לפני כחודש, כמעט ממחצית רשת האינטרנט נפלה כאשר השבתה ב-AWS הקריסה שירותים מקוונים רבים בכל העולם, בהם טינדר, זום ופורטנייט. קלאודפלייר עצמה חוותה תקלות נוספות – בספטמבר השנה, ב-2019 וב-2022.

מראה לא מחמיאה במיוחד

שורת הכשלים וההשבתות הללו מציבה בפנינו מראה לא מחמיאה במיוחד: רשת האינטרנט משלבת לעומק מיליוני ישויות טכניות – פלטפורמות, יישומים ואתרים מקוונים, באופן שתקלה או הפרעה אצל ספקית שירות IT מרכזית אחת עלולה, ואף עושה זאת בפועל, לגרום להשפעות גלובליות הרות אסון ומסלימות.

נכון, זו לא הייתה מתקפת סייבר. למרות זאת, האירוע הזה המחיש לעין כל עד כמה מהר שיבושים והפרעות בשירות, שמגיעים בהפתעה, עלולים להשפיע על ההמשכיות העסקית של ארגונים. עם כל החשיבות במיקוד של הארגונים בהתגוננות מפני איומים זדוניים, הם נוטים להתעלם מהצורך בחוסן בעולם התחזוקה, זה שאינו קשור לאיומי סייבר: תצורה שגויה, כשל תפעולי או בעיות בצד של ספקיות השירות.

מנמ"רים.ות, וגם מנהלי.ות אבטחת מידע והגנת סייבר, הוציאו מחברות ורשמו שיעורי בית: השבתות של ספקיות IT גדולות אינן דבר היפותטי – הן בלתי נמנעות

כאשר שירות קריטי תלוי באופן מלא בענן ציבורי, הארגון מאבד שליטה על חלק מהותי מהשרידות התפעולית שלו. ארגונים נדרשים לאפשר רציפות עסקית בענן, בכל ענן שעליו הם יושבים, וגם בקרקע, און-פרם. לצד התלות בענן, האירוע משקף גם את הסיכון המגיע משרשרת האספקה הדיגיטלית. זו כוללת לעתים מספר גדול של שירותי צד ג', שלפעמים הם בעצמם החולייה החלשה ביותר.

עמידות בסייבר: לא משהו ש-"נחמד שיהיה", אלא כורח

במשך שנים מסתובבת הקלישאה שלפיה "כל ארגון נפרץ או ייפרץ – השאלה היא רק מתי הוא ידע שזה קרה". האירוע של אתמול מוכיח שעמידות סייבר היא לא משהו ש-"נחמד שיהיה", אלא כורח. הוא משקף את העובדה שארגונים צריכים להשקיע בהיערכות למתקפות ולאירועי סייבר מתוך הנחה שאלה יקרו בוודאות, ולכן עליהם להיערך במישור ההתאוששות מאסון ויצירת רציפות תפקודית – לא פחות מההשקעה במניעה.

עוד אירועי שממחיש את החשיבות של המוכנות להתאוששות מאסון. צילום: ShutterStock

חלק מהמענה לחוסן בסייבר הוא הצורך בגיוון. עבור רבים מהארגונים, הסיבה שהם נפגעו אתמול הייתה התלות המוחלטת שלהם בקלאודפלייר, בלא יצירת חלופות מראש, בעולמות ה-CDN והענן הציבורי.

האירוע הזכיר, למי ששכח.ה, את החשיבות של תוכניות תגובה לאירועים (IR), עם ספרי הפעלה, נהלים ברורים, הגבלות – וגם שקיפות ותקשורת פתוחה.

כדי שכל זה יקרה, ארגונים צריכים לערוך הדמיות ותרגולים של תרחישי השבתה, אימות מנגנוני גיבוי והבטחת התפקוד של מערכות הגיבוי, כחלק מהרצון לצמצם את ההשפעה של השבתה עתידית על התפעול שלהם. קיומן של תוכניות התאוששות מאסון הוא שלב חיוני והכרחי להמשכיות העסקית של הארגון ולצמצום זמני ההשבתה.

בנובמבר 2024 הוציא מתניהו אנגלמן, מבקר המדינה, דו"ח ביקורת בתחומי הגנת הסייבר וה-IT. "כשהתחלתי בכהונתי", כתב, "הגדרתי את תחום הסייבר כאחד מנושאי הליבה בביקורת, במטרה לבחון את היערכותם ומוכנותם של גופים להתמודדות עם הסיכונים המשמעותיים במרחב הקיברנטי… הגופים החיוניים במשק נדרשים להיות ערוכים להתמודד עם תקיפות ברמה של מדינה או מעצמו".

לסיכום, מנמ"רים.ות, וגם מנהלי.ות אבטחת מידע והגנת סייבר, הוציאו מחברות ורשמו שיעורי בית: השבתות של ספקיות IT גדולות אינן דבר היפותטי – הן בלתי נמנעות.