"ההגנה על פרטיות קשה בזמן שגרה – ועוד יותר בזמני חירום"

"החיים לימדו אותנו שכל ההיבטים מקצינים בתקופת חירום. זה קרה בקורונה, זה קורה במלחמה, וזה תמיד מלווה בהרבה אתגרים. ההגנה על פרטיות קשה גם בזמן שגרה, והיא עוד יותר קשה בזמני חירום כאלה. עם זאת, צריך לדעת להכיר את האתגרים, ללמוד את הבעיות וגם לנסות לצמצם אותן ואף למנוע בכלל", כך אומר עו"ד ד"ר סאני כלב, ממונה מחקר ברשות להגנת הפרטיות, בכנס InfoSec 2025 הגדול של אנשים ומחשבים שנערך באחרונה.

כלב התייחס לכך, שבימים הללו של המלחמה, עם הדיונים החמים עד לוהטים ברשת על החטופים והקורבנות, אתגרי הפרטיות עולים אפילו רמה.

"הרבה מאוד מידע אישי נחשף ומועבר ברשת. קורבנות, חטופים – הכל מועבר בצורה מהירה, וברוב המקרים בלי הסכמה. במקביל, הרבה פעמים חברות אוספות מידע כזה כדי לנסות לסייע לציבור, והן עושות דברים נהדרים שמצריכים איסוף מידע אישי, דברים שלא נעשים ביום יום, אבל בסופו של דבר המידע הזה גם נשאר אצלן ביד, ומי בודק מה עושים עם זה? עוד תופעה היא עלייה בשימוש באמצעי מעקב טכנולוגיים, וכמובן התקפות הסייבר – שזו זירה שהופכת בשעת חירום למרכזית אם בגניבת נתונים ואם בזריעת דיסאינפורמציה. זה אומר שחייבים להפעיל מחשבה קודם. דווקא בשגרה להגדיר איך הארגון יתנהג בזמן משבר, איזה מידע צריך, איך אני אוסף אותו, איך אני שומר עליו. בזמן חירום זה מאוד קשה. מכיוון שאירוע החירום יגיע, תעשו זאת עכשיו", הוא אמר.

נגישות מאובטחת לרכיבים מכל מקום

דניאל ארנרייך, יועץ ומרצה לאבטחת סייבר עבור מערכות OT-IIoT, דיבר על הצורך בנגישות מאובטחת לרכיבים מכל מקום, כולל הענן. "אנחנו צריכים כיום ממשק מאובטח בין מערכות OT למערכות ה-IT, זה דבר הנכון וככה צריכים להסתכל על המכלול כולו. מה זה אומר? שאין יותר מערוכת מבודדות, זה לא קיים יותר. הקישור נדרש לצורך העברת מידע כדי שידעו מה קורה ברצפת הייצור, זה נדרש לצורך איתור תקלות, לצורך התחזוקה מאחור, ולכן המערכות מחוברות וצריכות להיות מקושרות באופן מאובטח", הוא אמר.

דניאל ארנרייך, יועץ ומרצה לאבטחת סייבר עבור מערכות OT-IIoT. צילום: ניב קנטור

יש תקנים שמאפשרים את זה, יש טכנולוגיות אפילו יחסית פשוטות שמאפשרות את זה, "אבל חייבים לעשות את זה מסודר ומאורגן. בכל ארגון עם מערכות קינטיות ותפעוליות יש שלושה שחקנים שצריכים לעבוד ביחד: הבעלים שמפעילים את המערכות והכל על אחריותם, לקבוע את הכיוון ומה עושים, תחתיהם אינטגרטורים שבונים ומתחזקים את המערכות, ואז ספקי הרכיבים – וכולם צריכים לעמוד בתקן. זו עדיין לא דרישה חוקית, אבל כבר צריך לחשוב צעד קדימה ולהתכונן שזה יקרה", אמר ארנרייך.

שיטות ההגנה המסורתיות פחות ופחות רלוונטיות

עד כמה הבינה המלאכותית ממלאה את התפקיד של מנהלי האבטחה בארגונים? זו אחת השאלות שאליהן התייחס ניר סלינס, מנהל מחלקת הגנת סייבר במכבי שירותי בריאות, בהרצאתו במסגרת InfoSec 2025.

"היא קודם כל משפיעה בכך שהתוקפים עובדים בצורה הרבה יותר מהירה וחכמה והרבה יותר מותאמת לארגון, והאתגר הגדול שלנו כמגינים זה פשוט לצמצם בצורה משמעותית את הפערים שיש לנו מהתוקפים. זה המיילים שמתקבלים לארגונים עם כלי AI שנכתב ומותאם לשפה שלנו ולשיטות העבודה שלנו, זה הנוזקות שנכתבות באמצעות AI וסורקות את הארגון ויודעות יחסית בקלות לחשוף את ההגנות, ואף לעקוף את מערכות ההגנה", הוא אמר.

ניר סלינס, מנהל מחלקת הגנת סייבר במכבי שירותי בריאות. צילום: ניב קנטור

הוא ציין, כי שיטות ההגנה המסורתיות פחות ופחות רלוונטיות. "זה כבר לא מילון מושגים או מילון פרויקטים, וזה כבר לא רק מאות אלא אלפי התראות ביום, וגם אם יצליחו לסגור את ההתראות האם הם יימנעו את ההתראה הבאה? ממש לא כנראה. לכן צריך להתאים את התהליכים אצלנו, וזה הרבה יותר שימוש באנומליות ובתהליכים אוטומטיים כחלק מההגנה על הארגון, וזה אנליסטים שהופכים יותר ויותר לסוג של חוקרים. זה גם אומר צריך כוח אדם מאוד מקצועי שקשה למצוא אותו".

לצד הפוטנציאל העצום – יש גם עלייה באיומים

אורטל אזולאי, מובילת הנחיית הסייבר במערך הדיגיטל הלאומי של הממשלה, אמרה כי, "אם פעם AI הייתה בסרטים, היום זה כבר נחלת הכלל. הקצב במערכות הללו ובשימוש בהן עולה, ואנחנו צריכים לצד הפוטנציאל העצום בצמיחת המשק, שיפור הפריון והעלאת הייעול במערכת הציבורית, להבין שיש גם עלייה באיומים. זו עלייה מאוד משמעותית שצריך לנהל ולהתמודד עמה, וגם לא להתייחס אל בינה מלאכותית ככלי שמוביל את ההחלטות שלנו".

אורטל אזולאי, מובילת הנחיית הסייבר במערך הדיגיטל הלאומי. צילום: ניב קנטור

היא סיפרה, כי יש גישה רבה למידע לא חוקי באמצעות מניפולציות בהיבט הקינטי והקיברנטי כאחד. "כבר ראינו, למשל, איך משתלטים על טסלה, וזה יכול להיות גם איך לשדוד בנק, ואיך תוקפים כלי הגנה. זה הפך להיות הרבה יותר קל ולא צריך להיות תוקף מאוד מתקדם כדי להגיע למידע הזה, ומעל הכל יש גם מידע מזויף שקשה לזהות, כמו סרטון מזויף לחלוטין של הנשיא", היא סיכמה וציינה, כי מערך הדיגיטל כותב בימים אלו מדריך לשימוש אחראי ב-AI כדי לוודא שמעבר למודעות גם תהיה יכולת הגנה, "והרגולציה המקיפה עוד לא קיימת, אבל זה בדרך".