"רוסיה לא לבד – גם איראן מנסה להתערב בדמוקרטיות בסייבר"

"מתקפות הסייבר מחייבות את כולנו להיות ערניים, לא רק בהקשר הכלכלי-עסקי, אלא גם בשל החשש לפגיעה בדמוקרטיה. חשוב שכולנו – ממשלות והמגזר הפרטי – נהיה שקופים יותר ויותר ביחס למתקפות בסייבר של מדינת לאום ובמאמציהן לשבש תהליכים דמוקרטיים. רוסיה אינה לבד פה – גם איראן 'תורמת' את תרומתה", כך אמרה דיאנה קלי, מנהלת הטכנולוגיות הראשית וארכיטקטית ראשית לתחום הגנת הסייבר במיקרוסופט העולמית.

"חשפנו", אמרה קלי, "שקבוצת ההאקרים Phosphorus (זרחן), המכונה גם החתלתול המקסים, ניסתה לתקוף חשבונות דוא"ל של פעילים בקמפיין הנשיאותי בארה"ב, כמו גם פקידי ממשל אמריקנים, בהווה ובעבר, עיתונאים המסקרים פוליטיקה עולמית, ואיראנים בולטים החיים מחוץ לאיראן. קבוצת האיומים לדעתנו קשורה לממשלת איראן. בין אוגוסט לספטמבר האחרונים, מרכז המודיעין לאיום של מיקרוסופט (MSTIC) צפה בקבוצה שעשתה יותר מ-2,700 ניסיונות לזהות חשבונות דוא"ל של לקוחות מיקרוסופט, תקפה 241 חשבונות, ופגעה בארבעה. למרות שהמתקפות לא היו מתוחכמות טכנולוגית, הן הצביעו על מוטיבציה גבוהה ונכונות של התוקפים להשקיע זמן ומשאבים משמעותיים".

"מנהל האבטחה הארגוני", אמרה קלי, "ניצב מול כמה אתגרים: עליו לאבטח את המסע הדיגיטלי של ארגונו; עליו לנהל ולתזמר יותר מדי פתרונות אבטחה של יצרנים שונים; המעבר לענן דורש טיפול בממד האבטחה. באינטרנט של הדברים יש סיכונים רבים, כי רכיבי ה-IoT אינם מאובטחים כלל. צריך לטפל בחומרה ובתוכנה מאובטחות, וגם בניהול בענן".

לדבריה, "לא מספיק שהטמעת רכיב אבטחה, חשוב מאד לוודא שהוא עובד, יש לערוך הדמיות למתקפות על בסיס קבוע – ולא פעם בשנה. אין ערך להתפארות שאתה הגייני בסייבר, אם לא בדקת זאת מעבר להצהרה".

ניתוח יומי של שמונה טריליון אותות

"כל ארגון צריך לחשוב על עצמו כיעד, שהותקף או יותקף", אמרה קלי, "ההגנה נדרשת בכל מקום. הכנסת בינה מלאכותית לאבטחה היא קריטית. מרכז מודיעין האיומים שלנו אוסף שמונה טריליון אותות מדי יום, מנתח אותם, ומהם מסנן את אירועי האבטחה. כל אות שכזה הוא פוטנציאל לאירוע אבטחה. לפני שנה, הנתון היה שישה וחצי טריליון. אנו נעזרים בלימוד מכונה ובענן כדי להבין ולהעריך את האותות ולזהות נוזקות ופעילות זדונית".

"באחרונה", אמרה קלי, "הודענו כי בשנה הבאה נשלים הקמה של דטה סנטר בישראל, מבוסס ענן, כחלק מאזור ישראל שאנו מקימים. הדטה סנטר החדש יענה לדרישות אבטחה שמתאימות לגופים עסקיים וציבוריים. אזור ישראל מצטרף ל-55 אזורים ב-21 מדינות, שבהם אנו מפעילים מרכזי נתונים. נקפיד על דרישות רגולציה, אחסון נתונים ואבטחת מידע. שירותי הענן שלנו תואמים לדרישות הגנת הפרטיות הבינלאומיות השונות. אנו אוכפים על הענן את כלל מדיניות האבטחה שלנו, החל מהאבטחה הפיסית – מצלמות, שערים, דלתות כפולות ונהלים לגיוס עובדים – ועד לאבטחה ברמות החומרה והתוכנה".

המדריך לבחירה בענן מאובטח

"בבואך לענן, לכל ענן", אמרה קלי, "עליך לבדוק כמה היבטים: הראשון במעלה הוא אבטחת מידע. פרטיות היא גורם יסודי נוסף, והיא מתקשרת לשקיפות: האם ספק הענן שלכם שקוף לגמרי? האם אתם יודעים לאן הנתונים שלכם הולכים ואיזה שימוש עושים בהם? יש לוודא שספק הענן עושה שימוש בנתונים באופן שאישרתם. האם צד שלישי משותף למידע, ומה יקרה אם הוא יאבד אותו? עקרון נוסף הוא הלימה לרגולציות. זה חלק משעמם בסייבר אבל הכרחי לחלוטין. צריך לבדוק האם ספק הענן מסוגל לגדול יחד אתכם. הרבה פעמים לקוחות מבקשים שיקבלו החלטות בשבילם. אנחנו יכולים להמליץ ולייעץ, אבל זהו עדיין המידע שלכם. אתם תחליטו. צריך לבדוק האם ספק הענן מבטיח אבטחה בעתיד".

עדי קריסטל, מנהלת תחום Microsoft 365, מיקרוסופט. צילום: יחסי ציבור מיקרוסופט

קלי הייתה אורחת של עדי קריסטל, מובילת תחום תפוקתיות ואבטחה, מיקרוסופט ישראל. "הייתי בישראל עשר פעמים", אמרה, "אני אוהבת אותה כי השוק מודע לאבטחה, ממוקד בהגנת הסייבר ושופע רעיונות חדשניים. זו אחת הסיבות שיש לנו פה מרכז מו"פ חזק, שהוקם לפני שנים רבות, ב-1991, הפועל בשיתוף פעולה רחב היקף עם צוות הגנת הסייבר של החברה בארה"ב".

"גיוון אנושי בצוותי הפיתוח מביא למוצרי אבטחה טובים יותר"

קלי סיימה בדברה על נושא החביב עליה, שאותו היא מקדמת בענקית מרדמונד: גיוון תעסוקתי.

"בניתי צוותי פיתוח, שהורכבו מתמהיל לא אופייני, מאנשים בעלי רקע סוציו-אקונומי, מגדר, דת וארץ מוצא שונים. לשמחתי, התיזה שנבנתה  הוכיחה את עצמה: מוצרי אבטחת המידע שפותחו היו ברמת הגנה גבוהה יותר מאשר אלה שפותחו על ידי עמיתיהם, בעלי רקע הומוגני".

"הגיוון מונע הטיות מובנות", סיכמה, "קולות מרובים יוצרים מגוון של פתרונות, שעובדים טוב יותר בצורה מוכללת. מיקרוסופט שמה דגש על הגיוון, לא רק כי זה חשוב תרבותית ופוליטית – וזה חשוב – אלא כי הגיוון מייצר פתרונות משופרים.

התקדמנו בתחום, יש לנו תכניות שיווק לנשים מתכנתות, נשים מופיעות בוועידות אבטחה, יצרנו שינוי מחשבתי בחברה. אנו מעודדים אנשים להיות יותר מודעים להכלה של האחר, כבר בשלב המקדמי של ראיון העבודה. לא מדובר רק בצבע עור ומין, אלא גם באנשים בעלי רקעים שונים, למשל בעלי כישורים טכניים, שלא למדו בקולג'. אחד מחברי הצוות שלי היה בעל רקע עמוק של 30 שנים בפיתוח. הוא התעניין באבטחה, וכך החיסרון הפך ליתרון: הוא בקיא בתוכנה, ולכן מביא מבט רענן לאבטחת תוכנה. גיוון מסייע, זה לא רק שחור-לבן-זכר-נקבה – אלא גיוון קוגניטיבי".