איך נמנעים מפרצות אבטחה לארגון כשכולם עובדים מהבית?
פורסם ב-13.04.2021
חברי צוות חברת אינטגריטי תוכנה מבית מטריקס, המתמחה באבטחת מידע, מספרים על האתגרים בתחום, מדגישים שהקורונה שינתה את חוקי המשחק ומסבירים איך בכל זאת ניתן לשמור על סביבת עבודה מאובטחת ובטוחה.
בפברואר 2020, החיים של כולנו השתנו מקצה לקצה. ההשפעה של נגיף הקורונה על החיים שהכרנו הייתה דרמטית ונגעה בכל התחומים – וכאשר בוחנים כיצד היא שינתה את עולם העבודה – מבינים עד כמה היא באמת משמעותית.
“אם עד לפני עשר שנים היית צריך אישור של סמנכ”ל כדי לעבוד מהבית – אז הקורונה גרמה לכך שתוך חודש רוב הפעילות ברוב החברות במשק עברה לעבודה במתוכנת הזאת”, מסביר ארז גולדשטיין, מנכ”ל אינטגריטי תוכנה מבית מטריקס, המתמחה באבטחת מידע ומספקת שירותים לשורה של חברות מהמובילות במשק.
“היום זה נראה לנו כמעט מובן מאליו שאפשר להתחבר לשרתי החברה מהבית, אבל יש לא מעט ארגונים בארץ שחלק מהמדיניות שלהם היא שלא מתחברים מבחוץ. הקורונה שינתה לגמרי את כללי המשחק מהבחינה הזאת וארגונים הבינו מהר מאוד שאין להם הרבה ברירות והם חייבים למצוא אלטרנטיבות ופתרונות כדי לחבר את העובדים והספקים מרחוק – בלי לפגוע בפעילות העסקית”.
אפשר לדבר רבות על ההשפעות של העבודה מהבית על אנשים בהיבטים של פרודוקטיבית או המצב המנטלי, אך בהסתכלות ארגונית – יש השפעה אחת שחשוב לא פחות לדון בה – ההשפעה על אבטחת המידע. “בואו נחשוב על בנק לדוגמה – איך במצב שבו העובדים לא נמצאים במשרדים ולא מקבלים מחשב ייעודי לעבודה – ממשיכים לשמר סביבת עבודה מאובטחת?” שואל גולדשטיין. “יש כאן דילמה מאוד גדולה למקבלי ההחלטות – האם אני מרשה לעובד להשתמש במחשב האישי כדי להתחבר לרשת הארגונית? ואם כן אז איך ובאילו תנאים? מצד אחד ארגונים הבינו שהם חייבים לשמור על רצף של עבודה למרות ההגבלות – ומצד שני יש כאן סיכון אדיר לביטחון המידע”.
היום כבר לא משתלם לפרוץ לבנקים
על כל השאלות האלו נדרשו מנהלים בכל הארגונים בישראל להשיב תוך שבועות בתחילת המגפה. אלו היו ימים מטלטלים של חוסר ודאות שבהם ההתאמות היו חייבות להתבצע כמה שיותר מהר – ללא אפשרות לעצור ולהרהר בכל החלטה יותר מידי זמן.
עדות למחיר האפשרי של כשלים בתהליך הזה ניתן למצוא בסיפור הכואב של חברת הביטוח שירביט, שמאגר המידע שלה נפרץ על-ידי האקרים שסחטו את מנהלי החברה בתמורה לתשלום כופר. במקרה זה, ההאקרים הצליחו לקבל גישה למאגר אדיר של מסמכי לקוחות החברה ופרסמו חלקים מהם, בהם צילום הדרכון של מנכ”ל החברה, צבי ליבושור.
“היום אם אתה שודד בנק עם אקדח, הרווח הממוצע שלך הוא בסביבות החמשת אלפים שקלים והעונש שלך יכול להגיע ל-14 שנות מאסר”, אומר ארז ברוך, סמנכ”ל טכנולוגיות (CTO) באינטגריטי. “מנגד, אם אתה מבצע פריצה דיגיטלית מוצלחת לארגון, שולי הרווח שלך יכולים להגיע לכמה מיליונים טובים הענישה היא עד 3 שנות מאסר”.
כיום ברור לכולם שהעולם השתנה וכך גם האיומים שעומדים בפני חברות וארגונים. השינוי הזה התחדד כאמור בשנה האחרונה ומחייב ארגונים להיערכות מקיפה יותר כדי למנוע הישנות של מקרים כמו זה שהתרחש בשרביט. במלחמה הזאת, אינטגריטי נמצאת במידה רבה בחוד החנית ומספקת שירותי אבטחת מידע לכ-300 ארגוני אנטרפרייז בישראל – מהמובילים והבולטים במשק – לרבות חברות ביטוח, בתי השקעות, ארגונים ביטחוניים, חברות אשראי, ארגונים ממשלתיים ועוד. בין לקוחותיהם נמנים ארגונים כמו בנק הפועלים, רשות המיסים, מגדל, רפאל ואף חברות הייטק כמו צ’ק פוינט ואמדוקס.
“להסתכל מהחלון בלי לגעת”
“האתגר הגדול של כל מי שמתעסק באבטחת מידע הוא לשמור על איזון”, מסביר נמרוד עמיר, המנהל את סל מוצרי אבטחת המידע והסייבר באינטגריטי. “כיום אין באמת בעיה לשים עוד ועוד מנגנוני הגנה שימנעו פירצות אבטחה, אבל האתגר הוא לוודא שזה לא יפגע בפרודוקטיביות ובחוויית המשתמש. אנחנו שואפים מצד אחד לאפשר לעובדים לתפקד כרגיל, בלי להרגיש מוגבלים יותר מדי, ומצד שני, לוודא שהם מוגנים מכל איום שעלול להופיע”.
כדי לעשות זאת, דוגלים בחברה במדיניות של Zero Trust – אפס אמון. “המושג הזה מתייחס למצב תודעתי של ארגון – שבו לא סומכים על אף משתמש שמתחבר לרשת הארגונית ויוצאים מתוך נקודת הנחה שכל אחד מהם הוא ‘נגוע’ – כלומר האקר שרוצה לחבל בחברה”, אומר נמרוד עמיר.
זה אמנם נשמע דרמטי ומורכב ביותר – אך כיום יש דרכים לעשות זאת, בין היתר באמצעות שימוש בטכנולוגית אבטחת המידע Citrix, שחברת אינטגריטי תוכנה היא המייצגת המובילה שלה בישראל. “Citrix בעצם הצליחה לייצר את פרוטוקול האבטחה המוגן ביותר בעולם”, מוסיף גולדשטיין. “החוכמה הגדולה שלה היא שכל עובד יכול להתחבר לכל מערכת מכל מקום – אבל אף פעם לא לקבל גישה מלאה אליה”.
ברוך ממשיך: “לדוגמה, כשאני מתחבר מרחוק למערכות של הארגון – אני מקבל רק תמונה של המערכת – כלומר יש לי גישה לכל המידע שדרוש לי – בלי שתהיה לי גישה לקוד ולמידע הרגיש יותר שמאוחסן בה. זה כמו להסתכל דרך חלון – בלי יכולת לגעת או להשפיע על מה שמעבר לחלון. המושג הזה נקרא בשפה המקצועית וירטואליזציה של תחנות קצה – VDI“.
לרכיב הווירטואליזציה, חברת Citrix מספקת אמצעי הפרדה נוסף לשיפור קלות השימוש ואבטחת המידע. “זהו רכיב נוסף במערכת של Citrix שנקראADC NetScaler והוא מספק שכבת הגנה נוספת שמפרידה בין עמדת העבודה של כל אדם שעובד מהבית או מכל מקום אחר – לבין הרשת הארגונית המוצפנת”, מוסיף עמיר. כיום נמצא רכיב ה-NetScaler בשימוש של מאות ארגונים בישראל ומשמש אבן יסוד בכל פתרון של חיבור מרחוק בין אם של עובדים, ספקים, סוכנים וכדומה.
אפשר להגן גם בתקציב נמוך
“טכנולוגית אבטחת המידע של Citrix“, מסביר ארז גולדשטיין, “מצליחה להביא ארגונים למצב שבו גם אם מחשב כלשהו נגוע בתוכנה זדונית, הוא לא יכול לעשות נזק בלתי הפיך לארגון או להשתלט על השרתים ולגנוב מהם מידע”.
עם זאת, העלות של הטמעת מערכת כזאת יכולה להיות משמעותית ביותר ולא להתאים לחלק מהחברות. אולם, יש לא מעט אמצעים שניתן לנקוט כיום גם בתקציבים נמוכים יותר כדי להבטיח הגברה של אבטחת המידע וצמצום הסיכון המשמעותי הזה.
“לשכבות ההגנה האלו אנחנו קוראים בקרות מפצות – ואנחנו ממליצים לכל ארגון להטמיע לפחות כמה מהן במסגרתו”, מציע ארז ברוך. “לדוגמה, יש לנו עשרות לקוחות שאנחנו מספקים להם פיתרונות של החברות OKTA ו-Silverfort, שנחשבות מוכרות ואמינות ביותר בתחום אבטחת המידע”.
לא רק שם משתמש וסיסמה
כך לדוגמה, אינטגריטי פורסת שכבת הגנה נוספת שנקראת Multi Factor Authentication – או בקיצור MFA, על מנת לוודא שכל משתמש שנכנס למערכת עם שם המשתמש והסיסמה שלו – הוא אכן זה שקיבל את הגישה לעבוד עליה.
המנגנון הזה כבר נמצא במערכות שפתוחות לציבור הרחב, כמו אזורים אישיים באתרים של בנקים וחברות ביטוח. במסגרתו, כאשר אנחנו מכניסים את שם המשתמש והסיסמה שלנו, נשלח קוד אימות או הודעת דחיפה (Push Notification) גם לטלפון – כדי לאמת בדרך נוספת את זהותנו.
“כיום אפשר למשל לגרום למערכת לנתח את הפעילות בתוכה בצורה חכמה על בסיס התנהגות אופיינית של משתמשים וחוקים שהארגון מגדיר”, מסביר עמיר. “כך לדוגמה, אם ניגש למערכת פתאום גולש מסין – היא יכולה לדרוש אימות נוסף על ידי הפעלת הטלפון הנייד של המשתמש כדי לאפשר לו את המשך הגישה למערכת. כל זה נעשה בצורה מאוד חכמה על פי אלגוריתמים מתוחכמים וזה עשוי למנוע נזקים משמעותיים לחברות”.
“בנוסף, חשוב לוודא שכל עמדות הקצה, כלומר המחשבים האישיים של העובדים, יקבלו תמיד את עדכוני האבטחה האחרונים. זהו נושא כאוב כמעט בכל חברה – לוודא שבשרתים ותחנות העבודה מתקיים תהליך שנקרא Patch Management וכל העניין מנוהל באופן שוטף על ידי צוותי התשתיות בארגון”.
“בתחום הזה אנחנו מספקים בישראל את המוצר המוביל בעולם לאבטחת יחידות קצה – BigFix“, מסביר מנכ”ל החברה. “BigFix נמצא כיום בשימוש נרחב בישראל והוא לדעתי בגדר חובה לכל ארגון בכל גודל ובכל מגזר. אלו פתרונות שיכולים למנוע מתקפות ולחסוך איומים רבים לארגונים בהמשך הדרך, איומים שאף אחד לא רוצה להתמודד איתם”.
