פרק 21

דובר 1: אנחנו חיים בתוך מפת איומים מתפתחת העולם עובר לענן האינטרנט של הדברים מתפוצץ והרשת הסלולרית

דובר 2: קופצת דור

דובר 1: וההאקרים שיהיה ברור כבר נמצאים בכל אחד ואחד מהם זוממים ותוקפים רק בשנה האחרונה היקף הנזק של מתקפות הסייבר הגיע ל-1.5 טריליון דולר דרכי הפעולה וההתארגנות של ההאקרים משתנים גם הם כל הזמן כדי להתמודד עם ההגנות שמתפתחות ואילו האמיתיים אתגרים חדשים בפני מדינות ארגונים חברות ואנשים

דובר 2: אפקה טוק הפודקאסט של מכללת אפקה להנדסה בתל אביב

דובר 1: מדברים הנדסה על-כך אנחנו מדברים עם ליאור מרום מנהל אבטחת המידע של חברת סייבר סיקס גיל ובוגר מסלול הנדסת חשמל של אפקה המכללה האקדמית להנדסה בתל אביב שלום ליאור שלום דבר איתנו על מפת האיומים אנחנו שומעים הרבה בתקשורת בעיקר כשקורה משהו מי שקורא את מדורי ההייטק שמעלה כך שישראלים העצמת סייבר מקימה חברות מוכרת חברות אבל מה קורה בשטח מה קורה מתחת לפני הקרקע

דובר 2: למעשה נושא התקיפות ואיומים זה דבר שחי ונושם 24/7 בכל מקום בכל רגע ובכל הזדמנות שיש לתוקפים דרכי גישה ואנחנו נמצאים בעולם היום של הרבה מאוד ענן הרבה מאוד DATA שנמצא בכל מקום וכל דבר שמחובר לרשת בתצורה כזאת או אחרת אנחנו רואים את זה אפילו בהיבט של מזגנים טלוויזיות חכמות בסקטור הביתי כמובן בסקטור העסקי בקרים תעשייתיים מעבדות מפעלים פסי ייצור הכל מחובר היום לרשת וכל דבר כזה הוא נקודת גישה לתוקפים ולכן אנחנו רואים עליה מתמדת בכל מקום כמובן יש את היבט הענן שראינו טרנספורמציה אדירה בעשור האחרון לכיוון הענן ואנחנו נראה את המגמה הזאת היא הולכת ונמשכת בעיקר בגלל שיפור אדיר בנושא של קווי גישה לענן אם זה דור 5 בסלולר במובייל האינטרנט היום נהיה משהו שמאוד קומודותי ומאוד קל ונגיש ולכן כל דבר כזה הוא גם מהווה נקודת גישה לפורצים ולכן הדבר הזה הוא לא זבנג וגמרנו ומאתגר בטח את מנהלי אבטחת המידע ובטח את החברות בעלים מנכ"לים וכל מי שיש לו עניין בדבר הזה וזה העולם שאנחנו חיים בו היום

דובר 1: ומהצד של ההאקרים איך זה משתנה מבחינתם זה כבר מזמן מזמן לא ההאקר הבודד עם הקפוצ'ון של סרטים והקלישאות שיושב ופורץ לבד במחשבו הביתי במרתף בלילה

דובר 2: אז גם פה אנחנו היינו טרנספורמציה אדירה בעולם הזה בעולם הדיפ ווב והדארק ווב למעשה האקרים היו מסתובבים שמה יכולים לקנות כל מיני שירותי וכלי תקיפה כשירות אתה לא צריך יותר

דובר 1: זה כמו שאתה לא צריך לדעת לייצר נשק בשביל לקנות אקדח ולשדוד בנק בדיוק

דובר 2: היום יכולים אפילו אנחנו רואים התקפות תקופה למיניהם אז יכולים לרשום RANSOMWARE איזה סרוויס והיא עשתה לא צריך מפתח על ולהבין בקוד יש לך קיטים שלמים שאתה הקונה שמה מכניס את הפרטים את מי אתה רוצה לתקוף ונותן לך אפילו שירותי סליקה

דובר 1: אז עברנו מהמודל של אמצעי הייצור בידי הפרולטריון לקפיטליזם דמוקרטיזציה כל אחד יכול רק תשלם ותקבל בדיוק

דובר 2: וזה מה שנורא מטריד כי היום פושעים שמחפשים בסוף הדבר להשיג כסף זה כסף יחסית קל בעולם של מטבעות וירטואליים אתה יכול לשמור גם על אנונימיות אתה לא צריך להסתכן ולצאת מהבית

דובר 1: זה נקודה מאוד חשובה אם פעם היינו יכולים להגיד לפחות תעקוב אחרי הכסף היום יותר מורכב כי אתה לא עושה העברה של מזוודה עם דולרים ואתה לא מעביר בשירותי וייר כלשהם שבכל זאת אפשר לזהות ולמצוא אותך אתה מעביר לאיזה חשבון לאיזה כתובת משונה למעט אם יש גוף גדול מדינה שיש לה אמצעי מעקב היא עוקבת אחרי מה שקורה במקומות האלה אז הכסף נעלם ובי לעולם לא נדע מי זה זה בדיוק האתגר

דובר 2:גם של רשויות האכיפה באמת למצוא ולעקוב על אף שאני מניח שגם להם יש שם נוכחות ברשתות האלה אבל יש הרבה תוקפים שיכולים פשוט לשמור על אנונימיות לבצע את אותם פשעים בלי לצאת מהבית או בבית קפה או בית מלון או להיות עם איזה כוס בירה קרה בסוף העולם ולעשות את זה משמה וזה הפך את הדבר הזה יותר הייתי אומר נגיש וקל וכל מי שרוצה לבצע פשע היום זה מוגש עבורו בצורה מאוד ידידותית למשתמש וקלה

דובר 1: אמרת שהרשויות גם נמצאות שם ואנחנו יודעים על מקרים שבהם תופסים האקר אחד בתוך קבוצה הופכים אותו לסוכן כפול או משתמשים בקדנציה שלו ביוזר ובסיסמה שלו למערכת הזאת ואפילו לפעמים מחליפים את האתרים של ההאקרים באתרים שהמדינה מפעילה כעוקץ ואז הם בעצם מוציאים את כל האנשים שבאים לקנות מהם את כל האנשים שבאים מלבצע דרכה מתקפות ובסופו של דבר יש להם את כל הפרטים כי אותם פושעים חשבו שהם מדברים עם האקר בעצם דיברו עם ה-FBI

דובר 2:כן זה זה משחק שלא נגמר בין פושעים לגנבים כל פעם זה עולה ברמת התחכום ברמת המורכבות וגם ההאקרים היום בטח ההאקרים המנוסים והחכמים והטובים יודעים שטומנים להם מלכודות ולכן הם בעצמם נוקטים במשנה זהירות ונוקטים בכל מיני טכניקות של הסתרה וביצוע מתקפות מאחורי מקומות וגופים שלא יזהו אותם ועל הדבר הזה פשוט הוא לא נגמר הוא כל פעם עולה ועוד ועוד ועוד מדרגה ברמת התחכום

דובר 1: אמרנו שהם קונים שירותים שירותי פריצה ממש פלטפורמות שאתה יכול לקבל אפילו שירות לקוחות אני לא מצליח לשלם בביטקוין את הכופר ואז אתה מתקשר למישהו נותן לך תמיכה אבל הם מוכרים גם מידע מודיעיני זאת אומרת זה ממש שהם מבצעים מורכבים אני יכול לקנות מה למשל

דובר 2: אתה יכול לקנות למעשה כל מידע שהוא בעל ערך ולכן הנושא של מידע הוא נהיה היום הרבה יותר אטרקטיבי

דובר 1: תן דוגמאות

דובר 2: כן אני תיכף אתן את הדוגמאות אבל חשוב להגיד לפני שאנחנו נמצאים בעולם שמידע נוצר בכל שנייה נתונה בקצב אסטרונומי במכפלות אדירות והמידע הזה הוא שווה ערך וזה לצורך העניין אם אנחנו ראינו את הדליפה הגדולה שהייתה באקווי פקס לפני מספר שנים שמשהו כמו 173 174 מיליון אזרחים בארצות הברית איבדו את הפרטיות שלהם איבדו את נתוני כרטיסי האשראי שלהם את המידע האישי שלהם וזה מידה שהרבה מאוד האקרים היו שמחים לשים עליו את היד בהיבט של גניבת זהות לצורך העניין כלומר בארצות הברית עם על-כך דוגמת את הנושא של הביטוח רפואי שהוא עולה המון כסף ואם אני יכול להתחזות לך לצורך העניין שרכשת ביטוח רפואי במיטב כשמחה וגנבתי את הזהות שלך וללכת לקבל טיפול רפואי לזייף תעודת זהות זה לא כזה משהו שהוא קשה אבל ברגע שגנבתי אותו ועשיתי אותו הנה משהו שהוא שוהה ערך ויש דוגמאות בעניין הזה שבאמת היום המידע הוא שווה ערך בהיבית של מודיעין עסקי ניתוחים וכל דבר כזה או אחר ולכן המידע הוא מה שמעניין

דובר 1: מה מניע את האנשים האלה יוצא לך לדבר איתם לפגוש אותם לצטט איתם לעקוב אחרי ההתנהלויות שלהם בפורומים האפלים

דובר 2: לא שיצא לי באופן אישי לדבר עם האקרים האקרים לרוב משתדלים להישאר אנונימיים ופחות מנסים להתרברב מבינים שהם באו לעבוד בדיוק הם פחות בהם להראות את היכולות שלהם בפומבי לעשות אותם בפועל ולא פחות לדבר על זה אבל אנחנו רואים באמת מבחינת מניעים בסופו של דבר אנחנו לוקחים רגע את הסייבר קריים שהוא בסופו של דבר הוא כסף אם אנחנו לוקחים ההתקפות שנורא מפורסמות בשנים האחרונות כמו RANSOMEWARE המטרה היחידה שלהם היא כסף היא פחות מעניין אותם להשבית אותך כארגון או לוודא שאתה לא עובד יותר מעניין אותם שאתה תשלם את הכופר עבור המידע שהוצפן ולכן מה שמעניין אותם זה הכסף כמובן שיש קבוצות של אקטיביסטים שהם בשם אידיאולוגיה מסוימת ינסו לפגע בחברות או גופים כאלה ואחרים וכמובן בהיבט מדינתי שאנחנו מבינים היום שסייבר הוא זרוע התקיפה והגנה מאוד קריטית בהיבט המדינתי ואנחנו רואים באמת המעצמות הגדולות ואני לא חושב שיש היום מדינה שבטח במדינות מפותחות

דובר  1: ששמענו על קמפיין ריגול הסיני הגדול נגד ישראל ממש לא מזמן אנחנו

דובר 2: מנסים למכור את הרוסים את האמריקאים

דובר 1: הפך להיות חלק מהמלחמה או מההתנהלות היומיומית של לאסוף מידע על אויבים פוטנציאליים על מתחרים על יריבים

דובר 2:האפקט בסופו של דבר הוא אתה רוצה בוא נחשוב רגע על מלחמה של פעם שהם נגיד היו מורידים לנו פלוגה של טנקים זה היה אסון וזה היה נורא אבל עם כל הכבוד אתה חושב שהאפקט להוריד לצורך העניין את רשת החשמל או התקשורת במדינה האפקט הוא הרבה הרבה יותר חמור ולהוריד פלוגה של טנקים לצורך העניין ולכן האימפקט הוא משמעותית יותר גדול במלחמות סייבר ואנחנו רואים את זה בדבר הזה וגם היו מלחמות שאנחנו יכולים לעשות אותם אפילו בצורה שקטה ופחות רועשת ואנחנו רואים את כל מה שקורה במזרח התיכון ומעבר וגם ואפילו בין רוסיה לארצות הברית וסין כל המשולש הזה שזה מלחמה שאין ספק שקוראת לנו מתחת לרדאר וחלקה כן חלקה לא אבל היא לא צריכה להיות רועשת כמו המלחמות האמיתיות

דובר 1:אז היא בעצם מתחת לרדאר הצעדים המלחמתי אם היית המפציץ מפעל או פורץ אליו עם אנשי מודיעין וגונב מידע זה היה צעד מלחמתי אבל אולי ההתקפה היא פחות בולטת היום לפעמים הם עושים את זה באמצעות קבוצות פרוקסי כאלה כאילו קבוצת האקרים שהיא בעצם מופעלת ע"י המדינה אבל היא לא הצבא

דובר 2:יש כל מיני דרכים אבל בסוף הדבר המדינה כהחלטה הטקטית מחליטה לשמור על עמימות או לא מחליטה לשמוע מה שנקרא לייצר חתימה בעת ההתקפה יש פה זה כבר שיקולים שיותר פוליטיים פחות סייבריסטים הייתי אומר בנושא הזה זה קשור

דובר 1: אבל גם להתפתחות הטכנולוגית אבל מצד אחד לטכנולוגיות נגיד שאנחנו משתמשים בהם ביום יום ומצד שני הטכנולוגיות שיש להאקרים לפרוץ אליהם

דובר 2: זה שני דברים שהולכים במקביל כי פעם אחת באמת הטכנולוגיה הולכת ומתפתחת בצורה אקספוננציאלית בצורה אדירה ודבר שני ככל שהטכנולוגיה מתפתחת גם כלי התקיפה והיכולת והמידע גם איך לתקוף עולים בצורה כמעט מקבילה הייתי אומר ולכן יש לנו פה מירוץ כזה שהוא לעולם לא נגמר זאת אומרת אף פעם מישהו להשיג מישהו

דובר 1: עולמות טכנולוגיים חדשים או חדשים יחסית שחדשיים לנו אולי בהאקינג זה ה-IOT ז"א הנוכחות של חיבור אינטרנט והיכולת לתקשר עם יותר ויותר מכשירים אם זה היה פעם רק המחשב הביתי היום זה היה דוד חשמל והשעון שעל היד שלי והמכונית והמנורה והדבר השני הוא הבינה מלאכותית שאוספת עלינו מידע מנתחת אותו ויודעת להסיק דברים על העולם ועל המערכות שנמצאות בתוכם זה משהו שאנחנו רואים באופן בולט בעולם ההאקינג אנחנו

דובר 2: רואים עליה גם במקומות האלה בעיקר במקומות האלה כי בסופו של דבר אנחנו מדברים על עוד נקודות גישה ניקח לדוגמה את הרשת הביתית שהרשת הביתית כעצמה לעומת כדוגמת הטלוויזיה חכמה הטלוויזיה חכמה היא פחות מעניינת אז תשביתו לנו את הטלוויזיה עשו וואט לא יקרה באמת יותר מדי אבל הטלוויזיה החכמה הן מבחינת התוקף שרוצה רגע לתקוף את הבית שלי לצורך העניין נקודת גישה ואם עכשיו סמסונג LG או כל יצרן כזה או אחר מפרסם איזה פגיעות בטלוויזיות שלו ודרכם תוקף יכול לנצל את הגישה לאותם טלוויזיות בהנחה שלא הקשחתי את ההגדרות כאלה ואחרות יכול להיכנס לרשת הביתית אפילו בוא נחשוב רגע על המזגן שלי או על התריסים הם לא מעניינים הם חסרי ערך בהיבט

דובר 1: שאנחנו לא רוצים שהוא יפתוח ויסגור לנו את הטריס כן

דובר 2: אולי יהיה שם הפחדה אבל לא יותר מזה אבל משמה יכולים להגיע למקומות קצת יותר מעניינים ובטח ובטח שאנחנו מדברים על נושא של עסקים ובטח באזור הציבורי אנחנו ראינו התקפה שקרתה באטלנטה שפשוט תקפו את מצלמות האבטחה ברחוב בדרכה הם עשו התקפת מניעת שירות

דובר 1: שזה לא קשור בכלל לזה שזה מצלמות זה פשוט כלי שמעביר אינטרנט

דובר 2: המצלמה היא לא מעניינת כי מצלמה אני יכול להגיד לו כן אני ראיתי מה הוא עשה לעצמו

דובר 1: יכול כאילו לאסוף מהשטח

דובר 2: אז בקרן רחוב אני אראה רגע מה צילמו אז מה

דובר 1: זה יותר בקנה מידה קטן רוצה לשדוד חנות ברחוב הזה

דובר 2: ופה אנחנו רואים באמת העניין הזה של הייתם עושים בצורה הרבה יותר מסיבית אנחנו רואים את זה גם ברמה של מפעלים בקרים תעשייתיים וכדומה שזה שמה אנחנו בטח רואים את זה בעולם התחבורה שאנחנו מדברים היום על רכבים אוטונומיים רכבים חכמים שזה יכול לפעול גם בהיבט של טרור שאם אנחנו מדברים על רכב אוטונומי שמחר מישהו משתלט לנו חלילה על הרכב מנגיש את הרכב בתוך קיר או

דובר 1: אפילו דבר בעצימות יותר נמוכה לשבש את התנועה לעשות פקקים במרכזי ערים זה יכול לגרום נזק כלכלי ומורלי מאוד גדול זה פגיעות

דובר 2: יחסית קלה אבל נכון להגיע ברמה של חיי אדם אבל אנו יכולים לראות אפילו במטוסים היום שאיך הם מקפידים על הדבר הזה ובאוניות יש היום שימת דגש מאוד מאוד במודע לדבר הזה כי מאמינים שזה יגיע גם למקומות האלה

דובר 1: מה שעשינו בעצם אותי כחברה זה לפרוש רשתות בכל מקום להפוך הכל למקוון ובעצם להגדיל את מה שנקרא משטח התקיפה שזמין להאקרים פעם האקרים לא היו יכולים להיכנס אלי הביתה למעט דרך המחשב שהיה מחובר עם כבל פיזי לקו הטלפון והיום יש המון המון דברים אלחוטיים והמון המון מכשירים שמחוברים לרשת ובעצם כל אחד מהם הוא יכול להיות החוליה החלשה ביותר שדרכה נכנסים ומשם אפשר לדבר גם על עבודה מהבית שמחברת את IOT למחשב הביתי לרשת הביתית ולרשת התאגידית בדיוק

דובר 2: אז אנחנו רואים את זה גם הקורונה עשתה לנו קפיצת מדרגה בנושא זה של עבודה מרחוק ראינו הרבה מאוד ארגונים ששלחו את העובדים לעבוד מהבית הטכנולוגיה שהיא לא חדשה כן היא הייתה קיימת הרבה מאוד שנים אבל פשוט היא תפסה תאוצה בעקבות המצב בגלל המגיפה ולכן ארגונים נדרשו למצוא ולהטמיע פתרונות הגנה גם על אותם VPNים שדרכם עובדים התחברו ולהעריך

דובר 1: אם בכלל יש להם VPN אם בכלל מישה דאג להם

דובר 2: אלא אם כן אנחנו ראינו שיש חברות שעשו קפיצת מדרגה עסקית לא רעה בעקבות הקורונה יש מי שהרוויח מזה וזה בסדר אבל באמת במוצרי VPN במוצרי הקשחה ובאמת לוודא בסופו של דבר גם אני כמנהל אבטחת מידע ויש לי עובד שכרגע עובד מהבית אתה יודע מה לא מהבית אפילו באיזה בית מלון בנסיעת עסקים בסוף העולם והוא מתחבר לרשת הארגונית ולתשתיות הארגוניות ואיך אני מוודא שזה הוא ולא מישהו אחר וגם אם מישהו אחר גנב לו את הלפטופ כי לפטופ זה דבר ששוקל כמה גרם אם זה לא כזה משהו שיהיה קשה לסחוב זה לא שרת ואם יש לנו דרך כניסה לארגון אז אני צריך לוודא שגם אם מישהו גנב איך אני מגן על זה ואיך אנחנו יודעים להתמודד עם אירועים מהסוג הזה אבל קל וחומר גם נושא שבאמת התחברות מהבית אתגר לא פשוט ארגונים שהם אנחנו קוראים לזה ריסק אפטייט מאוד מאוד בעייתי שעד לפני רגע לא איפשרו בכלל את המשמעות הזאתי באפשרות של לעבוד מהבית בא הקורונה וטרפה את כל הקלפים ואמרה להם רבותיי המציאות השתנתה מה שהיה כבר לא יהיה זה גרם להם ודחף אותם לחשוב על פתרונות ולצאת מהקופסה והתיישר

דובר 1: אז בתור מישהו שאחראי על אבטחת מידע בחברה שהיא עצמה חברת אבטחת מידע נכון כן

דובר 2: חברה שמייצרת מוצר אבטחת מידע אז

דובר 1: איזה פיתוחים חדשים איזה פרדיגמות חדשות אנחנו רואים בתחום ההגנה אנחנו

דובר 2: רואים כמו שדיברנו הרבה מאוד בעולם ה-IOT אנחנו רואים הרבה מאוד לכיוון הענן כמו שדיברנו על זה מקודם העולם עבר לענן ולכן ההגנות גם כן עוברות לענן כי האקרים בסופו של דבר מחפשים את המידע והאקרים ילכו בעקבות המידע ואם המידע עובר לענן אז ההאקרים ילכו לשם ולכן אנחנו צריכים לחשוב לאמץ פתרונות שמבוססי הענן אנחנו רואים חברות אבטחת מידע מסורתיות שקיימות הרבה מאוד שנים במשק גם הם עשו את הטרנספורמציה אותי לכיוון הענן אנחנו נמצאים בעולם של הרבה  BIG DATAואנחנו גם שם צריכים להגן עליו הרבה מאוד ההגנות יותר הפיקטיביות פחות תשתיות כי התשתיות אמרנו זה עובר כבר לספק הענן זה כבר מה שנקרא במרכאות הבעיה שלו אבל זה חצי בעיה שלו ואז שימת הדגש באמת על אפליקציות אפליקציות מאובטחות וכמובן על הגנת

דובר 1: המידע עצמו אתה מתאר מצב בעצם שבו אם פעם המשתמשים של הטכנולוגיות של המחשבים של האפליקציות היו מאמצים מוקדמים היו אנשי טכנולוגיה בעצמם אז אולי הייתה להם מודעות קצת יותר גדולה לאבטחת מידע ואילו היום הדברים האלה הם שירותים והם כל כך שקופים שזה מבחינתו כמו טלפוניה וחשמל אני לא דואג לגבי מי יפרוץ לי לארון החשמל ויגנוב לי חשמל זה חברת החשמל ואני לא דואג מי ינסה להאזין לשיחות בטלפון זה בזק וחברות הסלולר אז בעצם הדבר הזה נועד להסיר את האחריות מהמשתמש להגיד לו אל תדאג מה שאתה עושה כאילו לעשות את זה FULL פרוף המשתמש הכי טיפש יכול להשתמש בזה ולא יוכל לגרום נזק לא יוכל לאפשר למישהו אחר לחדור דרכו

דובר 2: זה מתחלק זה לא מדויק בצורה הזאתי אלא יותר בהיבט של הכל זה שרד ריספונסביליתי כלומר אחריות שהיא משותפת בהיבט הזה של עד איפה ספק הענן שלי אחראי בהיבת התשתיות התשתיות הפיזיות של חשמל מיזוג וכדומה ותקשורת ובהיבט של חומרה ותוכנה אפילו בהיבט של שרתים ומערכות הפעלה ואז אני אומר על זה אני מריץ את האפליקציות שלי וספק הענן שלי נותן לי לכתוב את האפליקציות לפתח אפליקציות וזה שמה והעולם הולך לשמה אנחנו רואים אפילו חברות פיתוח שאת כל סביבות הפיתוח שאמר עושות בסביבות הענן גם כן לא רק את המוצר עצמו גם פה אנחנו צריכים רגע להגן בסביבות האלה אם פעם הייתי אומר אני מכיר איזה מעבדה בקומה באיזה אחד מהמגדלים פה בתל אביב של המון מחשבים והמון שרתים אז המפתחים שלי יכולים לעשות את אותו דבר מהבית ואנחנו רואים שזה קורה המעבדות וסביבות הפיתוח נמצאות בכלל בענן והיום בשביל להקים חברת פיתוח הדבר היחיד צריך זה לפטופ טוב וחזק קו תקשורת חזק חשמל ומיזוג אוויר וזהו שיהיה לך נעים לא בשביל מחשב

דובר 1: תעשיית הסייבר הישראלית היא לא רק הגנתית היא לא רק מייצרת את התרופה אלא היא גם התקפית היא מייצרת גם את המחלה במקרים רבים יש חברות שעוסקות במציאת דרכים לפרוץ למערכות לאסוף מידע גם איסוף של פרצות אבטחה על פרצות זיהוי פרצות שעדיין לא ידועות בציבור ולכן לא תוקנו ולכן אפשר להשתמש בהם ובמקום להעביר את זה לידיעת מערך הסייבר לידיעת התעשייה הציבור הכללי כדי שהסגירו את הפרצות האלה הם משתמשים בזה מוכרים את זה ללקוחות שלהם כדי לאסוף מידע איך זה לעבוד בתעשייה כזאת שהיא משחקת בשני הצדדים ולא תמיד ברור מי הרעים ומי הטובים אנחנו

דובר 2:ראינו בתקופה האחרונה הרבה מאוד ביקורת ציבורית על מספר חברות באמת שאותם צעצועים במרכאות התגלגלו לידיים לא נכונות או לחלופין שהידיים הנכונות שהתגלגלו להם השתמשו בזה למקומות לא נכונים

דובר 1: כן אנחנו מדברים על התחקיר הגדול של אמנסטי על פגסוס

דובר 2: בדיוק לא לא יש עוד כמה חברות מסוג זה באמת הרבה מאוד הכי נפוץ היום והכי גדול בעולם הזה אבל יש עוד חברות

דובר 1: רבות מהן ישראליות כן

דובר 2: ובסופו של דבר צריך לזכור שזה נשק לכל כמו כל דבר עכשיו אם אנחנו מדברים על חברה שמפתחת אמצעי לחימה כלי נשק כזה של הרגולציה שבאה ברגולציה ואומרת או-קיי למי אנחנו יכולים למכור קל וחומר שאנחנו מוכרים את זה מעבר לים למדינות איזה מדינות לוודא שזה לא מדינות אויב שזה לא מתגלגל דרך צד שלישי למדינות אויב בתוך

דובר 1:המדינות למי לממשלה למשטרה לצבא

דובר 2: ובוודאי שזה בסוף דרך גם לא חוזר אלינו עכשיו יש פה קו תפר מאוד מאוד עדין שבאמת של שמירה על הפרטיות שלנו כאזרחים כעסקים לבין באמת ביטחון המדינה זה משהו שאנחנו ראינו אותו בארצות הברית בהיבט של חוקי פרטיות אי-שם בשנות ה-70 עליה די מטורפת בהיבט הזה של חוקים ורגולציות בפרטיות ושמירה עלינו כי האנשים ואז הגיע 9.11 וטרף את כל הקלפים וממשל זה נתן באמת לביטחון לשמור על ביטחון המדינה אם זה ציטוטים וכדומה ולכן אנחנו תמיד עומדים רגע על התפר הזה מה הנכון בין זכויות הפרט לבין שמירה על ביטחון המולדת זו שאלה שקיימת הרבה מאוד שנים ולא בטוח שאנחנו נגיע אי פעם למשוואה הנכונה אבל זה כן זה מאתגר כי באמת צריך להבין שגם האקרים רואים את הכלי נשק האלה והיו אומרים כן אני רוצה את הכלי נשק כאלה לעצמנו אז אנחנו מוודאים שזה לא מתגלגל לידיים הלא נכונות

דובר 1: זה מעניין מה שאתה אומר שהמתקפה הפיזית הקינטית היא הכי גדולה וסחורה בהיסטוריה המודרנית היא שהובילה לצעדים שבסופו של דבר מפתחים את תעשיית הסייבר והנשק ההגנתי וההתקפי הווירטואלי זאת אומרת המתקפה היא הייתה מאוד לא מתוחכמת מבחינת טכנולוגיה זה לקחת מטוס ולהנחית אותו לתוך בניין וזה דווקא פיתח את תעשיית הסייבר התעשייה של הדברים שמאחורה איך אפשר להשתלט על נגיד מטוס ולהפיל אותו מרחוק איך אפשר לשבש את הקשר שלו עם מגדל הפיקוח ואיך בעצם מוצאים מראש איך מאתרים את האנשים האלה כשמי שתקף ב-9.11 זה האנשים שכמעט לא היו על הרדאר בכלל כי הם גם לא כל כך השתמשו בטכנולוגיות

דובר 2: שני דברים שקשורים ל-9.11 אחד זה באמת העניין הזה שאנחנו יכולים היום בעזרת הרבה מאוד בינה מלאכותית והרבה מאוד BIG DAYA באמת לעשות הרבה מאוד חיתוכים ולבוא ולהגיד או-קיי יש לנו פה אזרחים שחלקם דרך אגב מבוקשים באים לבוא לעשות קורס להוציא רישיון טיס על אדמת ארצות הברית וזה משהו שאם כבר אז היה נתפס כנראה היו יכולים למנוע והיו עוד כל מיני דברים שיוכלו כנראה למנוע וכתוצאה מציטוטים וחיתוכי מעידה כן היה מידע שבדיעבד

דובר 1: גילו שהוא היה בא יורט צוטט אבל לא נותח

דובר 2: סביר להניח בשביל זה אני לא רוצה להגיד ב-100% אבל בזהירות מאוד גבוהה כנראה דברים כאלה היום יהיה מאוד מאוד קשה לעשות אותם מתחת לרדאר הדבר השני זה נושא של מיתר האיומים דברים שפעם היינו בטוחים שזה רק בסרטי אימה וכדומה אז אנחנו מבינים היום גם דיברנו על מטוסים על אוניות כלי רכב אוטומטיים וכדומה אנחנו עושים את ניתוח האיומים ומבינים שהדברים האלה כבר יכולים להיות אנחנו כבר לא שוללים שום דבר גם אולי ההסתברות שזה יקרה הסתברות מאוד נמוכה עדיין אנחנו לוקחים את זה בחשבון במיתר האיומים שאנחנו מציירים לעצמנו

דובר 1: ומצד שני אנחנו יוצרים פה בעיה חדשה של פרדיקטיב קריים  ופרי קריים זאת אומרת שאנחנו חוזים שאדם מסוים אם הוא עשה דברים מסוימים כמו שאמרת במקרה הזה נגיד הלך ללמוד תעופה והגיע ממדינה שהיו בה מפגעים ואולי הוא דיבר פעם עם מישהו שהיה קשור לטרור אבל אנחנו מניחים עליו משהו שהוא בעצם אשם עד שיוכח אחרת ולא חף מפשע עד שיוכח אחרת כן

דובר 2: אבל בסדר אתה אתה בכלל בתפיסת ניהול אבטחת מידע אתה עובד בשיטה של פרבנטיבית של מניעה אתה רוצה למנוע עכשיו אתה אומר חלילה וחס יקרה משהו אז שיהיה לי את היכולת לזהות אותו ואז איך אני מגיב בכלל לאירוע כזה אבל אתה אומר רוב ההתקפות הייתי שמח שהם יעצרו בשלב הפריבנטיב ואם

דובר 1: אנחנו כבר מדברים על הגורם האנושי הקלישאה לאורך השנים היא שהבעיה הגדולה ביותר של סייבר היא האדם היא מה שנקרא הבעיה נמצאת בין הכיסא למסך ולא מעבר לזה והנדסה חברתית משמשת כדי להפיל אנשים אנחנו מכירים את זה ביום-יום כשאנו מקבלים מסמס מהדואר שחבילה שלנו הגיעה ואנחנו צריכים לשלם נכנסים לאיזה אתר שנראה קצת כמו האתר של הדואר מכניסים אשראי והוא הלך איך התעשייה מתמודדת למגן ולתקן את ההתנהגות האנושית בהחלט

דובר 2: זו בעיה מאוד מאוד קשה אנו רואים שזה קרוב ל-50% מההתקפות נובעות לצורך העניין מכשל אנושי אנחנו תמיד אומרים יכול להיות שאנחנו יכולים כמנהלי אבטחת מידע כחברות לקנות את הטכנולוגיה שהיא סטייט אוב דה ארט במיליוני דולרים אבל בסופו של דבר שאחד הסמנכ"לים שלי ישאיר את המחשב שלו פתוח כי הוא הלך רגע לאכול צהריים אז שום טכנולוגיה שבעולם לא תעצור את זה עכשיו אנחנו מדברים כל מיני טכנולוגיות של סינון מילים פישינג ואיתורים וכאלה אבל בסופו של דבר התרופה הכי טובה לדבר הזה זה מודעות מודעות מודעות ובאמת הבנה שזה נמצא אצל כל אחד מאיתנו וכולנו מטרה וזה מתחיל במי רגע שעובד נכנס למקום העבודה שזה מוגן בחוזה ההעסקה שלו הדרכות מודעות תרגילים שעושים אבל גם אפילו הדרכות לצורך העניין EXECUTIVE להבין שכסמנכ"לים ולג'יפים למיניהם הם אנשים שיותר מתורבתים יותר מעניינים אנחנו יכולים לבוא להגיד לאוכלוסיית הפיתוח שלנו שאפילו מודעות בשלב הפיתוח

דובר 1: סקיוריטי בי דזיין שאבטחת המידע לא תגיע אחרי שהמוצר מוכן אחרי שהכירו אותי

דובר 2: זה סקיוריטי בי דזיין היום אנחנו מדברים גם על פרייבסי בי דזיין כאילו שינוי שיש חפיפה גדולה ביניהם הם זה שתי קווים שהולכים במקביל שיש שוליים מקומות שמשיקים ביניהם אבל זה גם כן הסתכלות על הדבר הזה אבל אני חוזר לנושא הזה של באמת אנשים בסופו של דבר גם הקושי העיקרי זה בסופו של יום מה קורה בשנייה שעובד סיים את עבודתו והלך הביתה ומה קורה זה יכול להיות מקרדנשל שאני נתתי לעובד משתמש שייכנס למערכות החברה והוא עם האימייל שהוא קיבל הלך ונרשם למועדון לקוחות של איזה חברה קיקיונית ובסופו של דבר שובת של תוקף ירצה לתקוף אותי הוא כנראה הבין שאני מספיק מוגן אז לחפש איפה מוצאים קרדנשלס עם הסיומת עם הדומיין הבין אה משמה אז כנראה יתקוף שמה שהם כנראה יותר חלשים בבית של ההגנה אבטחת מידע יגנוב את הקרדנשלס יגנוב 10 15 20 כאלה

דובר 1: הוא יצור אולי אפילו USER עם הרשאות ADMIN שאף אחד לא שם לב אליו במשך חודשים האקרים

דובר 2: טובים הם צריכים רק את הרגל בדלת הם עושים מה שנקרא תופסים אחיזה ואז הם עושים תנועה רוחבית ואז הם משיגים כל מה שקשור לפריוילג' אקסס ברמות הרבה הגבוהות כמובן ברגע שאתה מגיע להרשאות אדמין זה גיים אובר זה כמו ברשות עדיין תיאורטית אתה יכול לכבות את החברה ואם

דובר 1: אתה ממהר אם אתה לא ממהר אתה יכול להמשיך לאסוף משם מידע ולעבוד מבפנים עד שמגלים אנחנו

דובר 2: ראינו התקפות של דליפת מידע שתוקפים נכחו ברשת החברה הרבה מאוד זמן וכל פעם הוציאו מנות קטנות של מידע החוצה שיהיה מתחת לרדאר כי ידעו שיש מערכות זיהוי וכדומה אבל אם אני חוזר רגע לגורם האנושי בסופו של דבר זה שמה אני בתפקידי הקודמים ביצעתי לא מעט תרגילי הנדסה חברתית בארץ ובעולם החברות שבאמת אתה לא יכול להגיד שהם חסכו כסף בטכנולוגיה אבל בסופו של דבר אם אתה נכנס לדטה סנטרים שמחזיקים מיליארדים של דולרים בקלות שהיא בלתי נסבלת כי מישהו כרגע חשב שאתה אחד מעובדי החברה ואתה רואה מחשבים פתוחים ושאתה הולך לחפש אתה לא מחפש את אחרון העובדים מחפש דווקא את הבכירים אתה לא מבין כמה הם נופלים שם הזבובים וכמובן שאתה מציג את הדברים את עקרון משחיר אתה לא רוצה לעשות שיימינג לאף אחד אבל אתה לוקח את הדבר הזה ומעצים אותו באמת לנושא של מודעות של עמודות עובדים בסופו של דבר זו הבקרה הכי טובה יש כל מיני טכנולוגיות כאלה ואחרות ואתה מצמצם גישות מצמצם הרשעות נכון זה חשוב אני לא חלילה לא אומר שלא צריך את זה אבל לשילוב של כל הדברים האלה אנחנו תמיד אומרים בהגנה על אבטחת מידע דפי PROCESS טקנולג'י שזה באמת המשולש הקדוש שבלעדיו אנחנו לא יכולים לנוע קדימה

דובר 1: אנחנו עם ליאור מרום בוגר הנדסת חשמל באפקה ומנהל אבטחת מידע בסייבר סיקס גיל ישראל משקיעה כמו שצריך בהגנה על החברות והאזרחים שלה

דובר 2: במדינת ישראל קיים מערך הסייבר שהוא למעשה הרגולטור העיקרי של הגופים הממשלתיים במדינת ישראל והוא אמור באמת לבוא ולהנחות את הגופים ולבצע רגולציה שמקיימים באמת את אותם ההגנות ובקרות החברה שם עושים עבודה די מדהימה והם הבינו כבר מזמן שהנושא הזה היא לא בעיה רק של גופים ממשלתיים ובאמת בעיה של כלל המשק ומנגישים את המידע את העזרים ואת הכלים לכלל המשק אבל בסופו של דבר הם לא יכולים להיות רגולטור על המפעל פרטי היא חברה פרטית אבל מנגישים כמה שיותר מידע ואם עכשיו הוציאו את תורת ההגנה גרסה 2.0 והמון המון מידע שעושים שם עכשיו מבחינת ההגנה תמיד נשאלת השאלה שבסופו של דבר שהיא גם מכריע זה עניין של תקציב

דובר 1: האם זה תקציב הביטחון או תקציב האזרחי או שניתן לחברות הביטוח לשלם אז

דובר 2: זה בדיוק הנקודה שעל גופים ממשלתיים קל להם להכין את הרגולציה אבל לבוא עכשיו לעסק שהוא בוא נחשוב רגע חברת פרסום פרטית לבוא ולהגיד לה אנחנו רוצים שדורשים אותם לבצע רגולציה שדורשת ממכם להכניס יד לכיס בסכומים לא פשוטים אתה יכול לפעמים לגמור עסקים בטח שאנו מדברים בתקופה של כלכלת קורונה שהרבה מאוד עסקים נפגעו ופה בדיוק נשאלת השאלה מי מממן את כל הכיף הזה בסופו של דבר אנחנו מדברים על השקעות לא מעטות וגם עסקים צריכים להבין שהם צריכים להשקיע בזה כמו שאתה משקיע בעו"ד טוב כמו שאתה משקיע ברואה חשבון טוב אותה לבד צריך להשקיע גם באבטחת מידע בלי שיגידו לך הרגולציה בסופו של דבר צריכה להיות אולי הבייס ליין שלנו לאבטחת מידע שמפה אנחנו עושים הרבה יותר ממה שאנחנו מחויבים אנחנו רואים דרך אגב חברות שלוקחות את החוקים והרגולציות שהם כפופים אליהם מבחינתם הם כבר מזמן שמה הם כבר ברמה הרבה יותר גבוהה כי הם לא צריכים שמישהו יגיד להם מה לעשות

דובר 1: כי יש להם אחריות כלפי הלקוחות שלהם בדיוק ויש להם את הכסף שהם יכולים להפסיד מזהה מי שיגנוב את כל מאגר המידע שלהם ויפתח חברה מתחרה עם הקניין הרוחני שלהם אז הם יגידו אבל עמדנו בסטנדרט של החוק בדיוק

דובר 2: עכשיו אנחנו ראינו מקרה שקרה לפני מספר חודשים את מקרה שרבט הלד יצא לי שדיברתי עם לא מעט מנכ"לים בעקבות המקרה הזה הם באו אלי קצת במבועתים והיסטרים של איך אנחנו מוודאים שלנו זה לא קורה וכנראה לפעמים אתה צריך את הזבאנג הזה או שלך יקרה או שלמתחרים או שתשמע את זה ואז זה יעורר אותך אבל חברות עם ברמת בשלות מאוד גבוהה היום אנחנו מבינים שהם אנחנו רואים שמשקיעות על זה בעצמם הם לא צריכות שמישהו יגיד להם תשקיעו באבטחת מידע יש ארגונים שעדיין צריכים את השוט הזה אבל מדינת ישראל כמדינת ישראל בוא נגיד ככה מידע יכולה כמובן הייתה משקיעה באופן פרטי בכל אחד מהעסקים אבל זה לא ריאלי ובסופו של דבר הדבר הזה היום חייב להיות כחלק מההוצאות השוטפות של חברה

דובר 1:             היום יש חוק שמחייב הנגשת אתרים מסחריים מגודל מסוים ויכול להיות שבעתיד הקרוב אנחנו נראה תקן כזה של סייבר ופרטיות תראה

דובר 2:             מבחינת פרטיות אנחנו כבר היום נמצאים במאי 2018 תחת חוק הגנת הפרטיות שבו היה קם אי-שם בתחילת שנות ה-80 הועבר רביזיה גדולה ב-2018 ככה סמוך ל-GDP הרע האירופי אז החוק קיים החוק אוכל לכולנו אם נרצה או לא נרצה זה חוק אף אחד לא שאל אותנו אם בא לנו לעמוד בחוק או לא רגולציות קיימות לא מעט גם באירופה וגם בארצות הברית בנושא הזה ולכן אם אני אתר שפועל בזירה בינלאומית אני חייב לעמוד בסטנדרטים המאוד מאוד גבוהים האלה אם אני מוכר בישראל עדיין קיים עלי חוק הגנת הפרטיות בהיבטים של סייבר יכולים לייצר תקנים כאלה אבל בסופו של דבר גם השאלה בסופו שאנחנו תמיד ככה ביקורת נגד הרגולטור מי אוכף את

דובר 1: זה בדיוק מי

דובר 2: אוכף ומה מה ענישה לבוא ולהגיד שיש חוק ויש רגולציה ובסוף כבר לא עושים איזשהו דבר זה קצת כאילו בלי שיניים זה כיף שנובח ובסופו של דבר זה ממסמסים וזה מאוד מאוד מהר ולא מתרגשים מזה אבל ארגונים בסופו של דבר אבל צרכנים שצורכים בטח שירותים או קונים אפילו מוצרים כי הם מחפשים את התקינה הזאתי כן רוצים שידעו בסטנדרטים הגבוהים כי מספיק ש אם אתה מכרת עכשיו לא משנה איזה מוצר וחטפת פריצה ברשת כנראה מהר מאד לא יבואו יקנו ממך כלום בתקופה הקרובה וראינו את זה קורה ולכן גופים לא צריכים לחכות לחוקים ברגולציה כדי ליישם רמת אבטחת מידע גבוהה

דובר 1: והתפקיד שלך מנהל אבטחה סיסו זה משהו שהיום בעצם כל אחד יכול לעשות כל אחד יכול לקרוא לעצמו מנהל אבטחה כל אחד יכול לקרוא לעצמו סיסו ואין גילדה מקצועי או כמו לשכת עוה"ד אין אין שום הסמכה מטעם המדינה או מטעם גוף מקצועי אתה יכול להחליט שאתה מנהל הבטחה ואתה מנהל אבטחה זו

דובר 2: בדיוק הבעיה שהתחום הזה סובל ממנה הנושא של הסדרה דרך אגב זה גם כמשהו תחת כובע של מערך הסייבר באמת נושא הזה של הסדרה של מקצועות הסייבר לאו דווקא לא רק כמנהל אבטחת מידע גם פן טסטר וגם מיישם וכדומה ויש עוד מספר דברים שכן היינו רוצים לראות הסדרה מאוד מאוד ברורה בנושא הזה קודם כל מי יכול ללמד בכלל איזה מוסדות אקדמאיים לרוב גם מוסדות פרטיים אבל שיקבלו הכרה בדבר הזה תעודות הסמכה שמוכרות לא שונה מתעודות הסמכה המוכרות של עוה"ד ורואי החשבון אתה רואה

דובר 1: הרבה חפארים בתחום הזה היום

דובר 2: יש יש הרבה טרמפיסטים כי זה מאוד כי יש הרבה כסף

דובר 1: בזה זה

דובר 2: יש הרבה כסף ויש הרבה מאוד טרמפיסטים כל בן-אדם שנמצא אולי שנתיים בתחום קורא לעצמו מומחה ומצד שני

דובר 1: האקרים באתוס ההאקר לפחות הותיק יותר הם אנשים שלמדו לבד אנשים ששיחקו עם דברים בגיל 6 ושברו את המחשב ופירקו את השעון ולמדו איך לפרוץ באופן עצמאים לא האנשים בהכרח ממסדיים אנשים שאוהבים ללכת ללימודים ולקבל תעודה וזה הם יודעים הרבה הרבה מההאקרים האלה הרי יודעים בלי שהם ראו יום אחד אקדמיה מבפנים

דובר 2: אבל קח לדוגמה תגביל את זה לעולם הפשיעה אז לא כל פושע למד עוה"ד ואתה יודע את זה אז בסופו של דבר נחזור רגע על הצד הרשמי היינו רוצים לראות הסדרה בנושא הזה יש הסמכות תעודות הסמכה בינלאומיות לצורך העניין בארצות הברית כדי להיות בסיס או בחברה ממשלתית בגוף ממשלתי יש דרישה מאוד ברורה איזה תעודת תפיסות אתה יכול להחזיק מי יכול ללמד ולהעניק לך את התואר הזה אתה חייב להחזיק לפחות ב-1 או 2 מההסמכות הבינלאומיות המוכרות לצערי בארץ זה רחוק משם דרך אגב כל מה שאני אומר כלומר מי שלא מחזיק את התעודות האלה לא מה שהוא אומר לא הופך את מידתו וכן צריך גם להגיד את האמת אבל כן יש לא מעט טרמפיסטים בנושא הזה וכמו שלא היינו רוצים שהרופא שמטפל בנו יהיה מישהו שלמד ביוטיוב רפואה או קרא כתבה ב-YNET בריאות כמו שהיינו רוצים שהרואה חשבון שחותם על הדוחות הכספיים זה מישהו שעבר דרך וקיבל הכרה רשמית אני מאמין שגם אנחנו נגיע לשמה מתי זה יקרה אין לי מושג ליאור מרו

דובר 1: מנהל אבטחת המידע של חברת סייבר סיקס גיל ובוגר המסלול הנדסת חשמל של אפקה המכללה האקדמית להנדסה בתל אביב תודה רבה

דובר 2: לך תודה רבה יום טוב