רגולציה וערנות להגנת תשתיות לאומיות

מתקפת הסייבר שחוו השבוע חלק מהאתרים של הממשלה הסתיימה ללא נזקים משמעותיים. מניעת הגישה הייתה בשעות הערב, שאינן שעות שיא בפעילות המשרדים ובשימוש של אזרחים בשירותים המקוונים שהממשלה מציעה. ההשפעה של התקיפה היא יותר ברמה התודעתית-תדמיתית, והחשש ממה שהיה יכול לקרות לו המתקפה הייתה מוצלחת יותר.

אין זה סוד שאתרי הממשלה, ובכלל אתרים ישראלים, הם יעד למתקפות רבות על בסיס קבוע. לעתים מדובר בחלק ממגמות עולמיות, למשל המלחמה באוקראינה, שצ'ק פוינט מצאה שמאז שהיא התחילה חלה עלייה של 21% במספר המתקפות על ארגונים ישראלים, והקורונה, שהביאה אף היא לעלייה לא מבוטלת במספר מתקפות הסייבר על גורמים בארץ. למשל, המתקפה על בית החולים הלל יפה.

מה שמייחד את האירוע מאמש הוא שמשמרות המהפכה באירן הן אלה שלקחו אחריות על התקיפה. זה מעביר את האירוע באופן רשמי לרמה הבין מדינתית, כחלק מהמערכה שמתנהלת בין ישראל לאירן בממדים שונים - לא רק הסייבר. אלא שזה לא מייתר את הדיון לגבי רמת ההגנה של אתרי הממשלה, ובעיקר רמת ההגנה של ספקי הגישה לאינטרנט. קורבנות המתקפה השבוע היו שלוש חברות שעליהן בנויים האתרים שהושבתו: בזק בינלומי, נטוויז'ן-סלקום ואיגוד האינטרנט הישראלי.

כן, רגולציה

המתקפה הזאת מדגישה, וביתר שאת, את ההידוק המתחייב בהיערכות למתקפות מעין אלה בארגונים בכלל, כולל ספקיות האינטרנט, ואת הצורך בפיקוח הדוק יותר על-ידי הממשלה. על הרגולציה להגות וליישם תקנים ונהלים מחייבים, אחידים, שיצמצמו את הסיכוי שמתקפות מסוג זה, שלא לדבר על יותר רחבות, יתרחשו בעתיד. כיום, כל אחת מהחברות מיישמת מדיניות אבטחה משלה, ויש לאחד את הסטנדרטים. הצורך בהידוק הרגולציה נובע מעוד דבר: מכך שהרישיונות שניתנים לחברות התקשורת לא מחייבים אותן להכין וליישם תוכניות להגנת סייבר.

רגולציה שתסדיר את הדרישות של הממשלה מאותם ספקים ותחייב אותם לעמוד בהן תאפשר קודם כל שליטה ובקרה טובים יותר, וזיהוי ברור יותר של הסיכונים, עוד לפני שיקרו אירועי אמת נוספים והרסניים - פחות או יותר. בהקשר הזה, הזכירו לנו במשרד התקשורת שבחודש אוגוסט בשנה שעברה, החליט שר התקשורת, יועז הנדל, לקיים שימוע על רגולציית ההגנה מפני מתקפות בחברות תקשורת, שמאפשרות את הגישה של אזרחי ישראל לאתרי הממשלה. מסקנות השימוע לא סוכמו עד היום, מסיבות לא ברורות, ואמש אמרו במשרד שהן יוגשו בתוך שבוע.


מול אירן ושאר חורשי רעתנו חייבות להיות תוכניות מדויקות ועדכניות, כדי להגן על התשתיות הלאומיות שלנו ולשמור על ערנות תמידית, שצריכה להיות ולהיבחן כל הזמן


יישום של מסקנות כאלה ושל רגולציה כזו הוא תהליך לא פשוט - לא רק בהיבט הטכנולוגי, אלא גם בהיבט המבני. ספקיות התשתיות הן חברות עסקיות, שהיעד שלהן הוא מקסום הרווח. הממשלה היא לקוח אחד שלהן - אומנם אסטרטגי, אבל עדיין לקוח. רגולציה תחייב מעורבות ממשלתית הרבה יותר עמוקה - דבר שהמגזר העסקי כמעט אף פעם לא אוהב, בלשון המעטה.


מה אומר מבקר המדינה?

מבקר המדינה, מתניהו אנגלמן, הגיב גם הוא על המתקפה האירנית מאמש, ופרסם הודעה שבה הוא דיווח שמשרדו עורך ביקורת מקיפה על הגנת הסייבר בשירותי הממשלה. אנגלמן ציין שהוא כבר התריע על כך שאתרי הממשלה לא מספיק מוגנים, ושדרושה כיפת ברזל של סייבר כדי להתמודד עם האיומים. המבקר הזהיר ש"המשמעות של איומי הסייבר היא שצריך במקביל לפעול למוגנות מפני מתקפות הסייבר. בכך יש למדינת ישראל עוד כברת דרך לעבור. מדינת ישראל לא מספיק מוגנת מפני מתקפות סייבר"! עגום.

השורה התחתונה: כמו כל אירוע משברי בכלל ובתחום הסייבר בפרט, יש למצוא בו הזדמנות. ראשית, עצם קיומו הוא סוג של תרגיל "על רטוב", כאשר תרגילים "על יבש" נערכים בתדירות נמוכה - הן בממשלה והן בסקטור העסקי. תרגול הוא המתכון לשמירה הכה נדרשת כאן על ערנות. המלחמות בעולם, כמו זו שמתנהלת כעת באוקראינה, כוללת מרכיב משמעותי של סייבר, ובהקשר שלנו מול אירן ושאר חורשי רעתנו, חייבות להיות תוכניות מדויקות ועדכניות, כדי להגן על התשתיות הלאומיות שלנו ולשמור על ערנות תמידית, שצריכה להיות ולהיבחן כל הזמן.