התרחיש השלישי – תכנון המשכיות עסקית בצל איומי הסייבר

התרחיש השלישי – תכנון המשכיות עסקית בצל איומי הסייבר

This post is also available in: enEnglish (אנגלית)

12219308_sחיינו שזורים באריג קיום עדין המאוזן לרוב על שילוב של התרחשויות ושגרה. חריגה מהאיזון העדין הזה בדמות תקר בגלגל בצהרי היום, טיסה שמתבטלת באישון לילה או ילד שמתעורר עם חום לבוקרו של יום חדש מזכירה לנו את שברירותה וחמקנותה של השגרה "החמימה והעוטפת". בעולמינו הפרטי לא ניתן להתכונן אפקטיבית לתרחישי חירום, ניתן להיערך נקודתית לאיום ברור וקולקטיבי או להשקיע בביטוחים יקרים שתפקידם להשקיט את חרדתנו אך לדברים החשובים ביותר לנו אין תחליף ואין אפשרות להתכונן לכל תרחיש אפשרי.

לעומת זאת בעולם העסקי אנחנו נדרשים לא פעם להניח בצד רגשות ושיקולים אחרים ולפעול שכלתנית להתמודדות עם איומים גדולים ומורכבים שעלולים להוות פגיעה ברורה בהמשכיות העסקית והתפעולית של הארגון שלנו. אומרים שמשפחה לא בוחרים ולרוב גם מדינה לא, ושלנו משתרעת על שטח זעום של 22,000 קמ"ר, מוקפת בים במערב ובשברים בלוחות טקטוניים במזרח וכמובן באויבים לרוב, אם הנתונים הללו לבד לא מספקים פרנסה שנתית ליועצי המשכיות עסקית ואדריכלי BCP למיניהם, הרי חשוב לזכור שאנחנו פועלים בזירה דינמית מאוד ולראיה שבמהלך שמונה ימים בנובמבר 2012 בזמן שכל העולם המשיך להתייחס למונח "ענן" כתיאור של תשתית מחשוב אצלנו זה התחבר לעמודים, קסאמים ופאג'רים, לא הספקנו להתאושש והעננים חזרו לתחומם הטבעי במזג האוויר לצד שיטפונות סופות ונזקי מים רבים.

בעוד שכל תכנית המשכיות עסקית (BCP) היא ייחודית לכל ארגון ומשקפת את הפרופיל המסחרי והתפעולי של הארגון והמשתנים הייחודים לו, עדיין ישנם קווים מנחים המשותפים לכל תכנית ותכנית. השלב הראשון בכל תכנית הוא הגדרת מרחב האיום, רוב התכניות שנרקמות בארץ עוסקות בהיערכות למצב חירום לאומי או גיאוגרפי (נזקי טבע, אקלים, תופעות טבעיות ואירועים סביבתיים מעשה ידי אדם או כוח עליון). הגדרת מצב החירום תלווה בניתוח כל התהליכים העסקיים והתפעולים בארגון בחתך פעילות מסחרית או במיקוד משאבי עובד, הגדרת משאבים ותשתיות אלטרנטיביות והקצאתם בהתאם לדחיפות, חשיבות וזמני התאוששות נדרשים.

רוב הארגונים המתודיים יודעים לתכנן ולתרגל התאוששות מתרחישי חירום גיאוגרפים ואף לאומיים, הבעיה היא שחלק גדול מהארגונים נוטים להתעלם מתרחיש החירום השלישי – התקפת סייבר.

בתקופה האחרונה קיימת הסלמה ברורה באיומי סייבר ומעבר חד מאיומי אבטחה "קלאסיים" כגון איומי פריצה ודליפת מידע (שאינם בעלי השפעה על זמינות הארגון בטווח הקצר) וכן התקפות "חד ממדיות" (המשלבים מנגנון בודד) וניתנות לרוב לזיהוי ונטרול בשיטות וכלי אבטחה סטנדרטיים לאיומים מורכבים וממוקדים המשלבים מספר מנגנונים בסינרגיה מבהילה בשילוב ערוץ ניהול והכל "בחתימה נמוכה" ובשקט מופתי.

לאיומים מורכבים כגון התקפות ממוקדות מסוג APT – Advanced Persistent Threats, התקפות מבוזרות (DDOS) רשתיות ואפליקטיביות ו"קוד זדוני" מהונדס ומפותח יש השפעה ישירה על המשכיות הארגון בסביבה האזרחית והביטחונית. כל שנה נמדדת בעולם פגיעה בשיעור של 400 מיליארד דולר, תוצר של נזקי סייבר. כשני שליש מההפסדים נובעים מנזק היקפי הקשור בין היתר לאי-זמינות הארגונים הנפגעים.

התמודדות עם התקפת סייבר מורכבת חייבת היערכות רחבה ומשמעותית יותר מאשר התמודדות עם איומי אבטחה "סטנדרטים" כגון וירוס מפותח או התקפה נקודתית. הוספת תרחיש של איום סייבר לתוכנית המשכיות עסקית אינה טריוויאלית שכן איומי סייבר פועלים במרחב איום מורכב יותר מאשר מצבי חירום לאומי או גיאוגרפי. ראשית מדובר באיום שלא מוגבל או מוגדר בציר הזמן והמרחב, אם ננסה להקביל את זה לתרחישי חירום אחרים הרי שאפילו גל צונאמי אימתני מאבד בסוף מהאנרגיה שלו וגם התקפת טילים חייבת להסתיים עקב צמצום תחמושת או סיום המערכה, התקפת סייבר לעומת זאת יכולה להמשיך תיאורטית לתקופה ארוכה ובתנאי שיש מישהו שמממן ומתחזק אותה. גם המרחק הגיאוגרפי לא חלק מהמשוואה, אם אתם נמנים על הארגונים שמאמינים שאין במדינה מטר מרובע שמוגדר בטוח בתרחישי חירום ובהלימה בחרתם להקים את אתר הגיבוי במדינה אחרת או ביבשת רחוקה תגלו שאיום סייבר עלול להיות מופעל באתר הגיבוי בכל רגע נתון. לא יעזור פה שחזור מעותק ישן יותר שכן סביר להניח שהקוד העוין נמצא במצב רדום והוא חלק מרוב מחזורי הגיבוי שבוצעו, טרנזאקצית DNS  פשוטה או איתות מיוצר האיום ואתר הגיבוי היוקרתי יימצא תחת התקפה זהה לזו שחוויתם באתר הראשי.

תכנית המשכיות עסקית צריכה לכלול התייחסות לתרחיש של איום סייבר כאירוע מרכזי (במקביל לתרחיש חירום גיאוגרפי, לאומי או אחר) אך צריכה להיות התייחסות לאירוע משלים – לא פעם אנו מתוודעים לעלייה חדה באירועי אבטחה לצד תרחישי חירום אחרים.

תכנית המשכיות עסקית המשלבת תרחיש של התקפת סייבר צריכה לכלול התייחסות לשלושה שלבים עיקריים:

מניעה – שילוב מנגנוני אבטחה ייחודיים ואכיפת מדיניות באופן שתאפשר צמצום הסיכון בפועל. בניגוד לתפיסות אבטחה קלסיות המתמקדות בנטרול האיום ברגע הכניסה לארגון, איומי סייבר מחייבים גישה פרגמטית יותר והתמקדות בנטרול ממדי האיום כגון נטרול ערוץ הניהול או הקשחת משאבים ברשת וכו'.

חקירה – ניתוח של אירוע סייבר וזיהוי מקור התקיפה הנו שלב חיוני להתמודדות עם התקפות מורכבות ולהבטיח התאוששות מהירה וחזרה לפעילות. טכנולוגיות כגון Network Forensics ו Network Behavior Analysis מאפשרות ניתוח ממוקד גם של איומים מורכבים.

התאוששות – הפעל מנגנונים שימנעו "נדידת" האיום לאתר גיבוי, שילוב כלים ושירותים להתמודדות עם התקפות רשתיות כבדות ויישום מתודולוגיות ושיטות להחזרת תהליכים עסקיים לסדרם.

מאת תומר נורי
סמנכ"ל טכנולוגיות
נטקום (מלם-תים תקשורת) מקבוצת מלם-תים