חדירות אינה מקרית. ארגונים נהיים פגיעים כשהקצב העסקי גובר על משמעת טכנולוגית, כשהתלות בספקים גדלה, וכשהבדלי הבשלה בין צוותים יוצרים חורים בהגנה. במציאות כזו, תוקפות ותוקפים מנצלים חיבורים חלשים זהויות, תצורות ענן, ממשקי API, שרשרת אספקה ומכשירי קצה שלא נבנו לאיומים של היום.

הבנת גורמי החדירות צריכה להיות ספציפית לענף. לוגיקה של בית חולים שונה מזו של פינטק או מפעל, ובהתאם בדיקות חדירות משתנות בהתאם לארגון ולסקטור. עם זאת, יש עקרונות רוחביים שחוזרים בכל סביבה. כאשר מזהים אותם בזמן, ניתן לתעדף הגנות בצורה שמפחיתה סיכון בלי לפגוע בקצב.

עקרונות רוחביים שמגדילים חדירות

כמעט בכל ארגון שנפגע רואים שילוב של שלושה גורמים לפחות: עודף מורכבות, הפחתת שקיפות והחלטות שנלקחו בלי הקשר עסקי. תוסיפו לכך תחלופת כוח אדם ופתרונות שהוטמעו חצי דרך, וקיבלתם מתכון לסיכון מוגבר. ליבה מחוזקת כוללת ניהול זהויות הדוק, שליטה בתצורות, וטיפול שיטתי בתלויות חיצוניות.

דפוסים שכדאי לזהות מוקדם

• ריבוי כלים חופפים וחוסר בעלות על כללי זיהוי ותגובה.
  
• פערי נראות לנכסים וזהויות בענן ובתחנות קצה.
  
• שימוש נרחב במפתחות וגישות קבועות ללא רוטציה ומעקב.
  
• תלות גבוהה בספקי צד שלישי ללא בדיקות טכניות שוטפות.

ייחודיות לפי ענפים

המשותף לכולם הוא מידע יקר ותהליכים דיגיטליים. השוני הוא במניע העסקי, בחלונות הזמן לעצירה ובמי שצריך לקבל החלטה בזמן אמת. להלן התכונות שמעלות חדירות בענפים מרכזיים.

בריאות ודיגיטל רפואי

בתי חולים וספקיות רפואה שואפים לזמינות מקסימלית. מערכות קליניות ותיקות חיות לצד מכשירי IoT רפואיים, וקיימת תלות בספקי תוכנה וענן לשיתוף מידע. ערך המידע הרפואי גבוה, והסיכון לפגיעה בחיי אדם מגביל יכולת השבתה לצורך טיפול. לכן תוקפים מכוונים לתצורות פתוחות, זהויות שירות ולהנדסה חברתית סביב צוותים לחוצים.

• שילוב של OT רפואי ומערכות IT ללא סגמנטציה מספקת.
  
• ציוד קצה עם מחזור עדכון איטי וחוסר תמיכה בסוכנים.
  
• משתמשות ומשתמשים רבים עם הרשאות רחבות לצורך טיפול דחוף.
  
• אינטגרציות HL7 ו FHIR שאינן תמיד מוגנות ברירת מחדל.

פיננסים ופינטק

בפיננסים קיימת בשלות טכנולוגית גבוהה, אך משטח התקיפה גדל בשל פתיחות API, חיבורי צד שלישי ורגולציה שמעודדת ניידות נתונים. תוקפים מנצלים תהליכי זיהוי לקוחות, זירות תשלום, ואוטומציות תפעוליות. ההגנה מתמקדת בזהויות, בחריגות התנהגות ובשרשראות הרשאה מורכבות.

• חשיפה דרך ספקי ליבה, PSP ומערכות ציות.
  
• מתקפות על בוטים ופריצה לחשבונות כתוצאה ממחזורי סיסמה חלשים.
  
• ניהול מפתחות ותעודות בהיקף גדול, כולל סביבות בדיקה.
  
• סיכון של הזרקת הוראות בתורים אוטומטיים ותהליכי סליקה.

תעשייה, OT ושרשרת אספקה

מפעלים ומפעילות תשתיות נשענים על בקרים תעשייתיים, פרוטוקולים ישנים וחלונות תחזוקה נדירים. מערכות שלא נבנו להתחברות לאינטרנט מוצאות עצמן מחוברות דרך VPN, מודמים סלולריים או מערכות ניטור קבלן. הפסקת קו ייצור יקרה, ולכן לפעמים בוחרים בהמשך פעילות תחת סיכון זמני.

• גשרים בין רשת עסקית לייצור ללא בקרת גישה קפדנית.
  
• פרוטוקולים ללא הצפנה או אימות הדדי.
  
• תחנות הנדסה עם הרשאות מקומיות ויישומי צד שלישי.
  
• גישה מרחוק לספקי תחזוקה ללא ניהול זהויות מרכזי.

חברות מוצרי ענן ו SaaS

הנכס המרכזי הוא פלטפורמת הענן והנתונים שבתוכה. חדירות נובעת לרוב מתצורות שגויות, ניהול סודות לקוי, והבדלים בין סביבות פיתוח וייצור. עקרון האמון המינימלי נשחק כאשר לכלי CI יש הרשאות רחבות מדי או כאשר מפתחות גישה נשמרים במאגרים.

• תצורות אחסון ציבורי פתוח ושיתופי קבצים ללא בקרה.
  
• מפתחות שירות ללא רוטציה, וסודות שנשמרים בקוד.
  
• הרשאות יתר לכלי CI ולטסטים אוטומטיים.
  
• חוסר במדיניות רב שכבתית ללקוחות ארגוניים מרובי נציגים.

קמעונאות ואי קומרס

האתגר הוא נפחים עונתיים, מערכות נקודת מכירה הטרוגניות ובוטים שמבצעים ניסיונות התחברות, גניבת כרטיסים והשתלטות חשבונות. כל שינוי בחוויית לקוח נמדד בהמרות, ולכן מתפתה לדחות הקשחות. פגיעויות מגיעות מקוד פרונטלי, תוספים, ותשתיות שיווק שנטמעות באתר.

למה התרבות הארגונית משנה

תרבות שמודדת רק מהירות תיצור פשרות על האבטחה. כאשר מנהלות ומנהלים מגדירים מראש גבולות סיכון, קבוצות מוצר מקבלות תמריץ לבנות נכון. הבדלים בתהליכי קבלת החלטות משפיעים על חדירות יותר מכל כלי. תחקור תקריות שמסתיים בשינוי קונקרטי, תיעוד קצר ושיתוף לקחים בין צוותים מורידים סיכון לאורך זמן. בנוסף, אימוץ Security Champions בתוך יחידות פיתוח מקצר מרחק בין עקרונות ליישום.

טופולוגיה, גאוגרפיה ורגולציה

גודל ארגון ומיקומיו מוסיפים שכבת מורכבות. פעילות במדינות רבות מחייבת אזוריות נתונים ומדיניות פרטיות שונות. כאשר מידע נע בין עננים או בין ספקים, מתווספות נקודות עיוורון. רגולציה יכולה לעזור בהגדרת מינימום, אך לעתים יוצרת עומס מסמכים שמסתיר פערים טכניים. ההמלצה היא לצמצם העברות נתונים, להגביל יצוא לוגים רגישים ולאפשר בקרה עצמאית על גישה ספקית.

איך מודדים חדירות בצורה שמשרתת החלטות

מדדים צריכים להיות מעטים, עקביים ושקופים. המטרה אינה להציג גרפים אלא לשנות התנהגות. בכל ענף כדאי לקבע סל מצומצם שמאפשר השוואה רבעונית ולהצמיד בעלי אחריות לכל מדד. חשוב לשלב גם מדדי תוצאה וגם מדדי פעילות כדי להימנע מאופטימיזציה של מספר יחיד.

מדדים שמומלץ לעקוב אחריהם

• שיעור נכסים קריטיים עם נראות, זיהוי ותגובה פעילים.
  
• זמן מחציון מהופעת אינדיקטור עד הכלה, לפי סוג נכס.
  
• יחס התראות שווא לעומת מאומתות ותרומתו לרעש תפעולי.
  
• היקף שימוש במפתחות קבועים לעומת מנגנוני זהות בזמן אמת.

התאמה של בקרה לייחודיות הענף

אין טעם להחיל רשימת בקרה זהה על כולם. יש להתאים כלים ותהליכים לנהגים העסקיים ולהשלכות עצירה. בבריאות, בונים נהלים שאינם דורשים השבתת חדרי טיפול. בפינטק, מתמקדים בניטור אנומליות בזמן אמת ובשרשור הרשאות. בייצור, משלבים סגמנטציה פיזית ומדיניות גישה זמנית לספקים. ב SaaS, מיישמים מדיניות קוד וענן שבודקת כל שינוי לפני הפצה ומונעת דליפות סודות.

מהלכים מצטלבים שמפחיתים חדירות

ארגונים מכל הענפים מרוויחים ממספר מהלכים בסיסיים. ההבדל הוא בעדיפויות ובקצב. יש להגדיר את המינימום ההכרחי לכל יחידה, ולצידו תוכנית שיפור רבעונית שמודדת תוצאה. מפתח להצלחה הוא בעלות ברורה, אוטומציה במקום ידני חוזר, ודוחות קצרים להנהלה.

ארבעה מהלכים שמחזיקים בכל ענף

• אחידות בניהול זהויות, כולל MFA בכל ממשק ניהולי ורוטציית סודות.
  
• סגמנטציה והקשחת נתיבי רשת בין אזורים עסקיים, ייצור וענן.
  
• תצורות ענן כקוד עם בדיקות טרם הפצה ומדיניות ברירת מחדל.
  
• ניהול ספקים לפי סיכון, עם הוכחות טכניות ולא הצהרות בלבד.

מיקוד בצד האנושי

הנדסה חברתית מצליחה כשהלחץ תפעולי גבוה והנהלים עמומים. השקעה בהדרכות קצרות לפי תפקיד, בתסריטי תקשורת בזמן אירוע ובתרגילי שולחן חוצי יחידות מפחיתה טעויות אנוש. תיעוד מדויק של הסלמה ומי מוסמכים לבצע בידוד או עצירת שירות מונע ויכוחים בזמן אמת. קו פתוח לדיווח על חשד ותמיכה שאינה מענישה מעודדים שקיפות מוקדמת.

איך בונים תוכנית תיעדוף ריאלית

תיעדוף הוא ויתור מודע. בוחרים מעט יוזמות עם תאריך סיום, מודדים, ומבטלים שאריות שלא מובילות לתוצאה. חשוב לקשור כל משימה למדד סיכון שיורי כדי להבין אם הפעולה באמת שינתה את התמונה. צוותים נמדדים על סגירת פערים בנכסים הקריטיים, לא על מספר כלי האבטחה. במקביל, משמרים רזרבה קטנה ליוזמות קריטיות שצצות במהלך הרבעון.

מחשבות אחרונות

חדירות אינה גזירת גורל. ארגוני בריאות, פיננסים, תעשייה, SaaS וקמעונאות חשופים מסיבות שונות, אך העיקרון אחד לחברות כולן ולכולם יחד שיטה פשוטה, בעלות ברורה ומדדים שמכוונים פעולה. כאשר מחברים ניהול זהויות קפדני, שליטה בתצורות, בדיקות טכניות לספקים ותרבות שמעדיפה תיקון מוקדם על גידור מאוחר, רמת החשיפה יורדת באופן מדיד. התאימו את ההגנות למניע העסקי ולחלונות הזמן שלכן, ודאגו שכל שיפור ייסגר בתאריך ובמדד. כך תנהלו סיכון חכם, תשמרו קצב עסקי ותשאירו לתוקפות ולתוקפים פחות הזדמנויות.