הקשר בין אורי בלאו לפליים
מה הקשר בין אבטחת מידע ומיקום המידע? כיצד ניתן להילחם בנטיה הטבעית של אנשים לשמור מידע במחשב האישי? להלן כמה אבחנות ועצות
פרשת ענת קם והמסמכים שהיא העבירה לעיתונאי אורי בלאו גוררים מאז התפוצצות הפרשה הסתעפות מעניינת נוספת שמעסיקה בימים האחרונים רבים במערכת המשפטית וכן אנשי תקשורת בכירים. כזכור, למי שלא מכיר את הפרטים, אורי בלאו אולץ על ידי רשויות המדינה לחתום שיחזיר את 2000 המסמכים המסווגים שבידיו כחלק מהסכם הפשרה עם המדינה וכתנאי להסכמה על חזרתו לישראל. מאחר שבלאו לא ניאות להחזיר את כל המסמכים, המליץ היועץ המשפטי לממשלה להעמידו לדין באשמת החזקת מידע סודי שלא כדין. בהמלצתו ציין היועץ כי עצם המצאות מידע סודי אצל העיתונאי ללא אבטחה ראויה היא סכנה לביטחון המדינה, מכיוון שמידע זה עלול להתגלגל לגורמים עויינים.
בינתיים, בזירה אחרת לגמרי, נחשפנו לקיומה של תוכנה זדונית חדשה בשם פליים אשר הוחדרה, על פי הפירסומים, לאלפי מחשבים ברחבי המזה"ת למטרות מודיעין ואיסוף מידע. תוכנה זדונית זו מתוארת על ידי חוקריה מקרב יצרניות האנטיוירוס כאמצעי ריגול מתוחכם במיוחד אשר שהה במערכות המחשב של מושאיו מספר שנים טרם שהתגלה. מי שחשף את התוכנה יודע לספר על פונקציונליות מדהימה ועל סדרי הגודל החריגים של התוכנה הזו, כמו למשל גודלה (כ 20 מגהבייט). השערות החוקרים מדברות על מעורבות של גורמים בעלי "משאבים רבים" אשר פיתחו אותה.
חזרה לפרשת קם-בלאו: אחת הטענות שנשמעו לאחרונה בקרב אנשי תקשורת בכירים כמו אילנה דיין, אלון בן דוד, ד"ר רונן ברגמן ואחרים מתייחסת לדרישה של הרשויות בישראל למנוע מאורי בלאו להחזיק במידע רגיש מטעמים של ביטחון המדינה. חלק מאנשי התקשורת התבטאו בימים האחרונים על כך שיש בידיהם מידע מסווג אשר לא נועד לעיניהם וזאת כחלק משגרת עבודתם העיתונאית. יותר מכך, ד"ר ברגמן ציין בתוכנית הרדיו של אילנה דיין לפני כמה ימים כי הוא ראה בעיניו מידע רגיש בעת ביקור בביתו של "אישיות בכירה מאוד לשעבר בקהיליית המודיעין בישראל". אנשי התקשורת הללו טוענים כי אם ידרשו מהם להחזיר או לא להחזיק מידע מסווג, הם לא יוכלו לתפקד במסגרת העבודה שלהם. אם כבר דורשים מהם דרישה כזו, אדרבא, דרישה זו צריכה להיות מופנית בראש ובראשונה כלפי כל אותם קצינים ואנשי מודיעין לשעבר אשר צוברים מידע מסווג בביתם למטרות שונות כמו כתיבת זיכרונות, פיתוח עסקיהם הפרטיים, אליבי או כל סיבה אחרת.
ועכשיו, כמו בכל סיפור טוב של טום קלנסי, המסלולים של שני הסיפורים לעיל מתחברים להם: אם אני איש מודיעין שמנסה לאסוף מידע על מערכת הביטחון בישראל, אחד היעדים שלי יהיה מהיום כל אותם אנשי מילואים או ותיקי מערכת הביטחון. אומנם, המידע שנמצא ברשותם הפרטית עשוי לאבד מערכו עם השנים, אולם קיימת סבירות גבוהה שימצאו שם מספיק "מטילי זהב" מודיעינים. אמצעי אבטחת המידע שקיימים על המחשבים שלהם נמוכים באופן טבעי מאמצעי האבטחה שקיימים בתוך הארגונים שמהם הם אך יצאו. אם תשאלו אותי, הייתי דואג להתקין פליים שכזה או אחד ממקביליו הותיקים במספר מחשבים פרטיים של יוצאי קהילת המודיעין. זה פשוט הרבה יותר ממה שרוב האנשים חושבים. החוליה הבאה שאדאג "לטפל" בה היא עיתונאים. עיתונאים שמטפלים במערכת הביטחון מאחסנים במחשבים שלהם חומר שיכול להזין יחידות איסוף שלמות מעבר לגדר. גם כאן, סביר שאמצעי האבטחה של גורם פרטי יהיו חלשים יחסית לגוף ממשלתי שמאחסן אותם.
אז מה אפשר לעשות במדינה דמוקרטית? דילמה. אני בהחלט בעד חופש העיתונות ובהחלט מבין את הבעייתיות שבהחלשה של אנשי התקשורת בישראל מול הרשויות. מערכות איזונים מאוד חשובות במחוזותינו וכבר ראינו בעבר איך עיתונות נשכנית יכולה לשנות את מסלול הארועים. כך היה בפרשת קו 300 ובפרשות רבות אחרות. כך היה אפילו בפרסומו של אורי בלאו עצמו על קבלת החלטות תמוהה של צה"ל בכל הקשור למדיניות החיסולים ביהודה ושומרון. עם זאת, האינטרנס שלי במקרה הזה הוא לעזור למערכת להגן על המידע הרגיש שלה, המידע של כולנו... עם זאת, אכיפת מדיניות אבטחת מידע על מחשבים פרטיים מסובכת ויקרה מעין כמוה ולכן זה לא כיוון טוב לטעמי. הדרך הנכונה היא לאמץ מדיניות נוקשה יותר של בקרה ושילוב של טכנולוגיות שימנעו "הסתובבות חופשית" של מידע מחוץ לשערי הארגון. במילים אחרות: "מניעת דלף מידע" (DLP).
קצת רקע: בארגונים ובמוסדות ביטחוניים מנותקת הרשת מהעולם החיצון. מצד שני, הניתוק הזה הכניס הרבה שנים חלק מהגופים לתרדמה מסויימת בתפיסת אבטחת המידע שלהם. הגישה של "שומר בשער" כבר אינה מספיקה. הגנה על המידע עצמו חייבת לקבל עדיפות גבוהה בעולם בו איומים מתקדמים כמו FLAME עוברים הרבה מתחת לרדאר של אמצעי ההגנה. גם אם הצליח גורם מסויים לעבור מבעד לשכבת אבטחה אחת, על הארגון ליישם מנגנונים מפצים כמו הצפנת תיקיות, בקרה וניטור של הרשאות גישה וכן מנגנוני תיחקור מתקדמים במקרה ויש חשש לדליפת מידע.
בשנה האחרונה קיימת עלי חדה במודעות לאיומי zero-day, כל אותם כלי תקיפה אשר מנצלים חולשות שאינן מוכרות על ידי מנגנוני ההגנה הסטנדרטיים. בארץ ובעולם החלו להופיע מספר כלים שנודעו לתת מענה לאיומי zero-day, כשהמכנה המשותף לכולם הוא הניסיון לאתר את האיום על ידי איתור התנהגות "לא נורמלית" של קובץ מסויים או מערכת. גם כאן, מאוד יתכן שהפיתרון לא יידע לאתר איום ממוקד המופנה כלפי הארגון. נחזור למניעת דליפת מידע: טכנולוגיות למניעת דליפת מידע הן מערכות המותקנות במספר מקומות אפשריים בארגון: ברשת בשער (Gateway), על תחנות הקצה ולצד מנגנוני האחסון. מערכות אלה "מיירטות" פריטי מידע אשר הוגדרו על ידי מנהלי המערכת כפריטים רגישים.
המערכת חייבת "להבין" את ההבדל בין מילה או ביטוי תמימים לבין כאלה בעלי רגישות גבוהה. לדוגמא: הביטוי "ניו-יורק" יכול להשתלב במייל של עובד אשר מספר לחברו על הטיול הבא לתפוח הגדול. מצד שני, הוא יכול להיות שם קוד למבצע מודיעיני חשאי. מנגנון ה DLP נדרש להתריע בפני מנהל אבטחת המידע על מסמך שביטוי רגיש מופיע טרם היציאה מגבולות הארגון. חולשה מרכזית של מנגנוני DLP בהקשר שלנו היא חוסר היכולת של הארגון לשלוט במסמכים רגישים שהוצאו כדין מגבולות הארגון. על המסמך עצמו אין שום מנגנון שיוכל למנוע מכל אדם לצפות בו. אחת הטכנולוגיות שנותנות לנושא זה מענה, משום מה לא הצליחה ליצור דריסת רגל בשוק. מדובר בסיווג דיגיטלי של מידע רגיש ומימוש "זכויות יוצרים" (rights management) על כל מסמך.
סיווג של מידע רגיש חייב להיעשות בצורה רצינית בכל היחידות הרלוונטיות בצה"ל. זה המצב ברוב המקרים. מה שלא ממש ממומש כיום הוא הצמדה של מדיניות הסיווג על המסמכים בצורה דיגיטלית. אם היו "מצמידים" בצורה דיגיטלית את מדיניות ההרשאות והסיווג לכל המסמכים הרגישים, לא היה נוצר מצב שמסמך יכול בכלל להיפתח על ידי עיתונאי או כל גורם שאינו קשור למערכת. כמו כן, לא היה נוצר מצב שגורם, בכיר ככל שיהיה, יכול להוציא במזוודה שלו מידע מסווג לטובת ארכיון פרטי בבית לאחר סיום תפקידו הרשמי. זכויות היוצרים על המסמך מאפשרות לארגון יכולת ניטור טובה מאוד על המידע עצמו בלי תלות תיאורטית בגבולותיו הלוגיים של הארגון. חשוב לציין כי לטכנולוגיות אלה חסרונות לא מעטים שמצדיקים דיון נפרד. בשורה התחתונה הטכנולוגיה מסייעת לנו להגן עלינו מפני עצמנו ולשמור על זכויות היוצרים של המדינה מבלי לפגוע בזכויות של אורי בלאו.
הכותב הינו אנליסט שירותי תשתיות בחברת STKI
2 תגובות לכתיבת תגובה