"אחרי מתקפת סייבר צריך 8 שעות להבין מה קרה, ו-3 ימים להחליט מה עושים"

"באירוע סייבר לא יודעים בהתחלה מה קרה, ולאט לאט מישהו מדליק אור קטן פה ושם. דבר ראשון צריך להבהיר שאירוע סייבר זה לא אירוע של מחלקת ה-IT בלבד, גם המנכ"ל צריך להיות מעורב". את הדברים אמר אבירם גביש, סמנכ"ל משפטי וביטוח מסחרי ב-AIG במהלך פאנל על אתגרי אבטחת מידע בוועידת Mind the Data 2017 של כלכליסט בשיתוף בנק לאומי.

"השאלה הראשונה היא מה קרה, ולפעמים לוקח כמה ימים לענות עליה", הוסיף גביש. "למשל - האם הדאטה נמחק או הוצפן. לא לכל חברה יש את המשאבים להתמודד עם אירוע כזה. הדיווחים האחרים שיוצאים הם דיווחים לרשויות: לרשות הסייבר, למשטרת ישראל ועוד. את כל השאלות האלה אנחנו בוחנים לפי האירוע והצרכים וצריך לדעת לנהל את זה".

 

 

"צריך לזכור שבאירוע כזה אנחנו מנהלים מערכה שמורכבת מדיווחים החוצה וניתוח פנימה, וכן שאנו עומדים מול תוקף עם מכתב סחיטה", תיאר משה פירסט, ראש ענף אבטחת מידע בבנק לאומי, את ההתמודדות עם אירוע סייבר. "ראינו כבר מקרה שבו לפורץ לקח שנה וחצי להגיש את הדרישות שלו".

"מה קורה מאחורי הקלעים כשכותרות העיתונים מבשרות על מתקפת סייבר?" שאל אור הירשאוגה, עורך CTech בכלכליסט. "איך נראות 24 השעות אחרי מתקפת סייבר?"

בתשובה אמר פירסט כי "כמי שכבר ראה כמה אירועים, זה כמה לילות ללא שינה. ראשית מתחילים להבין מה קרה, ומה נמצא ברשות התוקף. שנית, מבצעים דיווחים להנהלה, בחינת הסיכונים המשפטיים, הודעה לדוברות וכו'".

כמה אנשים בחברה מעורבים בזה?

פירסט: "באירוע כזה מקפיצים את כל מי שצריך. בנוסף לאנשי הסייבר, כמובן גם כל אנשי ה-IT בחברה - בהתאם לאירוע. זה בקלות יכול להגיע למצב של מעל 100 איש".

מי מהווים את נקודות הקצה בניהול התקשורת מול התוקף?

פירסט: "תלוי באירוע. אנחנו מתארגנים לניהול נבון של שיחה עם התוקף, וגם לזה יש מומחים. לעיתים מגייסים מומחה מבחוץ".

מדוע לפעמים הדיווחים מקיפים ולפעמים חסרים?

פירסט: "טבעי שהארגון רוצה לומר שלא קרב כלום. בלאומי היה אירוע, והבנק לא ידע מה יש בידי התוקף. אז הוא נקט באמצעים של להגן על עצמו כמה שאפשר".

דירקטוריונים רוצים לדווח או לסגור את זה אין-האוס?

גביש: "אף אחד לא אוהב לספר שהיתה לו תקלה. אבל הדברים האלה הולכים להשתנות באמצעות חקיקה, גם בישראל. הראייה הזאת הולכת להשתנות. רואים באירופה ובארה"ב שאנשים מבינים את הסיכונים, הבעיה העיקרית זו ההכנה. פעם אחת בישיבת דירקטוריון תנתקו להם את כל החשמל".

הדוגמה הטובה ביותר היא נוזקת כופר. מה עושים במקרה כזה?

פירסט: "כל תקיפה זו מערכה מול התוקף. בהצפנת מידע יש גיבויים ויכולת התאוששות, אבל ברור שבכל אירוע אתה מופתע בכל פעם מחדש, וצריך להיות מוכן עם יכולות להגיב אליו. אנחנו נתנו את היכולות האלה במרכז הבקרה שלנו. הוא יכול, למשל, להוריד את שרת הדואר".

לעיתונים, לפחות, הגיעו דיווחים על חברות ישראליות שהחליטו לשלם את הכופר

גביש: "אף אחד לא מספר שהוא נכנע. השיקולים פה הם עדינים, ואנחנו בונים מערך של מומחים. בודקים, למשל, אם המידע הוצפן או רק נמחק ולכן צריך להתאים את המענה לבעיה. בסטטיסטיקות שלנו לוקח לארגון 8 שעות להבין מה קרה לו ושלושה ימים להחליט מה עושים".