החיים של רובנו נמצאים בתוך ענן שבתוך קופסה שבתוך מכשיר. כמעט לכולנו יש לפחות שני מכשירים פועלים על בסיס קבוע - הסמארטפון והמחשב שלנו. למתקדמים יותר יש גם שעונים חכמים, טאבלטים והזרוע עוד נטויה. מצד אחד, אין נוחות מופלאה מזו - כל מידע וזיכרון נשלפים ברגע מתיקייה כזו או אחרת. מצד שני, אין סיכון גדול מזה אם לא נלמד לשמור על כל אלו.
מערכות המידע שלנו נתונות בפני סיכונים על בסיס יום-יומי. מה עושים כדי להגן על עצמנו הכי טוב שיש? ובכן, כל מה שאנחנו עושים - רק ההפך. פנינו לכמה שיודעים מתוך חטיבת חטיבת המחקר של חברת Semperis, סטארט-אפ המתמחה בהגנה, בגיבוי ובשחזור מערכת הזהויות הארגוניות. הנה כמה מהדברים שהם בחיים לא יעשו, ומומלץ שגם אנחנו נחדל מהם.
-
משאירים את המחשב דולק ולא מתנתקים מהמשתמש
"המשתמש שאנחנו מחוברים אליו במחשב במקום העבודה מחובר לרשת ארגונית (המנוהלת לרוב במערכת Active Directory), שבה פועלים גם המשתמשים של שאר העובדים והמחלקות (משאבי אנוש, כספים וכו'), והוא גם הדלת המקשרת בין הרשת הפנימית של הארגון לעולם החיצון. כל עוד המשתמש נשאר מחובר, הדלת הזו נשארת פתוחה וגורם עוין יכול לנצל את פעילות המשתמש לחדירה למערכת הארגונית. מכיוון ש-90% מתקיפות הסייבר מתרחשות באופן זה, שבו גורם עוין חודר לרשת ארגונית שלמה דרך זהות של משתמש אחד, חשוב להתנתק מהמשתמש בסוף יום העבודה ומומלץ גם לכבות את המחשב, או לפחות להפעילו מחדש".
-
נכנסים לקישורים לא מוכרים
"סביר להניח שכולנו יודעים שמומלץ שלא ללחוץ על קישורים שהגיעו ממקורות לא מוכרים אך למרות זאת, וספציפית בשנתיים האחרונות (עם התגברות ניסיונות ההונאה) רבים מאיתנו ממשיכים לעשות את הטעות הזאת, כמובן בתמימות. הסיבה לכך שאנחנו ממשיכים ליפול בפח היא שיכולות הגורמים הזדוניים הולכות ומשתפרות עם הזמן, כך שקישור שקיבלנו מדואר ישראל בהודעת טקסט רגילה יכול להראות תמים לגמרי, אך בפועל יהיה ניסיון פישינג. לכן, חשוב לזכור שכדאי להיזהר בלחיצה על קישורים שכאלה ולבדוק את אמינות הקישור. אם כבר לחצתם, השתדלו שלא להכניס פרטים אישיים". -
משתמשים בסיסמאות חלשות שקל לזכור
"אחד המחדלים הכי נפוצים בתחום אבטחת המידע הוא בחירת סיסמאות שקל לנחש על בסיס היכרות עם בעל החשבון. התופעה הזו מתרחשת אפילו בקרב המקצוענים בתחום. אנשי IT, פעמים רבות, משתמשים בסיסמה קלה כמו "password1" כדי לחסוך טרחה ובכך מעמידים את כל הארגון שלהם בסיכון. כדי למנוע פריצה לחשבונות או למשתמש ארגוני, מומלץ לבחור סיסמאות מורכבות שאינן מבוססות על מידע אישי (כמו תאריך לידה), כך שהפורץ יצטרך לעבוד קשה – ולשווא – בניסיון לחדור לחשבונותיכם". -
שימוש חוזר באותן סיסמאות
"לזכור סיסמאות זו משימה מעצבנת עבור כל משתמש, לכן רבים בוחרים לעצמם סיסמה אחת והיא מלווה אותם באמצעים שונים (מייל, עבודה, אפליקציית הבנק וכו'). זו טעות אותה עושים רבים והיא חמורה מאוד מכיוון שלא תמיד אפשר לדעת מתי הסיסמאות נחשפו, מה שאומר שדין חשיפת סיסמה אחת הינו דין חשיפת הגישה לכל חייו של המשתמש מקצה לקצה. ולכן, מומלץ להגדיר סיסמאות שונות לכל מערכות וכל פלטפורמה, ללא דפוס פעולה שמקשר בינן, כך במידה של פגיעה מתוקף תוכלו להפחית את הנזק למינימום". -
משאירים את המכשירים ללא השגחה
"פריצה על ידי גישה מרחוק באמצעות הרשת היא הדרך החדירה הנפוצה ביותר לחשבונות משתמש ועל ידי כך גם לתוך רשת ארגונית. ובכל זאת, הפורצים הנועזים מוכנים להסתכן יותר ולהגיע עד לקורבן כדי להשתמש במכשירים שלו למטרותיהם. היום, כשחברות רבות עובדות במודל עבודה היברידי ועובדיהן עובדים מהבית או מבתי קפה, הסכנה לסוג כזה של פריצה זדונית היא ממשית. לכן, אם אתם עובדים מרחוק, בסביבה ציבורית, ואפילו במשרדכם, עדיף לא להשאיר את המכשירים באמצעותם אתם עובדים ללא השגחה של אדם עליו אתם סומכים". -
לא מגבים נתונים
"פגיעה בחיי היום יום של כולנו או בעבודה השוטפת של ארגון יכולה להתרחש בגלל מתקפת סייבר, תקלה טכנית או טעות אנוש. במהלך פגיעה מסוג זה חלק מהנתונים יכולים להיעלם ללא אפשרות לשחזר ובכך להביא לעוגמת נפש רבה ובמקרים קיצוניים יותר - להביא לסופו של ארגון שלם. השיטה הטובה ביותר למנוע מצב כזה היא לגבות את הנתונים באופן קבוע, רצוי במספר עותקים ואמצעים שונים, זאת מכיוון שלעולם אי אפשר לדעת מכיוון שאי אפשר לדעת מתי הדיסק קשיח יפסיק לעבוד או שתוכנת כופר תצפין את כל הקבצים שלך". -
מעדכנים תוכנה לעתים רחוקות
"לעתים רבות אנו דוחים את עדכוני התכנה שמוצעים לנו כדי לא לבזבז עליהם זמן שמרגיש לנו באותו רגע כזמן יקר. אולם בפועל, לא רק שהדחייה הזו לא באמת חוסכת עבורנו זמן, הדחייה הזו יכולה להסב נזק בלתי הפיך למשתמש ולארגונו. חשוב לעדכן את השרתים, המחשבים האישיים וכל המכשירים שמחוברים אליהם בשל העובדה שבמהלך עדכון כזה מתעדכנים גם פרוטוקולי ההגנה של המערכת והחולשות אותן תכנן התוקף לנצל נסגרות. בנוסף, אם הפורץ כבר נמצא בתוך המערכת, עדכון המערכת יגרום לכך שתוקפים לא יוכלו לנצל את החולשה שעודכנה, ולא יוכלו להיכנס למערכת בדרך הזאת יותר". -
לא מתעדכנים בחדשות אבטחת המידע האחרונות
"אנשי אבטחת המידע צריכים תמיד להתעדכן בחדשות האחרונות של התחום כי זו הדרך המהירה לגלות אודות חולשות מערכת, שיטות פעולה חדשות של הצד התוקף או נושאים מעניינים חדשים שיכולים לעזור בעבודה השוטפת. אולם, גם משתמשים מן השורה, שאינם נמנים על מנהלי אבטחת מידע, צריכים להיות מעודכנים בסוג זה של חדשות. התעדכנות בחדשות אבטחת המידע האחרונות יכולה להגביר את הערנות של המשתמש ולחזק את אבטחת המידע של הסביבה שלו". -
משתמשים באופן תדיר בהרחבות דפדפן
"דפדפן האינטרנט שלנו הוא הדלת שמחברת בין המחשב לרשת החיצונית. מדי פעם, הדפדפן מציע לנו הורדת תוסף שאמור לשפר את חוויית השימוש בו. חלק מתוספים אלה הם למעשה תוכנה זדונית שאוספת את נתוני המשתמש, ביניהם סיסמאות רבות שנשמרות בעת התחברות לפלטפורמות באמצעות הדפדפן. על מנת לשמור על ביטחון ופרטיות המשתמש, יש להתייחס לדפדפן כאל שער הכניסה אל המחשב ולא להתקין עליו שום תוסף מבלי שבחנו אותו לגופו, קראנו אודותיו והבנו את נחיצותו". -
נוקטים במדיניות "לי זה לא יקרה"
"אנשים רבים, ביניהם אנשי אבטחת מידע, יוצאים מתוך נקודת הנחה תמימה ובסיסית שהם מוגנים מפני כוונות זדוניות, מעצם היותם אזרחים תמימים. ולכן, אנשים רבים ילחצו על קישורים זדוניים מתוך אמונה תמימה שהם לא מספיק אטרקטיביים כיעד לתקיפה, כאשר לצידם יש את אלו שלא ילחצו על קישור מתוך מודעות לסכנה אך לא יחשדו בהורדת תוסף דפדפן שבפועל מהווה סכנה באותה מידה שלחיצה על קישור לא מוכר יכולה להוות. עולם אבטחת המידע הוא עולם שמשתנה באופן תדיר ובקצב מסחרחר, ולכן יש לשמור על ערנות באופן מתמיד ולחשוד ולהטיל ספק כדרך קבע בין אם בשימוש בטלפון או בין אם בשימוש במחשב בעבודה, וזאת כמובן על מנת לא להיפגע ולצמצם למינימום את הסיכון".
הטיפים נכתבו ע"י חטיבת המחקר של Semperis, סטארט אפ המתמחה בהגנה, גיבוי ושחזור מערכת הזהויות הארגוניות. חוץ מזה, Semperis מסייעת לחברות לזהות נקודות תורפה, פרצות ושגיאות וליירט מתקפות סייבר בשלב מוקדם, ומפחית את זמן ההתאוששות ממתקפה בכ-90%.