 |  |
|
פרשת ענת קם: ההיבט הטכנולוגי
אין היום תובנות טכנולוגיות איך מגינים על מידע ביטחוני או מסחרי ברמת סיווג גבוהה | צלם: sxc
שישה מומחי אבטחת מידע והאקרים מסבירים ל-TheMarker מהם הכשלים שמובילים לדליפת מידע. הפתרון נעוץ בשילוב של פתרונות טכנולוגיים וצעדים ניהוליים
11.04.10 | 09:38Security
פרשת ענת קם מציפה גם היבט טכנולוגי חשוב בפרשה, שנוגע לא רק לצה"ל אלא למעשה לכל ארגון או חברה אזרחיים שמעוניינים לשמור על מידע רגיש: אילו פתרונות טכנולוגיים היו יכולים למנוע את הוצאת המסמכים המסווגים וכיצד למנוע חורי אבטחת המידע מסוג זה. זו לא הפעם הראשונה שצה"ל מתמודדת עם דליפת מידע. עורך הדין יהונתן קלינגר כותב בסוף השבוע כי לפני כחודש חייל שעדכן את הפרופיל הפייסבוק שלו וכתב "מנקים את קטנאה וביום חמישי בבית" הודח מתפקידו כלוחם. חייל אחר נשפט ל-19 ימי מחבוש לאחר שהעלה תמונה מתוך בסיס סודי. במקרה חמור אחר אלוף משנה איבד מסמכים בטחוניים שאוחסו על התקן נייד. קלינגר מעלה את השאלה המעניינת האם בעיות אבטחת המידע בצה"ל הם שהביאו לכך שענת קם תוכל להדליף את המסמכים המסווגים האלה החוצה.
גיא מזרחי, האקר, יועץ, חוקר ומרצה בתחום אבטחת מידע, אומר "כשאנו שומעים על מקרה בו הודלפו אלפי מסמכים אנו מבינים שיש כאן בעית אבטחת מידע כלשהי. דליפת מידע שכזאת לא אמורה לקרות וברור שתפקיד מערך אבטחת המידע הוא למנוע דליפת מידע. השאלה היא אם יש באמצעים טכנולוגיים אפשרות למנוע מקרים שכאלה. בשוק מוצרי אבטחת המידע ישנם מוצרי DLP שאחראים על מניעת דלף מידע (DLP הם ראשי תיבות של Data Leak Prevention ולעיתים Data Loss Prevention - מניעת דלף מידע). תפקידם של מוצרים אלה הוא להחיל את המדיניות הארגונית בנוגע למסמכים מסוגים שונים. ישנם מוצרים מתקדמים מאוד שיודעים לעקוב אחרי כל גלגול של מסמך ולמנוע שליחה של מידע מתוך תוכנות או מסמכים שהוגדרו כפנימיים וכ"ו.
ישנם הרבה אמצעים טכנולוגיים כדי למנוע דלף מידע והתחום הזה הולך ומתקדם בשנים האחרונות, אך כל זה לא יכול למנוע מקרים כמו של ענת קם. אני מניח שבמסגרת תפקידה לקם היתה גישה לכמות אדירה של מסמכים מסווגים שחלקם ייצרה בעצמה. היא היתה צריכה להדפיס כמויות גדולות של מסמכים והיתה צריכה לראות ולשנות מסמכים שייצרו אחרים. כל מסמך שעבר על צג המחשב שלה היה חשוף לצילום על ידי מצלמה, העתקה בכתב יד, הקראה של התוכן בטלפון וכ"ו. תוכנות אבטחה לא יכולות למנוע מהדברים האלה לקרות. מסמכים מודפסים אמורים להגיע למגרסה. אין שום אפשרות לוודא שהעובדת אכן גרסה את המסמכים ולא הכניסה לתיק. כדי למנוע את הבעיות האלה חיילים ואזרחים אמורים לעבור תהליך סיווג בטחוני שמנתח את הסיכוי שהאדם יהווה סיכון בטחוני".
מזרחי אומר כי אינו מכיר את כל הפרטים בפרשה ולכן קשה לומר בוודאות האם אכן במקרה הספציפי הנ"ל היה יכול להיות פתרון טכנולוגי מתאים. "בחלק מהמקומות קראתי שהמסמכים נלקחו מכספת. זאת אומרת נוצרו תדפיסים שאין דרך טכנולוגית למנוע הוצאה שלהם. במקרים אחרים שמעתי על גניבת תיקיית מסמכים מסווגים במחשב. אני יכול להניח שהיא לא לקחה כל יום עשרות מסמכים מודפסים אלא שהיא הכינה לה תיקיית מסמכים מסווגים שאותה גיבתה אל יחידת זכרון פלאש נייד או תקליטור. מקרים כאלה ניתן וצריך למנוע על ידי הקשחת מחשבים, מניעת אפשרות הכנסת אמצעי גיבוי שכאלה. ואת זאת ניתן למנוע זאת על ידי מוצרי DLP ממוחשבים". מזרחי מאמין כי בסיכומו של דבר ניתן למנוע מקרים של הדלפת כמויות כאלה של מסמכים ומידע פשוט בשל העובדה שהעברה של כמות כזאת של מידע מרמזת על שימוש באמצעים טכנולוגיים וכמו שכבר נאמר - בכך יש אפשרות לטפל.
אופיר לייטנר, שעוסק כיום בפיתוח למובייל ובעבר עסק באבטחת מידע של מערכות בבנק לאומי, פרטנר ובצבא, אומר כי קשה מאוד למנוע מקרים דומים למקרה ענת קם בצבא ובחברות מסחריות. הסיבה לדבריו פשוטה מאוד והיא שמדובר ב"עבירה בידי מורשה" - כלומר אדם שמורשה בשל תפקידו לגשת למסמכים מסוימים ורק צריך לעשות את הצעד הנוסף של להוציא אותם מחוץ למקום העבודה בדרכים שונות, החל מאמצעים טכנולוגיים כגון מדיות שונות (זכרון פלאש נייד - דיסק און קי, דיסק צרוב) או לחלופין העברה דרך האינטרנט (אימייל לדוגמא), דרך הוצאה של הדפסה של המסמכים וכלה בלספר לגורם לא מורשה מה הוא קרא במסמכים. לגבי העברה במדיות שונות ניתן למנוע זאת חלקית. קודם כל וידוא שבכל המחשבים מותקן אך ורק כונן קורא DVD/CD ולא צורב, ובנוסף ישנה אפשרות לחסום את יציאות ה-USB של המחשבים המותקנים או פיזית או באמצעות מערכת ההפעלה או באמצעות כלי ניהול הרשאות ושליטה ובקרה שאוכפים מדיניות אבטחת מידע על כל המחשבים המחוברים לרשת. לייטנר אומר כי עדיין משתמש מתוחכם עשוי להתגבר על חלק מהחסימות האלו, לדוגמא על ידי אתחול מחשב עם מערכת הפעלה אחרת מכונן ה-CDROM - מערכת הפעלה זו לא 'תשמע' בהכרח למדיניות האבטחה הנאכפת ברשת ועל כן לא תהיה חסימה ל-USB במידה שנעשתה לא בצורה פיזית/חומרתית.
דרך מניעה נוספת אפשרית היא שימוש בעמדות "טיפשות" (thin client), כלומר לא מחשבים אישיים מלאים אלא עמדות עבודה ללא יכולת אחסון מקומית, ללא כוננים וללא יציאות USB. העמדות משמשות למעשה כצג מרוחק של שרת מרכזי שבו נמצאים הקבצים ובו נעשה העיבוד. החסרון הוא שתפקידים מסוימים (לדוגמא תפקידי פיתוח) מצריכים עמדה רגילה/חכמה, ולכן אסטרטגיה זו לא תמיד אפשרית וגם כשאפשרית, עשויה לפגוע ביעילות העובד במקרים מסוימים.
לגבי העברת מידע באינטרנט, לייטנר אומר כי בלי להתייחס ספציפית לצה"ל, לצבאות שונים וגופים בטחוניים בעולם, המצב יותר טוב מבחברות מסחריות מכיוון שישנן בצבאות הפרדה למעשה בין הרשת הפנימית לבין רשת האינטרנט, כלומר לא ניתן כלל לגשת לאינטרנט ממחשב שמכיל מסמכים רגישים. "בחברות וגופים בהם אותם מחשבים משמשים גם לגישה לרשת הפנימית של הארגון וגם לגישה לאינטרנט, ישנה אפשרות פשוט לשלוח במייל או להעלות לאתר/שרת מסוים מסמכים רגישים. ישנם מוצרי אבטחת מידע שונים שיכולים במידת מה למנוע מקרים אלו כגון סורקי מיילים, שאגב משמשים גם לזיהוי זליגת מידע שלא בכוונה, לדוגמא מישהו העביר הודעת מייל להמשך טיפול בגורם חיצוני כאשר בתחתית ההודעה ישנו מידע סודי של הארגון".
לגבי הוצאה של מסמכים מודפסים (שהודפסו ברשות) או פשוט הדלפת המידע בעל פה, לייטנר אומר שאין ממש כלי ממוחשב שיכול למנוע זאת. "יש לשים לב שבעצם לא מדובר כאן בבעיות שנובעות ממחשוב - שהרי אותן בעיות היו קיימות גם בעידן של מכונות הכתיבה ואף כתיבת מסמכים ידנית. כל זה מדגיש בעצם את העובדה שהגורם האנושי הוא המכריע כאן. כלומר יש לשים דגש על בחירת אנשים אמינים לתפקידים בהם יהיו חשופים למסמכים רגישים. חברות מסחריות רבות נוקטות בשליחת מועמדים פוטנציאליים לבחינות אישיות ואמינות, וגופים מסוימים כגון בנקים אף שולחים מועמדים לתפקידים רגישים לבדיקות פוליגרף. לגבי גופים בטחוניים, לרשותם עומד כלי התחקיר הבטחוני, שהיקפו עולה על בדיקות שמבצעים מעסיקים אזרחיים. אבל גם בלי להכיר לעומק את תחום האבחון, אני יכול להניח שלא מדובר ברמת דיוק של 100%".
אריק אליאס, מנכ"ל Safeway, חברה המתמחה בפתרונות אבטחת מידע מבית 013 נטוויז'ן, אומר שכדי למנוע תופעות מעין אלו יש להתייחס לשני נושאים עיקריים, האחד הגורם האנושי והשני יכולות טכנולוגיות למניעת זליגת מידע. בהקשר לנושא הראשון, אליאס סבור שכאשר אנו מנתחים רשת מחשבים צהלית מסווגת ביותר אנו יוצאים מנקודת הנחה ש"סירסו" את כל יכולות המחשבים האישיים לשימוש בהתקנים חיצוניים כדוגמת USB ודיסקים. בנוסף כל מסמך עובר ניתוח אוטומטי של רמת סיווג המסמך, ובדיקה האם הוא מורשה להדפסה או להורדה להתקן חיצוני. "על ידי יישום השער הווירטואלי אנו מקבלים בעצם שתי תוצאות עיקריות, הראשונה, שליטה על החומר היוצא ומניעתו ושנייה, היכולת לנטר את זיהוי המשתמש שהעביר את המסמך ואיזה מסמך. יכולת הניתור תעזור לנו לנתר ביתר קלות את הגורם שהוציא מסמך מסוים".
אליאס אומר כי הטכנולוגיה המובילה במניעת דלף מידע המוטמעת היום במרבית המגזרים (פיננסיים, טלקום ותעשיה) הינו מוצר ישראלי לשעבר הידוע בשם פורט אות'וריטי אשר נמכר בשנת 2006 לחברת וובסנס האמריקאית. "למוצר קיימות שתי תכונות עיקריות: הגנה - המערכת מגינה על מידע בעזרת כלי מדיניות אוטומאטית מוגדרת מראש. ניתן להגדיר חוקים על פי תוכן או על פי משתמש על מנת לחסום, להצפין, לבודד, לתקן ולהתריע באופן אוטומטי על דלף מידע אפשרי; ויכולות ניטור - המערכת מספקת ניטור מידע בזמן אמת, בין אם המידע שוכן בשרתים או בנקודת קצה, ובין אם הוא מועבר לדיסק USB או כונן אופטי, נשלח בדואר אלקטרוני, מועלה לרשת האינטרנט או מודפס. המערכת מנטרת באופן פסיבי את רוב פרוטוקולי התקשורת העסקית - חיצונית ופנימית - לרבות דואר אלקטרוני, הדפסות רשת, ותוכנות מסרים מידיים. מנהלי המערכת יכולים לזהות באילו נתונים נעשה שימוש, להיכן הנתונים מועברים ועל-ידי מי מקונסולת ניהול ודיווח מרכזית".
אליאס אומר כי בכל הקשור לגורם האנושי, הטיפול בו יכול להתבצע על ידי הדרכות ביקורות, רענון נהלים. "במקרה שלנו ניתן למנוע מקרה כגון זה על ידי יצירת מנגנון המחייב אישור של שני אנשים בהוצאת מסמך מרמת סיווג מסוימת". איתן כספי, עורך הבלוג לא בטוח שעוסק באבטחת מידע, אומר כי פרשת קם מהווה מקרה מיוחד בכך שאבטחת מידע לא הייתה יכולה הרבה לעזור כאן, כי המידע זלג על ידי מי שכנראה הייתה מורשת לטפל בו. "אבטחת מידע נועדה למנוע סוגי גישות שונים למי שלא מורשים להיחשף אליהם, אך אם הייתה לה גישה מורשית מלאה אליהם, כולל העתקה למדיה נתיקה, הרי שבמקסימום מערכות אבטחת המידע מבחינה טכנולוגית היו צריכות לכל הפחות לתעד את הגישה לקבצים ואת ההעתקה שלהם למדיה נתיקה. אם מדובר היה במסמכי נייר, הרי ששם הבעיה קשה יותר ולאבטחת מידע אין הרבה מה לעשות לאחר שהמידע נמצא על נייר. לדעתי עיקר הדגשים בפרשה נוגעים לאבטחת מידע מהצד היותר אנושי ונהלי/תפעולי, אך אינני מכיר את פרטי המקרה מלבד מה שפורסם בתקשורת".
כספי אומר כי פרשה דומה קרתה בפרשת מרקוס קלינברג מ"המכון הביולוגי". "שם כנראה לא היה עירוב של נושאי מחשוב - אבל הלקח הוא שאתה יכול לשים את כל ההגנות הטכנולוגיות מפני מי שלא מורשה, אבל אם המידע ידלוף דרך הגורם האנושי המורשה, יש לך בעיה, כי על ידי מציאת הסיבה המתאימה חיובית (אידיאולוגיה, הטבות, נקמה וכדומה) או שלילית (לחץ, איומים וכדומה) - הצד שכנגד יכול לשלוף את המידע בלי בכלל לטרוח לעקוף או להשבית את ההגנות הטכנולוגיות". כספי אומר כי ייתכן והתחקיר הביטחוני נכשל בכך שאישר אותה לעבוד בלשכת מפקד הפיקוד. "השאלה היא האם כל עובדי הלשכה עברו פעם בתקופה תחקיר בטחוני חוזר/מרענן? האם עברו בדיקות פוליגרף תקופתיות? פעילות מסוג זה הייתה מרתיעה אותה מלבצע את המעשים האלו. שאלה אחרת היא האם מישהו בביטחון שדה בדק שבמסגרת עבודתה בלשכה היא בכלל באמת צריכה הייתה גישה לנושאים ולרמות הסיווג אליהם הייתה לה גישה? היא בעצמה אומרת שהיה חוסר מידור בלשכה".
כספי אומר כי ארגון צריך לשאוף למזער את אפשרויות העברת מידע סודי למצע שאינו דיגיטלי, מאחר וכמו במקרה של נייר (כלומר הדפסה), האפשרות לשלוט עליו אפסית. "אני משער שלצבא זה יותר קשה כי זה מחייב שימוש נרחב במחשבי כף יד ומחשבים ניידים שגם אותם יש לאבטח". אבי וייסמן, מנכ"ל שיא סקיוריטי ויו"ר הפורום הישראלי לאבטחת מידע, אומר כי המציאות הצה"לית מחייבת מעבר של מידע מסווג בין מוקדים, ובתוכם - בין תת-מוקדים בעלי רמות סיווג מתאימה. "משמעות הדבר היא שאלפי חיילים חשופים למעבר המידע בקרבתם או דרכם ישירות. הבעיה העיקרית של אבטחת מידע היא הקורלציה ההפוכה לנוחות התפעול השוטף של המידע. ככל שהנהלים והטכנולוגיות והביקורות קשים יותר - כך התפעול היום-יומי נעשה קשה יותר עד בלתי אפשרי. צה"ל מנסה לא להביא את צרכני המידע למצב שבו הם נדרשים לעמוד בגזירות שהם אינם מסוגלים באמת לעמוד בהם".
וייסמן אומר כי מתוך היכרות עם פרצות אבטחת מידע בעבר הוא יוכל לומר שיש סיכוי גבוה מאוד שבמקרה הנוכחי מדובר בבעיית עמידה בנוהל, משמעת, ולא בעיה טכנולוגית. "תמיד ניתן להוסיף טכנולוגיות, או להעצים את מנגנוני החסימה של הטכנולוגיות שמופעלות כיום, אך אז העבודה השוטפת של צהל בלתי ניתנת ליישום וצרכני המידע יעצימו את מאמציהם 'לרמות' את מנגנוני האבטחה כדי להבטיח השרדות עבודתם השוטפת. תמיד תהיינה בגוף מסווג, כל שכן כה גדול, צעיר ורב-גוני - יהיה מוגן ככל שיהיה, פרשות בודדות של מידע זולג, בטעות (עקב ההתנגשות עם נוחות העבודה השוטפת) או במכוון - גניבתו עקב הסמיכות אליו. לכן - אחד המעגלים החשובים הינו התחקיר הבטחוני המבוצע לאוכלוסיה הסמוכה לתינורות ולמסדרונות המידע".
שי בליצבלאו, מנכ"ל מגלן טכנולוגיות הגנת מידע, מאמין שהפתרון טמון בפתרונות טכנולוגיים "תפורים" (כלומר כאלו שצריך לפתח אותם) ולאו דווקא במוצרי מדף הקיימים. "אין היום לצערי, לא בשוק המסחרי פרטי ולא בשוק הביטחוני, את התובנות הטכנולוגיות איך מגינים על מידע ביטחוני או מסחרי ברמת סיווג גבוהה. אולי האירוע האחרון ישנה את התפיסה לגבי רמת ההגנה היום. המצב הוא מזעזע. יש את הידע אך הוא לא מיושם. יש טכנולוגיה אך לא עושים בה שימוש. וכולם ביחד, מראשון המנכ"לים ועד אחרון הקצינים, נסמכים על תוכנות הגנה או ניטור, אותם ניתן לעקוף. אין פתרון מדף או מוצר מסוים שאפשר להתקין ולמנוע דליפת מידע שכזאת. הפתרון הוא לפתח כלי אינטגרלי תפור. למשל כלי שבכל פעם שמשתמש שומר את המסמך הוא נותן התרעה מי שמר את המסמך ומתי. צריך לפתח את הכלים האלה, בוודאי בסביבה ביטחונית".
עוד בנושא:
• טרויאני בלפטופ: סוס (ב)עבודה
• מרגלים ברשת: איזה מידע עסקי אפשר להוציא מרשתות חברתיות?
• פרץ לתיבות דוא"ל למטרת ריגול עסקי - ולא הורשע
 פורמט להדפסה |  שלח באימייל |  חזרה למעלה |
עשרת הגדולים
- 1. טכנופיל: התנסות ראשונה ברשת הסלולר של גולן טלקום
- 2. למה ישראל היא כר פורה לחדשנות בזכרונות הבזק?
- 3. אזהרה: הסמארטפון עלול להועיל לבריאות
- 4. שעון האנדרואיד I'mWatch יושק בחודש הבא
- 5. סטארט-אפ חדש לדב מורן מבטיח לחזק את הצרכנים
- 6. למה הישראלים מפחדים להזמין חופשות באינטרנט?
- 7. וול-סטריט ג'ורנל מסמן שתי ישראליות ברשימת הסטארט-אפים השווים מעל מיליארד ד'
- 8. הסיטקום הראשון ביו-טיוב עלה לאוויר
- 9. מט"ח מקים בירוחם חממה טכנולוגית
- 10. שבוע אחרי השקת המאגר, נפתח כלי לתכנון נסיעה בתחבורה הציבורית
