בתקופה זו של מלחמת סייבר חסרת תקדים, ארגונים חייבים להגן על חייהם הדיגיטליים האישיים של המנהלים שלהם כדי להפחית את הסיכון של החברה לנזק ישיר או נלווה.
עברו כחודשיים מאז החלה רוסיה לראשונה בפלישה הבלתי מעוררת שלה לאוקראינה. מאז, העולם היה עד לטרגדיה שאין לתאר. בעוד שרכוש שניזוק והרוס יכול וייבנה מחדש; המוות והייאוש שנגרמו על ידי האוקראינים ישאירו חותם מתמשך בכל אירופה לדורות הבאים.
עד כמה שהמלחמה הפיזית איומה הייתה, מלחמת הסייבר שציפתה לה לא התממשה במהירות כפי שחשבו כמה מומחי אבטחת סייבר וביטחון לאומי. בתחילת מרץ, אמר היועץ המשפטי לשעבר של הסוכנות לביטחון לאומי ושירות הביטחון המרכזי גלן ס. גרסטל ל"גרדיאן", "עדיין לא ראינו את ההתקפות ההרסניות לחלוטין על תשתית אוקראינה שחלקן צפויות".
אבל יש אינדיקציות חדשות לכך שרוסיה עשויה לנסות בקרוב להעצים את מלחמת הסייבר שלה. לפני שבועיים, תשתית ה-IT של אוקראינה עברה תקיפה משמעותית של האקרים רוסים. זו הייתה המתקפה הגדולה הראשונה בעלת תוצאה אמיתית מאז שהרוסים תקפו בנקים אוקראינים באמצע פברואר.
ולפי Foreign Affairs, "כל העדויות הזמינות מצביעות על כך שרוסיה הפעילה קמפיין סייבר מתואם שנועד לספק לכוחותיה יתרון מוקדם במהלך מלחמתה באוקראינה".
שינוי נוף איום מהמקצועי לאישי
בעוד היקף שאיפות הלוחמה הדיגיטלית של רוסיה עדיין לא ידוע, רוב העולם מתכונן למלחמת הסייבר העולמית הראשונה.
באמריקה, הנשיא ג'ו ביידן והסוכנות לאבטחת תשתיות קריטיות של DHS (CISA) ממשיכים להנפיק אזהרות מפורטות בנושא אבטחת סייבר לסוכנויות ועסקים אמריקאים כאחד. לאחרונה, CISA התריעה בפני מנהלי הון כי צפויות התקפות סייבר רוסיות המכוונות לארגונים שלהם וללקוחותיהם. בתי חולים, מגזר האנרגיה ו-Fortune 1000 בכל ענף הזהירו גם הם מפני איומים ישירים ופוטנציאל לנזק נלווה.
וקטור תקיפה אחד שחסר באופן ניכר בהתראות הממשל והתעשייה הוא חייהם הדיגיטליים האישיים של מנהלים – C-Suite, חברי דירקטוריון ומנהיגי חברה בכירים – עם גישה ישירה למידע פיננסי, קנייני וסודי.
לאחרונה, פושעי סייבר מיומנים ומדינות לאום החלו אסטרטגית לעקוף בקרות אבטחה ממשלתיות וארגוניות על ידי תקיפת מה ש-CISO וצוותי אבטחה אינם יכולים לשלוט: הפרטיות המקוונת, המכשירים האישיים והרשתות הביתיות של מנהלים ובני משפחותיהם.
הפגיעויות הן עצומות בחיים הדיגיטליים האישיים
מכיוון שאבטחה ארגונית אינה יכולה להתרחב לחיים אישיים, פגיעות המכשירים האישיים והרשתות הביתיות הן רבות, ולעתים קרובות קלות לניצול.
לפי BlackCloak, נתונים פנימיים, 87% מהמכשירים האישיים של המנהלים חסרים כל בקרת אבטחת סייבר, ולפחות 27% מהמכשירים מכילים תוכנות זדוניות שטרם התגלו.
בנוסף, 75% מהמכשירים האישיים דולפים נתונים עקב הגדרות פרטיות חסרות או מוגדרות בצורה לא נכונה, ול-69% מהמנהלים יש סיסמאות אישיות ועבודה זמינות ברשת האפלה.
נקודות תורפה אלו, בין היתר, מייצגות מרחב ירוק לפושעי סייבר ומדינות לאום לפרוץ ארגונים על ידי פריצת מנהלים בחייהם האישיים כדי לעבור לרוחב לארגונים שהם היעד הסופי שלהם.
בחודש שעבר, קבוצת האיומים של גוגל זיהתה שחקני איומים סיניים המנסים לפרוץ לחשבונות Gmail האישיים של עובדי ממשלת ארה"ב, על פי מאמר ב- Bleeping Computer.
הגן על החיים הדיגיטליים האישיים של מנהלים, הגן על הארגון
נותר לראות אם רוסיה תסלים את מלחמת הסייבר שלה, והאם הסלמה תכוון ישירות או תשפיע בעקיפין על עסקים וסוכנויות ממשלתיות בארה"ב. בלי קשר, צוותי אבטחה חייבים כעת להתכונן להתקפות רוחביות המתבטאות בחייהם הדיגיטליים האישיים של המנהלים שלהם.
למרבה המזל, ישנם מספר אמצעי הגנה שאף על פי שהם מכבידים, צוותי אבטחה יכולים לעזור למנהיגי החברה ליישם בחייהם האישיים. אלו כוללים:
- ודא את האימות מרובה גורמים פעיל בכל המכשירים, האפליקציות והמערכות האישיות (כולל משפחתיות) המאפשרות זאת. CISOs צריכים לחסום גישה לכל המערכות הארגוניות מכל מכשיר שבו MFA אינו פרוס.
- שלח בקשות ביטול לכמה שיותר מתווכים נתונים מקוונים ככל האפשר, הגבלת יכולת היריבים להשיג את המידע האישי הדרוש להפעלת הנדסה חברתית ופישינג.
- הגדר אוטומטי עדכוני מערכת הפעלה וקושחה בכל המכשירים האישיים; ולהטמיע אבטחת רשת ביתית באמצעות חומות אש של נתב והצפנת רשת WiFi כדי להבטיח את שלמות התקשורת.
- ודא את כל המכשירים האישיים, כולל אלה של בני זוג וילדים, מותקנת ומעודכנת נגד תוכנות זדוניות.
- התקן אבטחת WiFi כדי להגן על הרשתות הביתיות שלך ולאפשר למבקרים בבית להתחבר לרשת האורחים.
למרבה הצער, אמצעי הגנה כאלה, בין היתר, עלולים לקחת זמן ומשאבים מקודשים ליישום, ללא כל הבטחות שהם ישמרו על בטיחות וביטחון של אנשים או החברה. אבל כשתופי מלחמת הסייבר מכים חזק יותר ויותר, הגנה על ארגון עשויה להתחיל ולהסתיים עם עד כמה זה יכול להגן על מנהלים בחייהם הדיגיטליים האישיים.
