ינואר 2023
דו"ח מדיניות וביטחון סייבר
תוכן עניינים
סיכום זירת הסייבר על רקע הפלישה הרוסית לאוקראינה 10
איומי סייבר על תשתיות חיוניות 13
איומי סייבר על שרשראות אספקה 15
תקציר חודשי
מחלקת המדינה האמריקנית הודיעה על הקמת משרד חדש, שיקדם ויתאם שיתופי פעולה בין ארה"ב לבעלות בריתה, בנושא פיתוח טכנולוגיות חדשות, כגון מחשוב קוונטי ובינה מלאכותית. סוכנות ה-NSA פרסמה מסמך שמטרתו לסייע בהעברה מאובטחת של רשתות מחלקת ההגנה ורשתות פדראליות נוספות מפרוטוקול ה-IPv4 אל פרוטוקול ה-IPv6; מחוקקים הציגו את הצעת החוק National Digital Reserve Corps, שמטרתה לעודד גיוס של מומחי אבטחת סייבר מהמגזר הפרטי לצורך העסקתם במסגרת מיזמים טכנולוגיים שהממשל הפדראלי מקדם, לתקופות זמן קצובות; חיל הנחתים השיק פיקוד מידע חילי, שיהיה אחראי על קידום האיגום בין יכולות הסייבר, מודיעין, מידע והחלל של החיל בעת פעילות מבצעית ברחבי העולם.
במלאת שנה לפלישה הרוסית לאוקראינה, חברת אבטחת הסייבר האמריקנית Nozomi Networks פרסמה דו"ח, ולפיו בחודשים האחרונים קבוצות האקטיביסטים מרחבי העולם, בהן קבוצות שלקחו חלק במלחמה, השתמשו בתקיפותיהן בנוזקות Wiper וכן בבוטים בסביבות IoT ו-OT, בכדי לשבש את תפקודן של תשתיות חיוניות.
מחלקת האנרגיה האמריקנית פרסמה בקשה לקבלת הצעות לפיתוח פתרונות אבטחת סייבר עבור מערכות בקרה תעשייתיות בענפי האנרגיה המתחדשת ורשתות החשמל; חברת התוכנה האמריקנית Deltek פרסמה מאמר הצופה כי במהלך 2023 חברות קבלן בתחום ה-IT העובדות עם הממשל הפדראלי האמריקני, יידרשו לעמוד במסגרת פעילותן בדרישות אבטחת סייבר חדשות ובדרישות אבטחת שרשראות אספקה של תוכנות; ממשלת אוסטרליה הודיעה כי השיקה את כוח המשימה הבין-לאומי למאבק במתקפות כופרה (ICRTF).[1]
האיגוד הבין-לאומי לתחבורה ציבורית (UITP),[2] פרסם מסמך שמטרתו לסייע לארגונים מענף התחבורה להטמיע דרישות אבטחת סייבר במסגרת תהליכי רכש של מערכות OT; בעקבות התקלה שאירעה במערכת רשות התעופה האמריקנית הפדראלית (FAA),[3] אישרה מליאת בית הנבחרים האמריקני הצעת חוק הקוראת להקים כוח משימה ייעודי שיבחן את יישומם של פתרונות שמטרתם להגן על מערכות מחשוב בענף התעופה מפני איומי סייבר; משמר החופים האמריקני פרסם מסמך המיועד לסייע לבעלי ומפעילי מערכות תחבורה ימיות לנסח עקרונות אבטחת סייבר ולגבש מענים לאיומי סייבר.
ממשלת קנדה פרסמה אסטרטגיה לאומית חדשה ותקציב בסך 271 מיליון דולר שמטרתם לקדם את המחקר והשימוש במחשוב קוונטי; כחלק מעדכון אסטרטגיית הביטחון הלאומי על ידי ממשלת יפן, בכוונת משרד ההגנה במדינה להקים מחלקת סייבר חדשה במסגרת האקדמיה להגנה לאומית שתכשיר אנשי צוות לאתר נוזקות, חולשות רשת ועוד. הנציבות האירופית הודיעה על כוונתה להציע הצעת חוק להאצת פריסתן של תשתיות G5 במדינות האיחוד האירופי, בין השאר באמצעות הרחבת הגישה של ספקי רשת לתשתיות פיזיות ציבוריות.
ארה"ב
ממשל, אסטרטגיה ומדיניות
3 בינואר – מחלקת המדינה האמריקנית הכריזה על הקמת משרד חדש שיקדם שיתופי פעולה עם בעלות בריתה של ארה"ב המפתחות טכנולוגיות חיוניות חדשות – על רקע מאמצי הממשל האמריקני לשמר את ההובלה האמריקנית בתחום פיתוח הטכנולוגיות החדשות, הכריזה מחלקת המדינה על מינוי שליח מיוחד לטכנולוגיות חיוניות וחדשות,[4] שיעמוד בראש משרד חדש שיהיה אמון על קידום שיתופי פעולה אסטרטגיים בין ארה"ב לבין בעלות בריתה המפתחות טכנולוגיות חיוניות חדשות, כגון בינה מלאכותית, מידע קוונטי (Quantum information) ועוד. המשרד החדש ימצב את הנושא במרכז מדיניות החוץ של מחלקת המדינה, בעזרת הגופים הכפופים לה.[5]
6 בינואר - נציבות התקשורת הפדראלית הציעה לעדכן את כללי חובת הדיווח של ספקי תקשורת על תקריות סייבר ודליפת מידע – נציבות התקשורת הפדראלית (FCC)[6] הציעה לעדכן את כללי חובת הדיווח של ספקי תקשורת לצרכנים על דליפת מידע, במטרה לשנות את המצב הקיים במסגרתו נדרשו ספקי תקשורת להודיע לצרכנים על דליפות מידע תוך תקופה של עד שבעה ימים מרגע גילוין. במסגרת העדכון, הציעה הנציבות לבטל את תקופת ההמתנה, ולעדכן את כללי הדיווח כך שכל הפרת מידע תדווח בזמן אמת ללקוחות, ל-FCC, ל-FBI, ולשירות החשאי האמריקני. בנוסף, הציעה הנציבות להרחיב את ההגדרה של דליפת מידע, כך שתכלול גם מקרים בהם מידע השייך ללקוחות דלף בשוגג. הנציבות לא כללה בהצעתה להטיל סנקציות על ספקי תקשורת במקרה של אי עמידה בכללי הדיווח.[7]
10 בינואר – משרד המבקר הכללי של מחלקת הפנים מצא ליקויים בנהלי המחלקה לקידום שימוש מאובטח בסיסמאות בקרב עובדיה – משרד המבקר הכללי של מחלקת הפנים (DOI OIG)[8] פרסם דו"ח שבחן את יישום נהלי המחלקה בנושא מניעת גישה בלתי מורשית למערכות המחלקה. על פי הדו"ח, המחלקה לא יישמה אימות רב שלבי של פרטי המשתמש בקרב כ-89% מהנכסים החיוניים שלה, שפריצה אליהם עלולה לשבש את תפקוד המחלקה. בנוסף, דרישות המחלקה ליצירת סיסמאות מורכבות התגלו כלא יעילות ומיושנות, מאחר והן אפשרו למשתמשי מערכת ליצור סיסמאות קלות לניחוש. בד בבד, מחברי הדו"ח מצאו כי כ-6,000 מחשבונות המחלקה נתונים לסכנת פריצה, היות והמחלקה לא השביתה חשבונות שאינם בשימוש ולא הגדירה תקופות זמן קצובות לשימוש בסיסמאות. במסגרת הבדיקה, עובדי משרד המבקר פרצו ל-21% מחשבונות המשתמשים הפעילים במחלקה, לרבות 288 חשבונות בעלי הרשאות מורחבות ו-362 חשבונות השייכים לעובדי ממשל בכירים. משרד המבקר פרסם המלצות לשיפור השימוש של משתמשים בסיסמאות, בהן פיתוח מנגנון למעקב אחר יישום אימות רב שלבי עבור גישה למערכות המחלקה, יישום אמצעי בקרה למניעת שימוש בסיסמאות קלות לניחוש או כאלו שדלפו בעבר וניסוח נהלים, שיאסרו על בעלי חשבונות להשתמש באותן הסיסמאות.[9]
10 בינואר – הארכיון הלאומי של ארה"ב פרסם הנחיות חדשות לשימור לוגים וראיות הקשורים לאירועי אבטחת סייבר – הארכיון הלאומי של ארה"ב (NARA)[10] פרסם גִּרְסָה מעודכנת למסמך ההנחיות ללוח זְמַנֵּי אחסון רשומות מידע (GRS)[11]בקרב סוכנויות פדראליות, הכוללת הנחיות חדשות לתיעוד ושמירת לוגים וראיות הקשורים לאירועי אבטחה, שמירת חבילות נתונים (פקטות מידע -PCAP ).[12] מחברי המסמך קראו לסוכנויות הפדראליות לשמור רישומי תעבורה לטווח זמן של עד 72 שעות, ורישומי לוגים של אירועי אבטחה לתקופה של 30 חודשים. עם זאת, ההנחיות יאפשרו לשמור את שני סוגי המידע לתקופות ארוכות יותר, בתנאים שלא צוינו במסמך.[13]
12 בינואר – בכירים ב-NSA וב-FBI קראו לקונגרס להאריך את תוקפה של תקנה למעקב אחר גורמים זרים הממוקמים מחוץ לשטחה של ארה"ב בשל חשיבותה להגנת הסייבר הלאומית – במסגרת דיון שקיימה המועצה המפקחת על פרטיות וחירויות הפרט (PCLOB),[14] קרא ראש ה-NSA ומפקד פיקוד הסייבר, גנרל פול נאקאסונה, למחוקקים להאריך את תוקפו של סעיף 702 בחוק ה-Foreign Intelligence Surveillance Act.[15] לדבריו, הסעיף, שתוקפו צפוי לפוג בסוף 2023, סייע ל-NSA להתמודד עם איומי כופרה, לרבות אלו שהופנו כנגד תשתיות חיוניות וכן נגד ניסיונות לגנוב מידע צבאי רגיש. בנוסף, טענו היועצת המשפטית של ה-NSA, אפריל דוס (April Doss) ויועץ ה-FBI לענייני חוק 702, מייק הרינגטון (Mike Herrington), כי החוק מהווה מרכיב בסיסי ביכולת ההתמודדות עם פשעי סייבר, אך לא ציינו באיזה אופן. לעומת זאת, ג'ראמי סקוט (Jeramie Scott), המשמש כיועץ משפטי בכיר בארגון האמריקני לזכויות אדם EPIC,[16] טען כי ישנו צורך במידע רב יותר בנוגע ליישום החוק בענייני סייבר והשפעותיו על נושא זכויות האדם.[17]
13 בינואר – מִנְהָל האוקיינוסים והאטמוספירה הלאומי פרסם בקשה לקבלת הצעות מהמגזר הפרטי לשדרוג פעילות מרכז אבטחת הסייבר שלו – מִנְהָל האוקיינוסים והאטמוספירה הלאומי (NOAA)[18] הכפוף למחלקת המסחר, פרסם הודעה מקדימה לאיתור ספקים, המסוגלים להציע שירותים התומכים בפעילות המשותפת של המרכז לאבטחת סייבר של NOAA (NCSC)[19] ומרכז ה-SOC של מחלקת המסחר (ESOC).[20] על פי ההודעה, NOAA מבקש לקבל הצעות לשירותים שעשויים לשפר את תפעול מערכות ה-SIEM וה-SOAR במרכזים.[21] במסגרת זו, הספקים שייבחרו יידרשו לספק שירותים, הכוללים כתיבת דו"חות לבחינת מצב אבטחת מערכות המידע, זיהוי חולשות אבטחה ומציאת דרכים לפתרונן, הבטחת העמידה בהוראות ובעקרונות מדיניות אבטחת הסייבר וכן פיתוח תוכניות הכשרה לעובדים. על פי הודעת NOAA, שיפור מערכות ה-IT שלו נחוץ על רקע הביקוש הגובר למידע בנושא ההשפעה של שינויי אקלים גלובליים ואסונות טבע.[22]
18 בינואר – המחלקה לביטחון המולדת פרסמה עדכון למסמך שיטות עבודה מומלצות לשימוש במסגרת ATT&CK MITRE – הסוכנות לאבטחת סייבר ותשתיות ((CISA, בשיתוף מכון ההנדסה ופיתוח המערכות של המחלקה לביטחון המולדת (HSSEDI),[23] פרסמו עדכון למדריך שיטות מומלצות לשימוש ולמיפוי איומי סייבר על פי מסגרת ה-MITRE ATT&CK. מטרת העדכון הינה לסייע למגיני רשתות לזהות ולנתח את התנהגותם של גורמי איום במרחב הסייבר ולשתף מידע.[24] על פי הודעת הסוכנות, הגִּרְסָה החדשה מכילה התייחסויות לשגיאות נפוצות בתהליך המיפוי, הכוללות שיוך המידע לקטגוריה לא נכונה, הסקת מסקנות חפוזה והיעדר התחשבות בטכניקות מיפוי נוספות.
המדריך כולל גם התייחסות להטיות נפוצות המובילות למיפוי שגוי של איומים. בנוסף, העדכון כולל שיטות למיפוי איומי סייבר על מערכות בקרה תעשייתיות (ICS).[25]
21 בינואר – ה-NSA פרסמה מסמך הנחיות למעבר רשתות פדראליות לפרוטוקול IPv6 – ה-NSA פרסמה מסמך שמטרתו לסייע בהעברה מאובטחת של רשתות במחלקת ההגנה ורשתות פדראליות נוספות מפרוטוקול ה-IPv4 אל פרוטוקול ה-IPv6, בשנים הקרובות. על פי המסמך, היעדר היכרות מעמיקה עם פרוטוקול ה-IPv6, במקביל להמשך פעילות בפרוטוקול הנוכחי (Dual stack) עלולים להעמיד את הרשתות הפדראליות בסכנה, בין היתר בשל התרחבות משטח התקיפה. בהתאם לכך, מעבר מוצלח אל ה-IPv6 צריך לכלול למידה מעמיקה של מאפייני ה-IPv6, לרבות למידת הדרכים הנכונות להגדירו. ה-NSA המליצה בין השאר, להימנע מביצוע מִנְהוּר (Tunneling)[26] של שני הפרוטוקולים על מנת לצמצם את שטח התקיפה הפוטנציאלי, אלא אם קיים בכך צורך טכני. בנוסף, הזהירה הסוכנות כי השימוש בשיטת SLAAC[27] להקצאת כתובות IP למארחים מעלה סוגיות של פגיעה בפרטיות, היות וניתן להשתמש במידע הנמצא בכתובת המוקצית למטרת זיהוי המשתמשים בציוד הרשת.[28]
23 בינואר – דו"ח משרד המבקר הממשלתי: הממשל הפדראלי לא יישם את מרבית ההמלצות בנושא אסטרטגיית אבטחת הסייבר שפורסמו מאז שנת 2010 – על פי דו"ח משרד המבקר הממשלתי (GAO), 190 מתוך 335 המלצות אסטרטגיות בתחום אבטחת הסייבר שפרסם GAO מאז 2010 לא יושמו, נתון המהווה כ-60% מכלל ההמלצות. כדוגמה לכך, הצביעו מחברי הדו"ח על כך ש-14 סוכנויות פדראלית לא יישמו אף אחת מבין שבע המלצות משרד המבקר מדצמבר 2020 בנושא ניהול שרשראות האספקה של טכנולוגיות תקשורת ומידע. בנוסף, מחברי הדו"ח ציינו כי אסטרטגיית הסייבר הלאומית משנת 2018 ותכנית היישום שפורסמה על ידי המועצה לביטחון לאומי ביוני 2019, אינן כוללות את כל המרכיבים הנחוצים עבור אסטרטגיה לאומית.[29] מחברי הדו"ח קראו למשרד ראש הסייבר הלאומי (ONCD) לנסח אסטרטגיה מקיפה להתמודדות עם המחסור בכוח אדם מיומן במקצועות הסייבר, וכן המליצו למחלקות האנרגיה, הבריאות, ביטחון המולדת והתחבורה, לנסח וליישם מדדים להערכת יוזמות בנושא אבטחת הסייבר של מכשירי IoT וסביבות OT ולבצע הערכת סיכונים בקרב סביבות אלו.[30]
חקיקה
12 בינואר – נציגי בית הנבחרים הציגו הצעת חוק לגיוס מומחי אבטחת סייבר מהמגזר הפרטי עבור הממשל הפדראלי לתקופות זמן קצובות – נציגי בית הנבחרים, רובין קלי (Robin Kelly) וטוני גונזלס (Tony Gonzales), הציגו את הצעת החוק National Digital Reserve Corps, הקוראת לרשות לשירותים כלליים (GSA)[31] להקים כוח עתודה אזרחי דיגיטלי לאומי[32] אשר יורכב ממומחי טכנולוגיה מהמגזר הפרטי, שיועסקו במסגרת מיזמים טכנולוגיים שמקדם הממשל הפדראלי. על פי הצעת החוק, המומחים שיהיו מעוניינים בכך, יועסקו למשך 30 יום בכל שנה, עד לתקופה של שלוש שנים וישתלבו במיזמים בתחום אבטחת הסייבר, החינוך וההכשרה הטכנולוגית והרכש. בנוסף, מנחה הצעת החוק את מחלקת העבודה לגבש נהלים, על מנת לוודא כי משרותיהם של המומחים במגזר הפרטי יישמרו עבורם עד לאחר שיסיימו את שירותם עבור הממשל.[33]
צבא וביטחון
10 בינואר – בכירים בצבא היבשה ובמחלקת ההגנה הציגו את פעולותיהם לקידום הטמעת עקרונות אפס האמון ברשתותיהם – לדברי מייג'ור קורי דומברובסקי (Cory Dombrowski), הנמנה על משרד צבא היבשה לניהול המעבר לעקרונות אפס האמון (Zero Trust),[34] המשרד מיישם יחד עם שורת יחידות ברחבי זרוע היבשה, בהן פיקוד הסייבר של צבא היבשה (ARCYBER),[35] פיקוד טכנולוגיות מיזם הרשת (NETCOM)[36] ופיקוד כוחות הצבא (FORSCOM),[37] תכניות פיילוט שמטרתן להטמיע ארכיטקטורות רשת מבוססות אפס אמון ברשתות לשימוש טקטי של צבא היבשה.[38] ב-19 בינואר הצהיר מנהל משרד מחלקת ההגנה לניהול ענייני אפס האמון,[39] רנדי רזניק (Randy Resnick), כי החל מאביב 2023, צוותים אדומים לדימוי יריב ידמו תקיפות על סביבות ענן המבוססות על עקרונות אפס האמון ומופעלות על ידי AWS, גוגל, מיקרוסופט ו-Oracle. לדברי רזניק, בכוונת מחלקת ההגנה לבחון את מידת האבטחה של שירותי הענן של החברות שחתמו בדצמבר 2022 על חוזה לאספקת שירותי ומוצרי ענן במסגרת פרויקט ה-JWCC.[40] זאת, מתוך כוונה לבחון באיזו מידה מסוגלת מחלקת ההגנה ליישם את עקרונות אפס אמון במסגרת תשתיות הענן.[41]
12 בינואר – משרד המבקר של מחלקת ההגנה מצא ליקויים בתפעול הרשת הבלתי מסווגת של המחלקה – משרד המבקר הכללי של מחלקת ההגנה (DOD OIG)[42] פרסם דו"ח, שמטרתו לבחון אם המחלקה גיבשה, יישמה ועדכנה הוראות הנוגעות לניהול אבטחת הרשת המאובטחת הבלתי מסווגת שלו (SUNet)[43] והמידע המאוחסן בה. על פי הדו"ח, יכולותיה של המִינְהֶלֶת לתמיכה טכנית במאבק בלוחמה בלתי סדירה (IWTSD),[44] המנהלת את הגישה אל רשת ה-SUNet, לנטר ולנהל צעדי אבטחת סייבר מוגבלת, היות והרשת מתופעלת בידי חברה פרטית. בנוסף, משרד המבקר הצביע על כך שהמימון לתפעול ה- SUNetלא ניתן באופן שוטף ומספק, דבר שמקשה על הטמעת בקרות הנוגעות לאבטחת המידע ולפרטיות.
במסגרת הדו"ח המליץ משרד המבקר למחלקת ההגנה לבחון מחדש את החוזה עם החברה המתפעלת את ה-SUNet, על מנת לבדוק אם יש צורך להכניס בו שינויים שיבטיחו את יישומם של צעדי אבטחת סייבר. בד בבד, קרא משרד המבקר לבחון מחדש את האסטרטגיה ארוכת הטווח לניהול, לתקצוב ולפיקוח על פעילות ה-SUNet.[45]
18 בינואר – חיל הנחתים השיק את פיקוד המידע החילי – חיל הנחתים הודיע על השקת פיקוד המידע החילי (MCIC),[46] שיהיה אחראי על תיאום יכולות סייבר, מודיעין, מידע וחלל של החיל, במטרה לתמוך בפעילות כוחות הנחתים ברחבי העולם.[47] לצורך כך, יסופחו ל-MCIC יחידות המשתייכות לפיקודים אחרים, בהם מרכז מבצעי המידע של חיל הנחתים (MCIOC)[48] וכן יחידת התמיכה בפעולות הצפנה (MCSB),[49] האחראית על איסוף מודיעין אותות.[50]
חיל הנחתים הצהיר במאי 2022 על כוונתו להקים את ה-MCIC במסגרת עדכון תכנית ה-Force Design 2030,[51] והקים אותו באופן רשמי באוקטובר 2022.[52] בבסיס הקמת הפיקוד עומדת התפיסה כי במקרה של עימות, הפעולות הראשונות צפויות להתבצע במרחבי החלל והסייבר ועל כן יש להעניק לכוחות החיל גישה ליכולות אלו ולאפשר להם לשלבן.[53]
אירופה
סיכום זירת הסייבר על רקע הפלישה הרוסית לאוקראינה
במלאת שנה למלחמה באוקראינה, החודש התפרסמו דו"חות ונתונים על התקפות הסייבר המיוחסות לרוסיה ולצדדים הלוחמים, וכן על יעילות הסיוע ההגנתי שאוקראינה קיבלה מבעלות בריתה במלחמה. ב-7 בינואר הודיע צוות ה-CERT הלאומי של אוקראינה כי בשנה האחרונה חוותה אוקראינה כ-2,100 מתקפות סייבר, כשבפברואר 2022 נרשמו כ-290 מתקפות סייבר, לעומת 140 מתקפות באוגוסט 2022. על פי הנתונים, הירידה בהתקפות הסייבר מיוחסת לתמיכתן של מיקרוסופט ואמזון באוקראינה בסך של כ-475 מיליון דולר במהלך חודשי המלחמה.[54]
בנוסף, ב-18 בינואר פרסמה חברת אבטחת הסייבר האמריקנית Nozomi Networks דו"ח לפיו בשנה האחרונה האקטיביסטים מרחבי העולם, ובמיוחד קבוצות שלקחו חלק במלחמה, שינו את טקטיקות התקיפה שלהן ועברו מניצול חולשות בתוכנות קוד פתוח, ביצוע מתקפות DDoS וגניבת נתונים, לשימוש בנוזקות Wiper וכן להפעלת רשתות בוטים בסביבות IoT ו-OT. על פי הדו"ח, מטרת התקיפות שנצפו הייתה לשבש את תפקודן של תשתיות חיוניות במגזרי התחבורה והבריאות ולקדם את עמדותיהם הפוליטיות של ההאקטיביסטים במלחמה.[55]
בד בבד, החודש נרשמו יוזמות שמטרתן לשפר את היערכותה של אוקראינה לקראת המשך לוחמת הסייבר בחודשים הקרובים, וכן לקדם נורמות חדשות במרחב הסייבר. ב-19 בינואר חתמה ממשלת אוקראינה על הסכם להצטרפותה למרכז למצוינות בהגנת סייבר משותפת של ברית נאט"ו (CCDCOE).[56] המועצה לביטחון לאומי ולהגנה (NSDC)[57] של אוקראינה הודיעה כי הצטרפותה תאפשר לאוקראינה ולנאט"ו לשתף מידע בתחומים של זיהוי ותגובה לאיומי סייבר, וכן בניהול פעולות הגנה והרתעה במרחב הסייבר. במסגרת ההצטרפות תקבל ממשלת אוקראינה גישה לטכנולוגיה ולמחקר של נאט"ו, תשתתף בדיונים בנושאים משפטיים והומניטריים בנושא לוחמת סייבר, ועוד.[58]
כמו כן, ב-9 בינואר, הצהיר סגן ראש השירות הלאומי לתקשורת מיוחדת והגנת המידע של אוקראינה (SSSCIP),[59] ויקטור ז'ורה (Victor Zhora), כי אוקראינה מתכוונת לטעון בפני בית הדין הפלילי הבין-לאומי בהאג, כי המתקפות הרוסיות המשלבות תקיפות סייבר ותקיפות טילים[60] והמכוונות כנגד תשתיות חיוניות במדינה, מהוות פשעי מלחמה.[61] בנוסף, ב-15 בינואר, ראש ה-SSSCIP, יורי שצ'יחול (Yurii Shchyhol), קרא להקמת ארגון סייבר של האומות המאוחדות (Cyber United Nations), שמטרתו לשתף מידע על איומי סייבר בין מדינות ולהיערך לקראת התקפות סייבר עתידיות.[62]
אסיה
יפן
10 בינואר – בכוונת משרד ההגנה של יפן להקים מחלקה חדשה להכשרות בתחומי הסייבר באקדמיה להגנה לאומית – על פי הודעת משרד ההגנה של יפן, בכוונת המשרד להקים מחלקה חדשה להכשרות בתחומי הסייבר שתפעל כחלק מהאקדמיה להגנה לאומית במדינה, החל מהשנה הפיסקאלית 2027. החניכים שצפויים להתחיל ללמוד במוסד האקדמי החל מחודש אפריל 2028, יוכשרו להשתמש בכלים לאיתור נוזקות וחולשות רשת וכן ללמוד על טכנולוגיות סייבר.[63]
בטחון סייבר
18 בינואר – הפורום הכלכלי העולמי פרסם את תחזית איומי הסייבר לשנת 2023 – הפורום הכלכלי העולמי (WEF)[64] פרסם את דו"ח איומי הסייבר העולמי לשנת 2023, המבוסס על סקרים שנערכו בהשתתפות כ-300 מנהלי ארגונים עסקיים בכירים ומומחי אבטחה מהעולם. על פי הדו"ח, 10% ממנהלי הארגונים ו-13% ממומחי האבטחה התריעו כי בארגוניהם קיים פער משמעותי בכוח האדם המיומן במקצועות הסייבר. בקרב ארגונים ממשלתיים וארגוני תשתיות חיוניות, שיעור המנהלים שהצהירו על מחסור בעובדים בעלי מיומנויות חיוניות נע בין 14% ל-25%.
מחברי הדו"ח המליצו לבכירים האחראיים על תחומי הסייבר ואבטחת המידע בארגונים, להציג בפני מקבלי ההחלטות את איומי הסייבר הרלוונטיים ואת הפתרונות להם בדרכים פשוטות, על מנת שאלו יוכלו להבין את הסיכונים ולהיערך אליהם. בנוסף, הציעו המחברים לארגונים להעלות את מוּדָעוּת עובדי הארגונים לאיומי סייבר וכן לדרכים באמצעותן הם יכולים לצמצם את התממשותם.[65]
23 בינואר – המרכז הלאומי לאבטחת סייבר של בריטניה פרסם מסמך הנחיות לשיפור חסינות הסייבר של ארגוני צדקה – במסגרת המסמך, הזהיר המרכז הלאומי לאבטחת סייבר של בריטניה (NCSC) כי ארגונים ממגזר הצדקה חשופים למגוון איומי סייבר בדומה לארגונים מסחריים, אך הדגיש את פגיעותם נוכח שימוש של מתנדבים רבים הנמנים על שורות ארגונים אלה במכשירים בבעלות פרטית, היעדר תקציב לשיפור אבטחת הסייבר ולכיסוי ביטוחי מינימלי, ועוד. בנוסף, ציינו מחברי המסמך כי ארגוני צדקה מציעים שירותים מקוונים ומגייסים תרומות באופן מקוון, דבר שמחייב אותם לשמור על רמת אמינות גבוהה. לכן, קיים חשש כי ארגוני פשיעה יתחזו לארגוני צדקה וינצלו את נדיבות הציבור לטובת רווחיהם הכלכליים, כפי שאירע במהלך המלחמה באוקראינה. ה-NCSC פרסם המלצות לשיפור אבטחת הסייבר בקרב ארגוני הצדקה, וקרא להם להיעזר בשירותי הגנת הסייבר הפרו-אקטיבית של המרכז, לטפח את ההבנה בקרב דירקטוריונים בנושא אחריותם על תחום אבטחת הסייבר, ועוד.[66]
איומי סייבר על תשתיות חיוניות
5 בינואר – ברית נאט"ו בחנה את השימוש בתוכנה המבוססת בינה מלאכותית להגנה על תשתיות חיוניות מפני תקיפות סייבר – במסגרת ניסוי שנערך כחלק מתרגיל הגנת הסייבר Cyber Coalition 2022 של ברית נאט"ו בנובמבר 2022, דימו צוותי הגנת סייבר הגנה על תחנות כוח ומערכות מחשוב השייכות לבסיס צבאי וירטואלי מדומה, תוך שימוש באב-טיפוס של תוכנה מבוססת בינה מלאכותית (AICA),[67] שפותח על ידי המעבדה הלאומית של ארגון (Argonne).[68] לדברי מומחה אבטחת סייבר מהמעבדה, בנג'מין בלייקלי (Benjamin Blakely), הצוותים שהשתמשו ב-AICA היו יכולים להבחין בקשרי הגומלין הקיימים בין דפוסי תקיפה, תעבורת הרשת והמערכות המותקפות, דבר שסייע להם לבנות גרף ידע על הרשת ולהגן עליה טוב יותר. בחודשים הקרובים יפורסמו תוצאות הניסוי המלאות.[69]
16 בינואר – CISA פרסמה אזהרות המתריעות על חולשות ב-12 מערכות לבקרה תעשייתיות מתוצרת יצרניות גדולות – CISA פרסמה אזהרות, המתריעות מפני חולשות אבטחה ב-12 מערכות לבקרה תעשייתית מתוצרת יצרניות גדולות, כגון Siemens ו-Sauter Controls. חולשות האבטחה החמורות ביותר נמצאו במערכות RTLS Studio מתוצרת חברת Sewio האמריקנית, המייצרת מערכות למעקב בזמן אמת (RTLS)[70] אחר אנשים ועצמים בשטחים סגורים. על פי האזהרה, משתמשים עלולים לנצל את החולשות במערכות אלו להשגת גישה בלתי מורשית לשרת המערכת, לבצע בהן שינויי מידע ולאפשר ביצוע התקפות DoS. כמו כן, באזהרה נפרדת, ציינה CISA כי במערכת Mendix SAML מתוצרת חברת Siemens, נמצאו חולשות שעלולות לאפשר לגורמים זדוניים לבצע מתקפות XSS[71] נגד משתמשים ולגנוב מהם מידע רגיש באמצעות הפצת קישורים זדוניים. במסגרת האזהרות, קראה CISA ליצרניות למזער את חשיפתם של מכשירי מערכות בקרה (Control system devices) לרשת האינטרנט והצבתם של רשתות מערכות בקרה והתקנים מרוחקים מאחורי פתרונות אבטחה כגון Firewalls.[72]
18 בינואר – חברת Nozomi Networks פרסמה דו"ח המסכם את איומי סייבר על מכשירי IoT וסביבות OT בקרב ארגוני תשתיות חיוניות – על פי דו"ח שפרסמה חברת אבטחת הסייבר האמריקנית Nozomi Networks המבוסס על ניתוח של 218 אזהרות שפרסמה CISA במחצית השנייה של 2022, מגזרי הייצור התעשייתי, האנרגיה והבריאות נותרו בראש רשימת המגזרים המאוימים ביותר. כמו כן, הצביעו מחברי הדו"ח על עלייה במספר התקיפות כנגד מתקני מים ותשתיות תחבורה. לנוכח זאת, המחברים המליצו לארגוני תשתיות חיוניות ליישם צעדי הגנה פרו-אקטיבית הכוללים ניהול חולשות ועדכוני תוכנה, זיהוי ואיתור מערכות ונכסי מידע, וכן חלוקת הרשת הארגונית למקטעים (Segmentation), מעקב אחר איומי סייבר בנקודות קצה, ועוד. בהתייחסות לאיומי הסייבר לשנת 2023, מחברי הדו"ח התריעו מפני שימוש אפשרי של האקרים בצ'טבוט ChatGPT כאמצעי לביצוע תקיפות דיוג מתוחכמות, ועוד.[73]
19 בינואר – הנציבות האמריקנית הפדראלית לרגולציה על ענף החשמל פרסמה מסמך הנחיות להצגת תקנים לניטור מערכות לייצור ואספקת חשמל – הנציבות הפדראלית לרגולציה על ענף החשמל (FERC)[74] פרסמה מסמך הנחיות חדש הקורא לתאגיד הצפון-אמריקני לאמינות בענף החשמל (NERC)[75] לגבש ולהציג תקני אמינות,[76] המתמקדים בניטור מערכות פנימיות של מערכות חשמל מבוזרות (BES),[77] בעלות חיבור לאינטרנט מהיר בפרק זמן של 15 חודשים. מטרת המסמך היא לנסח תקנים המתמקדים ברשתות הפנימיות, זאת לאור העובדה שהתקנים הנוכחיים של NERC להגנה על תשתיות חיוניות (NERC CIP)[78] מתמקדים באבטחת סייבר היקפית (Security Perimeter)[79] בלבד. מטרת התקנים שיפורסמו לסייע למפעילי מערכות חשמל לנטר ולהתמודד עם איומי שרשראות אספקה המתמקדים בספקי מערכות BES כווקטור תקיפה של המערכות עצמן.[80]
איומי סייבר על ענף האנרגיה
9 בינואר – הממשל האמריקני פרסם בקשה לקבלת הצעות לפיתוח פתרונות אבטחת סייבר למערכות בקרה תעשייתיות בענפי האנרגיה המתחדשת – מחלקת האנרגיה האמריקנית והמעבדה הלאומית לאנרגיה מתחדשת (NREL)[81] הכפופה למחלקה, הודיעו על פתיחת ההרשמה לקבוצה השנייה בתכנית לקידום תחום אבטחת הסייבר עבור טכנולוגיות אנרגיה נקייה (CECA).[82] מטרת התכנית שהושקה בדצמבר 2022, להאיץ פיתוח של פתרונות אבטחה עבור מערכות בקרה תעשייתיות בענפי האנרגיה המתחדשת ורשתות חשמל.[83] מועמדים להשתתפות בתכנית יציעו פתרונות לאיתור כלל הנכסים הפיזיים והווירטואליים המקושרים למערכות בקרה תעשייתית וכן לזיהוי וחסימת פעילות בלתי מורשית בהם. מתוך הבקשות שיוגשו, יבחרו מארגני התכנית חמש הצעות, יעניקו למגישים שיזכו הערכה טכנית מקצועית וכן יציעו להם הזדמנויות לקידום שיתופי פעולה עסקיים, למשך תקופה שבין שלושה ל-12 חודשים.[84]
איומי סייבר על שרשראות אספקה
5 בינואר – חברת התוכנה האמריקנית Deltek הציגה מגמות עתידיות שעשויות להשפיע על רכש ואספקת שירותי IT לממשל האמריקני – סגן נשיא חברת התוכנה האמריקנית Deltek לפתרונות מידע, קווין פלקסיקו (Kevin Plexico), פרסם מאמר בו הציג מגמות שעשויות להשפיע על אספקת שירותי IT לממשל הפדראלי האמריקני במהלך שנת 2023. על פי המאמר, בשנה הקרובה הממשל צפוי להגביר את הביקורת על חברות קבלן באמצעות יישום מודל תקני ה-CMMC 2.0 של מחלקת ההגנה.[85] במסגרת זאת, חברות קבלן בתחום ה-IT יידרשו לעמוד בדרישות אבטחת סייבר חדשות ובדרישות אבטחת שרשראות אספקה של תוכנות.
בנוסף, חברות IT וסוכנויות ממשל צפויות להתקשות בגיוס ושימור כוח אדם מקצועי, בשל גל התפטרויות העובדים מחד, ועלייה בשכר עקב האינפלציה, מאידך. בד בבד, Deltek צופה כי פעולות הממשל לקידום השימוש בטכנולוגיות חדשות ולחידוש תשתיות IT צפויות להימשך במהלך 2023, חרף קשיים תקציביים ומחסור בכישורים הטכנולוגיים הנחוצים.[86]
איומי מתקפות הכופרה
23 בינואר – אוסטרליה הודיעה על השקת כוח המשימה הבין-לאומי למאבק במתקפות כופרה – המרכז לתיאום ענייני סייבר וטכנולוגיות חיוניות הכפוף למשרד הפנים האוסטרלי,[87] הודיע כי השיק את כוח המשימה הבין-לאומי למאבק במתקפות כופרה (ICRTF).[88] הכוח הוקם במסגרת החלטת הפסגה הבין-לאומית השנייה למאבק במתקפות כופרה (CRI),[89] שהתקיימה בנובמבר 2022 בארה"ב בהשתתפות 37 מדינות, בהן ישראל. מטרת כוח המשימה לקדם שיתופי פעולה בין סוכנויות אכיפת חוק בעולם במאבק נגד מתקפות כופרה באמצעות שיתוף מודיעין איומי סייבר, עקרונות עבודה מומלצים (best practices) ומסגרות עבודה משפטיות. בד בבד, ה-ICRTF ישמש מסגרת למדינות ה-CRI לשתף פעולה עם המגזר הפרטי בקבלת מודיעין בנושא איומי סייבר ובנושא המאבק בהם.[90]
איומי סייבר על ענף הבריאות
18 בינואר – המבקר הכללי של מחלקת הבריאות האמריקנית מצא ליקויים ביישום הדרישות הפדראליות לרכש שירותי ומערכות IT עבור ה-FDA – משרד המבקר הכללי של מחלקת הבריאות ושירותי האנוש (HHS OIG)[91] פרסם דו"ח, שבחן את עמידת מִנְהל המזון והתרופות (FDA) בהנחיות לרכש שירותי ומערכות IT כחלק מתקנות הרכש הפדראליות (FAR).[92] לצורך הכנת הדו"ח, סקר משרד המבקר חמישה חוזי רכש בהיקף כולל של כ-24 מיליון דולר, מהשנים 2020-2018. על פי מסקנות הדו"ח, בשלושה מתוך חמשת החוזים, ה-FDA כשל במינוי נציגים רשמיים, שתפקידם לבקר את התנהלות החברות שנבחרו לספק לו שירותים וכן כשל לוודא שפעילות חברות אלו עומדת בדרישות החוזים שנחתמו. כמו כן, מצאו מחברי הדו"ח כי בארבעה מתוך חמישה החוזים, ה-FDA לא תיעד החלטות מרכזיות שנקבעו כחלק מתנאי החוזים, דבר שעלול להקשות על יישומם. בנוסף, ה-FDA לא הגיש דו"חות לשנים הפיסקאליות 2019 ו-2020, המתארים את יישום התקנות הפדראליות לרכש מיטבי של שירותי ומוצרי IT. במסגרת הדו"ח, המליץ משרד המבקר ל-FDA להקפיד לקיים הערכות לגבי כל חברת קבלן ולהעלות את ההערכה למערכת הדיווח שלו. בנוסף, המבקר המליץ ל-FDA לבצע הערכה של נהלים ארגוניים פנימיים קיימים, הנוגעים לתיעוד החלטות רכש, כך שיעמדו בנהלי ה-HHS וה-FDA.[93]
איומי סייבר על ענף התחבורה
16 בינואר – האיגוד הבין-לאומי לתחבורה ציבורית פרסם מסמך הנחיות להטמעת עקרונות אבטחת סייבר במסגרת הליכי רכש של מערכות OT – האיגוד הבין-לאומי לתחבורה ציבורית (UITP)[94] פרסם מסמך שמטרתו לסייע למפעילי תחבורה ציבורית וכן לרשויות תחבורה להטמיע דרישות אבטחת סייבר בהתקשרויות עם ספקים וכחלק מתהליכי רכש של מערכות OT.
מחברי המסמך קראו למפעילי תשתיות תחבורה ציבורית לחדד את ההבחנה בין מאפייני סביבות IT לעומת סביבות OT, לטובת הערכה מדויקת יותר של מצב אבטחת הסייבר שלהם ובמטרה לתת מענה לתקריות סייבר. בד בבד, מחברי המסמך ציינו כי במקרים רבים, דרישות אבטחת הסייבר של מערכות בענף התחבורה אינן ברורות, מצב המוביל לכך שמערכות ומוצרים רבים המוצעים למפעילי תשתיות תחבורה ציבורית אינם עומדים בדרישות אבטחת סייבר. לנוכח זאת, UITP המליץ לארגונים מענף תחבורה ליישם את תקנות TS 50701, שפרסמה הוועדה האירופית לתקינה אלקטרוטכנית ביוני 2021, [95] מאחר והן נחשבות לתקנות המקיפות ביותר להגנה על מערכות של תשתיות רכבות.[96]
איומי סייבר על ענף התעופה
25 בינואר – בית הנבחרים האמריקני אישר הצעת חוק הקוראת להקים כוח משימה ייעודי שיבחן את יישומם של פתרונות הגנה על מערכות מחשוב בענף התעופה – בעקבות תקלת המחשוב של רשות התעופה האמריקנית הפדראלית (FAA)[97] שגרמה לשיבוש של כ-7,000 טיסות בארה"ב, אישרה מליאת בית הנבחרים האמריקני את הצעת החוק הדו-מפלגתית, NOTAM Improvement Act of 2023 שמטרתה לקדם שיפורים במערכת NOTAM,[98] המתריעה בפני טייסים על תקלות מחשוב וסכנות בזמן אמת. הצעת החוק קוראת להקים כוח משימה הכפוף ל-FAA, שיכלול טייסים, בכירים מענף התעופה, בקרי תנועה אווירית, מומחי מחשוב ותעופה, שיבחן פתרונות להגנה על מערכת ה-NOTAM מפני איומי סייבר.[99] הצעת החוק אושרה לאחר שב-12 בינואר, חבר הקונגרס ריצ'י טורס (Ritche Torres), שלח מכתב בו קרא ל-CISA ולמחלקת התחבורה האמריקנית (DOT)[100] לפתוח בהליך משותף לבחינה ואיתור של חולשות פוטנציאליות העלולות להשפיע על מערכות התומכות בתעבורה אווירית, כגון מערכות פיקוח טיסה,[101] ומערכת ה-NOTAM.[102]
איומי סייבר על ענף הימאות
23 בינואר – משמר החופים האמריקני פרסם מדריך לגיבוש תכניות אבטחת סייבר עבור מערכות תחבורה ימיות – משמר החופים האמריקני בשיתוף גורמים מתעשיית הימאות פרסמו את המדריך להערכת אבטחת סייבר ימית (MCAAG),[103] שמטרתו לסייע לבעלי ומפעילי מערכות תחבורה ימיות לנסח עקרונות אבטחת סייבר, לקיים הערכת מצב אבטחת הסייבר ולגבש מענים לאיומי סייבר. על פי המסמך, היכולת להגדיר את איומי הסייבר הרלוונטיים ולהיערך להתמודדות עימם מצטמצמת עקב קשיים בקידום שיתוף פעולה בין האחראי לבטיחות (FSO)[104] לבין צוותי ה-IT ואבטחת הסייבר; קושי בהגדרה מיטבית של חולשות ואמצעי הגנה; וקושי לקבוע את היחס המתאים בין חולשות האבטחה הפיזיות לבין חולשות אבטחת הסייבר שנמצאו. על מנת להתמודד עם אתגרים אלו, משמר החופים המליץ למפעילי המערכות למנות בכיר או קבוצת מומחי אבטחת סייבר, שיוכלו לשתף פעולה עם אחראי הבטיחות במטרה לשלב את נושא אבטחת הסייבר בתכנית האבטחה הכללית של הארגון. בנוסף, משמר החופים ציין כי יש להגדיר את החולשות שנמצאו לפי מסגרת אבטחת הסייבר של NIST.[105] לבסוף, המליץ משמר החופים להתמקד במיפוי חולשות אבטחת סייבר שעשויות להשליך על האבטחה הפיזית והבטיחות.[106]
מחשוב קוונטי
4 בינואר – חוקרים מסין פרסמו מאמר בו טענו כי השתמשו במחשב קוונטי לפענוח הצפנת RSA – קבוצת חוקרים ממספר אוניברסיטאות בסין פרסמה בדצמבר 2022 מאמר, בו טענו כי השיגו התקדמות המאפשרת לפענח הצפנה באמצעות אלגוריתם RSA-2048 Bit להצפנה א-סימטרית על ידי שימוש במחשב קוונטי המשתמש ב-372 סיביות קוונטיות (Qubit). ממצאי המחקר, שפורסם באתר האינטרנט בתחום המדעים המדויקים, arXiv לא תוקפו כחלק מתהליך ביקורת עמיתים ועוררו מחלוקת בקרב הקהילה המדעית, בין השאר מפני שמתודולוגיית המחקר של כותבי המאמר, מבוססת על מחקר שנוי במחלוקת שפורסם בעבר.[107] אמנם, מייסד ונשיא אתר החדשות Inside Quantum Technology, לורנס גאסמן (Lawrence Gasman), טען כי מהימנות ממצאי המחקר אכן מוטלת בספק. עם זאת, לדעתו לא סביר שסין תסתכן בפרסום מחקר בעל ממצאים לא מבוססים, דבר שעלול לפגוע במעמדה במסגרת המאבק להשגת דומיננטיות בתחום המחשוב הקוונטי.[108]
13 בינואר – ממשלת קנדה הציגה אסטרטגיה לאומית חדשה לקידום המחקר והשימוש במחשוב קוונטי – השר לענייני חדשנות, מדע ותעשייה בממשלת קנדה, פרנסואה-פיליפ שמפיין (François-Philippe Champagne), הודיע על השקת האסטרטגיה הלאומית של קנדה בתחום המחשוב הקוונטי. מטרת האסטרטגיה היא לקדם את השימוש בחומרה ובתוכנות המבוססות על מחשוב קוונטי לטובת התעשייה המקומית, וכן פרויקטים ויוזמות בתחום כגון פריסת רשת תקשורת קוונטית מאובטחת ומעבר לשימוש בהצפנה פוסט-קוונטית. כמו כן, שמה לה ממשלת קנדה למטרה לתמוך בתעשייה המקומית ולקדם אימוץ מוקדם של טכנולוגיות חישה (Sensing technologies) המבוססות על מחשוב קוונטי. על מנת ליישם את האסטרטגיה, הממשלה הקצתה 360 מיליון דולר קנדי (כ-271 מיליון דולר) לתקופה של שבע שנים החל משנת 2021, שיוקדשו: (1) לתמיכה במחקר בסיסי ובמדע שימושי לגיבוש פתרונות חדשים בתחום; (2) לגיוס ושימור כוח אדם המיומן בתחום המחשוב הקוונטי; (3) לתרגום הממצאים המחקריים לטובת מוצרים ושירותים, שעשויים להועיל לקנדה ולעולם.[109]
בנוסף, ב-23 בינואר, הודיע ראש ממשלת קנדה, ג'סטין טרודו (Justin Trudeau), על הקצאת 40 מיליון דולר קנדי (כ-30 מיליון דולר) לחברת המחשוב הקוונטי הקנדית Xanadu Quantum Technologies, עבור פיתוח המחשב הראשון בעולם המבוסס על חלקיקי אור (photonic-based).[110] לדברי טרודו, המחשב החדש יוכל לסייע בפתרון בעיות מידע מורכבות במגזרים רבים, כגון מגזר הפיננסים, התחבורה והבריאות.[111]
23 בינואר – ממשלת אוסטרליה פרסמה בקשה לקבלת הצעות למחקרים המתמקדים בפיתוח יכולות תקשורת קוונטית מתקדמת לצורכי ביטחון – הקבוצה לענייני מדע וטכנולוגיה בתחום ביטחון (DSTG)[112] הכפופה למשרד ההגנה של אוסטרליה, פרסמה מכרז למימון ולתמיכה ממשלתית בפרויקטים שיוצעו על ידי המגזר הפרטי, האקדמיה וגורמים במימון ממשלתי, שיתמקדו בחקר יכולות תקשורת קוונטית (QEC).[113] מטרת היוזמה לקדם את הפיתוח של מספר מערכות וטכנולוגיות QEC, בהן תקשורת קוונטית מאובטחת ותקשורת קוונטית מסוג Free-space.[114] ההצעות שייבחרו צפויות לזכות במימון שינוע בין 500,000 ל-800,000 דולר אוסטרלי (351,000-561,000 דולר) מטעם הקרן לטכנולוגיות מתקדמות בהגנה (NGTF),[115] המתמקדת בחקר טכנולוגיות חדשניות לצורכי ביטחון.[116]
31 בינואר – דארפ"א הודיעה על בחירה בשלוש חברות טכנולוגיה אמריקניות במסגרת תכנית לבניית מחשב קוונטי מתקדם – דארפ"א הודיעה כי בחרה במיקרוסופט ובחברות המחשוב הקוונטי האמריקניות Atom Computing ו-PsiQuantum כמועמדות להשתתפות בתכנית US2QC,[117] שמטרתה לבחון יישום של גישות חדשות לצורך בניית מחשב קוונטי ראשון שערכו החישובי עולה על הוצאות התפעול שלו (Utility scale).[118] במסגרת השלב הראשון של התכנית, שהושקה ב-2022 וצפויה להימשך חמש שנים, כל אחת מהחברות שנבחרו יציגו הצעה עקרונית לבניית אב-טיפוס של המחשב.
לאחר מכן, צוות מומחים בראשות נציגים מדארפ"א וכן נציגים ממעבדות ממשלתיות ומרכזי מחקר ופיתוח במימון פדראלי יעריכו את ההצעות שיוצגו במטרה לקבוע אם ניתן להתקדם על בסיסן בבניית המחשב. דארפ"א לא פרסמה מידע נוסף בנושא השלבים הבאים של תכנית US2QC.[119]
רשתות דור G5 ו-G6
20 בינואר – בכוונת הנציבות האירופית לפרסם חוק לקידום פריסת תשתיות רשתות 5G ביבשת – בכוונת הנציבות האירופית להציע בפברואר 2023 את חוק ה-Gigabit Infrastructure Act, שמטרתו להאיץ את פריסתן של תשתיות 5G ברחבי מדינות האיחוד האירופי. החקיקה צפויה להחליף את דירקטיבת ה-BCRD משנת 2014,[120] שמטרתה הייתה לקדם פריסת תשתיות תקשורת מתקדמות ביבשת. דירקטיבת ה-BCRD חייבה ספקיות תקשורת לספק למפעילים נוספים גישה לתשתיות תקשורת פיזיות, אולם יישומה נתקל בקשיים מצד המדינות החברות. על פי טיוטת החקיקה החדשה, ההגדרה של מפעיל רשת הזכאי לקבל גישה לתשתיות פיזיות הורחבה, כך שתכלול גם ספקי תשתיות אלחוטיות פיזיות. בנוסף, החקיקה החדשה תאפשר לספקיות תקשורת לפרוס את הרשתות גם בנכסים בבעלות המגזר הציבורי, למעט תשתיות הממלאות תפקיד בשמירה על ביטחון, בריאות הציבור, או תשתיות בעלות ערך היסטורי. בד בבד, החוק מצמצם את עלויות ההקמה של תשתיות חדשות, על סמך החלטה כי סכום העמלות שחברות יידרשו לשלם לממשלות מדינות האיחוד למטרת הפעלת תשתיות חדשות לא יחרוג מהיקף העלויות התפעוליות שלהן. הצעת החוק היא חלק ממהלך כולל שהנציבות האירופית מקדמת, שמטרתו להרחיב את השימוש בטכנולוגיות ובתשתיות תקשורת מתקדמות בקרב מרבית האזרחים והמדינות החֲבָרוֹת באיחוד, עד לשנת 2030.[121]
מטבעות דיגיטליים
4 בינואר – הסוכנות הבריטית הלאומית למאבק בפשיעה מאורגנת הקימה צוות מומחים שיסייע בסיכול הונאות סייבר בתחום המטבעות והנכסים הדיגיטליים – על רקע העלייה בהונאות בתחום המטבעות הדיגיטליים במדינה בשנה האחרונה, הודיעה הסוכנות הבריטית הלאומית למאבק בפשיעה מאורגנת (NCA)[122] על הקמת צוות מומחים בתחום המטבעות והנכסים הדיגיטליים כחלק מהיחידה הלאומית הבריטית למאבק בפשעי סייבר (NCCU).[123] הצוות עתיד לחקור באופן פרו-אקטיבי פשיעה בתחום המטבעות הדיגיטליים כנגד מטרות בריטיות, וכן יספק ייעוץ אסטרטגי וטקטי לחוקרים המטפלים בתקריות פשיעה קיימות וחדשות בתחום המטבעות הדיגיטליים.[124]
12 בינואר – מכון המחקר האמריקני RAND פרסם מחקר המציג המלצות לשיפור התמודדותה של מערכת אכיפת החוק בארה"ב עם פעילות עבריינית בתחום המטבעות הדיגיטליים וה-Blockchain – מכון המחקר האמריקני RAND פרסם מאמר המסכם תוצרים של סדנה שנערכה באוגוסט 2021, ושהתקיימה בשיתוף RAND, פורום המחקר של בכירי המשטרה (PERF),[125] המוסד הלאומי למשפטים (NIJ),[126] גורמי אקדמיה ומומחים נוספים, שהתמקדה באתגרי האכיפה של פעילות עבריינית בתחום המטבעות הדיגיטליים וה-Blockchain. על פי המאמר, פתרונות הקיימים בשוק הפרטי למעקב אחר תנועות מטבעות דיגיטליים אינם זמינים עבור סוכנויות אכיפת חוק בשל עלויותיהם הפיננסיות הגבוהות. בנוסף, ישנו מחסור במומחים בתחום וכן בתכניות הכשרה עבור גורמי אכיפת החוק. מחברי המאמר הציגו עשר המלצות בתחומי המדיניות והנהלים, ההכשרה, הערכת הצרכים ואמצעי חקירה, וכן קראו החוקרים לקטלג ולפרסם את תוכניות ההכשרה הקיימות, לרבות אלו שאינן מותאמות עבור מערכת המשפט והחוק. בד בבד, המליצו המחברים לארגונים במגזר הציבורי והפרטי לשתף פעולה בפיתוח אמצעים למעקב אחר מטבעות דיגיטליים, בעלות כספית מידתית, ועוד.[127]
השפעה, דעת קהל והסתה
5 בינואר – מכון המחקר האמריקני Brookings פרסם מחקר העוסק בהתמודדות עם השימוש בקטעי Deepfake במסגרת עימותים צבאיים – על פי מחקר שפרסם מכון המחקר האמריקני Brookings, מדינות ושחקנים לא-מדינתיים מרחבי העולם עלולים להשתמש בקטעי מדיה מזויפים מסוג Deepfake במהלך עימותים צבאיים על מנת לייצר לגיטימציה להתקוממויות ולפעולות צבאיות, להוביל לבלבול וחוסר וודאות בקרב חיילים ואזרחים, לפגוע באמינותם של מנהיגים במדינות אויב ועוד. לטענת מחברי המחקר, קיימת אפשרות לפתח אלגוריתמים לזיהוי קטעי מדיה מזויפים, אולם, שיטת פעולה זו עשויה שלא להיות יעילה לאורך זמן, שכן היא מורכבת מדי לביצוע מבחינה חישובית, ולכן לא יהיה ניתן להשתמש בה במהירות כנגד המידע הכוזב המתפרסם. לנוכח זאת, החוקרים המליצו להנחיל אוריינות דיגיטלית בקרב הציבור הרחב ולפתח מערכות המסוגלות לאתר את מקורם של חומרים כוזבים. בנוסף, המחברים הציעו לייסד אמנה או קוד התנהגות בין-לאומיים, שיגדירו את אופני השימוש המותרים לממשלות בקטעי מדיה אלו.[128]
5 בינואר – התפרסמו שני מחקרים האומדים את השפעת המעורבות הרוסית בבחירות לנשיאות ארה"ב בשנת 2016 – על פי מחקר שפרסמו חוקרים מאירופה ומארה"ב בכתב העת Nature Communications, המעורבות הרוסית בבחירות לנשיאות ארה"ב בשנת 2016 לא השפיעה על תוצאותיהן. במסגרת המחקר, החוקרים הציגו בפני כ-1,500 אזרחים אמריקניים שאלונים בנושא עמדותיהם הפוליטיות וכן קיבלו גישה לחשבונות הטוויטר שלהם, על מנת לבדוק את מידת חשיפתם לפרסומים בעלי אופי פוליטי, בתקופת הבחירות ב-2016. על פי הממצאים, 70% מציוצים שפרסמו גורמים רוסיים בטוויטר נחשפו ל-1% מכלל משתמשי הרשת החברתית, רובם תומכים מובהקים של המועמד לנשיאות, דונלד טראמפ. במסגרת זאת, החוקרים לא מצאו עדויות לקשר בין דפוסי ההצבעה של הבוחרים בבחירות, לבין היחשפותם לקמפיין ההשפעה הרוסי.[129]
על פי מחקר נוסף שפרסמו חוקרים מאוסטרליה, מעורבות זרה בבחירות עלולה לפגוע בתדמיתה של ארה"ב בקרב אזרחי מדינות בעלות בריתה. במסגרת המחקר, החוקרים הציגו בפני שתי קבוצות של כ-2,000 אזרחים יפנים קטעי מידע על המעורבות הרוסית בבחירות לנשיאות ארה"ב בשנת 2016.
החוקרים הציגו בפני הקבוצה הראשונה מידע לפיו התערבות זו פגעה בדמוקרטיה האמריקנית, בעוד שבפני הקבוצה השנייה החוקרים הציגו מידע כי התערבות זו לא גררה פגיעה בה. לאחר מכן, החוקרים הציגו בפני המשתתפים שאלות, ומתשובותיהם עלה כי המעורבות הרוסית ערערה את מידת האמון של המשתתפים במחקר בנוגע ליכולתה של ארה"ב להגן על יפן מפני איומים ביטחוניים שונים.[130]
שיתופי פעולה
5 בינואר – 12 גופים בין-לאומיים הקימו קונסורציום שמטרתו לחקור שימוש בטכנולוגיית בינה מלאכותית ונתוני עָתֵק בתחום אבטחת הסייבר – החברה הספרדית העוסקת במתן שירותים פיננסיים רב-לאומיים, CaixaBank, ו-11 גופים אירופאיים נוספים ממגזרי הממשל, הבריאות, המחקר והתשתיות החיוניות, הקימו קונסורציום מחקרי המכונה בשם AI4CYBER. מטרת הקונסורציום הינה לבחון שימוש בפתרונות אבטחה מבוססי טכנולוגיית בינה מלאכותית ונתוני עָתֵק אשר יסייעו למפתחי ומפעילי מערכות לשפר את ההגנה וחסינות הסייבר ואת ויכולת התגובה כנגד איומים מתוחכמים במרחב הסייבר. בנוסף, הקונסורציום שיפעל כחלק מתכנית המחקר של האיחוד האירופי, Horizon Europe, יתמקד בתכנון שירותי סייבר חדשים מבוססי בינה מלאכותית שמטרתם לסייע להבין, לזהות ולנתח תקיפות סייבר, ולחזק את חסינות הסייבר של תשתיות חיוניות. חוקרים הנמנים על AI4CYBER יבחנו את היתרונות של הפתרונות החדשים שיפותחו במסגרת מערכת הבנק של CaixaBank, וכן במטרה לשפר מודלים לזיהוי אנומליות ברשת.[131]
6 בינואר – ארה"ב ויפן חתמו על מִזְכָּר לשיתוף פעולה בתחום אבטחת הסייבר – המחלקה האמריקנית לביטחון המולדת ומשרד הכלכלה, המסחר והתעשייה (METI)[132] של יפן חתמו על מִזְכָּר לשיתוף פעולה בתחום אבטחת הסייבר. על פי המִזְכָּר, שתי המדינות ישתפו פעולה בתחום המבצעי, יפעלו לשפר את מידת האבטחה בקרב מערכות בקרה תעשייתיות ואת יכולות אבטחת הסייבר של בעלות ברית באזור הודו והאוקיאנוס השקט. בנוסף, המדינות יקדמו הטמעה של תקני אבטחה ובטיחות עבור תוכנות שנרכשו על ידי גורמי ממשל, במטרה לשפר את ההגנה על תשתיות חיוניות ולהפחית סיכוני סייבר ודליפת מידע סודי.[133]
International Counter Ransomware Taskforce ↑
International Association of Public Transport ↑
Federal Aviation Administration ↑
Special Envoy for Critical and Emerging Technology ↑
Federal Communications Commission ↑
Department of the Interior Office of Inspector General ↑
https://bit.ly/3X2IP2a ; קישור לדו"ח: https://bit.ly/3k44o3M ↑
National Archives and Records Administration ↑
General Records Schedule ↑
Packet Capture ↑
https://bit.ly/3iI0IEA ; קישור למסמך העדכון: https://bit.ly/3Xpls2X ↑
Privacy and Civil Liberties Oversight Board ; סוכנות ממשלתית עצמאית בארה"ב, המייעצת לנשיא ולבכירי ממשל נוספים בנוגע לשמירה על חירויות הפרט, בעת יישום אמצעי מדיניות וחקיקה חדשים. ↑
הסעיף מהווה חלק מרכזי בחוק ה-Foreign Intelligence Surveillance Act of 1978 Amendments Act of 2008, המסדיר את פעילות הריגול של ארה"ב נגד המטרות הממוקמות מחוץ לשטחה. על פי סעיף זה, ניתן לאסוף מידע על אזרחים זרים הממוקמים מחוץ לגבולות ארה"ב על מנת להגן עליה, או על בעלות בריתה, מפני פעילות עוינת של גורם זר. ↑
Electronic Privacy Information Center ↑
National Oceanic and Atmospheric Administration ↑
The NOAA Cyber Security Center ↑
Enterprise Security Operations Center ↑
Security Orchestration Automation and Response ↑
https://bit.ly/3w3n4DA ; קישור להודעה המלאה: https://bit.ly/407LoSH ↑
Homeland Security Systems Engineering and Development Institute; גוף המיועד להעניק למחלקה ידע ושירותים בהנדסת מערכות, המופעל על ידי תאגיד MITRE. ↑
MITRE Adversarial Tactics, Techniques, and Common Knowledge. המאגר נוסד על ידי MITRE ב-2013 והוא מכיל מידע על איומי סייבר, טכניקות ושיטות תקיפה. מטרתו לסייע לארגונים להבין את מהות האיום ולהגן טוב יותר על תשתיותיהם הדיגיטליות. הגִּרְסָה הראשונה של מסמך העקרונות המנחים פורסמה ביוני 2021. להרחבה על המאגר, ראו: http://bit.ly/3RoYGpQ ↑
https://bit.ly/3Hn9u4j ; קישור למסמך: https://bit.ly/3XQDwD6 ↑
תהליך המאפשר יצירת מעבר של פרוטוקול מסוים בתוך פרוטוקול אחר. ↑
Stateless Address Auto-Configuration; טכניקה המאפשרת למארחי מקטעי רשת לבצע קונפיגורציה אוטומטית של כתובות IPv6 ייחודיות עבור כל צומת (node). כתובות אלו מאפשרות לכל צומת ליצור קשר מחוץ לרשת המקומית. ↑
https://bit.ly/3WNNjsJ ; קישור למסמך: https://bit.ly/3j0z0TD ↑
2018 National Cyber Security Strategy; NSC’s 2019 Implementation Plan. שלושת המאפיינים שיושמו באופן מלא הם: הגדרת מטרות, טווח ומתודולוגיה; הגדרת תחומי סמכויות ותיאום בניהם; אינטגרציה ויישום. שלושת המאפיינים הנוספים והחסרים הם: הגדרת בעיות והערכת סיכונים; הגדרות מטרות מִשְׁנֶה וצעדי ביצוע; ניהול משאבים וסיכונים. ↑
https://bit.ly/3WGJAx2 קישור לדו"ח: https://bit.ly/3Wzu4CI ↑
General Services Administration ↑
National Digital Reserve Corps ↑
Zero Trust Functional Management Office ↑
U.S. Army Cyber Command. ↑
Network Enterprise Technology Command; NETCOM כפוף ל-ARCYBER ואחראי לתפעול ולהגנה על רשתות צבא היבשה. ↑
United States Army Forces Command; הפיקוד אחראי על ההכנה והכשירות של כוחות צבא ארה"ב המוצבים בפיקודים הקרביים המאוחדים. ↑
Department of Defense’s Zero Trust Portfolio Management Office ↑
Joint Warfighting Cloud Capability ↑
Department of Defense Office of Inspector General ↑
Defense Secure Unclassified Network. על פי הדו"ח, הרשת מאפשרת למחלקת ההגנה, לסוכנויות ממשלתיות ולשותפיהן לשתף ולנתח מידע בזמן אמת. ↑
Irregular Warfare Technical Support Directorate; יחידה ממשלתית האחראית לפתח עבור מחלקת ההגנה וגופים בין-משרדיים יכולות התמודדות נגד פעולות לוחמה, שמטרתן לפגוע באוכלוסיית ארה"ב ולערער את הלגיטימציה שלה. ↑
https://bit.ly/3Da3VDR ; קישור לדו"ח: https://bit.ly/3ZWgNXZ ↑
Marine Corps Information Command ↑
Marine Corps Information Operations Center ↑
Marine Cryptologic Support Battalion ↑
תכנית לרפורמה בכוחות חיל הנחתים שהושקה במרץ 2020 על ידי הפיקוד. ↑
https://bit.ly/3HqmA0P ; קישור לדו"ח: https://bit.ly/3XEsPUn ↑
NATO's Cooperative Cyber Defense Centre of Excellence ↑
Ukraine's National Security and Defense Council ↑
Ukraine's State Service of Special Communication and Information Protection ↑
https://bit.ly/3FkKIiW ; קישור להודעת הבלוג: https://bit.ly/3W6gXZX ↑
World Economic Forum ↑
https://bit.ly/3wrTx6w ; קישור לדו"ח: https://bit.ly/3iYBqlB ↑
http://bit.ly/3HxZDZu ; הקישור למסמך המלא: https://bit.ly/3Hy0j17 ↑
Autonomous Intelligence Cyberdefense Agent; התוכנה עושה שימוש בבינה מלאכותית על מנת לאסוף מידע על הסביבה בה היא נמצאת ומציגה למשתמשיה הצעות לפעולות מומלצות. ↑
US Department of Energy’s Argonne National Laboratory, המעבדה כפופה למחלקת האנרגיה האמריקנית. ↑
Real-time locating systems ↑
Cross Site Scripting; מתקפות בהן ההאקר מנצל חולשות אבטחה בדפדפני אינטרנט של משתמשי מערכת אחרים כדי לתקוף אותם. ↑
https://bit.ly/3GS32kg ; קישור לאזהרות: https://bit.ly/3Xz3kmM ↑
end point detection; https://bit.ly/3HrKTeD ; קישור לדו"ח:https://bit.ly/3XEsPUn ↑
Federal Electricity Regulatory Commission ↑
North American Electric Reliability Corporation; גוף רגולטיבי הפועל ללא כוונת רווח, האחראי לאמינות ובטיחות ולאכיפת תקנים בענף החשמל בארה"ב ובקנדה. ↑
Reliability Standards; תקנים המגדירים את הדרישות הנוגעות לתפקודן של מערכות חשמל מבוזרות. ↑
Bulk Electricity Systems; מערכת חשמל מקושרת גדולה, המורכבת ממתקנים לייצור והולכת חשמל ומערכות הבקרה שלהם. מערכות אלו פועלות בדרך כלל בהיקף של 100 קילו-וואט או יותר. ↑
North American Electric Reliability Corporation Critical Infrastructure Protection ↑
גישה באבטחת סייבר המבוססת על הצבת אמצעי בהיקף המערכת ולא בתוכה. במסגרת שיטה זו נעשה שימוש, למשל, בחומות אש ובמערכות לבידוד דפדפנים (browser isolation systems). ↑
https://bit.ly/3WOFx1y ; קישור למסמך: https://bit.ly/3HKCjb0 ↑
National Renewable Energy Laboratory ↑
Clean Energy Cybersecurity Accelerator ↑
הגשת הצעות עבור הקבוצה הראשונה נפתחה בדצמבר 2022. ↑
Cybersecurity Maturity Model Certification; מחלקת ההגנה השיקה את המודל בנובמבר 2021 והוא מהווה עדכון למודל ה-CMMC, שפורסם ביוני 2019 ושמציג תקני אבטחת סייבר עבור חברות ייצור ביטחוני וחברות נוספות, המספקות שירותים ומוצרים למחלקה. בהשוואה למודל הראשון, המודל העדכני מספק הבהרות נוספות בנוגע לדרישות אבטחת סייבר וכולל הקלה מסוימת ביישומן. כך למשל, CMMC 2.0 מגדיר כי פחות חברות יידרשו לעבור בדיקות הערכה מצד גורמים שלישיים. ↑
https://bit.ly/3jcsgC6 ; קישור למאמר: http://bit.ly/40hnfsB ↑
Department of Home Affairs' Cyber and Critical Technology Coordination Centre ↑
International Counter Ransomware Taskforce ↑
Counter Ransomware Initiative ↑
Department of Health and Human Services Office of Inspector General ↑
Federal Acquisition Regulation ↑
https://bit.ly/3kBd9mf ; https://bit.ly/3GZW1xV ; קישור לדו"ח: https://bit.ly/3Xz3j2O ↑
International Association of Public Transport ↑
European Committee for Electrotechnical Standardization; הוועדה אחראית על התקינה האירופית בתחום הנדסת החשמל. ↑
https://bit.ly/3XKb6uQ ; https://bit.ly/3HGHbhl ; גישה לתקציר המסמך: https://bit.ly/3JuRaI9 ↑
Federal Aviation Administration ↑
Notice to Air Missions ↑
Department of Transportation ↑
Air Traffic Control ↑
Maritime Cybersecurity Assessment & Annex Guide ↑
Facility Safety Officer ↑
NIST Cybersecurity Framework ↑
https://bit.ly/3JmG0oA ; קישור למסמך: https://bit.ly/3RkyBby ↑
מחקרו של מתמטיקאי גרמני בשם פיטר שנור (Peter Schnorr), המתבסס על שימוש במחשב קוונטי המייצר עשרה Qubits. https://bit.ly/3XhPYLw קישור למאמר: https://bit.ly/3GB3dR1 ↑
https://bit.ly/3iNPr5v ; https://bit.ly/3WgDrr5 ; קישור לאסטרטגיה: https://bit.ly/3wbKXZq ↑
במחשוב קוונטי מבוסס פוטונים, הפוטונים משמשים לייצוג Qubits. ↑
Defence Science and Technology Group ↑
Quantum-Enhanced Communications; תקשורת קוונטית מבוססת על שידור פוטונים להעברת Qubits באמצעות סיבים אופטיים. הודות לתופעת השזירה הקוונטית (Quantum Entanglement), כל ניסיון ליירט את המידע יוביל לשינוי במצב ה-Qubits ויתגלה. ↑
Quantum-secured communication; השימוש בתקשורת מסוג Free-space מאפשר להעביר נתונים במרחקים גדולים יותר מאלו הניתנים בתקשורת המבוססת על סיבים אופטיים. ↑
Defence's Next Generation Technologies Fund ↑
Underexplored Systems for Utility-Scale Quantum Computing ↑
על פי דארפ"א, מדובר במחשב קוונטי שערכו החישובי עולה על ההוצאות הכרוכות בהפעלתו. להערכת מדענים מסוימים, הדרך ליצור מחשב מסוג זה, תארך עוד זמן רב. ↑
Broadband Cost Reduction Directive ↑
National Crime Agency ↑
National Cyber Crime Unit ↑
Police Executive Research Forum; ארגון לאומי בארה"ב המאגד מנהלים ביחידות משטרה עירוניות ומדינתיות גדולות ברחבי המדינה. ↑
National Institute of Justice; סוכנות המחקר, הפיתוח וההערכה של מחלקת המשפטים. ↑
https://wapo.st/3QyrGer ; קישור למחקר: https://go.nature.com/3Gv99uN ↑
https://bit.ly/3Zu9cQg ; קישור למחקר: https://bit.ly/3GTaEV1 ↑
Ministry of Economy, Trade and Industry. ↑