חזרה לרשימת הפרסומים

דו"ח מדיניות וביטחון סייבר

גודל טקסט18

פברואר 2023

דו"ח מדיניות וביטחון סייבר

תוכן עניינים

תקציר חודשי 2

ארה"ב 3

ממשל, אסטרטגיה ומדיניות 3

צבא וביטחון 5

אירופה 6

סיכום זירת הסייבר על רקע הפלישה הרוסית לאוקראינה 6

ביטחון סייבר 9

איומי סייבר על תשתיות חיוניות 11

איומי סייבר על ענף האנרגיה 13

איומי סייבר על שרשראות האספקה 14

איומי מתקפות הכופרה 15

איומי סייבר על ענף הפיננסים 15

איומי סייבר על מערכות חלל 17

איומי סייבר על ענף הבריאות 18

איומי סייבר על ענף התחבורה 19

איומי סייבר על ענף התעופה 20

מחשוב קוונטי 21

בינה מלאכותית 22

השפעה, דעת קהל והסתה 22

שיתופי פעולה 24

תקציר חודשי

הממשל האמריקני פרסם את הנוסח הסופי של אסטרטגיית אבטחת הסייבר הלאומית של ארה"ב, שתחייב חברות אמריקניות, תעשיות וארגונים מענף התשתיות החיוניות, לעמוד בכללי אבטחת סייבר מוגדרים. בנוסף, הממשל המשיך במאמציו לשמר את הדומיננטיות האמריקנית בחלק מתחומי הטכנולוגיות החדשות, באמצעות הקמת כוח משימה חדש שיובל על ידי מחלקות המשפטים והמסחר. כוח המשימה יפעל למנוע מיריביה של ארה"ב לנצל טכנולוגיות אמריקניות מתקדמות לשימוש כפול, כגון בינה מלאכותית ומחשוב קוונטי, לצרכים צבאיים ומודיעיניים, באמצעות איסוף מודיעין על ניסיונות להשגת טכנולוגיות מתקדמות ואכיפת הגבלות ממשלתיות על הייצוא שלהן. בנוסף, הבית הלבן פרסם תזכיר המורה לכלל הסוכנויות הפדראליות להסיר ממכשירים בבעלות ממשלתית את אפליקציית הרשת החברתית הסינית, TikTok; מחלקת ההגנה הודיעה על השלמת בניית אב-טיפוס של ארכיטקטורת רשת המבוססת על עקרונות אפס האמון (Zero Trust), שצפויה להיטמע בקרב זרועות צבא ארה"ב. בנוסף, המחלקה פרסמה תכנית שמטרתה לשפר את הגיוס, ההכשרה וניהול כוח האדם המיומן במקצועות הסייבר במחלקה.

בלגיה הפכה למדינה הראשונה באיחוד האירופי שמאשרת חוק המתיר להאקרים White Hats לאתר חולשות אבטחה בקרב רשתות, מערכות ואפליקציות השייכות לארגונים מקומיים מהמגזר הציבורי והפרטי, מבלי לקבל על כך אישור מוקדם, לצורך שיפור המאבק בפשיעת סייבר; משרד הפנים של אוסטרליה השיק תכנית שמחייבת ארגונים מ-13 מענפי התשתיות החיוניות והשירותים החיוניים במדינה, בהם מגזרי המים, החשמל והמזון לאמץ תכנית לניהול סיכוני סייבר ולדווח אחת לשנה על עמידה בהנחיותיה; גופי חקיקה וממשל אמריקניים קידמו דרישות חובת דיווח במסגרתן גופים העוסקים בייצור והפצה של אנרגיה יחויבו לדווח למחלקת האנרגיה האמריקנית על אירועי סייבר, בטווח זמן של עד 24 שעות מרגע גילויים, בעוד המִינְהָל האמריקני הלאומי לאיגודי אשראי (NCUA)[1] הפועל בתור סוכנות ממשל פדראלית, פרסם הנחיה חדשה שמנחה איגודי אשראי לדווח לו על אירועי סייבר, בפרק זמן של 72 שעות לכל היותר מרגע גילויים; המרכז הלאומי לאבטחת סייבר של בריטניה (NCSC) פרסם סדרת המלצות, שמטרתה לסייע לעסקים בינוניים וגדולים למפות את הספקים בשרשראות האספקה שלהם, במטרה לחזות סיכוני סייבר אפשריים.

מליאת הפרלמנט האירופי אישרה הקמה של מערך לוויינים אירופי ראשון מסוגו, שיספק תקשורת מאובטחת בהצפנה קוונטית עבור גופי ממשל, צבא וביון אירופיים, בעלות של כ-3.15 מיליארד אירו (כ-3.376 מיליארד דולר); יצרנית מכשירי הטלפון וציוד החומרה הקנדית, Blackberry פרסמה דו"ח ולפי ממצאיו התקפות סייבר שיהיו מיוחסות לצ'טבוט מבוסס טכנולוגיית הבינה המלאכותית, ChatGPT יתרחשו בסבירות גבוהה בטווח הזמן של השנתיים הקרובות.

החודש צוינה שנה לפלישה הרוסית לאוקראינה, ובמסגרת זאת התפרסמו מספר דו"חות ומחקרים שסקרו היבטים ומגמות בלוחמת הסייבר שנצפתה במהלך חודשי המלחמה. לצד אזהרות שפרסמו מדינות וחברת אבטחת סייבר על פעולותיה הצפויות של רוסיה במרחב הסייבר בתקופה הקרובה, בעלות בריתה של אוקראינה ובראשן ארה"ב, הודיעו כי יקצו עשרות מיליוני דולרים במטרה לשפר את חסינות הסייבר של אוקראינה עד לשנת 2025.

ארה"ב

ממשל, אסטרטגיה ומדיניות

החודש עמד בסימן התקדמות של משרד ראש הסייבר הלאומי (ONCD) לקראת פרסום מסמך אסטרטגיית אבטחת הסייבר הלאומית של ארה"ב, שראה אור ב-2 במרץ. האסטרטגיה כוללת רגולציה מקיפה שתחייב חברות אמריקניות גדולות, בהן חברות פרטיות וכן ארגונים מענף התשתיות החיוניות, לעמוד בכללי אבטחת סייבר, לייצר מוצרים מאובטחים, לדווח לסוכנות לאבטחת סייבר ותשתיות ((CISA על תקריות אבטחה ועוד. האסטרטגיה צפויה להוביל לשינוי מהמדיניות הקוראת לעמידה וולונטרית בדרישות האבטחה שהיוותה נר לרגלם של מקבלי ההחלטות בארה"ב בשנים האחרונות. בנוסף, האסטרטגיה החדשה תתיר לסוכנויות אכיפת החוק והמודיעין במדינה לחדור לרשתות של גורמים זדוניים לרבות אלו הפועלים מחוץ לשטחה של ארה"ב, במטרה לסכל תקיפות סייבר על מטרות אמריקניות מבעוד מועד ולבצע פעולות תגמול.[2] לצד זאת, נרשמו מספר יוזמות שקידם הממשל בתחומי המחקר והטכנולוגיה וניסוח התקינה.

שימור הדומיננטיות האמריקנית בחלק מתחומי המחקר והטכנולוגיות החדשות. ב-6 בפברואר, פרסמו משרד התיאום הלאומי של תכנית המחקר והפיתוח של רשתות וטכנולוגיות מידע (NITRD NCO)[3] והקרן הלאומית למדע (NSF)[4] בקשה לקבלת מידע מהציבור, במטרה לעדכן את התכנית האסטרטגית למחקר ופיתוח בתחום אבטחת הסייבר, שעודכנה לאחרונה בדצמבר 2019.[5] התכנית העדכנית תשמש בסיס לקידום מיזמי מחקר ופיתוח בתחומי אבטחת הסייבר, לרבות קידום חינוך סייבר וטיפוח כוח אדם מיומן. במסגרת הבקשה, ציינו ה-NITRD וה-NSF שבעה תחומי עניין עיקריים, בהם עדכון סדר העדיפויות של תחומי המחקר, קבלת מידע על תכניות מחקר ופיתוח הנערכות בארה"ב ומחוץ לה שיש לבחון במטרה לעדכן את התכנית החדשה, ועוד.[6]

בהמשך לתקרית בלון הריגול הסיני שהתגלה בשמי ארה"ב,[7] הודיעה סגנית התובע הכללי, ליסה מונקו (Lisa Monaco), על הקמת כוח משימה,[8] בראשות מחלקות המשפטים והמסחר ובהשתתפות ה-FBI ומחלקת החקירות של המחלקה לביטחון המולדת (HSI),[9] שמטרתו למנוע מיריבותיה של ארה"ב להשיג טכנולוגיות אמריקניות מתקדמות לשימוש כפול, כגון בינה מלאכותית ומחשוב קוונטי, לצרכים צבאיים ומודיעיניים. זאת, באמצעות איסוף מודיעין על ניסיונות להשגת טכנולוגיות מתקדמות לשימוש כפול ואכיפת הגבלות ממשלתיות על הייצוא שלהן. כחלק מכך, כוח המשימה יפעל לחזק את שיתופי הפעולה עם המגזר הפרטי והציבורי, במטרה להתריע מראש על איומים על נכסים חיוניים, כגון תעשיית המוליכים למחצה. בנוסף, כוח המשימה ישתף פעולה עם סוכנויות אכיפת החוק ממדינות זרות בתכנון אסטרטגיות פעולה וקידום פעולות אכיפה וחקירה כדי לחזק את הבקרה על העברת טכנולוגיה מתקדמת לגורמים עוינים.[10]

כמו כן, ב-27 בפברואר פרסם המשרד לניהול ולתקציב (OMB),[11] תזכיר המורה לכלל סוכנויות הממשל הפדראלי להסיר בתוך 30 יום את אפליקציית הרשת החברתית הסינית, TikTok ממכשירים בבעלות ממשלתית. בנוסף, קרא התזכיר לסוכנויות הממשל לשלב בחוזים סעיפים האוסרים את השימוש בפלטפורמה באמצעות מכשירים ממשלתיים וכן לבטל חוזים המחייבים את השימוש בה, למעט מקרים חריגים ולא יאוחר מ-90 יום.[12] בעקבות זאת, קנדה והאיחוד האירופי הצטרפו לאיסור והודיעו על הסרת הפלטפורמה ממכשירים הנמצאים בבעלות ממשלתית, מתוך שיקולי אבטחה.[13]

גיבוש תקינה חדשה. ב-10 בפברואר, הודיע המכון הלאומי לתקנים וטכנולוגיה (NIST) כי בכוונתו להשתמש בקבוצת האלגוריתמים המכונה Ascon, על מנת לנסח תקנים להגנה על נתונים של מכשירי IoT על בסיס הצפנה קלת מִשְׁקָל (Lightweight cryptography),[14] אשר צפויים להתפרסם במהלך שנת 2023. בחירת האלגוריתמים נעשתה כחלק מפרויקט לקידום הצפנה קלת מִשְׁקָל, שהחל בשנת 2018 ובמסגרתו נבחנו 57 אלגוריתמים.

באופן ספציפי, NIST יעשה שימוש ב-Ascon על מנת לקדם שתיים מהמשימות המרכזיות של הצפנה קלת מִשְׁקָל: הצפנה מאומתת עם מידע נלווה (AEAD)[15] וגיבוב (Hashing).[16] בנוסף, ב-23 בפברואר, הודיע NIST על כוונתו לבצע עדכונים בדרישות האבטחה בנושא מידע מבוקר לא מסווג (CUI)[17] עבור חברות קבלן העובדות עם הממשל. במסגרת העדכון, NIST שוקל להסיר דרישות מסוימות שכבר אינן רלוונטיות, אף כי לא פירט אילו.[18]

צבא וביטחון

החודש פעלו הממשל ומערכת הביטחון האמריקניים לקדם את הטמעת עקרונות אפס האמון (Zero Trust) ברשתותיהם, לצמצם את פער כוח האדם המיומן במקצועות הסייבר ולקדם מודרניזציה טכנולוגית בצבא.

הטעמת ארכיטקטורת רשת מבוססת אפס אמון. ב-20 בפברואר, הודיע סגן מנהל סוכנות מערכות המידע במחלקת ההגנה (DISA),[19] כריס ברנהרסט (Chris Barnhurst), כי המחלקה השלימה בניית אב-טיפוס של ארכיטקטורת רשת מבוססת אפס אמון, במסגרת תכנית Thunderdome.[20] לדברי ברנהרסט, האב-טיפוס נמצא בשימוש 1,600 משתמשים הממוקמים בשלושה אתרים ברחבי העולם, בהם וושינגטון ואזור האוקיינוס השקט ועבר בחינות שונות, לרבות בדיקות חֲדִירוּת שנעשו על ידי צוותים לדימוי תקיפה (Red teams). בעקבות השלמת אב-הטיפוס, זרועות הצבא יחלו בבחינת הטמעת הארכיטקטורה, בחלקה או בשלמותה, במסגרת תכניות אפס אמון הקיימות ברשותן.[21]

צמצום פער כוח האדם המיומן במקצועות הסייבר. ב-16 בפברואר, משרד מנהל מערכות המידע של מחלקת ההגנה (DoD CIO)[22] פרסם את מסמך התכנית להכשרה וניהול כוח אדם המיומן במקצועות הסייבר וה-IT,[23] שמטרתה לשפר את הליכי הגיוס, ההכשרה וניהול כוח האדם המיומן במקצועות הסייבר במחלקת ההגנה, באמצעות הגדרת דרישות מדויקות לתפקידים השונים במחלקה. המִזְכָּר מהווה חלק מסדרת המסמכים DoD 8140, המציגים את המסגרת הנחוצה להעסקת כוח אדם במקצועות הסייבר בקרב מחלקת ההגנה (DCWF).[24]

המסמך מציג דרישות ממוקדות בנושא ההשכלה, ההכשרה וההסמכה הנדרשים מהעובדים, בדגש על ניסיון תעסוקתי. על פי המסמך, כלל העובדים האזרחיים במקצועות הסייבר במחלקת ההגנה יהיו מחויבים להיות מוסמכים תחת הדרישות המוצגות במִזְכָּר, עד לפברואר 2025. בנוסף, ה-DCWF עשוי לסייע למחלקת ההגנה לשפר תהליכים נוספים הקשורים לניהול עובדי המחלקה, כגון הערכת ביצועים ושימור כוח אדם קיים.[25]

קידום מודרניזציה צבאית והשגת עליונות טכנולוגית. ב-22 בפברואר, מעבדת המחקר של צבא היבשה לפיתוח יכולות לחימה (DEVCOM ARL)[26] האריכה את הבקשה לקבלת מידע בנוגע ליכולות אוטונומיות,[27] שמטרתן לתמוך בלוחמה, כגון סיווג ומעקב אחר הולכי רגל וכלי רכב בסביבות עירוניות ופתוחות, בכלי רכב בלתי מאוישים הפועלים באזורים ללא כיסוי GPS עד לטווח של 10 קילומטרים ובכטב"מים קטנים המיועדים לטוס בתנאי מזג אוויר סוער. זאת, כחלק מהשתתפות בוועידת Tech Assess ‘23, שצפויה להיערך בקיץ 2023 בהובלת DEVCOM ARL ומטרתה לבחון שילוב טכנולוגיות חדשות במשימות לחימה בזרוע היבשה.[28]

אירופה

סיכום זירת הסייבר על רקע הפלישה הרוסית לאוקראינה

החודש צוינה שנה למלחמה באוקראינה ובמסגרת זאת, מדינות וחברות פרטיות פרסמו דו"חות המסכמים תובנות ולקחים שנלמדו לנוכח חילופי המהלומות שנרשמו בין הצדדים הלוחמים במרחב הסייבר במשך חודשי הלחימה.

מגמות במלחמת הסייבר. ב-16 בפברואר, צוות ניתוח האיומים של גוגל (TAG),[29] צוות ה- Trust & Safetyשל גוגל וחברת Mandiant פרסמו דו"ח משותף,[30] ולפיו היקף תקיפות הסייבר המתוחכמות שנצפו נגד אוקראינה בארבעת החודשים הראשונים של המלחמה היה גבוה מסך התקיפות שחוותה בשמונה השנים שקדמו לפלישה. התקיפות התמקדו במגזרי הממשל, האנרגיה, התקשורת והפיננסים. אולם, היקף התקיפות הצטמצם באופן ניכר החל מחודשי הקיץ של 2022.

מחברי הדו"ח ציינו כי במהלך המלחמה קבוצות תקיפה הפועלות בחסות ממשלתית אימצו טקטיקות המזוהות עם קבוצות הפועלות ממניעים כלכליים: בדצמבר 2022, דיווח צוות ה-CERT הלאומי של אוקראינה כי האקרים עשו שימוש בנוזקה מסוג ROMCOM, המזוהה עם קבוצת הכופרה הרוסית Cuba, במטרה לגנוב מידע ממשתמשים במערכת איסוף המודיעין Delta, הנמצאת בשימוש צבא אוקראינה.[31]

דפוסי לוחמת הסייבר של רוסיה ויעילותה החלקית. לצד מחקרים שסקרו מגמות כלליות במלחמה, התפרסמו דו"חות שניתחו את הסיבות ליעילותה החלקית של לוחמת הסייבר של רוסיה. ב-8 בפברואר שירות ביון החוץ של אסטוניה (EFIS)[32] פרסם דו"ח בנושא ביטחון לאומי, ולפיו היעדר תקיפות סייבר רוסיות על תשתיות חיוניות באוקראינה בתחילת הפלישה נבע מהערכה של הכוחות הרוסים כי אוקראינה תיכבש בתוך מספר שבועות מרגע הפלישה וכן בשל שאיפתם לשמר את תמיכת האוכלוסייה המקומית בהם. החוקרים ציינו כי הכוחות הרוסים לא העריכו כראוי את מידת חסינות הסייבר של אוקראינה ואת השפעת הסיוע שקיבלה ממדינות מערביות ומחברות פרטיות. אולם, החוקרים טענו כי בעקבות שינוי מטרותיה של רוסיה מתחילת המלחמה, מתקפות הסייבר המיוחסות לה נועדו כעת לפגוע בתפקוד של אוקראינה ובתדמיתה הבינלאומית, לערער את המוטיבציה של האוכלוסייה המקומית ואת ואמינותה של ההנהגה, וכן לצמצם את הסיוע שניתן לה על ידי בעלות בריתה.[33]

ב-8 בפברואר פרסמה חברת Check Point דו"ח, ועל פי ממצאיו במהלך השנה הראשונה למלחמה באוקראינה נרשמו שינויים באופן בו רוסיה מוציאה לפועל מתקפות סייבר. אם לפני הפלישה ובשלביה הראשונים, ביצעה רוסיה מתקפות סייבר ממוקדות ומתוכננות היטב, תוך שימוש באמצעים חדשים וייעודיים, בהם נוזקות Wiper מסוגים חדשים, מתקפות הסייבר מאוחרות יותר התבססו על שימוש בכלי תקיפה מֻכָּרִים ובוצעו במהירות וחיפזון. בנוסף, מאוקטובר 2022 ועד פברואר 2023, נרשמו בממוצע 877 מתקפות שבועיות נגד אוקראינה, בהשוואה לכ-1,555 בין מרץ 2022 לספטמבר 2022, נתון המהווה ירידה של כ-44%. במקביל, זוהתה עלייה של 9% במספר הממוצע של תקיפות שבועיות נגד רוסיה. כמו כן, נרשמה עלייה במספר הממוצע של מתקפות סייבר שבועיות נגד מדינות ברית נאט"ו. מחברי הדו"ח ציינו עוד כי המלחמה באוקראינה הובילה לשינויים בדרכים בהן קבוצות האקטיביסטים מגייסות כוח אדם, אוספות מודיעין נגד מטרות, משתפות ביניהן כלי תקיפה ועוד.

כך למשל, בעוד שקבוצות האקטיביסטים מסוימות כגון הקבוצה הפרו-רוסית XakNet, מגייסות מועמדים בעלי ניסיון וכישורים טכניים מוכחים, קבוצות אחרות, דוגמת Anonymous, מגייסות כל מועמד המעוניין להצטרף לשורותיהן.[34]

בד בבד, בדו"חות נוספים, הדגישו המחברים כי מלחמת הסייבר חצתה גבולות ויבשות וכללה תקיפת יעדים בקרב מדינות בעלות בריתה של אוקראינה. ב-14 בפברואר, מנכ"ל חברת אבטחת הסייבר האמריקנית Dragos, רוברט לי (Robert Lee) טען כי במהלך השבועות הראשונים של הפלישה הרוסית לאוקראינה, קבוצת האקרים המזוהה עם ממשלת רוסיה והמכונה בשם Chernovite, הייתה קרובה להשבית עשרות מתקני תשתיות חיוניות בארה"ב, בענפי החשמל והגז הנוזלי. לדברי לי, הקבוצה עשתה שימוש בנוזקה חדשה המכונה בשם PIPEDREAM המתמקדת במגוון מערכות בקרה תעשייתיות ולא ממוקדת במערכת או במוצר ספציפי. בנוסף, הנוזקה מאפשרת חדירה לרשתות מבלי לנצל חולשות הניתנות לטיפול באמצעות עדכון המערכת, דבר שמקשה על ההגנה מפניה. עם זאת, לי לא חשף את וקטור התקיפה של הנוזקה.[35]

אזהרות מפני תקיפות סייבר, גניבות מידע ומבצעי השפעה. ב-9 בפברואר, חברת Recorded Future הזהירה בדו"ח שפרסמה כי בטווח הזמן הקרוב צפויה רוסיה לפתוח בהתקפה קונבנציונלית חדשה על אזור הדונבאס (Donbas) באוקראינה, שתלווה בתקיפות סייבר על תשתיות חיוניות בהשתתפות קבוצות האקרים הפועלות בחסותה, קבוצות פושעי סייבר והאקטיביסטים פרו-רוסים.[36] בנוסף, גורמי ממשלה בבריטניה, פולין וליטא הזהירו מפני קמפיין הונאה חדש כנגד פליטים אוקראינים המתגוררים מחוץ לאוקראינה, שמטרתו לגנוב פרטים אישיים ולהפיץ מידע כוזב.[37]

יוזמות לשיפור חסינות הסייבר של אוקראינה ובעלות בריתה. ב-10 בפברואר, הודיעה סגנית המנהל לענייני מדיניות ותכנון בסוכנות האמריקנית לפיתוח בין-לאומי (USAID),[38] איזובל קולמן (Isobel Coleman), כי בכוונת ארה"ב, בשיתוף עם ניו זילנד ודנמרק, להשקיע עד ספטמבר 2025 סכום בסך של כ-60 מיליון דולר במטרה לחזק את חסינות הסייבר של אוקראינה, לרבות ההגנה על תשתיות חיוניות, וכן לקדם טרנספורמציה דיגיטלית, כגון שירות Diia.[39]

לבסוף, פלטפורמת הרשת החברתית TikTok הודיעה כי איתרה והסירה רשת שפעלה משטחה של רוסיה והפיצה מידע כוזב ותעמולה פרו-רוסית ואנטי-אוקראינית בקרב אלפי משתמשי הרשת החברתית בגרמניה, איטליה, בריטניה ומדינות נוספות בין החודשים יולי וספטמבר 2022. TikTok ציינה כי בחודשים הקרובים תציג מדיניות שמטרתה לסייע לסכל קמפיינים של הפצת מידע כוזב בקרב מדינות האיחוד האירופי ובשיתוף פעולה עימן.[40]

מאפייני מבצעי ההשפעה הרוסים במהלך המלחמה. במהלך החודש, התפרסמו שני דו"חות המתארים את דפוסי מבצעי ההשפעה שנצפו במהלך השנה הראשונה למלחמה באוקראינה. על פי דו"ח שפרסם מכון המחקר האמריקני Atlantic Council, מטרתם המרכזית של מבצעי ההשפעה הרוסים במלחמה הייתה לפגוע במורל האזרחים ותפקוד צבא אוקראינה, על מנת להביא לכניעתו או למשא ומתן, בתנאים המועדפים על רוסיה.[41] על פי דו"ח שפרסמה חברת Meta, מבצעי השפעה סמויים שנערכו ברשתותיה לטובת רוסיה התאפיינו בשימוש מרובה בחשבונות מזויפים מאיכות מקצועית נמוכה, שהפיצו את מסריהם באופן נרחב. בנוסף, נרשמה ירידה בפעילותם של כלי תקשורת הפועלים ברשתות החברתיות בחסות ממשלת רוסיה.[42]

בטחון סייבר

החודש מדינות ומוסדות גיבשו יעדים וכלים שמטרתם לשפר את חסינות הסייבר בקרב ארגונים וכן קידמו יוזמות שמטרתן להגביר את התיאום בין הממשלה לבין המגזר הפרטי בהיערכות ובתגובה לתקריות סייבר.

שיפור חסינות הסייבר של ארגונים ועסקים. ב-3 בפברואר, פרסם תאגיד MITRE את המדריך החינמי, ה-CREF Navigator, שמטרתו לסייע לארגונים לנסח יעדים בתחום חסינות הסייבר ואת האמצעים להשגתם, על סמך עקרונות המדריך לפיתוח ושיפור חסינות הסייבר של מערכות (SP 800-160),[43] שפרסם NIST בדצמבר 2021.[44] ה-CREF Navigator מבוסס על ארבעה עקרונות: (1) שימור מודעות בקרב ארגונים לאיומים פוטנציאליים; (2) הבטחת ההמשכיות העסקית של ארגונים במהלך אירוע סייבר; (3) שיקום היכולות הארגוניות שנפגעו בעקבות האירוע; (4) התאמת תפקוד הארגון ויכולות אבטחת הסייבר לשינויים צפויים בסביבת האיומים.

בנוסף, המדריך כולל מידע מתוך מדריך ה-MITRE ATT&CK בנושא שיטות תקיפה ואמצעי התמודדות עימן, ומטרתו לסייע למהנדסים להבין כיצד מערכות עלולות להיות חשופות לאיומי סייבר ואיך ניתן לתכנן אותן מראש במטרה לנסות ולהגן עליהן.[45]

כמו כן, ב-15 בפברואר, המרכז לאבטחת סייבר של אוסטרליה (ACSC)[46] השיק תכנית שותפות חדשה שמטרתה לחזק את חסינות הסייבר של עסקים וארגונים. במסגרת התכנית, ישתפו פעולה גורמים מהמגזר הפרטי והציבורי, סוכנויות ממשלתיות, ספקי תשתיות חיוניות, תאגידים גדולים וכן ארגונים קטנים ובינוניים. התכנית עתידה לספק לשותפיה גישה למודיעין איומי סייבר, ייעוץ טכני, סיוע והכשרות וכן מסגרות לתהליכי שיתוף מידע, שיתוף פעולה במחקר ופיתוח וניהול תרגילים וסימולציות משותפים בתחום אבטחת הסייבר.[47] בד בבד, ב-27 בפברואר, הודיע משרד הפנים של אוסטרליה על הקמת משרד לאומי חדש בתחום אבטחת הסייבר.[48] שרת הפנים והשרה לאבטחת סייבר בממשלת אוסטרליה, קלייר אוניל (Clare O’Neil), ציינה כי הקמת המשרד נובעת מלקחים שהופקו בעקבות מתקפות הסייבר על חברות Medibank ו-Optus האוסטרליות שנרשמו בשנת 2022,[49] כאשר בראש המשרד יעמוד מתאם תחום אבטחת הסייבר שמינויו עתיד להיקבע בחודש הבא. במסגרת תפקידו, יהיה אחראי המתאם על ניסוח אסטרטגיית אבטחת סייבר שתיושם בקרב כלל משרדי הממשלה, וכן על ניסוח תכניות תגובה להתמודדות עם תקריות סייבר נרחבות.[50]

מאבק בפשעי סייבר. ב-15 בפברואר, אישרה ממשלת בלגיה חוק שיתיר להאקרים White Hats לאתר חולשות אבטחה בקרב רשתות, מערכות ואפליקציות השייכות לארגונים מקומיים מהמגזר הציבורי והפרטי, מבלי לקבל על כך אישור מוקדם. על פי החוק החדש, ההאקרים יידרשו לדווח לארגונים ולמרכז לאבטחת הסייבר של בלגיה (CCB)[51] על חולשות שאיתרו באופן מיידי ולא יאוחר מ-72 שעות מרגע גילוין.[52]

לעומת זאת, ב-13 בפברואר, יו"ר וועדת מדיניות המידע בבית התחתון של הפרלמנט הרוסי, הדומה (Duma),[53] אלכסנדר חינשטיין (Alexander Khinshstein), טען כי ממשלת רוסיה שוקלת לנקוט במדיניות אי-הפללה כלפי האקרים, אולם רק כלפי אלו הפועלים למען האינטרסים הלאומיים שלה.

חינשטיין ציין כי לנוכח עזיבתם של אנשי IT רוסים רבים מאז תחילת הפלישה לאוקראינה, מדיניות אי ההפללה תתייחס להאקרים הפועלים ברוסיה או מחוץ לשטחה. כיום, העונש על הפיתוח, שימוש והפצה של תוכנות זדוניות ברוסיה, הוא עד שבע שנות מאסר.[54]

איומי סייבר על תשתיות חיוניות

לנוכח איומי הסייבר המתרבים על ענף התשתיות החיוניות בעולם, החודש התפרסמו דו"חות שבחנו את העמידה של סוכנויות ממשל אמריקניות ביעדים לשיפור מידת הגנת הסייבר על תשתיות, וכן דו"ח בנושא איומי סייבר על מערכות בקרה תעשייתיות. לצד אלו, ממשלת אוסטרליה קידמה החודש יוזמות במסגרתן ארגונים מענפי התשתיות החיוניות במדינה יחויבו לאמץ תכנית לניהול סיכוני סייבר ולדווח על יישומה. לבסוף, נצפתה יוזמה שמקורה בחברה האזרחית ומטרתה להוביל לשיפור מידת אבטחת הסייבר של מערכות OT בקרב ארגונים שונים.

ביקורת בנושא ההגנה על תשתיות חיוניות. ב-8 בפברואר, משרד המבקר הכללי האמריקני (GAO) פרסם שני דו"חות. הדו"ח הראשון עוסק ביישום המלצות המבקר שפורסמו משנת 2010, בנושא הגנת הסייבר של תשתיות חיוניות. על פי מחברי הדו"ח, מחלקת האנרגיה האמריקנית ניסחה תכניות להתמודדות עם איומי סייבר על רשתות חשמל, אולם הן אינן נותנות מענה לחולשות אבטחה שמקורן בשרשראות האספקה. מחברי הדו"ח ציינו עוד כי CISA לא העריכה את מידת היעילות של תכניות שגיבשה לשיפור מידת אבטחת הסייבר של מגזר התקשורת. כמו כן, מצאו מחברי הדו"ח כי הלשכה לבטיחות ולאכיפה בענייני סביבה (BSEE)[55] הכפופה למחלקת הפנים טרם גיבשה אסטרטגיה לאבטחת סייבר על תשתיות גז ונפט, למרות שהכירה מספר פעמים בעבר בדבר חשיבותה.[56]

הדו"ח השני בחן את הצעדים בהם נקטה CISA במטרה לסייע לסוכנויות ממשל האחראיות על ניהול הסיכונים במגזר התשתיות החיוניות (SRMA)[57] להגן על תשתיות חיוניות, במסגרת תחומי אחריות שהוטלו עליהן כחלק מחוק ה-NDAA לשנת 2021.[58]

על פי מחברי הדו"ח, פעולותיה של CISA סייעו למרבית הסוכנויות לעמוד במשימות חדשות אלו, אולם עליה לקבוע אבני דרך ולוחות זמנים מוגדרים לשיפור התיאום ושיתוף המידע עם הסוכנויות וכן לספק להן הנחיות, שיעזרו להן למלא אחר תחומי אחריותן.[59]

איומי סייבר על סביבות OT. ב-10 בפברואר, חברת Otorio הישראלית, המתמחה באבטחת סייבר של מערכות בקרה תעשייתיות, פרסמה דו"ח בו הזהירה מפני וקטורי תקיפה נפוצים נגד מכשירי IoT תעשייתיים (IIoT), שעלולים לשמש האקרים להשיג גישה ראשונית לסביבות OT, ביניהם תקיפת תשתית הענן, המאפשרת לעקוף מנגנונים לסינון כתובות IP והגדרת חוקי פתרונות Firewall מקומיים; תקיפת רשתות WAN;[60] וביצוע תקיפות באמצעות קרבה פיזית למטרות המותקפות, תוך שימוש בכלים למיפוי רשתות אלחוטיות, כגון WiGLE על מנת לאסוף עליהן מידע. מחברי הדו"ח המליצו לבעלי מכשירי IIoT להטמיע בהם פתרונות VPN ו-Firewall, תוך שימוש בחוקים המתייחסים למידע ממכשירי IIoT כמידע המגיע ממקור לא אמין. כמו כן, עליהם לוודא כי שירותי הניהול מוגבלים לממשקי רשת ה-LAN בלבד או לכתובות IP בעלות הרשאה.[61]

מענים לשיפור ההגנה על מערכות OT. ב-9 בפברואר, המכון לענייני תאימות לדרישות אבטחה (ISCI),[62] הכפוף לאגודה הבין-לאומית לאוטומציה (ISA)[63] הודיע על כוונתו להשיק תכנית חדשה ליישום סְכֶמָת הערכת תאימות (CAS)[64] עבור מערכות אוטומציה ובקרה, כאמצעי לשיפור מידת אבטחת הסייבר של מערכות OT במגזרים שונים, בהם תשתיות חיוניות. על פי ה-ISA, השקת היוזמה נדרשת מאחר וספקים ומנהלי אתרים אימצו בעבר את תקני ה-SA/IEC 62443,[65] אך מרביתם לא הטמיעו תכנית ונהלי אבטחת סייבר אחידים להערכת מידת האבטחה של מערכות OT. בעקבות זאת, רבים מהם עלולים לאבטח את המערכות על בסיס מִפְרָטים המסופקים על ידי ספקי צד שלישיים, שייתכן ואינם עומדים בדרישות האבטחה המומלצות של ה-ISA להגנה על מערכות בקרה תעשייתיות. בעקבות זאת, תשתיות חיוניות עלולות להיוותר פגיעות בפני איומי סייבר. להערכת ה-ISA, השקת התכנית מיועדת לרבעון הרביעי של שנת 2023 או לתחילת שנת 2024.[66]

לבסוף, במהלך החודש, הציגה ממשלת אוסטרליה שתי יוזמות בתחום אבטחת הסייבר של תשתיות חיוניות: ב-21 בפברואר, הודיעה שרת הפנים של אוסטרליה, קלייר אוניל (Clare O'Neil), על השקת תכנית ניהול סיכונים (CIRMP),[67] שמטרתה לסייע ל-13 מגזרי תשתיות חיוניות ושירותים חיוניים במדינה, בהם ענפי המים, החשמל, האנרגיה והמזון, להיערך לסיכונים פוטנציאליים על תשתיותיהם, לרבות איומי סייבר. במסגרת התכנית הכלולה בתיקון השלישי לחוק ה-Security of Critical Infrastructure Act 2018,[68] גופים הנמנים על מגזרים אלו יחויבו לאמץ תכנית לניהול סיכונים ולדווח אחת לשנה למרכז אבטחת הסייבר והתשתיות של אוסטרליה (CISC)[69] על הצעדים שנקטו במסגרתה ובמטרה לסייע ל-CISC להבין מהם הסיכונים הניצבים בפני כל מגזר.[70] בד בבד, CISC פרסם החודש אסטרטגיה חדשה, שמטרתה לסייע לבעלי ומפעילי תשתיות חיוניות לחזק את ההגנה עליהן מפני איומים שונים לרבות איומים במרחב הסייבר וכן לסייע להם לנהל את הסיכונים הרלוונטיים, למשל באמצעות חיזוק השותפות בין הממשלה למגזר הפרטי.[71]

איומי סייבר על ענף האנרגיה

החודש נרשמו בארה"ב שתי יוזמות חקיקה בנושאי המחקר והדיווח על אירועי אבטחת סייבר בקרב תשתיות אנרגיה. ב-7 בפברואר, מליאת בית הנבחרים האמריקני אישרה את הצעת החוק הדו-מפלגתית Energy Cybersecurity University Leadership Act, המנחה את מזכיר מחלקת האנרגיה לייסד תכנית לקידום מחקר אוניברסיטאי,[72] במסגרתה יוענק סיוע כספי לסטודנטים הלומדים לתארים מתקדמים, שמחקרם מתמקד בחקר אבטחת הסייבר ותשתיות אנרגיה. בנוסף, הצעת החוק תאפשר לסטודנטים וחוקרים שישתתפו בתכנית לצבור ניסיון מחקרי באמצעות השתתפות בתכניות הכשרה במעבדות הלאומיות של מחלקת האנרגיה.[73]

כמו כן, ב-9 בפברואר, נציג בית הנבחרים, טים וולברג (Tim Walberg), הודיע על כוונתו להעלות מחדש לאישור המליאה את הצעת החוק Critical Electric Infrastructure Cybersecurity Incident Reporting Act, המנחה גופים העוסקים בייצור והפצה של אנרגיה לדווח למחלקת האנרגיה על אירועי סייבר, בטווח של עד 24 שעות מרגע גילויים. ההצעה, שהוצגה בבית הנבחרים לראשונה באוקטובר 2022, מנחה גם את מחלקת האנרגיה לספק הבהרות נוספות בנוגע להיקפם של אירועי סייבר המצריכים דיווח וכן לנסח את נהלי הדיווח.[74]

איומי סייבר על שרשראות אספקה

כמענה לאיומי הסייבר על שרשראות האספקה, ב-17 בפברואר, המרכז הלאומי לאבטחת סייבר של בריטניה (NCSC) פרסם המלצות, שמטרתן לסייע לעסקים בינוניים וגדולים למפות את שרשראות האספקה שלהם, במטרה לחזות סיכונים אפשריים בתחום אבטחת הסייבר, בעקבות קשרי עבודה עם הספקים. על פי ההמלצות, על המיפוי לכלול מספר רכיבים, בהם הגדרת טיבו וערכו של המידע המועבר בין העסק לספקיו; מיפוי כלל הספקים העובדים עם הארגון וספקי המִשְׁנֶה העובדים עימם; והוכחה כי עבודת הספקים עומדת בקריטריונים מובחנים, כגון תקנים שהוגדרו על ידי ארגון התקינה הבין-לאומי (ISO).[75] במסגרת מסמך ההמלצות, ה-NCSC הציע לעסקים לנסח מדריך הוראות, שינחה אותם כיצד לשתף פעולה עם ספקים וגורמים שלישיים, כגון סוכנויות אכיפת חוק, בעת התרחשות אירוע סייבר. בנוסף, המליץ ה-NCSC לעסקים לשקול להכניס שינויים בתהליכי הרכש שלהם באמצעות שילוב סעיפים הפוסלים התקשרויות עם ספקים שאינם עומדים בדרישות מינימליות בתחום אבטחת הסייבר.[76]

איומי מתקפות הכופרה

החודש התריעו מספר סוכנויות ממשל ואכיפת החוק ברחבי העולם מפני איום מתקפות הכופרה. ב-5 בפברואר, הסוכנות הלאומית לאבטחת סייבר של איטליה (ACN)[77] וצוותי ה-CERT של צרפת וסינגפור, פרסמו אזהרות, לפיהן אלפי שרתי VMware ESXi במספר מדינות מערביות הותקפו על ידי שימוש בכופרת ESXiArgs, תוך ניצול חולשת CVE-2021-21974.[78] לאחר התקיפה, ההאקרים הציגו שתי דרישות תשלום כופר בשווי 2.01 ו-2.06 ביטקוין (כ-24,000 דולר). על פי דוברת חברת VMware, דורין רויאק (Doreen Ruyak), החברה פרסמה בפברואר 2021 עדכון שנועד לפתור את חולשת האבטחה שהתגלתה. עם זאת, גורם ב-ACN, ששמו לא צוין, טען כי החולשה לא תוקנה במלואה, דבר שעלול לאפשר להאקרים לבצע מתקפות נוספות בעתיד.[79]

איומי סייבר על ענף הפיננסים

החודש פרסמו סוכנויות ממשל במדינות המערב דו"חות שסקרו את מידת אבטחת הסייבר בקרב מוסדות פיננסים ואת סיכוני הסייבר הקיימים במגזר זה לנוכח המעבר לשימוש בשירותי ענן, וכן קידמו יוזמות שמטרתן לשפר את ההיערכות להתמודדות עם תקריות סייבר בענף.

דו"חות ביקורת בנושא ההתמודדות עם איומי אבטחת סייבר בקרב מוסדות פיננסים. ב-2 בפברואר, פרסם משרד המפקח הכללי בתאגיד האמריקני הפדראלי לביטוח פיקדונות (FDIC OIG)[80] דו"ח שבחן את יכולתה של תכנית ה-InTREx לניתוח סיכוני IT,[81] לזהות ולתת מענה לסיכוני אבטחה בקרב בנקים ומוסדות פיננסיים נוספים.[82]

על פי הדו"ח, ה-FDIC לא עדכן את תכנית ה- InTRExבהתאמה למסגרת של NIST העוסקת באבטחת סייבר של תשתיות חיוניות.[83] בעקבות זאת, נהלים עדכניים הנוגעים לניהול סיכונים בשרשראות האספקה לא הוטמעו ב-InTREx. בנוסף, מחברי הדו"ח מצאו כי FDIC לא הציג מטרות, יעדים ומדדים, הנחוצים להערכת מידת יעילותה של התכנית. משרד המבקר המליץ להשתמש בכלי אבחון המכונה AlphaRex,[84] כדי לזהות תחומים בהם יש לשפר את ה-InTREx. כמו כן, המבקר המליץ למחלקה לפיקוח על ניהול סיכונים ב-FDIC (RMS)[85] לגבש נהלים, שיוודאו כי מפקחים על ביצוע התוכנית מטעם FDIC ישלימו את כלל נהלי הפיקוח הרלוונטיים.[86]

בנוסף, ב-8 בפברואר, פרסמה מחלקת האוצר האמריקנית דו"ח, לפיו ספקיות ענן אינן משתפות מספיק מידע עם חברות פיננסיות המשתמשות בתשתיות ענן בנושא סיכונים, חולשות ומוצרים ושירותי אבטחה. בה בעת, נציגי ארגונים שונים ציינו כי קיים קושי בהבנת העקרונות להגדרה נכונה ומאובטחת של סביבות ענן. בנוסף, ארגונים פיננסים רבים ציינו כי היקפו המצומצם של שוק ספקי שירותי הענן עלול להגדיל את סיכון האבטחה על המגזר כולו, היות ואירוע אבטחה המתרחש בחברה אחת עלול להשפיע על מספר מוסדות פיננסים הנעזרים בשירותיה. מחברי הדו"ח הציגו צעדים עתידיים שייתכן ותנקוט המחלקה על מנת לספק מענה לאתגרים שהועלו בדו"ח, בהם גיבוש בקרות אבטחה יעילות ועקרונות מומלצים לניהול סיכונים, בסיוע המגזר הפרטי.[87]

מענים לאיומי סייבר על ענף הפיננסים. ב-14 בפברואר, המועצה האירופית לסיכונים מערכתיים (ESRB)[88] פרסמה דו"ח ולפיו המגזר הפיננסי באירופה ניצב בפני רמת סיכון גבוהה במרחב הסייבר, בשל עלייה במתקפות מצד מדינות וקבוצות האקרים הנתמכות על ידן ולנוכח ריבוי מתקפות סייבר על מגזרי התקשורת והאנרגיה ביבשת אירופה, עליהן המגזר הפיננסי נסמך. לצורך כך, ה-ESRB קידמה את השימוש בסימולטור CyRST,[89] המסייע לרשויות לבחון את מידת חסינותם של מוסדות פיננסים למתקפות סייבר. כמו כן, ה-ESRB התמקדה בפיתוח מסגרת ה-SITO,[90] שמטרתה לסייע למוסדות פיננסים להעריך את השלכותיהם של אירועי סייבר. לצד מסגרות חדשות אלו, ה-ESRB העריכה את יכולתם של אמצעי מדיניות קיימים, בהם ביטוח פיקדונות, לתת מענה לאיומי סייבר וכן עודדה שיתוף מידע בנושא איומים בין רשויות ממשל ומשפט באירופה.[91]

בנוסף, ב-21 בפברואר, המִינְהָל האמריקני הלאומי לאיגודי אשראי (NCUA)[92] הפועל בתור סוכנות ממשל פדראלית, פרסם הנחיה חדשה, המגדירה מצבים בהם נדרשים איגודי אשראי פדראליים לדווח לה על אירועי סייבר, בפרק זמן של 72 שעות לכל היותר מרגע גילויים. אחד המקרים המצריכים דיווח על פי החוק החדש הוא דליפת מידע של לקוחות או שיבוש פעילות פיננסית בעקבות פריצה לנותני שירותים, כגון שירותי ענן.[93]

איומי סייבר על מערכות חלל

בעקבות המלחמה באוקראינה ולנוכח איומי הסייבר על מגזר החלל, ב-16 בפברואר, הצביעה מליאת הפרלמנט האירופי בעד קידום תכנית התשתית לחסינות, קישוריות ואבטחה באמצעות לוויינים (IRIS²),[94] במסגרתה יוקם מערך לוויינים אירופי ראשון שיפעל במספר מסלולי הקפה של כדור הארץ, ושירחיב את הגישה לפס רחב עבור מדינות אירופה ואפריקה ויספק שירותי תקשורת מאובטחת בהצפנה קוונטית.[95] המערך צפוי להסתמך על מימון כולל של 3.15 מיליארד אירו (כ-3.376 מיליארד דולר), שיגיע מתקציב האיחוד האירופי, סוכנות החלל האירופית (ESA),[96] המגזר הפרטי וקרן ההגנה האירופית (EDF).[97] לאחר שתאושר התכנית על ידי מועצת האיחוד האירופי, שיגורי לוויינים ראשונים צפויים להיערך בשנת 2024. בשנת 2025 צפוי מערך הלוויינים לספק שירותי תקשורת מאובטחת לגופי ממשל, צבא וביון אירופיים וכן למשלחות אירופיות המוצבות ברחבי העולם ושירותים מסחריים החל משנת 2027.[98]

איומי סייבר על ענף הבריאות

בעקבות מתקפות DDoS שביצעה קבוצת ההאקטיביסטים הפרו-רוסית Killnet כנגד בתי חולים ביותר מ-25 מדינות ברחבי ארה"ב בסוף ינואר 2023,[99] ב-15 בפברואר פרסם המרכז לתיאום אבטחת הסייבר בענף הבריאות (HC3),[100] הכפוף למחלקה האמריקנית לבריאות ולשירותי האנוש (HHS),[101] אזהרה העוסקת בהתמודדות עם מתקפות אלו על בתי חולים. על פי האזהרה, כ-63% ממתקפות ה-DDoS נעשות על גבי פרוטוקול UDP, כ-20% מהמתקפות הן מסוג SYN Flooding ו-11% מהמתקפות מבוססות על פרוטוקול TCP. במסגרת האזהרה, ה-HSS המליץ לארגוני בריאות לנהל הגדרות מתאימות ל-DNS TTL במערכות שעלולות להיות מותקפות.[102] כמו כן, המליץ המרכז להגדיר מסנני Egress על מנת לחסום תנועת מידע שעשוי להישלח מתשתית ה-IT בתגובה למתקפת DDoS.[103]

בד בבד, ב-10 בפברואר, גופי ממשל ומודיעין מארה"ב ומדרום קוריאה, בהם מחלקת הבריאות האמריקנית, סוכנויות ה-NSA וה-FBI ושירות המודיעין הלאומי של דרום קוריאה (NIS),[104] פרסמו אזהרה משותפת, המציגה את הטכניקות, הטקטיקות ושיטות הפעולה (TTPs) של האקרים הפועלים בחסות ממשלת צפון קוריאה, המבצעים מתקפות כופרה נגד ארגונים מענף הבריאות בארה"ב ובדרום קוריאה. על פי האזהרה, ההאקרים רוכשים תשתיות הנחוצות לביצוע המתקפות, בהם כתובות IP ודומיינים, באמצעות מטבעות דיגיטליים שהושגו במסגרת פעילות לא חוקית, כגון מתקפות כופרה. בנוסף, על פי האזהרה, ההאקרים מפיצים נוזקות המתחזות ל-X-Popup, פלטפורמה לתקשורת בין צוותי בתי חולים קטנים ובינוניים בדרום קוריאה. גופי הממשל משתי המדינות המליצו למוסדות בריאות להצפין את ערוצי התקשורת של שרתי רשת, של מכשירי IoT רפואיים ועוד. כמו כן, הסוכנויות המליצו להשבית פורטים המשמשים עבור פרוטוקול RDP לגישה מרחוק,[105] שאינם נחוצים לפעילותם.[106]

איומי סייבר על ענף התחבורה

החודש חברות פרטיות פרסמו אזהרות והערכות בנושא איומי סייבר על ענף כלי הרכב, לרבות כלי רכב חשמליים. בד בבד, בארה"ב, נרשמו יוזמות המשותפות לממשל הפדראלי ולמוסדות אקדמיים, שמטרתן לקדם מענים המבוססים על טכנולוגיות חדשות להתמודדות עם סיכוני סייבר בענף התחבורה.

מגמות בנושא איומי סייבר על ענף כלי הרכב. ב-1 בפברואר, פרסמה חברת התקשורת האמריקנית AT&T, הודעת בלוג ולפיה כלי רכב בעלי מערכת הנעה ללא מפתח (keyless car) חשופים למתקפות אדם בתווך (MITM),[107] במסגרתן האקרים עלולים לשבש את התקשורת בין מפתח ההתנעה וכלי הרכב במטרה להשתלט עליו מרחוק ומבלי להפעיל את מערכת האזעקה שלו. כמו כן, קודים המצויים בקושחה ובתוכנות של מערכות מידע ובידור (infotainment systems) כוללים חולשות אבטחה, שעלולות לאפשר להאקרים להשתלט על יחידות בקרה של מנועים (ECU)[108] וכך להשיג שליטה על כלי הרכב. בד בבד, ציינה החברה בהודעה כי מכשירים מחוברים המותקנים בכלי הרכב, כגון דונגלים,[109] עלולים לאפשר להאקרים להשיג נקודת גישה נוספת למערכות כלי הרכב ולהשתיל בהן נוזקות ודלתות אחוריות. לבסוף, AT&T פרסמה מידע בנושא איומי סייבר פוטנציאליים, בהם השבתת תחנות טעינת כלי רכב חשמליים, מתקפות דיוג נגד עובדים בחברות לייצור כלי רכב ומתקפות כופרה נגד סוחרי כלי רכב.[110]

בנוסף, ב-1 בפברואר, חברת אבטחת הסייבר הישראלית Saiflow פרסמה הודעת בלוג, המתארת שתי חולשות אבטחה בפרוטוקול OCPP,[111] המקשר בין עמדות טעינת כלי רכב חשמליים למערכת הניהול שלהן (CSMS).[112] על פי ההודעה, ה-OCPP איננו מסוגל לנהל יותר מערוץ תקשורת אחד בו זמנית, עם תחנת טעינה כלשהי. כמו כן, תהליך האימות של עמדת טעינה עם ה-CSMS מתבצע, על פי רוב, על סמך שימוש בפרטי העמדה בלבד. לנוכח חולשות אלו, האקרים עלולים לשבש את פעילותה של תחנת הטעינה וכן של כלל תחנות הטעינה המחוברות לרשת על ידי יצירת ערוץ קשר נוסף בינה לבין ה-CSMS ולהשתמש בו במטרה לבצע מתקפות DoS ולגנוב מידע אישי השייך ללקוחות המשתמשים בעמדות.

מחברי ההודעה המליצו להטמיע ב-CSMS אפשרות להבחין בין ערוץ הקשר המקורי של התחנה לערוצי קשר פיקטיביים, שנועדו לפגוע בפעילות התחנה. בנוסף, על מפעיל תחנת הטעינה להגדיר אמצעי אימות נוסף, למשל באמצעות הגדרת סיסמה ייחודית.[113]

שיתופי פעולה מחקריים לטובת פיתוח מענים להתמודדות עם איומי סייבר על ענף התחבורה. ב-21 בפברואר הודיע מזכיר התחבורה האמריקני, פיט בוטיג'ג' (Pete Buttigieg), על הקצאת מענק בסך כולל של עד 435 מיליון דולר ל-34 מרכזי תחבורה אוניברסיטאיים (UTC)[114] ברחבי ארה"ב במטרה לשפר את הבטיחות בכלל ענפי התחבורה במדינה. מתוך כספי המענק, ארבעה מיליון דולר לשנה יוקצו עבור קבוצת מחקר באוניברסיטת קלמסון (Clemson University) במדינת דרום קרוליינה, שתתמקד בשיפור ההתמודדות עם חולשות אבטחת סייבר של מערכות סייבר-פיזיות-חברתיות CPSS, הכוללות מרכיבי מחשוב, ומקיימות אינטראקציה עם המשתמשים.[115]

בנוסף, ב-10 בפברואר, אוניברסיטת מרילנד (UMD)[116] הודיעה על כוונתה לחנוך את מרכז הדיגיטל והסייבר להנדסת ותפעול רכבות (DCREOC),[117] שיחקור את השימוש בטכנולוגיות מתקדמות, לרבות מחשוב קוונטי ויישומי Blockchain לפתרון סוגיות תפעוליות ולוגיסטיות בהנדסת רכבות ואבטחתן. כחלק מפעילותו, ה-DCREOC ינסח עקרונות מנחים לשימוש בטכנולוגיות מתקדמות במענף הרכבות ויכשיר מומחים לנושא. ה-DCREOC צפוי להשיק את פעילותו ב-7 במרץ 2023 באירוח סדנה שתעסוק בחסינות הסייבר ומחשוב קוונטי בהנדסת ותפעול רכבות.[118]

איומי סייבר על ענף התעופה

כחלק מהשכיחות הגוברת של איומי סייבר על ענף התעופה,[119] ב-27 בפברואר, גורם רשמי במשרד התעופה האזרחית של הודו, ששמו לא צוין, הצהיר כי הארגון לחקר התעופה האזרחית (CARO),[120] הממוקם בשדה התעופה בגומפט (Begumpet) שבעיר היידראבאד (Hyderabad), צפוי לעבור למסגרת פעילות מלאה עד לסוף שנת 2023.

ה-CARO שהושק במאי 2022, יכלול מעבדות שיעסקו בניתוח איומי סייבר וניהול מאגרי נתונים, במטרה לסייע לפעילותה של רשות שדות התעופה של הודו (AAI).[121] כמו כן, הארגון יפעיל תשתית מחקר חדשנית במטרה לקדם את המחקר והפיתוח של טכנולוגיות מקומיות וכן יספק כלים התומכים בתהליכי קבלת החלטות מבוססי נתונים. בנוסף, ציין הגורם כי במטרה לספק מענה לצורכי ענף התעופה העולמי, ה-CARO ישמש בתור פלטפורמת מחקר שתקדם שיתופי פעולה עם המגזר הציבורי, הפרטי וכן עם גופים בין-לאומיים.[122]

מחשוב קוונטי

כחלק ממאמצי מדינות לקדם את המעבר לשימוש בפתרונות הצפנה פוסט-קוונטית, ב-17 בפברואר, הודיע מנהל פרויקט ההצפנה הפוסט-קוונטית שב-NIST, דאסטין מודי(Dustin Moody) , כי NIST מצוי בשלבים הסופיים של ניסוח תקני ההצפנה הפוסט-קוונטית וכי התקנים יפורסמו במהלך שנת 2024.[123] בד בבד, ב-21 בפברואר, חוקרים מהמכון המלכותי KTHלטכנולוגיה בשטוקהולם פרסמו מאמר, בו טענו כי הצליחו לפענח הצפנה של אלגוריתם CRYSTALS-Kyber,[124] באמצעות שימוש במתקפות Side Channel. בנוסף, השתמשו החוקרים בלמידת מכונה על מנת להסיק מהתקיפות מסקנות שאפשרו להם לפענח את ההצפנה. לדברי החוקרים, שימוש בלמידת מכונה במתקפות אלו מאפשרת לגבור על אמצעי הגנה שונים, כגון מיסוך (masking). בנוסף, ניתן להשתמש בשיטת התקיפה שפותחה כנגד סְכֶמָות נוספות להצפנת מפתח ציבורי, כגון KEM.[125] CRYSTALS-Kyber הוא אחד מארבעת האלגוריתמים שנבחרו על ידי NIST ביולי 2022, לטובת ניסוח תקן להצפנה פוסט-קוונטית.[126]

בינה מלאכותית

בעקבות הדיון סביב ההזדמנויות והאיומים הפוטנציאליים העולים לנוכח הופעת הצ'טבוט מבוסס טכנולוגיית הבינה המלאכותית, ChatGPT, יצרנית מכשירי הטלפון וציוד החומרה הקנדית, BlackBerry, פרסמה ב-2 בפברואר ממצאי סקר שבחן הַעֲרָכוֹת לגבי שימוש של האקרים בכלי זה במטרה לבצע תקיפות סייבר. הסקר נערך בהשתתפות 1,500 מומחי IT ואבטחת סייבר מארה"ב, אוסטרליה ובריטניה ועל פי ממצאיו, 51% מהמומחים העריכו כי תוך פחות משנה תתרחש מתקפת סייבר שתהיה מיוחסת ל-ChatGPT, וכ-78% מכלל המשתתפים ציינו כי מתקפה שכזו תתרחש בוודאות תוך שנתיים. 71% ממשתתפי הסקר ציינו כי הם סבורים שמדינות כבר משתמשות בצ'טבוט למטרות זדוניות, בעוד 49% העריכו כי הצ'טבוט יאפשר ליצור תוכנות זדוניות חדשות, יסייע להאקרים פחות מנוסים לשפר את הידע הטכני שלהם ולפתח מיומנויות חדשות, וכן ציינו כי גורמי איום ישתמשו בפלטפורמה במטרה להפיץ מידע כוזב ומטעה. רוב הנשאלים (95%) אמרו כי ממשלות צריכות לקדם רגולציה על טכנולוגיות מתקדמות, דוגמת ChatGPT.[127]

השפעה, דעת קהל והסתה

החודש התפרסמו מספר דו"חות בנושא מבצעי השפעה ברשתות החברתיות המיוחסים לרוסיה ולסין. ב-1 בפברואר, חברת Logically הבריטית העוקבת אחר הפצת מידע כוזב ברשת, פרסמה דו"ח במסגרתו חשפה כי פעילים המזוהים עם רוסיה מנהלים קמפיין השפעה הממוקד ביבשת אפריקה, באמצעות רשת תעמולה פרו-רוסית המפיצה מסרים בשפה הצרפתית ברשתות החברתיות פייסבוק, טלגרם, YouTube, טוויטר ועוד. רשת הקמפיין הראשונה שהחוקרים חשפו הופיעה בשנת 2021 וכונתה בשם Russosphere. החוקרים מצאו כי הרשת קשורה לפעיל פוליטי בלגי ימני קיצוני, בשם לוק מישל (Luc Michel)[128] וכוללת יותר מ-78,000 עוקבים. על פי מחברי הדו"ח, מישל ניהל סדרה של אתרי אינטרנט שהוצגו כאתרי חדשות מקומיים במספר מדינות אפריקאיות, וקידם מסרים המצדדים בפיתוח קשרים הדוקים יותר עם רוסיה על חשבון המערב.

קמפיין ההשפעה השני שהחוקרים זיהו כוון נגד אזרחים אמריקאים, ובמסגרתו הגורמים המזוהים עם רוסיה קידמו ברשתות מסרים התומכים בהתנתקותה של מדינת דטרויט (Detroit) מארה"ב והקמת רפובליקה עצמאית, וכן נרטיבים אנטי-מערביים שהביעו תמיכה בחבירה לרוסיה.[129]

כמו כן, ב-22 בפברואר, קבוצת המחקר הפועלת ללא כוונת רווח, Reset, פרסמה נתונים לפיהם חשבונות פרו-רוסים הפועלים בטוויטר משתמשים בשירות החדש של מנויים בתשלום במטרה לקבל מעמד של סימון וי כחול, המשמש לאימות חשבונות. כך, החשבונות המציגים עצמם בתור גופי תקשורת עצמאיים, מפרסמים הצהרות של בכירים רוסים, מאמרים מכלי תקשורת בבעלות ממשלת רוסיה ומידע כוזב בנושא המלחמה באוקראינה, הזוכים לחשיפה גבוהה. קבוצת Reset זיהתה כי החשבונות שחשפה נוצרו בשלביה הראשונים של המלחמה באוקראינה, וכי החשבונות השיגו את הוי הכחול רק בעת האחרונה.[130]

במקביל לפרסומים המתמקדים בלעדית בלוחמת המידע של רוסיה, ב-7 בפברואר, שירות החוץ האירופי (EEAS)[131] פרסם דו"ח ראשון המבוסס על 100 מקרים של הפצת מידע כוזב מצד גורמים המזוהים עם רוסיה וסין, שאותרו ונותחו על ידי המחלקה לתקשורת אסטרטגית, צוותי משימה וניתוח מידע של ה-EEAS (SG.STRAT.2),[132] בין ה-1 באוקטובר ל-5 בדצמבר 2022. על פי מחברי הדו"ח, שיטת הפעולה הנפוצה ביותר של סין ורוסיה הייתה שימוש בתמונות וסרטונים מפוברקים ברשתות החברתיות, במטרה לפגוע בתדמיתן של מדינות יריבות ולערער על מהימנותם של מקורות מידע רשמיים. בד בבד, במטרה למסגר אירועים בין-לאומיים באופן המוטה לטובתן, שתי המדינות הפיצו עובדות מעוותת בקרב מקורות דיפלומטיים רשמיים. מחברי הדו"ח המליצו לגורמים העוסקים בהתמודדות עם מבצעי השפעה להקים מרכז לשיתוף וניתוח מודיעין (ISAC),[133] שיתמקד בשיפור עתידי של מסד הנתונים הכולל מידע על איומי סייבר (STIX).[134]

שיתופי פעולה

החודש נרשמו שיתופי פעולה בהובלת ארה"ב, בהתמודדות עם איומי סייבר על שרשראות האספקה, תשתיות חיוניות ופשעי סייבר. ב-2 בפברואר, הודיע הבית הלבן, כי מדינות הפורום הביטחוני-אסטרטגי המרובע (Quad),[135] הכולל את ארה"ב, יפן, הודו ואוסטרליה, התחייבו להקים פלטפורמות מאובטחות לשיתוף מידע בזמן אמת בין צוותי ה-CERT הלאומיים והמגזר הפרטי בנושא איומי סייבר, המבוססות על טכנולוגיות מתקדמות ולמידת מכונה. בנוסף, המדינות התחייבו לנסח מסגרת מתודולוגית שמטרתה לסייע לשמור על חסינותן של שרשראות האספקה של מערכות מידע ותקשורת ומערכות ,OT בקרב מגזרים חיוניים.[136] בנוסף, ב-7 בפברואר, השיקו מדינות ה-Quad קמפיין ציבורי המכונה בשם Quad Cyber Challenge, שמטרתו לספק לאזרחי מדינות הפורום וברחבי העולם משאבים, מידע והדרכה בסיסית בתחומי אבטחת הסייבר. כחלק מכך, באפריל 2023 עתיד להתקיים יום מוּדעוּת שיתמקד בפעולות לשיפור היגיינת סייבר, הטמעת הרגלי סייבר בטוחים ועוד.[137]

לצד מעורבותו באזור אסיה והאוקיינוס השקט, הוביל הממשל האמריקני יוזמה שמטרתה לשפר את היערכותן של בעלות בריתה של ארה"ב באירופה, להתמודדות עם איום פשעי הסייבר. ב-14 בפברואר, השירות החשאי של ארה"ב, בשיתוף האקדמיה למדעי הביטחון של אסטוניה (Estonian Academy of Security Sciences)[138] וסוכנויות אכיפת חוק מהמדינות הבלטיות, השיקו בטאלין (Tallinn) תכנית הכשרה לזיהוי פלילי במחשבים (CFTC).[139] במסגרת התכנית, יוכשרו מאות קצינים מרשויות אכיפת חוק במדינות הבלטיות להשתמש בטכנולוגיות חדישות, במטרה לשפר את הליכי חקירת פעילות סייבר עבריינית ולצורך התמודדות עם תקריות סייבר.[140]

לבסוף, במהלך החודש, זרוע היבשה של צבא בריטניה ארגן בטאלין את תרגיל הגנת הסייבר הבין-לאומי DCM 2,[141] בהשתתפות 34 צוותי אבטחת סייבר מ-11 מדינות, בהן ארה"ב, אוקראינה, הודו ובריטניה. במסגרת התרגיל, התמודדו הצוותים עם תקיפות שדימו את שיטות הפעולה של רוסיה במרחב הסייבר נגד אוקראינה במהלך שלביה הראשוניים של המלחמה ביניהן, כגון מתקפות נגד מערכות רובוטיות בלתי מאוישות ומערכות בקרה תעשייתיות.[142]

  1. National Credit Union Administration ; סוכנות ממשל המפקחת על תחום ביטוח איגודי אשראי פדראליים, שהינם מוסדות פיננסיים הדומים במאפייניהם לבנקים, אך פועלים בתור קואופרטיביים ללא כוונת רווח. ↑

  2. http://bit.ly/3kA6eKm ; http://bit.ly/3KIWhEZ ; http://bit.ly/3SwV3Pf ; https://bit.ly/3SwV3Pf ; http://bit.ly/3Y9egr8 ; http://bit.ly/3kwYOYa ; קישור למסמך המלא: https://bit.ly/3YfTHtp ↑

  3. Networking and Information Technology Research and Development’s National Coordination Office ; תכנית המשמשת למימון מחקר ופיתוח טכנולוגיות מידע בתחומי מחשוב, רשתות ותוכנה עבור הממשל הפדראלי. ↑

  4. The National Science Foundation ↑

  5. על פי חוק ה-Cybersecurity Enhancement Act of 2014, יש להציג תכנית מעודכנת כל ארבע שנים. ↑

  6. https://bit.ly/3HXoqFc ; קישור לבקשה: https://bit.ly/3EcVbNX ↑

  7. https://bit.ly/3ZtQGXX ↑

  8. Disruptive Technology Strike Force ↑

  9. Homeland Security Investigations ↑

  10. https://bit.ly/3xKIXrZ ; https://bit.ly/3IWBmx9 ; https://bit.ly/41uXZzK ↑

  11. Office of Management and Budget ↑

  12. https://bit.ly/3y8PyMZ ; https://cnn.it/3J7U05i ; קישור לתזכיר: https://bit.ly/3SIkNbp ↑

  13. https://cnn.it/3ERnmSS ; https://tcrn.ch/3y3JqWp ↑

  14. הצפנה העושה שימוש בפחות זיכרון, משאבי מחשוב ואנרגיה, בהשוואה לשיטות הצפנה אחרות. שיטה זו מותאמת להצפנת מכשירים בעלי משאבים מוגבלים, כגון חיישנים המותקנים במכשור רפואי, כבישים וגשרים. קבוצת Ascon פותחה בשנת 2014 על ידי צוות מומחי הצפנה מאוניברסיטאות וחברות בגרמניה ואוסטריה. ↑

  15. Authenticated Encryption with Associated Data; AEAD הוא סְכֶמָת הצפנה סימטרית, המסייעת גם לאמת את המידע המוצפן ואת אמינותו באמצעות שליחת header נוסף שאינו מוצפן ונשלח לצד המידע. ↑

  16. בהצפנה קלת מִשְׁקָל, גיבוב עשוי לעזור בבדיקה אם עדכון תוכנה מסוים מתאים למכשיר והאם העדכון הורד כראוי. https://bit.ly/3I1rnor ; https://bit.ly/3S29H0z ↑

  17. Controlled Unclassified Information; מידע שאיננו מסווג אך מצריך הגנה מפאת אופיו, לדוגמה, מידע המאפשר לגלות את זהותו של אדם, כגון מספרי ביטוח לאומי. ↑

  18. https://bit.ly/3SFUuT9 ↑

  19. Defense Information Systems Agency ↑

  20. מטרת התכנית להטמיע טכנולוגיות שונות על מנת להקים ארכיטקטורת רשת מבוססת אפס אמון במחלקת ההגנה, כגון הנגשת שירותי ענן למשתמשים מרחוק. ↑

  21. https://bit.ly/3xOuTxE ; https://bit.ly/3Z5Ixsk ↑

  22. Department of Defense Chief Information Officer ↑

  23. Cyberspace Workforce Qualification and Management Program ↑

  24. DoD Cyber Workforce Framework; המסגרת מגדירה את מערך הכישורים הנחוץ לעובדים בחמישה תחומים: הקמת ותפעול תשתיות IT; הגנה על רשתות ומאגרי מידע; תמיכה בביצוע משימות שוטפות במרחב הסייבר; איסוף ועיבוד מודיעין סייבר; תמיכה בביצוע המשימות שתוארו לעיל (גיוס כוח אדם, רכש ועוד). ↑

  25. https://bit.ly/3SaPiq2 ; קישור למסמך: https://bit.ly/3XGbqtK ↑

  26. Army’s Combat Capabilities Development Command Army Research Laboratory ↑

  27. הבקשה פורסמה במקור ב-2 בפברואר 2023 ותאריך היעד לקבלת הצעות עמד על 22 בפברואר. המועד העדכני הוא ה-8 במרץ 2023. https://bit.ly/3Y8FWMM ↑

  28. https://bit.ly/3IYVizs ↑

  29. Threat Analysis Group ↑

  30. יחידה הפועלת לשיפור מידת האבטחה של מוצרי ושירותי חברת גוגל מפני איומים כגון נוזקות, דואר זבל והשתלטות על חשבונות. ↑

  31. https://bit.ly/3Z3Rsdg; קישור לדו"ח: https://bit.ly/3EmutT4 ↑

  32. Estonian Foreign Intelligence Service ↑

  33. https://bit.ly/3XxA13z ; קישור לדו"ח המלא: https://bit.ly/3xhELQa ↑

  34. https://bit.ly/3xoIBqN ; https://bit.ly/3ZtUwzN ↑

  35. http://bit.ly/41DDQYy ↑

  36. http://bit.ly/40XnU2R ; הקישור לדו"ח המלא: https://bit.ly/3lDuYS3 ↑

  37. https://bit.ly/3xypx9R ↑

  38. United States Agency for International Development ↑

  39. פורטל אינטרנט ואפליקציה של ממשל אלקטרוני באוקראינה, המאפשרים לאזרחיה להשתמש במסמכים דיגיטליים, במקום במסמכי נייר. הפלטפורמה פותחה על ידי המשרד לטרנספורמציה דיגיטלית בממשלת אוקראינה, בסיוע USAID. https://bit.ly/3kqlmdd ; https://bit.ly/3Ewt7VM ↑

  40. http://bit.ly/3xxx9ZX ↑

  41. https://bit.ly/3m7q8N5 ; קישור לדו"ח: https://bit.ly/3EP3EqE ↑

  42. https://bit.ly/3Ze752t ; קישור לדו"ח: https://bit.ly/3YeV6Ap ↑

  43. Developing Cyber-Resilient Systems: A Systems Security Engineering Approach ↑

  44. Cyber Resiliency Engineering Framework ↑

  45. https://bit.ly/3x0ZNCB ; קישור למדריך: https://bit.ly/3HIp2OS ↑

  46. The Australian Cyber Security Centre ↑

  47. https://bit.ly/3Ekxi73 ↑

  48. National Office for Cyber Security ↑

  49. https://bit.ly/41IWhek ↑

  50. https://ab.co/3ZHkdgu ; https://bit.ly/3ZoiT28 ↑

  51. Centre for Cybersecurity Belgium ↑

  52. http://bit.ly/3kzhlTF ; http://bit.ly/3IvXvkb ; http://bit.ly/3ISk446 ; http://bit.ly/3IvqbKc ↑

  53. Head of the State Duma Committee on Information Policy ↑

  54. https://bit.ly/3lXftoe ↑

  55. The Department of the Interior's Bureau of Safety and Environmental Enforcement; הסוכנות אחראית על תחומי הבטיחות והגנת הסביבה בתעשיות הגז והנפט של ארה"ב, בייחוד בשטחי המדפים היבשתיים שלה. ↑

  56. https://bit.ly/3HRGZux ; קישור לדו"ח: https://bit.ly/3YqYokP ↑

  57. כל סוכנות מסוג זה מוגדרת בתור Sector Risk Management Agency, והן אחראיות על ניהול סיכונים בקרב 16 ענפי התשתיות החיוניות בארה"ב. ↑

  58. על פי החוק, הסוכנויות נדרשות לסייע ל-CISA ליישם יוזמות לאומיות בנושא אבטחת הסייבר של תשתיות חיוניות. ↑

  59. https://bit.ly/3RWhWve ; קישור לדו"ח: https://bit.ly/3E2q8nF ↑

  60. Wide Area Network ↑

  61. Whitelisted IP addresses; https://bit.ly/3EcsZdR ; קישור לדו"ח: https://bit.ly/3jSIrFf ↑

  62. ISA Security Compliance Institute; ISCI, הוא קונסורציום תעשייה ללא כוונת רווח המתמקד בהכשרת מערכות לבקרה ואוטומציה תעשייתית. ↑

  63. International Society of Automation; אגודה הכוללת מהנדסים, טכנאים ומומחים נוספים בתחום האוטומציה, הפועלת לניסוח תקנים והכשרת מומחים באוטומציה. ↑

  64. Conformity Assessment Scheme; תכניות אלו משמשות יצרנים לבדוק אם מוצריהם עומדים בדרישות מסוימות (למשל, כאלו שהוגדרו על ידי גופי תקינה). ↑

  65. תקנים מסוג זה קובעים דרישות ותהליכים להטמעה ותחזוקה של מערכות אוטומציה ובקרה תעשייתיות. ↑

  66. https://bit.ly/3jZQ8JG ↑

  67. Critical Infrastructure Risk Management Program ↑

  68. התיקונים הקודמים לחוק העוסק בהגנה על תשתיות חיוניות מפני איומים על הביטחון הלאומי אושרו בשנים 2021 ו-2022.https://bit.ly/3ywJtdN ↑

  69. Cyber and Infrastructure Security Centre ↑

  70. https://bit.ly/3mi0CoB ; https://bit.ly/3ZeXNTS ; http://bit.ly/3LjsaUR ↑

  71. קישור למסמך: https://bit.ly/41Gki5C ↑

  72. Energy Cybersecurity University Leadership Program ↑

  73. https://bit.ly/3xovZQw ; https://bit.ly/3lEimtL ↑

  74. https://bit.ly/3xZQL9C ↑

  75. The International Organization for Standardization ↑

  76. https://bit.ly/3SoBpVq; קישור להמלצות: https://bit.ly/3InsaQF ↑

  77. Italy's National Cybersecurity Agency ↑

  78. החולשה עלולה לאפשר לתוקפים להוציא לפועל פקודות באופן שרירותי (arbitrary code) מרחוק. ↑

  79. https://fxn.ws/3YrkumX ; https://politi.co/3HDGzrz ; https://tcrn.ch/3I5PXpB ; https://bit.ly/40AktPq ↑

  80. Federal Deposit Insurance Corporation’s office of inspector general ↑

  81. Information Technology Risk Examinations ↑

  82. התכנית מתמקדת בארבעה היבטים של מתן מענה לסיכונים לתשתיות IT: זיהוי, מדידה, מעקב ושליטה. אף על פי כן, הביקורת לא מתבצעת באופן אחיד בכל מוסד, אלא תחומיה נקבעים בהתאם לממצאי שאלון מקדים, שנשלח לכל מוסד הצפוי לעבור ביקורת כשלושה חודשים לפני ביצועה. ↑

  83. Framework for Improving Critical Infrastructure Cybersecurity ↑

  84. הכלי פותח על ידי FDIC בשנת 2017 על מנת לבחון דו"חות שונים ש-FDIC פרסמה בנוגע ל- InTREx. ↑

  85. Division of Risk Management Supervision ↑

  86. https://bit.ly/3HFRotf ; קישור לדו"ח: https://bit.ly/3Y9Q2hv ↑

  87. https://reut.rs/3Ifvmiz ; קישור לדו"ח: https://bit.ly/3jWhznx ↑

  88. European Systemic Risk Board; מועצה השייכת לבנק האירופי המרכזי והמופקדת על בקרה על המערכת הפיננסית האירופית, במטרה סייע לה בהתמודדות עם סיכונים מערכתיים המאיימים עליה. כמו כן, המועצה מנטרת סיכונים על תשתיות אחרות, שבנקים משתמשים בהן. ↑

  89. Cyber Resilience Scenario Testing ↑

  90. Systemic Impact Tolerance Objective ↑

  91. https://reut.rs/3knbgtv ; קישור לדו"ח: https://bit.ly/3YTPz3q ↑

  92. National Credit Union Administration ; סוכנות ממשל המפקחת על תחום ביטוח איגודי אשראי פדראליים, שהינם מוסדות פיננסיים הדומים במאפייניהם לבנקים, אך פועלים בתור קואופרטיביים ללא כוונת רווח. ↑

  93. https://bit.ly/3ItJhAq ↑

  94. Infrastructure for Resilience, Interconnectivity and Security by Satellite ↑

  95. https://bit.ly/3YtjWNb; https://bit.ly/3kh8wxE ↑

  96. European Space Agency ↑

  97. European Defence Fund ; גוף באיחוד האירופי המעניק תמיכה כספית למחקרים בנושא ביטחון לאומי במדינות האיחוד והמקדם פעילות משותפת ביניהן. https://bit.ly/3Kkjzkl ; https://politi.co/3YX8k5m ↑

  98. https://bit.ly/3KmrD4k ; https://politi.co/3YX8k5m ↑

  99. https://bit.ly/3HQiZYZ ↑

  100. Health Sector Cybersecurity Coordination Center ↑

  101. Department of Health and Human Services ↑

  102. DNS Time-to-Live. ↑

  103. https://bit.ly/3IPAvOo ; קישור לאזהרה: https://bit.ly/3IVG7Hd ↑

  104. National Intelligence Service ↑

  105. Remote Desktop Protocol ↑

  106. https://bit.ly/3k0AAoU ; קישור לאזהרה: https://bit.ly/3RWSNR3 ↑

  107. Man-in-the-Middle ↑

  108. Engine control unit ↑

  109. התקני חומרה המתחברים למחשבים שברכבים, למטרת איסוף מידע מסוגים שונים בזמן אמת, כגון נתוני האצה ובלימה ונהיגה במהירות מופרזת. לעיתים, הם מסופקים לנהגים על ידי חברות ביטוח. ↑

  110. https://bit.ly/3YS9AqE ↑

  111. Open Charge Point Protocol ↑

  112. Charging System Management Service ↑

  113. https://bit.ly/3jF968o ; קישור להודעה: https://bit.ly/3jKyKs9 ↑

  114. University Transportation Centers ; מרכזים אלו עוסקים במחקרים טכנולוגיים ובהכשרת מומחים בתחום התחבורה. ↑

  115. Cyber-physical-social systems; מערכות המקיימות תקשורת עם משתמשים וכן תקשורת עם מערכות נוספות. מערכות אלו עובדות על סמך שימוש בטכנולוגיות מגוונות, בהן בינה מלאכותית ומציאות מדומה. https://bit.ly/3KD1Ogr ↑

  116. The University of Maryland ↑

  117. Digital and Cyber Railway Engineering and Operations Center ↑

  118. https://go.umd.edu/3xxHrJB ; https://bit.ly/3XIUKBF ↑

  119. https://bit.ly/3Iq4axR ↑

  120. Civil Aviation Research Organisation ↑

  121. Airports Authority of India ↑

  122. https://bit.ly/3KHi4x4 ↑

  123. https://bit.ly/3kCdOUS ↑

  124. אלגוריתם CRYSTALS-Kyber עושה שימוש במפתחות הצפנה קטנים הניתנים להחלפה בין שני הצדדים המתקשרים. ↑

  125. Key Encapsulation Mechanism ; סוג של טכניקות הצפנה שנועדו לאבטח מפתחות קריפטוגרפיים סימטריים באמצעות שימוש באלגוריתמים א-סימטריים (מפתח ציבורי). ↑

  126. https://bit.ly/3EyCwfD ; קישור למאמר: https://bit.ly/3Z2RK4J ↑

  127. https://blck.by/3x6BpiQ ↑

  128. על פי החברה, למישל קשרים עם קבוצת ואגנר וקבוצות ניאו-נאציות אירופאיות. כמו כן, מישל הקים בשנת 1994 את מפלגת ה-National-European Communitarian Party ובשנת 2006 הקים את הארגון האירו-אסייתי לדמוקרטיה ובחירות (EODE), במסגרתו התיימר לפקח על בחירות ולבקר מערכות פוליטיות. ↑

  129. https://bit.ly/3IhIDXK ; קישור לדו"ח המלא: https://bit.ly/3YrlmZ7 ↑

  130. https://wapo.st/41qEJ6H ↑

  131. European External Action Service ↑

  132. The Strategic Communication, Task Forces and Information Analysis Division; המחלקה מספקת ל-EEAS תמיכה בגיבוש מאפייני תקשורת אסטרטגית ליישום עקרונות מדיניות ותכניות האיחוד האירופי במדינות מזרח אירופה, הבלקן וצפון אפריקה. ↑

  133. Information Sharing and Analysis Center ↑

  134. Structured Threat Information Expression; ניתן להשתמש בו גם לשיתוף תובנות על מבצעי השפעה זרים. https://bit.ly/3lrDTGk ; קישור לדו"ח: https://bit.ly/3Ib0647 ↑

  135. Quadrilateral Security Dialogue ↑

  136. https://bit.ly/3YkDcgv ↑

  137. https://bit.ly/3Z93t1n ↑

  138. מוסד אקדמי הכפוף למשרד הפנים של אסטוניה ומטרתו להכשיר עובדי ציבור מקומיים בתחומים ביטחוניים שונים. ↑

  139. The Baltic Computer Forensics Training Program ↑

  140. https://bit.ly/3Zc6JsD ↑

  141. Defence Cyber Marvel 2 ↑

  142. unmanned robotic systems ; https://bit.ly/3kCRbQb ↑

קודם בסדרה: דו"ח מדיניות וביטחון סייבר הבא בסדרה: דו"ח מדיניות וביטחון סייבר קודם בארכיון: דו"ח מדיניות וביטחון סייבר הבא בארכיון: דו"ח מדיניות וביטחון סייבר חזרה לרשימה