חזרה לרשימת הפרסומים

דו"ח מדיניות וביטחון סייבר

גודל טקסט18

אפריל 2023

דו"ח מדיניות וביטחון סייבר

תוכן עניינים

תקציר חודשי 2

ארה"ב 3

ממשל, אסטרטגיה ומדיניות 3

חקיקה 5

צבא וביטחון 6

אירופה 8

סיכום זירת הסייבר על רקע הפלישה הרוסית לאוקראינה 8

האיחוד האירופי 10

בריטניה 10

ביטחון סייבר 11

איומי סייבר על תשתיות חיוניות 13

איומי סייבר על ענף האנרגיה 15

איומי סייבר על שרשראות אספקה 16

איומי מתקפות הכופרה 17

איומי סייבר על מגזר הפיננסים 18

איומי סייבר על ענף הבריאות 18

איומי סייבר על מערכות חלל 19

מחשוב קוונטי 21

בינה מלאכותית 22

רשתות דור G5 ו-G6 23

כוח אדם והכשרות 24

השפעה, הטיית דעת קהל והסתה 25

שיתופי פעולה 25

תקציר חודשי

מחלקת המדינה האמריקנית הודיעה על כוונתה לספק הכשרה בתחומי הטכנולוגיה לנציגים דיפלומטים ולהציבם בכל אחת מבין 168 שגרירויות ארה"ב ברחבי העולם, עד לסוף שנת 2024; על רקע פעילותה של סין, הציגו מספר מחוקקים הצעת חוק דו-מפלגתית שמטרתה לקדם את שיתוף הפעולה של מחלקת ההגנה עם טייוואן בתחום הגנת הסייבר; החודש נחשפו פרטים על תכניות ויוזמות של דארפ"א לפתח כלים שיסייעו בזיהוי חולשות אבטחה ואיומי סייבר על תשתיות חיוניות ותוכנות, ויספקו להם מענה.

הסוכנות לאבטחת סייבר ותשתיות (CISA) פרסמה אזהרות בנושא חולשות אבטחה בתשע מערכות לבקרה תעשייתיות מתוצרת חברות מתחום ייצור ציוד האלקטרוניקה, שניצולן עלול לגרום לשיבוש פעילותן של תשתיות חיונית בעולם, בהן תשתיות מענף האנרגיה; סוכנויות ממשל מארה"ב, מגרמניה ומבריטניה, פרסמו הנחיות משותפות הקוראות ליצרנים לתעדף פיתוח של מוצרים טכנולוגיים על פי עקרונות ה-Secure-by-Design והאבטחה כברירת מחדל (Secure-by-Default); על רקע סירובה של חברת השירותים הפיננסים האוסטרלית, Latitude Financial לשלם דמי כופר בעקבות פריצה שחוותה במרץ 2023, הודיעה ממשלת אוסטרליה כי היא שוקלת לקדם חוק האוסר על ביצוע תשלומי כופר במדינה; המרכז לשיתוף ולניתוח מידע לשירותים פיננסים (FS-ISAC)[1] ארגן סימולציות המדמות מתקפת סייבר על ענף הפיננסים, כחלק מתרגיל אבטחת הסייבר השנתי הבין-לאומי של ברית נאט"ו, Locked Shields 2023 שהתקיים באסטוניה.

נציבות ה-Cyberspace Solarium האמריקנית, המשמשת כארגון הפועל ללא כוונת רווח, פרסמה דו"ח, בו המליצה לממשל הפדראלי האמריקני להגדיר מערכות חלל כתשתית חיונית. בנוסף, על פי מסמך מודלף שחיברה ה-CIA, מפתחת סין יכולות סייבר מתוחכמות שיסייעו לה להשתלט על לוויינים בעת מלחמה; ארה"ב, קנדה והודו הציגו תכניות ותקציבים בסך כולל של מאות מיליוני דולרים, שמטרתם לקדם את המחקר המדעי, התעשייתי והצבאי בתחום המחשוב הקוונטי; בריטניה השיקה תכניות ותקציב בסך כולל של כ-150 מיליון ליש"ט (כ-180 מיליון דולר) שמטרתם לקדם את המחקר, הפריסה וההטמעה של רשתות ה-G5 וה-G6 ברחבי המדינה; גרמניה, איטליה וספרד, החלו לבחון את השלכות השימוש בצ'טבוט המבוסס טכנולוגיית הבינה המלאכותית, ChatGPT על פרטיות המידע של אזרחיהן.

ארה"ב

ממשל, אסטרטגיה ומדיניות

החודש המשיך הממשל לקדם את הטמעת תפיסת ההגנה ההוליסטית בהתמודדות עם איומי סייבר, כאשר ב-11 באפריל פרסמה CISA את הגִּרְסָה השנייה של מודל למדידת בשלות הטמעת אפס האמון, (ZTMM)[2] שמטרתו לסייע לסוכנויות פדראליות לבצע את המעבר לארכיטקטורות רשת המבוססות על עקרונות אפס האמון (Zero-Trust). הגִּרְסָה העדכנית של המסמך נשענת על הערות שהתקבלו מהציבור על הגִּרְסָה הראשונה של המודל, שפרסמה CISA ביוני 2021. בעוד שהמודל הראשוני הציג שלוש רמות בשלות,[3] המודל הנוכחי הוסיף רמת בשלות חדשה, Initial, שמטרתה לסייע לארגונים להעריך את רמת המוכנות שלהם בכל אחד מחמשת מרכיבי המודל: מתן גישה מוגבלת למשתמשים ובהיקף הנחוץ; אימות זהות מכשירים; חלוקת הרשת למקטעי משנה (Micro-segmentation); הענקת גישה מאובטחת לנתונים והגנה עליהם; ושיפור נושא אבטחת היישומים.[4]

בה בעת, הוביל הבית הלבן את נושא החלפת תשתיות ה-IT בקרב גופי הממשל. ב-4 באפריל, הציג שירות מס ההכנסה (IRS)[5] תכנית פעולה אסטרטגית לשנים 2031-2023 ותקציב בסך 12.4 מיליארד דולר, שמטרתם לשפר את השירות לאזרחי ארה"ב וגורמי המקצוע בתחום המיסוי, באמצעות חידוש תשתיותיו הטכנולוגיות, החלפת מערכות ומאגרי מידע מיושנים, הטמעת ארכיטקטורת רשת מבוססת עקרונות אפס האמון וכן קידום הטמעת השימוש בתשתיות ענן.[6]

היוזמות לחידוש התשתיות הפדראליות ולקידום המעבר לפתרונות מבוססי עקרונות אפס האמון, הושקו ברקע מידע חדש שנחשף בנושא יכולות הסייבר של סין. במסמכים המסווגים שהודלפו מהפנטגון במהלך החודש, נכלל גם מסמך מאת משרד ראש המודיעין הלאומי (ODNI) מפברואר 2023, לפיו צבא סין פועל לשפר את הסביבות הווירטואליות שברשותו על מנת לבחון את יכולות הסייבר ההתקפיות שלו ולשפר את יכולותיו לחדור לרשתות ממשלתיות וצבאיות בארה"ב, הבנויות על בסיס ארכיטקטורת רשת מבוססת עקרונות אפס האמון, בטווח של חמש שנים לכל היותר.[7]

לצד זאת, ב-11 באפריל, פרסם המרכז ללוחמת מידע ימית שבאזור האוקיאנוס השקט (NIWC Pacific)[8] בשם סוכנות הפיתוח של קהילת המודיעין האמריקנית (IARPA),[9] בקשה לקבלת הצעות מהמגזר הפרטי במסגרת תכנית ReSCIND.[10] מטרת התכנית לפתח שיטות חדשניות לזיהוי הטיות קוגניטיביות בדפוסי הפעולה של תוקפים, להשתמש במודלים מתחום הפסיכולוגיה במטרה לנבא את התנהגותם וכך לפתח פתרונות אבטחה מותאמים.[11]

כמו כן, ב-21 באפריל, הודיע מזכיר המחלקה לביטחון המולדת, אלחנדרו מיורקס (Alejandro Mayorkas), על השקת יוזמה הכוללת הקמה של כוח משימה שיבחן את ההשלכות הפוטנציאליות של השימוש של האקרים בטכנולוגיית הבינה המלאכותית, כגון יצירת מתקפות דיוג מותאמות אישית. כמו כן, יבחן הכוח דרכים לשימוש אחראי בבינה מלאכותית לטובת שיפור מידת האבטחה של תשתיות חיוניות וכן במטרה לסייע למחלקה לבצע את משימות ההגנה השוטפות שלה. כמו כן, הציג מיורקס יוזמה נוספת, במסגרתה תבצע המחלקה ביקורת בת שלושה חודשים, שתוקדש לחקר מגוון איומים ממקורות סיניים על ביטחונה הלאומי של ארה"ב, לרבות מתקפות פיזיות וסייבר נגד תשתיות חיוניות.[12]

על רקע המאבק לשמירה על עליונותה של ארה"ב בחלק מתחומי הטכנולוגיה, ב-12 באפריל, השגריר האמריקני המיוחד לענייני מרחב הסייבר ולמדיניות דיגיטלית[13] נייט פיק (Nate Fick), הודיע כי בכוונת מחלקת המדינה להציב נציגים דיפלומטים בעלי מומחיות טכנולוגית בכל אחת מ-168 השגרירויות האמריקניות בעולם, עד סוף שנת 2024. כחלק מכך, בכוונת המחלקה לקדם ולתמרץ הכשרות טכנולוגיות לדיפלומטים, בכדי להקנות להם את המיומנויות הנדרשות.[14] פיק הוסיף כי חלה עלייה בפניות מצד בעלות בריתה ושותפותיה של ארה"ב במטרה לקבל סיוע בהגנת סייבר ובניהול מבצעי Hunt Forward משותפים. עם זאת, ציין פיק כי קיים ספק בנושא יכולתה של ארה"ב לסייע, עקב הביקוש הרב לעזרה.[15]

החודש נחשפו גם פרטים בנושא האיום שמציבים האקרים הפועלים בחסות סין על ארגונים ותשתיות בארה"ב. במסגרת שימוע שערכה ב-27 באפריל תת-הוועדה לנושא הקצבות בבית הנבחרים,[16] אמר ראש ה-FBI, כריסטופר ריי (Christopher Wray), שכוח האדם המוקדש בסין למבצעי סייבר גדול פי 50 מכוח האדם הזמין לרשות ה-FBI בתחום אבטחת הסייבר. על רקע יכולות הסייבר המתקדמות של סין המאתגרות את ארה"ב, הציג ריי דרישות תקציביות הנחוצות לארגון לשנה הפיסקאלית 2024, בהן בקשת תקציב בסך 63.4 מיליון דולר עבור שיפור היכולות לשיתוף מודיעין סייבר וגיוס 192 עובדים חדשים למקצועות הסייבר.[17]

בנוסף, ב-18 באפריל, פרסם NIST לתגובות הציבור, טיוטה של עדכנית של מסמך ה- NICE Framework Work Role Categories and Work Roles, המציג עדכונים למשימות המזוהות עם תחום אבטחת הסייבר ואת הכישורים והידע הנחוצים במטרה לבצען.[18] במסגרת המסמך המעודכן, שפורסם כחלק מהיוזמה הלאומית להכשרה בתחום אבטחת הסייבר (NICE),[19] הורחבה קטגוריית משימות הגנה (Protection and Defense) שהוגדרה בשנת 2017 כמשימות לזיהוי וטיפול באיומי סייבר בהתמקדות במערכות ורשתות IT פנים ארגוניות וכוללת כעת בהגדרתה גם מתן מענה וחקר אירועי סייבר בקרב רשתות ומערכות OT. הטיוטה העדכנית מבוססת על תגובות שהתקבלו מהציבור על גִּרְסָה קודמת של המסמך, שפורסמה בנובמבר 2020.[20]

חקיקה

על רקע הרחבת פעילותה של סין במרחב הסייבר, הציגו ב-20 באפריל הסנאטורים ג'קי רוזן (Jacky Rosen) ומייק ראונדס (Mike Rounds) וכן נציגי בית הנבחרים מייק גלאגר (Mike Gallagher) וכריסי הולהאן (Chrissy Houlahan) את הצעת החוק הדו-מפלגתית, Taiwan Cybersecurity Resiliency Act. ההצעה מנחה את מחלקת ההגנה לקדם את שיתוף הפעולה עם טייוואן בתחום אבטחת הסייבר, באמצעות הובלת תרגילים משותפים ועל ידי סיוע בהגנה על תשתיות ורשתות צבאיות.[21]

נושא נוסף שעמד על סדר יומו של הקונגרס, הוא ההגנה על מערכות ענף החינוך מפני איומי סייבר. ב-18 באפריל, יושב ראש וועדת הסנאט לענייני מודיעין, הסנאטור מארק וורנר (Mark Warner) והסנאטורית מארשה בלקברן (Marsha Blackburn), הציגו את הצעת החוק הדו-מפלגתית Enhancing K-12 Cybersecurity Act. ההצעה מנחה את CISA לתת לבתי ספר גישה למודיעין איומי סייבר ולמשאבים נוספים ולאסוף מידע בנושא תקריות סייבר בקרב מוסדות חינוך. בנוסף, מנחה הצעת החוק את CISA להקים מנגנון חדש, שיאסוף ויפרסם, בשיתוף עם מוסדות ממשל פדראליים, מדינתיים וברמה המקומית וכן עם ארגונים לא ממשלתיים, שיטות עבודה מומלצות ויעניק ומענקים בתחום אבטחת הסייבר בבתי ספר. כמו כן, קוראת ההצעה ל-CISA להשיק תכנית ותקציב בסך 10 מיליון דולר עבור השנים הפיסקאליות 2024 ו-2025, שתנוהל על ידי ארגון חיצוני לשיתוף ניתוח מידע (ISAO)[22] ותעסוק בהטמעת יכולות בתחום אבטחת הסייבר בבתי ספר, להתמודדות עם מתקפות כופרה ואיומים נוספים. ההצעה לא התקדמה בשלבי החקיקה, למרות שהועלתה בשנים 2021-2020 על ידי סנאטורים אחרים.[23]

צבא וביטחון

החודש פעלה דארפ"א על מנת לשפר את מידת אבטחת הסייבר של תוכנות הנמצאות בשימוש מחלקת ההגנה באמצעות השקת תכנית ה-CPM.[24] במסגרת התכנית, מחפשת דארפ"א שותפות מהמגזר הפרטי במטרה לפתח כלים אוטומטיים שיוכלו לעצב מחדש תוכנות ולחלקן לחלקים מתוחמים (compartments), כשכל אחד מהם יהיה בעל תפקוד מוגדר ופועל בנפרד ובהתאם לעקרון ה-Least Privilege. התכנית מיועדת להימשך עד לשנת 2027, כשחלקה הראשון יוקדש לפיתוח, בעוד חלקה השני יתמקד בבחינת יכולות במערכות קוד פתוח, המייצגות מערכות חיוניות הקיימות ברשותה של מחלקת ההגנה. לדברי מנהל התכנית, הווארד שרוב (Howard Shrobe), הצורך בתכנית נובע מכך שעד היום, טכניקות למידור מדויק (Fine-grained compartmentalization) הוגבלו למערכות שאינן חיוניות, בשל שיקולי עלות ולכן הפרויקט עשוי להדגים כיצד ניתן לבצע מידור מסוג זה במערכות בקנה מידה נרחב ובעלות נמוכה יותר.[25]

בד בבד, ב-5 באפריל פורסמו פרטים חלקיים בנושא התכנית המסווגת FIRE[26] שהשיק המשרד לטכנולוגיית מיקרו-מערכות (MTO)[27] הכפוף לדארפ"א. מטרת התכנית לפתח כלים חדשים שיוכלו לאתר, לבצע הנדסה לאחור, לנצל ולתקן חולשות אבטחה במערכות סייבר-פיזיות,[28] כגון רשתות חשמל, מערכות בכלי רכב אוטונומיים ומערכות בקרה תעשייתית. במסגרת התכנית, צפויה דארפ"א לחתום על חוזים עם גופים מהמגזר הפרטי והאקדמיה עד לסתיו 2023, כשמערך ראשון של כלי אבחון צפוי להיות מוכן למסירה באביב 2024, בעוד כלל שלבי המחקר והפיתוח צפויים לארוך עד אמצע 2027.[29]

לצד מאמצים אלו, החודש עמדה מחלקת ההגנה לביקורת סביב נושא רכש התוכנות. משרד המבקר הממשלתי (GAO) פרסם דו"ח, שבחן כיצד מיישמת המחלקה 17 המלצות שפרסמו מועצת המדע בתחום ההגנה (DSB)[30] והמועצה לחדשנות בתחום ההגנה (DIB)[31] בשנים 2018 ו-2019, בהתאמה, בנושא שיפור הליכי רכש התוכנה המחלקתיים. על פי הדו"ח, במרוצת השנים יישמה המחלקה ארבע המלצות במלואן, הנוגעות להשקת מסלולי רכישה חדשים של תוכנות, מתן משקל לשיקולי אבטחה ברכישתן ועוד. לעומת זאת, יתר ההמלצות יושמו באופן חלקי, בהן הקניית ידע מקצועי וטכנולוגי למנהלים במטרה לשפר את ביצוע תכניות הרכש. מחברי הדו"ח הוסיפו כי גורמים במחלקת ההגנה ציינו כי אין בכוונתה להשלים את יישום כלל 13 ההמלצות הנותרות. בסוף הדו"ח, הציגו המחברים שבע המלצות שמטרתן לשפר את תהליכי הרכש, בהן זיהוי המשאבים הכספיים והאנושיים במחלקה, הגדרת אבני הדרך למעקב אחר התקדמות ביישום תהליכי החדשנות ועוד.[32]

אירופה

סיכום זירת הסייבר על רקע הפלישה הרוסית לאוקראינה

החודש נחשפו פרטים בנושא מעורבותן של קבוצות האקרים פרו-רוסיות במלחמה ובמקביל, הזהיר בכיר אמריקני מפני תקיפות סייבר מצד האקרים רוסיים שעלולות לפגוע באספקה הלוגיסטית המועברת לאוקראינה במלחמה. כמו כן, פרסמה ממשלת רוסיה נתונים על תקיפות סייבר שחוותה לכאורה במסגרת הלחימה ובחודשים שקדמו לפלישתה לאוקראינה.

ב-11 באפריל, דיווחו מספר כלי תקשורת בעולם כי על פי מסמכי הפנטגון המודלפים, קבוצת ההאקרים הרוסית Zarya[33] והמזוהה ככל הנראה עם שירות הביטחון הפדראלי של רוסיה (FSB), פרצה לכאורה בפברואר 2023 לרשת של ספקית גז טבעי קנדית, ששמה לא צוין. לדברי ראש ממשלת קנדה, ג'סטין טרודו (Justin Trudeau), לא נגרם נזק פיזי לתשתית הגז של קנדה. גופי תקשורת אמריקניים ציינו כי אם אכן המתקפה אירעה, מדובר במקרה הראשון בו האקטיביסטים רוסים התמקדו במערכת בקרה תעשייתית במדינה מערבית כחלק מהמלחמה.[34]

במקביל לכך, הזהיר ראש מִינְהֶלֶת אבטחת הסייבר בסוכנות ה-NSA, רוב ג'ויס (Rob Joyce), כי האקרים רוסים עלולים לבצע מתקפות כופרה על שרשראות האספקה באוקראינה ובמדינות אירופאיות במטרה לשבש העברה של סיוע הומניטרי ואמצעי לחימה. כמו כן, הזהיר ג'ויס מהתרחבות תקיפות הסייבר המיוחסות להאקרים רוסים מעבר לשטחה של אוקראינה, לעבר מטרות לוגיסטיות במדינות מערביות, לרבות ארה"ב.[35]

החודש פורסם גם מידע בנושא קשריהן של קבוצות האקטיביסטים רוסיות לגופי המודיעין של רוסיה. ב-20 באפריל פרסמו חוקרים מטעם היוזמה האירופית לחקר סכסוכים במרחב הסייבר (ECCRI)[36] דו"ח, שחובר בתיאום עם המרכז הלאומי לאבטחת סייבר של בריטניה (NCSC), לפיו המודיעין הצבאי של רוסיה (GRU) נעזר בשירותיהן של קבוצות האקרים חיצוניות, במטרה לבצע תקיפות סייבר. עם זאת, ציינו מחברי הדו"ח, כי ככל שפעולות הסייבר גוברות, כך רשת הארגונים המעורבים מתרחבת וה-GRU מתקשה לשלוט בפעולותיהם באופן הדוק ומתואם.

לדברי המחברים, במהלך המלחמה העדיף ה-GRU להשתמש בנוזקות Wiper שאינן מכילות פונקציות נוספות,[37] על פני שימוש בנוזקות מורכבות יותר במטרה לזרז הליכי פיתוח, לחסוך במשאבים וכן לבצע בהן שינויים במהירות, בהתאם לצורך.[38]

בנוסף, ב-27 באפריל טען ראש המחלקה לאבטחת מידע וסייבר של שירות הביטחון של אוקראינה,[39] איליה ויטיוק (Illia Vitiuk), כי יותר מ-90% מהתקפות הסייבר שחוותה ארצו במהלך המלחמה בוצעו על ידי סוכנויות המודיעין של רוסיה או קבוצות הפועלות בחסותן, ולא בידי האקטיביסטים רוסים. לדבריו, ממשלת רוסיה כופה על הקבוצות הללו לבצע התקפות או לפרסם מידע שהושג על ידי יחידות האקרים ממשלתיות בעלות יכולות מבוססות.[40]

בד בבד, ב-19 באפריל דיווח עיתון ה-Washington Post כי על פי דו"ח מודיעין מסווג שהגיע לידיו, בחנה רוסיה במהלך מרץ 2023 את השימוש במערכת לוחמה אלקטרונית המכונה בשם Tobol במטרה לשבש את אותות (jamming) רשת התקשורת הלוויינית Starlink של חברת SpaceX, המשמשת את חיילי צבא אוקראינה. על פי הדיווח, חשפו מחברי הדו"ח כי האמצעי שימש את רוסיה להגן על מערך הלוויינים שלה ובו-זמנית לנסות לתקוף את Starlink (לפירוט נוסף, ראו עמ' 19).[41]

מלבד הפרטים שנחשפו בנושא מאפייני לוחמת הסייבר הרוסית כחלק מפלישתה לאוקראינה, ב-13 באפריל, פרסם ה-FSB הצהרה לפיה מדינות החברות בברית נאט"ו, בהן ארה"ב, ביצעו במהלך שנת 2022 למעלה מ-5,000 מתקפות סייבר משטח אוקראינה נגד תשתיות חיוניות ברוסיה, על מנת לטשטש את מקורן האמיתי. על פי ההודעה, למרות שמרבית התקיפות שהוצגו בוצעו לכאורה על ידי צבא ה-IT של אוקראינה, רבות מהן הוצאו לפועל על ידי קבוצות תקיפה גלובליות, בהן Anonymous. כמו כן, פרסמה חברת התקשורת הרוסית Rostelecom דו"ח, המציג נתונים על תקיפות סייבר נגד רוסיה בין מרץ 2022 למרץ 2023. על פי הדו"ח, 38% מהמתקפות בוצעו על ידי קבוצות האקטיביסטים, בעוד ש-20% מהמתקפות בוצעו על ידי קבוצות APT, בהן קבוצות APT27, APT10, APT41, ו-Lazarus Group המזוהות עם סין וצפון-קוריאה, בהתאמה.[42]

האיחוד האירופי

החודש הודיע האיחוד האירופי על התקדמות באימוץ שתי יוזמות, שמטרתן לשפר את מידת אבטחת הסייבר ביבשת. ראשית, הנציבות האירופית הודיעה על אימוץ נוסח חוק ה-EU Cyber Solidarity הכולל תקציב בסך 1.1 מיליארד אירו (כ-1.2 מיליארד דולר), ומטרתו לשפר את יכולתן של מדינות האיחוד לעקוב ולהתמודד עם מתקפות סייבר רחבות היקף, במספר דרכים. תחילה, החוק דן בהקמת מערך מרכזי SOC לאומיים וברמת האיחוד האירופי, שמיועדים לפעול במהלך שנת 2024. המרכזים ישמשו בסיס לקידום שיתופי פעולה אזוריים, כגון באזור המדינות הבלטיות, בתחום אבטחת הסייבר, ויעשו שימוש בטכנולוגיות חדשות כגון בינה מלאכותית, לטובת איתור ותגובה לתקריות סייבר. כמו כן, דן החוק בהקמת צוות ייעודי שיבחן חולשות אבטחה בקרב תשתיות חיוניות, יספק מענה לאירועי סייבר בזמן אמת בהתאם לפניית גופי ומדינות האיחוד ועוד. לבסוף, כוללת ההצעה הקמת צוות, שתפקידו יהיה להפיק לקחים מאירועי סייבר משמעותיים שהתרחשו. ההצעה תועבר לדיון מליאת הפרלמנט האירופי והמועצה האירופית.[43] במסגרת היוזמה השנייה, הציגה הנציבות האירופית הצעה להקמת מוסד אקדמי שיכונה בשם Cybersecurity Skills Academy, שיאגד תחתיו יוזמות מהמגזר הציבורי והפרטי שמטרתן לצמצם את המחסור בכוח האדם המיומן במקצועות אבטחת הסייבר ברמה הלאומית וברמת האיחוד האירופי וכן לשפר את הכשרת כוח האדם הקיים.[44]

בריטניה

ב-4 באפריל, פרסם כוח הסייבר הלאומי (NCF),[45] מסמך המציג את עקרונות פעולותיו במרחב הסייבר. על פי המסמך, ה-NCF נותן עדיפות להשקעה במגוון יכולות סייבר שניתן לבצע בהן התאמות מינימליות במידת הצורך ובעת התמודדות מול איומים מוגדרים, על חשבון פיתוח יכולות למטרות ספציפיות. כמו כן, לצורך סיכול איומי סייבר מצד קבוצות APT, עושה שימוש ה-NFC בתובנות המבוססות על ממצאים מתחום מדעי ההתנהגות. הקמת הכוח ופרסום המסמך מהווים חלק מתהליך הדרגתי בו חושפת בריטניה את פעולותיה במרחב הסייבר. המהלך חיוני עבורה לצורך קבלת לגיטימציה ציבורית לפעולות אלה וכן במטרה לחזק את תדמיתה כמעצמה דמוקרטית הפועלת באחריות במרחב הסייבר.[46]

בטחון סייבר

החודש התפרסמו פרטים על איומי אבטחה שמקורם ברשתות החברתיות ועל צעדי המנע שנקטו מדינות בתחום. ב-5 באפריל פרסמה חברת Kaspersky הודעת בלוג, לפיה הולך וגובר השימוש של האקרים באפליקציית המסרים טלגרם על מנת להפיץ כלים לביצוע מתקפות דיוג, בהם אמצעים ליצירה אוטומטית של אתרי דיוג מזויפים וכן באמצעות השגת גישה לשירותי דיוג כשירות (PhaaS).[47] לדברי חוקרי החברה, ההאקרים פועלים במסגרת ערוצים המספקים לעוקבים מידע וכן מפרסמים בהם שאלונים במטרה לסווג ולשווק את סוגי הנתונים האישיים המבוקשים ביותר. כמו כן, חלק מהערוצים מציעים למכירה הרשאות גישה גנובות של חשבונות בנק וסכומי הכסף שנגנבו מהם. הקישורים לערוצים מופצים באמצעות YouTubeובפלטפורמת הקוד הפתוח, GitHub.[48]

עוד בתחילת אפריל, הודיע התובע הכללי של אוסטרליה, מארק דרייפוס (Mark Dreyfus) כי בכוונת הממשלה לאסור את השימוש באפליקציית הרשת החברתית הסינית, TikTok על גבי מכשירים ממשלתיים. בכך, מצטרפת אוסטרליה לשורת מדינות מערביות נוספות שהגבילו את השימוש באפליקציה, בהן ארה"ב, צרפת ובריטניה.[49] בנוסף, ב-17 באפריל, הפכה מדינת מונטנה (Montana) בארה"ב, למדינה הראשונה שמאשרת הצעת חוק האוסרת את השימוש ב-TikTok על גבי מכשירים פרטיים. ההצעה העומדת בפני קשיים משפטיים, עשויה להיכנס לתוקף בינואר 2024 בכפוף לאישור מושל המדינה.[50]

במקביל, הובילו מדינות יוזמות לשיפור המענה לתקריות סייבר בקרב תשתיות חיוניות וכן בנושא האבטחה על תשתיות ערים חכמות. ב-6 באפריל דיווחו כלי תקשורת באוסטרליה כי המרכז לאבטחת סייבר ותשתיות (CISC)[51] הכפוף למחלקת הפנים הקים בדצמבר 2022 יחידה לתיאום תגובות לאירועי סייבר (CSRCU),[52] הפועלת בשיתוף גופי ממשל ושמטרתה לתת מענה לאירועי סייבר המתרחשים ברמה הלאומית ולקדם פעולות רגולציה ואכיפת חוק בתחום אבטחת הסייבר.

היחידה הוקמה בעקבות ביקורת פנימית בנושא התמודדות הממשלה עם תקיפות הסייבר נגד חברת התקשורת המקומית Optus בספטמבר 2022 וספקית ביטוחי הבריאות המקומית Medibank באוקטובר 2022, במסגרתן נגנב מידע פרטי השייך ל-19.7 מיליון לקוחות מאוסטרליה ומחוצה לה.[53] מלבד זאת, ב-19 באפריל פרסמו מספר גופי ממשל במדינות ברית ה-Five Eyes, בהם CISA, ה-FBI והמרכז הלאומי לאבטחת סייבר של בריטניה (NCSC), שיטות עבודה מומלצות בתחום אבטחת הסייבר של ערים חכמות, בהן: (1) קריאה לקידום תהליכים פרו-אקטיביים לניהול סיכונים בשרשרת האספקה בשלבי התכנון, הפיתוח וההטמעה של טכנולוגיות ערים חכמות בתשתית קיימת או מיושנת; (2) על הארגונים האחראים להטמעת טכנולוגיות ערים חכמות לאכוף שימוש באימות-רב שלבי (MFA) בגישה לחשבונות ומכשירים וכן להגדיר בעלי תפקידים המורשים לבצע פעולות במערכת, על פי עיקרון ה-Least Privilege; (3) קידום תהליכי עדכון אוטומטיים של התקני תוכנה וחומרה ועוד.[54]

בד בבד, ב-13 באפריל, פרסמה גוגל מסמך המציג המלצות לשיפור הגילוי וההתמודדות עם חולשות אבטחה. המסמך מדגיש את הצורך להעניק תשומת לב רבה יותר לחולשות אבטחה, שאינן מוגדרות כחולשות Zero-day וקורא לקדם את השקיפות בנושא ההגנה מפני חולשות אבטחה במוצרים שונים. בנוסף, קורא המסמך להעניק הגנה משפטית לחוקרי אבטחה המאתרים חולשות אבטחה והרחבת מגוון הגורמים המדווחים עליהן,[55] ולהקדיש מאמץ לטובת איתור ממוקד של המקורות לחולשות האבטחה בתוכנות.[56] במטרה להטמיע את העקרונות, הודיעה גוגל על השתתפותה בהקמת מועצת ה-Hacking Policy,[57] שתעסוק בקידום עקרונות רגולציה חדשים, שיעודדו גילוי מיטבי של חולשות אבטחה תוך שיתוף פעולה בין המגזר העסקי והממשלתי. כמו כן, הצהירה גוגל כי תעניק מימון לפעילות ה-Security Research Legal Defense Fund, ארגון הפועל ללא כוונת רווח שמטרתו לספק תמיכה לחוקרי אבטחה עצמאיים הנקלעים לבעיות משפטיות בעקבות דיווח על חולשות אבטחה בארגונים. לבסוף, הודיעה גוגל כי בכוונתה לפרסם פומבית ממצאים של ניצול חולשות אבטחה במוצריה, על מנת לסייע ללקוחותיה להתגונן מפניהן.[58]

איומי סייבר על תשתיות חיוניות

במהלך החודש פרסמהCISA שתי אזהרות מפני חולשות אבטחה בתשע מערכות לבקרה תעשייתיות מתוצרת חברות מובילות מתחום ייצור ציוד האלקטרוניקה. על פי אזהרה מה-6 באפריל, אחת מחולשות האבטחה במערכות בקרה מתוצרת חברת ייצור ציוד האלקטרוניקה Hitachi Energy השוויצרית, הנמצאות בשימוש תשתיות אנרגיה, עלולה לאפשר לתוקפים להריץ קוד מרחוק ולהשתלט על המערכת.[59] על פי אזהרה מה-11 באפריל, אותרה חולשת אבטחה במערכות בקרה תעשייתיות מתוצרת התאגיד היפני, FANUC, יצרן הרובוטים התעשייתיים הגדול בעולם, שעלולה לאפשר להאקרים לקרוא קבצים השייכים להרצת התוכנה להדמיית סביבות ייצור ROBOGUIDE-HandlingPRO. במסגרת האזהרות, המליצה CISA להעניק הרשאות מוגדרות למשתמשים בהתאם לעקרון ה-Least Privilege יחד עם שימוש בגִּרְסָה העדכנית ביותר של VPN בעת מתן גישה מרחוק.[60]

כמו כן, ב-17 באפריל, פרסמה חברת הייעוץ העסקי ההודית Ankura הודעת בלוג, בה טענה כי האקרים עלולים להשתמש בנוזקה PIPEDREAM, שפותחה על ידי קבוצת ההאקרים הרוסית Chernovite, על מנת לפגוע בבקרי PLC,[61] ולגרום לשיבוש פעילותם. על פי ההודעה, הנוזקה עוצבה כך שתתקוף בקרי PLC מתוצרת החברות Schneider Electric הצרפתית וחברת OMRON היפנית, המשמשים בעיקר את מגזר האנרגיה.[62]

בד בבד, החודש הושקו בעולם יוזמות שמטרתן לשפר את ההתמודדות עם איומי הסייבר על ענפי התשתיות החיוניות, באמצעות קידום שיתוף הפעולה בין המגזר הממשלתי, המגזר הפרטי וקיום תרגילים. ראשית, פרסמה הברית האמריקנית לענייני מודיעין וביטחון לאומי (INSA)[63] מסמך שכתיבתו הושלמה בסוף מרץ 2023, הקורא לקדם את שיתופי הפעולה בין הממשל הפדראלי למגזר הפרטי במטרה לשפר את יכולות הסייבר ההתקפיות של ארה"ב ואת יכולות אבטחת הסייבר הלאומיות שלה. על פי המסמך, תרומתו של המגזר הפרטי בהגנה על תשתיות חיוניות לאומיות במלחמה באוקראינה מפני מתקפות סייבר רוסיות מהווה עדות מובהקת לנחיצות שיתוף הפעולה. על מנת לשפר את ההגנה על התשתיות החיוניות בארה"ב, הציגו מחברי המסמך חמש המלצות, בהן: (1) קריאה להרחיב את תכנית Under Advisement, במסגרתה פיקוד הסייבר האמריקני ומומחים מהמגזר הפרטי משתפים פעולה בהערכת חולשת אבטחה בקרב תשתיות חיוניות בארה"ב;

(2) הרחבת כוחות המילואים העוסקים במקצועות הסייבר בקרב המשמר הלאומי; (3) הקמת כוח עתודה לאומי, שיסייע לקדם את יכולות אבטחת הסייבר בממשל הפדראלי ועוד.[64]

כמו כן, החודש השיקו 11 יצרניות טכנולוגיות OT וחברות אבטחת הסייבר, בהן חברת Dragos המתמחה בהגנה על סביבות OT, את פורטל ה-ETHOS,[65] שמטרתו להרחיב את שיתוף המידע ומודיעין איומי הסייבר וכן פרטים בנושא איומי סייבר על מערכות OT. החל מיוני 2023, אמורה הפלטפורמה, שהינה פרויקט קהילתי של פלטפורמת הקוד הפתוח GitHub, לקבל לשורותיה ארגונים נוספים.[66]

בנוסף, חשפו בכירים אמריקנים פרטים בנושא שיתוף הפעולה הפדראלי בהגנה על תשתיות חיוניות. ב-26 באפריל, במסגרת וועידת RSA השנתית, אמרו עוזר המנהל הבכיר לאבטחת הסייבר ב-CISA, אריק גולדשטיין (Eric Goldstein) ומפקד כוח משימת הסייבר הלאומי (CNMF)[67] שבפיקוד הסייבר, מייג'ור גנרל וויליאם הרטמן (William Hartman), כי הארגונים שיתפו פעולה בסיכול של מספר התקפות סייבר מתוחכמות על ארה"ב לרבות על תשתיותיה החיוניות, בהן ניסיונות של האקרים איראנים להשתלט על תוכנה לדיווח על תוצאות הבחירות לנשיאות 2020. כמו כן ציינו, כי במסגרת השותפות משתף ה-CNMF עם CISA מודיעין איומים הרלוונטי למשימותיה, בעוד שהסוכנות מספקת מידע בהתבסס על תקריות סייבר קודמות המסייע למחלקת ההגנה לשבש התקפות סייבר על ארה"ב.[68]

באוסטרליה, הודיעה שרת הפנים האחראית לאבטחת הסייבר, קלייר אוניל (Clare O’Neil), כי בכוונת הממשלה להשיק סדרת תרגילים שידמו תרחישים חדשים של מתקפות סייבר על תשתיות חיוניות לאומיות, כגון מתקפות הכוללות שינוי של מידע חיוני וכן תרחישי פענוח הצפנה באמצעות שימוש במחשבים קוונטיים.[69] בעקבות זאת, ב-11 באפריל, הובילה הממשלה את התרגיל הראשון בהשתתפות נציגים מהבנק המרכזי, המשטרה הפדראלית, הרשות לרגולציה על ענף השירותים הפיננסים (APRA)[70] והנציבות לניירות ערך והשקעות (ASIC),[71] שבחן את תגובותיהם המשותפת לתרחיש של מתקפת כופרה והשבתת שירותים בנקאיים. הממשלה הודיעה כי בזמן הקרוב היא תוביל תרגילים נוספים בהשתתפות בנקים מהמדינה, בטרם יורחבו התרגילים לארגונים נוספים מענפי התשתיות החיוניות.[72]

לצד היוזמות שנרשמו, החודש נתקל הממשל האמריקני בקשיים ביישום עקרונות ההגנה על תשתיות חיונית במדינה בהתבסס על אסטרטגיית אבטחת הסייבר הלאומית, שראתה אור במרץ 2023. ב-18 באפריל, התובעת הכללית של מדינת איווה בארה"ב (Iowa), ברנה בירד (Brenna Bird), הודיעה על הצטרפותה לתביעה שהגישו מדינות ארקנסו (Arkansas) ומיזורי (Missouri) לבית המשפט האמריקני המחוזי לערעורים,[73] לפיה הסוכנות להגנת הסביבה (EPA)[74] הפרה את חוק הפרוצדורה המנהלית,[75] בעקבות המִזְכָּר לעדכון הערכת מידת אבטחת הסייבר של מערכות מים בארה"ב, שפרסמה במרץ 2023.[76] לדברי בירד, ההנחיות החדשות מטילות על מחלקת משאבי הטבע של מדינת איווה עלויות בסך מיליוני דולרים בהערכת ושיפור מידת אבטחת הסייבר של למעלה מ-1,300 מערכות מים ציבוריות, המשרתות קהילות קטנות, בהן מתגוררים בין 25 ל-3,300 אזרחים.[77]

איומי סייבר על ענף האנרגיה

ב-3 באפריל, טענה המנהלת הבכירה לענייני מִסְחוּר שבמשרד לענייני חדשנות טכנולוגית (OTT)[78] הכפוף למחלקת האנרגיה האמריקנית, רימה אואיד (Rima Oueid), כי בכוונת המשרד לבחון את השימוש בטכנולוגיות חישה קוונטית (Quantum sensing) במטרה לאתר חֲרִיגוֹת בתפקודי רשתות חשמל. לדברי אואיד, חיישנים קוונטיים יכולים לספק נתוני מיקום, ניווט ותזמון (PNT)[79] מדויקים יותר של מתקני התשתיות החיוניות מתוך המתקנים עצמם, במקום להתבסס על שימוש בלווייני GNSS. בנוסף, שימוש בחיישנים אלו יאפשר לשפר את מידת ההגנה על רשתות אנרגיה, מאחר והן אמורות שלא להיות מושפעות מהפרעות תקשורת בלוויינים. לבסוף, יאפשר השימוש בחיישנים להעניק גישה לרשת האנרגיה, באזורים בהם אין פעילות של שירותי GPS.[80]

איומי סייבר על שרשראות אספקה

ב-11 באפריל, אישרה ספקית פלטפורמת שיחות הווידאו, 3CX את הדיווחים של חברות אבטחה וחוקרים ממרץ 2023 כי האקרים המזוהים עם צפון-קוריאה[81] החדירו נוזקה למערכת העדכונים שלה עבור מערכות ההפעלה Windows ו-MacOS. על פי החוקרים, שיטת התקיפה דומה לטקטיקה שנצפתה בקרב האקרים רוסים במסגרת תקרית SolarWinds שנחשפה בדצמבר 2020. ב-21 באפריל, פרסמה חברת Mandiant הודעת בלוג לפיה התקרית אירעה לאחר שעובד מ-CX3 התקין את הנוזקה אותה הוריד מאתר חברת התוכנה Trading Technologies , שנפלה קורבן למתקפה קודמת של ההאקרים הצפון-קוריאניים. באותו יום, פרסמה חברת Symantec כי ההאקרים תקפו גם ארגוני תשתיות חיוניות וארגונים מענף המסחר הפיננסי, בארה"ב ואירופה. בעקבות המתקפה, העריכו החוקרים כי התקרית מעידה על שדרוג ביכולות הסייבר ההתקפיות של צפון-קוריאה וכי ההתקפות המזוהות עימה אינן מתרכזות עוד בפעולות פשיעה בלבד, אלא גם בהתקפות על שרשראות האספקה.[82]

במקביל לפרטים שהתפרסמו בנושא איומי הסייבר על שרשראות האספקה של תוכנות, קידמו מדינות מערביות בהובלת ארה"ב, מענים שונים. תחילה, במסגרת אירוע שקיים מכון המחקר האמריקני Atlantic Council, ועסק ביישום אסטרטגיית אבטחת הסייבר הלאומית, סקרה ראשת CISA, ג'ן איסטרלי (Jen Easterly), את פעולות הממשל לשיפור מידת האבטחה של תוכנות קוד פתוח. על פי איסטרלי, הארגון המשותף לשיתוף פעולה בתחום הגנת הסייבר (JCDC)[83] השיק פרויקט שמטרתו לזהות ולתת מענה לסיכונים שמקורם בתוכנות קוד פתוח הנמצאות בשימוש מערכות לבקרה תעשייתית. כמו כן, ציינה איסטרלי כי CISA משתפת פעולה עם משרד ראש הסייבר האמריקני הלאומי (ONCD), המשרד האמריקני לניהול ולתקציב (OMB)[84] וארגון ה-OpenSSF,[85] במטרה להקים מאגרים של תוכנות הבטוחות לשימוש ולפתח אוטומטיים שיבטיחו כי תוכנות מעודכנות או מוסרות מספריות ציבוריות.[86] בנוסף, ב-27 באפריל פרסמה CISA טיוטת מסמך שמטרתה לאפשר לספקיות של הממשל הפדראלי, להצהיר כי שירותי ומוצרי התוכנה שלהן פותחו באופן מאובטח. חברות מהמגזר הפרטי יוכלו להציג את תגובותיהן למסמך, שנוסח בשיתוף ה-OMB, במשך תקופת זמן של 60 יום.[87]

בד בבד, ב-13 באפריל, פרסמו סוכנויות ממשל, גופי אכיפת חוק וביטחון ממספר מדינות מערביות, בהן ארה"ב, גרמניה, אוסטרליה ובריטניה, הנחיות משותפות הקוראות ליצרנים לתעדף פיתוח של מוצרים טכנולוגיים על פי עקרונות ה-Secure-by-Design והאבטחה כברירת מחדל (Secure-by-Default). כחלק מכך, המליצו סוכנויות הממשל ליצרניות התוכנה להטמיע בשלבי פיתוח התוכנה את מסגרת ה-SSDF[88] של NIST, שמטרתה לסייע למפתחים לאתר ולתקן חולשות אבטחה, להפחית את פוטנציאל הנזק כתוצאה מניצולן ולספק להן מענה כולל, ועוד.[89]

איומי מתקפות הכופרה

על רקע סירובה של חברת השירותים הפיננסים האוסטרלית, Latitude Financial לשלם דמי כופר בעקבות פריצה שחוותה למערכותיה במרץ 2023 ועל רקע תהליך גיבוש אסטרטגיית אבטחת הסייבר הלאומית שמובילה ממשלת אוסטרליה, הודיעה ב-11 באפריל שרת הפנים האחראית לאבטחת סייבר, קלייר אוניל (Clare O’Neil), כי הממשלה שוקלת לאסור בחוק על תשלומי כופר.[90] בד בבד, במסגרת הערותיה על טיוטת אסטרטגיית אבטחת הסייבר הלאומית לשנים 2030-2023 שמנסחת הממשלה בימים אלה, המליצה מועצת הביטוח של אוסטרליה (ICA)[91] לממשלה לבחון לעומק את נושא יישום האיסור הגורף על תשלומי הכופר במדינה. בנוסף, המליצה המועצה לממשלה להתייעץ עם ארגונים מענף הביטוח הפיננסי בנושא וכן לקדם עימם שיתופי פעולה בתחום הדיווח על תקריות אבטחה, כדי לפשט את הרגולציה.[92]

איומי סייבר על מגזר הפיננסים

ב-14 באפריל, פרסמה המועצה לענייני יציבות פיננסית (FSB)[93] הכוללת נציגים מבנקים מרכזיים, גופי רגולציה מענף הפיננסים ופקידי אוצר מקרב מדינות ה-20G, את מסמך לקסיקון הסייבר העדכני. המסמך מיועד לסייע בהטמעת השימוש בשפה משותפת בין הגופים השונים בענף כדי לשפר את חסינות הסייבר ומידת האבטחה, להקל על ניהול סיכונים פיננסים לאור תרחישי איומי סייבר, לשפר את שיתוף המידע בין הגופים, לספק הנחיות בתחום אבטחת הסייבר ועוד. הלקסיקון עודכן בהתייעצות עם נציגי ציבור, גופי ממשל והמגזר הפרטי.[94]

כמענה נוסף לאיומי הסייבר על המגזר הפיננסי, המרכז לשיתוף ולניתוח מידע לשירותים פיננסים (FS-ISAC)[95] ארגן סימולציות המדמות מתקפת סייבר על ענף הפיננסים, כחלק מתרגיל אבטחת הסייבר השנתי הבין-לאומי בהובלת המרכז למצוינות בהגנת סייבר של ברית נאט"ו (CCDCOE),[96] Locked Shields 2023, שהתקיים בטאלין, בירת אסטוניה. בתרגיל השתתפו 29 נציגים ממוסדות פיננסים מרחבי העולם, לרבות הבנק המרכזי של ספרד ותאגיד Mastercard וכן כ-3,000 מומחי אבטחה מ-38 מדינות. במסגרת התרגיל, התמודדו המשתתפים עם שיבושים בפעילותן של מערכות לביצוע תשלומים בבנק מרכזי וכן עם השלכותיהן הרחבות על המגזר הפיננסי.[97]

איומי סייבר על ענף הבריאות

ב-17 באפריל הציגה ה-HHS האמריקנית כלים חדשים שמטרתם לסייע למוסדות בריאות לשפר את היערכותם להתמודדות עם איומי סייבר. במסגרת פלטפורמת Knowledge on Demand, יוכלו עובדים בארגוני בריאות לקבל מידע וכלים חינמיים להתמודדות עם איומי הסייבר הנפוצים נגד ארגוני בריאות, בהם איומי הנדסה חברתית ומתקפות כופרה.[98] בנוסף, פרסמה המחלקה את ה-HICP 2023,[99] המספק המלצות לארגוני הבריאות בגיבוש מענה ולהפחתת איומי הסייבר שלעיל.[100]

לבסוף, פרסמה המחלקה סקירה בנושא מצב אבטחת הסייבר בקרב בתי חולים מסוגים ואזורים גיאוגרפיים שונים בארה"ב, וכן צעדים שניתן לקדם על מנת לשפר את חסינות הסייבר שלהם.[101] ה-HHS הציגה את האמצעים החדשים במסגרת תכנית 405(d), המאגדת נציגים מהממשל הפדראלי והמגזר הפרטי למטרת גיבוש עקרונות מנחים לשיפור מידת אבטחת הסייבר של ארגונים במגזר הבריאות.[102]

לצד היערכות זו, החודש הושם דגש גם על נושא אבטחת הסייבר של שירותי רפואה מרחוק (Telehealth). ב-17 באפריל, פרסם NIST הזמנה לקבלת פתרונות ומוצרים מהמגזר הפרטי, המיועדים להפחית את איומי הסייבר והסיכונים לאבטחת מידע, בשימוש במכשירים חכמים בשירותי רפואה מרחוק. קבלת המידע נעשית כחלק מפעילותו של המרכז הלאומי למצוינות באבטחת סייבר (NCCoE)[103] שב-NIST, במסגרת פרויקט Mitigating Cybersecurity Risk in Telehealth Smart Home Integration, ומטרתו לפתח עקרונות בתחום אבטחת הסייבר והפרטיות של מכשירים חכמים ביתיים, המשתפים מידע פרטי עם מערכות מידע של ארגוני בריאות. במסגרת הפרויקט, ה-NCCoE מעוניין להשתמש בטכנולוגיות הקיימות בשוק על מנת לבנות מודל, שידמה שימוש במכשירים חכמים על ידי אזרחים, במטרה לאתר בעיות אבטחה ופרטיות פוטנציאליות.[104]

איומי סייבר על מערכות חלל

הדלפת מסמכי הפנטגון שנחשפה החודש, הציגה גם מידע הנוגע לאיומים על מערכות חלל אמריקניות. ב-19 באפריל דיווח עיתון ה-Washington Post כי על פי דו"ח מודיעין מסווג שהגיע לידיו, בחנה רוסיה במהלך מרץ 2023 את השימוש במערכת לוחמה אלקטרונית המכונה בשם Tobol במטרה לשבש את אותות (jamming) רשת התקשורת הלוויינית Starlink של חברת SpaceX, המשמשת את חיילי צבא אוקראינה. על פי הדיווח, חשפו מחברי הדו"ח כי האמצעי שימש את רוסיה להגן על מערך הלוויינים שלה ובו-זמנית לנסות לתקוף את Starlink.

מנהל התכנון בארגון הפועל ללא כוונת רווח בתחום החלל, Secure World Foundation, בריאן ווידן (Brian Widen), העריך כי מערכת ה-Tobol מסוגלת לזהות, לנתח ולנטרל ניסיונות שיבוש של אותות רשתות התקשורת הלווייניות באמצעות פליטת אותות נגדיים. ווידן ציין עוד כי יכולות אלו עשויות לאפשר לרוסיה לשבש גם אותות של לוויינים זרים למטרות התקפיות. [105]

בנוסף, על פי מסמך מטעם סוכנות ה-CIA שחובר במועד לא ידוע ב-2023, מפתחת סין יכולות סייבר מתוחכמות שמטרתן לשבש את תפקודם של לוויינים זרים בזמן מלחמה, על ידי הפקת אותות מזויפים, המתחזים לאותות המתקבלים על ידי מפעילי הלוויינים. בצורה זו, עלולה סין להשתלט על הלוויינים כדי למנוע מהם לספק שירותים חיוניים בזמן מלחמה, כגון מתן הוראות פעולה למערכות נשק ומתן שירותי תקשורת לכוחות לוחמים.[106]

במקביל, הוביל הממשל האמריקני את ההיערכות להתמודדות עם איומי הסייבר בחלל. ב-11 באפריל, הסוכנות האמריקנית לפיתוח בחלל (SDA),[107] המשמשת כסוכנות פיתוח טכנולוגיות חלל הכפופה לחיל החלל, פרסמה בקשה לקבלת הצעות להקמת השלב השני (Tranche 2 transport layer) של מערך הלוויינים PWSA,[108] במסגרתו יסופקו 72 לוויינים שיפעלו במסלול הקפה נמוך (LEO) וכן מערכות תמיכה קרקעיות מקושרות. מערך ה-PWSA, שצפוי להיבנות בחמישה שלבים עד לשנה הפיסקאלית 2030,[109] יכלול מאות לוויינים, שיפעלו ב-LEO ויספקו שירותי תקשורת, לרבות תקשורת מוצפנת, לכוחות לוחמים המוצבים ברחבי העולם.[110]

כמו כן, ב-14 באפריל, נציבות ה-Cyberspace Solarium, המשמשת כארגון הפועל ללא כוונת רווח, פרסמה דו"ח, בו המליצה לממשל הפדראלי האמריקני להגדיר מערכות חלל בתור תשתית חיונית, מאחר והדבר עשוי לסייע לגיבוש סדרי עדיפויות חדשים בהגנה על מגזר החלל כולו מאיומים ביטחוניים ואיומי סייבר. מחברי הדו"ח המליצו להקים שתי תתי-קבוצות במגזר החלל, כאשר מחלקת ההגנה תמשיך להיות אחראית על השימושים הצבאיים בחלל, בעוד שנציבות התקשורת הפדראלית (FCC) תהיה אחראית להגנה על תקשורת לוויינית. בד בבד, המליצו המחברים לקונגרס להעניק לנאס"א את הסמכויות החוקיות והתקציבים ולהפוך את הסוכנות לגורם האחראי על ניהול הסיכונים במגזר החלל (SRMA),[111] בדומה לכל תשתית חיונית אחרת במדינה.

מלבד זאת, המליצו המחברים לארגונים ממגזר החלל והמגזר הציבורי לגבש ולהטמיע שיטות עבודה מומלצות בתחום הגנת הסייבר על מערכות IT ו-OT.[112]

מחשוב קוונטי

במהלך החודש, מספר מדינות הציגו תכניות אסטרטגיות לקידום המחקר והפיתוח בתחום המחשוב הקוונטי, לצרכים אזרחיים וצבאיים. ב-19 באפריל, השיקה ממשלת הודו את הפרויקט הלאומי במחשוב קוונטי (NQM),[113] שיפעל עד לשנת 2031 בעלות בסך כ-60 מיליארד רופי (כ-730 מיליון דולר), לקידום המחקר התעשייתי והמדעי בתחום המחשוב הקוונטי. במסגרת הפרויקט, מתוכנן פיתוח של מחשבים קוונטיים בעלי עוצמת חישוב של 50 עד 1,000 קיוביטים תוך שמונה שנים באמצעות שימוש בטכנולוגיה מבוססת חלקיקי אור (Photonic technology). כמו כן, בכוונת הממשלה להקים ארבעה מרכזי מחקר במוסדות אקדמיים ומחקריים בהודו, לטובת הרחבת הידע בתחומי המחשוב הקוונטי, כגון תקשורת ומטאורולוגיה קוונטית.[114] בנוסף, השר לענייני חדשנות, מדע ותעשייה בממשלת קנדה, פרנסואה-פיליפ שמפיין (François-Philippe Champagne), הודיע על הקצאת 51 מיליון דולר קנדי (כ-37 מיליון דולר) למיזמים שמטרתם לקדם את יכולות המחקר בתחום המחשוב הקוונטי, ההצפנה והחישה הקוונטית.[115]

יוזמות נוספות הוצגו החודש גם בארה"ב. ב-24 באפריל, פרסם ה-NCCoE לתגובות הממשל הפדראלי, המגזר הפרטי והאקדמיה במדינה טיוטת מסמך מִקְדָּמִית, שמטרתה לסייע לסוכנויות ממשל וארגונים לבצע את המעבר מהצפנה א-סימטרית להצפנה פוסט-קוונטית. על פי המסמך, במקרים רבים, ארגונים אינם מודעים למלוא היקף השימוש בהצפנה א-סימטרית במוצריהם, שירותיהם והסביבות התפעוליות שלהם. לפיכך, ארגונים המעוניינים לבצע את המעבר בצורה מיטבית יצטרכו לבצע מיפוי של כלל המכשירים המשתמשים בהצפנה א-סימטרית, לרבות בסיוע של ספקי שירותים או תוכנות, על מנת לקבוע סדרי עדיפויות מדויקים יותר. בד בבד, הודיע NIST על שיתוף פעולה עם חברות פרטיות, בהן מיקרוסופט, בנושא הפיתוח וההטמעה של אלגוריתמים מבוססי הצפנה פוסט-קוונטית ברחבי המדינה.[116]

לבסוף, מעבדת המחקר של חיל האוויר האמריקני (AFRL)[117] פרסמה ב-25 באפריל בקשה לקבלת הצעות למחקר, פיתוח, בחינה והערכה של השימוש ביישומי מחשוב קוונטי לצורכי פיקוד, שליטה, תקשורת ומודיעין. בכוונת ה-AFRL לקבל הצעות המבוססות על תחומי מחקר שונים בתחום המחשוב הקוונטי, בהם תהליכי עיבוד מידע קוונטי ואלגוריתמים קוונטיים.[118] התכנית ממשיכה תכנית דומה מהשנים 2024-2020, ולפיה בכוונת ה-AFRL לחתום עם הזוכים על הסכמי פיתוח ומחקר בסך כולל של 500 מיליון דולר לשנים 2027-2023.[119]

בינה מלאכותית

החודש הובילו מספר מדינות מערביות יוזמות שמטרתן לבחון את השלכות השימוש בצ'טבוט מבוסס טכנולוגיית הבינה המלאכותית, ChatGPT. ב-28 באפריל, הסירה הרשות האיטלקית להגנת מידע (IDPA),[120] את ההגבלה שהטילה על השימוש ב-ChatGPT ברחבי המדינה בעקבות חשש להפרת תקנות הגנת הפרטיות של האיחוד האירופי (GDPR).[121] IDPA ביטלה את האיסור לאחר שחברת OpenAI, שפיתחה את ChatGPT, יישמה מספר מדרישותיה, בהן יידוע משתמשי הפלטפורמה באיטליה על תהליך איסוף הנתונים על ידי הצ'טבוט ועוד.[122] על רקע זה, הרשויות להגנת פרטיות המידע בצרפת[123] ובספרד[124] הודיעו כי החלו לבחון באופן ראשוני את השלכות השימוש בצ'טבוט, כאשר בה בעת הודיעו ממשלות גרמניה ואירלנד כי בכוונתן לשקול לאסור את השימוש בצ'טבוט בשטחן. לעומתן, הודיעה שבדיה כי אין בכוונתה להגביל את השימוש בפלטפורמה, אך היא תבחן את השלכות השימוש בה.[125] לבסוף, ב-13 באפריל, הודיעה המועצה האירופית להגנת המידע (EDPB),[126] כי בכוונתה להקים כוח משימה שיבחן את נושא איסור השימוש ב-ChatGPT, וכן יהווה מסגרת לשיתוף פעולה ומידע בנושא הטמעת פעולות אכיפה אפשריות שמטרתן להקנות שקיפות בתהליכי עיבוד הנתונים על ידי הצ'טבוט.[127]

מלבד זאת, עמד נושא השימוש האחראי בטכנולוגיית הבינה המלאכותית במרכז סדר יומם של מקבלי ההחלטות ברחבי העולם. ב-4 באפריל, במסגרת אירוע שהתקיים במכון המחקר האמריקני Brookings Institute, שעסק בנושא הרכש הפדראלי, אמר מנהל ושותף במשרד למדיניות הרכש הפדראלית האמריקנית (OFPP),[128] מת'יו בלום (Mathew Blum), כי לאור העלייה בשיעורי הרכש הפדראלי של שירותי מחקר ותוכנה מתחום טכנולוגיית הבינה המלאכותית, קיים צורך להעמיק את הידע והכישורים הטכנולוגיים של גורמי רכש בממשל, לדוגמא באמצעות תכנית DITAP,[129] במטרה לסייע להם להגדיר בצורה מיטבית את צורכי הממשל הפדראלי, בהם נדרשים הספקים המועמדים לעמוד. עוד הוסיף בלום כי תכניות מסוג זה עשויות לסייע לממשל לקדם חדשנות טכנולוגיות, תוך צמצום הסיכונים הקשורים לפגיעה בביטחון הלאומי ובזכויות אדם.[130]

בסין, הציגה רשות מרחב הסייבר (CAC)[131] טיוטת מסמך הכולל תקנות רגולציה שיחייבו חברות טכנולוגיות סיניות לקבל את אישורה של ה-CAC להפיץ לשוק מוצרים המבוססים על טכנולוגיית הבינה המלאכותית, בכפוף לביצוע תהליך הערכת סיכוני אבטחה. בנוסף, אוסרת טיוטת המסמך על חברות סיניות להשתמש בנתונים אישיים של משתמשים ומחייבת אותן להטמיע חובת אימות זהות. הפרת הכללים עשויה לגרור הטלת קנסות כספיים שינועו בסך של 10,000 יואן (1,454 דולר) ועד ל-100,000 יואן (14,545 דולר) וכן לפתיחה בחקירה פלילית.[132]

רשתות דור G5 ו-G6

בבריטניה, נמשכה מגמת קידום התכנון וההשקעה הלאומיים בטכנולוגיות חדשות, שנרשמה גם במרץ 2023 עם פרסום האסטרטגיה הלאומית בנושא המחשוב הקוונטי. החודש פרסמה המחלקה למדע, חדשנות וטכנולוגיה של ממשלת בריטניה (DSIT)[133] אסטרטגיה לקידום המחקר, הפיתוח, החדשנות והטמעת השימוש ברשתות תקשורת ה-G5 וה-G6 במדינה.

במסגרת האסטרטגיה, בכוונת הממשלה להקצות 40 מיליון ליש"ט (כ-49 מיליון דולר) להקמת מרכזי חדשנות אזוריים בתחום רשתות ה-G5 ולעודד את הטמעת השימוש ברשתות אלו בקרב המגזר הציבורי והעסקי. על פי הממשלה, השקעה זו מיועדת לסייע לפרוס ולהפעיל את תשתיות ה-G5 בכל האזורים המיושבים בבריטניה עד לשנת 2030. בד בבד, בכוונת בריטניה להוביל בפיתוח והטמעת טכנולוגיות ה-G6 באמצעות השקעה של 100 מיליון ליש"ט (כ-123.7 מיליון דולר), בשנים 2023 ו-2024, לטובת מיזמי מחקר ופיתוח המצויים בשלבים מוקדמים, לצד שיתוף מדינות נוספות בעולם במחקר וניסוח עקרונות רגולציה אחידים לשימוש בטכנולוגיות. יש לציין, כי לצד השקעה בטכנולוגיות אלו, כוללת האסטרטגיה תקציב בסך שמונה מיליון ליש"ט (כ-9.9 מיליון דולר) לשיפור הקישוריות באזורים מיושבים מרוחקים, באמצעות פיתוח טכנולוגיות תקשורת חדשות מבוססות לוויינים.[134]

כוח אדם והכשרות

בראיון לאתר החדשות האמריקני Federal Network News ב-5 באפריל, אמר סגן המנהל לענייני תכנון כוח אדם אסטרטגי במשרד האמריקני לניהול כוח אדם (OPM),[135] ג'ייסון בארק (Jason Barke), כי המשרד פועל בשיתוף קהילת מומחי אבטחת סייבר בפיתוח לוחות מחוונים של נתונים (דאשבורדים), שמטרתם לסייע לסוכנויות פדראליות להתמודד עם המחסור בכוח אדם המיומן במקצועות הסייבר ולהקל עליהן בניהול וקליטת עובדים חדשים. הלוח הראשון מיועד להציג משרות פנויות בתחום אבטחת הסייבר בקרב סוכנויות ממשל, בעוד שהלוח השני אמור לספק להן נתונים פנימיים בנושא העסקת העובדים, כגון היקף המחסור הקיים במומחים, נתונים על עובדים הצפויים לעזוב את הארגון ועוד.[136]

השפעה, הטיית דעת קהל והסתה

במהלך החודש, פורסמו בתקשורת העולמית פרטים נוספים מתוך המסמכים המודלפים מהפנטגון, המספקים מידע חדש לכאורה על מבצעי ההשפעה מצד גורמים רוסיים ברשתות החברתיות. על פי מסמך שהודלף לאפליקציית המסרים Discord, פעילים רוסיים הפעילו בפייסבוק, טוויטר, טלגרם ופלטפורמות נוספות רשת של חשבונות מזויפים המכונה בשם Fabrika, באמצעותם הפיצו מידע כוזב במטרה לערער את עמדות הציבור האוקראיני וללבות מחלוקות בקרב מדינות המערב. המסמך, שנוסח על ידי מפקדת המטות המשולבים של צבא ארה"ב, פיקוד הסייבר האמריקני ופיקוד אירופה, מתמקד בקמפיין שאירע בסוף 2022 ומצטט טענות של מפעילי החשבונות, לפיהן הרשתות החברתיות הצליחו לאתר את פעילות Fabrika רק בחלק קטן מהזמן. אף על פי שמומחים ציינו כי הטענה ככל הנראה לא מהימנה, מחברי המסמך העריכו כי פעילות הרשת עשויה לשפר את יכולותיו של הממשל הרוסי לשלוט בסביבת המידע הפנימית במדינה ולקדם נרטיבים פרו-רוסיים, מחוצה לה.[137]

שיתופי פעולה

ב-25 באפריל, הודיעו מדינות ה-Quad, הכוללות את ארה"ב, יפן, הודו ואוסטרליה, על כוונתן לנסח הסכם שיאפשר שיתוף מידע מיידי על מתקפות סייבר נגד תשתיות חיוניות במגזר הציבורי והפרטי. כחלק מההסכם, בכוונת המדינות לנסח תקני אבטחה אחידים במסגרת תהליכי רכש ממשלתיים של תוכנות.[138] בנוסף, ב-26 באפריל, הודיעו נשיא ארה"ב, ג'ו ביידן, ונשיא דרום קוריאה, יון סוק יאול (Yoon Suk Yeol) על ניסוח מסגרת חדשה לשיתוף פעולה בתחום אבטחת הסייבר,[139] שמטרותיה הן להרחיב את שיתוף מודיעין הסייבר בין המדינות, לסכל פעולות מצד האקרים צפון-קוריאניים ולקדם מיזמים בתחום הטכנולוגיות החדשות.[140]

  1. The Financial Services Information Sharing and Analysis Center; ארגון בין-לאומי הפועל ללא כוונות רווח העוסק בשיתוף מודיעין איומי סייבר של מגזר הפיננסים העולמי. ↑

  2. Zero Trust Maturity Model ↑

  3. Traditional, advanced and optimal ↑

  4. https://bit.ly/3ogSBkF ; קישור למסמך: https://bit.ly/41Gzj6R ↑

  5. Internal Revenue Service ↑

  6. https://bit.ly/3zKJY4l ; קישור למסמך התכנית: https://bit.ly/2ssSDVU ↑

  7. https://wapo.st/3NpsNxt ↑

  8. Naval Information Warfare Center, Pacific ↑

  9. Intelligence Advanced Research Projects Activity ↑

  10. Reimagining Security with Cyberpsychology-Informed Network Defenses ↑

  11. https://bit.ly/3onZ4uk ; https://bit.ly/3KPmksq ↑

  12. https://bit.ly/41MTlwg ↑

  13. Ambassador-at-Large for Cyberspace and Digital Policy ↑

  14. https://bit.ly/3UJP4HK ↑

  15. https://bit.ly/3LiNqdj ↑

  16. House Appropriations Subcommittee ↑

  17. https://bit.ly/3LLsonw ; https://cnb.cx/44xyShx ↑

  18. מסגרת ה-NICE כוללת שבע קטגוריות של כישורי אבטחת סייבר, 33 תחומי מומחיות מוגדרים ו-52 הגדרות של משימות והכישורים הנחוצים לבצעם. לדוגמה, קטגוריית משימות ההגנה כוללת ארבעה תחומי מומחיות: דיווח על אירועי אבטחה שמתרחשים או שעלולים להתרחש; ניטור רשתות ובחינת התוכנות והחומרות המצויות בהן; יישום תגובות בעת התרחשות אירועי סייבר; הערכת חולשות אבטחה ומתן דרכים לטיפולן. המסמך המקורי פורסם לראשונה באוגוסט 2017. https://bit.ly/2jt63NP ↑

  19. National Initiative for Cybersecurity Education ↑

  20. ;קישור למסמך: https://bit.ly/440G8lN ↑

  21. https://bit.ly/41z6RnB ; https://bit.ly/3LmZry6 ↑

  22. Information Sharing and Analysis Organization; קבוצות המופעלות על ידי ארגונים במגזר הציבורי והפרטי, האוספים, מנתחים ומפיצים מידע בנושא איומי סייבר. ↑

  23. https://bit.ly/40nedcn ↑

  24. Compartmentalization and Privilege Management ↑

  25. https://bit.ly/3MNwInr ↑

  26. Faithful Integrated Reverse-Engineering and Exploitation ↑

  27. Microsystems Technology Office ↑

  28. Cyber-physical systems ↑

  29. https://bit.ly/3Knf7je ↑

  30. Defense Science Board; מועצה של מומחים אזרחיים במחלקת ההגנה, המייעצת לה בנושאים טכנולוגיים ומדעיים. ↑

  31. Defense Innovation Board; מועצה עצמאית הפועלת ליישם עקרונות פעולה מיטביים וחדשנות טכנולוגית מתעשיית ההיי-טק האמריקנית בצבא ארה"ב. ↑

  32. דוגמה להמלצה שאין בכוונת המחלקה ליישם היא מעבר למודל מפל המים (Waterfall approach) לפיתוח פרויקטים מורכבים לגישות איטרטיביות יותר, בטענה כי המעבר איננו מעשי לנוכח הכמות הרבה של קבלנים העובדים עם המחלקה. https://bit.ly/3ZOVl5W ; קישור לדו"ח: https://bit.ly/3KmS3B7 ↑

  33. הקבוצה מקושרת ככל הנראה לקבוצת ההאקטיביסטים הרוסית, Killnet. ↑

  34. https://bit.ly/406FuzO ; https://bit.ly/3GLkyHP ; https://bit.ly/3mH5d4b ; https://bit.ly/41Hrei4 ↑

  35. https://bit.ly/3Vshk1Z ↑

  36. The European Cyber Conflict Research Initiative; ארגון מחקר בריטי המתמקד בחקר עימותים וסוגיות מדיניות במרחב הסייבר. ↑

  37. נוזקות מסוג זה מכונות בשם Pure wipers. ↑

  38. https://bit.ly/3LVTB7r ; קישור לדו"ח: https://bit.ly/44l3zGn ↑

  39. Department of Cyber Information Security in the Security Service of Ukraine ↑

  40. https://bit.ly/40OGf0J ↑

  41. https://bit.ly/43XRc2H ; https://bit.ly/3MkrDCl ↑

  42. https://bit.ly/3L7NfBj ↑

  43. https://bit.ly/41J6UNu ; https://bit.ly/3mMKKLh ↑

  44. https://bit.ly/3mMKKLh ; https://bit.ly/43NXiTk ↑

  45. National Cyber Force ; יחידה הכוללת כוח אדם ממשרד ההגנה, ה-MIG, המעבדה לטכנולוגיה ומדע בהגנה (DSTL) ומטה התקשורת הממשלתית ((GCHQ. הכוח נוסד באפריל 2020 ומטרתו לפתח יכולות סייבר התקפיות במטרה להתמודד עם איומים על הביטחון הלאומי של בריטניה. ↑

  46. https://bit.ly/41e6qyx ; קישור למסמך: https://bit.ly/3nZwsav ↑

  47. Phishing-as-a-Service ↑

  48. https://bit.ly/3mgeDnd ; קישור להודעה: https://bit.ly/3GADwAD ↑

  49. https://cnn.it/4369WN4 ↑

  50. https://bit.ly/40HiIi7 ; https://bit.ly/40UrsSf ↑

  51. Cyber and Infrastructure Security Centre ↑

  52. Cyber Security Response Coordination Unit ↑

  53. https://bit.ly/3UldMy1 ; https://bit.ly/3zT0OOv ; https://bbc.in/3KvIeB3 ; https://bit.ly/3KTACd4 ↑

  54. https://bit.ly/3L1AYx8 ; קישור למסמך: https://bit.ly/40AdK75 ↑

  55. במסגרת זו, למשל, יש לאפשר גם לאנשים בעלי עבר פלילי לקחת חלק בתכניות שונות לאיתור חולשות אבטחה. ↑

  56. קישור למסמך: https://bit.ly/41DdftS ↑

  57. בהקמת ופעילות המועצה שותפות חברות טכנולוגיה נוספות, בהן Intel. ↑

  58. https://bit.ly/3mPhhQR ↑

  59. Arbitrary code execution ↑

  60. מאפיין אחד, למשל, הוא העדפה לרישום הדומיין על ידי גופים הגובים מחירים נמוכים. https://bit.ly/40S7lF2 ; קישורים לאזהרות: https://bit.ly/416ds8R ; https://bit.ly/3UvtjLQ ↑

  61. programmable logic controllers ↑

  62. https://bit.ly/41Qs1gW ; קישור להודעה: https://bit.ly/3V373cl ↑

  63. The Intelligence and National Security Alliance; ארגון אמריקני ללא כוונת רווח המקדם שיתופי פעולה בין המגזר הציבורי והפרטי בתחומי ביטחון לאומי ומודיעין. ↑

  64. https://bit.ly/3ZTLgVw ; קישור למסמך: https://bit.ly/43qMfPL ↑

  65. Emerging THreat Open Sharing ↑

  66. https://bit.ly/3VpVf4j ; קישור לפורטל: https://bit.ly/44imtxD ↑

  67. Cyber National Mission Force ↑

  68. https://bit.ly/3niwVo9 ; https://bit.ly/3LGwQ7g ↑

  69. https://bit.ly/3MvpunW ↑

  70. The Australian Prudential Regulation Authority ↑

  71. Australian Securities and Investments Commission ↑

  72. https://bit.ly/3mLr8Y8 ↑

  73. United State Court of Appeals for the Eighth Circuit ↑

  74. Environmental Protection Agency ↑

  75. The Administrative Procedure Act (APA); החוק מגדיר את האופן בו על הממשל הפדראלי לפתח וליישם תקנות שונות. במסגרת החוק, בעת הצגת החקיקה המוצעת, ניתנת לציבור הזדמנות להציג לה תגובות. ↑

  76. קישור למזכר: https://bit.ly/3Ld0oJp ↑

  77. https://bit.ly/3orVz66 ; https://bit.ly/3KUtKuv ↑

  78. Office of Technology Transitions; המשרד מהווה הגורם המרכזי בקידום תהליכי חדשנות טכנולוגיים במחלקת האנרגיה. ↑

  79. Positioning, navigation and timing ↑

  80. https://bit.ly/43TLHCv ↑

  81. ככל הנראה קבוצה המכונה בשם UNC4736. ↑

  82. https://bit.ly/3GYzXof ; https://bit.ly/3GYzVwL ; https://bit.ly/3GZoogm ; https://bit.ly/3Lpmdp9 ; https://bit.ly/3HroiP9 ↑

  83. Joint Cyber Defense Collaborative; ארגון שהקימה CISA באוגוסט 2021, המאגד נציגי ממשל פדראלי ומדינתי וכן נציגים מהמגזר הפרטי והמסייע לממשל ליישם גישת אבטחה פרו-אקטיבית באמצעות שיתוף תובנות וקיום תרגילי אבטחה משותפים. ↑

  84. Office of Management and Budget ↑

  85. Open Software Security Foundation; ארגון אמריקני הפועל ללא כוונת רווח, הכולל נציגים מהמגזר הפרטי, הפועלים על מנת לשפר את אבטחת הסייבר של תוכנות קוד פתוח. בין החברות בארגון נמצאות גוגל ו-IBM. ↑

  86. https://bit.ly/3nRaAhk ↑

  87. https://bit.ly/44f1XOB ; קישור לידיעה: https://bit.ly/3nlj4NX ↑

  88. Secure Software Development Framework, מכונה גם בתור SP 800-218. ↑

  89. https://bit.ly/3ok7PWh ; https://bit.ly/41CFusA ; קישור למסמך ההנחיות: https://bit.ly/3Kzs7Cw ↑

  90. https://bit.ly/3Aga9Am ; https://bit.ly/3owSBgr ; https://bit.ly/3o1Zw1j ↑

  91. The Insurance Council of Australia ↑

  92. https://bit.ly/40rcaUR ↑

  93. Financial Stability Board ↑

  94. הגִּרְסָה האחרונה של המילון פורסמה ב-2018. https://bit.ly/3AcAWgM ; https://bit.ly/3GVIbgQ. קישור למסמך המלא: https://bit.ly/3Lou06v ↑

  95. The Financial Services Information Sharing and Analysis Center ; ארגון בין-לאומי הפועל ללא כוונות רווח, והעוסק בשיפור מידת אבטחת הסייבר של מגזר הפיננסים העולמי. ↑

  96. NATO’s Cooperative Cyber Defense Centre of Excellence ↑

  97. https://bit.ly/3KYklSZ ; https://bit.ly/3AoECMs ↑

  98. האיומים הם: הנדסה חברתית, מתקפות כופרה, גניבת ציוד או מידע, איומי סייבר ממקורות פנימיים ומתקפות כנגד מכשירים רפואיים מקושרים. ↑

  99. Health Industry Cybersecurity Practices ↑

  100. קישור למסמך: https://bit.ly/41zVawU ↑

  101. קישור למסמך: https://bit.ly/3L9J2vU ↑

  102. https://bit.ly/3LoF5EC ↑

  103. National Cybersecurity Center of Excellence ↑

  104. https://bit.ly/43Q7TNy ↑

  105. https://bit.ly/43XRc2H ; https://bit.ly/3MkrDCl ↑

  106. https://bit.ly/3Am67Gw ↑

  107. Space Development Agency ↑

  108. Proliferated Warfighter Space Architecture ↑

  109. https://bit.ly/41lOmma ↑

  110. https://bit.ly/3AdKDvD ↑

  111. sector risk management agency; בכל אחד מ-16 ענפי התשתיות החיוניות ישנה סוכנות מסוג זה, האחראית על ניהול סיכונים בענף. ↑

  112. https://bit.ly/3A7Mp12 ; קישור לדו"ח: https://bit.ly/3UKa9lq ↑

  113. National Quantum Mission ↑

  114. https://bit.ly/3AmbtBN ↑

  115. https://bit.ly/3V3ztmo ↑

  116. https://bit.ly/3ACEwRw; קישור לטיוטה: https://bit.ly/40S1q26 ↑

  117. Air Force Research Laboratory ↑

  118. quantum information processing ; quantum algorithms ↑

  119. https://bit.ly/3LFW2dQ ↑

  120. The Italian Data Protection Authority ↑

  121. https://bit.ly/3MAM1jl ↑

  122. https://reut.rs/3V5a6AL ; https://bit.ly/3nkySjU ↑

  123. https://reut.rs/40odM1I ↑

  124. https://tcrn.ch/3om0NQF ↑

  125. https://bit.ly/435a67B ↑

  126. European Data Protection Board ↑

  127. https://reut.rs/3KYk7Lr ; https://bit.ly/41I0HBo ↑

  128. Office of Federal Procurement Policy ; משרד הכפוף למשרד לניהול ותקציב (OMB), האחראי על מתן הנחיות לממשל הפדראלי בנושאי רכש. ↑

  129. Digital IT Acquisition Professional Training Program ; תכנית שהושקה בשנת 2016 על ידי OFPP והשירות הדיגיטלי של ארה"ב (U.S. Digital Service), ומטרתה להכשיר גורמי רכש ממשלתיים לבצע תהליכי רכש שירותים דיגיטליים ושירותי IT. ↑

  130. https://bit.ly/43oezSP ↑

  131. Cyberspace Administration of China ↑

  132. https://bit.ly/447IGP0 ; https://cnb.cx/3Ncw6Ih ↑

  133. Department for Science, Innovation and Technology ↑

  134. https://bit.ly/3A4tjJl https://bit.ly/3AdOMiN; קישור למסמך האסטרטגיה: https://bit.ly/3ogNZLr ↑

  135. Office of Personnel Management ↑

  136. https://bit.ly/41IXX6J ↑

  137. יצוין כי חלק מכלי התקשורת דיווחו כי גורמים רוסים ביצעו מניפולציה במידע מסוים שהופיע במסמכים המודלפים. https://bit.ly/43L8IqZ ; https://bit.ly/3AN8geo ↑

  138. https://s.nikkei.com/40TE5gz ; https://bit.ly/3AEkvds ↑

  139. Strategic Cybersecurity Cooperation Framework ↑

  140. https://bit.ly/44u0nbI ; https://bit.ly/3oMV5rd ↑

קודם בסדרה: דו"ח מדיניות וביטחון סייבר הבא בסדרה: דו"ח מדיניות וביטחון סייבר קודם בארכיון: דו"ח מדיניות וביטחון סייבר הבא בארכיון: דו"ח מדיניות וביטחון סייבר חזרה לרשימה