יולי 2023
דו"ח מדיניות וביטחון סייבר
תוכן עניינים
חוק ה-NDAA לשנה הפיסקאלית 2024 5
סיכום זירת הסייבר על רקע המלחמה באוקראינה 9
איומי סייבר על תשתיות חיוניות 14
איומי סייבר על מגזר הפיננסים 17
התמודדות עם איומי סייבר על מכשירי IoT 18
תקציר חודשי
החודש פרסם הבית הלבן את תכנית היישום של אסטרטגיית אבטחת הסייבר הלאומית, הכוללת 65 יוזמות שעל 18 סוכנויות הממשל הפדראליות לקדם; בד בבד, מספר סנאטורים הציגו את הצעת החוק הדו-מפלגתית ה-FISMA of 2023,[1] שמטרתה לסייע לסוכנויות ממשל פדראליות להגן על מאגרי ומערכות מידע; כמו כן, החודש הוצגו התפתחויות במספר תכניות מחקר שמובילה דארפ"א, בתחום טכנולוגיית הבינה המלאכותית. עוד בארה"ב, בית משפט מחוזי השעה זמנית את יישום תכנית הסוכנות האמריקנית להגנת הסביבה (EPA),[2] המחייבת מדינות להעריך את מצב אבטחת הסייבר בקרב מערכות ציבוריות לאספקת מים בקהילות כפריות.
משרד המסחר של רוסיה אסר על עובדיו להשתמש במכשירי iPhone ומוצרים נוספים של חברת Apple לצורך תפקידם. בנוסף, הציגה רוסיה יוזמות לקידום התעשייה המקומית בתחום המחשוב הקוונטי; לצד זאת, הופסקה פעילותה של הסוכנות הרוסית לחקר האינטרנט (IRA),[3] שלקחה חלק משמעותי בניסיון ההשפעה על תוצאות הבחירות לנשיאות בארה"ב ב-2016, בעקבות המרד שהוביל הבעלים של IRA ומפקד כוח ואגנר, יבגני פריגוז'ין (Yevgeny Prigozhin), ביוני 2023; חברת Mandiant פרסמה הודעת בלוג, המציגה חמישה שלבים של תקיפות סייבר שגיבש המודיעין הצבאי הרוסי (GRU) ושנצפו בשימוש על ידי קבוצות תקיפה פרו-רוסיות במשך המלחמה באוקראינה.
האיחוד האירופי עשוי להשבית בשטח ריבונותו את פעילותן של רשתות חברתיות הנמנעות מלהסיר תכנים המסיתים לאלימות. כמו כן, עדכן האיחוד את טיוטת הצעת חוק ה-Cyber Resilience Act, המגדיר דרישות אבטחת סייבר מחייבות עבור יצרני מכשירים חכמים. במקביל, פרסמה ENISA דו"ח המציג את מצב אבטחת הסייבר במגזר הבריאות האירופי, על בסיס ניתוח אירועי סייבר שנצפו בשנים 2023-2021. ברית נאט"ו השיקה קרן חדשנות ופיתוח שתקדם השקעות בטכנולוגיות מתקדמות, בהן בינה מלאכותית ועיבוד נְתוּנֵי עָתֵק (big data); חוקרים מאוניברסיטה בהולנד פרסמו מסד נתונים הכולל מידע בנושא מתקפות סייבר על מגזר הימאות ברחבי העולם.
סינגפור וסין קידמו חוקים שמטרתם לסכל פשעי סייבר, ריגול והפצת תוכן פוגעני; הבנק להסדרי סליקה בין-לאומיים (BIS)[4] פרסם תכנית שמטרתה לסייע לבנקים מרכזיים ברחבי העולם להיערך ולהתמודד עם איומי סייבר על ענף המטבעות הדיגיטליים.
ארה"ב
ממשל, אסטרטגיה ומדיניות
ב-6 ביולי, הודיעה הרשות לשירותים כלליים (GSA)[5] על השקעה בסך 50.5 מיליון דולר שיוקצו במסגרת הקרן לחידוש ציוד ומערכות ה-IT הפדראליות (TMF),[6] עבור יוזמות לחידוש התשתיות הדיגיטליות של סוכנויות פדראליות ולשיפור מידת אבטחת הסייבר שלהן. במסגרת המיזם, יוקצו 15.2 מיליון דולר עבור מחלקת העבודה לטובת יישום מסגרת לאבטחת תשתיות ענן ולהטמעת עקרונות אפס האמון (Zero-Trust). כמו כן. צפויה הסוכנות להגנת הסביבה (EPA) לקבל 2.5 מיליון דולר לטובת טיפול בחולשות אבטחה בתשתית ה-IT של המערכת לניטור נתוני קרינה (ARadDS).[7]
כמו כן, ב-7 ביולי, פרסמה סוכנות המכס והגנת הגבולות (CBP)[8] את מסמך היעדים האסטרטגיים בתחומי ניהול תשתיות ה-IT ואבטחת הסייבר לשנים הפיסקאליות 2027-2023. האסטרטגיה כוללת שש מטרות: (1) שדרוג התשתיות המשמשות את ה-CBP לביצוע משימות מבצעיות, למשל, על ידי הקמת צוות משימה, שיקדם שימוש מיטבי בשירותי ענן; (2) פיתוח יישומים טכנולוגיים, באופן שיקל על עובדי ה-CBP לקבל גישה למידע ולשתף אותו, למשל על ידי פיתוח יכולות עבודה מרחוק; (3) קידום שיתופי פעולה לטובת פתרון סוגיות טכנולוגיות עימן מתמודדים סוכנויות ממשל בארה"ב, המגזר הפרטי וגופים בין-לאומיים;[9] (4) הטמעת ארכיטקטורת אפס האמון (Zero Trust) ושיפור היגיינת הסייבר של עובדי ה-CBP; (5) שיפור הליכי הטמעת טכנולוגיות חדשות וקיימות ב-CBP, תוך צמצום הנזקים המשוערים היכולים לנבוע עקב השימוש בהם; (6) שיפור תפקוד ותפעול המשרד לענייני מידע וטכנולוגיה (OIT)[10] של ה-CBP, באמצעות שיפור הכשרת וניהול כוח האדם של המשרד, שיפור תהליכי רכש IT, ועוד.[11]
בד בבד, ב-14 ביולי, פרסם הבית הלבן את תכנית היישום של אסטרטגיית אבטחת הסייבר הלאומית.[12] התכנית כוללת 65 יוזמות ספציפיות בתחומים של הגנה על תשתיות חיוניות; שיבוש וסיכול מבצעי סייבר מצד גורמי איום;
רתימת המגזר הפרטי למאמץ ההגנה הלאומי; קידום השקעות בטכנולוגיות ובתשתיות חדשות; וקידום שיתוף הפעולה עם בעלות בריתה של ארה"ב על מנת ליישם את התכנית. על פי התכנית, על כל אחת מבין 18 סוכנויות הממשל לקדם את היוזמות הרלוונטיות להן במועדים משתנים עד השנה הפיסקאלית 2025. משרד ראש הסייבר הלאומי (ONCD) יוביל את מאמץ התיאום הבין-ממשלתי ליישום התכנית אשר תעודכן אחת לשנה, כולל הגשת דו"ח מצב לנשיא ולקונגרס בנושא מידת יישומה.[13] כמו כן, פרסם ה-ONCD בקשה לקבלת מידע מהציבור ובעלי העניין בתעשייה, בנושא הדרכים בהן ניתן לעודד תיאום של הדרישות הרגולטוריות בתחום אבטחת הסייבר בקרב ענפי התשתיות החיוניות.[14]
במקביל, זכתה תכנית היישום לביקורת מצד מומחים, היות והיא אינה מתייחסת לנושאים של אבטחת וגניבת זהות דיגיטלית וההגנה על פרטיות המידע של אזרחים. גורמי ממשל בכירים טענו בתגובה לכך כי הנושאים יכללו בגרסאות עדכניות של האסטרטגיה שיפורסמו בעתיד.[15] מומחים נוספים ציינו כי יישום התכנית עלול להיתקל בחסמים, לנוכח פערים בתקציב ובכוח האדם המיומן במקצועות הסייבר, שיקשו לקדם חדשנות טכנולוגית וכן על רקע הפילוג הפוליטי בין נציגי המפלגות בקונגרס האמריקני.[16] בנוסף, יישום האסטרטגיה עלול להיתקל בקשיים נוספים, מאחר והממשל טרם מינה רשמית ראש סייבר לאומי במשרה קבועה מאז תחילת 2023, וההחלטה שלא למנות את ראשת הסייבר הלאומית הזמנית, קמבה וולדן (Kemba Walden), לתפקיד. על רקע זה, הפצירו מחוקקים אמריקנים, גורמים בתעשייה ומנציבות ה-Cyberspace Solarium 2.0 בממשל לאייש את המשרה בהקדם.[17] ב-25 ביולי, הודיע הבית הלבן כי בכוונתו למנות לתפקיד את הארי קוקר (Harry Coker), בכיר ב-NSA וב-CIA בעבר.[18]
בנוסף, ב-18 ביולי, פרסם משרד ראש המודיעין הלאומי (ODNI) את מסמך אסטרטגיית ניהול הנתונים עבור קהילת המודיעין האמריקנית לשנים 2025-2023. האסטרטגיה דנה בארבעה תחומים עיקריים: (1) שיפור תהליך וקצב איסוף וניהול כלל סוגי הנתונים; (2) פיתוח השילוב והתפעול ההדדי (Interoperability) של יכולות ושירותים קיימים עם חדשים, והיערכות להטמעת השימוש בכלים ושירותי בינה מלאכותית; (3) שיתוף פעולה ישיר עם המגזר הפרטי והאקדמיה על מנת לטפח חדשנות; (4) הכשרת עובדים להשתמש בנתונים באופן מיטבי, באמצעות טיפוח כישוריהם ויכולותיהם.[19]
חוק ה-NDAA לשנה הפיסקאלית 2024
ב-7 ביולי פרסם אתר החדשות Nextgov, כי נציג בית הנבחרים, ויסנטה גונזאלס (Vicente Gonzalez), הציג ב-29 ביוני 2023 תיקון להצעת חוק ה-NDAA לשנה הפיסקאלית 2024. על פי התיקון, סוכנויות פדראליות, בהן מחלקת ההגנה והמחלקה לביטחון המולדת (DHS), יידרשו להגיש לוועדות הקונגרס הערכה של סיכוני אבטחת הסייבר על טכנולוגיות ומערכות המשמשות את ה-CBP ועובדי מחלקת ההגנה, בהן מערכות לבידוק ולשיקוף של נוסעים ומטענים, נתונים פורנזיים וטכנולוגיות למעקב ולסריקה.[20]
במקביל, ב-11 ביולי, פרסמה גם וועדת הכוחות המזוינים של הסנאט הוראה במסגרת חוק ה-NDAA לשנה הפיסקאלית 2024, הקוראת למזכיר מחלקת ההגנה להוציא לפועל מבצעי סייבר לצורך מעקב וסיכול ארגוני פשיעה מקסיקניים הפועלים באזור הגבול הדרומי של ארה"ב. במסגרת ההוראה, קראו הסנאטורים למחלקת ההגנה וסוכנויות פדראליות נוספות לנסח אסטרטגיה ייעודית, אשר תציג פעולות סייבר קודמות שביצעה המחלקה והסכמים לשיתוף פעולה ביטחוני עם ממשלת מקסיקו, על מנת לסכל את ארגוני הפשיעה. כמו כן, יידרשו הסוכנויות לעדכן את הסנאט על ההתקדמות ביישום מבצעי הסייבר כחלק מהאסטרטגיה, אחת לרבעון.[21]
חקיקה
החודש הציגו הסנאטורים גארי פיטרס (Gary Peters) וג'וש האולי (Josh Hawley) את הצעת החוק הדו-מפלגתית FISMA of 2023, שמטרתה לסייע לסוכנויות ממשל פדראליות להגן על מאגרי ומערכות מידע. ההצעה מתמקדת בשיפור התיאום בין סוכנויות פדראליות, בהן הסוכנות לאבטחת סייבר ותשתיות ((CISA, משרד הניהול והתקציב (OMB) ומשרד ראש הסייבר הלאומי (ONCD), לבין חברות קבלן העובדות עימם, לטובת התמודדות עם אירועי סייבר. כמו כן, קוראת ההצעה ל-OMB לנסח עקרונות מנחים, שיסייעו לסוכנויות פדראליות להקצות משאבים על מנת להגן על רשתותיהן מפני איומי סייבר. בנוסף, מחייבת ההצעה את סוכנויות הממשל לדווח ל-CISA על כל אירוע סייבר, כשאירועי סייבר משמעותיים ידווחו גם לקונגרס.[22]
צבא וביטחון
החודש הוצגו מספר התפתחויות בתכניות המחקר של דארפ"א, בנושא טכנולוגיית הבינה המלאכותית. תחילה, ב-11 ביולי הודיעה חברת הבת של בואינג, Aurora Flight Sciences, על השקת פרויקט במסגרתו תפתח ותבחן ארכיטקטורת שליטה ובקרה המבוססת על למידת מכונה על מנת לשפר את הפעילות המבצעית של כלי שיט בלתי מאוישים (USV)[23] ולסייע להם להסתגל במהירות לאי וודאויות ואירועים בלתי צפויים בסביבה הימית. הפרויקט נעשה במסגרת תכנית FALCON[24] ובתמיכתה של תכנית LINC[25] שמובילה דארפ"א.[26]
שנית, ב-20 ביולי, הודיעה אוניברסיטת בן-גוריון כי פרופ’ יאיר נוימן והמהנדס יוחאי כהן, מהמחלקה למדעי הקוגניציה והמוח, פיתחו מערכת בינה מלאכותית המסוגלת לזהות אוטומטית מימוש או הפרה של נורמות חברתיות. המערכת נבנתה במסגרת תכנית CCU של דארפ"א,[27] העוסקת בבניית מודלי עיבוד שפה טבעית (NLP) לשיפור ההבנה החברתית בין קבוצות אוכלוסייה, מרקעים תרבותיים שונים. המערכת אומנה לזהות רגשות חברתיים בהתאם לעשר קטגוריות, כגון אמון ונאמנות, ומתבססת על שימוש במודל השפה GPT-3 לזיהוי כללים אוטומטיים ולפיתוח מודלים מוּבָנִים של חיזוי, וכן ביכולת למידה מסוג zero-shot text classification.[28] השימוש במודלים, עשוי לתרום למאמציה של מחלקת ההגנה לחזק את היציבות באזורים שונים בעולם, שכן הם יכולים לצמצם מקרים של אי-הבנות בין אוכלוסיות שונות, שעלולים לעורר עימותים ביניהן.[29]
לבסוף, הודיעה דארפ"א כי בחרה חמישה צוותי מחקר מהאקדמיה ומהמגזר העסקי, שייקחו חלק בתכנית ECOLE,[30] במסגרתה יפותחו אמצעי בינה מלאכותית על מנת לעבד קטעי וידאו, תמונות ומסמכי מולטימדיה, בשיתוף גורמים אנושיים, במסגרת משימות ביטחון לאומי הנמצאות בעדיפות גבוהה. במסגרת הפרויקט, ישתמשו הצוותים בעקרונות המתקדמים ביותר למִידּוּל מידע (data modeling),[31] על מנת לפרש אוטומטית את הפעולות והכוונות של אובייקטים המופיעים בתוצרים הוויזואליים.[32] דארפ"א פרסמה בספטמבר 2022 בקשה לקבלת הצעות מהמגזר הפרטי להשתתפות בתכנית ECOLE, שצפויה להימשך ארבע שנים.[33]
לצד זאת, התפרסמו פרטים בנושא המאבק המעצמתי על עליונות טכנולוגית ומאמצי מערכת הביטחון האמריקנית בתחום. על פי סקירה מאת החברה האמריקנית, Govini, המפעילה פלטפורמה לניהול מידע ומודיעין מסחריים, ארה"ב עלולה לאבד את עליונותה בטכנולוגיות חיוניות ובהן טכנולוגיית הבינה המלאכותית לסין, לנוכח אפשרות כי הפער בהשקעה הממשלתית מתרחב והתלות האמריקנית הקיימת בספקים סיניים, כולל בפרויקטים צבאיים רגישים. בהתייחס לתחרות המעצמתית, הזהיר מייסד חברת ,Scale AIאלכסנדר וונג (Alexander Wang), מפני ההשקעה של צבא סין במחקר בתחום הבינה המלאכותית לשימושים צבאיים המוערכת בכ-2%-1% מסך תקציבו. זאת, בעוד שבארה"ב מתמקד מגזר ההייטק בפיתוח הבינה המלאכותית לצרכים מסחריים ומחלקת ההגנה משקיעה כ-0.2%-0.1% מתקציבה לנושא. על רקע זה, קראה מנכ"לית Govini טרה מרפי (Tara Murphy) לממשלת ארה"ב להגביר את מעורבותה, על מנת להקצות מענקים עבור פיתוח פטנטים בתחומי הטכנולוגיה החיונית.[34]
בנוסף, ב-11 ביולי, טענה סגנית הממונה במשרד לענייני בינה מלאכותית ומידע במחלקת ההגנה (CDAO),[35] מרגרט פלמיירי (Margaret Palmieri), כי החלת עקרונות מנחים גורפים בנושא פיתוח ורכש טכנולוגיית הבינה המלאכותית על כלל אגפי מחלקת ההגנה היא מסובכת מבחינה בירוקרטית ועל כן עדיף ל-CDAO להתמקד בעידוד החדשנות ביחידות המחלקה.[36] פלמיירי ציינה את הדברים בעקבות דו"ח שפרסם משרד המבקר הממשלתי (GAO) ביוני 2023, לפיו מחלקת ההגנה נעדרת מדיניות מנחה בענייני הרכש של בינה מלאכותית. על פי ה-GAO, פירוש הדבר הוא שמחלקת ההגנה עלולה להשקיע משאבים ברכש ובהטמעת טכנולוגיות, שאינם נותנים מענה לאיומים העולים מהשימוש בבינה מלאכותית ושמקורם ביריביה של ארה"ב. לצד פיתוח מדיניות סדורה בנושא על ידי המחלקה, המליץ ה-GAO למחלקות צבא היבשה, הצי וחיל האוויר לפתח אסטרטגיות רכש בינה מלאכותית, המותאמות לכל זרוע.[37]
בד בבד, החודש התפרסמו מחקרים המתארים את פעולותיה של סין בתחום לוחמת המידע ואת הדרכים באמצעותן יכולה ארה"ב להיערך לאיומים הנובעים ממנה. על פי פרסום מאת מכון המחקר האמריקני RAND, גורמים בצבא סין העוסקים בלוחמה הפסיכולוגית קיימו דיונים על שילוב של נְתוּנֵי עָתֵק (big data) וטכנולוגיות מתקדמות שונות, כמו למשל דימות מוחי (brain imaging),[38] על מנת לשפר ביצועים של מרכיבים בלוחמת המידע. מחברי המאמר המליצו למחלקת ההגנה לעקוב אחר פעולות הצבא, הממשל והאקדמיה בסין בפיתוח יכולות מתקדמות לחיזוי והשפעה על תהליכי קבלת החלטות, כחלק מהלוחמה הפסיכולוגית.
במקביל, קראו המחברים למחלקה להשקיע במחקר להבנת היקף כוח האדם העומד לרשות סין בתחום הלוחמה הפסיכולוגית ואת המקום אותו היא ממלאת בחשיבה הצבאית האסטרטגית.[39] בנוסף, פרסם מכון המחקר האמריקני Irregular Warfare Initiative, מאמר, בו המליצה המחברת למחלקת ההגנה לגוון את השיטות בהן היא מנהלת מבצעי השפעה התקפיים והגנתיים. לדברי המחברת, ניתן לעשות זאת למשל באמצעות גיוס משפיעני רשת וקבוצות סייבר מאורגנות,[40] שיקדמו את מסריה של ארה"ב, מבלי שיזוהו עם ממשלת ארה"ב. בד בבד, על המחלקה לגבש הגדרה תיאורטית עדכנית ללוחמה קוגניטיבית, כך שתכלול גם פעולות השפעה המתבצעות מעבר למרחב הצבאי. במקביל, על המחלקה להקצות משאבים לטובת מחקר בתחומים הרלוונטיים ללוחמת מידע, כגון מדעי המוח ומדעים קוגניטיביים, תוך שמירה על עקרונות המחקר האתיים.[41]
לבסוף, ב-27 ביולי, הכריז באופן רשמי המשרד לניהול התכנית למודיעין, לוחמה אלקטרונית וחיישנים (PEO IEW&S)[42] הכפוף לצבא היבשה על הקמת יחידה חדשה (PM C&S),[43] שתעסוק בפיתוח, רכש ופריסת טכנולוגיות, שיתמכו במשימות לוחמת סייבר, לוחמת מידע ולוחמת חלל ברמה הטקטית. בעתיד, צפויה- PM C&Sלכלול יכולות חלל טקטיות ויחידות נוספות, שיתנו מענה לאתגרים עתידיים במרחב הסייבר.[44]
רוסיה
ב-16 ביולי אסר משרד המסחר של רוסיה על עובדיו להשתמש במכשירי iPhone ובמוצרים נוספים של חברת Apple לצורך תפקידם, על רקע החשש של שירות הביטחון הפדראלי של רוסיה (FSB) מפני פעולות ריגול אמריקניות כנגד מוסדות ממשל רוסיים.[45] זאת, לאחר שביוני 2023 הודיעה חברת Kaspersky כי חשפה קמפיין במסגרתו הודבקו אלפי מכשירים של משתמשי iPhone, בהם עובדי החברה, בנוזקה.[46] בחודשים הקרובים, צפויה ההנחיה להיכנס לתוקף בקרב גופי ממשל רוסים נוספים, אם כי לעת עתה היא לא תוחל על השימוש במכשירים פרטיים.[47]
אירופה
סיכום זירת הסייבר על רקע המלחמה באוקראינה
החודש התפרסמו פרטים בנושא דפוסי מעורבותה של ממשלת רוסיה בלוחמת הסייבר מראשית הפלישה לאוקראינה ב-2022 וכן בנושא דיכוי הממשלה את האופוזיציה למלחמה באמצעות שימוש בכלים טכנולוגיים. בנוסף, התפרסם מידע על ניסיונות סיכול מבצעי ההשפעה של רוסיה מצד אוקראינה ובעלות בריתה.
ב-12 ביולי פרסמה חברת Mandiant הודעת בלוג, המציגה חמישה שלבים של תקיפות סייבר, שגיבש המודיעין הצבאי הרוסי (GRU) ושנצפו בשימוש על ידי קבוצות תקיפה פרו-רוסיות במשך המלחמה:[48] (1) פריצה לתשתית קצה, כגון נתבים, Firewalls ושרתי דוא"ל לטובת גישה ראשונית לרשתות הארגון המותקף; (2) שימוש בטכניקות Living off the land וניצול תהליכים מוּבנים במערכת הפעלה על מנת לנוע רוחבית, ולאסוף מידע להעמקת הגישה לרשת; (3) יצירת גישה מתמשכת והעלאת הרשאות באמצעות ניצול הגדרות מדיניות קבוצה (GOPs)[49] ושימוש ב- PowerShells; (4) שימוש בכופרות, בנוסף ל-Wipers, הניתנות לשימוש במגוון מצבים; (5) הפצת פרסומים על הצלחת התקיפות בערוצי טלגרם, ללא קשר לתוצאותיהן. על פי Mandiant, הממצאים מדגימים את מקומו המרכזי של ה-GRU בהגדרת עקרונות תקיפות הסייבר עבור האקרים, על מנת ליצור השפעה מתמשכת והניתנת לשחזור.[50]
בד בבד, על פי מסמכים שהגיעו לידי ה-New York Times, בשילוב הערכות מומחי אבטחה וגורם בתעשיית הריגול הדיגיטלי ברוסיה, חברות פרטיות במדינה פיתחו עבור המשטרה וה-FSB אמצעים טכנולוגיים המאפשרים להם לזהות משתמשים הפועלים באנונימיות ברשתות החברתיות ולפרוץ לחשבונותיהם. על פי הדיווח, נעשה שימוש באמצעים המזהים שיחות קוליות או משלוח קבצים, המתבצעים באפליקציות להעברת מסרים מוצפנים, כגון טלגרם ו-WhatsApp, על מנת לנטר ולדכא התנגדות למלחמה. בד בבד, אמצעי בשם NetBeholder, שפיתחה חברת הטכנולוגיה הרוסית MFI Soft, מאפשר לאתר מיקום של צמד מכשירים סלולאריים במשך שעות היממה, מה שמאפשר לגלות מפגשים פיזיים המתקיימים בין בעלי המכשירים.[51]
באוקראינה, הודיעה ב-18 ביולי מחלקת הסייבר של המשטרה הלאומית כי השביתה חוות בוטים שכללה יותר מ-100 מפעילים ושהייתה מעורבת בהפצת מידע כוזב בעד רוסיה במהלך המלחמה, בהדלפת מידע אישי השייך לאזרחים אוקראינים ובביצוע הונאות. על פי הודעת המשטרה, במסגרת פעילות החווה, שפעלה מערים אוקראיניות כגון ויניציה (Vinnytsia), זאפוריז'יה (Zaporizhzhia) ולבוב (Lviv), השתמשו המפעילים בציוד מחשוב מתקדם על מנת לרשום אלפי חשבונות בוטים ברשתות חברתיות שונות.[52]
לצד סיכול פעילות חוות הבוטים, ב-10 ביולי פורסמו מסקנות דו"ח שחובר לבקשת וועדת בית הנבחרים האמריקני לענייני משפט והגיע לידי רשת CNN, ולפיהן שירות מודיעין הפנים של אוקראינה (SBU) העביר באופן שוטף ל-FBI רשימת חשבונות שהפיצו לכאורה מידע כוזב בעד רוסיה, על מנת שיתקשר עם הרשתות החברתיות כדי להסירם. המסקנות העלו כי ה-FBI לא בדק את הרשימות שקיבל לידיו וביקש להסיר חשבונות אותנטיים, כולל חשבונות מאומתים השייכים לעיתונאים אמריקניים, למחלקת המדינה האמריקנית ואף חשבונות שביקרו את רוסיה על רקע המלחמה.[53]
האיחוד האירופי
על רקע המהומות בצרפת מיוני 2023, והצהרתו של נשיא צרפת, עמנואל מקרון (Emmanuel Macron) כי ארצו תשקול לחסום את הגישה לרשתות חברתיות במהלך מהומות אזרחיות אלימות,[54] ב-10 ביולי, במסגרת ראיון לרשת הרדיו הצרפתית France Info, אמר נציב הפנים באיחוד האירופי, תיירי ברטון (Thierry Breton), כי רשתות חברתיות כגון פייסבוק, טוויטר, ו-TikTok, עלולות לעמוד בפני סנקציות מיידיות כגון קנס כספי והשבתת פעילותן, במקרים בהם ימנעו מהסרת תוכן המסית לאלימות, אי-ציות או שנאה. זאת, על פי חוק השירותים הדיגיטליים (DSA)[55] של האיחוד האירופי, אשר ייכנס לתוקף ב-25 באוגוסט 2023. בשלב הראשון יחול החוק על פלטפורמות המדיה החברתיות הגדולות (VLOPs),[56] ובפברואר 2024 גם על כלל הפלטפורמות, ויחייב אותן לנהוג בשקיפות בנושא פעילות האלגוריתמים ותהליכי קבלת ההחלטות בעת הסרת תוכן.[57]
בריטניה
החודש פרסם המרכז הלאומי לאבטחת הסייבר של בריטניה (NCSC) המלצות עבור ארגונים גדולים וארגוני מגזר ציבורי, שאינם מסוגלים או נדרשים להקים מרכז SOC לצורך פעילותם. המרכז קרא לארגונים אלו לעבור לשימוש מלא בשירותי ענן על מנת להפחית עלויות של עדכון תוכנות וניצול יתרונות של אמצעי זיהוי משתמשים בענן, להטמיע את עקרון ה-Zero Touch Production (ZTP),[58] המצמצם את הצורך בניטור הרשת לצורכי אבטחה ולהשתמש בחשבונות ענן נפרדים עבור שירותים שעליהם להישאר מופרדים, כגון חשבונות המאחסנים לוגים. כמו כן, קרא המרכז לארגונים להשתמש בשירותי לוגים של שירותי ענן הכוללים גם יכולות לבדוק את שלמותם (integrity), דבר שעשוי לייתר את הצורך בשימוש במערכות SIEM ולהטמיע עקרונות פיתוח מאובטח, מתן גישה לצוותי התפעול לתהליכי production ותיעוד ובקרת גישה ושינויים.[59]
בנוסף, ב-27 ביולי פרסם ה-NCSC עקרונות מנחים שמטרתם לסייע לארגונים במגזר הציבורי והפרטי בניהול ובשימוש של עובדים במכשירי ושירותי Shadow IT,[60] שעלולים לגרום לדליפת מידע רגיש מרשתות הארגון או להחדרת נוזקות. על רקע זה, המליצו המחברים לצוותים הטכניים בארגונים לאתר את תשתיות ה-Shadow IT ולתת מענה לקשיים הטכניים שהובילו להטמעה והשימוש בהם. כמו כן, הציג ה-NCSC המלצות נוספות, בהן קרא לארגונים להעביר את המידע המאוחסן ב-Shadow IT למכשירים שאושרו לשימוש ולהעניק גישה מבוקרת לשירותים, המצויים מחוץ להישג ידם של העובדים.[61]
לבסוף, ב-31 ביולי השיק רשמית משרד ההגנה של בריטניה את היוזמה למעבר להטמעת גישת ה-Secure by Design במסגרת תכניות בניין הכוח והמערכות שלו וכן בשרשרת האספקה. היוזמה עליה הכריז המשרד במאי 2023, תחליף את הגישה הקודמת שהייתה נהוגה במשרד ההגנה ונשענה על עיקרון העמידה בדרישות לצורך תְּאִימוּת לתקן (Accreditation-based compliance) באבטחת סייבר. הגישה החדשה תתבסס על ניהול סיכונים מתמשך ותחייב ספקים ומנהלים בכירים לוודא כי מוצרים ושירותים הנקלטים במשרד מאובטחים. המשרד השיק את היוזמה לאחר שצוות ייעודי בחן אותה כתכנית פיילוט בתכניות משרד ההגנה, וסייע לגבש עקרונות, הנחיות וכלים טכניים על מנת לקדם את הטמעתה.[62]
אסיה
סין
ב-1 ביולי נכנס לתוקף התיקון לחוק המאבק בפעילות ריגול (CEL),[63] המרחיב את היקף הפעולות המוגדרות כפעולות ריגול זרות ושכנגד מבצעיהן יכולה ממשלת סין לנקוט בסנקציות. בעוד שבנוסח הראשון של החוק מ-2014, פעולות ריגול הוגדרו כפעולות של גניבת מידע מודיעיני וסודות מדינה, החוק העדכני מגדיר ריגול כחשיפה לא מורשית של מידע, הנוגע לביטחונה הלאומי של סין וכן תקיפות סייבר נגד גופים ממשלתיים או תשתיות חיוניות. על פי מסמך מטעם המרכז הלאומי לביטחון ולמודיעין מסכל של ארה"ב (NCSC),[64] משמעות התיקון היא שפעולות מסוימות של גורמים זרים בסין, בהם עיתונאים, חוקרים וחברת פרטיות, עלולות להיות מוגדרת כפעילות ריגול.[65]
בנוסף, ב-7 ביולי פרסמה רשות מרחב הסייבר של סין (CAC)[66] את טיוטת הצעת חוק ה-Cyber Violence Information Governance Provisions. מטרת ההצעה לחייב ספקיות שירותי מידע להציע למשתמשים אפשרות לחסום משתמשים המפרסמים עליהם מידע פוגעני ברשת, באמצעות פונקציית "one-click protection". כמו כן, כוללת הצעת החוק יוזמה להקמת מנגנון לעבודה משותפת של ה-CAC וגורמי ממשל נוספים לשיתוף מידע, איסוף ראיות וקיום חקירות של מקרי הטרדה אלו.[67]
בהונג קונג, ב-9 ביולי, פרסם סגן מזכיר מחלקת המשפטים, הוראס צ'ונג (Horace Cheung), הודעת בלוג לפיה עתידה המחלקה להקים חטיבה חדשה שתעסוק במאבק בפשעי סייבר. צ'ונג ציין כי על מחלקת המשפטים לעבוד בתיאום מול המשטרה המקומית שהקימה את הלשכה לאבטחת סייבר והמאבק בפשיעה טכנולוגית ב-2015.[68] לבסוף, אמר צ'ונג כי המחלקה תשקול לאמץ את המלצות מסמך הייעוץ מאת הנציבות לרפורמת המשפט בהונג-קונג (LRC)[69] מיולי 2022,[70] במסגרתן קראה הנציבות לקדם חקיקה חדשה על מנת להגדיר פשעי סייבר הכוללים גישה, התערבות או שיבוש בלתי חוקיים של נתונים ומערכות מחשוב, ולרכז את המאבק בהם.[71]
בד בבד, פורסמו החודש פרטים על דפוסי מתקפות הסייבר המזוהות עם סין. ב-29 יולי דיווח עיתון ה-New York Times כי סוכנויות המודיעין האמריקניות איתרו נוזקה שהשתילו האקרים, הפועלים ככל הנראה בחסות סין ברשתות של תשתיות חיוניות בארה"ב, כגון מערכות לאספקת חשמל, מים ותקשורת, ושעלולה לאפשר להם לשבש את תפקוד הצבא בעת עימות פוטנציאלי בין המדינות. גורם רשמי מהקונגרס האמריקני שהתראיין בעילום שם, טען שהנוזקה עלולה שלא רק לגרום לשיבוש פעילות בסיסי הצבא האמריקני ברחבי ארה"ב והעולם, אלא גם להשפיע על הפעילות העסקית ובתי אב אמריקנים.[72] בנוסף, על פי הערכות עדכניות, הנוזקה שהתגלתה מוסתרת ומפושטת יותר ברשתות האמריקניות בהשוואה לאזהרות קודמות בנושא שפרסמו ברית מדינות ה-Five Eyes וחברת מיקרוסופט, במאי 2023.[73] כמו כן, ב-18 ביולי, פרסמה חברת Mandiant הודעת בלוג הכוללת פרטים חדשים על דפוסי מבצעי ריגול הסייבר של האקרים סיניים. על פי ההודעה, קבוצות התקיפה UNC4841 ו-UNC3886, הפועלות בחסות ממשלת סין, החלו לבצע ב-2022 מבצעי ריגול סייבר שהתמקדו בניצול חולשות Zero Day בתוכנות אבטחה ובטכנולוגיות וירטואליזציה ורשת על מנת לצמצם את הסיכוי לגִּלּוּיָם. במסגרת התקיפות, התמקדה קבוצת UNC3886 ביצרניות מהמגזר הביטחוני, ומגזרי הטכנולוגיה והתקשורת בארה"ב ובאסיה, בעוד שקבוצת UNC4841 פעלה על מנת לגנוב מידע מחברות פרטיות וציבוריות מרחבי העולם, בעל חשיבות פוליטית-אסטרטגית לסין.[74]
סינגפור
בתחילת החודש אישר הפרלמנט של סינגפור את חוק ה-Online Criminal Harms Act, המעניק לממשלה סמכות להורות לאזרחים ולספקי שירותי רשת להשבית אתרים, אפליקציות וחשבונות מקוונים, המשמשים לביצוע פעילויות פליליות שונות. במסגרת החוק, תוכל הממשלה להורות על הפסקת פרסום תוכן מוגדר; מניעת צפייה בתוכן מסוים; השבתת חשבונות; חסימת גישה לאתר אינטרנט; והסרת אפליקציה מחנות אפליקציות.[75]
איומי סייבר על תשתיות חיוניות
החודש, פרסם מכון המחקר האמריקני Atlantic Council דו"ח, המציג סיכוני אבטחת סייבר שמקורם בשירותי ענן, והשלכותיהם בקרב חמישה ענפי תשתיות חיוניות, ביניהם הבריאות, התחבורה והלוגיסטיקה, הפיננסים, האנרגיה והמגזר הביטחוני. על פי המחברים, העובדה כי הארכיטקטורה של שירותי ענן מבוססת על עקרון ה-Multitenancy הופכת אותם למטרה אטרקטיבית להאקרים, שכן באמצעות פריצה אליהם ניתן לפגוע במספר ארגונים במקביל, העושים שימוש בשירותים אלו.[76] מחברי הדו"ח המליצו להקים משרדים לניהול שירותי ענן (CMO)[77] בקרב סוכנויות ממשל האחראיות על ניהול הסיכונים בקרב תשתיות חיוניות (SRMA),[78] כגון המחלקה לביטחון המולדת ומחלקת האנרגיה, על מנת שיבצעו הערכה לגבי סיכונים הנשקפים למפעילי תשתיות חיוניות שמקורם בשירותי ענן, התלות של תשתיות אלו בשירותי ענן, ועוד. בנוסף, הציעו המחברים לקונגרס להקים ארגון לניהול סיכוני ענן בין-מגזריים, וכן לקבוע תחת איזה גוף ממשלתי להקימו, איזה סוג מידע עליו לאסוף מספקיות שירותי ענן במטרה למפות את הסיכונים, כיצד יוכל להגיש את המידע הנחוץ לגוף הממשלתי; וכיצד עליו לשתף את המידע עם ארגוני התשתיות החיוניות.[79]
כמו כן, החודש פסק בית משפט מחוזי לענייני ערעורים בסנט לואיס (St. Louis),[80] שבמדינת מיזורי (Missouri), על השעיה זמנית של יישום המִזְכָּר שפרסמה הסוכנות האמריקנית להגנת הסביבה (EPA) במרץ 2023, המחייב את מדינות ארה"ב להעריך את מידת אבטחת הסייבר של תשתיות המים שלהן, כחלק מסקרי התברואה שהן מבצעות.[81] זאת, לאחר שמדינות איווה (Iowa), מיזורי וארקנסו (Arkansas) הגישו תביעה באפריל 2023, לפיה תכנית ה-EPA מפרה את חוק הפרוצדורה המִנְהָלִית ומשיתה חובות משפטיות ועלויות פיננסיות גבוהות על המדינות ועל מפעילי ובעלי מערכות ציבוריות לאספקת מים בקהילות קטנות וכפריות.[82]
על רקע זה, ב-25 ביולי, פרסם אתר החדשות האמריקני TheMessenger נתונים מאת ה-EPA המבוססים על הערכות וביקורות שביצעה ה-EPA בקרב 249 מתקני מים בארה"ב בשנים 2023-2020. על פי הנתונים, חלק מבעלי ומפעילי המתקנים אמנם הטמיעו אמצעי אבטחת סייבר שונים, כגון אמצעים לבחינה שוטפת של גיבוי נתונים, אך קשיי מימון מנעו ממנהלי תשתיות המים לרכוש ולהטמיע אמצעים מתקדמים, בהם מערכות לאיתור פריצה (IDS). כמו כן, מנהלי תשתיות המים מתקשים לגייס מומחי אבטחת סייבר, בעקבות המחסור בכוח האדם וקשיי מימון.[83]
איומי סייבר על ענף התחבורה
החודש פרסמה רשות אבטחת התחבורה של ארה"ב (TSA)[84] תכנית, הכוללת 20 יעדים מוגדרים, לרבות בתחום אבטחת הסייבר, למימוש עד ל-2025, הנגזרים מאסטרטגיית ה-TSA לשנים 2026-2018.[85] התכנית דנה בשיפור יכולתה של ה-TSA לחזות סיכוני אבטחה במרחב הסייבר, לבחון ולהשתמש טכנולוגיות מבוססות כריית והדמיית נתונים לשיפור הליכי קבלת ההחלטות ושיפור הגילוי של איומים ממקורות פנימיים על מערכות התחבורה. בנוסף, בכוונת ה-TSA לבחון שימוש בטכנולוגיות סריקה ושיקוף חדשות לשיפור מידת האבטחה במגזר שילוח המטענים האווירי, לקדם את הטמעת עקרון ה-Security-By-Design במערכות תעבורה אוויריות מתקדמות (AAM)[86] וכן להשתמש בגישה המבוססת על ארכיטקטורה פתוחה (Open Architecture) לטובת הטמעה ושימוש בטכנולוגיות לשיקוף נוסעים.[87]
איומי סייבר על ענף הימאות
איומי סייבר על ענף התעופה
ב-18 ביולי השיקו חוקרים מאוניברסיטת NHL Stendenלמדע יישומי בהולנד, מסד נתונים הכולל מידע בנושא מתקפות סייבר על מגזר הימאות העולמי (MCAD).[88] המסד, המבוסס על מקורות גלויים, כולל נתונים על כ-160 אירועי סייבר שהשפיעו על התפעול של כלי שיט, נמלים ותשתיות ימיות נוספות ברחבי העולם. מסד הנתונים יעודכן באופן שוטף על מנת לסייע בהעלאת המוּדעוּת לנושא אבטחת הסייבר במגזר הימאות, לספק נתונים למחקר עתידי וכן לסייע לדמות תקריות סייבר ימיות במטרה לפתח דרכי התמודדות עבור ממשלות, ארגונים וחברות בתחום.[89]
איומי סייבר על ענף הבריאות
ב-5 ביולי, פרסמה ENISA דו"ח המציג את מצב אבטחת הסייבר במגזר הבריאות האירופי, על בסיס ניתוח אירועי סייבר שנצפו בין ינואר 2021 למרץ 2023. על פי הדו"ח, 53% ממתקפות הסייבר נגד מגזר הבריאות בתקופה זו בוצעו נגד ארגונים המספקים שירותי רפואה, בהם בתי חולים, בעוד ש-14% מהתקיפות כוונו נגד רשויות ממשלתיות בתחום הבריאות ו-9% נגד תעשיית התרופות. בנוסף, 83% מכלל התקיפות בוצעו מתוך מניע פיננסי וערכו הכספי הגבוה של מידע רפואי השייך למטופלים, בעוד 10% בוצעו מתוך מניע אידיאולוגי ו-6% נבעו כתוצאה מטעות או תאונה. כמו כן, כ-54% מאירועי הסייבר על ענף הבריאות היו מתקפות כופרה. במסגרת הדו"ח, הציגה ENISA מספר המלצות לשמירה על היגיינת הסייבר בקרב עובדים בארגוני בריאות בהתמודדות עם עומס תפעולי, בהן יצירת גיבוי מוצפן של מידע חיוני והעלאת מוּדעוּת הצוותים הרפואיים למתקפות הנדסה חברתית ולנהלי אבטחת סייבר, על מנת להפחית במספר תקריות דֶלֶף מידע. בנוסף, המליצה ENISA לבצע סריקות תקופתיות לאיתור חולשות ביישומים החשופים לרשת האינטרנט (internet-facing), כגון שרתי דוא"ל.[90]
איומי סייבר על מגזר הפיננסים
ב-6 ביולי, פרסמה הרשות האוסטרלית המפקחת על ענף השירותים הפיננסיים (APRA)[91] ממצאי בדיקה שבחנה את מידת חסינות הסייבר בקרב מוסדות פיננסים הנמצאים תחת פיקוחה. הבדיקה נערכה כחלק ממאמץ מקיף שמקדמת ה-APRA לבחינת העמידה של בנקים, גופי ביטוח וקרנות פנסיה בתקן ה-CPS 234 Information Security[92] עד לסוף 2023, ושמטרתו לוודא כי גופים אלה מסוגלים להתמודד עם תקריות סייבר. הממצאים העלו כי הפערים הנפוצים ביותר נוגעים לזיהוי ולסיווג של נכסי מידע חיוניים ורגישים; קשיים בהערכת יכולת אבטחת המידע בקרב ספקי צד-שלישי; הגדרה וביצוע של תכניות בדיקה ובקרת המידע הפנימיות ועוד. על מנת להתמודד עם הפערים, המליצו מחברי הדו"ח לגופים הפיננסיים לבחון ולעדכן את תכניות התגובה אחת לשנה לפחות וכן למנות מבקר חיצוני בלתי תלוי שיהיה אמון על בדיקת העמידה בתקן ה-CPS 234, ועוד.[93]
כמו כן, ב-7 ביולי, פרסם הבנק להסדרי סליקה בין-לאומיים (BIS) תכנית שמטרתה לסייע לבנקים מרכזיים מרחבי העולם, בהם הבנק המרכזי של ארה"ב והבנק המרכזי האירופי, להתמודד עם איומי סייבר על מערכות לניהול מטבעות דיגיטליים בהנפקת בנק מרכזי (CBDCs).[94] התכנית קוראת לבנקים המרכזיים להכיר את סביבת האיומים החדשה והמורכבת העולה מהשימוש במערכות CBDC, לאמץ טכנולוגיות חדשות ומאפשרות שיסייעו לשפר את האבטחה והחסינות של המערכות, לבחון יכולות קיימות בהן ניתן להיעזר וניתנות לשדרוג על מנת להגן על מערכות ה-CBDC לצד זיהוי יכולות נחוצות נוספות, וכן להסתייע ולהרחיב את מסד הנתונים של תאגיד MITRE ATT&CK בנושא מתקפות סייבר קודמות.[95]
התמודדות עם איומי סייבר על מכשירי IoT
ב-19 ביולי, אישרו מועצת האיחוד האירופי ו-וועדת התעשייה, המחקר ואנרגיה בפרלמנט האירופי גִּרְסָה חדשה לטיוטת הצעת החוק Cyber Resilience Act, המגדירה דרישות אבטחת סייבר עבור מכשירים חכמים המחוברים לרשתות או למכשירים אחרים. הנוסח העדכני מאמץ עקרונות מהצעת החוק המקורית, כגון הטלת החובה על יצרני המכשירים לבצע הערכה של סיכוני אבטחת הסייבר. עם זאת, כוללת הגִּרְסָה העדכנית מספר שינויים ביחס לטיוטת החוק המקורית. בעוד שבהצעת החוק המקורית נקבע שעל יצרני המכשירים לדווח ל-ENISA על אירועי סייבר וחולשות אבטחה, קבעה המועצה כי הדיווח ייעשה לצוותים הלאומיים להתמודדות עם אירועי סייבר (CISRTs).[96] כמו כן, מרחיבה ההצעה שאושרה את רשימת המוצרים עליהם חל החוק, כך שתכלול גם מוצרים כגון מנהלי סיסמאות, שעונים חכמים ומצלמות אבטחה חכמות.[97]
מחשוב קוונטי
ב-11 ביולי הודיעה חברת פיתוח התוכנה האוסטרלית, Q-CTRL כי בכוונתה לשתף פעולה עם מחלקת ההגנה בפיתוח חיישנים קוונטים שיקנו לצבא יכולות ניווט מתקדמות. בתהליך פיתוח החיישנים, תשתמש Q-CTRL בטכנולוגיה מבוססת פיזיקה קוונטית, לאיתור שינויים קטנים בשדה הכבידה של כדור הארץ, דבר שיאפשר לכוחות הצבא להפחית את התלות בשירותי GNSS,[98] ולהשתמש גם ביכולות ניווט ומיקום מדויקות לתקופות ממושכות.[99]
ברוסיה, הוצגו מספר יוזמות בתחום המחשוב הקוונטי, במסגרת הכינוס השנתי של פורום טכנולוגיות העתיד.[100] ראשית, הודיע המנכ"ל והמייסד של המרכז הקוונטי של רוסיה (RQC),[101] רוסלן יונוסוב (Ruslan Yunusov), כי בכוונת ה-RQC לשתף פעולה עם מוסדות מחקר ואקדמיה בהודו, על מנת לפתח יישומים ותוכנות קוונטיים לשימוש המגזר הציבורי.[102]
שנית, במהלך הפורום התקיימה תערוכה בה הציגו מדענים רוסיים מחשב קוונטי, הנמצא בפיתוח מאז 2015, בשיתוף התאגיד הממלכתי לאנרגיה אטומית (Rosatom). המחשב, בעל עוצמת חישוב של 16 קיוביטים, נחשב לקטן בהשוואה למחשבים אחרים שפיתחו חברות מערביות, כגון IBM.[103] לבסוף, במסגרת הפורום הציג נשיא רוסיה, ולדימיר פוטין, צעדים נוספים שבכוונת ארצו לנקוט לעידוד המחקר הקוונטי במדינה, לרבות חידוש תכנית Mega שמטרתה למשוך חוקרים זרים מחו"ל על ידי מתן מענקים והרחבת תעשיית המיקרואלקטרוניקה המקומית.[104]
במקביל, פרסם המרכז למדיניות אירופית (EPC),[105] מסמך המלצות להיערכות מדינות האיחוד האירופי להתמודדות עם איומי סייבר שמקורם במחשוב קוונטי. על פי המסמך, על מוסדות האיחוד לנסח תכנית פעולה מתואמת,[106] שתגדיר מטרות ומסגרות זמן למעבר של מדינות האיחוד להצפנה פוסט-קוונטית. כמו כן, כולל המסמך המלצה למוסדות האיחוד לקדם שיתופי פעולה בין סוכנויות אבטחת הסייבר הלאומיות של המדינות החברות לבין ENISA, על מנת לקבוע את התחומים בהם ייעשה שימוש בטכנולוגיות קוונטיות. לצד זאת, המליצו מחברי המסמך כי ENISA ומומחי סייבר ממדינות האיחוד יקימו קבוצת עבודה, שתקדם חילופי מידע בנושא דרכי המעבר להצפנה פוסט קוונטית. בד בבד, הציעו המחברים לקדם שיתופי פעולה טכנולוגיים ברמה היבשתית, על מנת לתת מענה לבעיות הקיימות בפיתוח הצפנה פוסט-קוונטית, כגון הצורך לפתח צמתים (Nodes) קוונטיים ולהבטחת חיבוריות למרחקים ארוכים עבור חלוקת מפתח קוונטית (QKD).[107]
בינה מלאכותית
ב-13 ביולי הודיעה נציבות המסחר הפדראלית האמריקנית (FTC)[108] כי היא חוקרת הפרות אפשריות של החוק להגנת הצרכן על ידי חברת OpenAI. במסגרת הבדיקה, מבקשת ה-FTC לקבל פרטים במספר נושאים, בהם: האופן שבו מנהלת החברה נתונים השייכים ללקוחותיה ואת האלגוריתמים שלה; האם קיבלה תלונות מהציבור על רקע מידע מטעה שסיפקה, בדגש על מידע שעלול לפגוע במוניטין של משתמשים והצעדים שנקטה בהתאם; רשימת תביעות משפטיות בהן היא מעורבת; פרטים על תקרית דליפת הנתונים שחשפה OpenAI במרץ 2023, ועוד.[109]
טכנולוגיות חדשות
החודש, השיקה נאט"ו את קרן החדשנות של הברית (NIF),[110] עם בחירת 23 המדינות החברות בקרן את צוות ההנהלה. הקרן, הכפופה ליחידת החדשנות של נאט"ו,[111] הוקמה לראשונה במאי 2023 במטרה להשקיע מיליארד אירו (1.12 מיליארד דולר) בחברות הֶזְנֵק המפתחות טכנולוגיות מתקדמות, בהן בינה מלאכותית, עיבוד נְתוּנֵי עָתֵק (big data) וטכנולוגיות חלל, לקידום יכולותיה הביטחונית של הברית. כמו כן, צפויה ה-NIF להשלים את פעילותו של מאיץ החדשנות הטכנולוגית DIANA,[112] המעניק תמיכה טכנולוגית ופיננסית לחברות המפתחות טכנולוגיות חדשות ושעשויות לסייע לפעילות נאט"ו.[113]
השפעה, הטיית דעת קהל והסתה
ב-4 ביולי, פסק שופט בית המשפט המחוזי במדינת לואיזיאנה (Louisiana) בארה"ב, כי על סוכנויות הממשל הפדראליות שלא להתערב בהסרה או בצמצום של תכנים המוגנים תחת עקרון חופש הביטוי והמתפרסמים ברשתות החברתיות. הפסיקה ניתנה בעקבות עתירות שהגישו התובעים הכלליים של מדינות לואיזיאנה ומיזורי (Missouri) ב-2022, על רקע ניסיונו של הממשל הפדראלי למנוע פרסום של תוכן ברשתות החברתיות שעלול היה לערער את אמון הציבור בחיסונים נגד נגיף הקורונה ובטוהר הליך הבחירות הדמוקרטי. בעוד שגורמים שמרניים ראו בהחלטה כמגינה על חופש הביטוי, גורמי חברה אזרחית העוסקים בהתמודדות עם הפצת מידע כוזב טענו כי הפסיקה עלולה להסיר את האחריות מהרשתות החברתיות לסמן ולהסיר תכנים כוזבים. בד בבד, גורם ממשל רשמי שהתראיין בעילום שם טען כי ההחלטה עלולה לפגוע בפעילותה של ארה"ב נגד תנועות קיצוניות, המתוארות על ידי קהילת המודיעין כאיום פנימי וראשון במעלה על הביטחון הלאומי.[114] ב-14 ביולי, השהה זמנית בית המשפט המחוזי לערעורים שבמדינת ניו-אורלינס (New Orleans) את הפסיקה, בעקבות ערעור שהגישה מחלקת המשפטים והנחה לקיים דיון בנושא, בהקדם.[115]
בד בבד, בעקבות המרד שהוביל מפקד כוח ואגנר, יבגני פריגוז'ין, נגד הממשל הרוסי בסוף יוני 2023, הופסקה פעילותה של הסוכנות הרוסית לחקר האינטרנט (IRA), אחד הגופים המשמעותיים שלקחו חלק בניסיון ההתערבות של רוסיה בפוליטיקה האמריקנית ונמצאת בבעולותו של פריגוז'ין.[116] לצד זאת, פרסמה חברת אבטחת הסייבר האמריקנית, Nisos דו"ח, לפיו שלושה חשבונות המקושרים ככל הנראה לשירות החדשות הסיני (CNS)[117] המזוהה עם ממשלת סין, הפיצו ברשת החברתית טוויטר תעמולה בעד המשטר בקרב קהלים במדינות אמריקה הלטינית. החשבונות הופעלו בסנכרון על ידי מפעיל זהה, ככל הנראה מאז 2021 וכחלק מרשת נרחבת של חשבונות מזויפים שהתחזו לגורמי ממשל, עיתונאים עצמאיים לכאורה, אקדמיים ואחרים, שהפיצו תעמולה בשפה הספרדית והפורטוגזית, על מנת להעלות את קרנה של סין ולתמוך ביעדיה הדיפלומטיים.[118]
Federal Information Security Management Act ↑
U.S. Environmental Protection Agency ↑
Internet Research Agency ↑
Bank for International Settlements ↑
General Services Administration ↑
Technology Modernization Fund ↑
The EPA’s Analytical Radiation Data System ; התשתית תומכת בפעילותה של תכנית RadNet, באמצעותה נאסף מידע על שיורי קרינה באוויר, במשקעים ובמים. https://bit.ly/44m9ZEW , https://bit.ly/3PTfSVt ↑
U.S. Customs and Border Protection ↑
דוגמה לפרויקט בו נדרשו פתרונות טכנולוגיים מתקדמים הוא Operation Allies Welcome, שכלל קליטת אזרחים אפגניים, לרבות אלו שעבדו עם ארה"ב, למגורים בשטחה. במסגרת המבצע, פיתחה CBP פתרונות לאיסוף מידע אישי וביומטרי, לשיתוף מידע בין סוכנויות ממשל ושירותי וידוא זהות על סמך השוואת תמונות. ↑
Office of Information & Technology ↑
https://bit.ly/3QrcNw6 ; קישור למסמך האסטרטגיה: https://bit.ly/44N74oW ↑
קישור לאסטרטגיה: https://tinyurl.com/j8tvsjsa ↑
https://tinyurl.com/38xwnc9y ; קישור לתכנית היישום: https://tinyurl.com/yr86maf3 ↑
https://tinyurl.com/58yazk96 ; קישור לאסטרטגיה: https://tinyurl.com/4dydrnec ↑
Uncrewed surface vessels ↑
Fast Adaptation Learning for Control Online ↑
Learning Introspective Control ↑
Computational Cultural Understanding ↑
יכולת NLP, הקשורה ליכולתו של מודל שפה לסווג טקסטים לקטגוריות שונות. במסגרת יכולת למידה זו, מסוגל המודל להשתמש בידע שצבר בסיווג טקסטים לקטגוריות עליהן אומן בעבר, על מנת לזהות ולסווג טקסטים השייכים לקטגוריות לא מוכרות לו. לדוגמה, מודל מסוים עשוי להשתמש בידע שצבר בנושא סיווג טקסטים הקשורים לכדורגל, על מנת לזהות ולסווג טקסטים הקשורים לכדורסל. זאת, מבלי שאומן בעבר על טקסטים על כדורסל. ↑
https://bit.ly/46ZALVf ; https://bit.ly/44G5Lbs ; https://bit.ly/3Ya0kPA. קישור למאמר המציג את פעילות המערכת: https://bit.ly/3rBk5mF ↑
Environment-driven Conceptual Learning ↑
תהליך בהנדסת תוכנה שנועד לפשט את מודל המידע של תוכנה מסוימת, על ידי הבעתו בטקסטים ובסמלים. שימוש במודל מידע מאפשר לבנות מאגר מידע חדש או להנדס מחדש תוכנה כלשהי. ↑
https://tinyurl.com/yz24x2u8 ; https://tinyurl.com/538cpe5a ; https://tinyurl.com/44z8zne3 ; קישור לסקירה: https://tinyurl.com/45rw5bw8 ↑
The Department of Defense's Chief Digital and Artificial Intelligence Office ↑
https://bit.ly/3O0CVLs ; קישור לדו"ח: https://bit.ly/3K2O5yu ↑
שימוש בכלים ובטכנולוגיות שונים, כגון צילומי CT ו-MRI, על מנת להציג מאפיינים של פעילויות המתרחשות במוח. ↑
קישור להורדת המחקר: https://tinyurl.com/y3pkj9v7 ↑
grassroots cyber-insurgents; influencers ↑
Program Executive Office Intelligence, Electronic Warfare and Sensors ; צוות האחראי על עיצוב ואספקת טכנולוגיות צבאיות מתקדמות. ↑
Project Management Cyber and Space ↑
שתיים מהקבוצות המצוינות בהודעה הן UNC3810 המזוהה עם ה-GRU, וכן קבוצת ההאקטיביסטים,XakNet . ↑
Group Policy Objects ; תכונות המגדירות כיצד יפעלו מערכות מסוימות עבור קבוצות מוגדרות של משתמשים. ↑
https://bit.ly/44JzDmG ; קישור להודעה: https://bit.ly/44spyuL ↑
Digital Services Act; החוק אושר באיחוד האירופי ב-2022, ומשית דרישות על פלטפורמות מדיה חברתיות להגבלת ההפצה של מידע כוזב, הסרה מיידית של תוכן לא חוקי, הגברת ההגנה על קטינים במרחב הדיגיטלי ועוד. https://tinyurl.com/3wdjf26z ; https://tinyurl.com/2twmhbaz . קישור לטיוטת הצעת החוק: https://bit.ly/3Kjo9P7 ↑
Very Large Online Platforms, פלטפורמות או שירותי חיפוש מקוונים הפועלים בשטחי האיחוד האירופי ובעלי 45 מיליון משתמשים או יותר, לדוגמא אמזון, פייסבוק וגוגל. https://tinyurl.com/mpbfnzyr ↑
עקרון בהנדסת תוכנה, לפיו תהליכים מסוימים נעשים בהם באופן אוטומטי, ללא צורך בפעילות אנושית. הדבר מאפשר לצמצם בעיות הנובעות מטעויות אנוש, כגון הגדרות לקויות. ↑
https://bit.ly/43BBglw ; קישור להמלצות: https://bit.ly/3Oj9lCo ↑
מכשירים ושירותים אלו נקראים גם בתור Grey IT, ונמצאים בשימוש משתמשים ועובדים ללא ידיעת מחלקות ה-IT הארגוניות. ↑
https://bit.ly/3qalY9M ; קישור לפרסום: https://bit.ly/43PaLZO ↑
https://tinyurl.com/5f7u4jf5 ; https://tinyurl.com/5n7bsyyr ; https://tinyurl.com/3rjnrttj ↑
Counter-Espionage Law ↑
National Counterintelligence and Security Center ↑
https://bit.ly/44f37cv ; https://bit.ly/3DhaYu6 ; קישור למסמך ה-NCSC: https://bit.ly/43k8l5p ↑
Cyberspace Administration of China ↑
Cyber Security and Technology Crime Bureau ↑
Law Reform Committee ↑
https://rb.gy/77oye ; https://tinyurl.com/43jx489j ; קישור לאזהרה: https://rb.gy/blent ; קישור לדו"ח: https://rb.gy/x1eyx ↑
עקרון זה אומר שמספר הלקוחות של חברה אחת המספקת שירותי ענן חולקים תשתית ותוכנות משותפות. גישה זו אמנם בעייתית בהקשר של אבטחת סייבר, בשל הנזק הפוטנציאלי שתואר לעיל, אך זהו גם אמצעי לחסכון במשאבים בתפעול שירותי ענן. https://bit.ly/3OyMUbh ; https://bit.ly/45rHFRG ↑
Cloud Management Office ↑
כל סוכנות מסוג זה מוגדרת בתור Sector Risk Management Agency, והן אחראיות על ניהול סיכונים בקרב 16 ענפי התשתיות החיוניות בארה"ב. ↑
https://bit.ly/3ObXE0u ; קישור לדו"ח: https://bit.ly/3rqRDEb ↑
The 8th U.S. Circuit Court of Appeals ↑
קישור למִזְכָּר: https://bit.ly/3QllqbO ↑
The Administrative Procedure Act (APA) ; החוק מגדיר את האופן בו על הממשל הפדראלי לפתח וליישם תקנות שונות. במסגרת החוק, בעת הצגת החקיקה המוצעת, ניתנת לציבור הזדמנות להציג לה תגובות. לדברי התובעת הכללית של איווה, ברנה בירד (Brenna Bird), הצורך בבחינת ההנחיות של ה-EPA נובע מהעובדה שהן מטילות על מחלקת משאבי הטבע של איווה עלויות נוספות בסך מיליוני דולרים בהערכת ושיפור מידת אבטחת הסייבר של למעלה מ-1,300 מערכות מים ציבוריות, המשרתות קהילות מצומצמות, המכילות בין 25 ל-3,300 אזרחים. https://bit.ly/3orVz66 ; https://bit.ly/3KUtKuv ; https://bit.ly/3rxaMEy ↑
https://bit.ly/3q2Pz53 ; קישור לנתונים: https://bit.ly/3rNN5Ie ↑
Transportation Security Administration ↑
TSA Strategy 2018 – 2026 ; קישור לאסטרטגיה: https://bit.ly/3Dt3cNM ↑
Advanced Air Mobility systems; מערכות שמטרתן לקדם מעבר אווירי מהיר יותר של סחורות ואנשים, בייחוד באזורים עירוניים וכפריים, ברמה האזורית. ↑
https://bit.ly/44JatVa ; קישור לתכנית: https://bit.ly/44xwdDW ↑
Maritime Cyber Attack Database ↑
https://tinyurl.com/2t4u2xes ; https://tinyurl.com/5bkyvxsd ↑
https://bit.ly/44k4Op2 ; גישה לדו"ח: https://bit.ly/44YXcZ5 ↑
The Australian Prudential Regulation Authority ↑
תקן שניסחה APRA ונכנס לתוקף ב-1 ביולי 2019, ומחייב גופים מענפי הפיננסים והביטוח להתמודד עם פשעי סייבר באמצעות חיזוק החסינות הארגונית הכוללת והפחתת איומי סייבר, בין השאר במסגרת התקשרויות עם גורמי צד שלישי. להרחבה: https://tinyurl.com/zxtcrr3k ↑
https://tinyurl.com/35sntz27 ; https://tinyurl.com/mthsxvyp ↑
Central bank digital currencies, הינם מטבעות דיגיטליים המונפקים על ידי הבנקים המרכזיים. ↑
https://tinyurl.com/c982p7bj ; https://tinyurl.com/y4bcepft ; קישור למסמך התכנית: https://tinyurl.com/3kxvnrjd ↑
computer security incident response teams ↑
https://bit.ly/3DoH9rw ; https://bit.ly/3DxGK61 ; https://bit.ly/43GqElc ↑
Global Navigation Satellite System ↑
Future Technologies Forum; פורום המתקיים אחת לשנה ומאורגן על ידי קרן Roscongress, מוסד רוסי ללא כוונת רווח, המארגן אירועים לקידום שיתופי פעולה פוליטיים וכלכליים בין-לאומיים בהשתתפות רוסיה. ההודעה על ארגון הפורום פורסמה במרץ 2023. ↑
The Russian Quantum Centre; מכון מחקר לא-ממשלתי המבצע מחקרים בתחום הפיזיקה הקוונטית וטכנולוגיות קוונטיות. ↑
European Policy Centre; מכון מחקר בלגי העוסק בענייני האיחוד האירופי. ↑
EU Coordinated Action Plan ↑
Quantum Key Distribution; QKD משמש כשיטה להחלפה והפצת מפתחות, המתבססת על עקרונות פיזיקאליים ממכניקת הקוונטים, עקרון השימוש מבוסס על יצירה משותפת של מפתח פרטי סימטרי בין שני הצדדים באמצעות ערוצים קוונטים וערוצים קלאסיים (סיבים אופטיים או ערוצים אלחוטיים). תשתית חלוקת מפתח קוונטית מסחרית מבוססת סיבים אופטיים יכולה לפעול לטווח ממוצע של 100 קילומטרים, כשהפרשנות המקובלת במחקר לגבי פעילות למרחקים ארוכים היא קישור בין שתי נקודות כלשהן ברחבי כדור הארץ. להרחבה על QKD ותפקיד הצמתים ראו: https://bit.ly/3pZy851 ; https://tinyurl.com/4z3kmma5 . https://bit.ly/3pRsuC9 ; קישור למסמך: https://bit.ly/3pTLakI ↑
The Federal Trade Commission ↑
https://tinyurl.com/mr3zkcu2 ; https://tinyurl.com/3ufwr68d ↑
NATO Innovation Fund ↑
NATO's Innovation Unit ↑
NATO’s Defence Innovation Accelerator for the North Atlantic; במסגרת פעילותו, מעניק המאיץ DIANA סיוע לחברות טכנולוגיה נבחרות באופנים שונים, בהם: מתן מענקים למחקר, פיתוח והדגמה של הפתרונות הטכנולוגיים המוצעים; גישה ל-90 מרכזים במדינות נאט"ו, בהם יוכלו החברות לבחון את פעילות הפתרונות הטכנולוגיים שיפתחו; קישור החברות הנבחרות לקשת משקיעים; מתן אפשרות להדגמת פעילות הטכנולוגיות החדשניות בסביבות תפעוליות. ↑
https://bit.ly/3O8CEHX ; https://bit.ly/43h7OBg; https://tinyurl.com/4s84rt7a ↑
Chine News Service, השירות מהווה חלק מאסטרטגיית הממשל הסיני, United Front, שמטרתה להפיץ תעמולה סינית ברחבי העולם ולקדם פעולות ריגול. ↑
https://tinyurl.com/4ucxvsud ; https://tinyurl.com/39f7j7r3 ; קישור לדו"ח: https://tinyurl.com/2fj68exs ↑