חזרה לרשימת הפרסומים

דו"ח מדיניות וביטחון סייבר

גודל טקסט18

אוגוסט 2023

דו"ח מדיניות וביטחון סייבר

תוכן עניינים

תקציר חודשי 2

ארה"ב 3

ממשל, אסטרטגיה ומדיניות 3

חקיקה 6

צבא וביטחון 7

אירופה 11

סיכום זירת הסייבר על רקע המלחמה באוקראינה 11

בריטניה 11

אפריקה והמזרח התיכון 12

איחוד האמירויות הערביות 12

ערב הסעודית 13

אסיה 13

סין 13

הודו 14

דרום קוריאה 15

מלזיה 16

יפן 16

איומי סייבר על תשתיות חיוניות 17

איומי סייבר על ענף האנרגיה 18

איומי סייבר על שרשראות אספקה 18

איומי סייבר על מגזר הפיננסים 20

איומי סייבר על ענף הבריאות 20

איומי סייבר על ענף הימאות 21

איומי סייבר על מערכות חלל 21

התמודדות עם איומי סייבר על מכשירי IoT 22

איומי סייבר על עסקים קטנים ובינוניים 22

מחשוב קוונטי 23

בינה מלאכותית 24

שיתופי פעולה 26

תקציר חודשי

החודש חתם נשיא ארה"ב, ג'ו ביידן על צו נשיאותי שמטרתו להגביל השקעות אמריקניות עתידיות בחברות טכנולוגיות מסין. בנוסף, בכיר בממשל חשף כי הבית הלבן מגבש תכנית מקיפה שתימשך עשור, להחלפה ולחידוש מערכות IT מיושנות בקרב סוכנויות ממשל פדראליות אזרחיות. בד בבד, החודש פרסם NIST לתגובות הציבור טיוטה של עדכון מסגרת אבטחת הסייבר (CSF); בתחום הביטחוני, השלים חיל האוויר האמריקני ניסוי במהלכו השתמש בבינה מלאכותית לצורך שליטה במל"ט. במקביל, הודיעה מחלקת ההגנה כי בכוונתה להשיק כוח משימה חדש בשם Lima, שמטרתו לקדם את הטמעת השימוש במודלי השפה הגדולים (LLMs) וכן באמצעי בינה מלאכותית ברחבי המחלקה. עוד הודיע הממשל כי בכוונתו להשיק תחרות שמטרתה לעודד חברות לפתח אמצעי בינה מלאכותית שיגנו על תשתיות חיוניות מפני איומי סייבר.

במסגרת המלחמה באוקראינה, האקרים רוסים הגבירו את פעולות ריגול הסייבר שלהם על מנת לתמוך במאמץ הלחימה בשדה הקרב, והפחיתו את הניסיונות להוציא לפועל תקיפות סייבר הרסניות; לפי פרסומים בכלי תקשורת בריטים, סוכנויות הביון במדינה, בהן ה-MI5 וה-MI6, הפעילו לחץ על הממשלה על מנת להקל את חוקי המעקב בנושא השמירה על פרטיות המידע, במטרה להיעזר בבינה מלאכותית במסגרת ניתוח הנתונים; קבוצת מחקר מאוניברסיטת ווטרלו (University of Waterloo) שבקנדה זכתה במענק מחקר, על מנת לפתח מערכת להגנה על שרשראות האספקה של תשתיות אנרגיה במדינה מפני איומי סייבר.

ערב הסעודית ואיחוד האמירויות הערביות הזמינו אלפי שבבים מתקדמים מתוצרת החברה האמריקנית Nvidia, על מנת לבנות מחשב-על ולקדם את יכולותיהן הטכנולוגיות; במקביל, חשפה ממשלת הודו מערכת הפעלה ומערכת לגילוי איומי סייבר בקרב רשתות ארגונים, שפותחו על בסיס ייצור מקומי; דרום קוריאה פרסמה מדריך המציג עקרונות לשמירה על פרטיות המידע האישי, בעת השימוש במערכות בינה מלאכותית; ממשלת יפן הודיעה כי בכוונתה לתקצב מיזמי מחקר ב-23 סוגים של טכנולוגיות חדשות, על מנת לפתח אמצעי הגנת סייבר אקטיביים ואמצעים לאיתור מידע כוזב.

במקביל, חברות תקשורת מסין הציגו את פלטפורמת הענן הגדולה ביותר במדינה למחשוב קוונטי. בד בבד, חנכה טייוואן מרכז חדש שיכלול גורמי ממשל, אקדמיה ותעשייה, על מנת לקדם את המעבר לפתרונות הצפנה פוסט-קוונטית ולהתמודדות עם האיומים הנובעים מהשימוש במחשוב קוונטי.

ארה"ב

ממשל, אסטרטגיה ומדיניות

ב-4 באוגוסט פרסמה הסוכנות לאבטחת סייבר ותשתיות (CISA) את התכנית האסטרטגית שלה בתחום אבטחת הסייבר לשנים 2026-2024. מטרת האסטרטגיה הינה לקדם שלוש מטרות: (1) יצירת התנאים לגילוי ולסיכול מתקפות סייבר מצד גורמים זדוניים נגד מטרות ברחבי ארה"ב, באמצעות מבצעי הגנת סייבר משותפים עם גורמי ממשל, המגזר הפרטי ושותפים בין-לאומיים; (2) עידוד יישום צעדי אבטחה ארגוניים, שיפחיתו את סיכויי התרחשותם של אירועי אבטחה חמורים, באמצעות פרסום הנחיות ישימות בנושאי תעדוף ההשקעות בתחום אבטחת הסייבר וניהול הסיכונים; (3) קידום הטמעת עקרונות אבטחת הסייבר בפיתוח מוצרים על ידי פרסום שוטף של צעדים לקראת הטמעת עקרון ה-secure by design.[1]

בנוסף, ב-7 באוגוסט, הודיע הבית הלבן כי בכוונת מחלקת החינוך להקים מועצה ממשלתית מתאמת (GCC),[2] שתרכז פעולות ומדיניות על מנת לסייע למוסדות חינוך ברמה הפדראלית וכן ברמת המדינה (State level) וברמה המקומית ומטה, להיערך להתמודדות עם איומי סייבר, וכן לפתח יכולות תגובה והתאוששות ממתקפות סייבר. בנוסף, השיקה המחלקה בשיתוף CISA מסמך המלצות שמטרתן להעלות את המוּדעוּת של מנהלי בתי ספר ומורים לאיומי סייבר, לסייע להם להטמיע אמצעים להתמודדות עימם ולבנות תשתית דיגיטלית חסינה. לצד אלו, השיקה המחלקה תכנית פיילוט בהובלת נציבות התקשורת הפדראלית (FCC), במסגרתה יוקצו עד כ-200 מיליון דולר למערכות חינוך במשך שלוש שנים באמצעות קרן השירות האוניברסלית (USF),[3] על מנת לשפר את הגנת הסייבר בקרב בתי ספר וספריות. לבסוף, נודע כי מספר מחברות הטכנולוגיה המובילות, בהן אמזון וגוגל, יסבסדו מוסדות חינוך ברמת המחוזות וברמה המקומית באמצעות מענקים, על מנת לסייע להם להטמיע פתרונות אבטחת סייבר המבוססים על ארכיטקטורת אפס האמון (Zero-Trust) ומענים נוספים.[4]

לצד זאת, ב-9 באוגוסט חתם נשיא ארה"ב, ג'ו ביידן, על הצו הנשיאותי מס' 14105,[5] המגביל השקעות אמריקניות עתידיות בחברות סיניות הפעילות בתחומי הבינה המלאכותית, המחשוב הקוונטי וייצור המוליכים למחצה (semiconductors), על מנת למנוע שימוש בטכנולוגיות אמריקניות מתקדמות לצרכיה הצבאיים של סין.[6]

ביידן חתם על הצו על רקע הודעת מזכיר המחלקה לביטחון המולדת, אלחנדרו מיורקס (Alejandro Mayorkas) מה-11 באוגוסט, כי הוועדה לסקירת בטיחות סייבר (CSRB)[7] תבחן את נסיבות והשלכות הפריצה של האקרים שפעלו בחסות סין לשירות הדוא"ל של מיקרוסופט שנחשפה ביולי 2023, במסגרתה נפרצו חשבונות השייכים לסוכנויות הממשל הפדראליות וארגונים נוספים. כחלק מהסקירה, תתמקד ה-CSRB באיומים על סביבות מחשוב ענן ותגבש המלצות עבור גופים מהתעשייה, ממשל וספקי שירותי ענן על מנת לשפר את נושא ניהול ואימות הזהויות בענן. מסקנות הדו"ח יועברו לעיונו של הנשיא ביידן.[8]

עוד החודש, פרסם NIST לתגובות הציבור טיוטה של הגִּרְסָה השנייה של מסגרת אבטחת הסייבר (CSF 2.0).[9] הגִּרְסָה החדשה מרחיבה את תחולת עקרונותיה, כך שכלל המוסדות והארגונים הציבוריים, הפרטיים והאקדמיים יוכלו לעשות בה שימוש, בעוד שהגִּרְסָה הקודמת התמקדה בהגנת סייבר על תשתיות חיוניות. כמו כן, במסגרת הטיוטה, הוסיף NIST את עקרון המשילות (Govern) אל חמשת העקרונות המנחים המומלצים בגיבוש תכנית אבטחת הסייבר הארגונית.[10] בנוסף, כחלק מהדגש על נושא שרשרת האספקה, נוספה אל עקרון הזיהוי (Identify) תת-קטגוריה חדשה בנושא שיפור (Improvement), שמטרתה להעריך ולמדוד את מידת שיפור התהליכים והצעדים הארגוניים בניהול סיכוני אבטחת הסייבר. בכוונת NIST לפרסם את הגִּרְסָה הסופית בתחילת 2024.[11]

בד בבד, ב-17 באוגוסט, פרסם NIST לתגובות הציבור את טיוטת מסמך Internal Report 8477,[12] על מנת לסייע לארגונים להגדיר באופן ברור יותר מסגרת, שתאפשר להם ליישם עקרונות מנחים והנחיות באבטחת סייבר וכן בנושאים של פרטיות, המגיעים ממקורות שונים. על פי NIST, הצורך בניסוח המסגרת נובע מהעובדה שפעמים רבות, ארגונים נדרשים להתמודד עם סתירה מסוימת בין ההנחיות והעקרונות השונים.

על פי המסמך, על ארגונים המנסחים מסגרת כזו להתחשב במספר עקרונות, בהם הגדרה מדויקת של הכללים וההנחיות שיש לכלול במסגרת, הגדרה מדויקת של הסיבה לשמה על עובדי הארגונים לאמץ אותה ומידת הפירוט שעל המסגרת המוצעת לכלול.[13]

בנוסף, ב-15 באוגוסט, הודיע מנהל המידע הראשי של המשרד לניהול ולתקציב (OMB), כריס דה-רושה (Chris DeRusha), כי הבית הלבן מנסח תכנית מקיפה בת עשר שנים על מנת לחדש ולהחליף מערכות IT מיושנות בקרב סוכנויות ממשל פדראליות אזרחיות. לדבריו, הסוגייה נמצאת בעדיפות ממשלתית עליונה מאז פרסום אסטרטגיית אבטחת הסייבר הלאומית במרץ 2023.[14]

לצד זאת, עמדו סוכנויות הממשל בפני ביקורות וקריאה ליישם המלצות באבטחת סייבר. ב-7 באוגוסט פרסם משרד המבקר הממשלתי (GAO) דו"ח, המציג 24 המלצות לשיפור פעילותו של שירות מס ההכנסה האמריקני (IRS),[15] הכוללות גם המלצות בהיבטים של אבטחת מידע. במסגרת הדו"ח, המליץ ה-GAO לנציב ה-IRS להקים מנגנון מרכזי, שיתאם את פעולות אבטחת הסייבר בנושא פעילותם של צדדים שלישיים העובדים עבור ה-IRS, כגון ספקי תוכנות. בנוסף, הצביעו מנסחי הדו"ח על המלצות שהוצגו בדו"חות מנובמבר 2022 ומאי 2023 שדנו בתפקוד ה-IRS ושטרם יושמו, ביניהן המלצות בנושא אבטחת מידע.[16] המלצות אלו כוללות, היעדר ביצוע קונפיגורציה למאגר מידע וניטור לא מספק של אירועים (logs) במערכות פיננסיות ואחרות של ה-IRS.[17]

במקביל, ב-16 באוגוסט, פרסם אתר ה-CNN כי היועץ לביטחון לאומי, ג'ייק סאליבן (Jake Sullivan), הפיץ מִזְכָּר לסוכנויות ממשל פדראליות אזרחיות, בו ציין כי עליהן לעמוד במלוא הנחיות הצו הנשיאותי לשיפור אבטחת הסייבר של הממשל הפדראלי (EO 14028)[18] שפורסם במאי 2021, עד לסוף שנת 2023. בנוסף, קרא סאליבן לסוכנויות לשלוח לו עד לסוף ספטמבר 2023 תכניות ליישום דרישות הצו.[19]

חקיקה

ב-1 באוגוסט, הציגו מספר נציגי בית הנבחרים, בהם ויליאם טימונס (William Timmons), אנה אשו (Anna Eshoo), ניקולס לנגוורת'י (Nicholas Langworthy) ודייוויד טרון (David Trone), את הצעת החוק הדו-מפלגתית Multi-Cloud Innovation and Advancement Act. מטרת ההצעה לסייע לסוכנויות ממשל פדראליות המשתמשות בסביבות ענן מרובות ספקים (multi-cloud systems), להבטיח את יכולת התפעול ההדדית (interoperability) של נתונים ואת אבטחתם. ההצעה מנחה את CISA, את NIST, את הרשות לשירותים כלליים (GSA),[20] ואת השירות הדיגיטלי של ארה"ב (USDS),[21] לנסח עקרונות מנחים משותפים לשימוש המאובטח בטכנולוגיות ענן מרובות ספקים, על מנת לתפעל יישומים ונתונים ולנייד אותם בין סביבות ענן ציבוריות, פרטיות וסביבות קצה, וכן להגדיר תכנית להטמעתם, עד ל-1 בינואר 2025. עוד קוראת ההצעה למשרד המבקר הכללי (GAO) להגיש שני דו"חות לקונגרס, שיתמקדו בהמלצות בנושא הפערים במיומנויות הדיגיטליות ובמומחיות של כוח העבודה הפדראלי בתחום מחשוב הענן, ובהערכת ההתקדמות ביישום העקרונות המנחים לשימוש בטכנולוגיות ענן מרובות ספקים.[22]

בנוסף, ב-11 באוגוסט, הציג נציג בית הנבחרים בני תומפסון (Bennie Thompson), הצעה לתיקון החוק the Homeland Security Act of 2002,[23] שמטרתו לשפר את מידת הגנת הסייבר של הסוכנות הפדראלית לניהול מצבי חירום (FEMA).[24] הצעת החוק מנחה את FEMA לשתף פעולה עם CISA, על מנת לנסח שיטות עבודה ונהלים מומלצים שישמשו את המגזר הפרטי להפחית סיכוני אבטחת סייבר, אשר עשויים להגביל את פעילותה של FEMA. כמו כן, מחייבת ההצעה לתיקון החוק את FEMA ו-CISA להגיש לקונגרס דו"ח, המתאר את מידת ההתקדמות בהפחתת סיכוני הסייבר העומדים בפני FEMA. לבסוף, קורא התיקון המוצע לחוק לבצע עדכונים בשפת החוק הישנה, על מנת להתאים ולדייק את סמכויותיהן של FEMA ו-CISA.[25]

צבא וביטחון

ב-3 באוגוסט הודיעה מעבדת המחקר של חיל האוויר האמריקני (AFRL)[26] כי ביצעה ניסוי מוצלח במהלכו עשתה לראשונה שימוש בבינה מלאכותית על מנת לשלוט במל"ט התקיפה מדגם Valkyrie XQ-58A. ה-AFRL ביצעה את הניסוי ב-25 ביולי 2023 במרכז ההכשרה והניסויים של חיל האוויר האמריקני, Eglin שבמדינת פלורידה (Florida), ובמהלכו השלים המל"ט גיחה בת שלוש שעות, לצד מטוס קרב מדגם F-15E שאויש על ידי טייס אנושי. בעקבות ההצלחה עשוי חיל האוויר האמריקני לייצר כאלף מל"טים מן הסוג המדובר, על מנת להשתמש בהם באופן מבצעי עד לסוף 2030.[27]

כמו כן, התפרסמו פרטים בנושא טכנולוגיית בינה מלאכותית שמפתח צבא ארה"ב המכונה Data Robot ושמטרתה לשפר את יכולותיו בתחום לוחמת המידע. הטכנולוגיה תסייע למפקדי הצבא להבחין בין קטעי Deepfake ומידע מטעה לבין מידע מהימן, על מנת לקבל החלטות בשדה הקרב ולהבטיח את עליונותו ברמה הטקטית. על מנת לפעול ביעילות המרבית, על ה-Data Robot יהיה ללמוד את הסביבה התפעולית ולאסוף נתונים ממנה במשך 90 יום.[28]

בנוסף, החודש גורמים בכירים במערכת הביטחון האמריקנית דנו בתכניות צבאיות לפיתוח ולשילוב יכולות לוחמה אלקטרונית משופרות, בתחומי הסייבר והמודיעין. ב-7 באוגוסט, הצהיר עוזר מזכיר צבא היבשה לענייני רכש, לוגיסטיקה וטכנולוגיה,[29] דאג בוש (Doug Bush), כי חלקה המשמעותי של הלוחמה האלקטרונית במסגרת מלחמת רוסיה-אוקראינה מהווה זרז עבור צבא ארה"ב, להאיץ את הצטיידותו ביכולות לוחמה אלקטרונית מתקדמות.[30] כמו כן, ב-15 באוגוסט, הודיע מנהל התכנית לפיתוח ולשימוש ביכולות מודיעין, לוחמה אלקטרונית וחיישנים בצבא היבשה (PEO IEW&S),[31] בריגדר גנרל אד בארקר (Ed Barker), כי בכוונת צבא היבשה לבחון בספטמבר 2023 את פעילותה של מערכת TLS-BCT,[32] המשלבת בין יכולות לוחמת סייבר, שיבוש (jamming) ומודיעין אותות (signals intelligence).[33]

לצד זאת, ב-9 באוגוסט, הודיעה אוניברסיטת מדינת פלורידה (FSU)[34] כי תשתף פעולה עם האוניברסיטה החקלאית והמכנית של פלורידה (FAMU)[35] ועם המרכז לפיתוח יכולות לחימה של צבא היבשה (DEVCOM)[36] במסגרת תכנית מחקר בת חמש שנים ובסך של 1.3 מיליון דולר, שמטרתה לחקור שימוש משולב בבינה מלאכותית ובצילומי אולטרה-סאונד, לשיפור הסיווג והטיפול בכוויות של חיילים. במסגרת התכנית, יפותחו אמצעי למידת מכונה שיאפשרו לחובשים הפועלים בזירות קרב לאבחן את חומרתן של כוויות של חיילים, באופן מהיר ומדויק. לדברי דיקאן המכללה להנדסה המשותפת ל-FSU ול-FAMU,[37] סוברנו דה (Suvranu De), השימוש בלמידת מכונה לאבחון כוויות עשוי לשפר את דיוק האבחונים ביותר מ-95%.[38]

עוד החודש, פרסם המשרד לטכנולוגיות של מיקרו-מערכות (MTO)[39] הכפוף לדארפ"א בקשה לקבלת הצעות מחקר עבור תכנית FLEX,[40] שמטרתה לחקור התפתחויות ואתגרים טכנולוגיים עתידיים בתחום טכנולוגיות המידע והתקשורת. במסגרת הבקשה, יתקבלו הצעות מחקר שיתמקדו בשבעה תחומים טכנולוגיים, בהם ארכיטקטורות למחשוב מבוזר (distributed computing)[41] וטכנולוגיות חדשות באחסון מידע ומחשוב קוגניטיבי (Cognitive computing).[42]

בד בבד, ב-10 באוגוסט פורסם כי החברה האמריקנית Teleidoscope המפתחת תוכנות למעקב אחר עצמים עבור גופים מענף טכנולוגיית המציאות הרבודה (AR), תספק מערכת בינה מלאכותית לפיקוח על תנועת כלי טיס בלתי מורשים ושתוצב בבירת ארה"ב, וושינגטון. המערכת החדשה תעקוב אחר כלי טיס אשר נעים באזורים האסורים לטיסה, תזהה את סוג כלי הטיס ותתריע בפני מפעיליהם בעזרת שימוש בקרן לייזר על מנת שיגיבו לקריאות ברשת הקשר ויתקנו את מסלולם, בטרם יוזנקו אליהם מטוסי קרב. Teleidoscope זכתה בחוזה בסך של 100 מיליון דולר לאחר שיחידת החדשנות של מחלקת ההגנה (DIU)[43] בחנה אב-טיפוס של המערכת החדשה במשך 18 חודשים, על מנת להחליף את מערכת ההגנה האווירית הקודמת, IADS-NCR,[44] שהותקנה בעקבות פיגועי הטרור של ה-11 בספטמבר 2001.[45]

לצד מיזמי המחקר, בתחילת החודש הודיעה סוכנות מערכות המידע של מחלקת ההגנה (DISA)[46] על השקת תשתית ענן פרטית מסווגת בהוואי (Hawaii) המכונה בשם Stratus. התשתית מיועדת להיות חלק מרשת רחבה, שתקשר בין כוחות צבא ארה"ב המוצבים ברחבי העולם למטות הפיקוד הראשיים ושתספק להם גישה לרשתות ענן פרטיות וציבוריות.[47] על פי פרסום ממאי 2023, Stratus תשרת ארגונים המצויים תחת סמכות פיקוד צבא ארה"ב באזור האוקיינוס השקט וההודי (USINDOPACOM).[48]

כמו כן, קידמו החודש מחלקת ההגנה והצי האמריקני את נושא המעבר לארכיטקטורת רשת המבוססת על עקרונות אפס האמון (Zero-Trust), וכן את נושא הכשרת כוח האדם המיומן במקצועות הסייבר. בתחום ההכשרות, ב-3 באוגוסט פרסמה מחלקת ההגנה את תכנית היישום עבור אסטרטגיית כוח האדם לשנים 2027-2023 שפורסמה במרץ 2023 (CWF),[49] ושמטרתה לשפר את הליכי הגיוס, הניהול וההכשרה של כוח האדם המיומן במקצועות הסייבר ברחבי המחלקה. תכנית היישום כוללת ארבעה יעדים: (1) ניסוח תכנית כלל-ארגונית לניהול ולהכשרת כוח אדם מיומן ואיכותי; (2) קיום תהליכי הערכה וניתוח שוטפים של היכולות וצורכי המחלקה בתחום כוח האדם; (3) קידום שינוי ארגוני-תרבותי בניהול כוח האדם במחלקה, למשל על ידי ייסוד קרן פיתוח ייעודית והגמשת תנאי ההעסקה על מנת למשוך עובדים; (4) פיתוח שותפויות על מנת לשפר את היכולות, היעילות התפעולית ומסלולי ההעסקה של עובדים, למשל באמצעות קידום חילופי עובדים בשיתוף המגזר הפרטי.[50]

בד בבד, ב-16 באוגוסט הודיע לוטננט גנרל ומנהל DISA, רוברט סקינר (Robert Skinner) כי הסוכנות עתידה לפרסם תכנית יישום לאסטרטגיית ה-Workforce 2025 שפרסמה DISA ביוני 2023 ושמטרתה לשפר את הגיוס, את ההכשרה ואת שימור כוח האדם המיומן במקצועות הסייבר, וכן להעניק לעובדי DISA את הכישורים הנחוצים בתחומי הטכנולוגיה.[51] תכנית היישום תכלול צעדים לפיתוח כישורי עובדי הסוכנות, ותתמקד בחשיבה ביקורתית וטיפוח יכולות ההבנה והניתוח האובייקטיבי של נתונים, בעת השימוש בטכנולוגיות חדשות, בין השאר על מנת להתמודד עם יריביה של ארה"ב.[52]

בנושא אפס האמון, פרסמו המנהלת בפועל של משרד מערכות המידע הראשי של מחלקת הצי האמריקני (DON CIO),[53] ג'יין ראתבון (Jane Rathbun) והעוזר בפועל למזכיר הצי לענייני מחקר, פיתוח ורכש (ASN RDA),[54] פרדריק סטפני (Frederick Stefany), מִזְכָּר המציג עקרונות ותחומי אחריות במסגרת הטמעת עקרונות אפס האמון במחלקת הצי. על פי המִזְכָּר, ה-DON CIO יוביל את תהליכי גיבוש התכנית להטמעת אפס האמון במחלקה, שתוצג עד ל-23 בספטמבר 2023. בנוסף, עד לרבעון הראשון של השנה הפיסקאלית 2024, יפרסם ה-DON CIO תכניות נלוות בתחום אבטחת הסייבר ובתחומים טכנולוגיים נוספים, שיסייעו ביישום המעבר לאפס האמון, וכן יפתח מדדים למעקב אחר יישום התכנית במחלקה. לצד זאת, ה-ASN RDA יוודא כי כלל תכניות הרכש הטכנולוגי של מחלקת הצי יתנהלו בהתאם לעקרונות השימוש באפס האמון שיגובשו על ידי ה-DON CIO ועל פי עקרונות תכנית מחלקת ההגנה בנושא, שפורסמה בנובמבר 2022.[55]

מלבד זאת, יסייעו מנהלי מערכות המידע של מחלקת הצי למנהל הראשי בגיבוש חלקים בתכנית המחלקתית להטמעת אפס האמון, באמצעות שיפור מידת אבטחת הסייבר של מערכות ופלטפורמות, הרלוונטיות לשימוש באפס האמון, בעוד שפיקודי הסייבר בצי ייטלו חלק בפיתוח מתמשך של יכולות אפס האמון, בהן אלו הקשורות למערכת השליטה והבקרה המשולבת של הצי (INOCCS).[56]

לבסוף, ב-29 באוגוסט, הצהיר סגן מנהל מערכות המידע של כוחות המילואים של צבא היבשה האמריקני (USAR),[57] מייג'ור גנרל יאן נוריס (Jan Norris), כי בכוונת צבא היבשה ליישם תכנית בת שלושה שלבים להטמעת עקרונות אפס האמון בזרוע.[58] השלב הראשון, המצוי בתהליך יישום ומיועד להסתיים ב-2024, כולל הטמעה של ארבע יכולות בסיסיות הנחוצות להקמת הארכיטקטורה: הרשאות גישה (ICAM);[59] היכולת לזהות והמוּדָעוּת לרכיבים ולמידע ברשת (Network Visibility); אבטחת נקודות קצה; תגובות לאירועי סייבר. השלב השני מיועד להתבצע בין השנים 2027-2025 ויכלול שילוב יכולות משופרות בתחום האבטחה, למשל צמצום השפעת איומים ממקורות פנימיים (inside threats). השלב השלישי צפוי להיות מיושם באופן מתמשך החל מ-2027 ויכלול צעדים לניטור רשתות ולהיערכות לאיומים עתידיים.[60]

אירופה

סיכום זירת הסייבר על רקע המלחמה באוקראינה

ב-9 באוגוסט אמר סגן ראש שירות התקשורת הממלכתית המיוחדת והגנת המידע של אוקראינה (SSSCIP),[61] ויקטור ז'ורה (Victor Zhora), כי האקרים רוסים הגבירו לאחרונה את מאמצי ריגול הסייבר שלהם על מנת לתמוך במאמץ הלחימה בשדה הקרב וצמצמו ניסיונות להוציא לפועל מתקפות סייבר משבשות והרסניות. לדברי ז'ורה, מומחי הסייבר במדינה איתרו מבצע סייבר שיוחס בסבירות גבוהה ליחידת ההאקרים SandWorm, המזוהה עם שירות המודיעין הצבאי הרוסי (GRU) ושכוון למערכת המוּדעוּת המצבית המשמשת את אוקראינה וכן למערכות טכניות בשדה הקרב, על מנת להשיג נתונים שעשויים להעניק לרוסים יתרונות בלוחמה בתווך הפיזי.[62]

בריטניה

ב-1 באוגוסט, פרסם העיתון הבריטי הגארדיאן, כי סוכנויות הביון הבריטיות, בהן ה-GCHQ, ה-MI6 וה-MI5, הפעילו מאמצי שדלנות על ממשלת בריטניה על מנת להקל את חוקי המעקב הנוגעים לשמירה על פרטיות, שלטענתן מגבילים את יכולתן להיעזר במודלים של בינה מלאכותית על מנת לנתח כמויות גדולות של נתונים אישיים. מטרת השינוי החקיקתי, הינה לאפשר לסוכנויות להשתמש בסוגי נתונים שונים, בפרט במאגרי נתונים אישיים בנפח גדול (BPDs),[63] המסייעים לסוכנויות לזהות טרוריסטים פוטנציאליים ומודיעים עתידיים. בנוסף, על פי ההצעה יוחלפו אמצעים קיימים להגנה על פרטיות המידע של אזרחים, כגון הדרישה לאישור משפטי לצורך השימוש ב-BPDs, לעבר תהליך מהיר יותר של אישור עצמי של תהליך האיסוף והמעקב באמצעות BPDs. בעקבות עיון בהצעת החוק, קרא הפרקליט הבכיר ונציג בית הלורדים, דיוויד אנדרסון (David Anderson), לתקן את החוק כך שיישמרו מידה מסוימת של פיקוח מיניסטריאלי ומשפטי במסגרת השימוש ב-BPDs. לבסוף, עתידה ממשלת בריטניה לפרסם את תגובתה להצעת החוק בהמשך שנת 2023, לאחר בחינת המלצותיו של אנדרסון.[64]

כמו כן, ב-15 באוגוסט, הודיע המרכז הלאומי לאבטחת סייבר של בריטניה (NCSC) על הרחבת סְכֵמַת התגובות לאירועי סייבר (CIR),[65] הכוללת חֲבָרוֹת שהוכרו על ידי ה-NCSC כמורשות לספק באופן וולונטרי שירותי התמודדות לארגונים החווים אירועי סייבר. בעוד שטרם ההודעה, ה-CRI כללה חֲבָרוֹת מסוג Level 1, המספקות שירותי תגובה כנגד כלל אירועי הסייבר, בעיקר עבור ארגוני תשתיות חיוניות, הודעת ה-NCSC מוסיפה קבוצה חדשה של חֲבָרוֹת, מסוג Level 2, המספקות שירותים עבור חֲבָרוֹת פרטיות, ארגוני צדקה וגופי ממשל ברמה המקומית, המצויים בסיכון מוגבר לחוות אירועי סייבר נפוצים יותר, כגון כופרות.[66]

אפריקה והמזרח התיכון

איחוד האמירויות הערביות

ב-4 באוגוסט חנכו אוניברסיטת אבו-דאבי (ADU)[67] והחברה האמירתית Vernewell, העוסקת בקידום חדשנות, את המעבדה האקדמית הראשונה למחקר קוונטי באיחוד האמירויות. במסגרת פעילותה, יעסקו סטודנטים, חוקרים ומומחים חיצוניים בחקר ובטיפוח מיומנויות בתחומים קוונטים מגוונים, בהם אופטימיזציה,[68] הצפנה קוונטית ו-blockchain קוונטי. הקמת המעבדה מהווה חלק ממהלך להקמת מרכז משותף ל- Vernewellול-ADU, על מנת לסייע לצוות האוניברסיטה בקידום המחקר, רישום פטנטים ומִסְחוּר של טכנולוגיות ה-DARQ.[69]

בנוסף, ב-18 באוגוסט פרסם אתר חדשות הטכנולוגיה RCR Wireless News, כי המחלקה לפיתוח כלכלי של אבו-דאבי (ADDED)[70] חתמה על מִזְכַּר הבנות משותף עם חברת התקשורת האמירתית Etisalat by e&,[71] על מנת לפתח תעשייה מקומית חכמה (Industry 4.0), שתתמקד בתחומי אבטחת הסייבר, בינה מלאכותית, מחשוב ענן ו-IoT. על פי המִזְכַּר, תוקם קבוצת עבודה משותפת שתקיים סדנאות ותפרסם דו"חות על מנת לקדם את המחקר, שיתוף הידע ובחינה של פתרונות לשיפור הפעילות התעשייתית המקומית.

שיתוף הפעולה נעשה כחלק מהאסטרטגיה לקידום תעשייה חכמה ((ADIS[72] שהשיקה ממשלת איחוד האמירויות ביוני 2022, על מנת להפוך אותה למרכז המוביל בתחום באזור המפרץ.[73]

ערב הסעודית

ב-14 באוגוסט, פרסם ה-Financial Times כי אוניברסיטת המלך עבדאללה למדע וטכנולוגיה (Kaust),[74] בעיר תֻ'וַל (Thuwal) שבערב הסעודית, ביצעה הזמנה של כ-3,000 שבבים מסוג H100 מתוצרת החברה האמריקנית Nvidia, בסך של כ-120 מיליון דולר, אותם היא צפויה לקבל עד לסוף שנת 2023. הזמנת השבבים נעשתה על מנת לבנות מחשב-על בשם ShaheenIII, שיעשה שימוש ביכולות בינה מלאכותית למחקר מתקדם במגוון תחומים, כגון שימוש באנרגיה סולארית. בנוסף, ביצעה גם איחוד האמירויות הערביות הזמנה של אלפי שבבים מתוצרת החברה.[75]

אסיה

סין

במהלך החודש, פרסם מכון המחקר האמריקני The CCP BioThreats Initiative Contact מחקר,[76] לפיו סין עושה שימוש ביכולות ננו-טכנולוגיות על מנת לפתח מערך צבאי, שעלול לשמש אותה לביצוע מבצעי לוחמה א-סימטרית, לרבות לוחמת סייבר. במסגרת זו, מפתחת סין אמצעים ננו-טכנולוגיים, בהם ניתן להשתמש לפריצה לרשתות מאובטחות, לניטור ערוצי תקשורת ולגניבת מידע רגיש, כשגודלם הזעיר ויכולותיהם המתקדמות מאפשרות לתוקפים להתחמק ממעקב. בנוסף, שילוב יכולות בינה מלאכותית במכשירים אלו עלול לאפשר לסין לפתח מערכות נשק אוטונומיות וננו-טכנולוגיות, המסוגלות להוציא לפועל מתקפות סייבר מתוחכמות. [77]

הודו

ב-7 וב-9 באוגוסט, אישרו מליאות הבית התחתון והעליון של הפרלמנט של הודו, בהתאמה, את חוק ה-Digital Personal Data Protection Bill, המציג את העקרונות לפיהם יוכלו גופי ממשל וחברות פרטיות לאסוף ולעבד מידע אישי השייך לאזרחים, תוך שמירה על זכויותיהם וההגנה על המידע. עקרונות אלו כוללים, שמירה על המידע שנאסף לפרקי זמן מוגבלים, הטמעת אמצעים שימנעו איסוף ועיבוד מידע בלתי מורשים וכן הקמת רשות להגנת מידע שתוודא עמידה של חברות הטכנולוגיה בהוראות החוק. לטענת תומכי החוק, אישורו מהווה צעד חיוני לאור התפוצה של הדלפות מידע והונאות פיננסיות בהודו. לעומתם, מספר חברי אופוזיציה ומומחי טכנולוגיה הביעו חשש שהחוק עלול לאפשר לממשלה לאסוף מידע אישי השייך לאזרחים בלי הסכמתם וכן עלול לפגוע ביישומו של חוק ה-Right To Information law, המסדיר את הגישה של אזרחים למידע המצוי בידי גופים ממשלתיים, כגון נתוני שכר של עובדי מדינה.[78]

בד בבד, ב-16 באוגוסט, אישרה הממשלה את הרחבת התכנית הממשלתית Digital India משנת 2015, באמצעות מימון בסך של כ-149 מיליארד רופי (כ-1.8 מיליארד דולר),[79] על מנת לטפח את מיומנויות כוח האדם בתחומי אבטחת הסייבר, הממשל המקוון והבינה מלאכותית. במסגרת התכנית, 625,000 מומחי IT יקבלו הכשרה מתקדמת בתחומים טכנולוגיים שונים, בהם למידת מכונה, ניתוח נתונים ו-IoT, ו-265,000 אזרחים נוספים יוכשרו בתחום אבטחת המידע. בנוסף, תקודם בנייתם של תשעה מחשבי-על למִדּוּל בינה מלאכותית ולחיזוי מזג אוויר, שיצטרפו ל-18 המחשבים הפועלים כיום וכן יוקמו שלושה מרכזי מצוינות במחקר בבינה מלאכותית, שיתמקדו בתחומי הבריאות, החקלאות וערים בנות-קיימא.[80]

עוד הציגו החודש משרדי ממשלה מערכות חדשות שפותחו בהודו. ב-9 באוגוסט, הודיע משרד ההגנה של הודו כי בכוונתו להחליף את מערכות ההפעלה של מיקרוסופט במערכת הפעלה חדשה בשם Maya, אשר פיתחו הסוכנות למחקר ופיתוח ההגנה (DRDO),[81] מרכז המידע הלאומי (NIC),[82] והמרכז לפיתוח מחשוב מתקדם (C-DAC).[83] על פי ההודעה, המערכת החדשה מבוססת על פלטפורמת קוד פתוח, ומטרתה לשפר את מידת אבטחת הסייבר וההגנה על נקודות קצה בקרב מערכות ממשלתיות.

משרדי ראש הממשלה, ההגנה ומשרד החוץ נדרשו להטמיע את מערכת Maya בתשתיותיהם עד ל-15 באוגוסט, והשימוש בה צפוי להתרחב בהדרגה למערכות ממשלתיות וצבאיות נוספות עד לסוף שנת 2023.[84]

את המערכת הנוספת, השיק ב-25 באוגוסט שר התקשורת של הודו, דבוסין ג'סינגבאי צ'אוהאן (Devusinh Jesingbhai Chauhan). המערכת, בשם Trinetra, משמשת לגילוי איומי סייבר בקרב רשתות ארגונים, והיא פותחה על ידי המרכז לפיתוח טלמטיקה (C-DOT),[85] ומשלבת בין מספר מערכות באבטחת סייבר, בהן מערכת לניהול אבטחת מידע ואירועים (SIEM),[86] מערכת למניעת דֶּלֶף מידע (DLP)[87] ומערכת לניתוח התנהגות משתמשים (UEBA).[88] כמו כן, מבצעת המערכת הערכות אבטחת סייבר לנכסי IT ונקודות קצה של רשתות ארגוניות, לרבות שרתים ומחשבים ניידים ונייחים.[89]

דרום קוריאה

ב-3 באוגוסט, פרסמה הנציבות להגנה על מידע אישי (PIPC)[90] מדריך, המציג עקרונות לשימוש במידע אישי במערכות בינה מלאכותית, תוך הגנה על פרטיות המידע ועמידה בהוראות חוק ההגנה על מידע אישי (PIPA).[91] העקרונות המרכזיים עליהם מבוסס המדריך, הם: (1) הטמעת אמצעים להגנה על פרטיות המידע בשלבים המוקדמים ביותר של עיצוב מערכות בינה מלאכותית; (2) הצגת עקרונות עיבוד מידע, המותאמים לסוג המידע, למשל, עיבוד מידע ויזואלי לעומת עיבוד מידע ביומטרי; (3) הגנה על פרטיות המידע בזמן אימון המערכות, למשל באמצעות הסרת אמצעי זיהוי מהמידע (Pseudonymization);[92] (4) עקרונות שמטרתם להבטיח שקיפות והגנה על זכויותיהם של אזרחים, בעת השימוש במערכות. בד בבד, המדריך מציג גם עקרונות לפעילות משותפת של המגזר הפרטי והממשלה בגיבוש מסגרת רגולטורית בנושא עיבוד מידע אישי, הכולל גם יוזמה של PIPC להקים באוקטובר 2023 צוות, שייעץ לעסקים לגבי השימוש במידע אישי בפיתוח מערכות בינה מלאכותית.[93]

מלזיה

ב-15 באוגוסט, במסגרת כנס CyberDSA 2023[94] שנערך בבירת מלזיה, קואלה-לומפור (Kuala Lumpur), הציג שר התקשורת והדיגיטל המלזי, פחמי פאדזיל (Fahmi Fadzil), מספר יוזמות ממשלתיות שארצו נוקטת להגנה על הכלכלה הדיגיטלית מפני איומי סייבר. ראשית, ציין פאדזיל כי ממשלת מלזיה עתידה להציג לפרלמנט לקראת סוף שנת 2023 או תחילת 2024, חוק אבטחת סייבר שתנסח הסוכנות הלאומית לאבטחת סייבר (NACSA),[95] שיסדיר את יכולתה של ממשלת מלזיה להגיב לאירועי סייבר וכן יאפשר לה לאמץ גישה פרו-אקטיבית באבטחת סייבר, תוך תיאום עם סוכנויות ממשלתיות וגורמים בתעשייה. שנית, עתידה הממשלה להעריך מחדש את החוק להגנת המידע (PDPA),[96] ולאחר מכן, צפויה המחלקה להגנת מידע אישי (JPDP)[97] להוביל בתור רשות סטטוטורית את המאמצים להסדרת תהליכי העיבוד המסחרי של מידע רגיש. בנוסף, אמר פאדזיל כי בימים אלו, משרדו משתף פעולה עם ה-NACSA וגורמים נוספים על מנת לקדם את המעבר לשימוש בפתרונות הצפנה חסינים מפני מחשבים קוונטיים.[98] לבסוף, אמר פאדזיל כי הממשלה תומכת בקידום תכניות לפיתוח יכולות אבטחת סייבר, לרבות פלטפורמת ה-CyberGuru,[99] וה-Cyber Range Consortium,[100] על מנת להתמודד עם המחסור בכוח אדם המיומן במקצועות הסייבר.[101]

יפן

ב-2 באוגוסט פרסם האתר The Japan News כי עד לסוף 2023 יוקם מרכז חדש בפארק המחקר שביוקוסוקה (Yokosuka), שיקשר בין המגזר הפרטי לבין משרד ההגנה של יפן על מנת לקדם הכשרה של כוח אדם מיומן במקצועות הסייבר. מומחים בלוחמת סייבר מטעם המרכז ישמשו כמדריכים עבור כוחות צבא יפן, וכן יבצע המרכז מחקר בנושא איומי סייבר גלובליים והמענים הטכנולוגיים להם. הקמת המרכז נעשית כחלק מיוזמת הממשלה להרחיב את מצבת כוח האדם המיומן במקצועות הסייבר בשורות משרד ההגנה והצבא, ל-20 אלף איש.[102]

בד בבד, ב-11 באוגוסט פרסם אתר Fox News כי ממשלת יפן הודיעה כי בכוונתה למקד השקעות ב-23 סוגים של טכנולוגיות חדשות, לרבות בינה מלאכותית, על מנת לתקצב מוסדות מחקר ציבוריים ופרטיים שיפתחו אמצעי הגנת סייבר אקטיביים ואמצעים לאיתור מידע כוזב. התכנית מהווה חלק מאסטרטגיה לטיפוח טכנולוגיות מפתח לקידום הביטחון הכלכלי,[103] על פי חוק ה-Economic Security Promotion Act שאישרה הממשלה במאי 2022,[104] והחלטת הממשלה מדצמבר 2022 לחזק את הגנת הסייבר הלאומית במסגרת אסטרטגיית הביטחון הלאומי החדשה.[105] בטחון סייבר

איומי סייבר על תשתיות חיוניות

ב-22 באוגוסט, פרסמה האגודה הציבורית האמריקנית לאנרגיה (APPA)[106] בקשה לקבלת תמיכה מהמגזר הפרטי בפיתוח מסגרת לאיסוף ולניתוח נתונים לשיפור מידת אבטחת הסייבר של מערכות OT בקרב תשתיות לאספקת חשמל. הבקשה התפרסמה כחלק מהסכם לשיתוף פעולה עם המשרד לאבטחת סייבר, ביטחון אנרגיה ותגובה למצבי חירום (CESER)[107] הכפוף למחלקת האנרגיה,[108] הפועל לחזק את אבטחת הסייבר של מתקנים קטנים ובינוניים לאספקת חשמל, באמצעות ניסוח קריטריונים, מסגרות ומודלים אחידים בתחום מִפְרַטי החומרה של מערכות OT והנחיות לפריסתן בקרב מתקני חשמל ואנרגיה קטנים ובינוניים. על פי הבקשה, יוכלו מפעילי מתקנים לאספקת החשמל לשלוח באופן אנונימי נתונים ממרכיבי חומרת OT אל מרכזי ניתוח ושיתוף מידע בתחום אבטחת הסייבר, על מנת שיספקו המלצות ממוקדות לשיפור אבטחת הסייבר של המתקנים.[109]

כמו כן, בתחילת החודש, הודיעה המחלקה לביטחון המולדת כי תקצה 375 מיליון דולר נוספים במסגרת תכנית המענקים State and Local Cybersecurity Grant Program.[110]

מטרת התכנית, שהשיקה המחלקה בספטמבר 2022, ומנוהלת על ידי CISA ו-FEMA, לעודד גופי ממשל ברמה המקומית וברמת המדינה (State level) לנסח תכניות אסטרטגיות על מנת לגבש יכולות זיהוי, הגנה ותגובה לאיומי סייבר ומתקפות כופרה על תשתיות חיוניות, כגון בתי חולים ומערכות לאספקת מים.[111]

איומי סייבר על ענף האנרגיה

ב-23 באוגוסט, הודיעה אוניברסיטת ווטרלו שבקנדה, כי צוות מחקר מבית הספר למדעי המחשב, קיבל מענק מחקר בסך 1.2 מיליון דולר קנדי (כ-881,000 דולר) מממשלת קנדה, עבור פיתוח מערכת להגנה על שרשראות האספקה של תשתיות אנרגיה במדינה מפני איומי סייבר. במסגרת המחקר, ישתף הצוות פעולה עם המרכז למשאבי טבע של קנדה (Natural Resources Canada) ויחידת המחקר והפיתוח של צבא קנדה (DRDC)[112] לטובת פיתוח מערכת, שתזהה רכיבים מזויפים בציוד ובמערכות המשמשים תשתיות אנרגיה בקנדה וכן תאתר בהם חולשות אבטחה. לדברי ראש צוות המחקר, סבסטיאן פישמייסטר (Sebastian Fischmeister), הפרויקט, מיועד להימשך 18 חודשים, על מנת לספק לממשל הפדראלי, לממשלות ברמת המחוזות ולחברות פרטיות עקרונות מנחים, בנושא השימוש ברכיבים בטוחים בתשתיות חיוניות.[113]

איומי סייבר על שרשראות אספקה

במסגרת וועידה בנושא ניהול רכש שירותי IT (ITVMO),[114] שארגנו הרשות האמריקנית לשירותים כלליים (GSA)[115] והארגון האמריקני ללא כוונת רווח ACT-IAC,[116] הודיע ב-2 באוגוסט מנהל בכיר בתחום הרכש ב-GSA, ג'ף קוסס (Jeff Koses), כי המועצה הפדראלית לרגולציה בתחום הרכש (FAR Council)[117] עוסקת בהערכה של לפחות 12 עקרונות מוצעים להטמעת דרישות אבטחת סייבר בהליכי רכש פדראליים.

לדברי קוסס, אחת מן ההצעות אותן בוחנת FAR היא טיוטה שפרסמה CISA באפריל 2023 בנושא איסוף מסמכי הצהרה (attestation) בנושא מידת אבטחת הסייבר של ספקיות תוכנה העובדות עבור סוכנויות פדראליות.[118] כמו כן, בוחנת FAR הצעה מאת מחלקת ההגנה, ה-GSA ונאס"א, שדנה בהטמעת תקנים אחידים באבטחת סייבר של מערכות מידע בלתי מסווגות.[119] לצד זאת, בכוונת FAR לפרסם בעתיד קובץ נהלים,[120] בנושא ניהול סיכוני סייבר בקרב שרשראות האספקה במסגרת תהליכי הרכש הפדראליים.[121]

בד בבד, ב-8 באוגוסט, הודיעה מנהלת תחום ניהול סיכוני אבטחת סייבר בשרשראות אספקה במחלקת המדינה האמריקנית, זטרה באטיסט (Zetra Batiste), כי בכוונת הלשכה לניהול משאבי מידע (IRM)[122] של המחלקה לספק הכשרה ל-150 מנהלי הרכש של המחלקה, המוצבים ברחבי העולם, בנושא ניהול הליכי רכש למערכות IT פדראליות, על מנת להפחית את איומי הסייבר עליהן ממקורות חיצוניים.[123]

עוד החודש, פרסם משרד ראש הסייבר הלאומי (ONCD) בשיתוף עם CISA, עם הקרן הלאומית למדע (NSF),[124] דארפ"א והמשרד לניהול ולתקציב (OMB), בקשה לקבלת מידע מהציבור בנושא אבטחת תוכנות קוד פתוח ושפות תִּכְנוּת שהן memory safe.[125] זאת, במטרה לסייע לממשל הפדראלי לנסח וליישם את התכנית האסטרטגית לחיזוק האקו-סיסטם של תוכנות קוד פתוח וכן על מנת לנסח וליישם פתרונות מדיניות ארוכי טווח לאבטחת התוכנות.[126]

בגרמניה, פרסם בתחילת החודש המשרד הממשלתי לאבטחת טכנולוגיות מידע (BSI)[127] מדריך, הכולל הנחיות טכניות לשיפור חסינות שרשראות האספקה של תוכנות. במסגרת המדריך, הציג ה-BSI המלצות ליצרני תוכנות במדינה לעיצוב טפסי SBOM,[128] המפרטים את רכיבי התוכנות המיוצרות על ידם. על פי ה-BSI, פרסום ההמלצות לעיצוב הטופס הוא הכרחי לאור העובדה, שהוא מהווה את אחת מהדרישות המרכזיות בהצעת החוק Cyber Resilience Act של האיחוד האירופי, המגדיר דרישות אבטחת סייבר עבור מכשירים חכמים המחוברים לרשתות או למכשירים אחרים.[129]

איומי סייבר על מגזר הפיננסים

ב-14 באוגוסט, פרסמה הרשות האמריקנית הלאומית לאיגודי אשראי (NCUA),[130] הפועלת בתור סוכנות ממשל פדראלית, הנחיות חדשות בנושא הדיווח על אירועי סייבר מצד איגודי אשראי, המבוטחים על ידי הממשל הפדראלי (FICU).[131] על פי ההנחיות, שנכנסו לתוקפן ב-1 בספטמבר, על האיגודים לדווח ל-NCUA על אירועי סייבר משמעותיים, שגרמו לפגיעה ברשתות המידע של האיגודים, לחשיפת מידע רגיש או לשיבוש פעילותם הפיננסית, תוך 72 שעות מרגע גִּלּוּיָם. במסגרת הדיווח, על האיגודים לספק ל-NCUA פרטים בנושא האירוע והשפעתו וכן לציין האם מידע אישי נגנב במהלכו. עם זאת, עליהם להימנע מתיאור סממני פריצה (IoC)[132] או חולשות אבטחה.[133]

איומי סייבר על ענף הבריאות

ב-17 באוגוסט, השיקה סוכנות המחקר האמריקנית בתחום הבריאות (ARPA-H),[134] פרויקט בשם Digital Health Security (DIGIHEALS), שמטרתו לזהות ולתת מענה לאירועי אבטחת סייבר וכן לחולשות תוכנה אשר עלולות לגרום נזק למטופלים. כמו כן, כולל הפרויקט אמצעים לזיהוי מגבלות טכניות פוטנציאליות הקשורות לפריסת מערכות טכנולוגיות מתקדמות, וכן יקודם במסגרתו הפיתוח של טכנולוגיות אבטחת סייבר חדשות להגנה על מערכות בריאות ומידע אישי של מטופלים. לבסוף, פרסמה הסוכנות בקשה לקבלת הצעות בנושא מערכות טכנולוגיות שעשויות לסייע בקידום מטרות הפרויקט, ואשר יוטמעו במערכות ובמתקני בריאות אזרחיים.[135]

איומי סייבר על ענף הימאות

ב-1 באוגוסט, הקים משמר החופים האמריקני את צוות הגנת הסייבר השלישי שלו,[136] על מנת לספק למשמר יכולות הערכה, איתור יזום של איומי סייבר (Threat hunting) ותגובה לאירועי אבטחה בקרב מערכת התחבורה הימית הלאומית (MTS).[137] היחידה כפופה לפיקוד הסייבר של משמר החופים (CGCYBER),[138] האחראי על הגנת התשתית הימית והנמלים בארה"ב ממתקפות סייבר,[139] וצפויה לקבל באביב 2024 הַסְמָכָה לפעילות מבצעית מלאה מפיקוד הסייבר (USCYBERCOM).[140]

איומי סייבר על מערכות חלל

במסגרת כנס DEF CON השנתי בלאס ווגאס, קיימו חיל החלל וחיל האוויר האמריקניים בין ה-11 ל-14 באוגוסט את תחרות ה-Hack-A-Sat, שמטרתה לאתר חולשות אבטחה בלוויינים. במהלך התחרות, ניסו חמישה צוותי האקרים White Hats לפרוץ ללוויין הקובייה Moonlighter, שפיתחו מעבדת המחקר של חיל האוויר האמריקני (AFRL)[141] ופיקוד מערכות החלל (SCC)[142] של חיל החלל וששיגר ב-5 ביוני 2023 התאגיד האמריקני ללא כוונת רווח, Aerospace Corporation.[143] התחרות כללה שתי משימות בתחום מקטע הקרקע של הלוויין ושבע משימות הקשורות לפעילותו במסלול, כגון ניסיונות לעקוף את ההגבלות הקובעות אילו מטרות יכול הלוויין לצלם.[144]

התמודדות עם איומי סייבר על מכשירי IoT

ב-10 באוגוסט, פרסמה נציבות התקשורת האמריקנית הפדראלית (FCC) בקשה לקבלת תגובות מהציבור בנושא תכנית U.S. Cyber Trust Mark, הכוללת עקרונות וולונטריים לדירוג ולסימון רמת אבטחת הסייבר של מכשירי IoT, ושינוסחו על ידי NIST. הבית הלבן הציג את התכנית ב-18 ביולי 2023 במטרה לאפשר לצרכנים אמריקניים לוודא כי הם רוכשים מכשירים בעלי רמת אבטחה מספקת. על מנת ליישם את התכנית, מעוניינת ה-FCC לקבל התייחסויות בנושא הסוגיות הבאות: (1) היקף המוצרים המשווקים בארה"ב, שעליהם להיכלל בתכנית; (2) הגורם עליו יוטלו משימות הפיקוח והניהול של התכנית; (3) אופן ניסוח תקני האבטחה, כך שיהיה ניתן ליישמם על סוגים שונים של מכשירי IoT; (4) האופן בו ייקבע כי משתתפי התכנית ממלאים אחר עקרונותיה; (5) מניעת שימוש לא מורשה באישורי אבטחת הסייבר של המוצרים; (6) הדרכים בהן ניתן ליידע את הציבור בנושא התכנית. להערכת ה-FCC, צפויה התכנית להיות מיושמת עד לסוף 2024.[145]

איומי סייבר על עסקים קטנים ובינוניים

ב-14 באוגוסט, הודיעה הרשות האמריקנית לעסקים קטנים (SBA)[146] כי שש סוכנויות ממשל ברמת המדינה State level)) ואוניברסיטאות בארה"ב יקבלו כל אחת מענק בסך מיליון דולר, במסגרת השתתפותן בתכנית הפיילוט לשיפור מידת אבטחת הסייבר של עסקים קטנים,[147] שהשיקה ה-SBA בינואר 2022. הגופים ברמה המדינה ישתתפו בתכנית עד לאוגוסט 2024 ובמהלך תקופה זו יספקו שירותי אבטחת סייבר המותאמים לעסקים קטנים, לרבות הכשרת כוח אדם ואמצעים להתמודדות עם אירועי סייבר.[148]

בבריטניה, ב-16 באוגוסט זכתה קבוצת חוקרים מבית הספר למדעי המחשב באוניברסיטת נוטינגהאם (University of Nottingham) במענק מחקר בסך 700 אלף ליש"ט (900 אלף דולר) של המועצה הבריטית למחקר מדעי הפיזיקה וההנדסה ((EPSRC[149] ובשיתוף גופי ממשל והתעשייה,[150] על מנת לשפר את ההבנה לגבי הצרכים והמענים הנחוצים הספציפיים של עסקים קטנים ובינוניים בתחום אבטחת הסייבר.

במסגרת המחקר, יוקם פיילוט של קהילות מקוונות שיפגישו עסקים קטנים ובינוניים ומומחים בתחום אבטחת הסייבר (CyCOS),[151] על מנת לתמוך בעסקים ולחלוק עצות והמלצות מעשיות משותפות.[152]

מחשוב קוונטי

ב-1 באוגוסט נחנך בטייוואן המרכז למעבר למחשוב קוונטי (QSMC),[153] במסגרתו יפעלו גורמי ממשל, אקדמיה ותעשייה מהמדינה בהתמודדות עם אתגרי אבטחת המידע הנובעים מהשימוש במחשוב קוונטי ומהמעבר להצפנה פוסט-קוונטית. במסגרת פעילותו, צפוי ה-QSMC לפרסם לפחות מאמר אחד בכל רבעון בנושא מחשוב קוונטי, לצד ספרים ועקרונות מנחים. בעתיד, צפויות לפעול במוסד קבוצות עבודה אליהן יוזמנו חוקרים ומומחים זרים, לעבודה משותפת עם גורמים מקומיים. בנוסף, יציע ה-QSMC מערכת הצפנה ראשונה מסוגה באסיה, שייתכן ומסוגלת לתת מענה למתקפות המבוצעות על ידי מחשבים קוונטיים.[154]

בסין, במסגרת ועידת China Computational שהתקיימה בעיר יינצ'ואן (Yinchuan), הציגו ב-19 באוגוסט חברות התקשורת בבעלות הממשלתית China Mobile ו-China Electronics Technology Group Corp (CETGC), את פלטפורמת הענן הגדולה ביותר בסין למחשוב קוונטי. על פי China Mobile, הפלטפורמה מבוססת על מחשב קוונטי בעל עוצמת חישוב של 20 קיוביטים מתוצרת CETGC ומספקת לאוניברסיטאות, לחוקרים ולחברות את היכולת לבצע ניסויים באלגוריתמים קוונטיים ולפתור בעיות חישוביות מורכבות בתחומי מחקר מגוונים, בהם בינה מלאכותית, ביו-רפואה ותחבורה חכמה.[155]

בארה"ב, פרסמו ב-21 באוגוסט CISA, NIST וה-NSA מסמך המעודד ארגונים, בעיקר מענפי התשתיות החיוניות, לגבש אסטרטגיית מעבר להצפנה פוסט-קוונטית. המסמך קורא לארגונים למנות צוות ייעודי, שיבחן את מוכנותם לאתגרי המחשוב הקוונטי, וכן לנהל רשימת מלאי של מערכות ונכסים המצויים בידיהם, על מנת לתעדף את המעבר של הנכסים הרגישים והפגיעים ביותר בפני איומי המחשוב הקוונטי. בנוסף, מעודדות הסוכנויות את הארגונים לדון עם הספקים הטכנולוגיים שלהם בנושא מידת מוכנותם לאיומי המחשוב הקוונטי והמעבר להצפנה פוסט-קוונטית.[156]

בנוסף, ב-24 באוגוסט פרסם NIST לתגובות הציבור שלוש טיוטות, בנושא תקינות המוצעות עבור השימוש בשלושה מתוך ארבעת האלגוריתמים להצפנה פוסט קוונטית, שבחר NIST ביולי 2022. טיוטת מסמך התקן הפדראלי לעיבוד מידע (FIPS)[157] מספר 203 מציגה מנגנון להצפנת מפתח הצפנה סימטרי (KEM)[158] בשם ML-KEM,[159] המבוסס על אלגוריתם ההצפנה CRYSTALS-KYBER, בעוד שהמסמכים FIPS 204 ו-FIPS 205 מציגים סְכֵמוֹת של חתימה דיגיטלית, המבוססות על האלגוריתמים CRYSTALS-Dilithium ו- SPHINCS+ בהתאמה. כמו כן, בכוונת NIST לפרסם במהלך שנת 2024 את טיוטת התקינה עבור האלגוריתם הרביעי שנבחר, FALCON, הצפוי גם הוא לשמש לצורך חתימות דיגיטליות וכן טיוטות נוספות בנושא התקינה של אלגוריתם אחד או שניים נוספים, המיועדים להצפנה כללית.[160]

בינה מלאכותית

ב-10 באוגוסט, הודיעה מחלקת ההגנה האמריקנית כי כוונתה להשיק כוח משימה חדש בשם Lima, שמטרתו להעריך, לתאם ולקדם את השימוש בטכנולוגיות בינה מלאכותית, בהם מודלי השפה הגדולים (LLMs) ברחבי המחלקה, תוך שמירה על חדשנות טכנולוגית ועל הביטחון הלאומי. באופן ספציפי, כוח המשימה יסייע למחלקה ללמוד כיצד להשתמש באופן אחראי ב-LLM, לקבוע מצבים בהם מומלץ שלא להשתמש בהם על רקע סיכונים שונים, למשל בהקשר של השימוש בנשק קטלני, וכן לחקור כיצד מדינות, כדוגמת סין, עשויות להשתמש בטכנולוגיות אלו על מנת לפגוע בארה"ב. משרד המנהל לענייני בינה מלאכותית ומידע במחלקת ההגנה (CDAO),[161] עתיד לשתף פעולה עם מזכירי משרדי מחלקת ההגנה על מנת להוביל את פעולות כוח המשימה.[162]

כוח המשימה הושק על רקע הודעת הבית הלבן ב-12 באוגוסט, כי בכוונתו להשיק את תחרות ה-AI Cyber Challenge שמטרתה לעודד חברות לפתח טכנולוגיות בינה מלאכותית להגנה על מערכות הממשל ותשתיות חיוניות לאומיות מפני איומי סייבר.

התחרות, המקודמת בהובלת דארפ"א ובשיתוף חברות הטכנולוגיה הגדולות, בהן גוגל, מיקרוסופט ו-OpenAI, תיערך במסגרת כנסי DEF CON לשנים 2025-2024 ותכלול פרסים בסך של 20 מיליון דולר שיוענקו לזוכים. על פי התכנית, הפתרונות הטכנולוגיים שמשתתפי התחרות יפתחו יהיו זמינים לשימוש הממשל הפדראלי והציבור ללא עלות.[163]

בנוסף, ב-15 באוגוסט, התפרסם מידע בנושא קידום הטמעת טכנולוגיות בינה מלאכותית בקרב מחלקת המדינה. על פי הפרסום, המשרד לשירותי מידע גלובליים של הלשכה למִנְהָל (A/GIS),[164] המרכז לניתוח אסטרטגיות ופתרונות שבמחלקה (M/SS CfA)[165] ומשרד מערכות ההודעות של הלשכה לניהול משאבי מידע (IRM),[166] השיקו פיילוט לשימוש בבינה מלאכותית לסקירת והסרת הסיווג הביטחוני (declassification) של רשומות אלקטרוניות מסווגות, הכוללות הודעות העוברות בין משרד המחלקה בוושינגטון לבין נציגויותיה ברחבי העולם, שחלפו 25 שנים מאז פרסומן. עם זאת, בודקים אנושיים צפויים להמשיך להוות חלק מתהליך הסקירה, על מנת לבצע בקרת איכות לחלק מהחלטות הסיווג המתקבלות.[167]

בגרמניה, הציגה ב-23 באוגוסט שרת החינוך והמחקר, בטינה שטארק-ווצינגר (Bettina Stark-Watzinger), את תכנית ה-AI Action Plan, שמטרתה לקדם מספר מטרות במחקר ובשימוש בבינה מלאכותית. התכנית תדון בהכשרת מומחים בנושא הבינה המלאכותית; בהרחבת תשתיות המחשוב הנחוצות לקידום המחקר בתחום; בקידום לימודי בינה מלאכותית במוסדות מחקר; ובהטמעת טכנולוגיות בינה מלאכותית במגזרי הבריאות והחינוך. התכנית מתוקצבת בסך של 1.6 מיליארד אירו (2.3 מיליארד דולר), שיוקצו להקמת 150 מעבדות מחקר באוניברסיטאות, על מנת להרחיב את מרכזי המידע המצויים בגרמניה וכן להנגיש מאגרי נתונים, הנחוצים לביצוע מחקרים בבינה מלאכותית.[168]דעת

כמו כן, החודש פרסם מומחה לענייני שימוש אחראי בבינה מלאכותית בסוכנות הייעוץ האמריקנית בוסטון (BCG),[169] אבהישק גופטה (Abhishek Gupta), הודעת בלוג באתר Tech Policy Press, בנושא תופעה בשם Shadow AI. על פי גופטה, בדומה ל-Shadow IT,[170] המונח Shadow AI כולל מערכות, שירותים ואמצעי בינה מלאכותית, בהם עובדים משתמשים בלא אישור או פיקוח מקומות העבודה שלהם.

לדבריו, השימוש בסוג זה של אמצעי בינה מלאכותית עלול להציב אתגרי אבטחה ופרטיות כגון שימוש בטכנולוגיות אלו בסתירה עם מדיניות הארגון. בנוסף, לעיתים אמצעי בינה מלאכותית יוצרת (Generative AI) המגיעים מספקי צד שלישי עלולים לכלול חולשות אבטחה, המתגלות לאחר שנעשה בהן שימוש ברשת הארגונית. לדברי גופטה, אמצעים שניתן ליישם על מנת לצמצם את תופעת השימוש ב-Shadow AI הם ניסוח אסטרטגיה ארגונית לשימוש אחראי בבינה מלאכותית, הקמת וועדה שתבחן ותאשר שימוש בבינה מלאכותית ברחבי הארגון ושימוש בפתרונות כגון Gated API access,[171] לאיתור מקרים של הפרות מדיניות אבטחת המידע הארגונית.[172]

שיתופי פעולה

בין ה-14 ל-18 באוגוסט, השתתפו למעלה מ-30 קציני משטרה, תובעים ושופטים מארגנטינה, אורוגוואי, פרו וארה"ב בוועידה שארגנו המחלקה האמריקנית לביטחון המולדת (DHS) בשיתוף התכנית הבין-לאומית למאבק בפשעי מחשב וקניין רוחני שבמחלקת המשפטים האמריקנית (ICHIP).[173] במסגרת הוועידה שנערכה בבירת אורוגוואי, מונטווידאו (Montevideo), קיבלו המשתתפים מידע בנושא שיטות פעולה עדכניות של האקרים בביצוע עבירות רשת, דרכים חדשות לאיסוף ראיות במסגרת חקירות והשימוש היעיל בהן במסגרת דיונים משפטיים.[174]

  1. https://bit.ly/3OKfjwe ; קישור למסמך התכנית: https://bit.ly/47lE2hO ↑

  2. Government Coordinating Council ↑

  3. Universal Service Fund; מערכת סובסידיות ועמלות שה-FCC מנהלת, ומטרתה לקדם גישה אוניברסלית לשירותי תקשורת בארה"ב. ↑

  4. https://bit.ly/3DUkIe3 ↑

  5. Executive Order on Addressing United States Investments in Certain National Security Technologies and Products in Countries of Concern ↑

  6. https://bit.ly/3QE7yto ; https://tinyurl.com/4tfpcwtn ; קישור לצו: https://bit.ly/3OqXHUY ; https://bit.ly/3YuWIYB ↑

  7. Cyber Safety Review Board, הוועדה כוללת נציגים מסוכנויות הממשל הפדראליות והמגזר הפרטי והוקמה בראשית 2022 בעקבות תקרית SolarWinds והצו הנשיאותי מ-2021. ↑

  8. https://tinyurl.com/yk53b5xb ↑

  9. NIST Cybersecurity Framework 2.0 ↑

  10. חמשת העקרונות הקיימים הם זיהוי איומי סייבר (Identify); יישום הגנה מפניהם (Protect); איתור וניתוח מתקפות (Detect); יישום צעדי תגובה (Respond); חזרה לפעילות תקינה (Recover). ↑

  11. https://bit.ly/442yk1n ; קישור לטיוטה: https://bit.ly/3Oq4XAg ↑

  12. Mapping Relationships Between Documentary Standards, Regulations, Frameworks, and Guidelines ↑

  13. https://bit.ly/3sopiik ; קישור למסמך: https://bit.ly/3YHOb4D ↑

  14. https://bit.ly/3OFOY1j ↑

  15. Internal Revenue Service ↑

  16. הדו"ח הראשון הוא דו"ח כללי, המתמקד באימות הדיווחים הפיננסיים של ה-IRS לשנים 2021 ו-2022, בעוד שהדו"ח השני בחן גם את המנגנונים הטכניים ומערכות המידע המשמשים אותו. קישורים לדו"חות: https://bit.ly/44aA2xG ; https://bit.ly/3YBneQ8 ↑

  17. https://bit.ly/3s8auEr ; קישור לדו"ח: https://bit.ly/447pvU4. ↑

  18. Executive Order on Improving the Nation’s Cybersecurity ; הצו מיועד לסייע לגופי הממשל הפדראלי לשפר את יכולתם לזהות, לאתר, להרתיע, להגן ולהתמודד עם איומי סייבר, באמצעות התמקדות בהסרת מגבלות וחסמים המונעים שיתוף מידע בין הממשלה הפדראלית לבין חברות קבלן וספקיות ציוד ושירותי IT ו-OT העובדות עבור הממשלה, שיפור אבטחת הסייבר של שרשראות האספקה של תוכנות, ניסוח תהליכי תגובה פדראליים אחידים לחולשות אבטחה ולתקריות סייבר ועוד. ↑

  19. https://bit.ly/3R3Its7 ↑

  20. General Services Administration ↑

  21. United States Digital Service ↑

  22. https://bit.ly/3YnyyPw ↑

  23. החוק לביטחון המולדת משנת 2002, הוצג בעקבות פיגועי ה-11 בספטמבר ומתקפת האנתרקס שהתרחשה לאחר מכן. החוק יצר את המחלקה לביטחון המולדת האמריקנית ואת תפקיד המזכיר לביטחון המולדת. ↑

  24. Federal Emergencies Management Agency ↑

  25. https://bit.ly/3QLVeXN ↑

  26. Air Force Research Laboratory ↑

  27. https://tinyurl.com/mu4s262e ; https://tinyurl.com/3pbe8t56 ; https://tinyurl.com/yyaut5hb ↑

  28. https://tinyurl.com/3zzf4uja ; https://tinyurl.com/28d75dy7 ↑

  29. Assistant Secretary of the Army for Acquisition, Logistics and Technology ↑

  30. דוגמה לכך היא העובדה, שלוחמה אלקטרונית רוסית מצליחה מדי חודש להשבית כ-10,000 כטב"מים אוקראיניים המשתתפים במלחמה, בעקבות שליחת אותות מזויפים ושיבוש יכולות הניווט שלהם. https://bit.ly/45HTNOF . https://bit.ly/3R6vJRx ↑

  31. Program Executive Office Intelligence, Electronic Warfare & Sensors ; צוות האחראי על פיתוח והצבת יכולות לוחמה מבוססות טכנולוגיות מתקדמות לשימוש צבא היבשה. ↑

  32. Terrestrial Layer System-Brigade Combat Team ↑

  33. https://bit.ly/3YKhJhY ↑

  34. Florida State University ↑

  35. Florida Agricultural and Mechanical University ↑

  36. Army Combat Capabilities Development Command Soldier Center ↑

  37. FAMU-FSU College of Engineering ↑

  38. https://bit.ly/3QMN2a3 ; https://bit.ly/45HPKSt ↑

  39. Microsystems Technology Office; משרד האחראי על פיתוח מיקרו-מערכות מתקדמות להבטחת שליטתה של ארה"ב בתחומים מודיעיניים וצבאיים שונים, בהם לוחמה אלקטרונית ומערכות נשק מבוססות נשק מכוון. https://bit.ly/47Kv3H6 ↑

  40. Forward-Looking Experimentation ↑

  41. תהליך במסגרתו משימת חישוב כלשהי, המבוצעת על ידי מחשב אחד, מבוזרת למספר מחשבים המקושרים בניהם ברשת, מה שמאפשר להקצות משאבים רבים יותר לביצוע המשימה (כגון הצפנת מאגרי מידע גדולים). https://bit.ly/45kDQhi ↑

  42. שימוש במודלים ממוחשבים לדימוי תהליך החשיבה האנושי, תוך שימוש ביכולות בינה מלאכותית מתקדמות. https://bit.ly/3YKaVkh . https://bit.ly/3ONgYju ; קישור להודעה: https://bit.ly/3P3LXZY ↑

  43. Defense Innovation Unit ↑

  44. National Capital Region-Integrated Air Defense System ↑

  45. https://tinyurl.com/5n74kxbw ↑

  46. Defense Information Systems Agency ↑

  47. https://bit.ly/3QNJPXE ↑

  48. United States Indo-Pacific Command. https://bit.ly/3W2bIM4 ↑

  49. DoD Cyber Workforce Strategy ↑

  50. https://tinyurl.com/57tvwymx ; קישור לתכנית היישום: https://tinyurl.com/bdfme9mb. קישור למסמך האסטרטגיה לשנים 2027-2023: https://tinyurl.com/5n7bk4dt ↑

  51. https://tinyurl.com/y43j8km2 ↑

  52. https://tinyurl.com/3bnyb4rf ↑

  53. Department of the Navy Chief Information Officer ↑

  54. Assistant Secretary of the Navy, Research, Development, and Acquisition ↑

  55. Department of Defense Zero Trust Strategy; קישור למסמך האסטרטגיה: https://bit.ly/3Eq0fOJ ↑

  56. Integrated Navy Operations Command and Control System; מערכת פיקוד ובקרה של הצי, הממוקדת בבניית רשתות ובניהול פעולות סייבר. הצי החל בהפעלת המערכת במרץ 2020. https://bit.ly/45viC0c ; https://bit.ly/3sjof34 . קישור למִזְכָּר : https://bit.ly/47DaH2B ↑

  57. United States Army Reserve ↑

  58. בהתאם לתכנית DoD Zero Trust Strategy מנובמבר 2022. התכנית מיועדת לקדם הטמעה של עקרונות אפס אמון עד לשנת 2027 והיא כוללת ארבע מטרות: (1) קידום תרבות ארגונית תומכת להטמעת עקרונות אפס אמון; (2) שילוב עקרונות אפס אמון במערכות מידע במחלקה; (3) הטמעת פיתוחים טכנולוגיים התומכים בהטמעת אפס אמון; (4) התאמת תהליכי רכש ומימון. https://bit.ly/3XE1XnV ↑

  59. Identity, Credential, and Access Management. ↑

  60. https://bit.ly/45D34Yo ↑

  61. State Service of Special Communications and Information Protection of Ukraine ↑

  62. http://tinyurl.com/3xnct7tu ↑

  63. Bulk Personal Datasets; מערכי נתונים המכילים לעתים קרובות מידע, שחלקו עשוי להיות רגיש, על קבוצות גדולות ביותר של אנשים, שסביר להניח שרובם לא יהיו בעלי עניין מודיעיני וביטחוני. סוגי המידע במערכי הנתונים הללו עשויים לכלול פנקסי בחירות, רישומים טלפוניים ונתוני תיירות ונסיעות. ↑

  64. https://bit.ly/3qk2wra ; https://bit.ly/44dIPiN ↑

  65. Cyber Incident Response ; נכון לאוגוסט 2023, ישנן כ-400 חברות משני הסוגים אשר לוקחות חלק בסְכֵמַה. ↑

  66. https://bit.ly/3P6LIxy ; https://tinyurl.com/2p8urwjw ; https://tinyurl.com/3kyrkpp9 ↑

  67. Abu Dhabi University ↑

  68. Optimisation ; תת-תחום במתמטיקה העוסק במציאת הערך האופטימלי של פונקציות שונות. במחשוב קוונטי, ניתן להשתמש באופטימיזציה קוונטית על מנת לפתור בעיות אופטימיזציה בתחומים שונים, בהם מדעי המחשב. https://bit.ly/453GIPy ; https://bit.ly/3KGijay ↑

  69. הטכנולוגיות הן: טכנולוגיות לשיתוף מבוזר של נתונים דיגיטליים (Distributed Ledger Technology); בינה מלאכותית; טכנולוגיות להדמיית מציאות מורחבת (Extended Reality); מחשוב קוונטי. https://bit.ly/45mOzaM ; https://bit.ly/45bijrp ; https://bit.ly/4590AAU ↑

  70. The Abu Dhabi Department of Economic Development ↑

  71. Emirates Telecommunications Group Company PJSC ↑

  72. The Abu Dhabi Industrial Strategy, להרחבה על האסטרטגיה ראו: https://tinyurl.com/2p8t43v8 ↑

  73. https://tinyurl.com/2s2fwx43 ↑

  74. King Abdullah University of Science and Technology ↑

  75. https://bit.ly/44dpNJ3 ; https://bit.ly/47STvX9 ↑

  76. מכון מחקר המוקדש להבנת האיומים הביטחוניים הנובעים מהשימוש ביכולות ביוטכנולוגיות ונוירו-ביולוגיות וכן בבינה מלאכותית ומחשבים, בעיקר מצד גופים המזוהים עם סין. ↑

  77. Molecular Communication ; סוג תקשורת בין התקנים ננו-טכנולוגיים, בו המידע מועבר תוך שימוש במולקולות. https://bit.ly/45ZIJgp . https://bit.ly/3PazVwH ; קישור לדו"ח: https://bit.ly/3r5Z5EM ↑

  78. https://bit.ly/3DQI7ND ↑

  79. התכנית הושקה לראשונה ב-1 ביולי2015 ומיועדת לקדם את השימוש בשירותים טכנולוגיים בהודו על ידי התמקדות בשלושה תחומים: (1) הרחבת התשתיות הדיגיטליות המשמשות את אזרחי הודו, כגון אינטרנט מהיר; (2) הרחבת השירותים הממשלתיים והעסקיים הניתנים לביצוע דרך תשתיות מקוונות; (3) שיפור הידע הטכנולוגי שבידי אזרחי הודו, למשל על ידי הפיכת שירותים דיגיטליים שונים למונגשים לשפות המדוברות בהודו. https://bit.ly/47R6gBu ↑

  80. https://bit.ly/3L02qfg ↑

  81. Defence Research and Development Organisation; סוכנות ממשלתית הכפופה למשרד ההגנה בממשלת הודו, אשר אחראית על מחקר ופיתוח טכנולוגיות לשימוש צבאי. ↑

  82. National Informatics Centre; משרד הכפוף למשרד האלקטרוניקה והמידע בממשלת הודו, המספק שירותי IT לממשל המרכזי ולממשלות ברמת המדינות. ↑

  83. Centre for Development of Advanced Computing; ארגון למחקר ופיתוח הכפוף למשרד האלקטרוניקה והמידע. ↑

  84. https://bit.ly/3shEcGP ; https://bit.ly/447ng39 ↑

  85. Centre for Development of Telematics; מרכז ממשלתי לפיתוח טכנולוגי בתחום התקשורת. ↑

  86. Security information and Event Management ; המערכת מהווה מרכז לאיסוף מידע מרחבי הרשת הארגונית וכן מאפשרת לנהל אירועי סייבר ולבצע תעדוף של איומים. https://bit.ly/45Oyc6T ↑

  87. Data Loss Prevention ; מערכת המאפשרת לאתר ולמנוע אירועים של גניבת, הדלפת וניצול לרעה של מידע המצוי במערכות הארגון. https://bit.ly/3qQbBrT ↑

  88. User Entity and Behaviour Analytics ; מערכת הכוללת אמצעי למידת מכונה לאיתור חריגות בדפוסי שימוש ברשת הארגונית וכן בשרתים, בנתבים ובנקודות הקצה השייכים לה. https://bit.ly/3KVMFWM ↑

  89. https://bit.ly/44ukHIK ; https://bit.ly/3PhseX3 ↑

  90. Personal Information Protection Commission ↑

  91. Personal Information Protection Act ; החוק נחקק לראשונה ב-2011 על מנת להסדיר את הדרכים בהן גופים יכולים לאסוף מידע אישי השייך לאזרחים, כגון הצגה מפורשת של מטרת עיבוד המידע הנאסף. במאי 2023 אושרו תיקונים לחוק, הצפויים להיכנס לתוקף ב-15 בספטמבר 2023. במסגרת התיקונים, מוכרת זכותם של אזרחים שלא להיכלל במערכות אוטומטיות לקבלת החלטות ואף להביע התנגדות להחלטות המתקבלות בהן, שייתכן והתבססו על מידע אישי השייך להם. https://tinyurl.com/rzfkeh4c ; https://bit.ly/446fXIZ ↑

  92. בשיטה זו, פרטים מזהים מוחלפים בתווי מידע אחרים, כגון מספרים. https://bit.ly/3OW0sPq ↑

  93. https://bit.ly/3OVZqD2 ; https://bit.ly/3DZjxdr ; https://bit.ly/3KFUnEy ↑

  94. Cyber Digital Services, Defence & Security Asia, כנס שנתי שמארגנות הסוכנות הלאומית לאבטחת סייבר (NACSA) וסוכנות אבטחת הסייבר, CyberSecurity Malaysia הכפופה למשרד התקשורת והדיגיטל. הכנס מתמקד במגמות טכנולוגיות מתקדמות ובמודיעין סייבר, וכולל מגוון משתתפים, כגון רגולטורים, קובעי מדיניות, אנשי צבא, פקידי ממשל ועוד. ↑

  95. National Cyber Security Agency ↑

  96. Personal Data Protection Act; מטרת החוק, שאושר בשנת 2010, היא להסדיר כיצד ארגונים אוספים, מעבדים, מאחסנים ומנהלים מידע אישי, ולקבוע עקרונות וקווים מנחים לטיפול במידע רגיש. ↑

  97. Department of Personal Data Protection ↑

  98. Quantum-safe cryptography solutions ↑

  99. פלטפורמה מקוונת של הסוכנות לאבטחת סייבר של משרד התקשורת והדיגיטל, CyberSecurity Malaysia, שמטרתה לטפח מומחי אבטחת סייבר ואבטחת מידע, ולהציע קורסי למידה והסמכה מקצועית בתחום. ↑

  100. Cyber Range Malaysia הוא מרחב וירטואלי במסגרתו ארגונים יכולים להכשיר מומחי אבטחה במגוון תרחישי וסימולציות לוחמת סייבר. יוזמה זו מהווה שיתוף פעולה בין האוניברסיטה האסלאמית הבין-לאומית במלזיה, הסוכנות לאבטחת סייבר של משרד התקשורת והדיגיטל, וחברת אבטחת הסייבר המלזית, Cyber Intelligence. ↑

  101. https://bit.ly/3E487Fb ↑

  102. https://tinyurl.com/y53sef2f ↑

  103. שר המדינה למדיניות מדע וטכנולוגיה, סאנה טקאיצ'י (Sanae Takaichi), הוא אחד השרים האחראיים על ניסוח ויישום האסטרטגיה. ↑

  104. החוק מתמקד בארבעה תחומים: שרשראות אספקה, תשתיות חיוניות, קידום ההשקעה בטכנולוגיות חיוניות ומניעת זליגת פטנטים וטכנולוגיה קצה לשימושים צבאיים. להרחבה על החוק ועל ההתקדמות ביישומו: https://tinyurl.com/27tya3sp ; https://tinyurl.com/547nfthz ↑

  105. https://tinyurl.com/yc4v53ud ; https://bit.ly/3Vvtgyq ↑

  106. American Public Power Association ; אגודה ללא כוונת רווח, המייצגת כ-2,000 בעלי מתקני אנרגיה קהילתיים ברחבי ארה"ב בפני הממשל הפדראלי וגופים נוספים. ↑

  107. Office of Cybersecurity, Energy Security and Emergency Response; משרד ה-CESER הוא הגוף האחראי לאבטחת הסייבר ולאבטחה הפיזית של תשתיות החשמל והאנרגיה בארה"ב. ↑

  108. Award Number DE-CR0000007 ↑

  109. https://bit.ly/3PeDEur ; קישור למסמך הבקשה: https://bit.ly/3qQF45a ↑

  110. התכנית, שהוקמה במסגרת חוק ה- State and Local Cybersecurity Improvement Actוכחלק מחוק ה-Bipartisan Infrastructure Law, כוללת קרן בסך מיליארד דולר והקצאות תקציביות המתפרשות על פני ארבע שנים, כאשר זו שנתה השנייה לפעילות. בשנת 2022, הקצתה המחלקה לביטחון המולדת כ-185 מיליון דולר. ↑

  111. https://bit.ly/3qtenTM ; https://bit.ly/3KEcKcI ↑

  112. Defence Research and Development Canada ↑

  113. https://bit.ly/3Eb4BJk ; https://bit.ly/3YOEoK9 ↑

  114. IT Vendor Management Office summit ↑

  115. General Services Administration ↑

  116. American Council for Technology and Industry Advisory Council; הארגון הוא שותפות בין המגזר הציבורי לפרטי, הממוקד בשיפור תפקוד הממשל באמצעות בחינת טכנולוגיות המידע שברשותו. ↑

  117. Federal Acquisition Regulatory Council ; המועצה אחראית על סיוע בגיבוש מדיניות הרכש הממשלתית. ↑

  118. attestation form ; טופס במסגרתו מצהירות חברות המספקות תוכנות לסוכנויות ממשל כי התוכנות פותחו בהתאם לעקרונות פיתוח תוכנה מאובטח. “Secure Software Self-Attestation Common Form”; קישור לטופס: https://bit.ly/3QCE5QC . יש לציין כי ביוני 2023, פרסם משרד הניהול והתקציב (OMB) צו, הדוחה את יישום הדרישה בנושא רכש התוכנות, מאחר ו-CISA טרם השלימה את גיבוש הטופס. https://bit.ly/3OwQ9zX ↑

  119. cybersecurity requirements for unclassified information systems ; קישור להצעה: https://bit.ly/3YuaE53. ↑

  120. FAR Part 40 ; FAR הינו מערכת הכללים הקובעת את כללי הרכש המחייבים סוכנויות ממשל אזרחיות וצבאיות בארה"ב. בהתאם לכך, ההנחיות שיופיעו בפרק זה צפויות להחיל דרישות באבטחת סייבר בתהליכי רכש פדראליים. ↑

  121. https://bit.ly/3QAQSmk ↑

  122. Bureau of Information Resource Management; הלשכה אחראית על ניהול תשתיות ה-IT של המחלקה, לטובת ביצוע משימותיה הדיפלומטיות ברחבי העולם. ↑

  123. https://bit.ly/3YyV87N ↑

  124. The National Science Foundation ↑

  125. תכונה של שפות תִּכְנוּת מסוימות, אשר מונעת ממתכנתים להציג סוגי שגיאות מסוימות הקשורות לאופן השימוש בזיכרון והגישה אליו. מכיוון ששגיאות בטיחות בזיכרון מוגדרות לעיתים קרובות כבעיות אבטחה, שפות תִּכְנוּת שהן memory safe, מאובטחות יותר משפות תִּכְנוּת שהןmemory unsafe . ↑

  126. https://bit.ly/3qxyRuG ; https://bit.ly/459OJT1 ; https://tinyurl.com/2a4e8hmm ↑

  127. Federal Office for Information Security. ↑

  128. Software Bill of Materials ; הטופס מאפשר לכל יצרן תוכנה לפרט את מקורות הרכיבים המותקנים בה, מה שעשוי לאפשר ליצרני התוכנות, חברות המוכרות אותן ולמשתמשים בהן לטפל בחולשות אבטחה הצצות בהן ולבצע הערכה על חולשות שעשויות להופיע בהן. על פי תקנות ה-CRA, יצרני תוכנות נדרשים לתעד ב-SBOM גם חולשות שכבר נמצאו בתוכנות. https://bit.ly/3YxnS0R ↑

  129. https://bit.ly/3qnHd8h ↑

  130. National Credit Union Administration ; סוכנות ממשל המפקחת על תחום ביטוח איגודי אשראי פדראליים, שהינם מוסדות פיננסיים הדומים במאפייניהם לבנקים, אך פועלים בתור קואופרטיביים ללא כוונת רווח. ↑

  131. Federally Insured Credit Unions ; איגודי אשראי הם מוסדות פיננסיים ללא כוונת רווח, המציעים שירותי בנקאות לחברי הקבוצה המחזיקה בבעלות האיגוד. ↑

  132. Indicators of compromise ↑

  133. https://bit.ly/3KVTGXu ; קישור להנחיות NCUA: https://bit.ly/3YQqDuq ↑

  134. Advanced Research Projects Agency for Health, סוכנות הנכללת במחלקת הבריאות שהוקמה ב-2022 על מנת לתמוך במימון של מחקר ייעודי בתחומי הביו-רפואה והבריאות. ↑

  135. https://bit.ly/3YN2ogD ↑

  136. The 2003 Cyber Protection Team ↑

  137. Marine Transportation System; הרשת כוללת אמצעי תעבורה ימיים, כגון נמלים, אגמים ונהרות, המשמשים להעברת סחורות ובני אדם. ↑

  138. Coast Guard Cyber Command ↑

  139. https://bit.ly/3QADX3Z ↑

  140. https://bit.ly/3sbGU0M ↑

  141. U.S. Air Force Research Laboratory ↑

  142. Space Systems Command ↑

  143. התאגיד מספק ייעוץ טכני למשימות חלל צבאיות, אזרחיות ומסחריות ומפעיל מרכז מחקר ופיתוח פדראלי בקליפורניה. https://bit.ly/3OH6B0Q ↑

  144. https://bit.ly/45gg7yY ; https://bit.ly/3YFVNo0 ; https://tinyurl.com/yj3xt6nw ↑

  145. https://bit.ly/3KE5BsU ; קישור לבקשה: https://bit.ly/3KDH1Zp ↑

  146. Small Business Administration ↑

  147. Cybersecurity for Small Business Pilot Program ↑

  148. https://bit.ly/3QMTPjU ↑

  149. Engineering and Physical Sciences Research Council, סוכנות ממשלתית הנמנית על הסוכנות למחקר וחדשנות (UKRI), והמממנת מגוון תכניות הכשרה ומחקר בתחומי ההנדסה והפיזיקה, על מנת לעודד התקדמות טכנולוגית בבריטניה. ↑

  150. בהם למשל, משרד הפנים ותאגיד IASME. ↑

  151. Cyber Security Communities of Support ↑

  152. https://tinyurl.com/mrby7jx7 ↑

  153. Quantum Safe Migration Center ↑

  154. https://bit.ly/3Kx5386 ; https://bit.ly/3s73lnx ↑

  155. https://bit.ly/3OWu6mu ; https://bit.ly/44pX2Ju ↑

  156. https://bit.ly/3siE0XX ; https://tinyurl.com/2arksf72; קישור למסמך: https://bit.ly/3YO2wwf ↑

  157. Federal Information Processing Standard ↑

  158. Key encapsulation mechanism, כּימוּס מפתח. ↑

  159. Module-Lattice-Based Key-Encapsulation Mechanism ↑

  160. https://bit.ly/3PdCyit ; קישורים לשלוש הטיוטות: https://bit.ly/44wRtsC , https://bit.ly/3PdHxjn , https://bit.ly/3srhJHA ↑

  161. Chief digital and artificial intelligence officer ↑

  162. https://bit.ly/3KB0F8o ; https://bit.ly/3KFtXT3 ↑

  163. https://tinyurl.com/56zcpnyc ; https://tinyurl.com/ykwjy26a ↑

  164. The Bureau of Administration’s Office of Global Information Services ↑

  165. Office of Management Strategy and Solutions’ Center for Analytics ↑

  166. Bureau of Information Resource Management’s Messaging Systems Office ↑

  167. https://bit.ly/3sa3aYH ↑

  168. https://bit.ly/3PdLep7 ; https://bit.ly/47NxuZA ↑

  169. Boston Consulting Group ↑

  170. מכשירים ושירותים אלו נקראים גם בתור Grey IT, ונמצאים בשימוש משתמשים ועובדים ללא ידיעת מחלקות ה-IT. ↑

  171. מדובר בהגבלת הגישה לממשקי תכנות יישומים (API) באמצעות מנגנוני אימות זהות שונים. כך, ניתן להבטיח שרק משתמשים מורשים יוכלו לעשות שימוש במידע הטמון ב-API. API הינו אוסף של פרוטוקולים וכלים לבניית תוכנות ויישומים (כגון ספריות קוד) ולמעשה מאפשר למפתחי תוכנות להטמיע פונקציות הכלולות בתוכנות אחרות, ושלגביהן פורסם ה-API. ↑

  172. https://bit.ly/45Aw6rf ↑

  173. International Computer Hacking and Intellectual Property ; תכנית של מחלקת המשפטים, במסגרתה מועסקים יועצים משפטיים, המסייעים לגורמי אכיפת החוק ברחבי העולם להתמודד עם פשעי סייבר ופגיעה בקניין רוחני. https://bit.ly/45mvS7G ↑

  174. https://bit.ly/47EaHzi ↑

קודם בסדרה: דו"ח מדיניות וביטחון סייבר הבא בסדרה: דו"ח מדיניות וביטחון סייבר קודם בארכיון: מדיניות וביטחון סייבר – סקירת מגמות חצי שנתית הבא בארכיון: דו"ח מדיניות וביטחון סייבר חזרה לרשימה