אפריל 2024
דו"ח מדיניות וביטחון סייבר
תוכן עניינים
איומי סייבר על שרשראות אספקה 14
איומי סייבר על מגזר הפיננסים 15
תקציר חודשי
הסוכנות האמריקנית לאבטחת סייבר ותשתיות (CISA), פרסמה מסמך במטרה לסייע לבעלי ולמפעילי תשתיות חיוניות להיערך לקראת התמודדות עם סיכוני אבטחה שמקורם בטכנולוגיות בינה מלאכותית; מחוקקים אמריקניים הציגו הצעת חוק שתחייב מוסדות פיננסים לעדכן את מחלקת האוצר לפני ביצוע תשלום של דמי כופר לתוקפים; בכוונת פיקוד הסייבר האמריקני לעדכן את שיטת ההכשרה של כוח האדם המיומן במקצועות אבטחת הסייבר בפיקוד, וכן להרחיב את יכולות יחידת JFHQ-DODIN, להגנה על רשתות מחלקת ההגנה.
הפרלמנט האירופי אישר את הצעת חוק ה-Cyber Solidary Act, לפיה בין השאר יוקם כוח עתודה בשטחי האיחוד האירופי לסיוע למדינות האיחוד ולמוסדותיו להיערך לקראת התמודדות עם אירועי סייבר נרחבים; בנוסף, בכוונת ברית נאט"ו להקים מרכז אבטחת סייבר חדש במטה הצבאי של הברית בבלגיה; כמו כן, אוקראינה השתתפה לראשונה בתרגיל אבטחת הסייבר השנתי הבין-לאומי של נאט"ו, Locked Shields, שנערך באסטוניה; לצד זאת, משרד ההגנה של גרמניה הודיע כי ישדרג את מעמדו של פיקוד הסייבר ומרחב המידע של צבא גרמניה (CIR), לכדי זרוע סייבר ייעודית; בד בבד, פורסם כי חיל התמיכה האסטרטגית (SSF) של צבא סין עתיד להתפצל לשלושה חילות חדשים: חיל האוויר והחלל, חיל מרחב הסייבר וחיל התמיכה במרחב המידע (ISF); הפרלמנטים של מלזיה וסינגפור אישרו תיקונים לחוקי אבטחת הסייבר הלאומיים; כמו כן, מנהיגי הפיליפינים ווייטנאם פרסמו דירקטיבה וצו נשיאותיים ליישום תכניות וביקורות לאומיות בתחום אבטחת הסייבר.
מיקרוסופט פרסמה דו"ח בנושא איומי השפעה וסייבר שמקורם בסין ובצפון קוריאה, על מערכות בחירות המתקיימות במהלך שנת 2024; קבוצת מומחים ממדינות מדינות ה-7G קיימו תרגיל שבחן את יכולתם של ארגונים מענף הפיננסים לתת מענה לאירועי סייבר משמעותיים; הנציבות האירופית פרסמה מסמך המלצות לגיבוש אסטרטגיה משותפת עבור מדינות האיחוד האירופי להיערכות לקראת המעבר לפתרונות אבטחה מבוססי הצפנה פוסט-קוונטית.
בתחום טכנולוגיות הבינה המלאכותית, חתמו ארה"ב ובריטניה על הסכמים לקידום הפיתוח והשימוש הבטוחים בטכנולוגיה זו, בעוד שדרום קוריאה ובריטניה הודיעו כי יקיימו במאי 2024 בסאול, וועידה בין-לאומית בנושא. בד בבד, פורסם כי פיקוד הסייבר האמריקני הקים כוח משימה שיקדם את הטמעת השימוש בבינה מלאכותית לטובת ביצוע פעילות מבצעית של כוחותיו, יגדיר עקרונות מדיניות לשימוש האתי בבינה המלאכותית ויסייע בהתמודדות עם איומי סייבר מתוחכמים. לצד זאת, פרסמה Chek Point הודעה בלוג בנושא מגמות בשימוש בקטעי Deepfake במערכות בחירות בעולם במהלך 2024-2023.
ארה"ב
ממשל, אסטרטגיה ומדיניות
ב-3 באפריל פרסם המכון הלאומי לתקנים וטכנולוגיה (NIST) לתגובות הציבור את טיוטת מסמך NIST SP 800-61r3,[1] הכוללת המלצות לארגונים בנושא הטמעת תגובות לאירועי אבטחת סייבר, בהתאם לעקרונות הגִּרְסָה השנייה של המסגרת לאבטחת סייבר (CSF), שפורסמה בפברואר 2024.[2] על פי מחברי המסמך, למרות שכל ארגון נדרש לגבש מדיניות תגובה לאירועי סייבר בהתאם למאפייניו, כל מדיניות ארגונית צריכה לכלול מספר מרכיבים בסיסיים, לדוגמא, הגדרה של הגופים הארגוניים עליהם חלה המדיניות ותיאור הנסיבות בהן היא תחול, וכן עקרונות ליצירת סדרי עדיפויות בטיפול באירועי אבטחה. בנוסף, כולל המסמך דרכים מוצעות להטמעת ששת עקרונות ה-CSF וקטגוריות הַמִּשְׁנֶה שלהם ויוצר סדרי עדיפויות ארגוניים בתהליך הטמעתם, בהקשר של התגובה לאירועי סייבר: כך, למשל, הגדרת מטרות מדיניות ניהול הסיכונים הארגונית, לפי עקרון המשילות (Govern), מוצגת כיעד בעל חשיבות מִשְׁנִית (Low Priority) לתגובה לאירועי סייבר, בעוד שגיבוש והטמעת הגדרות קונפיגורציה, תחת קטגוריית ההגנה (Protect), מוגדרת כמטרה בעלת חשיבות בינונית (Medium Priority).[3]
בנוסף, ב-9 באפריל פרסמה ה-NSA מסמך, הכולל דרכים לשיפור מידת אבטחת הסייבר של רשתות ארגוניות באמצעות יישום חלק מס' 4 (Data), במסגרת תהליך הטמעת עקרונות אפס האמון בארגונים.[4] על פי מחברי המסמך, על ארגונים להגן על מידע המצוי ברשתותיהם באמצעות היכרות עם סוגי המידע הקיימים ומעקב אחר אופני תנועתם ברשתות. בהתאם, עליהם לסווג את כלל המידע שברשתותיהם לפי היקף איומי האבטחה הפוטנציאליים עליהם ולהשתמש במערכת לניהול אבטחת מידע ואירועים (SIEM),[5] לשמירת מטא-דאטה (Metadata) על המידע שברשתות. כמו כן, מומלץ כי ארגונים יגנו על המידע שלהם מפני גישה בלתי מורשית וביצוע שינויים בו באמצעות הצפנתו, כששימוש בניהול זכויות דיגיטלי (DRM)[6] מוצע כאמצעי משלים או מחליף להצפנה.
בנוסף, טענו המחברים כי ארגונים יכולים להגן על מידע מאיומי אבטחה על ידי הטמעת מערכות למניעת דֶּלֶף מידע (DLP)[7] בכל רחבי הרשת ולא רק בנקודות הגבול שלה (System boundary).[8] מסמך זה מצטרף למסמך דומה שפרסמה ה-NSA במרץ 2024, המציג אמצעים להטמעת עקרונות אפס האמון בארגונים באמצעות יישום חלק מס' 5 (Network and environment).[9]
חקיקה
ב-8 באפריל הציג הסנאטור הדמוקרט, רון וויידן (Ron Wyden), את הצעת החוק Secure and Interoperable Government Collaboration Technology Act, שנועדה להגדיר ולהחיל כללי יכולת תפעול הדדית (Interoperability) ואבטחה על תוכנות תקשורת ושיתוף מידע מסחריות המשמשות סוכנויות ממשל פדראליות (Collaboration software), כגון Zoom. על פי ההצעה, NIST ינסח את הדרישות והעקרונות המנחים על בסיס רשימת התוכנות שבשימוש הממשל הפדראלי, שתוגדר על ידי הרשות לשירותים כלליים (GSA).[10] ההנחיות עשויות לכלול, בין השאר, שימוש בהצפנה להגנה על המידע המועבר בתוכנות מפני ריגול. מרגע מועד פרסום העקרונות על ידי NIST, יעמדו לרשות המגזר הפרטי ארבע שנים להטמעת הדרישות בתוכנות שיוצעו למכירה עבור שימוש סוכנויות הממשל. כמו כן, תבצע המחלקה לביטחון המולדת בקרת אבטחת סייבר על תוכנות תקשורת ושיתוף הנמצאות בשימוש של סוכנויות הממשל.[11]
צבא וביטחון
ב-1 באפריל פרסם חיל האוויר האמריקני בקשה לקבלת מידע מחברות פרטיות בנושא שילוב של טכנולוגיות בינה מלאכותית ולמידת מכונה מתקדמות במאמצי חידוש יכולות הפיקוד והשליטה מבוססות הענן שלו (2CBC).[12] ספציפית, מתעניין החיל במידע לגבי הטמעה אפשרית של יכולות איסוף ואחסון נתונים, שימוש במודלי שפה גדולים וטכנולוגיות אוטומציה אחרות, עבור משימותיו הטקטיות השונות.[13]
בנוסף, ב-3 באפריל הצהיר מפקד חיל האוויר התשיעי (Ninth Air Force), לוטנט גנרל אלכסוס גרינקוויץ' (Alexus Grynkewich), כי פיקוד המרכז של צבא ארה"ב (CENTCOM) החל להשתמש בכלי להיתוך ולשיתוף נתונים, הנמצא בשלבי פיתוח מתקדמים (MVP),[14] עבור מערכת הפיקוד והשליטה הרב ממדית (JADC2)[15] של מחלקת ההגנה, במסגרת פעילותו במזרח התיכון. על פי גרינקוויץ', הכלי מסייע לפיקוד לקבל ולשתף מידע מודיעיני על שיגור נחילי כטב"מים, טילים ואיומים נוספים מצד המיליציה החות'ית, ארגון דאע"ש וגורמים נוספים באזור, וכן לקבל במהירות החלטות אודות דרכי ההתמודדות עימם. כמו כן, מסייע ה-MVP לגורמים שונים בפיקוד, בהם חיל האוויר התשיעי, להשתתף בגיבוש תמונת מצב מבצעית בזמן אמת.[16]
כמו כן, ב-3 באפריל הצהיר סגן מנהל מערכות המידע של מחלקת ההגנה לענייני אבטחת סייבר, דיוויד מקיאון (David McKeown), כי המחלקה החלה ביישום של האסטרטגיה לקידום הטמעת עקרונות אפס האמון (Zero-Trust) ברשתותיה עד לשנת 2027.[17] על מנת לקדם את יישומה, הוקם במשרד מנהל מערכות המידע של המחלקה משרד ייעודי,[18] שיוביל את הטמעת העקרונות ברשתות המחלקה באמצעות קידום של 15 תוכניות פיילוט במהלך השנים הפיסקאליות 2024 ו-2025. לדברי מנהל המשרד הייעודי, רנדי רזניק (Randy Resnick), 15 המיזמים נועדו לקדם את יישום עקרון אפס האמון על ידי הוספת יכולות טכנולוגיות חדשות לתשתיות ה-IT הקיימות. לאחר מכן, תיושם האסטרטגיה על ידי שימוש ביכולות ענן ממשלתיות ופרטיות, המצויות כיום בשלבי בפיתוח בשיתוף עם המחלקה.[19]
בד בבד, הציג מנהל מערכות המידע (CIO) של מחלקת ההגנה, ג'ון שרמן (John Sherman), את האתגרים הניצבים בפני המחלקה ביישום האסטרטגיה: לדבריו, המחלקה נדרשת לקבל החלטה אודות הטמעת יכולות ניהול הרשאות הגישה (ICAM)[20] וכן היא דנה עם ארבע החברות השותפות לפרויקט ה-JWCC,[21] בנושא היעזרות בצוותים לדימוי תקיפה (Red teams) על מנת לבחון את יישום אפס האמון בתשתיות ענן.[22]
לצד זאת, ב-4 באפריל בחר משרד מנהל התכנית לפיקוד, בקרה ותקשורת טקטיים (PEO C3T)[23] של צבא היבשה בחברת Akamai עבור פיתוח אב-טיפוס של תוכנה, שתסייע ביישום עקרון אפס האמון ברשתות הצבא על ידי הטמעת יכולות ניהול הרשאות גישה טקטיות (T-ICAM).[24] במסגרת זו, התוכנה שתפתח Akamai עבור צבא היבשה תספק הרשאות גישה למשתמשים תוך הסתמכות על הליכי וידוא זהות מתמשכים וכן תאפשר לחיילים להיחשף רק למידע הנחוץ לביצוע משימותיהם. לדברי מנהל הפרויקט לרשתות טקטיות ב-PEO C3T, קולונל סטיוארט מקמילן (Stuart McMillan), הקמת רשת על בסיס עקרון אפס האמון תאפשר לחיילים ולמפקדים המוצבים בכל מקום לשתף ולקבל מידע מודיעיני באופן מאובטח בשיתוף עם זרועות אחרות בצבא ארה"ב ובכך לתרום לקבלת החלטות מהירה.[25]
לצד העיסוק בהטמעת עקרונות אפס האמון, ב-4 באפריל פורסם כי המשרד לענייני בינה מלאכותית ומידע של מחלקת ההגנה (CDAO)[26] מפתח חומרי עזר חדשים לעֶרְכָּת RAI,[27] על מנת לסייע לגורמי צבא לקבוע אם יכולות צבאיות המבוססות על טכנולוגיות בינה מלאכותית עומדות בעקרונות דירקטיבת Directive 3000.09,[28] בנושא הפיתוח והשימוש במערכות נשק אוטונומיות קטלניות. העֶרְכָּה הושקה בנובמבר 2023 בהתאם לאסטרטגיית השימוש האחראי בבינה מלאכותית, שפרסמה המחלקה ביוני 2022,[29] לקידום ההטמעה האתית של בינה מלאכותית בפעילות המחלקה ובמסגרת מיזמי מחקר ופיתוח צבאיים. לדברי המנהל בפועל לענייני בינה מלאכותית אחראית ב-CDAO, מת'יו ג'ונסון (Matthew Johnson), העֶרְכָּה מיועדת לסייע לצוותי פיתוח של מערכות נשק אוטונומיות מבוססות יכולות בינה מלאכותית, להטמיע צעדים להבטחת העמידה בעקרונות הבינה המלאכותית האחראית, טרם פיתוחן ופריסתן.[30]
החודש הציג מפקד פיקוד הסייבר וראש ה-NSA, טימותי יו (Timothy Haugh), שני מהלכים לביצוע שינויים ארגוניים בפיקוד. ראשית, ב-9 באפריל הודיע הפיקוד כי השיק מחקר הבוחן דרכים לשינוי אופני הכשרת כוח האדם המשרת בצוותי כוח משימת הסייבר (CMF)[31] שבפיקוד, שהמלצותיו אמורות להימסר בקיץ 2024 למחלקת ההגנה. במסגרת המחקר, בוחן הפיקוד מספר אפשרויות לשינוי מודל ההכשרה, לרבות הטמעת תהליך ההכשרה הקיים בפיקוד הכוחות המיוחדים (USSOCOM)[32] והקמת זרוע סייבר ייעודית.[33] בנוסף, ב-11 באפריל הצהיר יו כי הפיקוד בוחן אפשרות להרחיב את יחידת JFHQ-DODIN,[34] הכפופה לפיקוד ואחראית על ההגנה על רשתות מחלקת ההגנה. כמו כן, צפויה מחלקת ההגנה לבחון אם מבנה ה- JFHQ-DODINוהמשאבים העומדים לרשותה מאפשרים לה לבצע את משימתה כראוי. פעילות זו מהווה חלק מתהליך המכונה בשם CYBERCOM 2.0, לבנייה מחודשת של פיקוד הסייבר, מתוך הבנה כי הפיקוד הוקם על בסיס עקרונות מבניים המגבילים את יכולתו להתמודד עם האתגרים המצויים במרחב הסייבר.[35]
יש לציין כי מהלכים אלו מתווספים לשתי יוזמות ממרץ 2024, המציגות שינויים בדרכי פעילותו של פיקוד הסייבר: אישור חוק התקציב הפדראלי למחלקת ההגנה לשנה הפיסקאלית 2024,[36] המעניק לפיקוד הסייבר סמכויות מלאות בתכנון ובהקצאת המשאבים לצוותי ה-CMF וייסוד משרד עוזר מזכיר ההגנה לענייני מדיניות סייבר, בראשו עומדת אשלי מאנינג (Ashley Manning). במסגרת תפקידה, מאנינג תהיה אחראית, בין היתר, לפקח על אופני פיתוח כוח האדם המיומן במקצועות הסייבר במחלקה. הדבר עשוי להשפיע על שינויים שפיקוד הסייבר בוחן לקדם בנושא הכשרות כוח האדם. שינויים אלו אמורים לקרב את פיקוד הסייבר למבנה הקיים של ה-USSOCOM, הכולל סמכויות הכשרה ייחודיות, לצד קיומו של גורם מפקח בדמות עוזר ייעודי במחלקת ההגנה.[37]
בד בבד, ב-12 באפריל, פורסם כי סוכנות המודיעין של מחלקת ההגנה (DIA)[38] ופיקוד הסייבר מנהלים סדרת תוכניות פיילוט, להרחבת היקף איסוף וניתוח מודיעין איומי הסייבר הבסיסי עבור המחלקה. לדברי יו, הרחבת היקף המודיעין תסייע לא רק לפיקוד הסייבר אלא לכלל זרועות הצבא, מאחר והיא תתמוך באפשרות לבצע מיזוג מידע מודיעיני ממספר מקורות. במסגרת הפיילוט, תיבחן אפשרות להרחיב את היקף מודיעין איומי הסייבר באמצעות שיתוף ה-DIA בתהליך הפקתו, בעוד שכיום מרבית הפקת המודיעין נעשית על ידי פיקוד הסייבר וה-NSA.
מהלך זה עולה בקנה אחד עם אסטרטגיית הסייבר של מחלקת ההגנה מ-2023,[39] המקנה עדיפות לביצוע רפורמות שיתנו מענה לצורכי המודיעין של הגופים הפעילים במרחב הסייבר.[40]
אירופה
האיחוד האירופי
ב-10 באפריל פרסמה הסוכנות האירופית לאבטחת מידע ורשתות (ENISA) גִּרְסָה עדכנית לעֶרְכָּת AR-in-a-BOX, המאפשרת לארגונים ציבוריים ופרטיים שונים, לרבות עסקים קטנים לנסח ולהטמיע פעולות להעלאת מוּדָעוּת עובדיהם לאיומי סייבר. במסגרת פיתוח הָעֶרְכָּה, התנסו הרשות לאבטחה דיגיטלית של קפריסין (NCC-CY)[41] ומרכז התיאום הלאומי באבטחת סייבר של קפריסין (DSA),[42] בשימוש בה בתוכנית פיילוט, לבחינת יתרונותיה ושיפורים נחוצים. בגִּרְסָתָהּ החדשה, כוללת הָעֶרְכָּה משאבים לסיוע לארגונים לפתח תוכניות לשיתוף מידע עם גורמים פנימיים וחיצוניים, בעת התרחשות אירועי סייבר. מלבד זאת, בעֶרְכָּה החדשה ישנם משאבים שנמצאו גם בגִּרְסָתָהּ הקודמת שהושקה בינואר 2023,[43] בהם משאבים לפיתוח מדדי ביצוע מרכזיים (KPI),[44] להערכת יעילותן של פעולות להעלאת המוּדָעוּת לאיומי סייבר.[45]
כמו כן, ב-24 באפריל אישר הפרלמנט האירופי את הצעת חוק ה-Cyber Solidarity Act, שהציגה הנציבות האירופית באפריל 2023, לקידום היערכות האיחוד להתמודדות עם אירועי סייבר. על פי ההצעה, יוקם כוח עתודה אירופי בתחום אבטחת הסייבר,[46] שיסייע למדינות האיחוד ולמוסדותיו לתת מענה לאירועי סייבר רחבי היקף. בנוסף, מדינות המעוניינות להשתלב במערכת ההתראות היבשתית בתחום אבטחת הסייבר,[47] צריכות להקים מרכז לאומי לאבטחת סייבר שישמש מסגרת לשיתופי מידע בין המגזר הציבורי והפרטי למעקב ולהתמודדות עם אירועי סייבר.[48]
כמו כן, אישר הפרלמנט את חוק ה-2023/0108/COD, המנחה את ENISA לפתח ולפרסם סְכֵמוֹת להסמכה בתחום אבטחת הסייבר,[49] עבור ספקי שירותי אבטחה מנוהלים (MSS)[50] ממקורות חיצוניים ומוצרי טכנולוגיות ICT. שתי הצעות החוק יכנסו לתוקף בכפוף לאישורה של המועצה האירופית.[51]
נאט"ו
ב-17 באפריל הצהיר סגן עוזר המזכיר הכללי של ברית נאט"ו לענייני חדשנות וסייבר, ג'יימס אפאתוראי (James Appathurai), כי בכוונת הארגון להקים במטה הצבאי שלו בעיר מונס (Mons) שבבלגיה, מרכז משולב חדש בתחום אבטחת הסייבר (NICC).[52] המרכז החדש יפעל על פי המודל של המרכז הלאומי לאבטחת סייבר של בריטניה (NCSC), כאשר מומחי אבטחה צבאיים ואזרחיים יסייעו בהתמודדות עם איומי סייבר פוטנציאליים. במסגרת עבודתו, יספק ה-NICC למפקד העליון של בעלות הברית באירופה (SACEUR)[53] תמונת מצב בנושא השלכותיהם הביטחוניות של אירועי סייבר על הרשתות הארגוניות של נאט"ו ורשתות נוספות במדינות הברית. לדברי אפאתוראי, הקמת ה-NICC נובעת מהחזון האסטרטגי של נאט"ו מיוני 2022,[54] לפיו במרחב הסייבר מתקיים עימות תמידי בין מדינות הברית לבין גורמים עוינים. עם זאת, מבנה המרכז וסמכויותיו טרם נקבעו במלואן.[55]
גרמניה
ב-4 באפריל הכריז שר ההגנה של גרמניה, בוריס פיסטוריוס (Boris Pistorius), כי פיקוד הסייבר ומרחב המידע של צבא גרמניה (CIR)[56] ישודרג לכדי זרוע סייבר ייעודית בלתי תלויה, שתשולב תחת פיקוד הצבא, לצד זרועות היבשה, הים והאוויר. במסגרת הרפורמה, CIR יהיה אחראי על לוחמה אלקטרונית טקטית והתמודדות עם איומים היברידיים לרבות מבצעי השפעה. השינויים מהווים חלק מרפורמה מתוכננת מקיפה בצבא גרמניה, בעלות בסך של 6.5 מיליארד אירו (כ-7 מיליארד דולר) לשנת 2025, על רקע החשש מהתרחבות מלחמת רוסיה-אוקראינה לשאר יבשת אירופה.[57]
אסיה
סין
ב-19 באפריל הודיע משרד ההגנה הלאומי של סין על פירוק של חיל התמיכה האסטרטגית (SSF)[58] של צבא סין (PLA), שהוקם בשנת 2015 ופיצולו לשלוש חילות חדשים: חיל האוויר והחלל, חיל הסייבר וחיל התמיכה במרחב המידע (ISF).[59] לדברי דובר משרד ההגנה, וון קיאן (Wu Qian), פירוק ה-SSF מהווה חלק משינויים מבניים שמקדם הצבא לשיפור תפקודו, כאשר ה-ISF מיועד לסייע לצבא לשפר את ביצועיו בתחומי הלוחמה המודרנית, וכן בתחומים של פיקוד ושליטה, מודיעין ואבטחת מידע. בד בבד, חיל הסייבר החדש ירש את מחלקת מערכות הרשת שב-SSF,[60] שהיה אמון על ביצוע משימות הגנתיות והתקפיות במרחב הסייבר, בעוד שחיל האוויר והחלל יפקח על השיגורים לחלל ועל ביצוע משימות צבאיות במרחב החלל.[61]
מלזיה
ב-3 באפריל אישר הבית העליון של הפרלמנט של מלזיה (Dewan Negara) את החוק Cyber Security Bill 2024, המגדיר עקרונות חדשים לשיפור מידת אבטחת הסייבר הלאומית. החוק כולל הקמה של וועדה לאומית בתחום אבטחת הסייבר,[62] בראשה יעמוד ראש הממשלה ושתספק המלצות לממשלה ולמגזרי תשתיות חיוניות במדינה. בנוסף, מעניק החוק סמכות ליושב ראש הסוכנות הלאומית לאבטחת סייבר (NACSA) [63]להקים את המערכת הלאומית לשליטה ולתיאום באבטחת סייבר,[64] על מנת לתת מענה לאיומי ולאירועי סייבר. בד בבד, כולל החוק צעדים לשיפור מידת אבטחת הסייבר של עשרת המגזרים המוגדרים כתשתיות חיוניות: עבור כל מגזר ימונה גוף מנהל, שיגבש את עקרונות אבטחת הסייבר שיחולו על כלל הארגונים השייכים לאותו מגזר. כל גוף השייך למגזר תשתית חיונית יידרש לבצע הערכת סיכוני אבטחת סייבר בהתאם לעקרונות שיתווה הגוף המנהל וכן יידרש לדווח לו על כל אירוע סייבר שחווה. החוק אושר לאחר שב-27 במרץ הוא אושר על ידי הבית התחתון של הפרלמנט (Dewan Rakyat).[65]
סינגפור
ב-7 במאי אישרה מליאת הפרלמנט של סינגפור את התיקון לחוק אבטחת הסייבר הלאומי, Cybersecurity Act שנחקק ב-2018, לאחר שב-3 באפריל הגישה סוכנות אבטחת הסייבר הלאומית (CSA) את ההצעה לעיון המליאה.[66] על פי התיקון, בעלי תשתיות חיוניות ממגזרי הפיננסים, אספקת המים והחשמל, יידרשו לדווח ל-CSA על סוגים רבים יותר של אירועי סייבר שחוו, לרבות על פגיעה בשרשראות האספקה שלהם. בנוסף, כולל התיקון לחוק הנחיה לבעלי התשתיות החיוניות להטמיע אמצעים טכנולוגיים, כגון שירותי מחשוב ענן ונהלים ארגוניים עסקיים חדשים, על מנת לשפר את חסינות ומידת אבטחת הסייבר שלהם. בד בבד, תנסח CSA תקנות בסיסיות ומקלות יותר על שני סוגים חדשים של ארגונים שהגדירה: ארגוני תשתית דיגיטלית (FDI) וגופים בעלי עניין מיוחד באבטחת סייבר (ESCI),[67] למשל אוניברסיטאות הממלאות תפקיד לאומי ומחזיקות במידע רגיש. בניגוד לארגוני תשתיות חיוניות, ארגונים אלו לא יידרשו להגיש לעיונה של CSA דו"חות ביקורת והערכות סיכונים וכן להשתתף בתרגילי אבטחת סייבר לאומיים. לבסוף, גופים האחראיים על ניהול התשתיות הדיגיטליות בארגונים המספקים שירותים חיוניים, למשל ספקי שירותי ענן ומפעילי מרכזי נתונים, יידרשו לעמוד בכללים ובנהלי אבטחת סייבר בסיסיים וכן לדווח ל-CSA על תקריות אבטחת סייבר.[68]
הפיליפינים
ב-4 באפריל פרסם נשיא הפיליפנים, פרדיננד מרקוס ג'וניור (Ferdinand Marcos Jr), את הצו הנשיאותי Executive Order No. 58, s. 2024,[69] בנושא יישום תוכנית אבטחת הסייבר הלאומית (NCSP) לשנים 2028-2023, שפורסמה בפברואר 2024.[70] הצו מנחה את המחלקה לטכנולוגיות מידע ותקשורת (DICT)[71] להקים מערכת למעקב אחר מידת יישום האסטרטגיה על ידי משרדי הממשלה ויחידות הממשל ברמה המקומית וכן לסייע למגזר הפרטי ביישומה. בנוסף, על ה-DICT לספק לנשיא, באמצעות הוועדה הבין-משרדית הלאומית בתחום אבטחת הסייבר (NCIAC)[72] ומשרד הרשות המבצעת,[73] דו"ח דו-שנתי בנושא ההתקדמות ביישום האסטרטגיה.[74]
וייטנאם
ב-8 באפריל פרסם ראש ממשלת וייטנאם, פאם מין צ'ין (Pham Minh Chinh), את דירקטיבת Directive 33/CĐ-TTg, המנחה שרים וראשי ממשל ברמה המקומית לבצע ביקורות בתחום אבטחת הסייבר למערכות מידע המצויות בתחום סמכותם, בהתאם להנחיות שיסופקו מטעם משרד המידע והתקשורת. על גורמים אלו לדווח לראש הממשלה על תוצאות הביקורת עד ל-10 במאי 2024 וכן לספק לו דו"חות רבעוניים בנושא מצב אבטחת הסייבר. במקרה של אירוע סייבר, יידרשו גופי הממשל הלאומיים והמקומיים וכן עסקים, למלא אחר הנחיות ההתמודדות עימם לרבות בנושא הדיווח, המוגדרות על ידי צוות ה-CERT הלאומי של וייטנאם (VNCERT/CC).[75]
האוקיינוס השקט
ניו זילנד
ב-10 באפריל פורסם כי משרד המבקר הכללי של ממשלת ניו זילנד,[76] פתח בביקורת על גופי ממשל ומגזר ציבורי נבחרים בתחום ניהול סיכוני אבטחת הסייבר, על פי תכנית העבודה האסטרטגית של המשרד לשנים 2024-2023 ול-2028-2027.[77] מטרת הביקורת לבחון את מנגנוני ניהול סיכוני אבטחת הסייבר, המוכנות והתגובה הקיימים של ארגונים ציבוריים הנבדלים במאפייני פעילותם ובגודלם. בנוסף, תבחן הביקורת את מידת מוכנותם של הארגונים להתמודד עם איומים חדשים, הנובעים מעלייתן של טכנולוגיות חדשות כגון בינה מלאכותית יוצרת ומחשוב ענן. משרד המבקר עתיד להשלים את הביקורת עד לסוף שנת 2024 ולפרסם את מסקנותיה בדו"ח שיונגש בדף הבית של המשרד. דו"ח זה יכלול, בין השאר, המלצות לשיפור ניהול סיכוני הסייבר במגזר הציבורי.[78]
בטחון סייבר
ב-19 באפריל הודיעו מרכז פשיעת הסייבר של מחלקת ההגנה האמריקנית (DOD DC3)[79] והסוכנות לביטחון ולסיכול ריגול (DCSA),[80] על השקת תוכנית DIP-VDP,[81] במסגרתה יוכלו חברות קבלן ביטחוניות לשפר את מידת אבטחת הסייבר שלהן על ידי מתן היתר למומחי אבטחה חיצוניים לערוך בדיקות לגילוי חולשות אבטחה בנכסיהן הדיגיטליים. בנוסף, תאפשר התוכנית להרחיב את שיתוף המידע בין החברות אודות חולשות אבטחה וכן לתת מענה לחולשות אבטחה במערכות המידע שלהן, החשופות לאינטרנט. פעילות התוכנית עולה בקנה אחד עם האסטרטגיה לשיפור מידת אבטחת הסייבר של חברות קבלן ביטחוניות,[82] שפרסמה מחלקת ההגנה במרץ 2024.[83]
בד בבד, ב-29 באפריל נכנס לתוקפו חוק ה-PSTI,[84] שאושר בבריטניה בדצמבר 2022 העוסק בהגנה על מכשירים חכמים. על פי החוק, יצרני מכשירים חכמים בבריטניה יימנעו מלספק לצרכנים מכשירים העושים שימוש בסיסמאות ברירת מחדל (Default password). בנוסף, נדרשים יצרני המכשירים לספק ערוצי קשר, באמצעותם יוכלו צרכנים לדווח על חולשות אבטחה וכן עליהם להצהיר על פרק הזמן המינימלי, בו יינתנו עדכוני אבטחה חשובים למכשירים. החוק יחול על מגוון רחב של מכשירים חכמים, בהם טלוויזיות, טלפונים חכמים ומצלמות אבטחה.[85]
איומי סייבר על שרשראות אספקה
ב-1 באפריל פרסמו מחלקת ההגנה, ה-GSA ונאס"א עדכון לכללי הרכש הפדראליים בארה"ב (FAR).[86] במסגרת העדכון, כלל הנהלים אודות אבטחת טכנולוגיות IT ושרשראות אספקה, הנוגעים להליכי רכש פדראליים ירוכזו תחת סעיף אחד. על פי הסוכנויות, פרסום העדכון נדרש מאחר ונהלים אלו מצויים במקומות שונים במסגרת ה-FAR, מה שמקשה על הממשל הפדראלי להכיר את הנהלים וליישמם. הנהלים שיימצאו בחלק האחוד, יעסקו, בין היתר, במתן מענה לאיומים על שרשראות אספקה שמקורם במרחב הסייבר, באיומים מצד גורמים זרים ממדינות יריבותיה של ארה"ב ומטכנולוגיות חדשות.[87]
איומי מתקפות הכופרה
ב-11 באפריל הציגו נציגי בית הנבחרים האמריקני, פטריק מק'הנרי (McHenry) ובריטני פטרסן (Brittany Pettersen) את הצעת החוק הדו-מפלגתית, The Ransomware and Financial Stability Act. ההצעה מחייבת מוסדות פיננסים דוגמת בורסות וספקי שירותים טכנולוגיים למוסדות אלה, לעדכן את מחלקת האוצר לפני ביצוע תשלום של דמי כופר לתוקפים. בנוסף, אוסרת ההצעה על תשלום דמי כופר בסך של למעלה מ-100 אלף דולר ללא קבלת אישור מוקדם מגורמי אכיפת החוק, וכן נועדה לוודא כי הדיווח של ארגונים על מתקפות כופרה שחוו יישמרו בסודיות.[88]
בנוסף, ב-25 באפריל פרסמה CISA נתונים, לפיהם במסגרת יוזמת RVWP[89] להתמודדות עם איום מתקפות הכופרה, העבירה CISA במהלך שנת 2023 1,754 התראות לארגונים בענפי תשתיות חיוניות, בנושא חולשות אבטחה במערכותיהם, שעלולות להיות מנוצלות לביצוע מתקפות כופרה. מתוכן, טיפלו הארגונים ב-49% מכלל ההתראות שסופקו להם. בד בבד, הצהירה ראשת CISA, ג'יין איסטרלי (Jen Easterly), כי למעלה מ-7,000 ארגונים נרשמו להשתתפות בתוכנית הפיילוט מאז השקתה והיא צפויה לפעול בקנה מידה מלא עד לסוף שנת 2024.
כמו כן, טענה CISA כי ארגונים שנעזרו בשירות ה-Cyber Hygiene Vulnerability Scanning שלה, לאיתור חולשות אבטחה במכשירים המקושרים לאינטרנט, הצליחו לצמצם את הסיכון להיפגע ממתקפת כופרה ב-40%, ב-12 החודשים שלאחר גילוי החולשות.[90]
איומי סייבר על ענף הבריאות
ב-26 באפריל הודיעה נציבות המסחר האמריקנית הפדראלית (FTC)[91] כי ביצעה שינויים בחוק להודעה על גניבת נתונים רפואיים (HBNR),[92] הדורש מארגונים המנהלים רשומות מידע רפואי לספק מידע בנושא אירועי גניבת מידע רפואי. על פי העדכון לחוק, שייכנס לתוקף ב-25 ביוני 2024, ארגונים אלו יחויבו להודיע ל-FTC ולאזרחים שנפגעו ממנה בו זמנית על גניבות מידע שהשפיעו על 500 איש לפחות, לא יאוחר מ-60 יום לאחר גילוי הגניבה. בנוסף, החברות יידרשו לכלול בהודעות מידע חדש, כגון שמותיהם של גופים שלישיים שהשיגו גישה למידע הרפואי בעקבות אירוע האבטחה. כמו כן, ההגדרה לחברות הכפופות לחוק זה שונתה, כך שתכלול גם חברות המציעות שירותי בריאות מקוונים, למשל באמצעות יישומונים.[93]
איומי סייבר על מגזר הפיננסים
התמודדות עם איומי סייבר על מכשירי IoT
ב-9 באפריל חתמו הרשות המוניטרית של סינגפור (MAS)[94] וחברת מאסטרקארד על מִזְכָּר הַבָּנוֹת במטרה לשפר את חסינות הסייבר של מגזר השירותים הפיננסים של סינגפור. ההסכם כולל שיתוף מודיעין איומי סייבר, ניתוח סיכונים ובניית יכולות, על מנת לשפר את המוּדָעוּת המצבית, לגבש תובנות יישומיות ולשפר את יכולתם של מוסדות פיננסים להתמודד עם איומי סייבר ביעילות.[95]
בנוסף, ב-17 באפריל קיימה קבוצת מומחים בתחום אבטחת הסייבר מקרב מדינות ה-G7 (CRG),[96] תרגיל, שבחן את יכולתן של הרשויות הפיננסיות במדינות ה-G7 לתת מענה לאירועי סייבר משמעותיים, המתרחשים במוסדות פיננסיים בשטחיהן. בתרגיל השתתפו נציגים מ-23 רשויות פיננסיות, בהן בנקים מרכזיים ומשרדי אוצר וכן נציגים מהמגזר הפרטי. במהלך התרגיל נבחנו מרכיבים מוגדרים בשלבי ניהול ההתמודדות עם אירועי סייבר, כגון יישום תגובות לאירועים וחזרה לשגרה בתום התרחשותם.[97]
בנוסף, ב-29 באפריל הודיעה נציגות ברית נאט"ו באוקראינה כי המדינה נטלה לראשונה חלק בתרגיל אבטחת הסייבר השנתי הבין-לאומי של המרכז למצוינות בהגנת סייבר משותפת של הברית (CCDCOE),[98] Locked Shields 2024, שהתקיים בבירת אסטוניה, טאלין, בהשתתפות של למעלה מ-4,000 מומחי אבטחת סייבר מיותר מ-40 מדינות. במסגרת התרגיל, התמודדו המשתתפים עם תרחיש של הפצת קטעי Deepfake שכללו מידע כוזב אודות תפקוד המערכת הפיננסית העולמית, על מנת לערער את אמון האזרחים בה.[99]
מחשוב קוונטי
ב-2 באפריל הצהיר המנהל הטכני של מִינְהֶלֶת אבטחת הסייבר ב-NSA, ניל זירינג (Neil Ziring), כי בתוך שלוש עד חמש שנים, יוכלו ארגונים ממשלתיים יוכלו להיעזר ביכולות מחשוב קוונטי לביצוע משימותיהם. עם זאת, לדברי זירינג, יכולות אלו ינוהלו בתשתיות ענן ולא על בסיס תשתיות ארגוניות מקומיות (On-premise), נוכח שיקולים פרקטיים ותקציביים. בנוסף, הצהיר כי פלטפורמות הענן יוכלו לסייע לעובדים להשתמש באופן היברידי ביכולות מחשוב קלאסיות וקוונטיות למילוי משימותיהם וכי נדרש לצורך כך לבצע מחקר נוסף בתחום מעגלים קוונטיים (Quantum circuits). אולם, לדבריו, על הממשל האמריקני, האקדמיה והתעשייה לשתף ביניהם פעולה על מנת ליצור את התנאים להטמעה נרחבת של יכולות מחשוב קוונטי בעתיד.[100]
ב-10 באפריל הציגו המחוקקות האמריקניות, אליס סטפניק (Elise Stefanik) ומרשה בלקבורן (Marsha Blackburn), את הצעת החוק, Defense Quantum Acceleration Act. ההצעה מנחה את מחלקת ההגנה להקים מרכז מצוינות למדעי המידע הקוונטים ולמנות יועץ ראשי בתחום למזכיר המחלקה. במסגרת תפקידו, ינסח היועץ מפת דרכים אסטרטגית לקביעת סדרי העדיפויות של המחלקה ולמיקסום יכולותיה בתחום פיתוח טכנולוגיות קוונטיות ולטובת הטמעתה במסגרת משימות המחלקה. בנוסף, מנחה ההצעה את המחלקה לבצע הערכה עצמית של תקציב המחלקה המוקדש לתחום המחשוב הקוונטי.[101]
בנוסף, ב-11 באפריל פרסמה הנציבות האירופית מסמך,[102] הכולל המלצות למדינות האיחוד לגבש אסטרטגיה משותפת לקראת המעבר לעקרונות אבטחה מבוססי הצפנה פוסט-קוונטית, להגנה על תשתיות ממשל ותשתיות חיוניות. על פי מחברי המסמך, רצוי כי מדינות האיחוד יקימו קבוצת מִשְׁנֶה בקבוצה לשיתופי פעולה ברשתות ומערכות מידע,[103] במסגרתה תגובש אסטרטגיית מעבר להצפנה פוסט-קוונטית, שתכלול צעדים מנחים לגיבוש וליישום מפת דרכים אירופית, שתנחה בנושא הטמעת השימוש בהצפנה פוסט-קוונטית. מפת הדרכים תפורסם עד אפריל 2026 ותשמש את מדינות האיחוד לגיבוש אסטרטגיות לאומיות חדשות למעבר להצפנה פוסט-קוונטית, או להתאמת אסטרטגיות קיימות למפת הדרכים. במסגרת גיבוש מפת הדרכים, המליצה הנציבות לקבוצת המִשְׁנֶה לתאם את פעולותיה עם ברית נאט"ו ועם גופים בין-לאומיים נוספים, על מנת לוודא כי מפת הדרכים עולה בקנה אחד עם פעולותיהם במעבר להצפנה פוסט-קוונטית. לבסוף, בין ההמלצות הכלולות במסמך ניתן למצוא גם הצעה להקמת מסגרת, שתכלול מומחי אבטחת סייבר ונציגים מ-ENISA, לבחירת האלגוריתמים להטמעת הצפנה פוסט-קוונטית ברשתות האיחוד.[104]
בינה מלאכותית
ב-1 באפריל חתמו מזכירת מחלקת המסחר האמריקנית, ג'ינה ריימונדו (Gina Raimondo) ומזכירת המחלקה למדע, חדשנות וטכנולוגיה של ממשלת בריטניה (DSIT),[105] מישל דונלן (Michelle Donelan), על מִזְכָּר הַבָּנוֹת בנושא הפיתוח הבטוח של טכנולוגיית הבינה המלאכותית. על פי ההסכם, המכונים הלאומיים לבטיחות בבינה מלאכותית שהקימו שתי המדינות בעקבות הפסגה הבין-לאומית בנושא בטיחות בבינה מלאכותית שנערכה בנובמבר 2023 בבריטניה,[106] ישתפו ביניהם פעולה במספר תחומים בהם פיתוח שיטות ותשתיות משותפות להערכת מערכות בינה מלאכותית ושיתוף ידע מקצועי. תחום נוסף לשיתוף פעולה, יתמקד בחילופי צוותים ובקיום תרגיל משותף להערכת מודל בינה מלאכותית הזמין לשימוש הציבור. לבסוף, מעודד מִזְכָּר את שתי המדינות ליזום שותפויות דומות בנושא עם מדינות נוספות.[107]
בנוסף, ב-2 באפריל הצהיר מפקד כוח המשימה האמריקני, LIMA של CDAO,[108] קפטן מנואל לוגו (Manuel Lugo), כי בכוונת כוח המשימה להשיק בתאריך שטרם נקבע סביבת Sandbox שתאפשר לאנשי צבא לבחון באופן מבוקר שימושים במערכות בינה מלאכותית, לסיוע לעבודתם. בד בבד, הצהיר לוגו כי החל מזמן השקת כוח המשימה באוגוסט 2023, דן הצוות בכ-230 שימושים פוטנציאליים במערכות בינה מלאכותית לצורכי ביטחון.[109] בנוסף, הצהיר מהנדס תוכנה ומדען נתונים שב-CDAO, גלן פרהאם (Glenn Parham), כי כוח המשימה מפעיל תכנית פיילוט, במסגרתה נעשה שימוש במודלי שפה גדולים על מנת לסייע לצוותי אבטחת סייבר ברחבי המחלקה לסכם את עיקרם של אירועי אבטחה. לטענת פרהאם, השימוש במודלים מאפשר למומחים לקצר את משך הזמן שהנדרש לניתוח של כל אירוע מרכזי משעתיים, ל-15-10 דקות.[110]
במקביל, במסגרת כינוס פורום סין-אפריקה לפיתוח ולשיתוף פעולה באינטרנט שנערך בין ה-3-2 באפריל בעיר שיאמן (Xiamen), שבדרום-מזרח סין,[111] הכריזו רשות מרחב הסייבר של סין (CAC) בשיתוף עם נציבות האיחוד האפריקאי (AUC),[112] הכוללת את אלג'יריה, מצרים, סודן ומדינות נוספות, על שיתוף פעולה בתחום הבינה המלאכותית. שיתופי הפעולה יתמקדו בחמישה תחומים: (1) קידום דיאלוג משותף במגוון נושאים הקשורים למדיניות בבינה מלאכותית, לרבות במסגרות בין-לאומיות, בהן האו"ם; (2) קידום מו"פ יישומי בתחום הבינה המלאכותית, בשיתוף עם מוסדות אקדמיה ועסקים, למשל בתחומים של ניתוח נתוני עָתֵק (Big data), למידת מכונה, ועוד; (3) קידום הטמעת בינה מלאכותית במגזרי החקלאות, בריאות, חינוך ובתחומים נוספים במדינות אפריקה וסיוע לפיתוח תשתית החיונית להטמעת בינה מלאכותית כגון רשתות ומחשבים, ועוד; (4) חילופי כוח אדם להכשרתו בתחום הבינה המלאכותית ובניית יכולות באמצעות קיום הכשרות מקוונות ומקצועיות; (5) גיבוש יוזמות בתחומי אבטחת הסייבר והנתונים, בין השאר בעזרת פיתוח בינה מלאכותית בטוחה לשימוש ומנגנונים למניעת השימוש הזדוני בבינה מלאכותית לביצוע מתקפות סייבר, ועוד.[113]
לצד זאת, ב-7 באפריל הודיע ראש ממשלת קנדה, ג'סטין טרודו (Justin Trudeau), כי בכוונת ממשלתו להקצות 2.4 מיליארד דולר קנדי (1.74 מיליארד דולר) לפיתוח התשתית הלאומית בטכנולוגיית הבינה המלאכותית. מתוך סכום זה, שני מיליארד דולר (1.45 מיליארד דולר) יוקדשו לקידום תשתיות מחשוב מתוצרת מקומית במסגרת קרן AI Compute Access, על מנת לסייע לגופים עסקיים ולחוקרים להשתמש בבינה מלאכותית. כמו כן, 200 מיליון דולר (145 מיליון דולר) יוקצו להטמעת בינה מלאכותית במגזרי תשתיות חיוניות שונים כגון בריאות וחקלאות, 100 מיליון דולר (72.6 מיליון דולר) יועברו לטובת קידום השימוש בבינה מלאכותית בעסקים קטנים ו-50 מיליון דולר (36.3 מיליון דולר) יוקצו להגנה על עובדים שמקומות עבודתם עשויים להיות מושפעים מהשימוש בבינה מלאכותית, כגון מגזרי הפיננסים והעיתונות. לבסוף, בכוונת הממשלה להקצות 50 מיליון דולר נוספים להקמת המכון הקנדי לבטיחות בבינה מלאכותית,[114] לבחינת הסיכונים הכרוכים בשימוש בבינה מלאכותית ולהיערך לקראתם.[115]
בד בבד, ב-12 באפריל הכריזו בריטניה ודרום קוריאה כי בכוונתן לקיים ב-22-21 במאי 2024 בבירת דרום קוריאה, סאול, וועידת פסגה משותפת בנושא הפיתוח והשימוש הבטוחים בטכנולוגיית הבינה המלאכותית.[116] בוועידה צפויים לקחת חלק באופן ווירטואלי, ראש ממשלת בריטניה, רישי סונאק (Rishi Sunak) ונשיא דרום קוריאה, יון סוק-יאול (Yoon Suk Yeol), וכן נציגים מהתעשייה מרחבי העולם וגורמי ממשל משתי המדינות. משתתפי הוועידה ידונו בין השאר, בהרחבת שיתוף הפעולה הגלובלי בנושא השימוש הבטוח בבינה מלאכותית, בקידום חדשנות בבינה מלאכותית ובפיתוח בר-קיימא שלה. בנוסף, נציגים מתעשיית הבינה המלאכותית מרחבי העולם, צפויים לעדכן במהלכה בנושא התקדמותם במילוי התחייבויותיהם בפיתוח מודלים של בינה מלאכותית הבטוחים לשימוש, על בסיס דיוני וועידת AI Safety Summit שנערכה בנובמבר 2023 בבריטניה.[117] כמו כן, בפסגה יוצג דו"ח מדעי בין-לאומי בנושא בטיחות במודלי בינה מלאכותית מתקדמים, על מנת להאיץ את גיבוש התובנות בנושא.[118]
ב-17 באפריל הצהיר טימותי יו (Timothy Haugh), כי פיקוד הסייבר האמריקני הקים כוח משימה שיעסוק בשלוש משימות: (1) פיתוח יכולות בטכנולוגיית הבינה המלאכותית, שעשויות לסייע לפעילות התקפית והגנתית של צוותי כוח משימת הסייבר (CMF);[119] (2) הגדרת עקרונות המדיניות לשימוש בטוח ואתי בבינה מלאכותית; (3) מתן מענה לאיומי אבטחה מבוססי בינה מלאכותית. הקמת כוח המשימה נעשתה לאחר שהפיקוד ומחלקת ההגנה גיבשו מפת דרכים, המגדירה תוכנית בת חמש שנים לרכישה ולהטמעת יכולות בינה מלאכותית, לשימוש פיקוד הסייבר.[120]
יוזמה נוספת נחשפה ב-29 באפריל, עם הפרסום של CISA מסמך עקרונות, לסיוע לבעלי ומפעילי תשתיות חיוניות להיערך לסיכוני אבטחה מבוססי בינה מלאכותית, בהתאם לעקרונות הצו הנשיאותי מס' 14110 מאוקטובר 2023.[121] המסמך מגדיר את צעדי ההיערכות להתמודדות עם סיכונים אלו על בסיס עקרונות מפת הדרכים לניהול סיכוני בינה מלאכותית, שפרסם המכון הלאומי לתקנים וטכנולוגיה (NIST) בינואר 2023 (NIST AI RMF).[122]
ראשית, מנחה המסמך את הארגונים לגבש עקרונות מדיניות ונהלי עבודה, שיסייעו להם להעריך ולתת מענה לתועלות ולסיכונים הכלליים, הכרוכים בשימוש בבינה מלאכותית. לשם כך, יוכלו הארגונים לשתף פעולה עם מרכזים לשיתוף ולניתוח מודיעין (ISACs),[123] לקבלת כלים ומתודולוגיות לניהול סיכונים.
שנית, על ארגונים להעריך את הסיכונים והתועלות שבשימוש בבינה מלאכותית, בהתאם למקרי השימוש המוגדרים שלה, למשל על ידי הגדרת מערכות הבינה המלאכותית שעל פעילותן יידרש פיקוח אנושי. שלישית, על ארגונים לפתח אמצעים שיסייעו בהערכת השפעות השימוש בבינה מלאכותית, למשל על ידי בחינה תקופתית של המערכות לאיתור חולשות אבטחה ושגיאות. לבסוף, על כל ארגון לבצע תיעדוף בטיפול הסיכונים שהתגלו, למשל באמצעות ניטור התוצרים שהמערכות מפיקות, לגילוי התנהגויות חריגות.[124]
לצד היוזמות לקידום הטמעת השימוש בבינה מלאכותית בממשל ובארגונים ביטחוניים, פורסמו פרטים בנושא איומי סייבר שמקורם בבינה מלאכותית. ב-17 באפריל פרסמו חוקרים מאוניברסיטת אילינוי באורבנה-שמפיין (University of Illinois Urbana-Champaign) שבארה"ב, מחקר, שבחן את יכולתם של מודלי שפה גדולים לנצל חולשות אבטחה מסוג One-day לביצוע מתקפות. במסגרת המחקר, הזינו החוקרים לעשרה מודלי LLM תיאורים אודות 15 חולשות אבטחה, כגון אלו שנמצאו באתרי אינטרנט לרבות חולשת אבטחה קריטית, כש-14 מהן כללו תיאורים מתוך מאגר CVE,[125] לצד חולשה נוספת שתוארה במאמר אקדמי. החוקרים מצאו כי המודל GPT-4 הצליח לנצל 87% מהחולשות שהוצגו לו, כולל עבור חולשות שזוהו לאחר תאריך העדכון האחרון של המודל. הדבר מעיד על יכולותיו המתקדמות של המודל באיתור חולשות. עם זאת, כאשר התבקש המודל לנצל את החולשות שהוצגו מבלי שהוזן לו תיאור ה-CVE שלהן, הוא הצליח לנצל רק 7% מהחולשות. אולם, שאר המודלים, בהם GPT-3.5, נכשלו מלנצל את החולשות שהוצגו להם בכל מצב נתון.[126]
השפעה, הטיית דעת קהל והסתה
ב-2 באפריל פרסמה Check Point הודעת בלוג, המציגה פרטים בנושא השימוש בקטעי Deepfake במערכות בחירות שונות בעולם ב-2024-2023. על פי ההודעה, במספר מערכות בחירות נעשה שימוש בקטעי Deepfake על מנת לתמוך בהיבחרותם של מועמדים שונים, למשל על ידי הצגת תמיכה בהם מפוליטיקאים שהלכו לעולמם. בד בבד, יריבים פוליטיים וממדינות זרות הפיצו קטעי Deepfake המכפישים מועמדים פוליטיים מסוימים ואשר משכו תשומת לב מצד בוחרים לפחות בשליש מן המקרים.
עם זאת, עלה קושי לקבוע באיזו מידה הם השפיעו עליהם ועל תוצאות הבחירות. בנוסף, במדינות בעלות משטרים דמוקרטיים מתקדמים, כגון צרפת, תועדו פחות מקרי הפצה של קטעי Deepfake שמקורם בגורמים פנימיים, בהשוואה למדינות בעלות משטרים דמוקרטיים פגומים (Flawed democracies), כמו קולומביה. אף על פי כן, במקומות רבים בעולם הפצת קטעי ה-Deepfake מתאפשרת בשל העובדה שטרם גובשה חקיקה מתאימה, המגדירה את השימוש בהם כעבירה פלילית.[127]
בנוסף, ב-4 באפריל פרסם מרכז ניתוח האיומים של מיקרוסופט (MTAC)[128] הודעת בלוג ודו"ח בנושא איומי השפעה וסייבר שמקורם בסין ובצפון קוריאה, על מערכות בחירות שצפויות להיערך ברחבי העולם בשנת 2024 ועל שרשראות אספקה ונכסים דיגיטליים. על פי המחברים, מאז יוני 2023 גורמים המזוהים עם ממשלת סין מפרסמים ברשתות החברתיות פוסטים בתחומים שנויים במחלוקת בפוליטיקה הפנימית בארה"ב, על מנת לאסוף מידע מודיעיני אודות נושאים המפלגים בין בוחרים ונתונים דמוגרפיים בהקשרים של דפוסי הצבעה. בנוסף, נצפה שימוש גובר של גורמים סיניים בבינה מלאכותית יוצרת, ליצירת ולהפצת תוכן דוגמת קטעי ווידאו ואודיו במטרה להרחיב את הקיטוב בארה"ב ובמקומות נוספים, למשל בהקשרים של השריפה שהתחוללה באוגוסט 2023 באי מאווי (Maui) שבמדינת הוואי וכן בענייני הגירה ופשיעה. אולם, על פי המחברים, ניסיונות אלו כשלו ברובם. נושא מרכזי נוסף המוזכר בדו"ח, מתמקד בתחכום ובשימוש הגוברים של האקרים המזוהים עם ממשלת סין במבצעי השפעה הממוקדים כלפי חברות ביטחוניות אמריקניות ויעדים באזורי ים סין הדרומי ובדרום האוקיאנוס השקט. לקראת המשך שנת 2024, מזהירים המחברים מפני התמקדות ושכלול גוברים של מבצעי ההשפעה מצד האקרים המזוהים עם ממשלת סין נגד מערכות הבחירות שייערכו בארה"ב ובהודו.[129]
שיתופי פעולה
ב-2 באפריל חתמה CSA בשיתוף עם חברות שירותי ה-IT ואבטחת הסייבר היפניות, NTT Data ו-NTT Security, על מִזְכָּר הַבָּנוֹת על מנת לשפר את מידת אבטחת הסייבר של סינגפור. מטרת ההסכם לקדם שיתופי פעולה בין המגזר הציבורי והפרטי בתחומים של שיתוף מומחיות, טכנולוגיה ומודיעין איומי סייבר על חולשות אבטחה והונאות מקוונות לשיפור המוּדעוּת המצבית, וכן במטרה לנסח שיטות עבודה מומלצות. שיתוף הפעולה יכלול קידום מו"פ של פתרונות אבטחת סייבר וכן בטכנולוגיות חדשות, כגון בינה מלאכותית ומחשוב קוונטי. ההסכם מתבסס בחלקו על מימון בסך של עשרה מיליון דולר הניתן על ידי רשות פיתוח המדיה של סינגפור (IMDA),[130] ובשיתוף עם מוסדות השכלה גבוהה.[131]
בנוסף, ב-3 באפריל הכריזו ממשלות יפן, ארה"ב והפיליפינים כי בכוונתן לחתום על הסכם לשיתוף פעולה ולהקים ברית הגנת סייבר, כמענה לאיומים במרחב הסייבר מצד סין, רוסיה וצפון קוריאה.[132] ספציפית, ההסכם יתמקד בהיערכות להתמודדות עם איומי סייבר על תשתיות חיוניות וכן עם פשעי סייבר ויכלול נקיטת צעדים להפחתת איומי סייבר פוטנציאליים, שיתוף מידע ומודיעין איומי סייבר בין המגזר הציבורי לבין המגזר הפרטי, ועוד. בהמשך לכך, ב-11 באפריל קיימו שלושת מנהיגי המדינות, נשיא ארה"ב, ג'ו ביידן, ראש ממשלת יפן, פומיו קישידה (Fumio Kishida) ונשיא הפיליפינים, פרדיננד מארקוס (Ferdinand Marcos), פסגה מדינית לקידום שיתוף הפעולה בתחומי הביטחון והכלכלה. בפסגה שנערכה בבירת ארה"ב, וושינגטון, הסכימו המנהיגים לשתף פעולה במספר תחומים בהם בתחום טכנולוגיות IT, ביוזמת ה- RANהפתוח[133] ובהקמת דיאלוג משולש משותף לענייני מדיניות בתחומי הסייבר והטכנולוגיה.[134]
לצד שיתופי הפעולה הרב-צדדיים, נרשמה פעילות משותפת למדינות המערב באו"ם. ב-4 באפריל הובילה דרום קוריאה, בשיתוף עם ארה"ב ויפן לראשונה ישיבה שלא מן המניין של מועצת הביטחון בנושא פעילותה הזדונית של צפון קוריאה במרחב הסייבר, והשלכותיה על ביטחון ושלום העולם.[135]
הישיבה כונסה בעקבות הטלת וטו מצידה של רוסיה על חידוש פעילותו של צוות מומחים מטעם האו"ם העוקב אחר יישום משטר הסנקציות הבין-לאומי נגד צפון קוריאה. בין השאר, עסקה הישיבה בניסיונותיהם של שחקנים לא-מדינתיים ומדינות, בראשם צפון קוריאה לעקוף את החלטות מועצת הביטחון והסנקציות בעזרת פשעי סייבר. כמו כן, נדונו נושאים של איום מתקפות כופרה, גניבת מטבעות דיגיטליים, התפוצה הגוברת של תוקפים במרחב הסייבר והצורך לקדם שיתופי פעולה נוכח העלייה בתחכום האיומים. במסגרת הישיבה, הצהיר שגריר דרום קוריאה באו"ם, ג'ואנג ג'ון-קוק (Jwang Joon-kook), כי בכוונתו להציב בעתיד את תחום אבטחת הסייבר על סדר יומה הרשמי של מועצת הביטחון.[136]
Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile ↑
NIST Cybersecurity Framework 2.0; המסמך מיועד לסייע לארגונים מכלל המגזרים לשפר את מידת אבטחת הסייבר שלהם על סמך שישה עקרונות: זיהוי איומי סייבר (Identify); יישום אמצעי הגנה מפניהם (Protect); איתור וניתוח מתקפות (Detect); הטמעת צעדי תגובה (Respond); חזרה לפעילות תקינה (Recover); וגיבוש עקרונות מדיניות לניהול סיכוני אבטחת הסייבר (Govern). קישור למסמך: https://tinyurl.com/3aumcuhn ↑
https://tinyurl.com/yx866je7; קישור למסמך: https://tinyurl.com/4j56rjdk ↑
עקרון אפס האמון כולל שבעה חלקים, המציגים רכיבים שונים שנדרשת תשומת לב אליהם בתחום אבטחת הסייבר: (1) קביעת הרשאות גישה וכללי פעילות ברשתות הארגוניות של המשתמשים בהן, באמצעות וידוא זהותם וניטור דפוסי השימוש שלהם בה; (2) זיהוי המכשירים בהם נעשה שימוש על ידי העובדים ובדיקה כי נעשה שימוש במכשירים שהוענקה להם גישה לרשתות הארגון; (3) הגנה על יישומים וסביבות עבודה באמצעות ביצוע מבדקי חֲדִירוּת, שימוש בחומות אש ועוד; (4) הגישה למידע הארגוני, השימוש בו והמעבר שלו ברשתות הארגון נעשים בצורה מאובטחת. הדבר נעשה על ידי שימוש בשיטות כמו הצפנת המידע. ; (5) ההגנה על הרשתות הארגוניות נעשית באמצעות, למשל, חלוקתה למקטעים; (6) שימוש באמצעים המאפשרים לשלוט באופן מרוכז על כלל מרכיבי ארכיטקטורת אפס האמון; (7) שימוש באמצעים המאפשרים למנהלי המערכת להשיג נראות אודות הנעשה בהן ולנתח נתונים הקשורים הפעילות. ↑
Security Information and Event Management; המערכת מהווה מרכז לאיסוף מידע מרחבי הרשת הארגונית וכן מאפשרת לנהל אירועי סייבר ולבצע תעדוף של איומים. https://bit.ly/45Oyc6T ↑
Digital Rights Management; שימוש באמצעים טכנולוגיים, בדרך כלל קודים מוגדרים מראש, המאפשרים לבעלי תוכן המוגן בזכויות יוצרים להגביל את גישתם של גורמים אחרים אליו. זאת, למשל, באמצעות הגבלת מספר המכשירים שיכולים לקבל גישה אליו. https://tinyurl.com/2p84fen2 ↑
Data Loss Prevention; מערכת המאפשרת לאתר ולמנוע אירועים של גניבה, הדלפה וניצול לרעה של מידע המצוי במערכות הארגון. https://bit.ly/3qQbBrT ↑
https://tinyurl.com/56569fbs; קישור למסמך: https://tinyurl.com/2eeeuvpr ↑
קישור למסמך: https://tinyurl.com/yckbcrbj ↑
General Services Administration ↑
https://tinyurl.com/2fzykkc7. קישור להצעת החוק: https://tinyurl.com/6hay5x8k ↑
Cloud-based command-and-control, הינה פלטפורמה שהושקה באוקטובר 2023 במסגרת פיקוד ההגנה האווירי של צפון אמריקה (North American Aerospace Defense Command) לשיפור המוּדעוּת המצבית ותהליכי קבלת ההחלטות של מפקדים. השימוש בפלטפורמה נעשה כחלק ממערכת JADC2 ומיועד להתרחב בעתיד. ↑
https://tinyurl.com/45mcjybw ; https://tinyurl.com/yxkhtm72 ↑
Minimum viable product ↑
Joint All-Domain Command and Control ↑
https://tinyurl.com/mrx234r3; https://tinyurl.com/2dnw3k4w; https://tinyurl.com/3vura9c5 ↑
האסטרטגיה כוללת ארבע מטרות: (1) קידום תרבות ארגונית, המבינה את חשיבות עקרון אפס האמון ומקדמת אותו; (2) שילוב עקרונות אפס האמון במערכות המידע של הארגון; (3) הטמעת פיתוחים טכנולוגיים נחוצים לשם מיזוג העקרונות בארכיטקטורת הרשת של המחלקה לצד קידום חדשנות; (4) התאמת תהליכי המחלקה, הרכש והמימון למטרת הטמעת אפס האמון. קישור למסמך האסטרטגיה: https://bit.ly/3XE1XnV ↑
Zero Trust Portfolio Management Office ↑
הטמעת הטכנולוגיה החדשה והשימוש ביכולות הענן מוגדרות בתור שלוש דרכי פעולה (course of action) הנחוצות ליישום הטמעת אפס האמון במחלקת ההגנה. לפירוט אודות דרכי הפעולה: https://tinyurl.com/4e6xmkxf ↑
Identity, Credential, and Access Management. ↑
Joint Warfighting Cloud Capability ↑
Program Executive Office for Command, Control and Communications-Tactical; משרד האחראי על פיתוח רשתות ויישומי תקשורת, סייבר ופיקוד מתקדמים. https://bit.ly/468kdtd ↑
Tactical-Identity Credential and Access Management ↑
https://tinyurl.com/vcv4vr2d; https://tinyurl.com/55usrxvk ↑
The Department of Defense's Chief Digital and Artificial Intelligence Office ↑
Responsible AI Toolkit. קישור לעֶרְכָּה: https://tinyurl.com/mwsmdek9 ↑
מחלקת ההגנה פרסמה את הדירקטיבה בינואר 2023 במטרה להסדיר את הפיתוח והשימוש ביכולות אוטונומיות במערכות נשק. קישור למסמך הדירקטיבה: https://tinyurl.com/4k5jszbr ↑
The Responsible AI Strategy and Implementation Pathway; קישור למסמך האסטרטגיה: https://tinyurl.com/3kbrwzu6 ↑
Cyber Mission Force teams ↑
United States Special Operations Command ↑
Joint Force Headquarters-Department of Defense Information Networks ↑
https://tinyurl.com/mtefjrhe; https://tinyurl.com/2ueks8wb ↑
Defense Fiscal Year 2024 Appropriations Bill ↑
https://tinyurl.com/468netj2; https://tinyurl.com/4zsdzdbv ↑
Defense Intelligence Agency ↑
על פי סקירה בלתי מסווגת של האסטרטגיה שפורסמה בספטמבר 2023, מטרתה לבסס את יתרונה של ארה"ב, תוך בניית יכולות סייבר התקפיות והגנתיות בשיתוף עם בעלות בריתה. קישור למסמך האסטרטגיה: https://tinyurl.com/3rf7svat ↑
Digital Security Authority; סוכנות ממשלתית הפועלת תחת נציב התקשורת, האחראית, בין השאר, על נושא שיפור הגנת הסייבר על תשתיות חיוניות במדינה, באמצעות יישום דירקטיבת NIS. https://tinyurl.com/4s4n4m9n ↑
National Coordination Centre for Cybersecurity; סוכנות ממשלתית האחראית על שיפור מידת אבטחת הסייבר במדינה, למשל באמצעות קידום המחקר בתחום אבטחת הסייבר וקידום שיתופי פעולה בין המגזר הפרטי לבין האקדמיה. https://tinyurl.com/3zt2xtb2 ↑
Key Performance Indicators ↑
תוכניות אלו כוללות, בדרך כלל, פרטים אודות סוגי האירועים המצריכים דיווח לגורמים חיצוניים, סוג המידע שיש לספק וערוצי התקשורת דרכם יועבר המידע. https://tinyurl.com/3vkuev68. https://tinyurl.com/9k46d8vb ; קישור לעֶרְכָּה: https://tinyurl.com/yw4my5ma ↑
EU Cybersecurity Reserve ↑
Cybersecurity Alert System ↑
National Cyber Hub ↑
EU cybersecurity certification schemes ↑
Managed security services ↑
https://tinyurl.com/2xuzn69b; קישור להצעת חוק ה-Cyber Solidarity Act: https://tinyurl.com/27r2yrp6; קישור להצעת חוק ה-2023/0108/COD: https://tinyurl.com/bddnahcy ↑
NATO Integrated Cyber Centre ↑
Supreme Allied Commander Europe; קצין המפקד על כוחות נאט"ו באירופה. בדרך כלל, המפקד העליון הוא גם מפקד פיקוד המרכז של צבא ארה"ב. https://tinyurl.com/mr466spp ↑
NATO 2022 Strategic Concept; החזון מציג את עקרונות הפעולה של הארגון לתקופה של עשר שנים. קישור למסמך האסטרטגיה: https://tinyurl.com/7mthdhfm ↑
German Cyber and Information Domain Service ↑
https://tinyurl.com/5n7trr5f ; https://tinyurl.com/s3xmj7an ; https://tinyurl.com/yc5k7su2 ↑
Strategic Support Force ↑
The Aerospace Force, the Cyberspace Force, the Information Support Force ↑
Network Systems Department ↑
https://tinyurl.com/55ypzptt; https://tinyurl.com/2f5th594; https://tinyurl.com/3jmcsnk2 ↑
National Cyber Security Committee ↑
Malaysia's National Cyber Security Agency ↑
National Cyber Coordination and Command Centre system ↑
https://tinyurl.com/y6wv2kr8; https://tinyurl.com/4swbzdje; https://tinyurl.com/34rw45zp ↑
החוק המקורי נחקק ב-2018 ומתמקד בארבעה תחומים: (1) הגנה על תשתיות מידע חיוניות מפני תקיפות סייבר; (2) פיתוח תכניות למניעה ולתגובה לאיומי ולאירועי סייבר; (3) שיתוף מידע בתחום אבטחת הסייבר; (4) הקמת מסגרת לעמידה של ספקי שירותים בתקן אבטחת סייבר. https://tinyurl.com/3nh6hk42 ↑
Foundational Digital Infrastructure ו-Entities of Special Cybersecurity Interest. ↑
https://tinyurl.com/bd84wscu ; https://tinyurl.com/9y4txjn2. קישור לתיקון ההצעה במלואה: https://tinyurl.com/yc473527 ↑
Adopting the National Cybersecurity Plan 2023-2028, and Directing the Implementation Thereof ↑
National Cybersecurity Plan 2023-2028; התוכנית כוללת שלוש מטרות מרכזיות: שיפור ההגנה על אזרחים ותשתיות במדינה (למשל באמצעות הרחבת שיתופי פעולה בינלאומיים בתחום אבטחת הסייבר); הרחבת היקף כוח האדם המיומן בתחום אבטחת הסייבר; שיפור עקרונות מדיניות בתחום אבטחת הסייבר (למשל על ידי חקיקת חוק להגדרת עקרונות וולונטריים להגנה על מכשירי IoT). קישור למסמך האסטרטגיה: https://tinyurl.com/mr3sbnuw ↑
Department of Information and Communications Technology ↑
National Cybersecurity Inter-Agency Committee; וועדה ממשלתית האחראית על שיפור מידת אבטחת הסייבר הלאומית, בין השאר על ידי פרסום מידע על חולשות אבטחה וקידום שיתופי פעולה בין המגזר הציבורי לבין המגזר הפרטי. https://tinyurl.com/zcat7z6j ↑
Office of the Executive Secretary ↑
https://tinyurl.com/ycyxvbdt ; קישור לצו: https://tinyurl.com/4akefmup ↑
Vietnam Cybersecurity Emergency Response Teams/Coordination Centre; מרכז שהוקם ב-2019 על מנת לבחון את אבטחת המידע ברמה הלאומית ולתאם תגובות לאירועי סייבר. https://tinyurl.com/mszwuyvw. https://tinyurl.com/2kb2ykkk; https://tinyurl.com/bdd6zf4a ↑
New Zealand Office of the Auditor-General. ↑
קישור לאסטרטגיה: https://tinyurl.com/y2u7z626 ↑
Department of Defense Cyber Crime Center ↑
Defense Counterintelligence and Security Agency ↑
Defense Industrial Base Vulnerability Disclosure Program ↑
Defense Industrial Base Cybersecurity Strategy 2024; האסטרטגיה מיועדת לשפר את מידת אבטחת החברות באמצעות הרחבת שיתופי הפעולה שלהן עם גופי ממשל פדראליים אזרחיים וצבאיים, בניהול סיכוני אבטחת סייבר ובהתמודדות עם אירועי סייבר. קישור למסמך: https://tinyurl.com/4yezrch2 ↑
https://tinyurl.com/muuu4y8j; https://tinyurl.com/yc3z62ch ↑
Product Security and Telecommunications Infrastructure act ↑
https://tinyurl.com/5n73jfxj; https://tinyurl.com/2djhhc53 ↑
Federal Acquisition Regulation; מערכת הכללים הקובעת את כללי הרכש המחייבים סוכנויות ממשל אזרחיות וצבאיות בארה"ב. ↑
.https://tinyurl.com/yp66d7ueקישור להצעה: https://tinyurl.com/mv7fddyt ↑
Ransomware Vulnerability Warning Pilot; CISA השיקה את התוכנית בינואר 2023 כתוכנית פיילוט, על מנת לסייע לארגוני תשתיות חיוניות לצמצם סיכוני אבטחה בעקבות מתקפות כופרה. ↑
https://tinyurl.com/y4dksezs; https://tinyurl.com/2xaw6rt2 ↑
Federal Trade Commission ↑
Health Breach Notification Rule; הקונגרס העניק ל-FTC סמכות לחוקק את החוק לראשונה בשנת 2009. ↑
https://tinyurl.com/2wah4np5; https://tinyurl.com/24tj4eth ↑
The Monetary Authority of Singapore ↑
https://tinyurl.com/ms38f9ws; https://tinyurl.com/2hbv3ezx ↑
G7 Cyber Expert Group ↑
NATO’s Cooperative Cyber Defense Centre of Excellence ↑
https://tinyurl.com/yjrfrxfx; https://tinyurl.com/yj4ax68k ↑
https://tinyurl.com/4dc7j9hc ; https://tinyurl.com/2xc5jydy ; https://tinyurl.com/85z3snmn ↑
https://tinyurl.com/bde78zwy; https://tinyurl.com/jemd4y9d. קישור להצעת החוק: https://tinyurl.com/44ba6dkp ↑
Commission Recommendation on a Coordinated Implementation Roadmap for the transition to Post-Quantum Cryptography ↑
The Network and Information Systems Cooperation Group; קבוצה שנוסדה בעקבות פרסום דירקטיבת NIS העוסקת בשיפור מידת האבטחה של רשתות ומערכות מידע באיחוד האירופי. ↑
https://tinyurl.com/4enr5uby; קישור למסמך ההמלצות: https://tinyurl.com/yc23cr3n ↑
Department for Science, Innovation and Technology ↑
AI Safety Summit. וועידה שנערכה ב-2-1 בנובמבר 2023 בהובלת ממשלת בריטניה, לקידום חמש מטרות: (1) הבנת הסכנות הגלומות בשימוש בבינה מלאכותית מתקדמת וקידום פעילות להתמודדות עימן; (2) קידום שיתוף פעולה בין-לאומי לשימוש הבטוח בבינה מלאכותית, למשל באמצעות שיפור מסגרות מדיניות לאומיות ובין-לאומיות בנושא; (3) דיון בצעדים שעל ארגונים לנקוט באופן עצמאי לשם קידום שימוש בטוח; (4) זיהוי אזורים לשיתופי פעולה אפשריים במחקר בנושא בינה מלאכותית; (5) המחשת חשיבות פיתוח בטוח של בינה מלאכותית לשימוש בה לטובת האנושות. ↑
https://bit.ly/3SqTd4a ; https://tinyurl.com/bhuptnx6 ; https://tinyurl.com/4vnm8uvd ; https://tinyurl.com/2p8mtme9. ↑
כוח המשימה הוקם על ידי CDAO באוגוסט 2023 על מנת לסייע למחלקה ללמוד כיצד להשתמש באופן אחראי ב-LLM, לקבוע מצבים בהם מומלץ שלא להשתמש בהם על רקע סיכונים שונים, למשל בהקשר של השימוש בנשק קטלני, וכן לחקור כיצד מדינות, דוגמת סין, עשויות להשתמש בטכנולוגיות אלו על מנת לפגוע בארה"ב. https://bit.ly/3KB0F8o ; https://bit.ly/3KFtXT3 ↑
China-Africa Internet Development and Cooperation Forum. הפורום בהשתתפות של כ-400 נציגים מסין וממדינות אפריקה מקדם שיתופי פעולה בנושאים של כלכלה, שיתופי פעולה באינטרנט, בתחום אבטחת הסייבר ובבינה מלאכותית. ↑
The African Union Commission. הרשות המבצעית של האיחוד האפריקאי, המתמקדת בתחום המדיניות ומקום מושבה בבירת אתיופיה, אדיס אבבה. ↑
https://tinyurl.com/mppzxchs ; https://tinyurl.com/amj8scvc. ↑
Canadian AI Safety Institute ↑
AI Seoul Summit. ↑
AI Safety Summit. https://bit.ly/3SqTd4a. ↑
https://tinyurl.com/bde4n5km ; https://tinyurl.com/yzkrd7c6 ↑
Cyber Mission Force teams ↑
מפת הדרכים גובשה בספטמבר 2023 בעקבות דרישה של הקונגרס כחלק מחוק ה-NDAA לשנה הפיסקאלית 2023. https://tinyurl.com/22ccwtk7 . https://tinyurl.com/nhzcsvbx ↑
Executive Order on the Safe Secure, and Trustworthy Development and Use of Artificial Intelligence; הצו מציג עקרונות והנחיות לפיתוח והשימוש הבטוחים בבינה המלאכותית, ומנחה סוכנויות ממשל פדראליות ליישם צעדים שונים על מנת למלא אחר עקרונותיו. קישור לצו: https://tinyurl.com/7uup4pdz ↑
NIST AI Risk Management Framework; המסמך כולל ארבעה עקרונות לניהול סיכונים הנובעים משימוש בבינה מלאכותית: קביעת עקרונות התמודדות (govern); מיפוי סיכונים ספציפיים הקשורים לבינה מלאכותית (map); קביעת אמצעים למדידת ולהערכת סיכוני אבטחה (measure); הקצאת המשאבים להתמודדות עם הסיכונים שאותרו (manage). קישור למסמך: https://tinyurl.com/mw6bn7f3 ↑
Information Sharing and Analysis Centers; ארגונים ללא כוונת רווח, המהווים מקור מרכזי למודיעין איומי סייבר, בדרך כלל על תשתיות חיוניות וכן מהווים פלטפורמה לשיתופו בין המגזר הציבורי לפרטי. https://tinyurl.com/5n8pzrd9 ↑
https://tinyurl.com/bdfxkbkt ; קישור למסמך העקרונות: https://tinyurl.com/48dhyj6z ↑
Common Vulnerabilities and Exposures; מאגר חולשות אבטחה המנוהל על ידי תאגיד MITRE. ↑
https://tinyurl.com/rkka4tc5; קישור למחקר: https://tinyurl.com/3vap3z7u ↑
Microsoft Threat Analysis Center ↑
https://tinyurl.com/58jj4cy3. קישור לדו"ח: https://tinyurl.com/2brhm24c ↑
Infocomm Media Development Authority ↑
https://tinyurl.com/4k6wte92 ; https://tinyurl.com/2s39dxpk. ↑
Cyber Defense Alliance Against Cyberattacks. ↑
Open Radio Access Network . ה-O-RAN היא יוזמה של קבוצת חברות התקשורת המובילות בעולם, ומטרתה לפתח ארכיטקטורה וממשקים פתוחים עבור רשת ה-RAN שתאפשר לחברות ולשחקנים חדשים להיכנס לשוק ולמפעילי הרשתות להסתמך על מספר רב יותר של ספקים. ↑
Japan-U.S.-Philippines Cyber and Digital Dialogue. https://tinyurl.com/3unad3um ; https://tinyurl.com/4a5vr49r ; https://tinyurl.com/47uhx2vz ; https://tinyurl.com/mr2k2sm3. ↑
Evolving Cyber Threat Landscape and Its Implications for the Maintenance of International Peace and Security . ↑
https://tinyurl.com/39hjd5wx ; https://tinyurl.com/5dcjpy99. ↑