יוני 2024
דו"ח מדיניות וביטחון סייבר
תוכן עניינים
אישור חוק ה-NDAA לשנה הפיסקאלית 2025 9
איומי סייבר על תשתיות חיוניות 17
איומי סייבר על מגזר הפיננסים 19
תקציר חודשי
הממשל האמריקני השיק יוזמה בשיתוף עם מיקרוסופט וגוגל להקצאת משאבי אבטחת סייבר לבתי חולים באזורים כפריים, בעוד שהמחלקה לביטחון המולדת (DHS) פרסמה תוכנית אסטרטגית לשנים 2025-2024 להגנה על תשתיות חיוניות מאיומים, בהם איומי סייבר; בנוסף, פיקוד הסייבר הקים כוח משימה להטמעת השימוש בטכנולוגיית הבינה המלאכותית בשורותיו, בעוד שמחלקת חיל האוויר ומעבדת המחקר של חיל האוויר (AFRL) השיקו פלטפורמת בינה מלאכותית יוצרת, לייעול ביצוע משימות המחלקה השוטפות.
הסוכנות האירופית לאבטחת מידע ורשתות (ENISA) קיימה את תרגיל אבטחת הסייבר הדו-שנתי Cyber Europe, שהתמקד בהגנה על מגזר האנרגיה מאיומי סייבר; המועצה הלאומית של מפקדי המשטרה בבריטניה (NPCC) פרסמה אסטרטגיה לשנים 2026-2024, לשיפור מידת אבטחת הסייבר על מערכות ותשתיות המשטרה הלאומית; המרכז הנורווגי לחסינות סייבר במגזר הימי (NORMA Cyber) ירחיב את היקף הארגונים ממגזר הימאות הנמנים על שורותיו, בעיקר ממדינות סקנדינביה כגון פינלנד ושוודיה.
בסין פורסם כי מעבדות מחקר מאוניברסיטה צבאית במדינה השיקו מערכת בינה מלאכותית, המסוגלת לדמות קבלת החלטות אנושית בניהול סימולציות ומשחקי מלחמה; טאיוואן השיקה מרכז אבטחת סייבר חדש בשיתוף עם Cisco לקידום שיתוף מודיעין איומי הסייבר ולהכשרת כוח אדם המיומן במקצועות אבטחת הסייבר; ביפן פורסם כי עד לסתיו 2024 יפיק צוות מומחים דו"ח לקידום יכולות הגנת הסייבר האקטיבית הלאומית, שישמש מצע לחקיקה בנושא; סוכנות הביון של דרום קוריאה (NIS) תקים גוף מייעץ להתמודדות עם איומי סייבר על נכסי חלל; כמו כן, צוות ה-CERT הלאומי של הודו חתם על הסכם עם חברת האשראי MasterCard, לקידום שיתוף מודיעין איומי הסייבר ומידע בנושא חולשות אבטחה במגזר הפיננסים ולהכשרת מומחים בתחום; במקביל, פורסם כי בכוונת מועצת אבטחת הסייבר של איחוד האמירויות הערביות (CSC) להשיק קורס בשם Ethical Hacker, להכשרת כוח אדם לגילוי ולהפחתה פרו-אקטיביים של איומי סייבר.
מיקרוסופט וגוגל פרסמו פרטים אודות מתקפות סייבר ומבצעי השפעה שנצפו מצד סין, רוסיה, איראן וצפון קוריאה, לקראת המשחקים האולימפיים שייפתחו ב-26 ביולי 2024 בפריז, והתריעו מעלייה הצפויה בהיקפם ומהשתכללותם; בתחום טכנולוגיית הבינה המלאכותית, השיקה ממשלת ספרד מועצה מייעצת שתפעל לזהות מגמות, אתגרים והזדמנויות בשימוש בטכנולוגיה זו, וכן הקימה רשות מפקחת (AESIA), שתקדם הטמעה אחראית של בינה מלאכותית במדינה. בנוסף, פורסם כי קרן החדשנות של ברית נאט"ו (NIF) השקיעה כמיליארד אירו (1.07 מיליארד דולר) לטיפוח חדשנות טכנולוגית בבינה מלאכותית, ברובוטיקה ובייצור.
ארה"ב
ממשל, אסטרטגיה ומדיניות
ב-4 ביוני פרסם משרד ראש הסייבר הלאומי (ONCD) מסמך,[1] הכולל 86 תגובות שהגישו מוסדות מחקר, נציגי תשתיות חיוניות, אגודות מסחר וגופים נוספים, לבקשת קבלת מידע שפרסם ה-ONCD ביולי 2023 בנושא הליכים לניסוח רגולציה פדראלית אחידה בתחום אבטחת הסייבר.[2] על פי המחברים, חלק מהמגיבים המליצו ל-ONCD לאמץ מסגרת לניהול סיכוני אבטחת סייבר, על בסיס המסגרת לאבטחת סייבר (CSF)[3] של המכון הלאומי לתקנים וטכנולוגיה (NIST). משיבים אחרים, המליצו לחזק את שרשראות האספקה הטכנולוגיות של תשתיות חיוניות, באמצעות החלת עקרונות אבטחת סייבר על חברות ICT הדומים לעקרונות החלים על ארגוני תשתיות חיוניות, ועוד.[4]
ב-5 ביוני, אישרה וועדת הייעוץ לענייני אבטחת סייבר (CSAC)[5] של הסוכנות לאבטחת סייבר ותשתיות (CISA), המלצות לשיפור פעילות הארגון המשותף לשיתוף פעולה בתחום הגנת הסייבר JCDC) ).[6] ראשית, המליצה ה-CSAC כי ה-JCDC יתמקד בקידום שיתופי פעולה מבצעיים בהגנת סייבר בין הגופים המעורבים בו, למשל באמצעות תיאום תוכניות משותפות. שנית, הציעה ה-CSAC להגדיר עקרונות להצטרפות ולהשתתפות בפעולות ה-JCDC. לבסוף, על ה-JCDC להעמיק את שיתוף הפעולה בין המגזר הציבורי לפרטי באבטחת סייבר, למשל דרך קיום תרגיל תקופתי. לקחי התרגיל מיועדים לסייע לו לשפר את יכולתו לתאם בין מגזרים אלו, על מנת לתת מענה לדרישות ממוקדות של ארגונים העולות בתחום אבטחת הסייבר.[7]
ב-10 ביוני פרסם משרד המבקר הממשלתי (GAO) מסמך, המציג את טיפול מחלקת התחבורה ב-20 המלצות שהוצגו בדו"חות GAO מהעבר.[8] על פי המחברים, שלוש מבין ההמלצות בתחום אבטחת הסייבר, טרם יושמו במלואן.
ההמלצה הראשונה מקדמת פרסום של אסטרטגיית אבטחת סייבר מחלקתית, כשעל פי המחלקה, האסטרטגיה צפויה להתפרסם עד לסוף ספטמבר 2024. שנית, המחלקה יישמה שלוש משמונה הפעולות שהמליץ ה-GAO להתמודדות עם המחסור בכוח האדם המתמחה בתחום מערכות IT, למשל הגדרת היקפי האיוש הנחוצים. לבסוף, צפויה המחלקה להשלים בקיץ 2024 גיבוש של תוכנית, שתגדיר כיצד מנהל הפרטיות הראשי של המחלקה (DOT CPO)[9] יהיה אחראי להעסקת מומחים לאבטחת הפרטיות במשרד מזכיר המחלקה.[10]
בנוסף לדו"ח הביקורת, ב-10 ביוני הכריז הבית הלבן על יוזמה במסגרתה תספק מיקרוסופט לבתי חולים באזורים כפריים מענקים חינמיים או משאבים בתחום אבטחת הסייבר בהנחה של עד 75% מעלותם המקורית. כחלק מהיוזמה בשם Cybersecurity Program for Rural Hospitals, תבצע מיקרוסופט בין היתר הערכות אבטחת סייבר חינמיות מצד ספקי שירותי טכנולוגיה וכן הכשרות ללא עלות לצוותים רפואיים ולצוותי IT בבתי החולים הכפריים. בד בבד, תייעץ גוגל לבתי החולים בנושא אבטחת נקודות קצה ותגבש תוכנית פיילוט לפיתוח יכולות אבטחת סייבר בהתאם לצורכיהם הייחודיים של בתי החולים.[11]
דו"ח נוסף פרסם ב-25 ביוני ה-ONCD,[12] בנושא התקדמות הממשל הפדראלי, המגזר הפרטי והחברה האזרחית ביישום האסטרטגיה הלאומית לטיפוח כוח האדם המיומן במקצועות הסייבר (NCWES),[13] שהשיק הבית הלבן ביולי 2023. על פי המחברים, בנובמבר 2023 הקים ה-ONCD את קבוצת העבודה לחינוך וכוח אדם מיומן בסייבר (WG-CWE)[14] ואת קבוצת העבודה לפיתוח כישורי סייבר וּמוּדָעוּת (WG-CSA),[15] לקידום שיתוף הפעולה בין סוכנויות פדראליות בניסוח שיטות עבודה מומלצות ליישום יעדי ה-NCWES. בד בבד, סוכנויות ממשל פדראליות הנמנות על קבוצת העבודה לטיפוח כוח אדם פדראלי באבטחת סייבר (FCWWG)[16] החלו לגבש פתרונות להסרת חסמים בגיוס כוח אדם מיומן לממשל הפדראלי, כגון יצירת התאמה בין מסגרות שונות להעסקת כוח אדם.[17]
לצד הדו"חות, ב-26 ביוני פרסם NIST לתגובות הציבור טיוטת מסמך,[18] לסיוע לממשלת ארה"ב לגבש תוכנית ליישום האסטרטגיה הלאומית בנושא טכנולוגיות חדשות וחיוניות ממאי 2023 (USG NSSCET).[19] בין השאר, מנחים מחברי המסמך את הממשל לגבש עם בעלי בריתו מנגנונים לשיתוף מידע על פעולות ברחבי העולם, לפיתוח תקנים לשימוש בטכנולוגיות מפציעות, וכן לכלול בהסכמים מדעיים בין-לאומיים עם מדינות פעולות ליצירת התאמה במיזמי מחקר בטכנולוגיות חדשות, שעשויות להוביל לגיבוש תקנים חדשים לשימוש בהן.[20]
לבסוף, בשלהי החודש הודיעה מחלקת המסחר כי תרחיב את האיסור משנת 2017 על Kaspersky למכור את מוצריה מעבר למפעילי תשתיות חיוניות וגופי ממשל לכלל הצרכנים בארה"ב, בשל קשריה לכאורה לממשלת רוסיה.[21]
צבא וביטחון
כחלק מיישום חוק ה-NDAA לשנה הפיסקאלית 2024, שאושר בדצמבר 2023, ב-2 ביוני נטל פיקוד הסייבר של צבא היבשה (ARCYBER)[22] מידי חיל האוויר את האחריות על הסוכנות לתמיכה בפיקוד הלוחם (CCSA),[23] המעניקה תמיכה לוגיסטית ומנהלתית ל-11 הפיקודים הלוחמים שבכוחות המזויינים, לרבות פיקוד הסייבר (USCYBERCOM). במסגרת השינוי, יגדל היקף כוח האדם שב-CCSA מ-350 ל-700 עובדים אזרחיים, על מנת לסייע לתפקודם השוטף של פיקוד הסייבר והפיקודים הנוספים.[24]
ב-4 ביוני פרסם משרד מנהל מערכות המידע של מחלקת ההגנה (DoD CIO)[25] מפת דרכים,[26] לסיוע למחלקה לממש יעדים מהצו הנשיאותי ממאי 2021 לשיפור מידת אבטחת הסייבר בממשל הפדראלי, בנושא הטמעת עקרונות אפס האמון (Zero-Trust) ברשתותיו.[27]
במסמך מפורטים אמצעי בקרת האבטחה שעל המחלקה להטמיע בתהליך היישום של שבעת מרכיבי עקרונות אפס האמון.[28] אחד מהאמצעים ליישום עיקרון הרשתות והסביבות ((Network & Environment, למשל, הוא הטמעת יכולות מיפוי זרימת נתונים ברשתות ארגוניות (Data Flow Mapping), במטרה לוודא יישום של בקרות גישה למידע ולחלק את הרשתות למקטעים (Segmentation).[29]
ב-5 ביוני פרסם תת-מזכיר מחלקת ההגנה לענייני כוח אדם ומוּכָנוֹת (USD(P&R))[30] בפועל, אשיש וזיראני (Ashish Vazirani), מִזְכָּר בנושא הערכת יכולתו של הכוח המשותף של צבא ארה"ב (Joint force)[31] לבצע משימות לוחמה אל מול אתגרים שונים במרחב הסייבר. על פי המִזְכָּר, על יושב ראש המטות המשולבים לעדכן את הדוקטרינה הצבאית המשותפת בשיתוף עם מזכירי המחלקות של הזרועות הצבאיות במחלקת ההגנה ומפקדי הפיקודים הצבאיים. עליה לכלול התייחסות לשאלת יכולת הצבא להשיג את מטרותיו במרחב הסייבר בתנאי לוחמה מאתגרים. כמו כן, על לשכת המשמר הלאומי (NGB)[32] לפעול בשיתוף עם מזכירי המחלקות ויושב ראש המטות המשולבים להטמעת תרחישים לביצוע משימות לוחמת סייבר מאתגרות בתרגילים צבאיים, ועוד.[33]
שינוי מבני ותשתיתי נוסף שקידמה מערכת הביטחון האמריקנית, התבטא ב-5 ביוני עם הודעת פיקוד הסייבר כי בכוונתו למזג לפחות חלק משש סביבות פיתוח התוכנה (Software factories) של חילות האוויר והיבשה שבארכיטקטורת לוחמת הסייבר המשותפת (JCWA),[34] ולהקים משרד שיפקח על הסביבה המאוחדת. המהלך יקודם על רקע ההנחה כי ככל שישנן פחות מערכות במסגרת סביבת פיתוח התוכנה, כך ניתן לצמצם את היקף חולשות האבטחה הפוטנציאליות שתוקפים עלולים לנצל.[35]
במקביל, ב-18 ביוני פורסם כי בכוונת צבא היבשה להשיק ביולי 2024 תוכנית פיילוט להטמעת כלי בינה מלאכותית יוצרת בפעילות יחידת הרכש, הלוגיסטיקה והטכנולוגיה שלו (ALT), כגון למטרת ניסוח חוזים.[36]
במסגרת התוכנית, תופעל סביבת ענן בטוחה ברמת סיווג 5IL ,[37] המסוגלת לאחסן ולעבד מידע לא מסווג מבוקר (CUI)[38] השייך לצבא. תוכנית הפיילוט תושק לפי יוזמת Defend AI שהוכרזה במאי 2024, לשילוב בטוח של יכולות בינה מלאכותית מסחריות במערכות הצבא ומחלקת ההגנה, ולייעול תהליכי קבלת החלטות.[39]
ליוזמות אלו נוספות מספר תוכניות של מערכת הביטחון האמריקנית להטמעת הבינה המלאכותית בשורותיה וביחידות הצבא. כך למשל, בתחילת החודש חתמו המשרד לענייני בינה מלאכותית ומידע של מחלקת ההגנה (CDAO)[40] ויחידת החדשנות (DIU)[41] על מִזְכָּר הבנות אודות שיתופי פעולה בין הגופים לקידום הטמעת השימוש בבינה מלאכותית וביכולות טכנולוגיות מתקדמות נוספות. במסגרת זו, יתמקדו שני הגופים, בין השאר, בבחינת טכנולוגיות חדשות עבור המערכת המשולבת לפיקוד ולשליטה רב-ממדיים (CJADC2),[42] בהטמעת מערכות בינה מלאכותית מסחריות במחלקה ובגיבוש עקרונות מדיניות מחלקתיים להאצת תהליכים אלו.[43]
יוזמה נוספת בהקשר זה, השיקה המחלקה לבינה מלאכותית אחראית (RAI)[44] שב-CDAO עם הפרסום של הצעה לבחירת גורם מהמגזר הפרטי, שיסייע בקידום עקרונות מדיניות לשימוש אחראי בבינה מלאכותית במחלקה. הגורם הנבחר יבחן את המנגנונים הקיימים בתחום, יזהה את התחומים בהם נחוצים עקרונות מדיניות חדשים ויגבש תוכנית עבור ה-CDAO ליישומם במחלקה. התוצרים מהתהליך מיועדים לסייע למחלקת ההגנה להבין את מצב מדיניות הבינה המלאכותית המחלקתית ולפתח גישה, שתנחה מחלקות שונות בה להטמיע עקרונות מדיניות בבינה מלאכותית.[45]
למיזמים אלו נלוותה ההשקה מצד מחלקת חיל האוויר ומעבדת המחקר של חיל האוויר (AFRL)[46] את פלטפורמת הבינה המלאכותית היוצרת הניסיונית NIPRGPT,[47] לסיוע לעובדי המחלקה בביצוע משימות בסביבת מחשוב מאובטחת, כגון כתיבת מסמכי רקע. NIPRGPT מהווה חלק מפלטפורמת התוכנה Dark Saber המשמשת את AFRL לפיתוח תוכנות ויכולות טכנולוגיות מתקדמות עבור החיל.[48]
ב-25 ביוני הצהיר מפקד פיקוד הסייבר האמריקני וראש ה-NSA, טימותי יו (Timothy Haugh), כי הפיקוד הקים כוח משימה חדש לקידום השימוש בבינה מלאכותית בשורותיו. ספציפית, יקדם הכוח הטמעה של יכולות בינה מלאכותית בפעולותיו המבצעיות של כוח משימת הסייבר (CMF).[49] בנוסף, יגבש עקרונות מדיניות ותקינה לקידום ההטמעה והשימוש האחראיים, האתיים והבטוחים של הבינה המלאכותית ברחבי הפיקוד ויקדם את ההתמודדות עם איומים מבוססי בינה מלאכותית.[50]
כמו כן, ב-27 ביוני הצהיר ראש הלשכה לפיקוד, בקרה, תקשורת, מחשבים וסייבר (C4 & Cyber)[51] שבפיקוד המטות המשולבים, לוטננט גנרל טוד אייזקסון (Todd Isaacson), כי הפיקוד שוקל להקים משרד ייעודי בשורותיו, שיסייע בהטמעת השימוש בבינה מלאכותית. אייזקסון לא ציין את מועד הקמת המשרד והוסיף כי הצורך בהקמתו עלה בעקבות ההקמה בפברואר 2024 של כוח משימה לבינה מלאכותית בפיקוד. במסגרת פעילותו, בחן הכוח את השימושים הצפויים בטכנולוגיה זו בפיקוד והשינויים הארגוניים הנחוצים לשם כך.[52]
לבסוף, בפעילות מערכת הביטחון האמריקנית ניתן למנות דו"ח ביקורת שפרסם ב-20 ביוני ה-GAO. הדו"ח התמקד בדרכים בהן מעריכה הסוכנות לביטחון וסיכול ריגול (DCSA)[53] שבמחלקת ההגנה את מצב אבטחת הסייבר של מערכות ה-IT, המשמשות אותה לבדיקת הרקע של כוח אדם המועמד להשתלב בסוכנויות הממשל הפדראלי. לשם כך, בחנו המחברים את היישום של DCSA את שלושת שלבי התכנון של מדיניות אבטחת הסייבר לפי המסגרת לניהול סיכונים של מחלקת ההגנה (RMF).[54] הבחינה התבצעה בשש מערכות IT, בתקופה שבין אוגוסט 2022 ליוני 2024. על פי המחברים, תהליך הסיווג יושם במלואו, כשכלל המערכות סווגו ככאלו שפגיעה בהן עלולה להוביל לרמת סיכון גבוהה. אולם, DCSA השתמשה בפחות מאמצעי הבקרה הנדרשים, משום שהסתמכה על גִּרְסָה ישנה של מסמך ה-NIST Special Publication 800-53.[55] בין היתר, המליצו המחברים למנהל מערכות המידע (CIO) של ה-DCSA להשלים את הביצוע של הערכת סיכוני האבטחה למערכות המידע ולתעד את תוצאותיה.[56]
אישור חוק ה-NDAA לשנה הפיסקאלית 2025
ב-13 וב-14 ביוני, התקדם הקונגרס באישור חוק ה-NDAA לשנה הפיסקאלית 2025, כשהחוק אושר בוועדת הכוחות המזויינים של הסנאט (SASC)[57] ובמליאת בית הנבחרים.[58] על פי טיוטת הצעת החוק שאושרה ב-SASC, על המרכז לפשעי סייבר שבמחלקת ההגנה (CD3)[59] לקיים תרגילי אבטחת סייבר משותפים עם חברות קבלן ביטחוניות להערכת פערי אבטחת סייבר בעבודתם המשותפת. בנוסף, כוללת ההצעה הנחיה לפיתוח עקרונות ליישום אסטרטגיית מחלקת ההגנה בנושא הטמעת עקרונות אפס האמון במכשירי IoT צבאיים ודרישה לדווח על שיתופי פעולה בין-לאומיים בהגנת סייבר על כבלים תת-ימיים. במקביל, דנה ההצעה ביוזמה להקמת קבוצת עבודה משותפת לארה"ב ולבעלות בריתה, שתעסוק בפיתוח ובקידום מיזמי בינה מלאכותית.[60] על פי הצעת החוק שאושרה בבית הנבחרים, על מחלקת ההגנה לזהות מוצרים ושירותים חדשים, שעשויים לשפר את מידת אבטחת הסייבר של מכשירים ניידים בשירות המחלקה ולספק לוועדות הביטחון בקונגרס דיווחים על ממצאי ההליך הקיים בנושא. בנוסף, על משרד מנהל מערכות המידע של מחלקת ההגנה (DOD CIO)[61] וה-CDAO לספק לוועדות הביטחוניות שבקונגרס עד ל-15 באוקטובר 2025, וכן כל חצי שנה לאחר מכן, דיווח אודות השימושים הקיימים והמתוכננים בשירותי ענן במחלקה, הגורמים האחראיים על ניהול שימושים אלו והגורמים המשתמשים בהם.[62]
צפון אמריקה
קנדה
ב-4 ביוני פרסם משרד המבקר הכללי של ממשלת קנדה (OAG)[63] דו"ח אודות התמודדותה של הממשלה עם פשעי סייבר. על פי המחברים, המשטרה המלכותית של קנדה (RCMP)[64] התעכבה בהטמעת מערכת ה-IT בשם National Cybercrime Solution, לדיווח של אזרחים אודות פשעי סייבר, לסיוע לעבודתן של סוכנויות אכיפת החוק.
בנוסף, האסטרטגיה הלאומית לביטחון סייבר, שפרסמה ב-2018 המחלקה לביטחון הציבור (PSC)[65] ושאמורה להתעדכן במהלך שנת 2024, אינה כוללת את הנציבות הקנדית לתקשורת (CRTC).[66] זאת, למרות התמחותה במניעת הפצת דואר זבל (Spam). בין השאר, המליצו מחברי הדו"ח ל-PSC לכלול את ה-CRTC ביוזמות ממשלתיות עתידיות להתמודדות עם פשיעת סייבר. בנוסף, המליצו ל-RCMP לבצע מחקר להתמודדות עם אתגרי גיוס וטיפוח כוח האדם המיומן בחקר פשעי סייבר.[67]
אירופה
האיחוד האירופי
ב-27 ביוני פרסמה הנציבות האירופית לתגובות הציבור טיוטת הצעת חוק, המגדירה לארגונים במגזרי הטכנולוגיה, כגון ניהול טכנולוגיות ICT, צעדים לניהול סיכוני אבטחת סייבר לפי דירקטיבת NIS2.[68] על פי ההצעה, כל חברה נדרשת לגבש הערכות למדידת השפעת אירועי סייבר על תפקודן, שיכללו, למשל, את משך הזמן המקסימלי שביכולתן לשמור על פעילותן העסקית בעת אירוע סייבר. המדיניות עשויה לחייב ספקים העובדים עם החברות להגיש להן הצהרה אודות צעדי אבטחת הסייבר שננקטו על ידן (Security clauses) באבטחת המוצרים והשירותים. הצעת החוק צפויה להיכנס לתוקף ב-18 באוקטובר 2024.[69]
פולין
ב-3 ביוני הודיע שר הדיגיטציה וסגן ראש ממשלת פולין, קריסטוף גאקובסקי (Krzysztof Gawkowski) כי בכוונת הממשלה להקצות כשלושה מיליארד זלוטי (760 מיליון דולר) ולהעמיק את שיתוף הפעולה בין המגזר הציבורי והממשלתי, במסגרת יוזמת Cyber Shield לשיפור מידת אבטחת הסייבר הלאומית.
הודעת הממשלה באה לאחר פריצה שחוותה בשלהי מאי 2024 סוכנות הידיעות הפולנית PAP, ושיוחסה על ידי השלטונות לרוסיה בניסיונה להשפיע על תוצאות הבחירות לפרלמנט האירופי שנערכו בתחילת יוני 2024.[70] בתקרית שהופרכה על ידי ממשלת פולין ו-PAP, פרסמו התוקפים באתר האינטרנט של הסוכנות ידיעות שקריות כי פולין גייסה 200 אלף אזרחים לשורות הצבא, על מנת לפלוש לשטחה של אוקראינה.[71]
דנמרק
ב-4 ביוני הודיע שר ההגנה של דנמרק, טרואלס לונד פולסן (Troels Lund Poulsen), כי המרכז הדני לאבטחת סייבר (CFCS)[72] העלה את רמת איום מתקפות הסייבר הפוטנציאליות נגד ארגונים ציבוריים והמגזר הפרטי במדינה לרמה השלישית (Middle), מתוך חמש.[73] השר הצהיר כי על פי שירותי הביון של דנמרק[74] לא קיים איום מוחשי על דנמרק מצידה של רוסיה, אך היא עלולה להשתמש בלוחמה היברידית ומתקפות סייבר הרסניות נגד מדינות ברית נאט"ו.[75]
שוויץ
ב-6 ביוני פרסמו המחלקה לביטחון ולהגנה האזרחית הפדראלית של שוויץ (DDPS)[76] בשיתוף עם המרכז הלאומי לאבטחת סייבר (NCSC), המלצות לחיזוק חסינות הסייבר במסגרת כנסים בין-לאומיים דוגמת וועידת השלום בנושא המלחמה באוקראינה, שנערכה ב-16-15 ביוני בשוויץ. מנסחי המסמך ממליצים להטמיע אמצעי הגנה בסיסיים להפחתת הסיכונים, בין השאר באמצעות שימוש באימות דו-שלבי להבטחת גישה בטוחה מרחוק באמצעות VPN, ביצוע עדכוני אבטחה במועדם, שמירה על גיבויים לא מקוונים, ועוד.[77]
בריטניה
ב-19 ביוני הודיעה המועצה הלאומית של מפקדי המשטרה (NPCC),[78] כי פרסמה אסטרטגיה לשיפור מידת אבטחת הסייבר על מערכות ותשתיות המשטרה,[79] לתקופה שבין הרבעון הראשון של שנת 2024 לרבעון האחרון של 2026. האסטרטגיה כוללת חמש מטרות בהן שיפור יכולות המשטרה לבצע הערכות סיכוני אבטחת סייבר המשפיעים על עבודתה, למשל באמצעות קידום שיתוף הפעולה עם המגזר הפרטי לשיפור יכולות הגנה פרו-אקטיביות, ועוד.[80]
אסיה
סין
ב-14 ביוני פרסמו רשות מרחב הסייבר של סין (CAC) בשיתוף עם המשרד לביטחון הציבור, עם משרד התרבות והתיירות ועם רשות הרדיו והטלוויזיה הלאומית,[81] תקנה בשם Cyber Violence Information Governance Provisions. התקנה, הצפויה להיכנס לתוקף ב-1 באוגוסט 2024, מסדירה את המאבק באלימות ברשת, וקובעת כי CAC וגופי הממשל ינחו ספקי שירותי מידע ורשת להטמיע מנגנון ממשלתי למניעת אלימות ברשת, להסיר חשבונות ותכנים אלימים, לוודא את זהותם האמיתית של משתמשים, ועוד.[82]
ב-16 ביוני פורסם כי סין השיקה מערכת בינה מלאכותית היכולה לפקד על סימולציות וירטואליות ומשחקי מלחמה, לשיפור ולהערכתן של אסטרטגיות וטקטיקות צבאיות. המערכת פותחה במעבדות המכללה למבצעים משותפים של אוניברסיטת ההגנה הלאומית בעיר שיג'יאז'ואנג (Shijiazhunag) שבמחוז חֶבֵּיי (Hebei).[83] ככל הנראה, יכולה המערכת לחקות באופן עצמאי תהליכי קבלת החלטות וחשיבה אנושיים, לשיפור ניהול תרחישי מלחמה מורכבים. בנוסף, אפשר והמערכת מסוגלת לנתח כמות גדולה של נתונים ולקבל החלטות מדויקות במהירות, לאור איומים מתפתחים והיא תיבחן בתרגילים עתידיים של צבא סין.[84]
טאיוואן
ב-17 ביוני הצהירה Cisco כי תקים מרכז אבטחת סייבר בטאיוואן. מטרתו לקדם שיתופי פעולה בין החברה לבין איגודי טכנולוגיה במדינה לשיפור איסוף ושיתוף מודיעין איומי הסייבר ומוכנותם להתמודדות עימם. כחלק מכך, תכשיר Cisco כוח אדם המיומן במקצועות אבטחת הסייבר לצמצום המחסור בתחום. הקמת המרכז מהווה חלק מתוכנית ההאצה הדיגיטלית של Cisco (CDA).[85]
יפן
ב-7 ביוני הנחה השר לחדשנות דיגיטלית של ממשלת יפן,[86] טארו קונו (Taro Kono), צוות בן 17 מומחים, להפיק דו"ח בנושא קידום מעבר הממשלה לגישת הגנת הסייבר האקטיבית, להגנה על תשתיות חיוניות. הדו"ח ישמש מצע לניסוח טיוטת הצעת חוק לקידום יכולות הגנת סייבר אקטיביות לאומיות, שתוצג לפרלמנט (Diet) לכל המוקדם בסתיו 2024.[87] בנוסף, ב-9 ביוני פורסם כי בכוונת הממשלה להקים גוף חוץ-ממשלתי חדש, שישתמש במערכת לניטור תעבורת מידע ברשתות תקשורת, לאיתור סימנים למתקפת סייבר אפשרית נגד תשתיות חיוניות. במידה ומידע זה יצביע על מתקפה, תנסה הממשלה לשבש אותה על ידי חדירה לתשתיות המשמשות את ההאקרים לביצועה.[88]
אפריקה והמזרח התיכון
איחוד האמירויות הערביות
ב-3 ביוני הודיעה מועצת אבטחת הסייבר של איחוד האמירויות הערביות (CSC)[89] כי תכשיר כוח אדם המיומן במקצועות אבטחת הסייבר בכישורים לגילוי ולהפחתה פרו-אקטיביים של איומי סייבר. ההכשרה תיעשה בקורס בשם Ethical Hacker כחלק מיוזמת Cyber Sniper שהשיקה המועצה בשנת 2023 בשיתוף עם הרשות הפדראלית למשאבי אנוש ממשלתיים.[90]
בטחון סייבר
ב-2 ביוני פרסם מרכז הערכת האיומים של מיקרוסופט (MTAC)[91] הודעת בלוג ודו"ח בנושא פעולותיה של רוסיה בתחום ההשפעה, לקראת המשחקים האולימפיים שייפתחו ב-26 ביולי 2024 בפריז. לפי מנסחי ההודעה, מאז יוני 2023 גורמים המזוהים עם רוסיה, כגון הקבוצות Storm-1679 ו-Storm-1099, נעזרים בבינה מלאכותית יוצרת ובבוטים מתקדמים להפצה של חדשות מזויפות בשפה הצרפתית ברשתות החברתיות, לצד קטעי קול מזויפים וכן סרטוני Deepfake, במטרה לערער את אמון הציבור בנשיא צרפת, עמנואל מקרון, וכן בוועד האולימפי הבין-לאומי (IOC).[92] לעיתים, קבוצות אלו יצרו והפיצו תכנים הקשורים במלחמה בעזה, על מנת לטעת בקרב אזרחים ישראליים המתעדים לצפות במשחקים תחושת פחד, וכי הם עלולים לחוות מקרי אלימות במשחקים. דפוס פעולה זה מכוון גם כלפי כלל קהל הצופים, על מנת להרתיע אותם מלצפות בהם. המחברים הזהירו כי פעילות ההשפעה הרוסית לקראת המשחקים תתרחב גם לשפות הגרמנית והאנגלית, לרבות עלייה הצפויה בשימוש בבינה מלאכותית יוצרת. בנוסף, הזהירו משימוש נרחב בבוטים ובחשבונות אוטומטיים להפצת תכנים ברשתות החברתיות.[93]
לאזהרה זו לוותה הודעת בלוג מה-6 ביוני מטעם צוות אבטחת הסייבר Mandiant של גוגל, המתריעה מפני מתקפות סייבר הרסניות ומשבשות לקראת המשחקים האולימפיים מצד גורמים מדינתיים, המזוהים בעיקר עם רוסיה, סין, צפון קוריאה ואיראן. לפי מנסחי ההודעה, קיימת סבירות לביצוע פעולות ריגול סייבר, לצד מתקפות DDoS, דיוג וכופרה וכן הפצת מידע כוזב מבוססי כלי בינה מלאכותית, לרבות שילוב בין שיטות פעולה אלו, לשיבוש מהלך המשחקים ולפגיעה באמון קהל הצופים. על מנת להפחית את הסיכונים, ממליצים המחברים לארגונים המעורבים במשחקים דוגמת ספונסרים ומשרדי מכירות כרטיסים לנקוט צעדי הגנה פרו-אקטיביים, כגון עדכון הערכת האיום ונטרול איומים ברשת מבעוד מועד, ועוד.[94]
כמו כן, ב-3 ביוני חתמו מספר גופים ממשלתיים מדרום-קוריאה, בהם הנציבות להגנה על מידע אישי (PIPC)[95] ומשרד המדע וטכנולוגיות מידע ותקשורת (ICT), על מִזְכָּר להתמודדות עם מתקפות דיוג קוליות (Vishing). בין השאר, קובע המִזְכָּר כי גופים פיננסים ממשלתיים וסוכנויות אכיפת חוק ישתפו עם חברות פרטיות מידע אודות הונאות אלו, לפיתוח כלי בינה מלאכותית למניעתן. בנוסף, PIPC תשתף פעולה עם משרד המדע וה-ICT, הנציבות לשירותים פיננסיים (FSC)[96] והמגזר הפרטי בבחינת השימוש בבינה מלאכותית למניעת הונאות, בהתאם לחקיקה בנושא ההגנה על הפרטיות, כגון חוק ההגנה על מידע אישי (PIPA),[97] ועוד.[98]
בנוסף, ב-10 ביוני פרסם המרכז ללימודי ביטחון (CSS)[99] שבמכון הטכנולוגי של ציריך (ETH Zurich) דו"ח,[100] בנושא התועלת שמפיקה ממשלת סין ממעורבותם של מומחי אבטחת סייבר סיניים מהמגזר הפרטי בתחרויות "פריצה" (Hacking competitions) ותוכניות לאיתור חולשות (Bug bounty) בסין ומחוצה לה, בפעולותיה ההתקפיות במרחב הסייבר. על פי המחברים, בשנים 2018-2014 גברו הישגיהם של מומחי אבטחה סיניים בתחרויות בעולם: במסגרת תחרויות ה-Pwn2Own, חלקם של המומחים הסיניים שזכו בפרסים כספיים עלה מ-13% מכלל המתחרים בשנת 2014, ל-79% ב-2017. בשנת 2018, אסרה ממשלת סין על אזרחיה להשתתף בתחרויות, במטרה לרתום את הידע המקצועי שלהם לחיזוק יכולות התקיפה של גופי ממשל.
בד בבד, בתחרות איתור החולשות המקומית Tianfu Cup, נצפה בשנת 2023 שינוי מהתמקדות בחולשות אבטחה שמקורן בתוכנות ומוצרים מערביים לאיתור חולשות במוצרי טכנולוגיה סיניים. הדבר עולה בקנה אחד עם מהלך החלפת התוכנות המערביות שבידי חברות בבעלות ממשלתית סינית לתוכנות מייצור מקומי, שהחל בשנת 2022 לצמצום תלותה של סין בטכנולוגיה מערבית.[101]
במקביל, ב-15 ביוני פורסם כי תובעים מבית הדין הפלילי הבין-לאומי בהאג (ICC)[102] חוקרים מתקפות סייבר שביצעו לכאורה גורמים המזוהים עם רוסיה נגד תשתיות אזרחיות באוקראינה, כפשעי מלחמה אפשריים. על פי הפרסום, החוקרים בוחנים מתקפות סייבר שסיכנו חיי אדם באמצעות שיבוש תשתיות לאספקת חשמל ומים, מערכות חירום חיוניות ושירותי נתונים ניידים המשמשים להתרעה מפני תקיפות אוויריות.[103]
לבסוף, ב-26 ביוני פרסמו חוקרים מחברות אבטחת הסייבר SentinelLabs, Recorded Future ו-TeamT5 דו"ח,[104] הכולל פרטים אודות השימוש בכופרות בתקיפות ריגול סייבר שביצעו האקרים סיניים וצפון-קוריאנים בשנים 2021-2023. החוקרים ייחסו את תקיפות הכופרה נגד הרשות המבצעת של ברזיל ובית הספר לרפואה AIIMS שבהודו,[105] שהתרחשו בשנת 2022, לקבוצת ה-APT הסינית ChamelGang, מאחר ונעשה במהלכן שימוש בכופרת CatB, הכוללת קוד המצוי באמצעי תקיפה אחרים של הקבוצה. בד בבד, עלה כי קבוצות APT מסין ומצפון-קוריאה השתמשו באמצעי הצפנה זמינים (Off-the-shelf) מתוצרת חברות הטכנולוגיה Jetico ומיקרוסופט, לנעילת הגישה לעמדות קצה (Endpoints) של 37 ארגונים מהעולם ודרישת דמי כופר עבור שחרורן. לדברי אחד ממחברי הדו"ח וחוקר אבטחת סייבר מ-Recorded Future, ג'וליאן-פרדיננד ווגל (Julian-Ferdinand Vögele), השימוש בכופרות מסייע לקבוצות APT לטשטש את מעורבותן בביצוע מתקפות ריגול סייבר, מאחר וארגונים המותקפים על ידן משחזרים את המידע שנגנב מהם במקום לחקור כיצד השיגו ההאקרים גישה למערכות הארגוניות.[106]
לצד זאת, ב-26 ביוני פרסמו סוכנויות מודיעין ואבטחת סייבר מארה"ב, אוסטרליה וקנדה, בהן CISA ומִנְהֶלֶת הסיגינט של אוסטרליה (ASD) מסמך, הבוחן חולשות אבטחה במיזמי פיתוח תוכנה מבוססי קוד פתוח (Open-source projects). במסמך נבחנו 172 מיזמי פיתוח, המוגדרים על ידי ארגון ה-Open Source Security Foundation כחיוניים לפיתוח האקו-סיסטם של תוכנות קוד פתוח.[107]
מחברי המסמך מצאו כי 52% מהמיזמים שנבחנו הכילו קוד שנכתב בשפות תִּכְנוּת מסוג Memory unsafe,[108] המוּעָד לניצול חולשות אבטחה מצד האקרים, כשהדבר ניכר במיוחד במיזמי פיתוח נרחבים. אולם, גם מיזמים שכללו שימוש בשפות מסוג Memory safe חשופים לאיומי אבטחה, מאחר ושלושה מיזמים שנבחנו ונכתבו בשפות אלו מקיימים תלות ברכיבים,[109] שפותחו תוך שימוש בשפות מסוג Memory unsafe.[110]
איומי סייבר על תשתיות חיוניות
ב-12 ביוני פרסם המרכז הלאומי למצוינות באבטחת סייבר שב-NIST (NCCoE)[111] לתגובות הציבור את טיוטת מסמך NIST TN 2283 ipd,[112] המציגה שתי ארכיטקטורות לאבטחת סייבר של טכנולוגיות לשליטה מרחוק במערכות OT, המשמשות לניהול תשתיות לאספקת מים. בארכיטקטורה הראשונה, משתמשים מקבלים גישה מרחוק לשליטה במערכות OT באמצעות שימוש באימות רב-שלבי, המעביר אותם דרך שרת ה-Bastion host ו-Firewalls אל המערכות,[113] לצד השימוש ברשת DMZ.[114] הארכיטקטורה השנייה, כוללת מתן גישה מרחוק על בסיס שירותי ענן ובמסגרתה מטמיעה ספקית הענן אמצעים לאימות זהות המשתמשים ולמתן הרשאת גישה לשירותי הענן.[115]
בנוסף, ב-18 ביוני הציגו נציגי בית הנבחרים האמריקני דן קרשאו (Dan Crenshaw) וסת' מגזינר (Seth Magaziner) את הצעת החוק הדו-מפלגתית, Contingency Plan for Critical Infrastructure Act. בין היתר, מנחה ההצעה את CISA, הסוכנות הפדראלית לניהול מצבי חירום (FEMA)[116] וסוכנויות פדראליות האחראיות על ניהול הסיכונים במגזר התשתיות החיוניות (SRMAs),[117] להגיש לקונגרס דו"חות, הבוחנים את יכולתם של ארגוני תשתיות חיוניות לעבור לפעילות ידנית בעקבות אירוע סייבר ויכולתה של FEMA לסייע בכך בעת הצורך.[118]
כמו כן, ב-20 ביוני פרסם מזכיר המחלקה האמריקנית לביטחון המולדת, אלחנדרו מיורקס (Alejandro Mayorkas), תוכנית אסטרטגית להגנה על תשתיות חיוניות מאיומי סייבר ואיומים נוספים לשנים 2025-2024,[119] שתיושם בשיתוף עם המגזר הממשלתי, חברות פרטיות ובעלי ומפעילי מתקני תשתיות חיוניות. התוכנית כוללת חמישה תחומים ובמסגרתה,[120] יפעלו הגורמים המעורבים במתן מענה למתקפות סייבר פוטנציאליות מצד גורמים סיניים נגד תשתיות חיוניות צבאיות ואזרחיות בארה"ב או נגד תשתיות הנחוצות לתפקוד צבא ארה"ב בעולם. זאת, באמצעות שיפור שיתוף המודיעין על איומי אבטחה ועדכון התוכנית הלאומית למענה לאיומי סייבר (NCIRP), ועוד.[121]
איומי סייבר על ענף האנרגיה
ב-20 ביוני קיימה הסוכנות האירופית לאבטחת מידע ורשתות (ENISA) את תרגיל אבטחת הסייבר הדו-שנתי, Cyber Europe,[122] בהשתתפותם של 30 סוכנויות לאומיות לאבטחת סייבר מאירופה, מספר גופים אירופיים וכ-1,000 מומחי אבטחה. התרגיל כלל תרחיש המדמה איומי סייבר על תשתיות אנרגיה באירופה מצד מדינה זרה, שמקורם במתחים גאו-פוליטיים בינה לבין מדינות האיחוד.[123]
התפתחות נוספת בתחום אבטחת הסייבר במגזר האנרגיה נרשמה בארה"ב, כאשר המשרד לאבטחת סייבר, אבטחת אנרגיה ותגובה למצבי חירום (CESER)[124] של מחלקת האנרגיה פרסם ב-18 ביוני מסמך עקרונות מנחים לאבטחת שרשראות אספקה של מערכות ICS ומערכות אוטומציה בתשתיות אנרגיה.[125]
מחברי המסמך ממליצים בין היתר כי ספקי המערכות יפרסמו מידע עבור המשתמשים והציבור הרחב בנושא אבטחת הסייבר שלהן כגון השיטות לבחינת רמת אבטחתן. בנוסף, מומלץ כי ספקי המערכות יטמיעו עקרונות הנדסה מבוססי אבטחת סייבר (CIE)[126] בהליכי הייצור, לצמצום חולשות האבטחה המוּבְנוֹת הפוטנציאליות.[127]
איומי סייבר על מגזר הפיננסים
ב-3 ביוני פרסמה הרשות האוסטרלית לבטיחות בשירותים פיננסיים (APRA)[128] הנחיות לחיזוק חסינות הסייבר של מוסדות פיננסים, באמצעות שיפור יכולתם להשתמש במאגרי מידע לגיבוי בעת אירועי סייבר. ההנחיות נועדו לתת מענה לבעיות אבטחה שמצאה ה-APRA, שעלולות למנוע מהמוסדות להשתמש במאגרי הגיבוי שברשותם כראוי כגון היעדר הפרדה בין סביבת העבודה המשמשת לתפקודם השוטף לבין המשאבים הנחוצים לגיבוי. כמענה לכך, יש להטמיע בקרות גישה שימנעו ביצוע של שינויים בתחומים אלו בו זמנית.[129]
כמו כן, ב-19 ביוני הודיעה לשכת העיתונות הממשלתית של הודו (PIB)[130] כי צוות ה-CERT הלאומי חתם על מִזְכָּר הבנות עם חברת האשראי MasterCard, במסגרתו יפעל לשפר את מידת אבטחת הסייבר על מגזר הפיננסים במדינה. על פי המִזְכָּר, ישתפו שני הגופים מודיעין איומי סייבר ודו"חות על חולשות אבטחה במגזר הפיננסים ויקיימו תוכניות הכשרה למומחי סייבר, להצגת עקרונות פעולה לשיפור מידת הגנת הסייבר של ארגונים פיננסיים.[131]
איומי סייבר על ענף הבריאות
ב-4 ביוני פרסמה נציבות ה-Cyberspace Solarium 2.0 האמריקנית, המלצות להתמודדות עם איומי סייבר על מוסדות בריאות. על פי מחברי הדו"ח, 73% מהארגונים משתמשים במערכות הפעלה מיושנות החשופות לאיומי סייבר, בעוד שנמצא כי בבתי חולים מצויים מכשירים טכנולוגיים, הקשורים לתחזוקת הבניינים והנחוצים למתן שירותים רפואיים. מכשירים אלו מקושרים ברשת אחת, ללא חלוקתה לקטעים (Segmentation), דבר שעלול להחמיר את הנזק של תקיפות הסייבר על בתי החולים. מחברי הדו"ח המליצו למחלקת הבריאות ושירותי האנוש (HHS)[132] לעדכן את האסטרטגיה לחיזוק ההגנה על מגזר הבריאות, שפרסמה CISA במאי 2016,[133] וקראו ל-GAO לבחון את תפקודו של ה-HHS כגוף הממונה על ניהול סיכוני האבטחה (SRMA) במגזר הבריאות.[134]
לפרסום נלוותה אזהרה משותפת מצד ה-FBI וה-HHS מה-24 ביוני, המציגה את הטכניקות, הטקטיקות ושיטות הפעולה (TTPs) המשמשים האקרים, שזהותם לא צוינה, לביצוע מתקפות הנדסה חברתית נגד מוסדות בריאות וספקי שירותי רפואה. על פי המחברים, ההאקרים ביצעו את המתקפות להשגת גישה לחשבונות הדוא"ל של עובדי הארגונים והשתמשו בהם להשגת מידע, הקשור לבקשות תשלום לחברות ביטוח ובריאות. לעיתים, השיגו ההאקרים גישה לחשבונות העובדים לאחר שפנו לצוות ה-IT הארגוני, תוך התחזות לעובדי החברה ושינו סיסמאות בחשבונות. בד בבד, מאוגוסט 2023 תועדו מקרים בהם השתמשו במספרי טלפון מבוססי VoIP,[135] לביצוע מתקפות דיוג נרחבות לגניבת הרשאות כניסה השייכות לרשתות של מוסדות בריאות. מחברי המסמך המליצו למוסדות בריאות להטמיע מנגנון אימות רב-שלבי על כל חשבון ארגוני. בנוסף, הציעו לחייב כי גישה מרחוק לרשתות הארגון תיעשה באמצעות שיטות מוכרות ומאובטחות, כגון שימוש בממשקי שולחן עבודה וירטואליים (VDIs).[136]
איומי סייבר על ענף הימאות
ב-13 ביוני הודיע המרכז הנורווגי לחסינות סייבר במגזר הימי (NORMA Cyber)[137] כי בכוונתו להרחיב את היקף הארגונים ממגזר הימאות ממדינות סקנדינביה החברים בארגון, בעקבות תקופת ניסיון במהלכה צורפו למרכז חברות ימאות משוודיה ומפינלנד. בנוסף, יוכלו ארגוני ימאות בין-לאומיים להצטרף ל-NORMA Cyber, אך יאושר להם לקחת חלק ביוזמות לשיתוף ולקבלת מידע על איומי סייבר בלבד.[138]
כמו כן, ב-18 ביוני החל לפעול הארגון הבין-לאומי לאבטחת סייבר במגזר הימי (IMCSO),[139] במטרה להעלות את רמת אבטחת הסייבר של מגזר הימאות העולמי. כחלק מכך, יציע ה-IMCSO תוכניות להסמכת (Certification) מומחים בתחום הסייבר ההתקפי (Offensive Security Practitioner),[140] מומחי אבטחת סייבר בתחום הימי, מומחים להטמעת עקרון ה-Secure-by-design ומומחי אבטחה בתחום תשתיות הענן. בנוסף, יקים IMCSO מאגר מידע לריכוז הערכות סיכוני הסייבר של כלי שייט שונים ויפעל ליצור אחידות באופני פרסום הדיווחים, על מנת לאפשר לגורמים בענף הימאות לקבל מידע מובן ונגיש אודות סיכוני סייבר צפויים.[141]
איומי סייבר על מערכות חלל
ב-4 ביוני הצהירה סוכנות הביון של דרום קוריאה (NIS)[142] כי בכוונתה להקים גוף מייעץ לשיפור מידת אבטחת הסייבר על מערכות לווייניות. הגוף המייעץ בהובלת NIS יכלול נציגי ממשל שונים ויפעל להגן על לוויינים מאיומי סייבר ברמה המקומית והבין-לאומית בחלל, משלב התכנון ועד להפעלתם, ליצירת יסודות להגנה על נכסי חלל.[143]
בנוסף, ב-26 ביוני פורסם כי המרכז לשיתוף ולניתוח מידע במגזר החלל (Space ISAC)[144] והמרכז האוסטרלי לשיתוף פעולה בתחום הסייבר (Aus3C)[145] חתמו על מִזְכָּר הבנות לקידום שיתופי פעולה בינלאומיים בתחום אבטחת הסייבר במגזר החלל. במסגרת השותפות, ישתמשו הארגוים בכלים מתקדמים, יכולות ומומחיות, לשיפור יכולות גילוי האיומים והתגובה להם ולקידום חדשנות במגזר החלל.[146]
מחשוב קוונטי
ב-24 ביוני פורסם מחקר מאוניברסיטת טייבה (Taibah University) הציבורית שבערב הסעודית, הבוחן את השימוש בלמידת מכונה קוונטית (QML)[147] לעומת למידת מכונה קלאסית (CML),[148] לניתוח נתונים בתחום אבטחת הסייבר. מהמחקר עלה כי QML מאפשר לגלות ביעילות איומי אבטחה בזמן אמת, בהשוואה לשימוש ב-CML, מאחר ויכולותיו החישוביות (Computational efficiency) המשופרות מאפשרות לו לעבד כמויות מידע גדולות. בה בעת, השימוש ב-CML נחשב לאמין מבחינת תוצאות הפעולה שלו, מאחר והוא נשען על תשתית מבוססת והאלגוריתמים שלו בשלים יותר, לעומת ה-QML הרגיש ל-"רעשים". בנוסף, CML נהנה מנגישות גבוהה, מאחר וניתן להשתמש בו במגוון מחשבים, בניגוד ל-QML, בו ניתן להשתמש במחשבים קוונטיים. על רקע זה, הסיק מחבר המחקר כי שילוב השימוש ב-CML וב-QML עשוי לשפר את היכולת לאתר איומי אבטחה ולנתח את המידע הקשור בהם.[149]
בינה מלאכותית
החודש פרסמו סוכנויות ממשל האמונות על הגנת הפרטיות מהאיחוד האירופי ומהונג קונג,[150] המלצות ועקרונות בנושא הפיתוח והשימוש במערכות בינה מלאכותית, לרבות בינה מלאכותית יוצרת, בהתאם לתקנות הגנה על המידע.[151] המלצות נוספות פרסמו מחלקת האנרגיה האמריקנית בנושא השימוש בבינה מלאכותית יוצרת במחלקה ובחברות חיצוניות העובדות עימה,[152] וכן ממשלת אוסטרליה הפדראלית, ממשלות המדינות (State level) והטריטוריות, שהשיקו מסגרת משותפת לשימוש אחראי ובטוח בבינה מלאכותית במגזר הממשלתי.[153]
בתחום החדשנות בבינה מלאכותית, ב-11 ביוני הודיעה מיקרוסופט על השקת מיזם ה-Spain Central, הכולל הקמה של מרכזי מידע (Data centers) מבוססי ענן במדריד וסביבתה (Community of Madrid),[154] למתן שירותי טכנולוגיה מתקדמים לחברות פרטיות ולמגזר הציבורי בספרד ובאירופה. במסגרת פעילות המרכז, תעניק מיקרוסופט שירותי ענן, בינה מלאכותית יוצרת, אבטחת סייבר וניתוח נתונים במטרה להפוך את האזור למרכז טכנולוגי מתקדם. הקמת המרכז נעשית כחלק מיוזמת מיקרוסופט להשקיע 2.1 מיליארד דולר להקמת מרכזי נתוני ענן במדינה בשנים 2024-2025, עליה הודיעה החברה בפברואר 2024.[155]
יוזמה נוספת בספרד נרשמה עם ההקמה של המשרד לחדשנות דיגיטלית והשירות ציבורי של ספרד[156] את המועצה המייעצת לבינה מלאכותית,[157] הכוללת מומחים וחוקרים בכירים מתחומי הבינה מלאכותית, החדשנות והמדיניות הציבורית מרחבי אירופה וארה"ב, שייעצו למשרד בפיתוח בינה מלאכותית ובזיהוי מגמות, אתגרים והזדמנויות הטמונים בה.
במקביל, הושקה רשות הפיקוח הספרדית על הבינה המלאכותית (AESIA),[158] שתפקח על מערכות בינה מלאכותית בסיכון גבוה (High-risk AI systems)[159] ותקדם שימוש אחראי בבינה מלאכותית בחברה ובכלכלה בספרד.[160]
בד בבד, ב-18 ביוני הודיעה קרן החדשנות של ברית נאט"ו (NIF)[161] על השקעות בסך מיליארד אירו (1.072 מיליארד דולר) לטיפוח חדשנות טכנולוגית בבינה מלאכותית, בייצור וברובוטיקה, לקידום ביטחון מדינות הברית. במסגרת זו, השקיעה NIF בארבע חברות טכנולוגיה, בהן חברת ייצור השבבים הבריטית Fractile, הפועלת לשפר את הביצועים של מודלי שפה גדולים (LLMs). בד בבד, הודיעה NIF על תמיכתה בקרנות הון סיכון לטיפוח חברות הֶזְנֵק אירופיות, המפתחות שירותים טכנולוגיים מבוססי בינה מלאכותית, הצפנה קוונטית וטכנולוגיות נוספות, הניתנים לשימוש לצרכים ביטחוניים.[162]
במקביל לשורת היוזמות בתחום הטכנולוגיה, החודש קיימה CISA לראשונה תרגיל אבטחת סייבר שהתמקד בהתמודדות עם איומים שמקורם בבינה מלאכותית. בתרגיל בהובלת JCDC נטלו חלק מומחי בינה מלאכותית מסוכנויות אבטחת סייבר מהעולם ומהמזר הפרטי, על מנת לזהות ולתת מענה לחולשות אבטחה פוטנציאליות במערכות בינה מלאכותית ולאיומי סייבר שמקורם בבינה מלאכותית. כמו כן, שימש התרגיל פלטפורמה לשיתוף של שיטות עבודה מומלצות ומידע ושיפור תיאום הפעילות המשותפת בתחום אבטחת הסייבר בין המגזר הממשלתי והפרטי. לקחי התרגיל מתוכננים להשתלב במסמך המלצות (Playbook) שעתידה לפרסם CISA בסוף שנת 2024, ויתמקד בהמלצות לתיאום התגובה המשותפת בין הגופים לאירועי אבטחה בהקשרים של בינה מלאכותית.[163]
השפעה, הטיית דעת קהל והסתה
ב-4 ביוני פרסם הארגון הבין-לאומי ללא כוונת רווח, Global Witness,[164] בדיקה שערך במאי 2024 שהעלתה כי לקראת הבחירות לפרלמנט האירופי שנערכו בתחילת יוני 2024, נכשלה TikTok למנוע פרסום של תכנים כוזבים בנושאים פוליטיים, להטיית דעת הקהל באירלנד. בבדיקה בחן הארגון אם רשתות חברתיות נוספות כגון X ו-YouTube מילאו את הנחיות האיחוד האירופי במאבק במידע כוזב, בראשן חוק ה-DSA.[165] מהבדיקה עלה כי הפלטפורמות בחנו 16 פוסטים כוזבים לפני פרסומם. אולם, בעוד ש-X עצרה את פרסומם והשעתה את החשבון שעמד מאחוריהם, כולל שינוי הסטטוס שלו לחשבון שאינו כשיר, YouTube פרסמה שני פוסטים ו-TikTok פרסמה את כולם.[166]
דו"ח נוסף פרסם ב-11 ביוני הארגון הספרדי ללא כוונת רווח, Maldita.es,[167] העוסק בהפרכת מידע כוזב, במסגרתו בחן את התמודדותן של הרשתות Facebook, Instagram, X ו-YouTube, עם מידע כוזב בבחירות לפרלמנט האירופי. המחברים ניתחו כ-1,300 פוסטים שהתפרסמו בפלטפורמות ב-26 ממדינות האיחוד בארבעת החודשים שקדמו לבחירות ושנבחנו במסגרת היוזמה האירופית לבדיקת עובדות, Elections24Check project.[168] הניתוח העלה למשל, כי YouTube לא נקטה צעדים להגברת החשיפה אודות 75% מהפוסטים שהתגלו ככוזבים, בעוד שב-80% מהמקרים בהן היא פעלה לטיפול בתוכן מסוג זה, היא נמנעה מלספק הבהרות על הסיבות בגינן הוגדר התוכן ככוזב.[169]
לקראת הבחירות הכלליות שנערכו בבריטניה ב-4 ביולי, פרסם משרד הקבינט ב-5 ביוני עקרונות להתמודדות עם הפצת מידע כוזב מבוסס בינה מלאכותית, עבור מועמדים פוליטיים וגורמים הרשמיים האמונים על קיומן. מנסחי העקרונות טענו כי מידע אישי על מועמדים עלול לאפשר לתוקפים ליצור תוכן כוזב משכנע ובהתאם לכך, הומלץ כי יגבילו את הגישה למידע על ידי אימות דו-שלבי והימנעות משימוש במכשירים טכנולוגיים משרדיים לצרכים פרטיים.[170]
עוד לקראת הבחירות, ב-21 ביוני פורסם כי TikTok השיקה מרכז לאוריינות תקשורת (Media literacy hub) לסיוע למשתמשים לזהות מידע שגוי וחדשות כזב באינטרנט. מטרת המרכז להקנות בשיתוף עם חברת בדיקת העובדות הבריטית Logically Fact,[171] כישורי חשיבה ביקורתיים בדגש על יכולת לזהות חדשות מזויפות ולקדם צריכה מאוזנת של חדשות. הקמת המרכז באה בעקבות השקתה של TikTok ב-4 ביוני 2024 מרכז ייעודי לקראת הבחירות הכלליות בבריטניה (General Election Centre), המעודד משתמשים לצרוך מידע שמקורו בנציבות הבחירות של בריטניה.[172]
ב-26 ביוני פרסם צוות ניתוח האיומים של גוגל (TAG)[173] הודעת בלוג בנושא מבצעי השפעה שביצעה קבוצת DRAGONBRIDGE המקושרת לשלטונות בסין בשנים 2024-2020 ברשתות החברתיות. על פי מנסחי ההודעה, במהלך הבחירות לנשיאות טאיוואן בינואר 2024, פרסמה הקבוצה סרטונים ותגובות מבוססי בינה מלאכותית, שביקרו את נשיאת טאיוואן לשעבר, צאי יינג-ון (Tsai Ing-wen) ושקראו שלא להצביע למפלגת השלטון, המפלגה הפרוגרסיבית הדמוקרטית (DPP),[174] המזוהה עם שאיפת טאיוואן לעצמאות. בנוסף, במאי 2024 פרסמה הקבוצה סרטונים אודות הפגנות סטודנטים באוניברסיטאות בארה"ב על רקע מלחמת "חרבות ברזל". הצוות הסיק כי הפרסומים אומנם השיגו מעורבות דלה מצד הגולשים, אך גוגל הגבירה לאחרונה את מאמציה לשיבוש פעולות DRAGONBRIDGE, מאחר והיא מייצרת תכנים באופן עקבי ובוחנת בשיטתיות את דרכי הפעולה שלה.[175]
שיתופי פעולה
ב-13 ביוני חתמו נשיאי ארה"ב ואוקראינה, ג'ו ביידן ו-וולודימיר זלנסקי, על הסכם ביטחוני חדש במטרה לשפר את הגנת הסייבר של אוקראינה עד לשנת 2034. כחלק מיישום ההסכם, תסייע ארה"ב לשפר את מידת אבטחת הסייבר של תשתיותיה החיוניות של אוקראינה, לרבות מתקנים לאספקת אנרגיה ושירותי ממשל. בנוסף, תפעל ארה"ב לשפר את יכולתה של אוקראינה לזהות ולהתמודד עם תקריות סייבר, בין השאר באמצעות מתן כלים טכניים, וכן תסייע לה להיאבק בתפוצת מידע כוזב ותעמולה שמקורם ברוסיה.[176]
שיתוף פעולה נוסף נרשם החודש עם הפרסום כי מחלקת המדינה, המחלקה לביטחון המולדת וסוכנויות ממשל אמריקניות נוספות קיימו תרגיל אבטחת סייבר משותף עם גופי ממשל מאינדונזיה כגון משרד ההגנה והמשטרה הלאומית וחברות פרטיות מתחום הימאות. התרגיל שנערך בעיר סורבאיה (Surabaya) שבאינדונזיה ב-13-10 ביוני, התמקד בהגנה על תשתיות חיוניות במגזר הימאות מאיומי סייבר. בין השאר, קיימו המשתתפים סימולציות המדמות תקריות סייבר נרחבות ומתקפות כופרה על עגורנים ומערכות החיוניות לתפקוד נמלים.[177]
לצד ההיערכות במישור המבצעי, דנו המדינות הפרו-מערביות במסגרות מולטילטרליות באיומי סייבר גלובליים והמענים להם. ב-20 ביוני הוביל שר החוץ של דרום קוריאה, צ'ו טא-יול (Cho Tae-Yul), דיון שלא מן המניין במועצת הביטחון של האו"ם בנושא איומי הסייבר מצד צפון קוריאה והשלכותיהם על שלום העולם. בין השאר, קרא טא-יול לשלב את תחום הסייבר על סדר יומה הרשמי של המועצה.[178]
Summary of the 2023 Cybersecurity Regulatory Harmonization Request for Information ↑
Request for Information on Cyber Regulatory Harmonization; קישור למסמך הבקשה: https://tinyurl.com/4ys4nzpe ↑
NIST Cybersecurity Framework; המסגרת פורסמה לאחרונה בפברואר 2024 והיא מיועדת לסייע לארגונים מכלל המגזרים לשפר את מידת אבטחת הסייבר שלהם על סמך שישה עקרונות: זיהוי איומי סייבר (Identify); יישום הגנה מפניהם (Protect); איתור וניתוח מתקפות (Detect); יישום צעדי תגובה (Respond); חזרה לפעילות תקינה (Recover); גיבוש עקרונות מדיניות לניהול סיכוני אבטחת הסייבר (Govern). קישור למסמך המסגרת: https://tinyurl.com/3aumcuhn ↑
https://tinyurl.com/35s4v9pw; קישור למסמך: https://tinyurl.com/2te3sht8 ↑
CISA’s Cybersecurity Advisory Committee; וועדת מומחים המסייעת ל-CISA לזהות, להעריך ולהגיב לאיומי סייבר חדשים. ↑
Joint Cyber Defense Collaborative; ארגון שהקימה CISA באוגוסט 2021, המאגד נציגי ממשל פדראלי ומדינתי וכן נציגים מהמגזר הפרטי והמסייע לממשל להטמיע גישת אבטחה פרו-אקטיבית באמצעות שיתוף תובנות וקיום תרגילי אבטחה משותפים. ↑
https://tinyurl.com/4v6t764x; קישור למסמך ההמלצות שאושרו: https://tinyurl.com/446388su ↑
דוגמה לדו"ח כזה הוא הדו"ח: Cybersecurity: Agencies Need to Fully Establish Risk Management Programs and Address Challenges שפרסם ה-GAO בשנת 2019. קישור לדו"ח: https://tinyurl.com/yc8jvd7b ↑
ככלל, מנהל פרטיות ראשי (Chief Privacy Officer) הוא הגורם הארגוני הבכיר, המפתח עקרונות מדיניות להגנה על מידע השייך לאזרחים, צרכנים ועובדים מפני גישה לא מורשית. https://tinyurl.com/yyhuvpbk ↑
https://tinyurl.com/zkzxwx9y ; קישור למסמך: https://tinyurl.com/2vxvvedp ↑
https://tinyurl.com/yc5w659x ; https://tinyurl.com/mkcwrf8p ↑
National Cyber Workforce and Education Strategy: Initial Stages of Implementation ↑
National Cyber Workforce and Education Strategy. האסטרטגיה מקדמת ארבע מטרות: (1) העלאת רמת הידע המצויה בידי אזרחי ארה"ב בתחומי האוריינות החישובית; האוריינות הדיגיטלית והשימוש בטכנולוגיות חדשות; (2) שיפור מערך ההכשרה בתחום אבטחת הסייבר במערכות החינוך וההשכלה הגבוהה; (3) הרחבת גיוס מומחים למשרות בתחום אבטחת הסייבר; (4) חיזוק מערך כוח האדם הפדראלי בתחום הסייבר. קישור למסמך האסטרטגיה: https://bit.ly/3QmBqKC ↑
Working Group on Cyber Workforce and Education ↑
Working Group on Cyber Skills and Awareness ↑
Federal Cyber Workforce Working Group ↑
https://tinyurl.com/mjuam26f; קישור למסמך: https://tinyurl.com/ms45yj5r ↑
United States Government National Standards Strategy for Critical and Emerging Technology: Implementation Roadmap ↑
United States Government National Standards Strategy for Critical and Emerging Technology; האסטרטגיה מיועדת לְמַצֵּב את ארה"ב כגורם מוביל בתהליכים הבין-לאומיים לגיבוש התקנים בטכנולוגיות מתקדמות, בהן מחשוב קוונטי ובינה מלאכותית. האסטרטגיה מתמקדת בארבעה תחומי פעילות: (1) קידום ההשקעה הפדראלית במחקרים הנחוצים לצורך קביעת התקנים; (2) קידום שיתופי פעולה עם המגזר הפרטי, האקדמיה וגורמים בין-לאומיים, להרחבת מעורבותה של ארה"ב בקביעת התקנים; (3) הכשרת מערך מומחים מהאקדמיה ומהתעשייה, שיוכל להדביק את קצב התפתחות הטכנולוגיה ולסייע בגיבוש תקנים ברמה הטכנית; (4) קידום שיתופי פעולה בין-לאומיים, במטרה להבטיח כי ניסוח התקנים נעשה על בסיס יסודות טכניים ובאופן מוסכם. קישור לאסטרטגיה: https://bit.ly/3NP9YUm ↑
https://tinyurl.com/35z5rc3h; קישור למסמך: https://tinyurl.com/58n2w4v9 ↑
https://tinyurl.com/yc2dccjr ; https://tinyurl.com/yc2vw37u ↑
U.S. Army Cyber Command. ↑
Combatant Command Support Agent ↑
Department of Defense Chief Information Officer ↑
Department of Defense Zero Trust Overlays ↑
Executive Order on Improving the Nation’s Cybersecurity; הצו מיועד לסייע לגופי הממשל הפדראלי לשפר את יכולתם לזהות, לאתר, להרתיע, להגן ולהתמודד עם איומי סייבר. בתחום אפס האמון, מנחה הצו את סוכנויות הממשל לאמץ שיטות עבודה מומלצות, לבחון ארכיטקטורת רשת המבוססת על עקרון אפס אמון, להאיץ את המעבר לשירותי ענן מאובטחים ולהקל את הגישה למידע בנושא אבטחת סייבר, על מנת להקל על ניהול סיכוני סייבר. הצו מנחה את ראשי הסוכנויות הפדראליות לדווח על תוכניותיהן לאימוץ ולשימוש בטכנולוגיות ענן ולנסח תוכניות ליישום ארכיטקטורת אפס אמון. קישור לצו: https://bit.ly/3bwX9tZ ↑
העקרונות הם: (1) משתמשים (User); (2) מכשירים (Device); (3) יישומים ומשימות (Application and workload); (4) מידע (Data); (5) רשתות וסביבות (Network & Environment); (6) אוטומציה ותיאום (Automation & orchestration); (7) נראות וניתוח נתונים (Visibility & analytics). ↑
https://tinyurl.com/mr2te457; קישור למסמך: https://tinyurl.com/yckzep6a ↑
Under Secretary of Defense Personnel and Readiness ↑
בצבא ארה"ב נעשה שימוש במושג זה במצבים בהם זרועות הצבא ממרחבי לחימה שונים משתפות פעולה. להרחבה על המושג, ראו: https://tinyurl.com/bddeyvvp ↑
National Guard Bureau; מהווה את העתודה הצבאית המרכזית לחילות היבשה האוויר. https://tinyurl.com/4yfdkeet ↑
https://tinyurl.com/3ajr9ayp; קישור למִזְכָּר: https://tinyurl.com/3uybp2nb ↑
Joint Cyber Warfighting Architecture ↑
Acquisition, Logistics, and Technology. ↑
אחד מבין ארבעה מדדים המשמשים את המחלקה לקבוע אם תשתיות ענן, מערכות מידע ומידע שהן מאחסנות ומעבדות, עומדות בדרישות אבטחה ולסווג את מידת הפגיעה הפוטנציאלית בהם כתוצאה מפריצה. רמת סיווג IL5 כוללת בין השאר מידע רגיש בלתי מסווג ומידע לא מסווג בתחום הביטחון הלאומי. להרחבה ראו: https://tinyurl.com/mpmad6db ; https://tinyurl.com/ycst3ux6 ↑
Controlled Unclassified Information. ↑
https://tinyurl.com/2p8vefz9 ; https://tinyurl.com/3kh8y5de ↑
The Department of Defense's Chief Digital and Artificial Intelligence Office ↑
Defense Innovation Unit ↑
Combined Joint All Domain Command & Control; קונספט מערכת לריכוז ולשיתוף מידע מכלל היחידות בכוחות המזוינים של ארה"ב ובצבאות של בעלות ברית. ↑
Responsible Artificial Intelligence ↑
https://tinyurl.com/yc4vcyky; https://tinyurl.com/y2awepme ↑
Air Force Research Laboratory ↑
Non-classified Internet Protocol Generative Pre-training Transformer ↑
https://tinyurl.com/386tp2xy ; https://tinyurl.com/4a8wn4ej ↑
Cyber Mission Force ↑
Joint Staff’s J-6 Command, Control, Communications, Computers, & Cyber bureau ↑
Defense Counterintelligence and Security Agency ↑
Risk Management Framework; מסגרת בת שבעה שלבים, המגדירה כיצד לנסח וליישם עקרונות ניהול אבטחת סייבר של מערכות מידע של מחלקת ההגנה. ארבעת השלבים האחרונים קשורים ליישום מדיניות האבטחה, בעוד ששלושת השלבים הראשונים שנבחנו בדו"ח, קשורים בתכנון עקרונות המדיניות: (1) הכנה ליישום המסגרת, על ידי הגדרת סדרי עדיפויות בניהול סיכונים והגנה על פרטיות (Prepare); (2) סיווג המערכות על פי אופי המידע המעובד בהן ועל פי השפעת הפגיעה בה על התפקוד הארגוני (Categorize); (3) בחירת אמצעי בקרה מסוימים והתאמתם למערכות שונות, לצמצום רמת הסיכון הפוטנציאלית (Select); (4) יישום אמצעי הבקרה במערכות המידע (Implement); (5) הערכת פעילות אמצעי הבקרה (Assess); (6) מתן הרשאה למערכת לפעול על סמך אמצעי הבקרה שהוטמעו בה (Authorize); (7) ניטור מתמשך של פעילות המערכת (Monitor). קישור למסמך המציג את המסגרת במלואה: https://tinyurl.com/ycvxe9r8 ↑
המסמך מגדיר עבור סוכנויות פדראליות הנחיות מחייבות, המסייעות להן להגדיר עקרונות מדיניות אבטחת סייבר. הגִּרְסָה העדכנית של המסמך, החמישית במספר, פורסמה בספטמבר 2020, בעוד ש-DCSA הסתמכה על הגִּרְסָה הרביעית, שפורסמה באפריל 2013. קישור למסמך: https://tinyurl.com/y7bs8xss ↑
https://tinyurl.com/mrxh2wwy; קישור לדו"ח: https://tinyurl.com/3jhp9cj4 ↑
Senate Armed Services Committee ↑
https://tinyurl.com/89ybuktm; https://tinyurl.com/4d2auc5a ↑
Department of Defense Cyber Crime Center ↑
קישור למסמך המציג את עיקרי הצעת החוק: https://tinyurl.com/29k8228c ↑
Department of Defense Chief Information Officer ↑
Office of the Auditor General of Canada ↑
Royal Canadian Mounted Police ↑
Public Safety Canada ↑
Canadian Radio-television and Telecommunications Commission; גוף ממשלתי המפקח על פעילותם של גופי תקשורת בקנדה לטובת הציבור. https://tinyurl.com/4n2z5x59 ↑
https://tinyurl.com/bdh7p5xc; קישור לדו"ח: https://tinyurl.com/bd3a7vvr ↑
A revised Directive on Security of Network and Information Systems; דירקטיבה שנכנסה לתוקף בינואר 2023 ומטרתה לשפר את חסינות הסייבר ויכולות התגובה לאירועי סייבר של גופים במגזר הציבורי והפרטי במדינות חברות האיחוד האירופי. זאת, באמצעות ניסוח תקני אבטחת סייבר וקביעת דרישות לביצוע הערכות סיכוני סייבר על שרשראות אספקה, תשתיות חיוניות וארגונים בענפי הייצור, המחשוב והשירותים הדיגיטליים. https://tinyurl.com/4ft6sr96. https://bit.ly/3NYB4ba ↑
https://tinyurl.com/mr3kpbfb ; גישה לטיוטה: https://tinyurl.com/59wewkpj ↑
Polish Press Agency ↑
https://tinyurl.com/r2j7btwx ; https://tinyurl.com/yv6z3ued ; https://tinyurl.com/y6m3xstm ↑
The Danish Center for Cyber Security. ↑
הרמה הנמוכה ביותר מתארת מצב של היעדר איום (None), בעוד שהרמה הגבוהה ביותר היא רמה גבוהה (High). ↑
Danish Defence Intelligence Service ו-Danish Police Intelligence Service. ↑
https://tinyurl.com/4sdw4nfn; https://tinyurl.com/2js58a8e ↑
Swiss Federal Department of Defence, Civil Protection and Sport. המחלקה מהווה בפועל את משרד ההגנה של שוויץ, המחולק למספר תחומים כגון ביטחון, הגנה אזרחית, ספורט ושירות מודיעין פדראלי. ↑
https://tinyurl.com/4rv5cten. קישור להורדת המסמך: https://tinyurl.com/s5hjtthk ↑
National Police Chiefs' Council; מועצה המרכזת מפקדי משטרה מרחבי בריטניה, העוסקת בהגדרת מדיניות הפעולה המשטרתית. https://tinyurl.com/bddft4ks ↑
National Policing Cyber Security Strategy ↑
https://tinyurl.com/2cn4dfcs ; קישור למסמך האסטרטגיה: https://tinyurl.com/5c9tmspz ↑
Ministry of Public Security, Ministry of Culture and Tourism, National Radio and Television Administration ↑
https://tinyurl.com/4dre9d86 ; https://tinyurl.com/se85ebx6 ↑
Joint Operations College of the National Defence University ↑
https://tinyurl.com/ycbk7amx ; https://tinyurl.com/3459hpkh ↑
Country Digital Acceleration Program, תוכנית המקדמת שיתופי פעולה בין Cisco לבין ממשלות, התעשייה והאקדמיה לקידום השימוש בטכנולוגיה חדשנית בכ-50 מדינות. לפירוט אודות התוכנית ראו לדוגמא: https://tinyurl.com/yhy6rrne; https://tinyurl.com/4v2h4xws. https://tinyurl.com/bpjscjnz ↑
Minister for Digital Transformation ↑
https://tinyurl.com/ysaryp37; https://tinyurl.com/3pct7sru ↑
Cyber Security Council UAE ↑
Federal Authority for Government Human Resources. יוזמת Cyber Sniper מהווה מרכיב מרכזי באסטרטגיה של מועצת אבטחת הסייבר להבטיח את שלמותה של התשתית הדיגיטלית של המדינה, לתמוך בתהליכי דיגיטציה בטוחים ולשפר את מוכנותם ויכולתם של גופי ממשל בהתמודדות עם איומי סייבר. https://tinyurl.com/3x6rddp9 ↑
Microsoft Threat Analysis Center ↑
International Olympic Committee ↑
.https://tinyurl.com/y9xup5jwקישור לדו"ח: https://tinyurl.com/26t9z6tf ↑
https://tinyurl.com/55s2wxbu . קישור להודעה: https://tinyurl.com/23jz6e2n ↑
Personal Information Protection Commission ↑
Financial Services Commission ↑
Personal Information Protection Act; החוק נחקק לראשונה ב-2011 על מנת להסדיר את הדרכים בהן גופים יכולים לאסוף מידע אישי השייך לאזרחים, כגון הצגה מפורשת של מטרת עיבוד המידע הנאסף. במאי 2023 אושרו תיקונים לחוק, הצפויים להיכנס לתוקף ב-15 בספטמבר 2023. במסגרת התיקונים, מוכרת זכותם של אזרחים שלא להיכלל במערכות אוטומטיות לקבלת החלטות ואף להביע התנגדות להחלטות המתקבלות בהן, שייתכן והתבססו על מידע אישי השייך להם. https://tinyurl.com/rzfkeh4c ; https://bit.ly/446fXIZ ↑
Center for Security Studies ↑
From Vegas to Chengdu: Hacking Contests, Bug Bounties, and China’s Offensive Cyber Ecosystem ↑
https://tinyurl.com/bdh9faen .Ministry of Public Security; https://tinyurl.com/b4sp7xbu. קישור לדו"ח: https://tinyurl.com/ycyfexc8 ↑
International Criminal Court ↑
ChamelGang & Friends: Cyberespionage Groups Attacking Critical Infrastructure with Ransomware ↑
All India Institute of Medical Sciences ↑
https://tinyurl.com/449f6bdz ; קישור למחקר: https://tinyurl.com/yh7xdkrd ↑
ארגון אמריקני המקדם פיתוח ושימוש מאובטחים בתוכנות קוד פתוח. https://tinyurl.com/28rucfr8 ↑
תכונה של שפות תִּכְנוּת מסוימות, המונעת ממתכנתים להציג סוגי שגיאות מסוימות הקשורות לאופן השימוש בזיכרון והגישה אליו. מכיוון ששגיאות בטיחות בזיכרון מוגדרות לעיתים קרובות כבעיות אבטחה, שפות תִּכְנוּת שהן Memory safe, מאובטחות יותר משפות תִּכְנוּת שהן Memory unsafe . ↑
Dependency analysis הוא הליך המתבצע בעת פיתוח תוכנת קוד פתוח, שמטרתו לזהות אילו רכיבי תוכנות או ספריות חיצוניים נחוצים לקיום הפיתוח. זוהי בחינה חשובה שכן פיתוח תוכנות קוד פתוח עושות שימוש רב ברכיבים חיצוניים מעין אלו, על מנת לחסוך במאמצי הפיתוח. ↑
https://tinyurl.com/37vcj294; קישור למסמך: https://tinyurl.com/vaasymmj ↑
National Cybersecurity Center of Excellence ↑
Cybersecurity for the Water and Wastewater Sector: Build Architecture ↑
Bastion host הינו שרת המאפשר ניהול גישה של משתמשים מרשתות חיצוניות לרשתות פנימיות או פרטיות. https://tinyurl.com/awnshf4h . ↑
Demilitarized Zone; רשת המגנה על התקשורת המקומית (LAN) מתעבורה שמקורה במקורות לא מהימנים. https://tinyurl.com/ee6fp2jc ↑
https://tinyurl.com/26x4trbp; קישור למסמך: https://tinyurl.com/hz8h38vj ↑
Federal Emergencies Management Agency ↑
Sector Risk Management Agency; סוכנויות האחראיות על ניהול סיכונים בקרב 16 ענפי התשתיות החיוניות בארה"ב. https://bit.ly/46ZJohR ↑
(2024-2025) Strategic Guidance and National Priorities for U.S. Critical Infrastructure Security and Resilience ↑
התוכנית כוללת שלושה תחומי פעילות נוספים, שאינם מתחום אבטחת הסייבר: (1) התמודדות עם איומים על שרשראות אספקה, כגון מתקפות החות'ים על ספינות; (2) התמודדות עם סיכונים שמקורם במשבר האקלים; (3) מתן מענה לתלות הגוברת בשרשראות אספקה למערכות חלל. ↑
National Cyber Incident Response Plan; CISA פרסמה את התוכנית לראשונה בשנת 2016 והיא מובילה פעילות לפרסום תוכנית עדכנית עד לסוף שנת 2024. https://tinyurl.com/4u2hd72w . https://tinyurl.com/yp4zzp8k; קישור למסמך התוכנית: https://tinyurl.com/3bnxytas ↑
תרגיל דו-יומי המקיימת ENISA אחת לשנתיים בהשתתפות ארגונים ציבוריים ופרטיים מרחבי אירופה. כל תרגיל מתמקד במגזר חיוני אחר ביבשת, כשבשנת 2022 עסק התרגיל באיומי סייבר על מגזר הבריאות ובשנת 2018 במגזר התעופה. https://tinyurl.com/344xbu4e ↑
Office of Cybersecurity, Energy Security and Emergency Response; משרד ה-CESER הוא הגוף האחראי לאבטחת הסייבר ולאבטחה הפיזית של תשתיות החשמל והאנרגיה בארה"ב. ↑
Supply Chain Cybersecurity Principles ↑
Cyber-Informed Engineering, הינו אוסף עקרונות פעולה ואמצעים, המאפשר לשלב עקרונות אבטחת סייבר וחסינות בתהליכי תכנון והנדסה של מערכות שונות, כגון מערכות OT ותשתיות חיוניות. באמצעות גישה זו, ניתן לצמצם חולשות סייבר פוטנציאליות שעשויות להימצא. https://tinyurl.com/2b5srwmh ↑
https://tinyurl.com/ykry3spd ; קישור למסמך העקרונות: https://tinyurl.com/3s5wkm6k ↑
Australian Prudential Regulation Authority; רשות ממשלתית המפקחת על בנקים, ארגוני פנסיה וחברות ביטוח. https://tinyurl.com/2n8fn29d ↑
https://tinyurl.com/44t9m6dm; קישור להנחיות: https://tinyurl.com/ys6sus2c ↑
Press Information Bureau ↑
Department of Health and Human Services ↑
Healthcare and Public Health Sector Specific Plan; קישור למסמך: https://tinyurl.com/yka46xt3 ↑
https://tinyurl.com/ycyndju8; קישור למסמך: https://tinyurl.com/32ay3fwz ↑
Voice over Internet protocol; צורת תקשורת המאפשרת לבצע שיחות טלפון על בסיס רשת האינטרנט במקום קווי טלפון. https://tinyurl.com/3bsv759e ↑
Virtual desktop interfaces; תשתית המאפשרת למשתמשי רשתות ארגוניות לקבל גישה לשולחנות העבודה שבמחשביהם ממכשירים אחרים. https://tinyurl.com/4w5dx423 . https://tinyurl.com/frcjxaz4; קישור לאזהרה: https://tinyurl.com/3xsxj5rz ↑
Norwegian Maritime Cyber Resilience Centre; ארגון נורווגי ללא כוונת רווח שהוקם ב-2021, המעניק שירותי אבטחת סייבר לארגונים בתחום הימאות. https://tinyurl.com/jcbbzt66 ↑
International Maritime Cyber Security Organization ↑
מדובר לרוב בהאקרים אתיים, המשתמשים בכישורי התקיפה שלהם על מנת לזהות חולשות אבטחה. https://tinyurl.com/mthrxnwu ↑
https://tinyurl.com/pscnea7m ; https://tinyurl.com/4mpbymv2 ↑
National Intelligence Service ↑
The Space Information Sharing and Analysis Center, ארגון אמריקני הפועל לקידום שיתופי פעולה בתעשיית החלל העולמית, לשיפור יכולות ההגנה וההתמודדות מול איומי אבטחת מידע. https://tinyurl.com/bdn7w7cd ↑
The Australian Cyber Collaboration Center, ארגון אוסטרלי ללא מטרות רווח, המקדם שיתופי פעולה בין המגזר הפרטי, מוסדות מחקר וממשלה לפיתוח ולחיזוק אבטחת הסייבר ברחבי אוסטרליה. https://tinyurl.com/yc7h7923 ↑
https://tinyurl.com/3nrpm5fd ; https://tinyurl.com/yrdvf8rz ↑
Quantum Machine Learning; שימוש במחשוב קוונטי לשיפור ביצועי האלגוריתמים המשמשים ללמידת מכונה. https://tinyurl.com/ye228yvp ↑
Classical Machine Learning ↑
https://tinyurl.com/y8679jn9; קישור למחקר: https://tinyurl.com/yweazfrw ↑
מהאיחוד האירופי פרסם את ההמלצות המפקח האירופי להגנה על המידע (EDPS) ומהונג קונג היה זה משרד הנציב לענייני פרטיות ומידע אישי (PCPD). ↑
למשל תקנה 2018/1725 משנת 2018, העוסקו בהגנה על מידע אישי המעובד על ידי מוסדות האיחוד. קישור לרגולציה: https://tinyurl.com/2jcazfhh. https://tinyurl.com/mwkzstwt; קישור למסמך מטעם האיחוד האירופי: https://tinyurl.com/33zjc4x7. פרטים וקישורים למסמך שפורסם בהונג קונג: https://tinyurl.com/4n59xwdf ; קישור למסמך המסגרת: https://tinyurl.com/4jfscrj5 ↑
הגרסה הראשונה פורסמה בספטמבר 2023. https://tinyurl.com/33p9m29m; https://tinyurl.com/4638p3sm. קישור למסמך: https://tinyurl.com/msj8fps7 ↑
National Framework for the Assurance of Artificial Intelligence in Government. https://tinyurl.com/ev2ndn4u; קישור למסמך: https://tinyurl.com/2mynazx9 ↑
אחת מ-17 הקהילות האוטונומיות בספרד. ↑
The Ministry for Digital Transformation and Civil Service ↑
The International Artificial Intelligence Advisory Council ↑
The Spanish AI Supervision Agency , תפקידיה הינם: (1) להפעיל צוות חשיבה, להפיץ ידע ולקדם דיון על ההזדמנויות והמגבלות של בינה מלאכותית; (2) פיקוח בהתאם לרגולציית האיחוד האירופי על מערכות בינה מלאכותית המוגדרות כבעלות סיכון פוטנציאלי גבוה וכן קידום תקינה והערכת מודלים של בינה מלאכותית; (3) תיאום היישום של רגולציית משרד הבינה המלאכותית שהקימה הנציבות האירופית (AI Office) ושל שאר רשויות הפיקוח הלאומיות במדינות האיחוד; (4) קידום חדשנות בינה מלאכותית במגזר הציבורי והפרטי; (5) השתתפות בפורומים בין-לאומיים לקידום בינה מלאכותית אחראית. ↑
חוק ה-EU AI Act מסווג מערכות בינה מלאכותית לארבע רמות, בהתאם לסיכון הנשקף מהן: סיכון מינימלי (Minimal risk), סיכון מוגבל (Limited risk), סיכון גבוה (High-risk) וסיכון בלתי מתקבל על הדעת (Unacceptable risk). דוגמה למערכות המוגדרות כבעלות סיכון גבוה הן מערכות בינה מלאכותית בתשתיות חיוניות. כל רמה כוללת הגבלות שונות על השימוש בבינה מלאכותית. https://tinyurl.com/asw8dtxw ↑
https://tinyurl.com/3mx9f9zf ; https://tinyurl.com/a6zvkmem ; https://tinyurl.com/32xnxtej ; https://tinyurl.com/4raz6n7c ↑
NATO Innovation Fund ↑
נוסד ב-1993 לבחינת קשרי הגומלין בין משאבי טבע, עימותים אלימים ושחיתות. הארגון עוסק עוד בהגנה על המרחב האזרחי, במאבק בשינוי האקלים ובמניעת השימוש לרעה בעוצמה ובהונאות פיננסיות. ↑
Digital Services Act; החוק משית דרישות על פלטפורמות מדיה חברתיות להגבלת ההפצה של מידע כוזב, הסרה מיידית של תוכן לא חוקי, הגברת ההגנה על קטינים במרחב הדיגיטלי ועוד. https://tinyurl.com/3wdjf26z ; https://tinyurl.com/3pzsfyz3 ↑
https://tinyurl.com/mwr3jbpk ; https://tinyurl.com/msb2k87y ↑
הוקם ב-2018 על ידי עיתונאים במטרה לקדם שקיפות ואת המאבק בתפוצת מידע כוזב, על בסיס ניתוח נתונים ובדיקת עובדות. הארגון מעורב במספר יוזמות אירופאיות, דוגמת Strengthened European Code on Disinformation. ↑
מאגר מידע שהקימו ושמפעילים רשת של בודקי עובדות מ-40 מדינות מהאיחוד האירופי וכן הרשת האירופית לבדיקת עובדות (EFCSN), לקראת הבחירות לפרלמנט האירופי, ושנתמך על ידי גוגל. מאגר מידע הכולל מקרים של מידע כוזב שמפעילי הרשת זיהו והפריכו. להרחבה ראו: https://tinyurl.com/45jv6w8v ↑
https://tinyurl.com/nydurnyx. קישור לדו"ח: https://tinyurl.com/yku34nuk ↑
:Special Point of Contact אנשי קשר ייעודיים, שמטרתם לטפל בעבירות הקשורות לקיום הבחירות בבריטניה. https://tinyurl.com/52mr2sv8; https://tinyurl.com/5p7e9u7b ↑
חברת סטארט-אפ בריטית שהוקמה ב-2017, ומתמחה בניתוח ובמאבק בהפצת מידע שגוי וכוזב, בעזרת שימוש בבינה מלאכותית. ↑
General Election. https://tinyurl.com/2wnyezbp ; https://tinyurl.com/52s6nbbw ↑
Threat Analysis Group ↑
Democratic Progressive Party ↑
https://tinyurl.com/4xsa4er8 ; https://tinyurl.com/4x552xcm ; https://tinyurl.com/3cyve8vs ↑
https://tinyurl.com/3sc6zn3p ; https://tinyurl.com/nhabh9ez ↑
https://tinyurl.com/2vaycyjc ; https://tinyurl.com/3kdcrpcb ↑