אוגוסט 2024
דו"ח מדיניות וביטחון סייבר
תוכן עניינים
איומי סייבר על רקע מלחמת רוסיה-אוקראינה 5
איומי סייבר על תשתיות חיוניות 12
איומי סייבר על שרשראות אספקה 14
איומי סייבר על מגזר הפיננסים 16
איומי סייבר על עסקים קטנים ובינוניים 17
תקציר חודשי
רשות התעופה האמריקנית הפדראלית (FAA) פרסמה לתגובות הציבור טיוטת תקנות, המחייבות יצרני מטוסים לעמוד בדרישות אבטחת סייבר בשלבי הייצור של מטוסי נוסעים והציוד הנלווה להם; המכון הלאומי לתקנים וטכנולוגיה (NIST) פרסם תקנים לשלושה אלגוריתמים להצפנה פוסט-קוונטית; עוד פורסם כי ביולי 2024 ערך צבא היבשה תרגיל שנתי בשם Cyber Quest 24, במהלכו התנסה בשימוש ב-19 טכנולוגיות שונות בהן הבינה המלאכותית; מחוקקים הציגו הצעת חוק דו-מפלגתית שמטרתה לשפר את התיאום בין המגזר הציבורי והפרטי במאבק באיום מתקפות כופרה על מגזר הפיננסים.
סוכנויות אכיפת חוק, אבטחת סייבר ומודיעין אמריקניות וכן חברות פרטיות בהן OpenAI ומיקרוסופט, פרסמו פרטים אודות מתקפות סייבר ומבצעי השפעה איראניים, שמטרתם לשבש את תהליך הבחירות לנשיאות ארה"ב, שייערכו בנובמבר 2024; כמו כן, פרסמה Meta דו"ח אודות מבצעי השפעה, המיוחסים בעיקר לרוסיה.
יפן הודיעה כי בכוונתה להקים מרכז מחקר ממשלתי לפיתוח טכנולוגיות צבאיות בתחומי הבינה המלאכותית ולוחמת סייבר; סינגפור הקימה כוח משימה לחיזוק החסינות הדיגיטלית של המגזר הפרטי והציבורי במדינה, על רקע התקלה העולמית שחוותה CrowdStrike וכן השיקה תוכנית לאומית להגנה על מערכות OT מאיומי סייבר; הבנק המרכזי של הפיליפינים פרסם תוכנית אסטרטגית לשנים 2029-2924, לשיפור התמודדות מגזר הפיננסים במדינה עם איומי סייבר; רשות החשמל המרכזית של הודו (CEA) פרסמה לתגובות הציבור מסמך, הכולל הנחיות לניהול מצבי חירום ולמינוי מנהלי מערכות מידע ראשיים (CISO) בארגוני תשתיות לאספקת חשמל; במלזיה נכנס לתוקף חוק אבטחת הסייבר הלאומי; צבא אוסטרליה הקים פיקוד סייבר שיהיה אחראי על תחום הלוחמה הקוגניטיבית והמידע (CIW); שוויץ הצטרפה לארגון האירופי לאבטחת סייבר (ECSO), בעוד שהמרכז הלאומי לאבטחת סייבר של אירלנד (NCSC-IR), פרסם תוכנית להתמודדות עם איומי סייבר על מערכות IT ו-OT החיוניות ברמה הלאומית.
בתחום טכנולוגיית הבינה המלאכותית, עתידה בריטניה להקים מעבדת מחקר להתמודדות עם איומים על ביטחונה הלאומי, לרבות מבצעי השפעה. כמו כן, פרסמו האיחוד האפריקני (AU) וממשלות אוסטרליה ודרום אפריקה, אסטרטגיות ועקרונות לקידום הטמעה אחראית של הבינה המלאכותית וליצירת שגשוג כלכלי וחברתי. בתחום שיתופי הפעולה הבין-לאומיים, הושקה באו"ם אמנה לקידום המאבק העולמי בפשיעת סייבר, בעוד שארה"ב, אוסטרליה וניו-זילנד, הודיעו כי יקדמו שיתופי פעולה בילטרליים ביניהן, במניעת איומי סייבר ומבצעי השפעה.
ארה"ב
ממשל, אסטרטגיה ומדיניות
ב-6 באוגוסט פרסם המרכז הלאומי למצוינות באבטחת סייבר (NCCoE)[1] של המכון הלאומי לתקנים וטכנולוגיה (NIST) לתגובות הציבור טיוטת מסמך עקרונות הכולל 17 תבניות לדוגמא,[2] לסיוע בהטמעת ארכיטקטורות רשת המבוססות על עיקרון אפס האמון (Zero Trust) בארגונים. פיתוח התבניות נעשה בשיתוף פעולה בין NCCoE לבין 24 חברות מתחומי הטכנולוגיה ואבטחת הסייבר, בהן IBM ו-Google Cloud. מלבד המסמך, פרסם NCCoE משאב מקוון, המציג מידע מפורט אודות התבניות.[3]
בנוסף, ב-8 באוגוסט הצהיר ראש משרד הסייבר הלאומי (ONCD), הארי קוקר (Harry Coker), כי משרדו משתף פעולה עם הסוכנות לאבטחת סייבר ותשתיות (CISA) ומשרד הביטוח הפדראלי של מחלקת האוצר (FIO)[4] בגיבוש הצעה להפעלת ביטוח סייבר, בהתרחשות אירוע סייבר חמור בארה"ב. לדברי קוקר, ההצעה תגובש עד לסוף שנת 2024 בשיתוף בין שלוש הסוכנויות לבין מחוקקים, ממשלי מדינות ארה"ב (State level) והמגזר הפרטי. גיבוש ההצעה נעשה לפי אסטרטגיית אבטחת הסייבר הלאומית ממרץ 2023,[5] במסגרתה הצהיר הבית הלבן כי יפעל לייצב את שוק ביטוח הסייבר, שעשוי להיות מושפע בעקבות מתן שירותי ביטוח בהתרחשות של אירוע משמעותי.[6]
חקיקה
ב-9 באוגוסט הציגו הסנאטורים האמריקניים מארק וורנר (Mark Warner) וג'יימס לנקפורד (James Lankford), את הצעת החוק הדו-מפלגתית, Federal Contractor Cybersecurity Vulnerability Reduction Act of 2024, לשיפור מידת אבטחת הסייבר של חברות קבלן פדראליות.
על פי ההצעה, תוך 180 יום מכניסת החוק לתוקף נדרש המשרד לניהול ולתקציב (OMB),[7] בשיתוף עם CISA ו-NIST לעדכן את תקנות הרכש הפדראליות (FAR),[8] כך שיחייבו חברות קבלן להטמיע עקרונות מדיניות לאיתור ולטיפול פרו-אקטיביים של חולשות אבטחה (VDP).[9] בד בבד, נדרשת מחלקת ההגנה לעדכן בפרק זמן זה את עקרונות הרכש הביטחוני לממשל הפדראלי (DFARS).[10]
צבא וביטחון
ב-1 באוגוסט פרסם המרכז הלאומי לביטחון ולמודיעין מסכל (NCSC)[11] אסטרטגיה להתמודדות עם איומי ריגול, בגבולות ארה"ב ומחוצה להם.[12] מטרת האסטרטגיה לתת מענה למתקפות סייבר פוטנציאליות על ארה"ב מגורמים זרים באמצעות קידום אינטגרציה בין פעולות הממשל הפדראלי לבין קהילת המודיעין, לפיתוח יכולות ותשתיות לסיכול מתקפות סייבר. לשם השגת מטרות אלו, מעודדת האסטרטגיה בין השאר, פיתוח של טכנולוגיות חדשות להגנה על ארה"ב מאיומים עתידיים, למשל באמצעות השקעה פדראלית במחקרים. בד בבד, יבצע הממשל הפדראלי פעולות משותפות עם גופים נוספים ובעלי ברית על מנת לשבש באופן יזום איומי סייבר ממקורות זרים נגד ארה"ב.[13]
כמו כן, ב-1 באוגוסט פורסם כי במהלך יולי 2024, קיים צבא היבשה את התרגיל השנתי Cyber Quest 24, במהלכו בחן שימוש ב-19 טכנולוגיות שונות לצרכים מבצעיים קיימים ועתידיים. בתרגיל נבחן השימוש בטכנולוגיות בינה מלאכותית ולמידת מכונה לניתוח מהיר של אותות לוחמה אלקטרונית, שיריבי ארה"ב עלולים להפעיל נגד כוחות צבא בעימותים עתידיים. קיום הניסוי עולה בקנה אחד עם יוזמת צבא היבשה ממאי 2024 לקיים תוכנית פיילוט לשיפור יכולת התמודדותו עם לוחמה אלקטרונית, לאור לקחי מלחמת רוסיה-אוקראינה.[14]
ב-6 באוגוסט הצהיר המנהל בפועל של המרכז למחשוב ולאירוח שירותי האינטרנט של סוכנות מערכות המידע של מחלקת ההגנה (DISA HaCC),[15] ג'ף מרשל (Jeff Marshall), כי המרכז מעדכן את תשתית הענן המסווגת Stratus, המשמשת כיום את כוחות צבא ארה"ב המוצבים באזור האוקיאנוס השקט ושצפויה לשרת כוחות אמריקניים המוצבים באירופה. לדברי מרשל, במסגרת פרויקט ה-JWCC,[16] כוחות צבא אמנם נעזרים בשירותי ענן מסחריים, למשל לצורך עיבוד כמויות גדולות של מידע, אך לעיתים הדבר כרוך בהוצאה תקציבית גדולה. אולם, תשתית ה-Stratus המשודרגת תאפשר לכוחות להיעזר בשירותי הענן המתקבלים מה-JWCC, בהתאם למשאבים הפיננסים העומדים לרשותם. בנוסף, הודיע מרשל כי DISA מתכננת לפרוס בגרמניה את תשתית הענן הציבורית JOE,[17] המספקת מאז שנת 2023 כחלק מפרויקט ה-JWCC שירותי ענן, כגון פלטפורמה כשירות (PaaS),[18] המאפשרים לכוחות צבא אמריקניים מחוץ לארה"ב לשתף במהירות נתונים לצרכים מבצעיים.[19]
אירופה
איומי סייבר על רקע מלחמת רוסיה-אוקראינה
ב-19 באוגוסט פרסם צוות ה-CERT הלאומי של אוקראינה (CERT-UA) אזהרה, לפיה קבוצת האקרים פרו-רוסית בשם Vermin,[20] הפועלת עבור הרפובליקה העממית של לוגנסק (LPR),[21] ביצעה קמפיין דיוג, במסגרתו הפיצה הודעות דוא"ל שכללו, כביכול, צילומים של פשעי מלחמה שביצעו חיילי צבא אוקראינה בפלישתו למחוז קוּרְסְק (Kursk) שברוסיה. במסגרת הקמפיין הפיצו ההאקרים רוגלה בשם Spectr, המאפשרת להאקרים לגנוב צילומי מסך וקבצים וכן נוזקה בשם Firmachagent, המאפשרת להעלות את המידע הגנוב לשרת השייך להאקרים. לצמצום הסיכוי להיפגע מקמפיין הדיוג, המליץ צוות ה-CERT לארגונים להפעיל אמצעי בקרה, כגון AppLocker,[22] למניעת פתיחת קבצים חשודים.[23]
האיחוד האירופי
ב-9 באוגוסט פרסמה הסוכנות האירופית לאבטחת מידע ורשתות (ENISA) הצעה לחברות פרטיות לספק שירותי אבטחת סייבר למדינות האיחוד במסגרת תוכנית ה-Cybersecurity Support Action, שתוקצבה בשנים 2023-2022 בסך של 15 מיליון אירו (16.5 מיליון דולר). במהלך שנת 2023, נבחנה התוכנית בפיילוט כחלק ממיזם אירופה דיגיטלית (DEP),[24] המיועד להימשך עד לסוף שנת 2026, לשיפור המוּדָעוּת המצבית ויכולות הגילוי, המניעה והתגובה לתקריות סייבר. במסגרת התוכנית יסופקו לגופי מדינות האיחוד, הכפופות לדירקטיבת NIS2 שירותים שונים,[25] כגון ניהול תקריות, קיום תרגילי אבטחת סייבר והכשרת כוח אדם.[26]
בריטניה
ב-2 באוגוסט הודיע המרכז הלאומי לאבטחת סייבר של בריטניה (NCSC) כי בכוונתו להציג גִּרְסָה חדשה של תוכנית ההגנה האקטיבית (ACD),[27] שהושקה בשנת 2017 ושמסייעת לעסקים להתגונן מאיומי סייבר. במסגרת השינויים, מתכוון ה-NCSC להתמקד במתן פתרונות אבטחה שהשוק הפרטי לא מסוגל להציע כיום לעסקים, בשל היעדר יכולות טכנולוגיות מתאימות. בנוסף, בכוונתו להעביר עד לשנת 2027 לגופי ממשל אחרים או לחברות פרטיות סמכות להעניק שירותי אבטחה, המוצעים על ידו. פרטים נוספים על תוכנית ה-ACD העדכנית יתפרסמו בחודש ספטמבר.[28]
אירלנד
ב-6 באוגוסט פרסם המרכז הלאומי לאבטחת סייבר של אירלנד (NCSC-IR)[29] את התוכנית הלאומית להתמודדות עם אירועי סייבר (NCEP),[30] שעלולים להשפיע על תפקוד מערכות ורשתות IT ו-OT בעלות חשיבות לאומית. התוכנית מגדירה שלושה מצבי פעולה בניהול תקריות סייבר לאומיות.
במצב שִׁגְרָה (Permanent Mode), על ה-NCSC והממשלה לשפר את המוּדָעוּת המצבית בנושא אבטחת הסייבר הלאומית, באמצעות קבלת דיווחים מהמגזר הציבורי ומגופים נוספים אודות תקריות וחולשות אבטחה פוטנציאליות. מעבר למצב אזהרה (Warning Mode) מתבצע כאשר יש אינדיקציות להתרחשות של מצב חירום במרחב הסייבר במגזר מסוים, בשטחה של אירלנד או מחוץ לה. לפיכך, ידריך ה-NCSC גופים שעלולים להיפגע ממצב החירום אודות אמצעי היערכות והתמודדות. מצב הפעלה מלאה (Full Activation Mode) מיושם באירוע חירום במרחב הסייבר, במהלכו ינהל ה-NCSC את כלל הפעולות הממשלתיות הנחוצות להכלת ולהפחתת האירוע ולהתאוששות ממנו.[31]
שוויץ
ב-21 באוגוסט הודיעה ממשלת שווייץ כי בכוונתה להצטרף לארגון (ללא כוונות רווח) האירופי לאבטחת סייבר (ECSO).[32] מטרת ההצטרפות לשפר את יכולות התמודדותה של שווייץ עם איומי סייבר על ידי הרחבת שיתוף הפעולה שלה עם ממשלות, המגזר הפרטי ואוניברסיטאות מאירופה. במסגרת זאת, תשתתף שווייץ בתהליכי קבלת החלטות ובפיתוח של טכנולוגיות וכן תקבל גישה למידע ממומחים.[33]
אסיה
יפן
ב-12 באוגוסט הודיע משרד ההגנה של יפן כי בכוונתו להשיק באוקטובר 2024 מרכז מחקר ממשלתי (DITI),[34] שיעסוק בפיתוח טכנולוגיות חדשות לשימוש צבאי, לרבות יכולות לוחמת סייבר ובינה מלאכותית, לפי עקרונות מחקר המיושמים ביחידת החדשנות של מחלקת ההגנה האמריקנית (DIU) ובדארפ"א.[35] המרכז ישמש גם כמכון מחקר, שיעקוב אחר מגמות עולמיות בחקר טכנולוגיות חדשות ושינהל מיזמים בטכנולוגיות לשימוש כפול (Dual-use).[36]
סינגפור
על רקע התקלה שחוותה ב-19 ביולי 2024 חברת CrowdStrike, ב-7 באוגוסט פורסם כי המשרד לפיתוח דיגיטלי ומידע של ממשלת סינגפור (MDDI),[37] הקים כוח משימה לחיזוק החסינות הדיגיטלית במדינה. כוח המשימה יהיה אחראי לבצע סריקות של מערכות ה-IT והפרוטוקולים במדינה, וכן ישתף פעולה עם המגזר הציבורי והפרטי בפיתוח תוכניות אסטרטגיות מקיפות למניעת מקרים דומים בעתיד.[38]
במקביל, ב-20 באוגוסט פרסמה סוכנות אבטחת הסייבר הלאומית של סינגפור (CSA) גִּרְסָה עדכנית לתוכנית הלאומית להגנה על מערכות OT,[39] שהושקה בשנת 2019. במסגרת התוכנית, עודכן יישום ארבעת יעדיה: בתחום הכשרת כוח האדם, תשתף CSA פעולה עם מוסדות אקדמיים לשילוב קורסי אבטחת סייבר של מערכות OT בתוכניות לימוד בתחומי מדעי המחשב וההנדסה. בנושא שיתוף המידע, תבחן CSA אמצעים לפישוט מנגנוני הדיווח על אירועי סייבר מצד עסקים. בנוסף, תפעל CSA לשיפור חסינות הסייבר של ארגוני תשתיות חיוניות ומגזרים אחרים המשתמשים במערכות OT, על ידי עדכון הערכות סיכוני אבטחת הסייבר הנעשים על ידם, כך שיתמקדו גם בהשלכותיהם של אירועי סייבר על תפקודם הפיזי. לבסוף, תקדם CSA את הטמעת עיקרון ה-Secure-by-deployment בפעילות ובייצור של מערכות OT,[40] על ידי הקמת מרכז מצוינות לפיתוח ולחקר טכנולוגיות חדשות מאובטחות.[41]
מלזיה
ב-26 באוגוסט נכנס לתוקף במלזיה חוק אבטחת הסייבר הלאומי Cyber Security Act (Act 854). מטרת החוק לשפר את מידת אבטחת הסייבר של תשתיות מידע חיוניות לאומית (NCII),[42] למשל באמצעות ביצוע הערכות סיכוני סייבר אחת לשנה וביקורות חיצוניות אחת לשנתיים, לווידוא עמידת הארגונים בהוראות החוק. כמו כן, תוקם וועדה לאומית לאבטחת סייבר ((NCSC[43] והוגדרו בחוק סמכויותיו של מנהל הסוכנות הלאומית לאבטחת סייבר ((NACSA.[44] בין השאר, מנחה החוק מנהלי תשתיות חיוניות לדווח באופן ראשוני על אירועי סייבר ל-NACSA עד שש שעות מרגע התרחשותם ולהעביר לו דיווח מלא בתוך 14 ימים.
במקרה של אי עמידה בהוראותיו, עלולים לעמוד הגופים הרלוונטיים בפני קנסות בסך של עד 200 אלף רינגיט מלזי (כ-43 אלף דולר) ועד לשלוש שנות מאסר. לבסוף, פורסם כי בכוונת ממשלת מלזיה להציג הצעת חוק חדשה בנושא שיפור אבטחת המידע והנתונים השייכים לאזרחים, לצמצום הונאות מקוונות ברמה הלאומית.[45]
האוקיינוס השקט
אוסטרליה
ב-9 באוגוסט הודיע צבא אוסטרליה (ADF)[46] כי הקים את פיקוד הסייבר, שיקבל אחריות על תחומי הלוחמה הקוגניטיבית ולוחמת המידע בצבא (CIW),[47] לצד פעילות הצבא במרחב האווירי, היבשתי, הימי ובחלל. הפיקוד יפעל כחלק מקבוצת היכולות המשותפות (JCG),[48] השייכת לצבא אוסטרליה והמאגדת יחידות צבאיות בתחומי החלל והסייבר.[49]
בטחון סייבר
במסגרת כנס DEF-CON השנתי הבין-לאומי שהתקיים בין ה-11-8 באוגוסט בלאס ווגאס, הושק פרויקט Def Con Franklin, למינוף מומחיותם של משתתפי הכנס לשיפור מידת הגנת הסייבר בארה"ב. ראשית, בכוונת המארגנים לפרסם אחת לשנה דו"ח, להצגת חולשות האבטחה שמצאו ההאקרים משתתפי הכנס בתשתיות חיוניות, לסיוע למחוקקים ולמקבלי החלטות לגבש מדיניות אבטחת סייבר. בנוסף, בכוונת המארגנים לגייס מומחי אבטחת סייבר מתנדבים, שיסייעו לשפר את הגנת הסייבר של מוסדות חינוך וארגונים במגזר אספקת המים, הנעדרים משאבים פיננסים. השתתפותם של ארגוני תשתיות חיוניות נוספים תישקל בעתיד.[50]
בנוסף, ב-9 באוגוסט במסגרת כנס DEF-CON, פרסם ה-ONCD האמריקני דו"ח המבוסס על 107 תגובות שהתקבלו הציבור בעקבות בקשה משותפת שפרסמו באוגוסט 2023 גופי ממשל פדראליים, בהם CISA, דארפ"א וה-ONCD, בנושא קידום הפיתוח המאובטח של תוכנות קוד פתוח. בין השאר, התקבלו תגובות שהמליצו לקדם הטמעה מתואמת של מנגנונים לגילוי חולשות אבטחה בתוכנות, במטרה ליידע מפתחי תוכנות קוד פתוח על חולשות. כמו כן, המליצו המשיבים לקדם וולונטרית את השימוש בשפות תִּכְנוּת מסוג Memory-safe,[51] בפיתוח מיזמי תוכנה חדשים. כמו כן, הציעו המשיבים להסתייע בלמידת מכונה, במודלי שפה גדולים (LLMs) ובבינה מלאכותית יוצרת, לגילוי ולתיקון מהיר של חולשות אבטחה ולשיפור ולהאצת תהליכי הפיתוח המאובטחים. לצד זאת, כלל המסמך פעולות שהבית הלבן נקט או שבכוונתו לנקוט במהלך השנים 2025-2024, לקידום הפיתוח המאובטח. כך למשל, עתידה הקרן הלאומית למדע (NSF),[52] להשיק תוכנית לפיתוח אקו-סיסטם של תוכנות קוד פתוח מאובטחות.[53]
כמו כן, החודש פרסמו סוכנויות אכיפת חוק, מודיעין וחברות פרטיות פרטים אודות מתקפות סייבר מצידה של איראן על ארה"ב ומדינות נוספות, בניסיונה לגנוב מידע ולפגוע בתהליך הבחירות לנשיאות ארה"ב שייערכו בנובמבר 2024. תחילה, ב-9 באוגוסט פרסם מרכז ניתוח האיומים של מיקרוסופט (MTAC)[54] דו"ח לפיו במאי 2024 כשלה קבוצת ההאקרים Mint Sandstorm, המזוהה עם ארגון משמרות המהפכה של איראן, לפרוץ לחשבון המייל של מועמד לנשיאות ארה"ב ששמו לא צוין.[55] ביוני 2024, ביצעה הקבוצה מתקפת דיוג ממוקד (Spear-phishing) נגד גורם רשמי במטה הבחירות של אחד מהמועמדים, שלא צוין שמו.[56]
במקביל, ב-14 באוגוסט פרסם צוות ניתוח האיומים של גוגל (TAG)[57] הודעת בלוג אודות תקיפות דיוג ממוקדות שביצעה קבוצת APT42,[58] המזוהה עם משמרות המהפכה של איראן, בחודשים פברואר-יוני 2024. המתקפות כוונו נגד ארגונים ללא כוונת רווח, גורמי ממשל, דיפלומטים ואישים המקושרים למגזר הייצור הבטחוני ומכוני מחקר בישראל, ארה"ב ובמדינות נוספות. לטענת מנסחי ההודעה, בחלק מהמתקפות ניסו התוקפים לשכנע את הקורבנות להיכנס לקישורים לביצוע של שיחות וידאו, למשל ביישום Google Meet, כדי להוביל אותם לדף נחיתה לגניבת הרשאות הכניסה שלהם.
במקרים אחרים, שלחו התוקפים קבצי PDF לגיטימיים לקורבנות, במטרה לבנות אמון ולבסס עימם תקשורת בשיחות באפליקציות למשלוח מסרים, כגון Telegram, שם ביצעו מתקפות דיוג לגניבת הרשאות מהקורבנות. בעקבות גילוי הקמפיינים, השביתה TAG את פעילות חשבונות הקבוצה שזוהו, בכלל השירותים המופעלים על ידי גוגל.[59]
גם Meta פרסמה החודש הודעת בלוג, לפיה קבוצת APT42 ביצעה ניסיון מתקפת הנדסה חברתית נגד אישים פוליטיים ודיפלומטיים מישראל, מבריטניה וממדינות נוספות, לרבות גורמים רשמיים בממשלי ובצוותי הנשיאים ג'ו ביידן ודונלד טראמפ. במסגרת המתקפה, השתמשו ההאקרים בחשבונות WhatsApp שהתחזו לחשבונות תמיכה טכנית של גוגל, מיקרוסופט וחברות טכנולוגיה נוספות, לגניבה של הרשאות הכניסה לחשבונותיהם האישיים של קורבנותיהם. על פי הודעת החברה, אין עדויות לכך שההאקרים הצליחו לפרוץ לחשבונות הקורבנות.[60]
על רקע דו"חות אלו, ב-19 באוגוסט פרסמו משרד ראש המודיעין האמריקני הלאומי (ODNI), CISA וה-FBI אזהרה משותפת אודות ניסיונותיה הגוברים של איראן להתערב בבחירות לנשיאות ארה"ב. כחלק מכך, הודו כי איראן ניסתה לפרוץ לקמפיינים של המועמד לנשיאות, דונלד טראמפ וייתכן שגם לקמפיין של קמאלה האריס, לגניבת מידע רגיש באמצעות שימוש בטכניקות הנדסה חברתית. כמענה לאיומים אלה, הנחו הסוכנויות על יישום צעדים כגון שימוש בסיסמאות חזקות ובאימות רב-שלבי ((MFA, ביצוע עדכוני תוכנה, ועוד.[61]
בד בבד, ב-21 באוגוסט פרסמו מספר סוכנויות מודיעין ואבטחת סייבר מהעולם, בהן ה-NSA, שירות הביטחון והביון הכללי של הולנד (AIVD)[62] והמרכז הלאומי לאבטחת סייבר של בריטניה (NCSC), מסמך משותף אודות עקרונות מומלצים לתיעוד אירועים (Event logging) ולמעקב אחר איומי אבטחה מבוססי טכניקות LotL,[63] בתשתיות ענן, ברשתות ארגוניות ו-OT.[64] על פי מנסחי המסמך, על תיעוד של אירועים להתבסס על ארבעה עקרונות: ראשית, יש לנסח עקרונות מדיניות, שיקדמו הטמעת שיטות תיעוד שיספקו לארגונים מידע הנחוץ לזיהוי פעילות חריגה ברשתותיהם. על מדיניות זו להגדיר את אופן ניטור הרשתות וסוגי האירועים שיש לתעד. שנית, יש לגבש עקרונות, שיאפשרו לאסוף את התיעוד במרוכז ובתיאום עם ספקי שירותים חיצוניים, למשל באמצעות חלוקת תחומי אחריות בתיעוד אירועים בין הארגונים לספקיהם.
בד בבד, יש לוודא כי התיעוד מאוחסן באופן מאובטח, למשל על ידי בידוד מערכות לניהול אבטחת מידע ואירועים (SIEM)[65] מסביבות IT כלליות. לבסוף, על ארגונים להיעזר בכלים לניתוח התנהגות משתמשים (UEBA)[66] ובאמצעים להגנה על נקודות קצה (EDR), לאיתור מתקפות מסוג LotL.[67]
איומי סייבר על תשתיות חיוניות
ב-1 באוגוסט פרסם משרד המבקר האמריקני הממשלתי (GAO) דו"ח שבחן את התמודדות הסוכנות להגנת הסביבה (EPA)[68] עם איומי סייבר על תשתיות לאספקת מים. על פי מחברי הדו"ח, EPA אמנם יישמה צעדים להתמודדות עם סיכוני סייבר, כמו הקמת קבוצות עבודה בשיתוף עם גופים במגזר אספקת המים לתעדוף ולהתמודדות עימם. אולם, היא לא גיבשה אסטרטגיה כוללת להערכת סיכוני אבטחה על המגזר. מחברי הדו"ח המליצו ל-EPA לבצע הערכה מקיפה של סיכוני האבטחה הפיזיים ואבטחת הסייבר על מגזר המים והשלכותיהם ולגבש אסטרטגיית אבטחת סייבר לאומית, בשיתוף עם גופים נוספים מהממשל הפדראלי או ממגזר אספקת המים.[69]
בנוסף, ב-15 באוגוסט הציג תאגיד MITRE את הפרויקט Defending OT with ATT&CK, שפותח בשיתוף עם חברת Siemens, עם גופים ללא כוונת רווח וחברות טכנולוגיה מהעולם, לסיוע לארגוני תשתיות חיוניות להגן על מערכות OT ו-IT מאיומי סייבר. כחלק מכך, פרסמו הארגונים מאגר מידע על טכניקות תקיפה על סביבות OT ארגוניות, כגון תקיפות על מערכות בקרה תעשייתיות (ICS). בנוסף, הציגו מתודולוגיה למִדּוּל איומים על סביבות תפעוליות: ראשית, יש להגדיר את הנכסים הדיגיטליים המשמעותיים של הארגון ולזהות את משטח התקיפה הפוטנציאלי עליהם. לאחר מכן, יש לאסוף מידע על איומי האבטחה הפוטנציאליים על הנכסים שהוגדרו ולקבוע את הקריטריונים לבחירת איומי האבטחה הרלוונטיים. לבסוף, יש לבחור את האיומים המשמעותיים ביותר על הנכסים שהוגדרו ולשתף את המידע עליהם עם בעלי תפקידים בארגון. מלבד זאת, יכולים ארגונים להשתמש במידע המצוי ב-Defending OT with ATT&CK לביצוע של משימות נוספות בתחום אבטחת הסייבר, כגון ביצוע תרגילים ומבדקי חֲדִירוּת.[70]
במקביל, ב-20 באוגוסט פרסם אתר Bloomberg כי קואליציית האינטרנט של אסיה (AIC),[71] ארגון המתמקד בחקר מדיניות אינטרנט במדינות אסיה, לשכת המסחר הכללית של הונג קונג (HKGCC)[72] ונציגות לשכת המסחר האמריקנית בהונג קונג (AmCham HK )[73] הזהירו את ממשלת הונג קונג, כי הצעת החוק להגנה על מערכות מחשוב של תשתיות חיוניות מאיומי סייבר,[74] מיולי 2024, מקנה לממשלה סמכויות, שעלולות לפגוע בפעילותם של ארגוני תשתיות חיוניות. על פי ההצעה, תוכל הממשלה לחייב את הארגונים לבצע פעולות בתגובה לאירועי סייבר שחוו, כגון החלפת המערכות הטכנולוגיות המשמשות אותם.[75] בתגובה לפרסום, טענה ממשלת הונג קונג כי שלושת הארגונים תמכו בחקיקה המוצעת וכי היא אינה צפויה להשפיע על מידע אישי או עסקי המצוי בידי ארגוני תשתיות חיוניות.[76]
לבסוף, ב-22 באוגוסט השיקה גוגל בשיתוף עם ארגון המחקר המדעי והתעשייתי של חבר העמים הבריטי (CSIRO)[77] שבאוסטרליה מיזם משותף, לסיוע למפעילי תשתיות חיוניות לאתר ולטפל בחולשות אבטחה, שמקורן בשרשראות אספקה של תוכנות. בתוכנית, יפתחו CSIRO, Google Cloud וצוות אבטחת הקוד הפתוח של גוגל (GOSST)[78] כלי בינה מלאכותית, לזיהוי ולהערכה מהירים של חולשות אבטחה בתוכנות קוד פתוח, המשמשות מפעילי תשתיות חיוניות. בנוסף, יגבשו CSIRO וגוגל מסגרת עקרונות, לסיוע למפעילי התשתיות לעמוד בדרישות הרגולציה האוסטרלית בתחום אבטחת הסייבר, כגון החוק להגנה על תשתיות לאומיות (SOCI).[79] המסגרת צפויה להציג דרגות שונות של בְּשֵׁלוּת (Maturity) אבטחת סייבר של שרשראות אספקה והצעדים הנחוצים לעמידה בהן. הפעילות תיעשה במסגרת יוזמת Digital Future שהשיקה גוגל בשנת 2021 והתוכנית לפיתוח הגנה וחסינות של תשתיות חיוניות שב-CSIRO.[80]
איומי סייבר על ענף האנרגיה
ב-16 באוגוסט, פרסמה רשות החשמל המרכזית של הודו (CEA)[81] לתגובות הציבור טיוטת מסמך,[82] המציג הנחיות לשיפור מידת הגנת הסייבר על תשתיות לאספקת חשמל במדינה. על פי ההנחיות, כל ארגון במגזר אספקת החשמל יחויב למנות מנהל מערכות מידע ראשי (CISO) ומנהל מחליף, בעלי אזרחות הודית, לווידוא כי הפעולות לשיפור מידת אבטחת הסייבר מבוצעות בידי אנשי מקצוע בעלי הבנה של צורכי מגזר החשמל המקומי. בנוסף, יידרש כל ארגון לנסח תוכניות לניהול מצבי משבר בתחום אבטחת הסייבר, שיציגו נהלים לזיהוי, לשיתוף מידע ולטיפול מהירים באיומי סייבר פוטנציאליים על מערכות לאספקת חשמל, ועוד.[83]
איומי סייבר על שרשראות אספקה
ב-1 באוגוסט פרסמה CISA מסמך,[84] שניסח כוח המשימה לניהול סיכוני אבטחה בשרשראות אספקה של טכנולוגיות מידע ותקשורת (ICT SCRM Task Force),[85] המסייע לגופי ממשל ולחברות תוכנה העובדות עימם לפתח ולהשתמש בתוכנות, לפי עיקרון ה-Secure-by-design. על פי המחברים, על חברות התוכנה לוודא כי מוגדרים תהליכים לביצוע בדיקות אבטחה לספריות ולתוכנות קוד פתוח (Open source libraries). כמו כן, על היצרן לבחון אם ישנם בתוכנה קוד מקור או ספריות שנוצרו בעזרת טכנולוגיית בינה מלאכותית, שכן השימוש בה עלול להוביל להסתמכות על ספריות שהוצאו משימוש בשל חולשות אבטחה.[86] בעת השימוש בתוכנה, יש לוודא שספק התוכנה הטמיע שימוש באימות רב-שלבי (MFA) לניהול גישת המשתמשים לרבות גישה מרחוק. לבסוף, יש לוודא כי חברת התוכנה מספקת דיווח על הליכים לאיתור ולטיפול בחולשות אבטחה בתוכנות, בהתאם לעקרונות המוגדרים במסמכי NIST.[87]
ב-15 באוגוסט פרסמה מחלקת ההגנה האמריקנית לתגובות הציבור הצעה לעדכון הוראות DFARS בנושא רכש של טכנולוגיות,[88] כך שיכללו הטמעה של הנחיות תוכנית ה-CMMC 2.0,[89] לשיפור מידת אבטחת הסייבר של חברות קבלן ביטחוניות, המעבדות מידע מבוקר לא מסווג (CUI)[90] או מידע מחוזים פדראליים (FCI).[91] על פי ההנחיות, על כל גורם במחלקת ההגנה האחראי על נושא רכש לוודא, כי כלל חברות הקבלן העלו למערכת לניהול חוזים (SPRS)[92] של המחלקה אישור עצמי המעיד על עמידתן בדרישות רמת ה-CMMC עליהן הן נמנות.[93] בנוסף, חברות העובדות עם המחלקת יידרשו להודיע לה על כל שינוי המתרחש במערכות המעבדות או המאחסנות מידע מסוג CUI או FCI. כמו כן, ציינה המחלקה כי בשלוש השנים הראשונות שלאחר אישור ההנחיות וכניסתן לתוקף, הן יחולו במסגרת חוזים מסוימים, שלגביהם יקבע המשרד המנהל את תוכנית ה-CMMC[94] כיצד יש ליישם את הוראותיה. החל מהשנה הרביעית ליישומה, יחולו דרישות ה-CMMC 2.0 על כל הצעה מצד חברות קבלן, הכוללת איסוף ועיבוד מידע מסוגים CUI ו-FCI. הגשת הערות לטיוטה פתוחה עד ל-15 באוקטובר 2024.[95]
איומי מתקפות הכופרה
ב-7 באוגוסט הציגו נציגי בית הנבחרים האמריקני, ג'וש גוטהיימר (Josh Gottheimer) וזאק נון (Zach Nunn) את הצעת החוק הדו-מפלגתית, The Public and Private Sector Ransomware Response Coordination Act 2024.[96] מטרת ההצעה לשפר את התיאום בין המגזר הציבורי והפרטי במאבק באיום מתקפות הכופרה על מגזר הפיננסים, וכן את שיתופי המידע והאסטרטגיות למניעתן. בנוסף, מנחה ההצעה את מזכירת מחלקת האוצר לשתף פעולה עם מומחים מהמגזר הפרטי בפיתוח תוכנית תגובה מתואמת להפחתת השפעותיהן של מתקפות כופרה על מוסדות פיננסים.[97]
איומי סייבר על מגזר הפיננסים
ב-6 באוגוסט השיק הבנק המרכזי של הפיליפינים (BSP)[98] תוכנית לחיזוק חסינות הסייבר של המוסדות הפיננסים והבנקים במדינה לשנים 2029-2024 (FSCRP).[99] התוכנית תשמש מסגרת ומפת דרכים לשיפור יכולתו של מגזר הפיננסים להתמודד עם איומי סייבר, ותקודם לפי עקרונות התוכנית הלאומית לאבטחת סייבר 2028.[100] בין השאר, כוללת תוכנית FSCRP יוזמות לשיפור מוּדָעוּת מנהלים בכירים במגזר הפיננסים אודות איומי סייבר באמצעות גיבוש ויישום של הכשרות. התוכנית תיושם במספר שלבים במהלך שנת 2024 ועד לשנת 2029.[101]
בנוסף, ב-20 באוגוסט פרסמה מועצת ניירות הערך והבורסה של הודו (SEBI)[102] את מסגרת אבטחת הסייבר וחסינות הסייבר (CSCRF),[103] הכוללת הנחיות לשיפור מידת אבטחת הסייבר של גופי מסחר בניירות ערך במדינה. על פי מנסחי המסגרת, יידרשו הגופים הרלוונטיים להקים מרכז SOC, שיופעל על ידם או על ידי מרכז חיצוני שיסייע בניטור מתמשך של רשתות ובאיתור מהיר של אירועים חריגים. בד בבד, עד ל-1 בינואר 2025 יקימו הבורסה הלאומית ההודית לניירות ערך (NSE)[104] והבורסה של מומבאי (BSE)[105] מרכז SOC כללי, שיספק שירותים עבור גופי מסחר קטנים, הנעדרים יכולת מקצועית או תקציבית להקים מרכזי SOC משלהם, ועוד. לבסוף, על כל גוף הסוחר במניות לגבש אסטרטגיה לניהול סיכוני אבטחת סייבר שמקורם בשרשראות אספקה ולוודא כי חברות צד-שלישי העובדות עימם מיישמות את עקרונותיה.[106]
איומי סייבר על עסקים קטנים ובינוניים
ב-8 באוגוסט פורסם כי הבנק לפיתוח קטאר (QDB)[107] בשיתוף עם סוכנות אבטחת הסייבר הלאומית (NCSA-Q) השיק מסמך המלצות לשיפור מידת אבטחת הסייבר של עסקים קטנים ובינוניים.[108] המסמך מקיף מנעד נושאים לרבות פרק מבוא העוסק בסיכוני סייבר, בהנחיות מעשיות לקידום הטמעת בקרות אבטחה בסיסיות להגנה על נכסים דיגיטליים ותוכניות תגובה לתקריות, וכן בהמלצות להכשרת עובדים ולטיפוח מוּדָעוּתם לתחום אבטחת הסייבר.[109]
בנוסף, ב-21 באוגוסט הודיעה הרשות האמריקנית לעסקים קטנים (SBA)[110] כי תקיים ב-16 וב-23 באוקטובר 2024 את הוועידה השנתית השלישית המקוונת לשיפור מידת אבטחת הסייבר של עסקים קטנים. הועידה תאורגן בשיתוף עם סוכנויות ממשל פדראליות נוספות ובמסגרתה יקבלו העסקים המשתתפים עצות מעשיות לשיפור מידת אבטחת הסייבר שלהם ומידע על משאבים רלוונטיים ברמה הפדראלית, ברמת המדינה (State level) וברמה המקומית.[111]
רשתות דור G5 ו-G6
ב-15 באוגוסט פרסם ה-NCCoE שב-NIST לתגובות הציבור שתי טיוטות מסמכים ראשונות בסדרת Applying 5G Cybersecurity and Privacy Capabilities, בנושא ההתמודדות עם סיכוני אבטחת סייבר ופרטיות בהפעלת רשתות 5G מצד חברות פרטיות. המסמך הראשון[112] דן במטרות הסדרה, המיועדת לספק למפעילי רשתות תקשורת סלולאריות ולגופים המפעילים רשתות G5 מידע, הנחיות וממצאים אודות אמצעים טכניים הקיימים ברשתות אלו, לשיפור מידת אבטחת הסייבר והפרטיות של האזרחים המשתמשים בהן. המסמך השני עוסק בשימוש ברכיב ה-SUCI,[113] להגנה על זהותם של משתמשים ברשתות 5G.[114]
על פי המחברים, לכל משתמש ברשת יש זהות קבועה (SUPI),[115] שנתוניה משודרים ממנו אל מתקני התקשורת שברשת, מה שעלול לאפשר לתוקפים ליירט את הנתונים ולחשוף ארגונים ומשתמשים למתקפות סייבר פוטנציאליות. כדי להגן על זהות המשתמשים תוך היעזרות ב-SUCI, על מפעילי רשתות ה-G5 לוודא בין השאר, כי מרכיבי הרשתות מסוגלים לפעול עם ה-SUCI.[116]
איומי סייבר על ענף התעופה
ב-21 באוגוסט פרסמה רשות התעופה האמריקנית הפדראלית (FAA)[117] לתגובות הציבור הצעה לתקנות, שיחילו עקרונות לעיצוב ולייצור של מטוסי נוסעים, וכן המנועים והמדחפים שלהם, לשיפור מידת הגנת הסייבר עליהם. הצורך בגיבוש התקנות החדשות נובע מכך שיצרני המטוסים מייצרים את שלושת הרכיבים כשהם פועלים בקישוריות לרשתות ולמאגרי מידע חיצוניים, כגון רשתות תקשורת לווייניות, דבר שעלול להעניק לתוקפים גישה בלתי מורשית למערכות המטוסים. התקנות החדשות צפויות לחול על יצרני מטוסים חדשים בעלי קיבולת של 19 מושבי נוסעים ויותר או משקל המראה (Takeoff weight)[118] של יותר מ-19,000 פאונד (8,600 ק"ג). לפי דרישות אלו, יחויבו היצרנים בשלב ייצור המטוסים לחזות איומי אבטחה, להעריך את חומרתם וסיכויי התרחשותם וכן לתת להם מענים.[119]
איומי סייבר על ענף הימאות
ב-15 באוגוסט הציגו CISA ומִנְהֶלֶת המדע והטכנולוגיה של המחלקה לביטחון המולדת (DHS S&T)[120] פלטפורמה, שתספק למשמר החופים האמריקני (USCG), לחוקרי סייבר ולגופים נוספים מהמגזר הציבורי והפרטי מרחב לחקר איומי אבטחה על נמלים מאיומי סייבר ולתרגול מיומנויות בהגנה עליהם.
הפלטפורמה תשויך לסביבת CELR של CISA,[121] ותאפשר לגלות ולטפל בחולשות אבטחה במערכות IT ו-OT בנמלים, באמצעות דימוי תרחישי מתקפות סייבר.[122]
כוח אדם והכשרות
ב-2 באוגוסט הציג ה-ONCD שלוש יוזמות שגיבשו ארגונים אמריקניים, ושבכוונתו להיעזר בהן להרחבת היקף כוח האדם המיומן במקצועות אבטחת הסייבר בארה"ב. ראשית, הודיע הארגון האמריקני ללא כוונת רווח, EC-Council, המכשיר כוח אדם באבטחת סייבר, כי בכוונתו להקצות 15 מיליון דולר להכשרת כ-50,000 סטודנטים בהיבטים שונים של אבטחת סייבר, כגון אבטחת סייבר של מכשירי IoT והטמעת עקרונות הפיתוח המאובטח (DevSecOps).[123] שנית, הכריזה האקדמיה להכשרה מקצועית, USHDA, כי תכשיר לפחות 2,250 חניכים נוספים באבטחת סייבר, במשך שלוש שנים, בהשוואה ל-75 חניכים הזוכים בכל חודש למימון של לימודיהם מטעמה כעת.[124] לבסוף, הודיעו הארגונים האמריקניים ICS Village ו-SANS Institute,[125] כי במהלך שנת 2025 ישתפו פעולה בהכשרת סטודנטים נוספים בתוכנית ה-CIISAp, המופעלת על ידם להגנה על תשתיות חיוניות.[126]
ב-21 באוגוסט במסגרת כנס ה-ITSEC Cybersecurity Summit 2024 השנתי הבין-לאומי שנערך בעיר ג'קארטה (Jakarta) שבאינדונזיה,[127] בהובלת ITSEC ספקית שירותי ה-IT,[128] הודיע סגן יו"ר האספה המייעצת העממית של אינדונזיה (MPR),[129] הגוף המחוקק העליון במדינה, פאדל מוחמד (Fadel Muhammad), כי ישנה דחיפות לקדם שיתוף פעולה בין הממשלה לבין המגזר הפרטי בהקמת אקדמיה אזרחית בתחום אבטחת הסייבר.
לדברי מוחמד, הקמת האקדמיה חיונית להכשרת מומחים בתחום אבטחת המידע לסיוע לאינדונזיה להגן על תשתיותיה החיוניות ממתקפות סייבר. בנוסף לאקדמיה, שוקלת ממשלת אינדונזיה להקים זרוע סייבר בצבא אינדונזיה, על פי המודל של זרוע הסייבר של צבא סינגפור (DIS),[130] שהושקה בנובמבר 2022.[131]
מחשוב קוונטי
ב-1 באוגוסט הציגו הסנאטורים האמריקניים דיק דרבין (Dick Durbin) וסטיב דיינס (Steve Daines), את הצעת החוק הדו-מפלגתית, Department of Energy Quantum Leadership Act, במסגרתה יוקצו למחלקת האנרגיה 2.5 מיליארד דולר עד לשנת 2029, לקידום מיזמי מו"פ בתחום המחשוב הקוונטי. ספציפית, מטרת המימון לפתח את יכולותיה של ארה"ב בטכנולוגיה ובמדעים קוונטיים, להבטחת הובלתה בתחומי המחשוב, הביטחון והקישוריות. במידה ותאושר הצעת החוק, היא תרחיב את המימון ביחס לחוק National Quantum Initiative (NQI) Act of 2018, שעמד על 625 מיליון דולר ושתוקפו פג.[132]
בד בבד, ב-13 באוגוסט פרסם NIST תקנים לשלושה אלגוריתמים להצפנה פוסט-קוונטית: (1) האלגוריתם ML-KEM, המבוסס על האלגוריתם CRYSTALS-Kyber והמשמש להצפנת מידע המועבר ברשתות ציבוריות; (2) האלגוריתמים ML-DSA ו-SLH-DSA, המשמשים לאימות זהות באמצעות חתימה דיגיטלית.[133] פרסום התקנים הוא שיאו של תהליך ניסוח התקנים שהחל ב-2016 ובא כשנה לאחר פרסום טיוטת התקנים. מלבד אלגוריתמים אלו, בכוונת NIST להציג עד לסוף שנת 2024 מסמך עקרונות סופי לשימוש באלגוריתם FN-DSA, שנקרא במקור בשם FALCON והמשמש לאימות זהות באמצעות חתימה דיגיטלית. כמו כן, בוחן המכון שתי קבוצות אלגוריתמים נוספות שישמשו לצורכי גיבוי. קבוצת אלגוריתמים אחת כוללת שלושה אלגוריתמים להצפנה המבוססים על בעיה מתמטית השונה מזו הנמצאת בשימוש האלגוריתמים המופיעים בתקנים, בעוד הקבוצה השנייה כוללת אלגוריתמים למטרות חתימה דיגיטלית, מתוכם צפוי NIST לבחור 15 אלגוריתמים עד לסוף 2024.[134]
בסינגפור, הודיעה חברת התקשורת המקומית, Singtel, על השקת מעבדת המחקר הלאומית הראשונה באזור דרום-מזרח אסיה בתחום ההצפנה הפוסט-קוונטית (NQSN+),[135] שתמליץ לארגונים במדינה כיצד להתגונן מאיומים שמקרום במחשוב קוונטי. במסגרת פעילותה, תלווה Singtel ארגונים ממגזרים שונים ותגבש עבורם מקרי שימוש מוגדרים לשימוש בהצפנה פוסט-קוונטית, המותאמים לצורכיהם המקצועיים.[136] השקת המעבדה מהווה חלק מתוכנית פיילוט של Singtel, שמטרתה לסייע לארגונים להיערך למעבר להצפנה פוסט-קוונטית, למשל באמצעות ביצוע ניסויים שיבחנו את ההיבטים התפעוליים שבמעבר.[137]
כמו כן, ב-14 באוגוסט הודיעה הרשות המוניטרית של סינגפור (MAS)[138] כי חתמה על מִזְכָּר הבנות משותף עם חברת ההחזקות הפיננסית HSBC, עם חברת SpeQtral מסינגפור המתמחה בתחום ההצפנה הפוסט-קוונטית ועם חברות נוספות, לקידום חקר השימוש של גופים פיננסים בסינגפור בהחלפה ובהפצת מפתח קוונטית (QKD).[139] במסגרת זו, ינהלו הצדדים המשתתפים שלוש יוזמות. ראשית, הם יקימו Sandbox לבחינת את היתכנות השימוש ב-QKD לקידום תקשורת מבוססת הצפנה פוסט-קוונטית במוסדות פיננסים. שנית, תיבחן יכולתה של שיטת ה-QKD לספק הגנה על מידע רגיש המצוי במוסדות הפיננסים, למשל באמצעות איתור ניסיונות חדירה למידע מצד גורמים לא-מורשים. לבסוף, ישתפו ביניהם הגופים מידע מקצועי, לסיוע לקידום הטמעת השימוש בטכנולוגיות הצפנה פוסט-קוונטיות מסחריות, לכשיהיו זמינות.[140]
בינה מלאכותית
ב-6 באוגוסט פרסם הארגון ללא כוונת רווח, CSA,[141] המלצות לארגונים המשתמשים ב-LLMs, לשיפור הגנת הסייבר האקטיבית שלהם.[142] על פי המחברים, ארגונים יכולים להיעזר בבינה מלאכותית לביצוע של חמשת שלבי מבדקי החֲדִירוּת.[143]
בשלב ניתוח חולשות האבטחה, למשל, עשוי השימוש בבינה מלאכותית לסייע בזיהוי חולשות יום אפס (Zero-day). לצד זאת, לעיתים כוללים ה-LLMs מגבלות אבטחה, המונעות מהם לבצע משימות הקשורות להגנת הסייבר האקטיבית. לחלופין, ייתכן והם יצביעו על חולשות אבטחה שאינן קיימות במציאות. על מנת להשתמש בבינה מלאכותית בצורה אחראית, המליץ ה-CSA לארגונים הנעזרים במודלים המסופקים על ידי צדדים שלישיים, לוודא כי הם פותחו לפי חקיקה ותקינה, כגון תקן ISO/IEC 42001 של ארגון התקינה הבין-לאומי (ISO)[144] למערכות ניהול מבוססות בינה מלאכותית (AIMS).[145]
בנוסף, החודש פרסמו האיחוד האפריקני (AU)[146] וכן ממשלות דרום אפריקה ואוסטרליה מסגרות לקידום הטמעה אחראית של הבינה המלאכותית בשטחיהם, להאצת הפיתוח הכלכלי-חברתי והחדשנות, ולהתמודדות עם סיכונים הנלווים לשימוש בה.[147]
עוד החודש, פרסמה Trend Micro הודעת בלוג, המוקדשת להתמודדות עם בינה מלאכותית מסוכנת (Rogue AI). על פי מנסחי ההודעה, מערכות בינה מלאכותית מסוכנות עלולות לסכן את יוצריהן, משתמשים אחרים או בני אדם ונחלקת לשלושה סוגים: (1) מערכות זדוניות (Malicious Rogues), אותן מתקינים האקרים בתשתיות מחשוב של קורבנותיהם לביצוע מתקפות; (2) מערכות הפועלות באופן שגוי שלא במכוון (Accidental Rogues), כתוצאה מטעויות בהליך הייצור שלהן, בשל הגדרה לא נכונה; (3) שינוי לצורך ערעור אופן פעולתן של מערכות בינה מלאכותית (Subverted Rogues), למשל באמצעות שימוש בטכניקת Jailbreaking, לעקיפת המגבלות המוטמעות בהן. אסטרטגיית המענה לאיומי הבינה המלאכותית המסוכנת מחייבת הטמעה של אמצעי הגנה ברחבי התשתית הארגונית כגון רשתות ומאגרי מידע מכשירי, ועל יישומה להיעשות כחלק מהטמעת עיקרון ההגנה בעומק (Defense in Depth)[148] ועיקרון אפס האמון.[149]
השפעה, הטיית דעת קהל והסתה
על רקע מהומות אלימות שפרצו בבריטניה בשלהי יולי 2024 בין קבוצות מהגרים לפעילי ימין, בעקבות תקרית דקירה בעיירה סאות'פורט (Southport),[150] ב-9 באוגוסט פורסם כי ממשלת הלייבור שוקלת לתקן את החוק 2023 Online Safety Act,[151] שאושר באוקטובר 2023 על ידי מליאת הפרלמנט. החוק שטרם נאכף, מאפשר לרשות התקשורת (Ofcom)[152] לקנוס את הרשתות החברתיות הפועלות במדינה עד לעשרה אחוזים מסך מחזור ההכנסות העולמי שלהן, אם הן מאפשרות התפשטות תוכן לא חוקי כגון הסתה לאלימות המתפרסם בפלטפורמות שלהן. התיקונים המוצעים עשויים להרחיב את העונשים המוטלים על הפלטפורמות במקרים של תפוצת תוכן חוקי אך מזיק (Legal but harmful), למשל מידע מטעה. הפרסום בא בעקבות טענות להפצת מידע כוזב ועובדות שקריות מצד פעילי הימין ברשתות החברתיות X, TikTok ו-Telegram, שגרמו לכאורה לליבוי המהומות.[153]
כמו כן, ב-9 באוגוסט פורסם כי בכוונת משרד ראש ממשלת בריטניה, קיר סטארמר (Keir Starmer) בשיתוף עם סוכנות ה-GCHQ להקים מעבדה למחקר של איומים מבוססי בינה מלאכותית כגון איומי סייבר, מידע מטעה ופיתוח של נשק ביולוגי. המעבדה תכלול נציגים מסוכנויות ממשל ומודיעין, מחברות טכנולוגיה ומומחים מהאקדמיה וכן מקרב שותפיה הבין-לאומיים של בריטניה. הקמת המעבדה מהווה חלק מניסיונה של בריטניה להתמודד עם איומי סייבר ומידע כוזב, שמקורם בגורמים מדינתיים בראשם רוסיה וסין.[154]
בנוסף, ב-14 באוגוסט השביתה Meta את מערכת CrowdTangle, שנועדה לסייע לעיתונאים ולחוקרים לגלות ולחקור פעולות של הפצת מידע כוזב ברשתות החברתיות ובמקומה יפעלו הספריות API ו-Meta Content Library, המעניקות גישה לחוקרים ולעיתונאים לתכנים שהתפרסמו בפלטפורמות Facebook ו-Instagram. לטענת עיתונאים וארגוני חברה אזרחית, עלול המהלך לפגוע ביכולתם לאתר פעולות השפעה, שכן רק חלק מצומצם מהתכנים שנמצאו ב-CrowdTangle זמינים ב-Meta Content Library והגישה אליהם חסומה לעיתונאים.[155]
לבסוף, ב-15 באוגוסט פרסמה Meta את דו"ח האיומים לרבעון השני של שנת 2024, המתאר מבצעי השפעה מהעולם, שהחברה איתרה והשביתה ב-Facebook וב-Instagram.
על פי המחברים, מבצעי ההשפעה הרוסיים כוונו לקהלים באוקראינה, במזרח אירופה ובמדינות נוספות לערעור תמיכת הקהילה הבין-לאומית בה. כחלק מכך, מעריכה החברה כי בעתיד, ינסו גורמים רוסיים להתערב בבחירות לנשיאות ארה"ב על ידי הפצת מסרים התומכים במועמדים המתנגדים למתן הסיוע לאוקראינה, לצד פרסום מסרים בגנות פוליטיקאים התומכים בהמשך אספקתו.
בד בבד, הציגה Meta שינויים בפעילותו של קמפיין ה-Doppelganger, הֶפָּעִיל מאז פרוץ המלחמה באוקראינה, להטיית דעת הקהל העולמית לטובת רוסיה. על פי המחברים, מנסים החשבונות המזויפים המעורבים בקמפיין לצמצם את המעקב עליהם מצד הרשתות החברתיות על ידי פרסום פוסטים ומודעות, בנושאים שאינם פוליטיים, כגון בריאות ומזון. אולם, לחיצה עליהם מובילה לכתבות העוסקות במלחמה. מלבד זאת, איתרה Meta שימוש בטכנולוגיית בינה מלאכותית מצד מפעילי הקמפיין לפרסום פוסטים, לתרגומם לשפות שונות וליצירת תמונות נלוות.[156]
עוד החודש, פרסם MTAC דו"ח בנושא מבצעי השפעה מצד יריבותיה של ארה"ב, בניסיונן להתערב בפוליטיקה המקומית ובבחירות לנשיאות. תחילה, ציינו המחברים את רשת Storm-2035, שהפעילה ארבעה אתרים שהפיצו מידע כוזב ושנוי במחלוקת בנושאים של הבחירות לנשיאות ומלחמת "חרבות ברזל". הרשת הופעלה על ידי גורם איראני שלא צוין שמו, שהשתמש בטכנולוגיית בינה מלאכותית להעתקת תכנים שהתפרסמו באתרים אחרים. במקביל, קבוצה בשם Storm-1852, המזוהה עם הממשל בסין, הפיצה ברשתות החברתיות סרטונים קצרים, המבקרים את מדיניות ממשל ג'ו ביידן ומערערים על כשירותו כנשיא ושזכו למאות אלפי צפיות. לבסוף, קבוצת Storm-1516, המזוהה עם רוסיה, הפיצה החל מאפריל 2024 מידע כוזב לערעור יחסי ארה"ב-אוקראינה, כגון העלאת הטענה לפיה ראש ה-CIA הורה לחוות טרולים אוקראינית לבצע מבצע השפעה לשיבוש הליך הבחירות ולהטיית תוצאותיהן.[157]
במבט רחב, נצפתה שׁוֹנוּת בין מאמצי ההשפעה של המדינות על דעת הקהל האמריקנית. בעוד שרוסיה פועלת להעצמת מחלוקות בין אזרחים ולשחיקת האמון שלהם בממשל האמריקני לצשיבוש של תהליך ותוצאות הבחירות,[158] איראן פועלת למניעת היבחרותו מחדש של הנשיא לשעבר, טראמפ.[159]
לשם כך, מיקדה לאחרונה איראן את פעילותה בקבוצות דמוגרפיות מוגדרות בארה"ב, כגון מצביעים במדינות מתנדנדות, במאמציה להטות את תוצאות הבחירות.[160] בד בבד, רוסיה נעזרת בבינה המלאכותית להקמת פרופילים מזויפים ולהפצת מסרים לטובתה,[161] בעוד שסין מלבה מחלוקות פוליטיות בארה"ב, ומייצרת ומפיצה בעזרת בינה מלאכותית יוצרת תמונות וסרטונים.[162]
ב-16 באוגוסט פרסמה OpenAI כי חסמה את פעילותה של רשת Storm-2035 שהפעילה חשבונות שנעזרו ב-ChatGPT לביצוע של מבצעי השפעה להטיית דעת הקהל ותוצאות הבחירות לנשיאות ארה"ב. לפי הפרסום, הסירה החברה חשבונות שיצרו תוכן בעזרת ChatGPT שהתמקד בפרשנות אודות המועמדים לנשיאות משתי המפלגות ופרסמה אותו ברשתות החברתיות ובאתרי אינטרנט. כחלק מכך, פרסמו החשבונות בפלטפורמות X ו-Instagram תגובות שיצרו בעזרת ChatGPT בשפות האנגלית והספרדית מצד מצביעים לכאורה משתי המפלגות בארה"ב. בנוסף, פרסמו החשבונות מאמרים בנושאים הקשורים לפוליטיקה האמריקנית ולעניינים גלובליים. עיקר התוכן התמקד במלחמה בעזה, בנוכחות המשלחת הישראלית במשחקים האולימפיים בפריז ובבחירות בארה"ב. ככל הנראה מבצע ההשפעה נכשל מלהשיג את מטרותיו.[163]
שיתופי פעולה
ב-2 באוגוסט התקיים בבירת הודו, ניו דלהי, דיאלוג מדיניות ההגנה ה-14 בין הודו לווייטנאם,[164] בהובלת מזכיר ההגנה של הודו, גירידהאר ארמנה (Giridhar Aramane) וסגן שר ההגנה הלאומית של ווייטנאם, הגנרל הואנג שואן צ'יין (Hoang Xuan Chien). במסגרת הדיאלוג הציעה הודו לווייטנאם לקדם שיתופי פעולה בתחומים שונים לרבות בתחום אבטחת הסייבר.[165]
בנוסף, ב-5 באוגוסט חתמו מזכיר המדינה האמריקני, אנתוני בלינקן ושרת החוץ של אוסטרליה, פני וונג (Penny Wong), על מִזְכָּר הבנות לקידום המאבק במבצעי השפעה זרים מדינתיים ובאיום תפוצת מידע מטעה, במסגרת דיוני AUSMIN הבילטרליים האסטרטגיים השנתיים בין המדינות, שחלו ב-6 באוגוסט.[166] כחלק מהמִזְכָּר, ירחיבו המדינות את שיתוף המידע ושיטות הפעולה שלהן בתחום המאבק בהשפעה באזור אסיה והאוקיאנוס השקט.[167]
לאחר שלוש שנות דיונים, ב-8 באוגוסט אישרה וועדת האו"ם למאבק בפשיעת סייבר[168] את טיוטת האמנה הראשונה בנושא המאבק בפשיעת סייבר, המתמקדת במניעת פגיעה מינית בנוער ובהלבנת הון מקוונות.[169] סעיפי האמנה דנים בניסוח חקיקה ובביצוע של תהליכי חקירה ואכיפה אחידים, לייעול המאבק בפשיעת סייבר ברמה הלאומית, האזורית והבין-לאומית. כך למשל, בחקירת פשעי סייבר חמורים שדינם לפחות ארבע שנות מאסר, רשאית מדינה לבקש מרשויות אכיפת חוק במדינה אחרת ראיות דיגיטליות או נתונים ומידע מספקי שירותי אינטרנט.[170]
ב-16 באוגוסט הודיעו ראשי ממשלות אוסטרליה וניו זילנד, אנתוני אלבניזי (Anthony Albanese) וכריסטופר לוקסון (Christopher Luxon) בהתאמה, במסיבת עיתונאים משותפת שנערכה בבירת אוסטרליה, קנברה, על התחייבותם לשתף פעולה במניעת מתקפות סייבר.[171] המנהיגים הדגישו כי מתקפת סייבר על אחת מהמדינות עשויה להיחשב כמתקפה חמושה (Armed attack) באזור האוקיאנוס השקט, בהתאם לסעיף IV של האמנה הביטחונית [172],ANZUS המחייב פעולה משותפת מול האיום. בנוסף, הצהירו הצדדים אודות החשיבות של עדכון ההסכמים הקיימים בין המדינות והתאמתם לאיומי הסייבר העכשוויים.[173]
לבסוף, ב-26 באוגוסט החלו ארה"ב ואינדונזיה בתרגיל הצבאי השנתי הבין-לאומי, Garuda Super Shield 2024, במחוז מזרח ג'אווה (East Java) שבאינדונזיה, הנערך עד ה-6 בספטמבר 2024. במסגרת שיפור יכולות התכנון והביצוע של מבצעים צבאיים משותפים, כולל התרגיל לראשונה חלק שהתמקד בתחום הסייבר. בתרגיל השתתפו למעלה מ-4,500 אנשי צבא ממדינות בעלות בריתה של ארה"ב, בהן יפן, אוסטרליה וצרפת.[174]
National Cybersecurity Center of Excellence ↑
NIST Special Publication 1800-35: Implementing a Zero Trust Architecture ↑
https://tinyurl.com/3e3vaeav; https://tinyurl.com/4ka74vjh ; קישור למסמך ה-PDF: https://tinyurl.com/mtdwth43 ↑
Federal Insurance Office ↑
National Cybersecurity Strategy ↑
Office of Management and Budget ↑
Federal Acquisition Regulation ↑
Vulnerability disclosure policies; עקרונות המגדירים עבור גופים ציבוריים ופרטיים וכן עבור חוקרי אבטחת סייבר כיצד לבצע בדיקות לאיתור חולשות אבטחה במערכות שונות וכיצד לדווח עליהן לגורמים המוסמכים. https://tinyurl.com/322p8mfh ↑
Defense Federal Acquisition Regulation Supplement; הוראות המשמשות את מחלקת ההגנה וסוכנויות ממשל נוספות לוודא כי רכש טכנולוגי עבורן מבטיח את ההגנה על מידע מבוקר לא מסווג (CUI), המעובד או מאוחסן על ידי גופים שלישיים. http://tinyurl.com/3tmuxyb5. https://tinyurl.com/22xs65um. קישור להצעת החוק: https://tinyurl.com/bddusuf9 ↑
National Counterintelligence and Security Center ↑
National Counterintelligence Strategy 2024 ↑
https://tinyurl.com/43twndh5. קישור למסמך האסטרטגיה: https://tinyurl.com/2bb48kna ↑
https://tinyurl.com/2ef2rxps; https://tinyurl.com/5dfsud9a ↑
Defense Information Systems Agency Hosting and Compute Center; מרכז שהוקם בשנת 2021 והוא מיועד לספק יכולות מחשוב ואחסון עבור מחלקת ההגנה ויחידות צבאיות. https://tinyurl.com/3t84trhb ↑
Joint Warfighting Cloud Capability ↑
Joint Operational Edge ↑
Platform as a service; פלטפורמות מחשוב ענן המסופקות על ידי חברות חיצוניות, המאפשרות למתכנתים וחברות לפתח, להריץ ולנהל את שירותיהם או מוצריהם, מבלי לבנות שרתים או לתחזק אותם בעצמם. https://tinyurl.com/2bbbk9ye ↑
https://tinyurl.com/5mvbvaf4 ; https://tinyurl.com/mr9mkuy8 ; https://tinyurl.com/5b468ttp ↑
מכונה גם בשם UAC-0020. ↑
Luhansk People's Republic ↑
אמצעי המאפשר להגדיר הפעלה או אי-הפעלה של יישומים שונים, על בסיס סוגי הקבצים המצויים בהם. https://tinyurl.com/54dycdkn ↑
https://tinyurl.com/3rju9vy3 ; https://tinyurl.com/4vxk7fjx ; https://tinyurl.com/2pkwtk8n ↑
Digital Europe Programme; תוכנית של הנציבות האירופית, במסגרתה מוקצים 7.5 מיליארד אירו (כ-8.26 מיליארד דולר) עבור הטמעת השימוש בטכנולוגיות מתקדמות, בהן מחשוב על, אבטחת סייבר ובינה מלאכותית ברחבי אירופה. http://tinyurl.com/384vh36w ↑
A revised Directive on Security of Network and Information Systems; דירקטיבה שנכנסה לתוקף בינואר 2023 ומטרתה לשפר את חסינות הסייבר ואת יכולות התגובה לאירועי סייבר של גופים במגזר הציבורי והפרטי במדינות חברות האיחוד האירופי. זאת, באמצעות ניסוח תקני אבטחת סייבר וקביעת דרישות לביצוע הערכות סיכוני סייבר על שרשראות אספקה, תשתיות חיוניות וארגונים בענפי הייצור, המחשוב והשירותים הדיגיטליים. https://tinyurl.com/4ft6sr96. https://bit.ly/3NYB4ba ↑
https://tinyurl.com/3jj44psw ; https://tinyurl.com/pz9bttsy ↑
Active Cyber Defence ↑
https://tinyurl.com/57r6xnyz; https://tinyurl.com/39jwp67n ↑
National Cyber Security Centre ↑
National Cyber Emergency Plan ↑
https://tinyurl.com/4hv6aht8 ; קישור למסמך התוכנית: https://tinyurl.com/3j2wk2pp ↑
European Cyber Security Organization; ארגון ללא כוונת רווח שהוקם ביוני 2016 לקידום שיתופי פעולה בתחום אבטחת הסייבר בין מוסדות האיחוד האירופי לבין גופים ציבוריים, פרטיים ומחקריים מ-27 מדינות האיחוד, בין השאר לצורך קידום מחקר וחדשנות, ביצוע הכשרות, ועוד. ↑
.Defense Innovation Technology Institute נכון ל-14 באוגוסט, מדובר בשם זמני שייתכן וישונה. ↑
Defense Innovation Unit ↑
https://tinyurl.com/2evu87ma ; https://tinyurl.com/2shpyaj7 ↑
Ministry of Digital Development and Information ↑
Singapore OT Cybersecurity Masterplan 2024 ↑
על פי CSA, עיקרון זה כולל הן ייצור מאובטח של מערכות OT באמצעות יישום עקרונות ה-Secure-by-design ו-Secure-by=default והן באמצעות שימוש בטוח בהן על ידי כוח האדם הרלוונטי, לאחר שכבר יוצרו. ↑
https://tinyurl.com/dnt58a93 ; קישור למסמך התוכנית: https://tinyurl.com/zn2rfkxm ↑
National Critical Information Infrastructure; החוק מגדיר עשרה מגזרים בתור תשתיות מידע חיוניות, בהם המגזר הממשלתי, מגזר הבנקאות והפיננסים, מגזר התחבורה, הביטחון ועוד. ↑
National Cyber Security Committee ↑
National Cyber Security Agency; הסוכנות הוקדמה בשנת 2016 כדי לפתח וליישם מדיניות אבטחת סייבר, להגן על תשתיות חיוניות כמו רשתות תקשורת, מערכות פיננסיות ומתקני אנרגיה ולתאם בין גורמים ממשלתיים ופרטיים בתחום הסייבר. ↑
https://tinyurl.com/49k3tjmr; https://tinyurl.com/rarasma3; https://tinyurl.com/2zw3xn3c; https://tinyurl.com/3scmypkh ; https://tinyurl.com/pyyj8ejy. להרחבה על טיוטת הצעת החוק החדשה: https://tinyurl.com/42mspzz6 ↑
Australian Defence Force ↑
Cognitive and Information Warfare ↑
Joint Capabilities Group ↑
https://tinyurl.com/hn7fk8tt ; https://tinyurl.com/mrxs3hdt ; https://tinyurl.com/54fcfmfj ↑
https://tinyurl.com/mpkrbye3 ; https://tinyurl.com/y3s8n5yn ; https://tinyurl.com/2avy7vcs ↑
תכונה של שפות תִּכְנוּת מסוימות, המונעת ממתכנתים להציג סוגי שגיאות מסוימות הקשורות לאופן השימוש בזיכרון והגישה אליו. מכיוון ששגיאות בטיחות בזיכרון מוגדרות לעיתים קרובות כבעיות אבטחה, שפות תִּכְנוּת שהן Memory safe, מאובטחות יותר משפות תִּכְנוּת שהן Memory unsafe . ↑
National Science Foundation ↑
https://tinyurl.com/2s3f97tw; https://tinyurl.com/3632xxxx. קישור למסמך: https://tinyurl.com/3r2uf6yv ↑
Microsoft Threat Analysis Center ↑
יש לציין שבאוגוסט 2024, פתח ה-FBI בחקירה אודות טענה מצוות קמפיין המועמד לנשיאות והנשיא לשעבר, דונלד טראמפ, לפיה הוא חווה מתקפת סייבר מצד האקרים איראניים. https://tinyurl.com/yeytew2n ↑
https://tinyurl.com/2fkbhhy8 ; קישור למסמך: https://tinyurl.com/y8s676pz ↑
Threat Analysis Group ↑
מכונה גם בשמות UNC788 ו-Mint Sandstorm. ↑
קישור להודעה: https://tinyurl.com/4z92wtud ↑
https://tinyurl.com/bdexme7c ; https://tinyurl.com/33j7z79x. קישור לאזהרה: https://tinyurl.com/y8hfafh7 ↑
General Intelligence and Security Service ↑
Living-off-the-land; ההאקר תוקף את יעדו על בסיס שימוש ברכיבים לגיטימיים הקיימים במערכת המותקפת, במקום להיעזר בכלי תקיפה חיצוניים. https://bit.ly/3SF8kHo ↑
Best practices for event logging and threat detection ↑
Security Information and Event Management; המערכת מהווה מרכז לאיסוף מידע מרחבי הרשת הארגונית וכן מאפשרת לנהל אירועי סייבר ולבצע תיעדוף של איומים. https://bit.ly/45Oyc6T ↑
User Entity and Behaviour Analytics; מערכת הכוללת אמצעי למידת מכונה לאיתור חריגות בדפוסי שימוש ברשת הארגונית וכן בשרתים, בנתבים ובנקודות הקצה השייכים לה. https://bit.ly/3KVMFWM ↑
https://tinyurl.com/2fhzft3n; https://tinyurl.com/35sucx3b. קישור למסמך: https://tinyurl.com/ycy6495j ↑
Environmental Protection Agency ↑
https://tinyurl.com/yrh9unb4 ; קישור לדו"ח: https://tinyurl.com/27jyh4sp ↑
https://tinyurl.com/39bycznk ; קישור למשאב: https://tinyurl.com/a7kayw8f ↑
Asia Internet Coalition; הארגון המאגד חברות טכנולוגיה שונות, בהן גוגל ו-Apple. https://tinyurl.com/589hn765 ↑
Hong Kong General Chamber of Commerce ↑
The American Chamber of Commerce in Hong Kong ↑
Proposed Legislative Framework to Enhance Protection of the Computer Systems of Critical Infrastructure; קישור להצעת החוק: https://tinyurl.com/279amc7u ↑
https://tinyurl.com/4mbuskzr ; https://tinyurl.com/3cr93mht ↑
Commonwealth Scientific and Industrial Research Organisation; ארגון אוסטרלי ממשלתי, המקדם מחקר מדעי במדינה, בשיתוף המגזר הפרטי. https://tinyurl.com/24ycbfhv ↑
Google Open Source Security Team; יוזמה שהשיקה גוגל בשנת 2020 לחיזוק האבטחה של תוכנות קוד פתוח. https://tinyurl.com/yc535fr5 ↑
Security of Critical Infrastructure Act; החוק נחקק בשנת 2018 והוא כולל חובות שעל בעלי תשתיות חיוניות ליישם על מנת להגן עליהן מאיומים שונים. במסגרת החוק, על בעלי נכסים המוגדרים ב-SoNS חלות ארבע חובות לשיפור מידת אבטחת הסייבר שלהם: (1) פיתוח תוכניות להתמודדות עם אירועי סייבר; (2) קיום תרגילים לבחינת המוכנות לאירועי סייבר; (3) ביצוע הערכת חולשות לגילויין ולתיקונן; (4) איסוף מידע על מצב המערכת, לגיבוש תמונת מצב אודות איומים עליהן בזמן קרוב לזמן אמת. https://tinyurl.com/4u8esbym; https://tinyurl.com/2y94b9ef ↑
יוזמה שהשיקה חברת גוגל באוסטרליה, להשקעה של מיליארד דולר בקידום תשתיות דיגיטליות במדינה. https://tinyurl.com/4jpmxj8v. CSIRO’s Critical Infrastructure Protection and Resilience developing mission היא יוזמה שנועדה להבטיח את המשך פעילותן של תשתיות חיוניות באוסטרליה בצל אתגרים שונים, לרבות איומי סייבר. https://tinyurl.com/yc3yn3de. https://tinyurl.com/yc45ef3r; https://tinyurl.com/633hmhn6 ↑
Central Electricity Authority; גוף ממשלתי העוסק בייעוץ ובפיקוח על מגזר החשמל בהודו, למשל באמצעות קביעת תקינה טכנית להקמת תפעול מערכות חשמל. https://tinyurl.com/4hf443dy ↑
Central Electricity Authority (Cyber Security in Power Sector) Regulations, 2024 ↑
https://tinyurl.com/575mbs8j ; קישור למסמך: https://tinyurl.com/3d3fymcr ↑
Software Acquisition Guide for Government Enterprise Consumers: Software Assurance in the Cyber-Supply Chain Risk Management (C-SCRM) Lifecycle ↑
ICT Supply Chain Risk Management Task Force Assurance Working Group; כוח משימה ב-CISA, המאגד גופים ציבוריים ופרטיים הפועלים לחיזוק חסינותן של שרשראות האספקה למגזר ה-ICT העולמי. https://tinyurl.com/yc27awxt ↑
המסמכים הרלוונטיים לביצוע הבדיקה הם NIST SP 800-161r1, המציג עקרונות ארגוניים לניהול סיכוני אבטחת סייבר לשרשראות אספקה והמסמך Software Supply Chain Security Guidance Under Executive Order (EO) 14028 Section 4e, המציג עקרונות לניהול סיכוני אבטחה לשרשראות אספקה בהתאם לצו הנשיאותי ממאי 2021 לשיפור אבטחת הסייבר בממשל הפדראלי (E.O. 14028). קישורים לשני המסמכים: https://tinyurl.com/ydeath6v; https://tinyurl.com/4wvhaj7z. https://tinyurl.com/3h8rmyf8; קישור למסמך: https://tinyurl.com/mrxf3xw6 ↑
Defense Federal Acquisition Regulation Supplement; הוראות המשמשות את מחלקת ההגנה וסוכנויות ממשל נוספות לוודא כי רכש טכנולוגי עבורן מבטיח את ההגנה על מידע מבוקר לא מסווג (CUI), המעובד או מוחזק על ידי גופים שלישיים. http://tinyurl.com/3tmuxyb5 ↑
Cybersecurity Maturity Model Certification; מחלקת ההגנה השיקה את המודל בנובמבר 2021 והוא מהווה עדכון למודל ה-CMMC, שפורסם ביוני 2019. בהשוואה למודל הראשון, המודל העדכני מספק הבהרות נוספות בנוגע לדרישות אבטחת סייבר וכולל הקלה מסוימת ביישומן. כך למשל, CMMC 2.0 מגדיר כי פחות חברות יידרשו לעבור בדיקות הערכה מצד גורמים שלישיים. ↑
Controlled Unclassified Information; מידע שאיננו מסווג אך מצריך הגנה מפאת אופיו, לדוגמה, מידע המאפשר לגלות את זהותו של אדם, כגון מספר ביטוח לאומי. ↑
Federal contract information; מידע המסופק לממשל הפדראלי או המיוצר על ידו במסגרת חוזה, לפיתוח או אספקת מוצרים ושירותים לממשל. מידע זה כולל מידע שאיננו מסופק על ידי הממשל לציבור. http://tinyurl.com/38a3pph8. ↑
System for Award Management ↑
רמת הדירוג קובעת את סוג המידע שכל חברה מעבדת ואת היקף דרישות אבטחת הסייבר הנדרשות. רמה מספר אחת היא הרמה המוגדרת כבסיסית, בעוד שרמה שלוש מוגדרת כמתקדמת ביותר. בנוסף, רמת הדירוג קובעת את סוג האישור שעל החברה לספק למחלקת ההגנה על עמידתה בדרישות ה-CMMC: בעוד שכלל החברות המסווגות ברמה 1 וחלק מהחברות שברמה 2, יכולות לספק הערכה עצמית, חלק מהחברות שברמה 2 נדרשות לספק הערכה חיצונית מטעם חברה שהוסמכה על ידי המרכז להערכת חברות לייצור בטחוני (DIBCAC) שבמחלקת ההגנה לבצע הערכות מסוג זה. חברות ברמה שלוש נדרשות לעבור אחת לשלוש שנים הערכה מטעם DIBCAC עצמו. http://tinyurl.com/muvxf3uu ↑
בפועל הגורם המנהל את התוכנית הינו מנהל מערכת המידע של מחלקת ההגנה (DoD CIO). ↑
קישור להצעה: https://tinyurl.com/3jdnwevy ↑
Bangko Sentral ng Pilipinas ↑
Financial Services Cyber Resilience Plan 2024-2029. קישור לתוכנית: https://tinyurl.com/42wmv2xh ↑
The National Cybersecurity Plan 2028. מטרת התוכנית לתת מענה לאתגרים שונים בתחום אבטחת הסייבר בעזרת גופי ממשל, המגזר הפרטי ושותפותיה של הפיליפינים בעולם. התוכנית הושקה באפריל 2024, בתכנון ובאחריות של המחלקה לטכנולוגיית מידע ותקשורת (Department of Information and Communications Technology). קישור לתוכנית: https://tinyurl.com/ysxz6zfm ↑
Securities and Exchange Board of India; גוף ממשלתי המפקח על המסחר בניירות ערך בהודו. https://tinyurl.com/5xcmtkz5 ↑
Cybersecurity and Cyber Resilience Framework ↑
National Stock Exchange of India ↑
Bombay Stock Exchange ↑
https://tinyurl.com/2jnh2jn9; קישור למסמך המסגרת: https://tinyurl.com/3hrczwdt ↑
Qatar Development Bank ↑
Cyber Security Manual for SMEs ↑
Small Business Administration ↑
Applying 5G Cybersecurity and Privacy Capabilities: Introduction to the White Paper Series ↑
Subscription Concealed Identifier; מרכיב המצוי ברשת 5G, המגן על פרטיותם של משתמשי רשת ה-5G על ידי טשטוש פרטים מזהים עליהם. https://tinyurl.com/3dyeea47 ↑
Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI): Applying 5G Cybersecurity and Privacy Capabilities ↑
Subscription Permanent Identifier; בניגוד ל-SUCI, הכולל מידע זמני לשטשטוש זהות המשתמש, SUPI מכיל מידע קבוע, הנחוץ לזיהוי המשתמש ברשת. https://tinyurl.com/5dmjpcsa ↑
https://tinyurl.com/msj87jt5. קישורים לטיוטות המסמכים: https://tinyurl.com/mpaua76v; https://tinyurl.com/mrc5jtjx ↑
Federal Aviation Administration ↑
משקל זה כולל את מבנה המטוס, הנוסעים והציוד הנלווה אליהם טרם המראתו. https://tinyurl.com/2asp3wzc ↑
https://tinyurl.com/2bbusr6a; קישור למסמך התקנות המוצעות: https://tinyurl.com/bdbybers ↑
Department of Homeland Security’s Science and Technology Directorate ↑
Control Environment Laboratory Resource; סביבה וירטואלית המאפשרות לגופים ציבוריים ופרטיים לבחון את ההשפעות הפוטנציאליות של אירועי סייבר על מערכות בקרה תעשייתיות (ICS) ומערכות SCADA. https://tinyurl.com/y3yu2hwa ↑
לפי עיקרון זה, ישנה הקפדה על הטמעת עקרונות האבטחה לכל אורך שלבי הייצור של התוכנה. https://bit.ly/3P9nWzD ; https://bit.ly/45LYKpN. ↑
United States Help Desk Academy; ארגון אמריקני העוסק במתן הכשרה מקצועית לאזרחים. https://tinyurl.com/yvmzhr23 ↑
ICS Village הוא ארגון ללא כוונת רווח הפועל לשיפור היכולות הטכנולוגיות בהגנה על מערכות בקרה תעשייתיות (ICS); https://tinyurl.com/24kwnby9. SANS Institute עוסק בהכשרת כוח אדם מיומן באבטחת סייבר ברחבי העולם. https://tinyurl.com/33mthz6d ↑
Cybersecurity & Industrial Infrastructure Security Apprenticeship Program; במסגרת התוכנית מוצבים סטודנטים במשרות אבטחת סייבר בחברות פרטיות, לצבירת ניסיון מקצועי בהגנה על מערכות שונות, כגון מערכות לאספקת אנרגיה ותחבורה. https://tinyurl.com/yc4x2nj9 ; https://tinyurl.com/9sxjcjad ↑
כנס בהשתתפות מומחי IT, נציגי ממשל והמגזר הפרטי המתמקד במגמות ובאיומים עדכניים בתחום אבטחת הסייבר, בדגש על תשתיות חיוניות. להרחבה, ראו: https://tinyurl.com/bdh8r8zh ↑
חברה פרטית המספקת שירותי אבטחת סייבר, בעיקר באזור אסיה והאוקיאנוס השקט. החברה מתמחה בהגנה על תשתיות חיוניות ובניהול ההתמודדות עם איומי סייבר מתקדמים, וכן מארגנת כנסים בתחום אבטחת הסייבר. ↑
People's Consultative Assembly, האספה היא הגוף המחוקק העליון במדינה, המאגד את שני בתי הפרלמנט: בית הנבחרים (DPR) ובית הנציגים האזוריים(DPD) . תפקיד ה MPR- כולל פיקוח על החוקה וקבלת החלטות מרכזיות בנושאים לאומיים. ↑
Digital and Intelligence Serivce ↑
https://tinyurl.com/2ej9j393; https://tinyurl.com/3mwbfbmv ↑
https://tinyurl.com/4ce44ywm; https://tinyurl.com/4m5fk6sv. קישור לדברי הסבר אודות הצעת החוק: https://tinyurl.com/4f5mr5v9 ↑
במקור נקראו CRYSTALS-Dilithium ו-Sphincs+, בהתאמה. ↑
https://tinyurl.com/2du5azrk; https://tinyurl.com/4ceupbhp. קישורים לשלושת המסמכים המציגים את עקרונות השימוש: https://tinyurl.com/y93yxcur; https://tinyurl.com/y96s327d; https://tinyurl.com/y5tjj4p6 ↑
National Quantum-Safe Network Plus ↑
Monetary Authority of Singapore ↑
Quantum Key Distribution; QKD משמש כשיטה להחלפה והפצת מפתחות, המתבססת על עקרונות פיזיקאליים ממכניקת הקוונטים, עקרון השימוש מבוסס על יצירה משותפת של מפתח פרטי סימטרי בין שני הצדדים באמצעות ערוצים קוונטים וערוצים קלאסיים (סיבים אופטיים או ערוצים אלחוטיים). תשתית חלוקת מפתח קוונטית מסחרית מבוססת סיבים אופטיים יכולה לפעול לטווח ממוצע של 100 קילומטרים, כשהפרשנות המקובלת במחקר לגבי פעילות למרחקים ארוכים היא קישור בין שתי נקודות כלשהן ברחבי כדור הארץ. להרחבה על QKD ותפקיד הצמתים ראו: https://bit.ly/3pZy851 ; https://bit.ly/3R8YGfo ↑
Cloud Security Alliance; ארגון המקדם מחקר לשימוש מאובטח בטכנולוגיות ענן. https://tinyurl.com/4sbj7jwj ↑
Using AI for Offensive Security ↑
(1) איסוף מידע על היעד; (2) סריקת המערכת לאיתור נקודות פריצה פוטנציאליות; (3) הערכת חולשות אבטחה; (4) ניצול החולשות; (5) דיווח. https://tinyurl.com/nha9ervy ↑
International Organization for Standardization ↑
AI Management Systems. קישור לתקן: https://tinyurl.com/2s42cvu2. https://tinyurl.com/pnddpu7y; גישה לדו"ח: https://tinyurl.com/cbn7x3jy ↑
African Union ↑
https://tinyurl.com/4ymhnv9h. קישור לאסטרטגיית האיחוד האפריקני: https://tinyurl.com/3nd85k9v. ייאמר כי האסטרטגיה נועדה לסייע במימוש חזון האיחוד האפריקני לשנת 2063 ויעדי האו"ם לפיתוח בר-קיימא. קישורים לפרטים ולמסמך שפורסמו בדרום אפריקה: https://tinyurl.com/27xyv2jk; https://tinyurl.com/5n7e32uv. קישורים לפרטים ולמסמך שפורסמו באוסטרליה: https://tinyurl.com/2vndc6yd; https://tinyurl.com/3m5hyu75 ↑
עיקרון לפיו יש ליישם אמצעי אבטחת סייבר ברבדים שונים של המערכת, כך שאם אמצעי אחד אינו מתמודד עם מתקפת סייבר, ניתן להפעיל אמצעים אחרים. https://tinyurl.com/4cpe3462 ↑
החוק כולל מנעד צעדים שנועדו לשמור על הבטיחות המקוונת בבריטניה, לרבות חיוב פלטפורמות אינטרנטיות להפעיל מערכות ומנגנונים למניעת התפשטות תוכן פוגעני ולא חוקי על גבן. כמו כן, מסמיך החוק את Ofcom כגורם האמון על אכיפת מסגרת הוראות החוק, שחלקן ייכנס לתוקף בשנים 2026-2025. קישורים לחוק ולדברי הסבר עליו: https://tinyurl.com/2jhdxfxt ; https://tinyurl.com/2xt7jyxt ; https://tinyurl.com/487r6wx3 ↑
Office of Communications ↑
https://tinyurl.com/3bke326a ; https://tinyurl.com/5n7cb5vj ↑
https://tinyurl.com/2a4tmcx7; https://tinyurl.com/478rp7vu ↑
https://tinyurl.com/3dmrpt9f; קישור לדו"ח: https://tinyurl.com/bdf2n5ct ↑
https://tinyurl.com/2fkbhhy8 ; קישור למסמך: https://tinyurl.com/y8s676pz ↑
https://tinyurl.com/fe5uenuy ; https://tinyurl.com/5dxwexzz ↑
India-Vietnam Defence Policy Dialogue. דיאלוג ביטחוני המתקיים בין שתי המדינות אחת לשנה, מאז שנת 2007. ↑
Australia-United States Ministerial Consultations, דיאלוג בילטרלי משותף למדינות מאז שנת 1985 בתחומי האסטרטגיה, הביטחון והדיפלומטיה. ↑
Ad Hoc Committee to Elaborate a Comprehensive International Convention on Countering the Use of Information and Communications Technologies for Criminal Purposes. הוועדה הוקמה בשנת 2017 בהובלת רוסיה, וחרף התנגדות מצד ארה"ב ומדינות אירופאיות. ↑
United Nations Convention Against Cybercrime ↑
https://tinyurl.com/ch5y78tz ; https://tinyurl.com/2du29jkt ; https://tinyurl.com/ms5v4jub. קישור לטיוטת האמנה: https://tinyurl.com/2u72dpz8 ↑
אמנת הביטחון משנת 1952 בין אוסטרליה לניו זילנד ובין ארה"ב לאוסטרליה. קישור לאמנה: https://tinyurl.com/2aa32jwp ↑
https://tinyurl.com/4xvd5amd ; תרגיל המתקיים משנת 2006 שמטרתו לשפר את הכשירות המבצעית של הכוחות המשתתפים בו ולהגביר את שיתוף הפעולה וההגנה על תשתיות חיוניות. https://tinyurl.com/4rpdkyfm ; https://tinyurl.com/ys6pfp4h ↑