סדנת יובל נאמן למדע, טכנולוגיה וביטחון
אוניברסיטת תל אביב
יולי 2023
מדיניות וביטחון סייבר – סקירת מגמות חצי שנתית
תוכן עניינים
סיכום זירת הסייבר על רקע המלחמה באוקראינה 4
מענים לאיומי סייבר על תשתיות חיוניות 8
מענים לאיומי סייבר על ענפי התחבורה 10
איומי סייבר ומענים להגנה על שרשראות אספקה 12
מענים לאיומי סייבר על ענף הבריאות 14
מענים לאיומי סייבר על מערכות חלל 15
הטמעת ארכיטקטורת רשת מבוססת עקרונות אפס האמון (Zero-Trust) 16
היערכות לניצול הזדמנויות והתמודדות עם איומי המחשוב הקוונטי 19
יוזמות לצמצום הפערים בכוח האדם המיומן במקצועות הסייבר והכשרתו 21
תקציר
במחצית הראשונה של 2023, במסגרת המלחמה באוקראינה, נמשכה הלוחמה בזירת הסייבר במקביל לעימות הקינטי. ניתן לראות כי לוחמת הסייבר הרוסית המשיכה להוות חלק אינטגרלי במאמץ המלחמתי, אך היא הביאה להישגים חלקיים בשדה הקרב ובזירת ההשפעה התודעה. גם השנה, מגמה זו מוסברת ברובה באמצעות התמיכה הבין-לאומית שקיבלה אוקראינה בתחום אבטחת והגנת הסייבר מבעלות בריתה, כאשר אחת ההשלכות הבולטות הנובעות מכך, היא הירידה שנצפתה ביעילות מתקפות הסייבר הרוסיות עקב צמצום היקף מתקפות הסייבר המתוחכמות והמתואמות בחסות ממשלת רוסיה. בד בבד, נכרה מגמה של התמסדות ומעורבות גוברת של קבוצות האקטיביסטים מרחבי העולם בסכסוך, והפיכתו לגלובלי יותר במאפייניו לנוכח הפריסה הגיאוגרפית הנרחבת של המטרות המותקפות על ידי גורמים פרו-רוסיים.
אמנם, ניסיונותיה של רוסיה או גורמים מטעמה להוציא לפועל מתקפות כופרה במהלך השנה השנייה למלחמה נכשלו ברובם, ככל הנראה. עם זאת, מדינות, גופי ממשל, מומחים וגורמי חברה אזרחית מרחבי העולם לא קפאו על שמרים והידקו את שיתופי הפעולה הבין-לאומיים ביניהם, על מנת לבחון ולשפר את מדיניות ההתמודדות הנוכחית. בד בבד, בחלוף כשנתיים ממתקפת הכופרה שחוותה מפעילת צינורות הדלק האמריקנית, Colonial Pipeline, ניתן לומר כי ענפי התשתיות החיוניות, האנרגיה והתחבורה ברחבי העולם בכלל ובארה"ב בפרט, חשופים באופן גובר לשיבושים ולאיומי סייבר. אסטרטגיית אבטחת הסייבר הלאומית שפרסם ממשל ביידן, דירקטיבת NIS2 שנכנסה זה לא מכבר לתוקף באיחוד האירופי ומאמצים שמקדמות אוסטרליה ובריטניה, מהווים ניסיון לספק מענה כולל יותר לאיום זה מאשר בעבר, באמצעות הרחבה חובת הטמעת כללי אבטחת סייבר בסיסיים לכלל ענפי התשתיות. נגזרת בולטת נוספת של הגישה החדשה שמוביל הבית הלבן, נוגעת למוּדעוּת הגוברת והקריאה של הממשל למגזר הפרטי ולבעלות בריתה של ארה"ב לשלב ידיים בפיתוח והשיווק של תוכנות ומוצרים טכנולוגיים באופן מאובטח.
בד בבד, פעל הממשל האמריקני על מנת לשפר את תהליכי אחסון וניהול המידע והנתונים הרפואיים והאישיים השייכים לאזרחים ומטופלים, באמצעות היוועצות עם הציבור בנושא תכנון פתרונות אבטחה ועדכון כללי הדיווח על דליפת נתונים. במקביל, מתחילת השנה, הפיתוח והשימוש המאובטח במכשור רפואי ובשירותי רפואה מרחוק (Telehealth), המשיכו לעמוד על סדר היום של ממשלות ארה"ב וסינגפור. עוד בארה"ב, פעלו גופי ממשל להרחיב את שיתוף הפעולה והמידע עם תעשיית החלל, בעוד שמומחים במדינה קראו לממשל להגדיר מערכות חלל כתשתיות חיוניות על מנת להציב את חסינותן בעדיפות גבוהה.
המרוץ העולמי להשגת עליונות בתחום המחשוב הקוונטי נמשך ביתר שאת, כאשר מספר רב של מדינות ובראשן אוסטרליה, בריטניה, קנדה, דרום קוריאה והודו, פרסמו אסטרטגיות ותקציבים בסך מיליארדי דולרים על מנת לקדם את המחקר, הפיתוח וההטמעה של טכנולוגיות מחשוב קוונטי וכן לפתח תעשיות מקומיות בתחום. בד בבד, עסקו גופי ממשל ומחקר מהעולם באתגרים הקיימים במעבר לשימוש בהצפנה פוסט-קוונטית וכן הנחו ארגונים למפות נכסים המשתמשים בהצפנה א-סימטרית, במטרה לקבוע סדרי עדיפויות לקידום המעבר.
הופעת הצ'טבוט ChatGPT משכה גם היא תשומת לב בין-לאומית נרחבת והציתה דיון ער בנושא האיומים וההזדמנויות הפוטנציאליים העולים מהשימוש בו. מומחים הזהירו מאפשרות כי עברייני סייבר יפתחו בעזרתו נוזקות מתוחכמות, ידייקו מסרים המשמשים לצורך תקיפות הדיוג ויפיצו מידע כוזב רב ברשתות החברתיות. בעקבות זאת, ממשלות, גופי רגולציה וחברות מהמגזר הפרטי מרחבי העולם, החלו לגבש עקרונות שמטרתם לוודא את השימוש האחראי בטכנולוגיות בינה מלאכותית יוצרת.
המחסור בכוח אדם במקצועות הסייבר והטכנולוגיה בקרב ארגוני ממשל ומפעילי תשתיות חיוניות, הוסיף להוות אתגר בולט של מדינות מרחבי העולם. על מנת לתת מענה לפער זה, השיקו ארה"ב, האיחוד האירופי, בריטניה וחברות מהמגזר הפרטי, מגוון תכניות פעולה מידיות לשיפור הליכי הגיוס, ההכשרה והשימור של כוח אדם מיומן וכן פרסמו יוזמות ארוכות טווח, שמטרתן להוביל לניסוח גישה מקיפה לניהול כוח אדם ולטיפוח כישוריו. המחסור בכוח אדם מחייב טיפול מקיף בין השאר, מפני שהוא עלול לעכב את המעבר של גופי ממשל להטמעת ארכיטקטורות רשת המבוססות על עקרונות אפס האמון (Zero-Trust). במחצית הראשונה של 2023, הבית הלבן ומחלקת ההגנה העלו מדרגה במסגרת תהליך שילוב עקרונות אפס האמון ברשתותיהם. המאמצים קיבלו ביטוי בדמות עדכון של מודלים להערכת הבשלות להטמעת העקרונות בקרב מערכות הממשל, ביצוע בדיקות היתכנות ראשוניות להטמעת הארכיטקטורה ברשתות הצבא ושיתוף מידע בנושא עם מדינות ברית ה-Five Eyes. כל זאת, על רקע הפרטים שנחשפו לפיהם צבא סין מפתח יכולות שיאפשרו להאקרים סיניים לחדור לרשתות ממשלתיות וצבאיות בארה"ב, הנשענות על מודל אפס האמון, בטווח של חמש שנים לכל היותר.
סיכום זירת הסייבר על רקע המלחמה באוקראינה
ניתוח המחצית הראשונה של שנת 2023, מצביע על שינויים משמעותיים במאפייני לוחמת הסייבר לאורך מלחמת רוסיה-אוקראינה בהשוואה לאשתקד. שינוי ראשון נוגע למעורבותן של סוכנויות המודיעין של ממשלת רוסיה או קבוצות הנתמכות בידי גורמים מדינתיים: לצד עלייה בייחוס מתקפות הסייבר שחוותה אוקראינה לקבוצות אלו (ייחוס שהתבצע על ידי שירות הביטחון של אוקראינה),[1] ניכרת ירידה ביכולות הטכניות ובמידת התכנון שקבוצות אלו מקצות לטובת ניהול לוחמת הסייבר. לאורך המלחמה, עברו קבוצות הפועלות מטעם ה-GRU להשתמש בנוזקות מסוג wipers, שניתן לבצע בהן שינויים בקלות וללא צורך במשאבים רבים, דבר שהקל על השימוש בהן, אולם הקל גם על חסימתן. כמו כן, הצטברו עדויות כי ה-GRU מתקשה לתאם מתקפות סייבר בין קבוצות האקטיביסטים וקבוצות הפועלות בחסות ממשלתית, שמספרן גדל ככל שהתקדמה המלחמה.[2] הירידה במורכבות המתקפות ובתיאומן איננה פוגעת בהכרח בהשגת מטרות המלחמה של רוסיה, שכן מתקפות על תשתיות חיוניות באוקראינה המסבות נזק טכני משני, עשויות לחולל השפעה פסיכולוגית ניכרת על אזרחי המדינה בנושא תפקודה הלקוי של ממשלתם. מראשית המלחמה, פועלת רוסיה להטמיע נרטיב זה בקרב אזרחי אוקראינה.[3]
שינוי שני התבטא בדרכים בהן קבוצות האקטיביסטים מגייסות כוח אדם ומגדירות מבחינה רשמית את מטרות פעולותיהן. כך למשל, הקבוצה הפרו-רוסית XakNet, הודיעה כי בכוונתה לגייס מועמדים בעלי ניסיון וכישורים טכניים מוכחים בלבד.[4] כמו כן, קבוצת ההאקטיביסטים הפרו-רוסית Killnet, הודיעה באפריל על מעבר לפעילות כחברת האקרים צבאית-פרטית המכונה בשם Black Skills,[5] אם כי שינוי זה טרם נִיצְפָּה בפועל.[6] התפתחות זו מצביעה על מיסוד של קבוצות האקטביסטים רוסיות שבעבר היו בעלות מבנה מבוזר ואמורפי. כמו כן, ייתכן וקבוצות אלה סובלות ממחסור בכוח אדם וממנפות את המציאות הגיאופוליטית לגיוס כוח אדם המזדהה אידיאולוגית עם רוסיה.
שינוי שלישי הוא ירידה במספר תקיפות הסייבר על מטרות במדינות המערב מצד האקרים רוסיים. על פי דו"ח מאת כוח משימת המאבק בכופרה (RTF),[7] ארגון אמריקני ללא כוונת רווח הפועל במסגרת המכון לביטחון ולטכנולוגיה (IST),[8] קבוצות עברייני סייבר הפועלות משטחה של רוסיה ומסביבתה צמצמו את תקיפותיהם נגד תשתיות חיוניות ומטרות רגישות במדינות נאט"ו והגבירו את היקף התקיפות נגד מטרות בעלות מאפיינים דומים באסיה ובאמריקה הלטינית. להערכת מחברי הדו"ח, הדבר נובע מרצונם של ההאקרים להימנע מאירועים, שעלולים להחריף את המתיחות בין רוסיה למדינות נאט"ו.[9] למרות זאת, על פי מסמכים מסווגים של מחלקת ההגנה האמריקנית, שהודלפו באפריל, עולה כי קבוצת האקרים פרו-רוסית תקפה מערכת בקרה תעשייתית במדינה מערבית כחלק מהמלחמה.[10] כמו כן, מומחי טכנולוגיה וביטחון העלו חשש כי עם הימשכות הלחימה, יבצעו האקרים רוסים מבצעי ריגול סייבר כנגד חברות פרטיות המהוות חלק משרשראות האספקה הצבאיות והאזרחיות של אוקראינה.[11]
לבסוף, השינוי הרביעי מתייחס לדפוסי פעילותם של האקטיביסטים פרו-אוקראיניים הלוקחים חלק בלוחמת הסייבר נגד רוסיה. קבוצות אלה התמקדו במגזרי התחבורה והבריאות ועברו מניצול חולשות בתוכנות קוד פתוח, ביצוע תקיפות DDoS וגניבת נתונים, לשימוש בנוזקות Wiper וכן להפעלת רשתות בוטים בסביבות IoT ו-OT.[12] כמו כן, באפריל טען שירות הביטחון הפדראלי של רוסיה (FSB) כי קבוצות האקטיביסטים מרחבי העולם, בהן Anonymous, ביצעו במהלך המלחמה תקיפות סייבר רבות נגד מטרות רוסיות, כשהתקיפות הוצגו למעשה ככאלו שבוצעו על ידי צבא ה-IT של אוקראינה.[13] עדות לחשיבותם של ההאקטיביסטים למאמץ המלחמתי היא הודעתה של ממשלת אוקראינה ממרץ, על כוונתה להסדיר בחוק את מעמדו של צבא ה-IT ולשלבו ככוח עתודה פעיל בקנה מידה מלא בצבא אוקראינה.[14]
במחצית הראשונה של 2023, ניתן לראות כי מעורבותן של קבוצות האקטיביסטים מרחבי העולם והפיזור הגיאוגרפי המתרחב של המטרות המותקפות על ידי הרוסים, הופכים את העימות לגלובלי יותר באופיו. זאת, לעומת צמצום היקף התקיפות המתואמות והמתוחכמות בחסות ממשלתית-רוסית עם הימשכות המלחמה. ככל שהיקף לוחמת הסייבר הרוסית כלפי מטרות מחוץ לאוקראינה יתרחב, בייחוד מול מטרות המוגדרות כתשתיות חיוניות ומוסדות ממשל, תיתכן עלייה בהיקף הסיוע באבטחת סייבר שיעניקו ממשלות וחברות טכנולוגיה מערביות למדינות שונות בעולם, לצד הסיוע הניתן לאוקראינה.
מגמות רוחב
מענים לאיומי מתקפות הכופרה
בדומה ל-2022, במחצית הראשונה של 2023 קידמו מדינות שיתופי פעולה בין-לאומיים על מנת להתמודד עם איום מתקפות הכופרה. יוזמה בולטת בהקשר זה הייתה השקת כוח המשימה הבין-לאומי למאבק במתקפות כופרה (ICRTF)[15] בהובלת אוסטרליה, המשמש מסגרת לשיתופי פעולה בין סוכנויות לאומיות לאכיפת חוק ולקבלת מודיעין בנושא איומי סייבר מהמגזר הפרטי.[16] בד בבד, מדינות נוספות הצטרפו ליוזמה הבין-לאומית למאבק במתקפות כופרה (CRI),[17] בהן ירדן, קוסטה ריקה וקולומביה,[18] כאשר ארה"ב ואוסטרליה, הודיעו על כוונתן לבחון הטלת איסור על תשלומי כופר.[19]
אולם, לצד קידום מסגרות בין-לאומיות חדשות, ניכר בתקופה זו גם מאמץ לבחון ולשפר את דרכי הפעולה הקיימות. במרץ פרסם הארגון הבין-ממשלתי, כוח המשימה למאבק בעבירות פיננסיות (FATF)[20] דו"ח, שהצביע על הימשכותן של חקירות בין-לאומיות של מתקפות כופרה וקרא לפשט ולזרז הליכי החקירה באמצעות הצבת נספחים ייעודיים למאבק בפשעי סייבר ברחבי העולם והפחתת מספר הגורמים המעורבים בהן.[21] במאי, פרסם כוח משימת המאבק בכופרה (RTF)[22] דו"ח, שהצביע על צורך לשפר את יכולת התגובה למתקפות כופרה, את איסוף הנתונים בנושא מאפייני המתקפות ואת שיתוף המידע בין המגזר הפרטי והממשלה.[23]
בארה"ב, פרסם הממשל במרץ את אסטרטגיית אבטחת הסייבר הלאומית הקוראת למנות את כוח המשימה המשותף (JRTF)[24] לגורם המתאם את פעולות הממשל הפדראלי לסיכול מתקפות כופרה ולשיפור הגנת המגזר הפרטי בהתמודדות נגדן.[25] במסגרת זו, השתתף ה-JRTF בפרסום מדריך מעודכן בנושא המאבק במתקפות כופרה, המתמקד בגידול במתקפות סחיטה כפולה ובהדלפות מידע במסגרת מתקפות כופרה.[26] יוזמה לאומית חשובה נוספת היא תכנית ה-RVWP,[27] שהושקה בינואר במסגרת חוק ה-CIRCIA,[28] ובמסגרתה מזהה הסוכנות לאבטחת סייבר ותשתיות (CISA) באופן יזום חולשות אבטחה בתשתיות חיוניות שונות, שניתנות לניצול לביצוע מתקפות כופרה ומתריעה עליהן בפני מפעיליהן. התכנית הרחיבה את שיתופי המידע בנושא זה בין המגזר הממשלתי לפרטי.[29] בנוסף, השיקה CISA יוזמה משלימה, המכונה Pre-Ransomware Notification Initiative, במסגרתה מספקת CISA התרעות לארגונים שונים כי חוו מתקפות כופרה. ההתרעה ניתנת בשלב מוקדם ככל האפשר, על מנת שהארגונים המותקפים יפעלו לסילוק התוקפים מרשתותיהם, בטרם יצפינו התוקפים נתונים השייכים להם.[30]
לסיכום, העובדה כי מדינות ופורומים בין-לאומיים משיקים יוזמות חדשות למאבק במתקפות כופרה ובוחנים את יעילותן של הפעולות הקיימות, עשויה לבשר על עליית מדרגה בהיערכותן למתקפות כופרה. אולם, השאלה האם תמורה זו אכן תתממש תיבחן במהלך 2023, לפי נכונותן של המדינות ליישם את השינויים הנדרשים.
מענים לאיומי סייבר על תשתיות חיוניות
במחצית הראשונה של השנה, קידמו מדינות בהובלת ארה"ב, יוזמות להגנה על ארגונים מענפי התשתיות החיוניות. היוזמות התמקדו בניסוח תכניות לניהול סיכוני סייבר ופרסום דרישות אבטחת סייבר עבור כלל מפעילי ובעלי התשתיות החיוניות וכן עבור ענפים ספציפיים.
במרץ פרסם ממשל ביידן את אסטרטגיית אבטחת הסייבר הלאומית.[31] בשונה מהמדיניות הקודמת הקוראת לעמידה וולונטרית בדרישות אבטחת הסייבר, שואף הממשל על פי האסטרטגיה החדשה, לקדם את ההגדרה וההטמעה של רגולציה מקיפה, שתקבע דרישות אבטחה אחידות ומינימליות להגנה על ארגוני התשתיות החיוניות בארה"ב. כמו כן, קוראת האסטרטגיה לסוכנויות הממשל להרחיב את שיתוף הפעולה עם המגזר הפרטי, לחדש רשתות מחשוב ולשלב את עקרונות אפס האמון (Zero-Trust) על מנת להגן על תשתיות חיוניות.[32] מתחילת השנה, קיבלה מדיניות זו ביטוי, עם ניסוח הממשל דרישות אבטחה בסיסיות בענפי המים והחשמל.
ענף אספקת המים. במרץ, פרסמה הסוכנות האמריקנית להגנת הסביבה (EPA)[33] מִזְכָּר, המחייב מדינות בארה"ב להעריך את מידת אבטחת הסייבר של מערכות לבקרה תעשייתית (ICS) במתקני המים שלהן, כחלק מסקרי התברואה הנערכים בהן.[34] בנוסף, מעניק להן המִזְכָּר סמכות לדרוש ממפעילי מערכות אלה לתקן חולשות מהותיות שהתגלו.[35] עם זאת, יישום הנחיות המִזְכָּר נתקל בקשיים. באפריל הגישו המדינות איווה (Iowa), ארקנסו (Arkansas) ומיזורי (Missouri), תביעה לבית המשפט האמריקני לערעורים ברמה המחוזית,[36] לפיה ה-EPA הפרה את חוק הפרוצדורה המנהלית משום שלא הציגה את ההנחיות החדשות לתגובות הציבור טרם פרסומן, וכן מפני שהן עלולות להשית על בעלי ומפעילי מערכות מים בקהילות כפריות עלויות כספיות נוספות.[37]
ענף ייצור ואספקת החשמל. במרץ, אישרה הנציבות האמריקנית הפדראלית לרגולציה על ענף החשמל (FERC)[38] את הצעת התאגיד הצפון-אמריקני לאמינות בענף החשמל (NERC)[39] להטמעת תקינת Reliability Standard CIP-003-9, המרחיבה את החובה על מפעילי, בעלי ומשתמשי מערכות חשמל מבוזרות (BES),[40] לנהל סיכוני אבטחת סייבר בשרשראות האספקה של מערכותיהם כך שיחולו גם על נכסים המוגדרים כבעלי השפעה נמוכה (low impact) על פעילות מערכות אלה.[41] במסגרת התקינה, שאמורה להיכנס לתוקף באפריל 2026, מפעילי ובעלי מערכות BES יידרשו לוודא במדיניות אבטחת הסייבר שלהם כי יש לספקים גישה מאובטחת מרחוק, על מנת לשפר את יכולתם לזהות פעילות זדונית המתבססת על גישה מרחוק של ספקיהם ולהשביתה.[42]
בנוסף, קידם הממשל האמריקני הטמעה של כללי אבטחה וולונטריים בקרב כלל ענפי התשתיות החיוניות. במרץ, עדכנה CISA את רשימת היעדים לביצוע (CPG)[43] שמטרתה לסייע לבעלי ומפעילי תשתיות חיוניות להפחית סיכוני אבטחת סייבר.[44] המסמך מאורגן לפי עקרונות מסגרת אבטחת הסייבר של NIST (CSF) וכולל המלצות ליישום העקרונות וכן לגיבוש תכניות אבטחת סייבר מקיפות ומותאמות. דוגמה לכך היא ההמלצה לנסח רשימת איומי סייבר הרלוונטיים לכל ארגון וכן להגדיר כללי ניטור ואמצעי התראה טכנולוגיים מתאימים.[45]
באוסטרליה, עמד נושא פיתוח התפיסה לניהול סיכונים בענפי התשתיות החיוניות על סדר יומה של הממשלה. בפברואר, הודיעה שרת הפנים האחראית גם לנושא אבטחת הסייבר, קלייר אוניל (Clare O'Neil), על השקת תכנית CIRMP,[46] שמחייבת ארגונים מ-13 מגזרי תשתיות חיוניות ושירותים חיוניים במדינה, בהם ענפי המים, החשמל והאנרגיה, לנסח תכנית לניהול סיכונים ולדווח למרכז אבטחת הסייבר והתשתיות של אוסטרליה (CISC)[47] על הצעדים שנקטו במסגרתה.[48] בד בבד, פרסם ה-CISC אסטרטגיה, שמטרתה לסייע לבעלי ומפעילי תשתיות חיוניות לחזק את ההגנה עליהן מפני איומים שונים לרבות איומי סייבר וכן לסייע להם לנהל סיכונים, למשל באמצעות חיזוק השותפות בין הממשלה למגזר הפרטי.[49] במקביל, הקימה ממשלת אוסטרליה במשרד הפנים קבוצת עבודה חדשה לענייני אבטחת סייבר ותשתיות (CISG),[50] שתהיה אמונה על יישום אסטרטגיית אבטחת הסייבר הלאומית המתגבשת, ותקדם שיתופי פעולה בין הממשל לבין המגזר הפרטי במטרה לשפר את חוסנן של תשתיות לאומיות מפני מתקפות סייבר. ה-CISG תקיים תרגילי אבטחה סייבר בשיתוף המְתָאֵם לענייני אבטחת סייבר,[51] דארן גולדי (Darren Goldie) שמינתה הממשלה ושיעמוד בראש משרד לאומי חדש בתחום אבטחת הסייבר.[52] גם בריטניה החלה לקדם צעדים שתכליתם לחזק את החוסן של תשתיות חיוניות. באפריל, הודיע סגן ראש הממשלה, אוליבר דאודן (Oliver Dowden), כי בכוונת הממשלה לחייב ארגוני תשתיות חיוניות לאומיות מכלל הענפים לעמוד ביעדי חסינות סייבר ספציפיים ומקיפים, עד 2025.[53]
מתחילת השנה, ניסח הבית הלבן דרישות אבטחה בסיסיות עבור בעלי ומפעילי תשתיות חיוניות במגזרי המים ואספקת החשמל, אך בשלב זה נראה שמדובר בטיפה בים. בעקבות פרסום אסטרטגיית אבטחת הסייבר הלאומית, סביר שהממשל יאיץ את פרסומן של הנחיות נוספות ומקיפות עבור מגזרים ממוקדים, לצד המשך ניסוח דרישות אבטחה וולונטריות כלליות. אפשר כי מגמה זו תבוא לידי ביטוי לא רק באיחוד האירופי, שם נכנסה בינואר לתוקף דירקטיבת NIS2,[54] אלא גם בקרב מדינות נוספות שנראה כי הולכות בעקבות ארה"ב, ובראשן בריטניה ואוסטרליה.
מענים לאיומי סייבר על ענפי התחבורה
מתחילת שנת 2023, נרשמו אירועי שיבוש ותקלות טכניות, לצד תקיפות משמעותיות בקרב ענפי התעופה והימאות לצד יוזמות ותכניות להגנה על הענף, ובראשן תכניות לאיתור חולשות ולשיתוף מידע.
ענף התעופה
בינואר, אירעה תקלה טכנית במערכת התקשורת NOTAM,[55] של רשות התעופה הפדראלית האמריקנית (FAA), המשמשת להצגת התרעות בפני טייסים, והובילה לביטול ולדחיית טיסות ולעיכובים בהמראות.[56] על אף שהאירוע יוחס לתקלה טכנית, השלכותיה הובילו לקידום יוזמות בנושא אבטחת הסייבר של מערכות בענף התעופה. בתגובה לתקלה, אישרה מליאת בית הנבחרים את הצעת חוק ה-NOTAM Improvement Act, הקוראת להקים כוח משימה, שיורכב מטייסים, בכירים מחברות תעופה ומרשויות שדות התעופה, בקרי אוויר ומומחי מערכות מחשוב, על מנת לבחון דרכים לשיפור חסינות מערכות ה-NOTAM וההגנה עליהן מפני תקריות סייבר.[57] הצעת החוק אושרה על ידי הסנאט והנשיא ביידן.[58] כמו כן, במכתב שנשלח מטעם נציג בית הנבחרים הדמוקרטי, ריצ'י טורס (Ritchie Torres) לראשת CISA, קרא טורס לסוכנות ולמחלקת התחבורה לפעול לאיתור ולהערכת חולשות במערכות תעבורה אווירית, בקרה אווירית ומשימות אוויריות.[59] באפריל, הודיע ראש ה-FAA בפועל, בילי נולן (Billy Nolen), כי הרשות ביקשה תוספת תקציב בסך 19.6 מיליון דולר על מנת להאיץ את תכניתה לחדש את מערכת ה-NOTAM, שהוכנסה לשימוש לראשונה ב-1993.[60]
לצד התקלה ב-NOTAM, במרץ פרסמה הרשות האמריקנית לאבטחת התחבורה (TSA)[61] דרישות אבטחת סייבר חדשות עבור מפעילי שדות תעופה וכלי טייס. במסגרת הדרישות, הנחתה ה-TSA את הגופים לנסח תכנית יישום והטמעה לצעדים ויוזמות לשיפור מידת האבטחה והחסינות של מערכותיהם, לפצל את רשתותיהם ולהטמיע בקרות (controls) שיבטיחו את המשך פעילות מערכות ה-OT שברשותם גם בעת תקריות סייבר בקרב רשת ה-IT. כמו כן, הנחתה הרשות את הגופים להטמיע פתרונות לבקרת גישה למערכותיהם, לגבש וליישם מדיניות ותהליכי ניטור, איתור ותגובה לתקריות ולזיהוי אנומליות במערכותיהם ולנסח תכניות ותהליכים לעדכון תוכנות, מערכות הפעלה, אפליקציות ורכיבי קושחה בקרב מערכות חיוניות.[62]
ענף הימאות
בינואר, חוותה חברת שירותי הסַפָּנוּת הנורווגית DNV מתקפת כופרה, בעקבותיה נאלצה להשבית את שרתי תוכנת ה-ShipManager מתוצרתה, המשמשת לניטור ולניהול של ציי כלי שייט. התקרית הובילה לשיבושים בקרב כ-70 מלקוחותיה של DNV, המנהלים כ-1,000 כלי שייט ומהווים כ-15% מכלל קהל לקוחות החברה.[63]
ביולי, חווה נמל נגויה (Nagoya), הנמל הימי הגדול ביותר ביפן מתקפת כופרה, בעקבותיה נאלץ להשבית את שירותי פריקת המכולות בנמל.[64] אירועים דומים לוו ביוזמות שונות לשיפור מידת אבטחת הסייבר של כלי שייט ומפעילי נמלי ים, הבולטות שבהן התמקדו בשיפור יכולות הניטור והתגובה לתקריות ואיתור חולשות. במרץ, הציגה רשות הימאות והנמלים של סינגפור (MPA)[65] תכנית להקמת מרכז לניטור ולשיתוף מידע המכונה MCAOC,[66] שיתמקד בניטור תעבורת רשת וזיהוי אנומליות וכן יסייע בשיתוף מודיעין איומי סייבר על ענף הימאות ויספק ייעוץ בנושא שחזור מערכות ותגובה לתקריות. המרכז יורכב מנציגים ומבעלי עניין בענף הימאות, כגון מפעילי נמלים ומסופים, חברות ספנות ונותני שירותים. כמו כן, יקיים המרכז הכשרות ותרגילי אבטחת סייבר עבור גורמי תעשייה.[67]
לצד זאת, קראה נציבות ה-Cyberspace Solarium האמריקנית, הפועלת כגוף ללא כוונת רווח, ל-CISA להקים מעבדה לבדיקה ולאיתור חולשות במערכות OT הנמצאות בשימוש בקרב ענף הימאות. על פי דו"ח שפרסמה הנציבות, מטרת המעבדה תהיה לאתר חולשות בציוד OT המיוצר מחוץ לארה"ב, כגון מנופים המופעלים בנמלי ים, וכן לבחון את מידת האבטחה של מערכות OT חיוניות המופעלות בקרב ענף הימאות. כמו כן, קראו מחברי הדו"ח למחלקה לביטחון המולדת לבקש מהקונגרס תוספת תקציב עבור משמר החופים האמריקני על מנת לתמוך במעמדו כסוכנות האחראית לניהול סיכונים בענף הימאות, וכן קראו למשמר החופים לנסח תכניות להכשרת כוח אדם מיומן באבטחת הסייבר של הענף.[68]
איומי סייבר ומענים להגנה על שרשראות אספקה
במחצית הראשונה של 2023, 14% מסך תקיפות הסייבר שנצפו מתחילת השנה, היו על שרשראות האספקה. כך על פי מחקר שפרסם המרכז להתמודדות עם גניבת זהות דיגיטלית (ITRC),[69] ארגון אמריקני הפועל ללא כוונת רווח.[70] באפריל, פרסמו מספר חברות אבטחת סייבר כי האקרים המזוהים עם צפון-קוריאה[71] החדירו נוזקה למערכת העדכונים של ספקית פלטפורמת שיחות הווידאו, 3CX בפלטפורמות Windows ו-MacOS.[72] ביוני, פרסמו CISA וה-FBI המלצות להתמודדות עם מתקפת הכופרה שיוחסה לקבוצת CL0P,[73] שניצלה במאי 2023 חולשת יום אפס (zero-day) בפלטפורמה להעברת הקבצים MOVEit Transfer, שפיתחה החברה האמריקנית Progress Software על מנת לתקוף גופי ממשל, תאגידים ועסקים מרחבי העולם.[74]
על רקע איומים אלו, במחצית הראשונה של 2023, עלו יוזמות למיפוי שרשראות האספקה ולניהול סיכוני אבטחה שמקורם בספקי צד-שלישי. בפברואר, המרכז הלאומי לאבטחת סייבר של בריטניה (NCSC) פרסם המלצות לעסקים בינוניים וגדולים בנושא מיפוי שרשראות האספקה שלהם, במטרה לחזות סיכוני סייבר אפשריים בעקבות עבודתם עם ספקים. על פי ההמלצות, על המיפוי לכלול מספר רכיבים, בהם הגדרת טיבו וערכו של המידע המועבר בין העסק לספקיו; מיפוי הספקים וספקי המִשְׁנֶה שלהם; והוכחה כי עבודת הספקים עומדת בקריטריונים מובחנים, כגון תקנים של ארגון התקינה הבין-לאומי (ISO).[75] במרץ, הציג תאגיד MITRE אב-טיפוס לאפליקציית רשת בשם RMM,[76] שמטרתה לסייע לצוותי אבטחת סייבר להגדיר, להעריך ולְכַמֵּת סיכוני אבטחה בשרשראות אספקה, שמקורם בספקי שירותים, תוכנה וקושחה.[77]
כמו כן, ביוני, הודיעה ממשלת קנדה כי בכוונתה להשיק תכנית הַסְמָכָה (CPCSC),[78] שמטרתה לחייב חברות קבלן, המספקות שירותים ומוצרים לממסד הביטחוני והממשלתי, להטמיע דרישות לביצוע הַסְמָכָה בתחום אבטחת סייבר. התכנית תקדם תיאום רגולטורי בין ממשלות ארה"ב וקנדה, כך שחברות שיקבלו את ההַסְמָכָה הקנדית יוכלו לקחת חלק בתכניות רכש ביטחוניות אמריקניות וכן להיפך.[79] גם יפן מתכוונת לחייב 1,000 ספקים העובדים עבור הממשלה, להטמיע מיידית כללי אבטחת סייבר על פי מסמך ה-SP 800-171 של NIST,[80] על מנת לאבטח באופן מיטבי מידע רגיש.[81] ההחלטה מגיעה על רקע מהלך שנוקטת ממשלת יפן במסגרתו חתמה על מִזְכָּר הבנות משותף עם הבית הלבן, במטרה להטמיע תקני אבטחה אחידים במסגרת רכש ממשלתי של תוכנות.[82]
כמו כן, הוביל הממשל האמריקני יוזמות לשיפור מידת האבטחה של תוכנות מבוססות קוד פתוח. באפריל, הודיעה ראשת CISA, ג'ן איסטרלי (Jen Easterly), על השקת פרויקט של הארגון המשותף לשיתוף פעולה בתחום הגנת הסייבר (JCDC)[83], שמטרתו לזהות ולתת מענה לחולשות אבטחה בתוכנות קוד פתוח הנמצאות בשימוש מערכות בקרה תעשייתיות. כמו כן, ציינה איסטרלי כי CISA משתפת פעולה עם משרד ראש הסייבר האמריקני הלאומי (ONCD),[84] המשרד האמריקני לניהול ולתקציב (OMB)[85] וארגון ה-OpenSSF,[86] במטרה להקים מאגרי תוכנות הבטוחות לשימוש וכלים לניהול חבילות תוכנה (Package Managers).[87] במאי, אישרה וועדת הסנאט האמריקני לביטחון המולדת ולענייני ממשל את הצעת החוק the Strengthening Agency Management and Oversight of Software Assets (SAMOSA) Act, המחייבת את סוכנויות הממשל להתנהל בשקיפות בנושא רכש התוכנות וכן מחייבת את המבקרים הכלליים ליזום בדיקה עצמאית של ניהול רישיונות התוכנה במחלקות הממשל השונות.[88]
לצד זאת, קידמו מדינות וארגונים פיתוח מאובטח של תוכנות ומוצרים טכנולוגיים. באפריל, פרסמו ה-NSA, CISA וה-FBI, בשיתוף פעולה עם סוכנויות ממשל וגופי אכיפת חוק וביטחון בין-לאומיים, מסמך הנחיות הקורא לפיתוח מוצרים טכנולוגיים באמצעות שילוב עקרונות האבטחה לפי תכנון (Secure-by-Design) והאבטחה כברירת מחדל (Secure-by-Default). כחלק מכך, המליצו הסוכנויות להטמיע בשלבי הפיתוח את מסגרת הפיתוח המאובטח (SSDF)[89] של NIST.[90] במאי, פרסמו מדינות ה-Quad[91] מסמך עקרונות לממשלות וחברות קבלן ממשלתיות, במטרה להטמיע את עקרון ה-secure by design בפיתוח תוכנות.[92] באותו החודש, פרסם NIST הזמנה לארגונים להשתתף בפרויקט Software Supply Chain and DevOps Security Practices, שמטרתו לנסח גישה מבוססת סיכונים והמלצות לאבטחת שרשראות האספקה של תוכנות ותהליכי DevOps, תוך שימוש בפלטפורמות אוטומטיות ובאסטרטגיה המותאמת לסביבות ענן. השתתפות הארגונים בפרויקט תאפשר למרכז הלאומי למצוינות באבטחת סייבר (NCCoE)[93] לזהות אתגרים בשרשראות האספקה וביישום שיטות DevOps ולפתח להם פתרונות ישימים,[94] ולבחון את השימוש באמצעים שונים לטובת הפיתוח המאובטח של תוכנות.[95]
מתחילת 2023, פעלו גופי ממשל, ביטחון וחקיקה בעולם, ובראשם הממשל האמריקני, על מנת לקדם המלצות ולהנגיש דרכי התמודדות וניהול סיכונים בשרשראות האספקה, בפרט ביחס לשיתופי פעולה עם ספקים. תחומי פעילות נוספים התמקדו בעקרונות והמלצות אבטחה עבור מפתחים ויצרניות תוכנה, תוך קידום דרכים לניהול חולשות אבטחה ופיתוח אמצעים למניעתן. נראה כי ישנה מגמה של עלייה במדיניות אותה מובילה ארה"ב, של הטמעת ושילוב עקרונות האבטחה לפי תכנון (Secure-by-Design) והאבטחה כברירת מחדל (Secure-by-Default).
מענים לאיומי סייבר על ענף הבריאות
מתחילת 2023, גיבש הממשל האמריקני עקרונות ומענים לאבטחת מידע ונתונים רפואיים. במסגרת המאמץ פרסם ה-NCCoE טיוטת מסמך לתגובות הציבור בנושא שיפור תהליכי האחסון וניהול הנתונים והמידע הגנטי. המסמך מציג פתרונות שמטרתם להפחית את השפעתם הפוטנציאלית של איומי הסייבר על ענף המחקר הרפואי, בהם שימוש במערכת פרטיות דיפרנציאלית (DF)[96] המאפשרת אנונימיזציה של פרטים מזהים והצפנה הומומורפית מלאה (FHE).[97] ביוני, פרסמה נציבות המסחר הפדראלית (FTC)[98] לתגובות הציבור טיוטת כללים לדיווח על גניבת מידע רפואי מצד החברות המחזיקות בו. העדכון מרחיב את רשימת הגופים הכפופים לכללים כך שתכלול את מפתחי האפליקציות, המאפשרות לאסוף מידע בריאותי אישי,[99] וכן מעדכנת את הסיווג של המונח "אירוע אבטחה", כך שיובהר כי האיסור להשגת מידע רפואי השייך לאזרחים ללא רשותם לא חל רק על הגורמים שפרצו למאגר המידע וחשפו אותו, אלא גם על גורמי צד שלישי שייתכן ונחשפו למידע. בנוסף, כוללת הטיוטה מידע שעל חברות למסור לאזרחים שנפגעו בעקבות גניבת פרטיהם האישיים, ותיאור הצעדים שתנקוט החברה במטרה להגן עליהם.[100]
נושא נוסף שקידמו מדינות בהובלת ארה"ב, היה גיבוש כללים ומענים לפיתוח והשימוש המאובטח במכשור רפואי ובשירותי רפואה מרחוק (Telehealth). במרץ, פרסמה ממשלת סינגפור לתגובות התעשייה את המסגרת לדירוג מידת האבטחה של מכשור רפואי שנחשפה ב-2022.[101] בארה"ב, פרסם המִנְהָל למזון ולתרופות (FDA) מסמך המחייב יצרני מכשור רפואי להגיש לו תכניות לניטור, לזיהוי ולהתמודדות עם חולשות אבטחה וכן לבצע עדכוני אבטחה שוטפים. בנוסף, מחייב המסמך את יצרני המכשור הרפואי לספק ל-FDA רשימת רכיבים ותוכנה (SBOM)[102] של המכשור.[103] באפריל, פרסם NIST הזמנה לקבלת פתרונות ומוצרים מהמגזר הפרטי, על מנת להפחית את איומי הסייבר בעת בשימוש במכשירים חכמים בשירותי רפואה מרחוק.[104]
על רקע עיסוק הבית הלבן בשיפור הליכי ניהול המידע הבריאותי ואבטחת שירותי הרפואה מרחוק, ייתכן שבטווח הזמן הקרוב ארה"ב ומדינות נוספות יחייבו יותר ארגוני בריאות לנהל סיכונים במסגרת התקשרויות עם ספקי צד שלישי, וכן יוסיפו לקדם את נושא הפיתוח המאובטח של מכשור רפואי. אולם, סביר שממשלות יידרשו לתת מענה גם להשלכות השימוש בטכנולוגיית הבינה המלאכותית בקרב מוסדות בריאות וכן לאיומי הסייבר הפוטנציאליים המשתכללים עקב פוטנציאל ניצול יכולות אלו על ידי פושעי סייבר וקבוצות כופרה.
מענים לאיומי סייבר על מערכות חלל
במהלך המחצית הראשונה של 2023, פעלו גופי ממשלה לקדם את שיתוף הפעולה ואת שיתוף המידע עם תעשיית מערכות וטכנולוגיות החלל. במרץ, קיימו משרד ראש הסייבר הלאומי האמריקני (ONCD) ומועצת החלל הלאומית דיון שולחן עגול בהשתתפות בכירים מתעשיית החלל וממשלת ארה"ב, במהלכו התחייבו הבכירים כי ה-ONCD יקיים לאורך השנה סדנאות אזוריות שיעסקו בפערים בהנחיית גופי התעשייה ובתובנות של התעשייה בנושא אבטחת הסייבר של מערכות חלל. כמו כן, תקיים מחלקת המסחר סימפוזיון בנושא אבטחת הסייבר של מערכות חלל בהשתתפות בכירי ממשלה ותעשייה. לבסוף, הוחלט כי NIST יפרסם דו"ח בנושא מענים לנושא אבטחת הסייבר של לוויינים ופעילות חלל מסחרית. מטרת הדו"ח תהיה למצוא דרך ליישם את מסגרת אבטחת הסייבר של NIST בקרב מערכות חלל מסחריות.[105]
במקביל, קראו מומחים בארה"ב להגדיר מערכות חלל כתשתיות חיוניות. באפריל פרסמה נציבות ה-Cyberspace Solarium, הפועלת כארגון ללא כוונת רווח, תזכיר הקורא לממשל הפדראלי להגדיר מערכות חלל כתשתית חיונית על מנת להציב את חסינותן של מערכות אלו בעדיפות עליונה. מחברי התזכיר קראו לממשל למנות את נאס"א כסוכנות האחראית לניהול סיכונים בענף החלל, לאפשר למחלקת ההגנה לעסוק בניהול סיכונים ביטחוניים ומודיעיניים ולהקים קבוצת מִשְׁנֶה נוספת שתנהל סיכונים בקרב ענף התקשורת הלוויינית הנמצא תחת פיקוח נציבות התקשורת הפדראלית (FCC).[106]
בהיבט איומי הסייבר והלוחמה האלקטרונית על מערכות חלל ולוויינים, נחשפו מתחילת השנה פרטים בנושא פיתוח ושימוש ביכולות התקפיות המתמקדות בספקטרום תדרי הרדיו. באפריל דיווח עיתון ה-Washington Post כי על פי דו"ח מסווג, רוסיה השתמשה במערכת לוחמה אלקטרונית המכונה Tobol,על מנת לשבש את אותות ה-GNSS המשודרים מהלוויין אל מודול ה-GPS המשמש לסנכרון פעילות הטרמינלים של Starlink באוקראינה אל מול הלוויין (downlink jamming).[107] כמו כן, במסגרת הדלפת מסמכי הפנטגון שנחשפה באפריל, פורסם מסמך שחובר על ידי ה-CIA, ולפיו סין מפתחת יכולות לשבש או להשתלט על לוויינים כחלק מרצונה לשלוט בסביבת המידע בעת עימות. על פי הדו"ח, סין פועלת לפתח יכולות זיוף אותות (Spoofing) על מנת "לחטוף" (hijack) לווייני תקשורת ומודיעין ולמנות תקשורת בין כוחות לוחמים, העברת הוראות למערכות נשק ועוד.[108]
לסיכום, החל מתחילת השנה פעל הממשל האמריקני לשפר את חסינותן של מערכות חלל מפני איומי סייבר, מאמץ שהתמקד בשיפור יכולת ההנחיה של התעשייה ובקבלת תובנות מהמגזר הפרטי. עם זאת, מומחים קראו לממשל להגדיר תשתיות ומערכות חלל כתשתית חיונית. לבסוף, במסגרת מסמכים מסווגים שנחשפו לציבור נחשפו יכולות סייבר ולוחמה אלקטרונית שפותחו על ידי רוסיה וסין לטובת התמקדות בלוויינים ושירותי לוויין.
הטמעת ארכיטקטורת רשת מבוססת עקרונות אפס האמון (Zero-Trust)
במחצית השנה הראשונה של 2023, הוביל הממשל האמריקני את המעבר לארכיטקטורות רשת המבוססות על עקרונות אפס האמון (Zero-Trust) ברשתותיו ומערכותיו. שילוב עקרונות אפס האמון בשורות הממשל, התקדם על רקע הפרסום כי צבא סין פועל לפתח יכולות סייבר שיאפשרו להאקרים סיניים לחדור לרשתות ממשלתיות וצבאיות בארה"ב, המתבססות על אפס האמון, בטווח של חמש שנים לכל יותר.[109]
הבית הלבן הדגיש את מחויבותו לנושא כחלק מאסטרטגיית אבטחת הסייבר הלאומית, במסגרתה, קרא לסוכנויות הממשל ליישם את ההנחיות שפרסם המשרד לניהול ותקציב ((OMB בינואר 2022 בדבר הטעמת עקרונות אפס האמון עד לסוף 2024.[110] מלבד זאת, פעל הממשל להגדיר ולעדכן את מודלי הבשלות להערכת מידת ההתאמה לשילוב אפס האמון ברשתות ממשלתיות. במרץ, פרסמה ה-NSA מסמך המגדיר רמות בשלות לצורך קידום המעבר לאפס האמון בהתאם למרכיבי יכולות ניהול הרשאות הגישה (ICAM)[111] של בעלי ומפעילי מערכות ממשלתיות החיוניות לביטחון הלאומי (NSS).[112] באפריל, פרסמה CISA את גִּרְסָה 2.0 של מודל ה-ZTMM,[113] שמטרתו לסייע לסוכנויות פדראליות לבצע את המעבר לארכיטקטורות רשת המבוססות על אפס האמון. בעוד שהמודל הראשוני הציג שלוש רמות בשלות,[114] המודל הנוכחי הוסיף רמת בשלות חדשה, Initial, ומטרתה לסייע לארגונים להעריך את רמת מוכנותם בכל אחד מחמשת מרכיבי המודל: הענקת גישה למשתמשי מערכת בהיקף הנחוץ; אימות זהות מכשירים; חלוקת הרשת למקטעים קטנים (Micro-segmentation); הענקת גישה מאובטחת למידע והגנה עליהם; ושיפור מתן הגישה ליישומים באופן מאובטח.[115]
לצד זאת, הודיע חיל האוויר האמריקני כי הוא מגבש תכניות ומתווה על מנת לסייע לחיל ליישם את אסטרטגיית אפס האמון שפרסמה המחלקה בנובמבר 2022,[116] ושמטרתה להשלים את הטמעת העקרונות עד ל-2027.[117] בד בבד, החלו מחלקת ההגנה וזרועות הצבא לבצע בדיקות היתכנות ראשוניות להטעמת אפס האמון במערכותיהן. בינואר, פורסם כי משרד צבא היבשה לניהול המעבר לעקרונות אפס האמון,[118] מיישם בשיתוף עם שורת יחידות מזרוע היבשה, בהן פיקוד הסייבר של צבא היבשה (ARCYBER),[119] פיקוד טכנולוגיות מיזם הרשת (NETCOM)[120] ופיקוד כוחות הצבא (FORSCOM),[121] תכניות פיילוט שמטרתן להטמיע ארכיטקטורות רשת מבוססות אפס אמון ברשתות לשימוש טקטי.[122] בפברואר, הודיע סגן מנהל סוכנות מערכות המידע של מחלקת ההגנה (DISA),[123] כריס ברנהרסט (Chris Barnhurst), כי המחלקה השלימה בניית אב-טיפוס של ארכיטקטורת רשת מבוססת אפס אמון, במסגרת תכנית Thunderdome.[124] בעקבות השלמת אב-הטיפוס, זרועות הצבא יחלו בבחינת הטמעת הארכיטקטורה, בחלקה או בשלמותה, במסגרת תכניות אפס אמון הקיימות ברשותן.[125]
במאי, ביקשה DISA להיעזר בפתרונות טכנולוגיים מהמגזר הפרטי כחלק מיישום תכנית C2C,[126] שמטרתה להגן על תשתיות רשת ומאגרי מידע במערכות מחלקת ההגנה באמצעות אימוץ פתרונות המבוססים על עקרונות אפס האמון. במסגרת הבקשה, בכוונת DISA לקבל מידע בנושא תוכנות ואמצעי ארכיטקטורת רשת, המסוגלים לאתר ולסווג באופן אוטומטי את כלל המכשירים המתחברים לרשתות המחלקה וכן לחלק אותן למקטעים (Segmentation), במטרה להגביל את הגישה של משתמשים לרשת.[127]בד בבד, הובילה מחלקת ההגנה וועידה בת שלושה ימים בהשתתפות נציגי מדינות ברית ה-Five Eyes, שעסקה בחילופי מידע בנושא תהליך הטמעת אפס האמון.[128]
לסיכום, במחצית הראשונה של 2023 האיצו הממשל האמריקני ובמיוחד מחלקת ההגנה את המאמץ לקדם את הטמעת עקרונות אפס האמון ברשתותיהם, בדגש על ניסוח תכניות תפעוליות וירידה לעומקם של פרטים לקראת שלבי ההטמעה המעשיים והמקדמיים.[129] סוכנויות ממשל נוספות מצויות בשלבים שונים במסגרת תהליך זה, במטרה להתחיל בהטמעה ראשונית כבר לפני 2030.[130] עם זאת, חשוב לציין כי חלקן פוגשות גם אתגרים שונים בתהליך, על רקע תשתית טכנולוגית מיושנת ומחסור בכוח אדם המיומן במקצועות הסייבר וטכנולוגיית המידע. הממשל האמריקני פועל כדי להתמודד עם פער זה, באמצעות פישוט והקלת תהליכי קליטת, הכשרת, ניהול ושימור העובדים וחידוש סביבות העבודה (לפירוט ראו עמ' 22-21).[131]
בינה מלאכותית
קפיצת המדרגה של מודלי השפה הגדולים (LLM) והשקת הצ'טבוט ChatGPT בנובמבר אשתקד יצרו דיון ער בנושא התועלות והסכנות הגלומות בשימוש בו. במחצית הראשונה של 2023, מומחי טכנולוגיה ואבטחה העלו חששות כי השימוש ב-ChatGPT עלול לסייע לעברייני סייבר בדרכים שונות, באמצעות פיתוח נוזקות מבוססות קוד פולימורפי, הפצת מידע כוזב ושיפור יעילותן של תקיפות דיוג.[132] על רקע זה, גופי רגולציה, ממשלות וחברות פרטיות בעולם החלו לנסח עקרונות, שיבטיחו שימוש אחראי בבינה מלאכותית יוצרת (Generative AI) בכלל וב-ChatGPT בפרט.
הפרלמנט האירופי ורשות מרחב הסייבר של סין (CAC)[133] הציגו טיוטות רגולציה, על מנת לוודא כי השיווק של מערכות בינה מלאכותית עומדות בעקרונות מוגדרים, כגון הבטחת היכולת של מפעילים אנושיים להשפיע על פעילותם וביצוע הערכות סיכוני אבטחה.[134] בארה"ב, משרד ה-OMB, הקרן האמריקנית הלאומית למדע (NSF)[135] והמשרד למדיניות הרכש הפדראלית האמריקנית (OFPP)[136] הודיעו כי בכוונתם להציג עקרונות מדיניות, שיסדירו את הרכש והשימוש הממשלתי האחראיים בטכנולוגיות בינה מלאכותית, לרבות ב-ChatGPT.[137] ביוני, השיק NIST קבוצת עבודה שמטרתה לנסח קווים מנחים בנושא הסיכונים הטמונים בטכנולוגיות בינה מלאכותית יוצרת.[138] כמו כן, ממשלות יפן ודרום קוריאה החלו בחודשים מאי ויוני (בהתאמה) בהתייעצויות עם גופי אקדמיה ומגזר פרטי מקומיים, על מנת לגבש הנחיות רגולטוריות לשימוש ב-ChatGPT.[139]
המגזר הפרטי נרתם גם הוא למתן מענה לאיומים הקיימים בשימוש ב-ChatGPT. במאי מיקרוסופט, גוגל, OpenAI וחברות נוספות הביעו בפני הבית הלבן נכונות להשתתף בתהליך הערכה פומבי של מודלים של בינה מלאכותית במסגרת כנס DEF CON שייערך באוגוסט 2023, במסגרתו תיבחן עמידתם בעקרונות שונים, כגון הגנה על חירויות פרט באמצעות שיטות עבודה שונות שפורסמו במסגרת תכנית הממשל לניסוח מסגרת ניהול סיכונים עבור טכנולוגיות בינה מלאכותית.[140] ביוני, הודיעה חברת OpenAI על כוונתה להקצות מענקים בסך מיליון דולר עבור מחקרים, המתמקדים בשימוש בבינה מלאכותית יוצרת במטרה לשפר את מידת אבטחת הסייבר.[141]
מאחר ומחציתה הראשונה של 2023 עמדה בסימן עליית המוּדעוּת לסיכונים הטמונים ב-ChatGPT ותחילת גיבוש הפתרונות להתמודדות עימם, הרי שמחציתה השנייה צפויה, אפוא, להתאפיין ביישומם מהכוח אל הפועל. למרות הירתמות המגזר הממשלתי והפרטי בעולם, סביר להניח כי אופי האיומים שיוצגו מצד הבינה המלאכותית היוצרת יוחרף, כשהשלמת ויישום הצעדים הרגולטוריים יתקשו להדביק את קצב השיפורים הצפויים.
היערכות לניצול הזדמנויות והתמודדות עם איומי המחשוב הקוונטי
במחצית הראשונה של שנת 2023, נמשכה מגמת ההיערכות המדינתית לקראת האימוץ וההטמעה של טכנולוגיית המחשוב הקוונטי. החל מתחילת השנה פרסמו מדינות כגון קנדה,[142] בריטניה,[143] אוסטרליה,[144] דנמרק[145] ודרום קוריאה[146] מסמכי אסטרטגיה השמים למטרה לקדם את המחקר, הפיתוח וההטמעה של טכנולוגיות המחשוב הקוונטי, הגדלת נפח פעילותן במסגרת הכלכלה העולמית בנושא המחשוב הקוונטי, לתמוך בתעשייה המקומית, לתרגם ממצאים מדעיים לכדי מוצרים ושירותים מסחריים, גיוס ושימור כוח אדם המיומן בטכנולוגיות המחשוב הקוונטי, ועוד.
במקביל, קידמו מדינות תכניות ופרויקטים למחקר ופיתוח של מחשבים קוונטיים וטכנולוגיות נוספות המבוססות על תופעות פיזיקליות מתחום המדעים הקוונטיים. בינואר הודיעה קנדה על הקצאת 40 מיליון דולר קנדי (כ-30 מיליון דולר) לחברת המחשוב הקוונטי הקנדית Xanadu Quantum Technologies לטובת פיתוח מחשב קוונטי המשתמש בחלקיקי אור ועמיד בפני שגיאות.[147] באפריל השיקה הודו את פרויקט משימת המחשוב הקוונטי הלאומית, במסגרתו תפתח מחשבים קוונטיים בעלי יכול חישוב של 50 עד 1,000 קיוביטים בתוך פרק זמן של עד שמונה שנים. כמו כן, בכוונת הממשלה להקים מרכזי מחקר בקרב מוסדות אקדמיים במדינה, לטובת חקר השימוש במחשוב קוונטי בענפי התקשורת והמטאורולוגיה.[148] בהקשר הצבאי, הובילה מחלקת ההגנה האמריקנית יוזמות ופרויקטים למחקר ופיתוח. בינואר הודיעה דארפ"א על בחירה במיקרוסופט ובחברות המחשוב הקוונטי האמריקניות Atom Computing ו-PsiQuantum כמועמדות להשתתפות בתכנית ה-US2QC,[149] לבחינת גישות חדשות לפיתוח מחשבים קוונטיים שערכם החישובי גדול מעלויות תפעולם (Utility scale). באפריל, פרסמה מחלקת המחקר של חיל האוויר האמריקני בקשה לקבלת הצעות מחקר, פיתוח, בחינה והערכה של מחשבים קוונטיים לטובת צרכי פיקוד, שליטה, תקשורת ומודיעין.[150]
לצד ההיערכות לניצול ההזדמנויות וקידום ההבנה של תחום המחשוב הקוונטי, פעלו מדינות להיערך לקראת האיומים הטמונים בטכנולוגיה, ובראשם איום פענוח ההצפנה הא-סימטרית. כחלק מכך, המשיכו מדינות לקדם את ההטמעה והמעבר של המשק לשימוש בהצפנה פוסט-קוונטית. בפברואר, הודיע מנהל פרויקט ההצפנה הפוסט-קוונטית ב-NIST, דסטין מודי (Dustin Moody), כי NIST נמצא בשלבים האחרונים של תהליך ניסוח תקני ההצפנה הפוסט-קוונטית שצפויים להתפרסם במהלך 2024.[151] באפריל פרסם ה-NCCoE מסמך שמטרתו לסייע לארגונים לעבור לשימוש בהצפנה פוסט-קוונטית. המסמך קורא לארגונים למפות את כל הנכסים הארגוניים המשתמשים בהצפנה א-סימטרית ולקבוע סדרי עדיפויות להעברתן לכדי שימוש בהצפנה פוסט-קוונטית.[152]
עם זאת, גופים שונים הצביעו על האתגרים הכרוכים במעבר להצפנה פוסט-קוונטית. על פי המסמך מאת ה-NCCoE, ארגונים רבים לא מודעים להיקף השימוש שלהם בהצפנה א-סימטרית.[153] בפברואר, הודיעו חוקרים מהמכון המלכותי KTH בשטוקהולם, שוודיה, כי הצליחו לפענח מידע שהוצפן באמצעות אלגוריתם CRYSTALS-Kyber, שנבחר על ידי NIST במסגרת תהליך התקנון של אלגוריתמים להצפנה פוסט-קוונטית, באמצעות מתקפות Side Channel ושימוש בלמידת מכונה לטובת הסקת מסקנות ואיתור דפוסים.[154] לבסוף, במרץ פרסם משרד המבקר הממשלתי האמריקני (GAO) מסמך הקורא לארגונים להיערך לקראת המעבר להצפנה פוסט-קוונטית ומדגיש את האתגרים שבמעבר, כגון אורך הזמן הדרוש למעבר, מחסור בכוח אדם המיומן ובקיא בנושאי הצפנה, וכן מורכבות ועלויות התהליך.[155]
לסיכום, במחיצתה הראשונה של 2023, ניכר כי מדינות נוספות פנו להגדיר את יעדיהן האסטרטגיים בתחום המחשוב הקוונטי, הפקת היתרונות הצפויים ממנו והטמעתו במשק. באופן טבעי, נמשכו המאמצים בתחום המחקר והפיתוח במטרה לבחון שימושים שונים למחשבים קוונטיים ולבחון שיטות חדשות לפתחם. לבסוף, נמשכו מאמציהן של מדינות להכין את המשק ולקדם את תִּקְנוּן שיטות ההצפנה הפוסט-קוונטית כחלק מהתמודדות עם האיום העתידי שמציבים המחשבים הקוונטיים על שיטות ההצפנה הקיימות.
יוזמות לצמצום הפערים בכוח האדם המיומן במקצועות הסייבר והכשרתו
דו"ח איומי הסייבר העולמי לשנת 2023 מאת הפורום הכלכלי העולמי (WEF)[156] שהתפרסם בינואר, הציג סקר לפיו 10% ממנהלי הארגונים ו-13% ממומחי האבטחה שלקחו בו חלק, התריעו כי בארגוניהם קיים פער משמעותי בכוח האדם המיומן במקצועות הסייבר. בקרב ארגוני ממשל וארגוני תשתיות חיוניות, שיעור המנהלים שהצהירו על מחסור בעובדים בעלי מיומנויות חיוניות נע בין 14% ל-25%, כאשר פערי כוח האדם הגדולים ביותר מצויים במגזרי החשמל, הפיננסים והבריאות.[157]
על רקע זה, במהלך המחצית הראשונה של שנת 2023, שם לו למטרה הממשל האמריקני לקדם מספר יוזמות לצמצום פער כוח האדם המיומן במקצועות הסייבר. ראשית, הממשל הוציא לפועל מספר מהלכים ישימים להתמודדות עם פער זה. בפברואר, פרסם משרד מנהל מערכות המידע של מחלקת ההגנה את מסמך התכנית להכשרה ולניהול כוח אדם המיומן במקצועות הסייבר וה-IT,[158] שמטרתה לשפר את הליכי הגיוס, ההכשרה והניהול במקצועות הסייבר במחלקת ההגנה. כחלק מכך, במסמך מופיעות דרישות ממוקדות בנושא ההשכלה, ההכשרה וההסמכה הנדרשים, בדגש על ניסיון תעסוקתי, כאשר כלל העובדים האזרחיים במקצועות הסייבר במחלקה יהיו מחויבים לבצע הסמכה תחת דרישות אלו עד לפברואר 2025.[159] כמו כן, פרסמה DISA תכנית אסטרטגית שדנה בשיפור הליכי ההכשרה של עובדי הסוכנות באמצעות קיום תרגילים, חידוש סביבות העבודה, פיתוח תחזיות בנושא צורכי גיוס כוח אדם עתידיים ועוד.[160]
במאי, השיק המשרד האמריקני לניהול כוח אדם (OPM),[161] שני לוחות מחוונים של נתונים (דאשבורדים), שמטרתם לסייע לסוכנויות פדראליות להתמודד עם המחסור בכוח אדם ולהקל עליהן בניהולו ובקליטת עובדים חדשים. הלוח הראשון מציג משרות אבטחת סייבר פנויות בקרב סוכנויות ממשל, בעוד שהלוח השני מספק להן נתונים פנימיים בנושא העסקת העובדים, כגון היקף המחסור הקיים במומחים, נתונים על שיעורי עזיבה צפויה ועוד.[162] כמו כן, בכדי לספק מענה למחסור בעובדים במקצועות הסייבר ב-CIA, במהלך 2023 עברה הסוכנות ממודל גיוס הפתוח להגשת מועמדות עבור כלל המועמדים, למודל המאפשר למועמדים להגיש מועמדות עד לארבע משרות שונות.[163]
יוזמות נוספות התמקדו בניסוח קווים מנחים ומסמכים אסטרטגיים לצמצום פערי כוח האדם בתחומי הסייבר. במרץ, פרסמה מחלקת ההגנה האמריקנית אסטרטגיה לשנים 2027-2023, שמטרתה לשפר את הליכי הגיוס, הניהול וההכשרה בקרב גופי המחלקה. האסטרטגיה מתמקדת בזיהוי, ניתוח והערכת פערי כוח האדם במקצועות הסייבר במחלקה מתוך נקודת מבט עכשווית וצופה פני עתיד; בפיתוח גישה מקיפה לגיוס, בשימור ובטיפוח כוח אדם כישרוני בתחומים חיוניים במקצועות הסייבר ובהתאם למשימות המחלקה; בקידום שיתופי פעולה בין סוכנויות ממשל, התעשייה, האקדמיה ובעלות בריתה של ארה"ב, ועוד.[164] בטווח הקרוב, עתיד משרד ראש הסייבר הלאומי (ONCD) לפרסם בקיץ 2023 אסטרטגיה לאומית לגיוס ולהכשרת כוח האדם המתמחה במקצועות הסייבר. לדברי מנהלת היוזמה הלאומית של NIST להכשרה בתחום אבטחת הסייבר (NICE),[165] קארן ווצל (Karen Wetzel), פועל הממשל הפדראלי לייצר תמריצים לעובדים ולמועמדים ולהרחיב את מידת הגמישות בתנאי ההעסקה.[166]
בעוד שהממשל האמריקאי קידם יוזמות לצמצום הפער בכוח האדם, באירופה, מהלכים דומים שנרשמו היו מצומצמים יחסית. באפריל, הציגה הנציבות האירופית הצעה להקמת מוסד אקדמי שיאגד תחתיו יוזמות מהמגזר הציבורי והפרטי שמטרתן לצמצם את המחסור בכוח האדם המיומן במקצועות אבטחת הסייבר ברמה הלאומית והיבשתית, בדגש על עסקים קטנים ובינוניים והמגזר הציבורי, וכן לשפר את הכשרתו. במסגרת התכנית, הנציבות שמה לה למטרה להעניק הכשרה טכנולוגית בסיסית עבור מרבית אזרחי האיחוד וכן להכשיר 20 מיליון מומחי ICT עד 2030.[167] במאי, השיקה ממשלת בריטניה, בשיתוף עם מכון המחקר וההדרכה SANS, תכנית הכשרה בת 14 שבועות, שמטרתה להציע הכשרה, ייעוץ והדרכה בתחומי אבטחת הסייבר עבור אנשי מקצוע בבריטניה המעוניינים לבצע שינוי קריירה.[168] ביוני, השיקה גוגל, בשיתוף המרכז הלאומי לאבטחת סייבר של בריטניה (NCSC), תכנית חדשה להדרכה והסמכה של המיומנויות ההתחלתיות הנדרשות בכדי למלא תפקידי אבטחת סייבר חיוניים. מטרת התכנית הינה לשפר את כישוריהם של אנשי מקצוע בתחום הסייבר, על מנת לסייע בשיפור מידת אבטחת הסייבר בקרב עסקים קטנים ובינוניים.[169]
לסיכום, ההסתמכות הגוברת על הכלכלה הדיגיטלית מדגישה את הנחיצות של מקצועות אבטחת הסייבר והכשרת מומחים בתחום. במחצית הראשונה של 2023, הובילו הממשל האמריקני, מדינות וחברות פרטיות יוזמות לצמצום הפער בכוח האדם המיומן במקצועות הסייבר. עם זאת, ברור כי מהלכים אלו אינם מספיקים והמחסור בעובדים במקצועות הסייבר עודנו מהווה אתגר בולט של ארגונים וממשלות, המותיר מגזרים חיוניים חשופים למתקפות סייבר.[170]
The Security Service of Ukraine ↑
https://bit.ly/3LVTB7r ; קישור לדו"ח: https://bit.ly/44l3zGn ↑
Ransomware Task Force; ה-RTF מורכב מנציגים ומומחי תעשייה, ממשלה, אכיפת חוק, חברה אזרחית, ארגונים בין-לאומיים ועוד. ↑
Institute for Security and Technology; ארגון אמריקני ללא כוונת רווח, השם לו למטרה לספק למקבלי ההחלטות פתרונות טכנולוגיים, פתרונות מדיניות ותובנות במטרה להתמודד עם איומים עולמיים חדשים. ↑
קישור לדו"ח: https://bit.ly/431R6pW ↑
https://bit.ly/406FuzO ; https://bit.ly/3GLkyHP ; https://bit.ly/3mH5d4b ; https://bit.ly/41Hrei4 ↑
https://bit.ly/3HqmA0P ; קישור לדו"ח: https://bit.ly/3XEsPUn ↑
International Counter Ransomware Taskforce ↑
Counter Ransomware Initiative; יוזמה בין-לאומית שהושקה ב-2021 בהשתתפות 37 מדינות, העוסקת בקידום שיתופי פעולה בין-לאומיים במאבק נגד מתקפות כופרה. ↑
https://bit.ly/3Wd2HA3 ; https://bit.ly/45adW04 ; https://bit.ly/3Aga9Am ; https://bit.ly/3owSBgr ↑
The Financial Action Task Force ↑
קישור לדו"ח: https://bit.ly/3P06X4e ↑
Ransomware Task Force; ה-RTF מורכב מנציגים ומומחי תעשייה, ממשלה, אכיפת חוק, חברה אזרחית, ארגונים בין-לאומיים ועוד. ↑
https://bit.ly/3Op9kNO ; קישור לדו"ח: https://bit.ly/431R6pW ↑
The Joint Ransomware Task Force; כוח משימה בהובלת CISA וה-FBI, שהושק במאי 2022 ושעוסק בתיאום תגובות הממשל למתקפות כופרה. ↑
קישור לאסטרטגיית הסייבר הלאומית: https://bit.ly/3WNGvgh ↑
https://bit.ly/43BCVbm ; קישור למדריך: https://bit.ly/42jZosc ↑
Ransomware Vulnerability Warning Pilot ↑
Cyber Incident Reporting for Critical Infrastructure Act of 2022; החוק נכנס לתוקף במרץ 2022 ומחייב גופים מענפי התשתיות החיוניות לדווח על אירועי סייבר בתוך 72 שעות מזמן גילויים וכן לדווח על ביצוע תשלומי כופר תוך 24 שעות; https://bit.ly/3mT0Y5n ↑
דרישות אלו יושמו בשנים האחרונות על ידי הממשל בענפי התעופה, התחבורה והאנרגיה. https://bit.ly/3ORml2Z ; https://bit.ly/3rqM1tB ↑
Environmental Protection Agency ↑
Sanitary Surveys ; סקרים הבוחנים את יכולתם של מתקני מים לספק מים נקיים. למשל, הסוכנות לביטחון לאומי של מדינה כלשהי עשויה להעריך את אבטחת הסייבר במתקני מים כחלק מתכנית רחבה לבחינת מצב האבטחה בכלל התשתיות החיוניות. במקרה בו הערכת אבטחת הסייבר מתבצעת על ידי גוף חלופי, על המדינות לוודא כי היא מתקיימת בתדירות זה לסקרי תברואה הנערכים (אחת לשלוש או חמש שנים). ↑
https://bit.ly/41QtQeo ; קישורים להנחיות: https://bit.ly/3ZrzmCI, http://bit.ly/3LpWAVF ; https://bit.ly/3Ld0oJp ↑
United State Court of Appeals for the Eighth Circuit ↑
The Administrative Procedure Act (APA) ; החוק מגדיר את האופן בו על הממשל הפדראלי לפתח וליישם תקנות. במסגרת החוק, בעת הצגת החקיקה המוצעת, ניתנת לציבור הזדמנות להציג לה תגובות. https://bit.ly/3orVz66 ; https://bit.ly/3KUtKuv ; https://bit.ly/43lT43S ↑
Federal Electricity Regulatory Commission ↑
North American Electric Reliability Corporation; NERC הוא גוף רגולטיבי ללא כוונת רווח האחראי לאמינות ובטיחות ולאכיפת תקנים בענף החשמל בארה"ב ובקנדה. ↑
Bulk Electric System; מערכת חשמל הכוללת אתרים לייצור חשמל, קווי הולכה ומערכות הבקרה שלהם. ↑
רכיבי BES מסווגים לשלוש רמות: ברמה הגבוהה נמצאות מערכות המוגדרות כבעלות השפעה גבוהה, הנמצאות בדרך כלל ברמת מרכז הבקרה. מערכות המוגדרות כבעלות השפעה נמוכה הן מערכות שאינן ממלאות תפקידים חיוניים בתפקוד ה-BES. https://bit.ly/3JSvUeL ↑
Cross-Sector Cybersecurity Performance Goals ↑
הגרסה האחרונה של המסמך פורסמה באוקטובר 2022. במקור, המסמך פורסם בהתאם לתזכיר נשיאותי מיולי 2021, המנחה את CISA ו-NIST לנסח רשימת יעדים לביצוע באבטחת סייבר של תשתיות חיוניות. קישור לתזכיר: https://bit.ly/3npraog ↑
https://bit.ly/3lGRppM ; קישור למסמך, הכולל את כלל משימות מִשְׁנֶה ליישום חמשת העקרונות: https://bit.ly/42JeKaW ↑
Critical Infrastructure Risk Management Program ↑
Cyber and Infrastructure Security Centre ↑
https://bit.ly/3mi0CoB ; https://bit.ly/3ZeXNTS ; http://bit.ly/3LjsaUR ↑
קישור למסמך: https://bit.ly/41Gki5C ↑
Cyber and Infrastructure Security Group ↑
National Cyber Security Coordinator ↑
National Office for Cyber Security; https://bit.ly/3m1jQ1U ; https://bit.ly/3PBIDGq ↑
הדירקטיבה מרחיבה את רשימת הגופים מענפי התשתיות החיוניות הכפופים לה, וכוללת מערכת מקיפה של כללי אבטחת סייבר, בהם דרישת דיווח על אירועי סייבר, הטלת חובה על מדינות האיחוד לגבש אסטרטגיית סייבר לאומית ועוד https://bit.ly/3NeRs7d ; https://bit.ly/3WW8Yzq ; https://bit.ly/3GCASuF ; https://bit.ly/3Z6lHkK ; https://bit.ly/3WZsLhP ↑
Notice to Airmen המכונה גם Notice to Air Missions ↑
Transportation Security Administration ↑
Maritime and Port Authority ↑
Maritime Cyber Assurance and Operations Centre ↑
https://bit.ly/3Ko1WyL ; קישור לדו"ח: https://bit.ly/3zqt2jG ↑
Identity Theft Resource Center ↑
החישוב מסתמך על 53 מתקפות סייבר שנצפו על שרשראות האספקה, מתוך סך כולל של 378 מתקפות. https://bit.ly/43Bsg0I ↑
ככל הנראה קבוצה המכונה בשם UNC4736. ↑
https://bit.ly/3GYzXof ; https://bit.ly/3GYzVwL ; https://bit.ly/3GZoogm ; https://bit.ly/3Lpmdp9 ; https://bit.ly/3HroiP9 ↑
הקבוצה הרוסית ככל הנראה, מוכרת עוד בשם TA505. ↑
https://bit.ly/3XK2F3n ; https://tinyurl.com/bdedmkpe ; https://tinyurl.com/475fpsjk ; https://tinyurl.com/48wre2vw ; https://shorturl.at/aiMY7 ; https://shorturl.at/oCGIO ; קישור להמלצות: https://shorturl.at/aghmq ↑
The International Organization for Standardization; https://bit.ly/3SoBpVq; קישור להמלצות: https://bit.ly/3InsaQF ↑
Risk Model Manager ↑
Canadian Program for Cyber Security Certification ↑
מטרת המסמך לסייע לחברות קבלן העובדות עם הממשל הפדראלי לאבטח מידע מסווג אך רגיש, ושנעשה בו שימוש במסגרת עבודתן. להרחבה, ראו: https://bit.ly/3POTg8K ↑
Joint Cyber Defense Collaborative; ארגון שהקימה CISA באוגוסט 2021, המאגד נציגי ממשל פדראלי ומדינתי וכן נציגים מהמגזר הפרטי והמסייע לממשל ליישם גישת אבטחה פרו-אקטיבית באמצעות שיתוף תובנות וקיום תרגילי אבטחה משותפים. ↑
Office of the National Cyber Director ↑
Office of Management and Budget ↑
Open Software Security Foundation; ארגון אמריקני הפועל ללא כוונת רווח, הכולל נציגים מהמגזר הפרטי, הפועלים על מנת לשפר את אבטחת הסייבר של תוכנות קוד פתוח. בין החברות בארגון נמצאות גוגל ו-IBM. ↑
https://tinyurl.com/422vcv8e ; https://tinyurl.com/22ey2t3y ↑
Secure Software Development Framework, מכונה גם בתור SP 800-218. ↑
https://bit.ly/3ok7PWh ; https://bit.ly/41CFusA ; קישור למסמך ההנחיות: https://bit.ly/3Kzs7Cw ↑
Quadrilateral Security Dialogue, הכולל את ארה"ב, יפן, אוסטרליה והודו. ↑
https://bit.ly/43fed0C ; קישור למסמך: https://bit.ly/3qgLMRe ↑
National Cybersecurity Center of Excellence ↑
DevOps היא תרבות ארגונית, המאפשרת לכלל אנשי פיתוח התוכנה וה-IT בחברה לעבוד ביחד על פיתוח, בדיקות, הפצת ותפעול תוכנות. ↑
https://bit.ly/43d9gVE ; קישור למסמך: https://bit.ly/3IMufqp ↑
Differential privacy; מסגרת המאפשרת לנתח דפוסים בתוך מאגרי מידע, תוך הימנעות מחשיפת מידע פרטי אישי. ↑
Fully Homomorphic Encryption; שיטת הצפנה המאפשרת לעבד מידע מוצפן מבלי לפענחו. שיטת הצפנה זו מאפשרת למעשה לעבד מידע גם בסביבה שעלולה להיות חשופה למתקפות של גורמים זדוניים; https://bit.ly/3JnVLv8 ; קישור לטיוטת המסמך: https://bit.ly/3JswujB ↑
Federal Trade Commission ↑
הכוונה היא, שהכללים יחולו לא רק על שירותים העוסקים בענייני אבחון רפואי, מחלות ותרופות, אלא גם על אפליקציות המשמשות, למשל, למעקב אחר דפוסי שינה או אפליקציות כושר ותזונה. ↑
https://bit.ly/3P9yY9L ; קישור למסמך: https://bit.ly/3Je0sao ↑
Cybersecurity Labelling Scheme for Medical Devices. https://bit.ly/3NKF5Pn ↑
Software Bill of Materials ↑
;https://cnn.it/3G9ULZw https://bit.ly/3Gcc2RI; קישור למסמך: https://bit.ly/40MiYx6 ↑
קבלת המידע נעשית כחלק מפעילותו של ה-NCCoE, במסגרת פרויקט Mitigating Cybersecurity Risk in Telehealth Smart Home Integration, ומטרתו לפתח עקרונות בתחום אבטחת הסייבר והפרטיות של מכשירים חכמים ביתיים, המשתפים מידע פרטי עם מערכות מידע של ארגוני בריאות. https://bit.ly/43Q7TNy ↑
https://bit.ly/3A7Mp12 ; קישור לתזכיר: https://bit.ly/3UKa9lq ↑
Identity, Credential, and Access Management. ↑
National Security Systems ; לדוגמה, במרכיב ניהול ההרשאות, רמת המוכנות הבסיסית להטמעת עקרונות אפס האמון דורשת ממשתמשי המערכת להשתמש באמצעי אימות ארגוניים המבוססים על תקנות של NIST, בעוד שרמת מוכנות מתקדמת דורשת ניסוח נהלים לביטול והחלפה מהירה של הרשאות. לפירוט נוסף, ראו: http://bit.ly/3JVKkKf ↑
Zero Trust Maturity Model, הגִּרְסָה העדכנית של המסמך מבוססת על הערות שהתקבלו מהציבור על הגרסה הראשונה של המודל, שפרסמה CISA ביוני 2021. ↑
Traditional, Advanced and Optimal ↑
https://bit.ly/3ogSBkF ; קישור למסמך: https://bit.ly/41Gzj6R ↑
https://bit.ly/3Vz0Bc1; קישור למסמך האסטרטגיה: https://bit.ly/3XE1XnV ↑
https://bit.ly/42BrgZE ; בנוסף, הודיעה מחלקת ההגנה כי היא מנסחת אסטרטגיה עדכנית, אך לא ציינה את מועד פרסומה: https://bit.ly/3ILqWQb ↑
Zero Trust Functional Management Office ↑
U.S. Army Cyber Command. ↑
Network Enterprise Technology Command; NETCOM כפוף ל-ARCYBER ואחראי לתפעול ולהגנה על רשתות צבא היבשה. ↑
United States Army Forces Command; הפיקוד אחראי על ההכנה והכשירות של כוחות צבא ארה"ב המוצבים בפיקודים הקרביים המאוחדים. ↑
Defense Information Systems Agency ↑
מטרת התכנית להטמיע טכנולוגיות שונות על מנת להקים ארכיטקטורת רשת מבוססת אפס אמון במחלקת ההגנה, כגון הנגשת שירותי ענן למשתמשים מרחוק. ↑
Comply-to-Connect; התכנית הושקה בפברואר 2023 ומיועדת לסייע בניהול הגישה לרשתות ומאגרי מידע באמצעות הגבלת הגישה למכשירים, שאינם עומדים בתנאי אבטחה או מכשירים שאינם מזוהים. התכנית צפויה להתחיל לפעול עד מרץ 2024. ↑
https://bit.ly/3OSlSh3 ; https://bit.ly/41j7v7N ; https://bit.ly/43eiH7A ; https://bit.ly/45BmkGd ↑
Cyberspace Administration of China ↑
https://reut.rs/42XrgTz ; https://bit.ly/3pZqfMD ; https://bit.ly/3WIo3FJ ; https://bit.ly/447IGP0 ; https://cnb.cx/3Ncw6Ih ↑
National Science Foundation ↑
Office of Federal Procurement Policy; משרד הכפוף למשרד לניהול ותקציב (OMB), האחראי על מתן הנחיות לממשל הפדראלי בנושאי רכש. ↑
https://bit.ly/44HJREX ; קישור להודעת הבית הלבן: https://bit.ly/3B9vSue ; https://bit.ly/3nd2zTR ; https://bit.ly/43oezSP ↑
https://bit.ly/44HJREX ; קישור להודעת הבית הלבן: https://bit.ly/3B9vSue ↑
https://bit.ly/3iNPr5v ; https://bit.ly/3WgDrr5 ; קישור לאסטרטגיה: https://bit.ly/3wbKXZq ↑
https://bit.ly/3mKYNR9 ; קישור למסמך האסטרטגיה: https://bit.ly/3n0vM3Z ↑
https://bit.ly/3NLbmrg ; קישור למסמך האסטרטגיה: https://bit.ly/3M5RvBU ↑
Photonic-based Fault-tolerant; https://bit.ly/3YfPXs4 ↑
Underexplored Systems for Utility-Scale Quantum Computing ↑
https://bit.ly/3ACEwRw; קישור לטיוטה: https://bit.ly/40S1q26 ↑
https://bit.ly/3EyCwfD ; קישור למאמר: https://bit.ly/3Z2RK4J ↑
https://bit.ly/3JGjw0r ; קישור למסמך: https://bit.ly/3JDQCy3 ↑
World Economic Forum ↑
https://bit.ly/3wrTx6w ; קישור לדו"ח: https://bit.ly/3iYBqlB ↑
Cyberspace Workforce Qualification and Management Program ↑
https://bit.ly/3SaPiq2 ; קישור למסמך: https://bit.ly/3XGbqtK ↑
Office of Personnel Management ↑
https://bit.ly/3FqtyRM ; http://bit.ly/3LHA3Uz ; קישור למסמך האסטרטגיה: https://bit.ly/3FohzUQ ↑
Manager of the National Initiative for Cybersecurity Education ↑
https://bit.ly/3mMKKLh ; https://bit.ly/3N7ygH9 ; https://bit.ly/3pDEZkv ↑