ארגון עסקי אינו צבא, אבל מנקודת המבט של מנהל אבטחת המידע שלו, הוא מתנהל כבר שנים קצת כמו מבצר תחת מצור. בכל רגע יש מי שסורק את החומות, מחפש דלת שנשארה פתוחה, בודק חולשה שטרם תוקנה או מנסה להתחזות למישהו שמותר לו להיכנס. מולו ניצב מערך הגנה שנועד לזהות את האיום ולעצור אותו לפני שיגיע לנכסים החשובים באמת.
אלא שעכשיו שדה הקרב משתנה. הבינה המלאכותית משנה את המהירות, ההיקף ורמת האוטונומיה של התקיפות, ובמקביל הופכות גם מערכות ההגנה לאוטונומיות יותר. כשהמכונות מתחילות להילחם במכונות, השאלה כבר אינה רק אילו כלי אבטחה לקנות - אלא האם תפיסת ההגנה כולה עדיין מתאימה למציאות. שאלנו חמישה בכירים בתעשיית הסייבר כיצד צריכה תורת ההגנה להשתנות, ומה נדרש כעת ממנהל האבטחה הארגוני (CISO) שעומד בחזית.
לא כל מתקפה אפשר לעצור
"גם בארגונים הטובים ביותר אי אפשר למנוע הכול", אומר תום פינדלינג, מנכ"ל ומייסד-משותף של חברת הסייבר Conifers. "תמיד יהיו חולשות שעדיין לא התגלו, מערכות שלא תוקנו בזמן או שיטות תקיפה חדשות שמצליחות לעקוף את מנגנוני ההגנה".
מבחינתו, הדבר מחייב שינוי בהנחת היסוד של ה-CISO. "השאלה החשובה היא לא רק עד כמה הארגון יודע למנוע תקיפות, אלא מה היכולת שלו להתמודד עם תקיפה שכבר הצליחה לחדור. המטרה היא לזהות במהירות שמשהו חריג מתרחש, להבין את היקף התקיפה ולהכיל את האירוע בתוך דקות, לפני שהוא מתרחב וגורם לנזק משמעותי יותר".
בני לקונישוק, מנכ"ל Zero Networks, מנסח את סדר העדיפויות החדש בשלוש מילים: "Containment לפני Detection" - הכלה לפני זיהוי. אחת מהנחות היסוד שכבר אינן תקפות בעיניו היא "שיש זמן למגן להגיב למתקפות שמונחות על ידי AI".
אם בעבר מערכת היתה יכולה לזהות אירוע, להעביר אותו לאנליסט שיחקור ויחליט כיצד להגיב - בעולם של תקיפה אוטונומית, החלון הזה הולך ונסגר. לכן, אומר לקונישוק, הארגון צריך להיערך מראש גם ל-AI שכבר פועל בתוכו: "צריך להבין מהם כלי ה-AI שנמצאים בשימוש בארגון ומהם הבקרות הנדרשות לאותם כלים".
לא לכבות שריפות - לחפש אותן מראש
ולאד קורסונסקי, מנהל Tenable ישראל ו-CTO של החברה העולמית, סבור שגם המדד שלפיו שופטים את מערכי ההגנה צריך להשתנות. "רוב צוותי האבטחה כיום נמדדים על מהירות התגובה - כמה מהר סגרו אירוע אחרי שקרה. זה כבר לא מספיק", הוא אומר. "הגישה הנכונה היא לזהות את הבעיות הכי חשובות ואת הדרכים שדרכן תוקף יכול לפגוע בארגון - עוד לפני שמישהו ניצל אותן. לא רק להיות יותר מהירים בכיבוי שריפות, אלא למנוע אותן מלכתחילה".
דווקא ריבוי כלי האבטחה, לדבריו, עלול להקשות. "רוב הארגונים בגודל הזה סובלים מעודף כלים - יש עשרות רבות מהם. זה מוסיף 'רעש', ולכל אחד רק חלק קטן של התמונה. אף אחד לא באמת יודע מה הנכסים הקריטיים בכל חלקי הארגון ואיך תוקף יכול להגיע אליהם בפועל".
חוקי המשחק, הוא מזכיר, אינם סימטריים: "בעוד המגן צריך להגן על 100% מהארגון, התוקף רק צריך לאתר את החוליה החלשה ביותר".
כשהאדם הופך לחותמת גומי
אבל מה קורה כשהפתרון של הארגון הוא להציב אדם שיפקח על המכונה? גיא שפילברג, VP R&D ב-NewCore, מזהיר שגם כאן תפיסות ההגנה הישנות עלולות להטעות. "ארגונים רבים מנסים להסתמך כיום על מודל גורף של 'אדם בלולאה', דרישה מאיש צוות אנושי לאשר כל פעולה של ה-AI. בפועל, זהו פתרון שמספק תחושת דמה של שליטה ורק מגביר את הסיכון".
"לבני אדם אין את היכולת לעמוד בעומס הקוגניטיבי הנדרש כדי לבחון אלפי אישורים בזמן אמת", הוא מסביר. "המשתמש האנושי הופך במהרה ל'חותמת גומי' ומאשר פעולות באופן אוטומטי ללא ניטור אמיתי".
במקום "אדם בלולאה", שפילברג מציע "אדם מעל הלולאה": המכונה פועלת בגבולות שהוגדרו מראש, והאדם מפקח ונכנס לתמונה כשמתרחשת חריגה או נדרשת הכרעה אנושית.
חמ"ל הסייבר החדש
השינוי מגיע גם למקום שבו מתנהלת ההגנה עצמה. "ה-SOC של העתיד ככל הנראה יתבסס במידה רבה על זיהוי איומים בעזרת בינה מלאכותית, חקירה אוטומטית ותיאום תגובה חכמה", אומר איציק מלכה, מנהל פעילות פורטינט ישראל.
"הבינה המלאכותית תטפל במשימות חוזרות, קורלציה של התראות והאצת מיון וסיווג האירועים", הוא אומר, בעוד האנליסטים יתמקדו בהחלטות בעלות ערך גבוה. "המטרה אינה להחליף אנליסטים אנושיים, אלא ליצור SOC אוטונומי שבו בני אדם ובינה מלאכותית יכולים לעבוד יחד".
זו אולי הנקודה שאליה מתנקזת תורת ההגנה החדשה: ה-AI אינו רק איום שמערך הסייבר צריך להתמודד איתו, אלא הופך גם לחלק ממערך ההגנה. האדם לא נעלם מהמערכה, אבל מקומו בתוכה משתנה.
ומה עושים מחר בבוקר?
לסיום, ביקשנו מחמשת המומחים להשאיר את המנהלים עם עצה מעשית נוספת לעידן ה-AI.
תום פינדלינג מ-Conifers: "אל תשאלו רק מי רוצה לתקוף אתכם. תשאלו אילו יכולות קיימות בעולם, למי יש גישה אליהן ומה עלול לקרות כשהן מופעלות באופן אוטונומי. בעידן ה-AI, גם היכולת עצמה צריכה להיכנס למודל האיום".
בני לקונישוק מ-Zero Networks: "צאו מנקודת הנחה שהעובדים כבר משתמשים ב-AI, גם אם השימוש לא אושר רשמית. במקום להסתמך על איסורים, ודאו שהם משתמשים בכלים מאושרים ושיש לארגון יכולת לנטר את השימוש ולאכוף את המדיניות שלו".
ולאד קורסונסקי מ-Tenable: "בנו רשימת מלאי מלאה של כל נכסי ה-AI בארגון - אילו מודלים וסוכנים פועלים בו, מי יצר אותם ומאיפה הגיעו. אי אפשר לנהל ולאבטח משהו שלא יודעים שהוא קיים".
גיא שפילברג מ-Newcore: "אל תתנו לסוכני AI הרשאות קבועות. תנו להם את ההרשאה המינימלית הדרושה למשימה, רק בזמן שבו הם זקוקים לה, ובסיומה, ההרשאה צריכה לפוג".
ואיציק מלכה מפורטינט: "אל תבחרו מודל AI רק לפי השאלה אם הוא פתוח או סגור. בחנו אותו לפי הסיכון: האם הוא מתאים למטרות העסקיות, לדרישות הציות ולמדיניות האבטחה של הארגון".
טעינו? נתקן! אם מצאתם טעות בכתבה, נשמח שתשתפו אותנו