בואו נתחיל עם מספר אחד שממחיש הכל: לפי הערכות בתעשייה, יותר ממחצית מהעסקים הקטנים שחווים מתקפת סייבר חמורה נסגרים תוך חצי שנה מהאירוע. לא בגלל שהתוקפים גנבו מהם מיליונים, אלא בגלל שהשילוב של השבתה, שחזור, אובדן לקוחות ופגיעה במוניטין פשוט שבר להם את הגב. אנחנו מספרים את זה לא כדי להפחיד, אלא כדי לתקן תפיסה מוטעית שאנחנו פוגשים כל הזמן, שאבטחת מידע היא הוצאה טכנית שאפשר לדחות. במציאות של היום, היא אחת ההחלטות העסקיות החשובות שתקבלו, ובמאמר הזה ננסה להראות בדיוק למה, עם מספרים ולא רק עם סיסמאות.

הבעיה הגדולה ביותר היא לא היעדר טכנולוגיה, אלא הערכת חסר של הסיכון. רוב בעלי העסקים שאנחנו פוגשים בטוחים שהם קטנים מכדי לעניין תוקפים, ודווקא הביטחון הזה הוא מה שהופך אותם למטרה קלה. בואו נפרק את זה לגורמים.

למה עסקים קטנים הם דווקא היעד המועדף

התוקפים לא בוחרים לפי גודל, הם בוחרים לפי כדאיות. עסק קטן מציע להם שילוב מפתה של שלושה גורמים:

• מידע בעל ערך – גם לעסק קטן יש פרטי לקוחות, כרטיסי אשראי ומאגרים שאפשר למכור או לסחוט תמורתם
• הגנה חלשה – בניגוד לתאגיד עם מחלקת סייבר, העסק הקטן לרוב מוגן במינימום, אם בכלל
• מודעות נמוכה – כשאין מי שמנטר, תוקף יכול לשבת ברשת שבועות בלי שיבחינו בו

המשוואה הזו ברורה לתוקפים הרבה יותר מאשר לנו. בזמן שאנחנו חושבים 'למי אכפת מהעסק הקטן שלי', הם רואים דלת פתוחה עם שלל בפנים. וחשוב להבין, רוב המתקפות היום אוטומטיות, סורקות אלפי אתרים ועסקים במקביל ומחפשות את הפרצות, כך שאף אחד לא באמת 'מתחת לרדאר'.

איך נראית מתקפה מבפנים, שלב אחר שלב

רוב האנשים מדמיינים פריצה כרגע דרמטי אחד, אבל בפועל זו שרשרת שקטה של אירועים. היא מתחילה כמעט תמיד בטעות אנוש, מייל תמים למראה שעובד לוחץ עליו, ובלי לדעת מתקין תוכנה זדונית. משם התוקף נע לאט ברשת, אוסף סיסמאות, ממפה את המערכות, ומחכה. רק כשהוא מוודא שאין גיבוי שיכול להציל את העסק, הוא מפעיל את המהלומה: מצפין את כל הקבצים, וגונב עותק שלהם קודם כדי שיוכל לסחוט פעמיים, גם על השחזור וגם על אי-פרסום המידע הגנוב.

היופי, אם אפשר לקרוא לזה כך, הוא שכל שלב בשרשרת הזו הוא נקודה שבה אפשר לעצור אותה. וזו בדיוק הסיבה שהגנה טובה לא נשענת על פתרון אחד קסום, אלא על כמה שכבות משלימות שכל אחת מהן מקשה על התוקף עוד קצת.

המתמטיקה הפשוטה: מניעה מול תיקון

כשמעמידים את העלויות זו מול זו, ההחלטה מפסיקה להיות שאלה. הנה השוואה עקרונית בין עלות ההיערכות המוקדמת לבין עלות ההתאוששות ממתקפה:

המספרים מדברים בעד עצמם. עלות ההגנה היא כמעט תמיד שבריר מעלות ההתאוששות, וזה עוד לפני שמכניסים למשוואה את הנזק הבלתי מדיד, אובדן אמון הלקוחות.

והפעם, גם החוק דורש מכם להתגונן

מעבר לסיכון העסקי, נכנס בשנים האחרונות שחקן חדש למשוואה, הרגולטור. המחוקק הישראלי הפך את ההגנה על מידע אישי מהמלצה לחובה, ועסק שחווה דליפת מידע חשוף כיום לא רק לנזק תפעולי אלא גם לעיצומים כספיים. מי שרוצה להבין את מלוא ההשלכות המשפטיות של אירוע כזה יכול לקרוא בהרחבה על תיקון 13 לחוק הגנת הפרטיות, שמגדיר בדיוק אילו חובות מוטלות על העסק ואילו סמכויות אכיפה יש לרשות. בשורה התחתונה, ההגנה על המידע כבר איננה בחירה של העסק, היא דרישה שיש לה שיניים.

שלושה צעדים שכל עסק יכול לעשות כבר השבוע

החדשות הטובות הן שרוב ההגנה נבנית מצעדים פשוטים ולא יקרים. אם אתם רוצים להתחיל כבר עכשיו, הנה שלושה דברים שאפשר ליישם מיד:

• הפעילו גיבוי אוטומטי שמנותק מהרשת. זה המחסום היחיד שהופך מתקפת כופרה מאסון למטרד, כי תמיד יש עותק נקי לחזור אליו
• הפעילו אימות דו-שלבי בכל המערכות הקריטיות. הצעד הזה לבדו חוסם את הרוב המוחלט של הפריצות המבוססות על גניבת סיסמה
• הדריכו את העובדים לזהות מיילים מתחזים. העובד הוא החוליה החלשה ביותר, אבל עם הכשרה קצרה הוא הופך לקו ההגנה הראשון

שלושת אלה כבר יעלו אתכם על רוב העסקים בגודלכם מבחינת רמת ההגנה. אבל חשוב להבין שהם נקודת התחלה, לא קו סיום.

מעבר לצעדים הבסיסיים, הערך האמיתי מגיע מהתאמה מדויקת של ההגנה לעסק הספציפי שלכם, כי מה שמתאים למשרד קטן שונה לחלוטין ממה שצריכה חנות אונליין עם אלפי לקוחות. כאן נכנסת לתמונה עבודה עם חברת סייבר המתמחה בשירותי אבטחת מידע לעסקים, שיודעת לבצע מיפוי סיכונים אמיתי, לזהות את הפרצות לפני שהתוקפים מוצאים אותן, ולבנות מערך הגנה שמתאים גם לתקציב וגם לאופי הפעילות. יועץ טוב לא מנסה למכור לכם את המוצר היקר ביותר, אלא לבנות לכם את ההגנה הנכונה ביותר במחיר הגיוני.

אם נסכם את הגישה שלנו במשפט אחד, הוא יהיה זה: אבטחת מידע היא ביטוח קיום, לא גאדג'ט טכנולוגי. בדיוק כמו שאנחנו מבטחים רכב או רכוש לא כי אנחנו מתכננים אסון, אלא כי אנחנו יודעים שהוא אפשרי, כך גם ההגנה הדיגיטלית. ההבדל הוא שבעולם הסייבר, הסיכוי להיפגע רק הולך וגדל משנה לשנה. עסק שמשקיע בהגנה לא מוציא כסף לפח, הוא קונה לעצמו שלושה דברים יקרי ערך: רציפות עסקית, שקט נפשי, ואת אמון הלקוחות שמסרו לו את המידע שלהם וסומכים עליו שישמור עליו.

וכאן נחזור למספר שפתחנו בו, יותר ממחצית מהעסקים הקטנים שנפגעים נסגרים בתוך חצי שנה. אנחנו מעדיפים להסתכל על הצד השני של אותו מטבע: המחצית שנשארת ומצליחה לצלוח את המשבר עשתה זאת כמעט תמיד בזכות היערכות מוקדמת, גיבוי תקין ותוכנית תגובה ברורה. ההבדל בין עסק ששורד מתקפה לעסק שנופל ממנה הוא כמעט אף פעם לא המזל, אלא ההכנה. וההכנה הזו זמינה לכל עסק, בכל גודל ובכל תקציב. כל מה שנדרש הוא להחליט שהמידע שלכם, והעסק שלכם, שווים את ההשקעה, ולהתחיל בה עוד היום, בזמן השקט, לפני שיהיה מאוחר.