חודש המודעות לסייבר בארץ ובעולם

בחודש אוקטובר מציינים ברחבי העולם את חודש המודעות העולמי להגנת סייבר כתזכורת לציבור הרחב ולארגונים על החשיבות שבהגנת סייבר. זה התחיל כיוזמה של ממשלת ארצות הברית לפני 23 שנה, וממשיך עד היום בהובלת סוכנות הסייבר CISA. הסוכנות, שעוסקת בשגרה במשימות כבדות משקל כגון הנחיית גופי תשתיות קריטיות בהתגוננות סייבר והגנה על תהליך הבחירות בארצות הברית, החליטה לקחת “קו שונה” ויצרה את תוכנית Secure Our World שמכילה תכנים פשוטים וקלילים יחסית בנושאים שונים, ועל ידי שורה של סרטונים מבדרים מנגישה לקהל הרחב נושאים חשובים בעולמות הסייבר. כחלק מתהליך הפקת לקחים מתמשך הסוכנות בוחרת בכל שנה מספר נושאים מצומצם ומתמקדת בהעלאת המודעות אליהם. השנה 4 ההמלצות המרכזיות של הסוכנות הן: שימו בסיסמאות חזקות, הפעלת אימות דו- שלבי, זיהוי ודיווח על פישינג ועדכון תוכנות בזמן. 

תופעה עולמית

במקביל לפעילות שנערכת כאמור יותר מ-2 עשורים בארצות הברית, ארגונים וממשלות רבות ברחבי העולם מאמצות את המנהג הזה והכריזו על חודש אוקטובר כחודש מודעות סייבר גם במדינתם. מעבר לעובדה שיש פה הצהרת כוונות של מדינות שונות על רצון להילחם ביחד באיומי סייבר יש סיבה פרקטית לפעול להגברת המודעות לסייבר דווקא בחודש אוקטובר- באופן מסורתי חלק ניכר מפריצות הסייבר וההונאות באונליין מתרחשות בחודשים נובמבר דצמבר (חודשי הקניות הגדולים של העולם המערבי, שמתחילים בקניות להאלווין, ממשיכות בסייבר בבלאק פריידי, סייבר מאנדי וכלה בקניות המטורפות לכריסטמס ולשנה החדשה) וכדאי להעלות את מודעות הציבור ולהקטין את הסיכון הכרוך בכך. 

הנה רק החודש אצלנו- מערך הסייבר הלאומי איתר לאחרונה קמפיין דיוג ממוקד המכוון נגד אנשי אקדמיה, העוסקים במחקר בזירה האיראנית/מזרח התיכון, ואנשי מערכת הביטחון לשעבר . קמפיין זה משויך לקבוצת התקיפה האיראנית 42APT , אשר מקושרת למשמרות המהפכה ומתמחה במבצעי ריגול סייבר ואיסוף מודיעין. הקמפיין כולל שליחת הודעות דוא”ל מדומיינים המתחזים לארגונים לגיטימיים ומכוני מחקר, כאשר תוכן המיילים כולל לינקים לפגישות  “Zoom ” ומסמכי PDF עם הזמנה להשתתפות בוועידה שבפועל מכילים קישורים להורדת רושעות. 

האם פעילות להעלאת מודעות לאיומי סייבר משיגה את מטרתה?

מכיוון שפעילויות שונות להגברת מודעות בפני איומי סייבר מבוצעות זה שנים רבות, ניתן כבר למדוד את האפקטיביות שלהן. מחקרים שונים שנערכו מצאו השפעה חיובית של הכשרות מודעות סייבר על מידת המוכנות והפגיעות של הארגון בפני מתקפות.

מחקר של KnowBe4 מצא כי הכשרות מודעות סייבר יכולות להפחית משמעותית את רגישות לפישינג, מחקר של IBM מראה באופן עקבי כי שכשארגונים עם תוכניות הכשרה יעילות נתקפים- עלות המתקפה קטנה יותר מכאלה שלא ביצעו תוכניות (כלומר- הנזק שנגרם מצומצם). מכון Ponemon ערך מחקרים רבים על יעילות ההכשרות מודעות סייבר ומצא קשר חיובי בין הכשרה והפחתת הסיכון לדליפת מידע מהארגון. אין בנמצא מחקר שבודק השפעה של קמפייני סייבר על ציבור רחב, אולם אם נסתמך על מחקרים כגון” CYBERSECURITY AWARENESS AND EDUCATION PROGRAMS: A REVIEW OF EMPLOYEE ENGAGEMENT AND ACCOUNTABILITY “ניתן להסיק שכל תוכנית להגברת מודעות מסייעת להפחתת הסיכון, הן ברמת הפרט והן ברמת הארגון והכלל.

באיזה אופן תוכניות מודעות סייבר מסייעות להגנה מפני איומי סייבר?

למרות שאין פתרון אחד שמתאים לכולם, תוכניות הכשרה מעוצבות ומיושמות היטב יכולות להפחית משמעותית את הסיכון להתקפות סייבר.

• ירידה בשיעור לחיצות על קישורים מפישינג: מחקרים הראו כי ארגונים עם תוכניות הכשרה יעילות חווים ירידה משמעותית במספר העובדים שלוחצים על קישורים מפישינג.
• עלייה בדיווח על פעילויות חשודות: עובדים שעברו הכשרה מודעות סייבר נוטים יותר לדווח על הודעות דוא”ל חשודות, אתרים או פעילויות אחרות, מה שמאפשר לארגונים לזהות ולטפל באיומים במהירות רבה יותר (בדו”ח של מערך הסייבר מצויין שכמות הפניות למערך גדלה מאוד בשנים האחרונות, דבר שמעיד על עלייה במודעות של קורבנות הסייבר לכך שצריך ושיש למי לדווח). 
• שיפור נוהלי אבטחה: הכשרה יכולה לסייע לעובדים לפתח הרגלי אבטחה טובים, כגון שימוש בסיסמאות חזקות, הימנעות מקישורים חשודים והכרה בטקטיקות הנדסה חברתית נפוצות.

בכל מה שקשור לאבטחת ענן למשל, ישנן סטטיסטיקות שמראות שכ 60% מהפריצות מתחילות מפישינג ולכן העלאת המודעות לפישינג, פעילות חשודה, דיווח ושיפור נהלים כה חשובה.

המחקרים מראים שעל מנת שתוכנית ההכשרה תצליח היא צריכה להתאים לפרופיל הארגון: ההכשרה צריכה להיות רלוונטית לצרכים הספציפיים והסיכונים של הארגון, ההכשרה צריכה להיות מעניינת ואינטראקטיבית כדי לשמור על מעורבות העובדים, ההכשרה צריכה להיות מתמשכת, עם תזכורות והתחדשות תכנים באופן קבוע, וארגונים צריכים לעקוב אחר יעילות תוכניות ההכשרה שלהם ולבצע התאמות לפי הצורך.

ואצלנו?

בשנה שעברה תכנן מערך הסייבר הלאומי מגוון של פעילויות לחודש זה, שלמרבה הצער לא יצאו לפועל בשל המלחמה. גם השנה לא מתוכננות בישראל פעילויות כחלק מחודש זה. אבל, משרד החינוך  הכריז על השבוע הלאומי לגלישה בטוחה ברשת,  תחת הסיסמא: “מתחברים על בטוח בשגרה ובחירום”, שבוע זה יתקיים בימים ראשון עד חמישי, כה-כט בשבט תשפ”ד, 8-4 בפברואר 2024, ומשרד החינוך מעודד בתי ספר להעביר במסגרתו תכנים שונים בנושאי סייבר ומוגנות ברשת, לכל הגילאים. הדגש שנותן משרד החינוך על מוגנות בשגרה ובחירום נכון מאוד וצריך לקוות שבתי ספר רבים ירימו את הכפפה ויעבירו תכנים (ויש באתר משרד החינוך תכנים מתאימים לכל גיל- מגילאי הגן ועד י”ב). כמו שהוכח בישראל בעבר (עם קמפייני שמירה על הטבע) החינוך מגיל צעיר יעיל מאוד בשינוי דפוסי התנהגות ציבוריים, ואפשר להניח שגם בנושאי התגוננות סייבר אפשר לייצר שינוי אם מתחילים ליידע ולחנך מגיל צעיר.