בעוד רגולטורים מחייבים חוסן בפעילות עסקית, מה אחרים יכולים ללמוד מהתקפת הסייבר על ספק שהשפיעה על הית'רו ועל עמיתיו באירופה?
בספטמבר, א מתקפת סייבר על ספקית התוכנה Collins Aerospace הובילה לעיכובים ארוכים במספר שדות תעופה אירופאיים, כולל לונדון הית'רו. מושפעים תוכנת עיבוד הנוסעים Muse של קולינס, המשמשת חברות תעופה לטיפול במערכות צ'ק-אין ואחסון מזוודות מקוונות בשדות תעופה.
באותה תקופה, רבות מהכותרות התמקדו בשיבושים ובתסכול של הנוסעים, אך אולי הסיפור המעניין יותר הוא שפעילותה של נמל התעופה הית'רו לא נעצרה עד מוות. נמל התעופה המשיך לתפקד, אם כי במצב גרוע, הודות להליכי גיבוי שהיו קיימים לפני האירוע.
זה מגיע בתקופה שבה הסיכון למתקפות סייבר עולה. חלה עלייה של 600% במתקפות כופר במגזר התעופה בשנה אחת, על פי תאלס.
בהתחשב בנתונים כאלה, ממשלות ורגולטורים מתכוננים לעתיד שבו מניעת אירועי סייבר אינה אפשרית. חשוב הרבה יותר שארגונים יוכלו להמשיך לפעול כשהם אכן מתרחשים.
בעוד רגולטורים מחייבים חוסן בפעילות עסקית, מה אחרים יכולים ללמוד ממתקפת הסייבר שפגעה בהית'רו ובחברות אחרות באירופה?
הגבול בין שיבוש לאסון
תגובת שדה התעופה עזרה לו להמשיך לפעול גם כשהוא נתון תחת מתקפה. לזכותה ייאמר, שהתמקדה שדה התעופה הית'רו בשמירה על פעילות חיונית, גם אם תפקידיה המרכזיים הואטו וגרמו לשיבושים גלויים, אומרת בקי ווייט, עורכת דין בכירה בצוות הגנת המידע והפרטיות של הרפר ג'יימס.
"העדיפות הייתה שמירה על נסיעה בטוחה, במקום שמירה על חוויית נוסע חלקה", היא אומרת ל-IO. "על ידי מעבר לתהליכים ידניים שתוכננו מראש והפרדת מערכות קריטיות מאלה שנפגעו, הם הצליחו לספוג את ההלם, במקום לקרוס תחתיו."
אסון היה משמעו השבתה מוחלטת של התנועה האווירית וטיפול הנוסעים, בעוד ששיבושים היו משמעותם תורים, עיכובים ופתרונות עוקפים. נמל התעופה הית'רו "השקיע בבירור בהליכי גיבוי שלא הסתמכו על תנאים מושלמים", מציין ווייט. "כאשר המערכות כשלו, הצוות ידע איך נראה 'מספיק טוב כדי להישאר פתוח', והם פעלו לפי זה."
לקחים עבור מגזרים אחרים
אחרים צריכים לשים לב, במיוחד אלו הפועלים במגזרים קריטיים שבהם השבתה אינה אופציה. מעבר לתעופה, עבור תעשיות כמו שירותי בריאות, אנרגיה, פיננסים - או קמעונאות, אשר חוותה ניסיון רב. גל של התקפות – הדוגמה של נמל התעופה הית'רו מראה כיצד חוסן יכול לעשות את כל ההבדל.
מדובר בהבטחה שניתן יהיה לשחזר נתונים קריטיים במהירות, לשחזר מערכות בבטחה, ולאפשר המשך פעילות - גם כאשר הסביבה העיקרית אינה מקוונת, אומר אנתוני קוסימנו, מנהל ב-Object First. "מגזרים אלה מסתמכים במידה רבה על גישה ללא הפרעה לנתונים ולמערכות תפעוליות, ואפילו הפסקות קצרות עלולות להיות בעלות השלכות מדורגות."
תעשיות קריטיות נשפטות יותר ויותר על סמך יכולתן לפעול ב"מצב מושפל" במקום להימנע לחלוטין משיבושים, אומר ווייט. "הית'רו הוכיח שהמשכיות עסקית לא חייבת להיות מושלמת. מדובר בראייה מוקדמת, חזרה ויכולת לתעדף את מה שחייב להמשיך."
השאלה הנסתרת
"בהתבסס על הגישה של הית'רו, כל דירקטוריון צריך לתהות כמה זמן יוכל להמשיך לפעול אם מערכות הליבה שלו יתנתקו", אומר שון טילי, מנהל מכירות בכיר באזור EMEA ב-11:11 Systems.
עם זאת, הוא מצביע על "אמת לא נוחה": ארגונים רבים לא ביצעו מבחני לחץ מלאים לתרחיש זה, ותרגילי המשכיות עסקית הם לעתים קרובות "תיאורטיים או מבודדים".
רוב הארגונים מניחים בשקט שהם יוכלו להסתדר "לזמן מה" ללא מערכת ליבה, אך מעטים מאוד בדקו כמה זמן זה באמת נמשך, אומר ווייט. "השאלה הכנה אינה האם התאוששות אפשרית, אלא כמה זמן העסק יוכל לתפקד ללא הפלטפורמות המרכזיות שלו - ומה תהיה העלות ללקוחות, לבטיחות או לתאימות."
בהתחשב בכך, ארגונים צריכים להתייחס לתקרית הית'רו כ"מקרה בוחן לתכנון חוסן", אומר קן פרול, מנהל בכיר להנדסת תוכנה בבלאק דאק. הוא מציין כי שיבושים אינם נובעים רק ממתקפות סייבר: הם יכולים לנבוע גם מאירועים בלתי צפויים כמו... תקרית CrowdStrike שהפילו מערכות ברחבי העולם בשנת 2024.
בהתחשב בהשפעת זמן השבתה כזה, הוא מדגיש שאלות שיש לשאול. לדוגמה, אומר פרול: "האם זיהיתם את כל התלות הקריטיות בפעילות שלכם וביצעתם מודל איומים יסודי? האם יש לכם מדריך מתועד המתאר את הפעולות שיש לנקוט כאשר תלות אחת או יותר נפגעות?"
רגולציה נכנסת
הצורך בחוסן מבצעי בעת מתקפה הוא חלק מרכזי בתקנות מרובות. בבריטניה ובאיחוד האירופי, מסגרות כמו רשת ומערכות מידע הנחיית (NIS2), חוק חוסן תפעולי דיגיטלי (DORA) ובריטניה הצעת חוק אבטחת סייבר וחוסן לתעדף את המשכיות התפעול לאחר תקרית.
"תאימות תדרוש יותר ויותר מארגונים להפגין חוסן באמצעות מדדים, ביקורות והוכחה ליכולות התאוששות שנבדקו", אומר טילי.
בינתיים, ISO / IEC 27001 קובע קו בסיס למערכות ניהול אבטחת מידע, כולל תוכניות תגובה מתועדות לאירועים (A.5.29), שיקולי המשכיות עסקית (A.5.30) ובדיקה שוטפת של תוכניות.
סטנדרטים כגון זה מדגישים בדיקות מבוססות תרחישים בתנאים מציאותיים, כך שארגונים יכולים "לאמת את תוכניותיהם, לזהות פערים ולבנות ביטחון ביכולתם להגיב ביעילות", על פי פרול.
משאב שימושי נוסף הוא NIST Cybersecurity מסגרת (CSF), הכולל חמש פונקציות ליבה של "זיהוי, הגנה, גילוי, תגובה והתאוששות".
בבריטניה ספציפית, ה- מסגרת הערכת הסייבר של המרכז הלאומי לאבטחת סייבר (CAF) הוא כלי לשירותים חיוניים ותשתיות לאומיות קריטיות.
אחריות ברמת הדירקטוריון
חוסן הוא כיום דרישת תאימות, ובצדק. מניעה נותרה חיונית, אך המבחן הגדול יותר הוא כיצד ארגונים ממשיכים לפעול כאשר הגרוע מכל קורה. נמל התעופה הית'רו הוא תזכורת מהעולם האמיתי לכך שחוסן - כאשר הוא נבדק, מתאמן ומוטמע - הוא דרישת תאימות לא פחות מאשר אמצעי הגנה ביטחוני.
חשוב לשקול זאת ברמת הדירקטוריון, שם מוטלת כעת האחריות על חוסן וגם על אבטחה, מציינת ווייט. היא סבורה שחברות חייבות "להגדיר איזו רמת השבתה נסבלת", להבין את התלות התפעולית שלהן ו"להבטיח השקעה בתכנון המשכיות ריאלי".
במקביל, יש צורך בבדיקות סדירות כדי להסתגל לשינויים בטכנולוגיה, ברגולציה ובשרשראות האספקה, אומר ווייט. "חוסן צריך לעמוד לצד סיכונים פיננסיים ומשפטיים ברמת הדירקטוריון, עם קווי דיווח ברורים ואחריותיות. הציפייה מהרגולטורים ובעלי העניין היא שחברות יוכלו להפגין מוכנות, לא רק כוונה. אם הדירקטוריון נתקל בתוכנית רק במהלך אירוע אמיתי, הארגון כבר איבד שליטה על הנרטיב."
