מתקפות סייבר מתרחשות מדי יום, אך חלקן מצמררות במיוחד. מתקפה שהתרחשה בקיץ הזה על מערכת המשפט האמריקאית הייתה אמורה לגרום צמרמורת בכל עמוד השדרה.
ב-7 באוגוסט, פקידים מאושר מתקפה על מערכת המשפט הפדרלית של ארצות הברית. בפרט, התוקפים תקפו את מערכת תיוק בתי המשפט שלה, Case Management/Electronic Case Files (CM/ECF), הידועה גם בממשק הפונה לציבור שלה PACER. הניו יורק טיימס מסר כי המתקפה, שהתרחשה בין סוף יוני לתחילת ה-4 ביולי השנה, קשורה ככל הנראה לגורמים ממלכתיים רוסיים.
ההשלכות משמעותיות. בעוד שתיקי מקרים רבים ב-CM/ECF זמינים לציבור דרך PACER, רבים אחרים חתומים משום שהם מכילים מידע רגיש. נראה כי התוקפים חיפשו תיקים הקשורים לאזרחים רוסים.
התקרית גרמה לבלבול בבתי המשפט, והם נאלצו לחזור למערכות תיוק מודפסות. לפחות שופט אחד אף אסר על העלאת מסמכים חתומים ל-PACER. תיקים רגישים נאלצו לעבור למערכות עצמאיות.
מדאיגה עוד יותר היא הטענה שקרטלי סמים מקסיקניים ייתכן שיש גישה ל חלק מהמידע הרגיש הזה, ועלול לחשוף עדים לפשעיהם. פשעי כנופיות הקשורים לקרטלים מעובדים לעתים קרובות ברמת בית המשפט המחוזי, כלומר תיקי תיקים רגישים נמצאים ב-CM/ECF.
החלק הגרוע ביותר בכל זה הוא שאשמה היא שילוב של יישום מבוזר וקוד ישן ומודרני.
CM/ECF מתוארך לסוף שנות ה-1990, כאשר המחוז הצפוני של אוהיו בנה את זה כדי לנהל שטף של ממצאים בתיקי אסבסט מסוימים. לאחר מכן, בתי משפט אחרים החלו לאמץ אותו בתחילת שנות ה-2000, כאשר פריסה ארצית ראתה את זה גם בבתי משפט לפשיטת רגל, מחוזיים וערעורים מיישמים אותו. עד 2007, האימוץ היה ברובו אוניברסלי, אך הניהול היה מדורג; כל בית משפט טיפל ביישום התוכנה שלו. לכן, כאשר המשרד המנהלי של בתי המשפט בארה"ב פרסם גרסה מדויקת המכונה NexGen בשנות ה-2010, לא כולם עדכנו.
ב- 2021 לדווח במערכת, צוות המשרד המנהלי התלונן כי למעלה מ-50 בתי משפט לא עברו למערכת החדשה. הדו"ח התלונן על טכנולוגיה בסיסית מיושנת. "ביזור ומורכבות גורמים לחוסר יציבות במערכת, עלויות תחזוקה גבוהות וסיכוני אבטחה", הזהיר הדו"ח. "החוזים הנוכחיים מקשים על דרישה לקבלנים לתת דין וחשבון על תקני איכות."
הבעיה נמשכת, והתוצאות היו הרסניות. גם משרד המשפטים דיווח פרצה בשנת 2021, שמאוחר יותר נחשף כי היו בה מעורבים שלושה גורמים זרים.
הבעיה של תוכנות ישנות
בעיית תוכנה מדור קודם זו נפוצה. סקר השנה, חברת תוכנת המיגרציה של מערכות ישנות, Saritasa, חשפה כי 62% מתוך 500 המשיבים שלה עדיין הסתמכו על מערכות ישנות. מחלקת ה-IT חייבת תמיד להתחרות עם מחלקות אחרות על חלק מהתקציב. כאשר אנשי הטכנולוגיה מקבלים אותו, עליהם להקפיד לאזן בין תשלום חוב טכני לבין ביצוע שיפורי תוכנה וחומרה חדשים שישביעו את רצונם של נותני החסות העסקיים. כל דולר המושקע בתיקון מערכות ישנות חייב להילקח מכספי החברה.
ניהול IT מבוזר יוצר גם נקודות עיוורות, במיוחד כאשר הוא מקושר לתוכנות מדור קודם. הוא משאיר מוצרי תוכנה רבים נטולי תיקונים. הוא גם מקשה על הבנת מה פועל על תשתית ה-IT ועל קישורו למדיניות אבטחה. IT צללים הוא התוצאה, והוא מציג סיכון נוסף.
מערכת בתי המשפט הפדרלית אינה היחידה שמציגה חלק מהבעיות הללו. בשנת 2019, פרסם משרד האחריות הממשלתית (GAO) דו"ח שהדגיש את חוסר תשומת הלב המתמשך למערכות מדור קודם בממשלת ארה"ב. בבריטניה, הממשלה מסווג 28% מתשתית ה-IT שלה כתשתיות מדור קודם, ועולה ל-70% באזורים מסוימים.
אילוף החיה המורשת
ישנן דרכים להחזיר לעצמכם את השליטה על תשתית ה-IT שלכם ולפחות להבין את הסיכונים הנגזרים מארכיטקטורות מדור קודם, גם אם אינכם מצליחים למגר אותן לחלוטין. כאן מערכת ניהול אבטחת מידע (ISMS) כמו ISO 27001 שימושית.
תקן ISO 27001:2022 נספח A בקרה 5.9 עוסק בניהול נכסי מידע, תוך הבטחה שהארגון מתעד כראוי מי אחראי על כל נכס בארגון, ומתאר את הסיכונים הכרוכים בו. הוא מחייב עריכת מלאי של נכסים לתמיכה במטרה זו, ויוצר פלטפורמה עבור עסקים לארגון פעילותם סביבה. ניתן לתעד את רמות התיקון הנוכחיות הקשורות לכל נכס, לדוגמה.
מלאי נכסים זה הוא בסיס מצוין שממנו ניתן להשיק תוכנית לפירעון חוב טכני. קביעת סדרי עדיפויות למערכות לתיקון, שדרוג או החלפה בהתבסס על גורם הסיכון שלהן נותנת לצוותים מוגבלי משאבים תוכנית פעולה ברורה. ניתן גם להשתמש בו כדי ליצור מבני ממשל סביב פלטפורמות שאינן פונות ללקוחות אך מחזיקות במידע בעל ערך גבוה ובעל פרופיל נמוך. תכשיטי הכתר הללו, שאינם מוגנים היטב, הם בדיוק הנכסים שתוקפים ירדפו אחריהם.
לאחר מכן מגיע דיון ההגירה, המתאר כיצד לעבור ממערכת מדור קודם למערכת חדשה. זה כרוך בחשיבה מדוקדקת שלוקחת בחשבון את התלות במערכת. שיפוץ (חידוש קוד כלשהו במערכת הקיימת) הוא אפשרות אחת, כמו גם החלפה (קריעת המערכת לחלוטין והתחלה מחדש). האפשרות האחרונה יוצרת הזדמנויות נוספות לעבור מארכיטקטורות בעייתיות כמו מערכות מונוליטיות לקוד מודולרי יותר המבוסס על מיקרו-שירותים.
אמצעים נוספים המסייעים להתמודד עם סיכונים מדור קודם כוללים ביצוע תרגילי מידול איומים קבועים כדי לחקור את התשתית הבלתי נראית מדור קודם שאף אחד אף פעם לא מסתכל עליה, כגון פורטלים פנימיים או פלטפורמות חוזים.
שיפור הארכיטקטורה הישנה שלכם אינו דבר שכדאי לדחות למחר. זה דומה מאוד לבריאות גופנית. כל יום של דחייה יכול ליצור בעיות בעתיד. מאמץ קטן עכשיו - אפילו מאמץ חודשי קטן ומודרני - יכול למנוע אסון בעתיד. פשוט שאלו כל שופט מחוזי.
