המשמעות של איסור תשלום כופר בבריטניה עבור ארגונים
ממשלת בריטניה מקווה להתמודד עם העלייה של מתקפות כופר על ידי איסור על מה שהיא טוענת שהוא המאפשר העיקרי שלהן: תשלומי כופר. האיסור המוצע, המתואר על ידי גורמים רשמיים כ"משטר חדש למניעת תשלומי כופר", ימנע מארגונים במגזר הציבורי כמו רשויות מקומיות וספקי תשתיות לאומיות קריטיות (CNI) בתחומים כמו אנרגיה, מים ושירותי בריאות לשלם כופר לאחר שנפלו קורבן למתקפת כופר.
כרגע בהתייעצות, ההצעות הללו יחייבו חברות פרטיות להודיע לרשויות על כוונתן לשלם להאקרים במקרה של מתקפת כופר. ואם המבצעים מאחורי מתקפת תוכנת הכופר מייצגים מדינה זרה או קבוצה ברשימת הסנקציות של בריטניה, הממשלה תוכל להתערב ולהפסיק את ביצוע התשלומים. בינתיים, ארגונים במגזר הציבורי והפרטי יצטרכו לחשוף תקריות של תוכנת כופר לגורמים רשמיים, ללא קשר לשאלה אם הם מתכננים לשלם כופר.
עם זאת, התגובות להצעות אלו היו מעורבות, כאשר כמה מומחים טוענים כי איסור תשלום על תוכנת כופר יכול להיות דבר טוב על ידי אילוץ ארגונים להתייחס לאבטחת סייבר ברצינות. עם זאת, חלקם שואלים האם איסור אכן ירתיע פושעי סייבר מלצאת למתקפות סייבר ומאמינים כי ארגונים במגזר הציבורי עלולים להיקלע למצבים לא טובים מבלי שתהיה להם אפשרות לשלם להאקרים. כך או כך, נקיטת אמצעים למתן, להכיל ולהחלים מהתקפות כופר הוא חובה מוחלטת עבור כל הארגונים.
נאלץ לקחת את אבטחת הסייבר ברצינות
אם ממשלת בריטניה תמשיך עם האיסור המוצע על תשלום תוכנות כופר, זה יהיה שינוי משמעותי בגישתה הבלתי ניתנת בעבר לסיכון סייבר. שון טילי, מנהל מכירות בכיר של EMEA בפלטפורמת הענן 11:11 Systems, מתאר זאת כ"שינוי משמעותי" במדיניות אבטחת הסייבר הממשלתית שמבטיחה להפחית את מספר התקפות תוכנות הכופר המכוונות לארגונים במגזר הציבורי על ידי הפחתת התגמול הכספי להאקרים.
עם זאת, כדי שאיסור כזה יהיה אפקטיבי, טילי אומר שגופי המגזר הציבורי ומפעילי CNI יצטרכו לבצע "הערכה מחודשת יזומה" של אסטרטגיות אבטחת הסייבר שלהם. ללא אפשרות לשלם להאקרים כדי לשחזר נתונים גנובים או נעולים, הוא מסביר שארגונים יצטרכו ליישם אמצעי הגנה חזקים ותוכניות הבראה. הוא מוסיף: "השינוי הזה מדגיש את החשיבות של השקעה במסגרות אבטחת סייבר מקיפות כדי להגן על פעולות קריטיות".
ג'ייק מור, יועץ אבטחת סייבר עולמי של יצרנית האנטי-וירוס ESET, מסכים שאיסור תשלום על תוכנות כופר יהיה שינוי גדול עבור ארגונים מושפעים. הוא אומר שזה יאלץ ארגונים לחזק את הגנת הסייבר שלהם עם גישות חדשות שיאפשרו להם להתאושש מהתקפות של תוכנות כופר מבלי להיכנע לכופר של האקרים.
כמו טילי, מור אומר שארגונים יצטרכו להעביר את תשומת לבם לאמצעי אבטחת סייבר חזקים, גיבויים ותוכניות תגובה לאירועים במסגרת הכללים החדשים הללו. אבל בהתחשב בקצב המהיר שבו נוף האיומים המקוון מתפתח, הוא מודאג שארגונים עדיין עלולים ליפול קורבן להתקפות תוכנות זדוניות עם דרישות כופר למרות מאמצי הפחתה חדשים ומשופרים. כתוצאה מכך, הוא מאמין שדליפות נתונים "תישארו בעיה".
ה-Ban May Fall Flat
למרות שנראה הגיוני שאיסור על תשלומי כופר ירתיע האקרים מלבצע התקפות ויאלץ ארגונים למצוא דרכים אחרות למתן אותן, יש מומחים שמפקפקים בכך שזה יכול לעבוד בפועל.
דן קיטשן, מנכ"ל ספקית שירותי IT מנוהלים Razorblue, מעלה שאלות לגבי מרכיב הדיווח החובה של האיסור המוצע על תשלום תוכנות כופר. בפרט, הוא מודאג מכך שחשיפה פומבית של התקפות כופר והנזק למוניטין שהדבר עלול לגרום עלולים לגרום לארגונים מסוימים לכסות תקריות. הוא חושש שזה יהפוך את האיסור לבלתי יעיל.
במקום לאסור על תשלומי כופר, Kitchen מציע שיוזמות בגיבוי ממשלתי כמו תוכנית ההסמכה של Cyber Essentials הן גישה מעשית יותר להתמודדות עם התקפות כופר. Kitchen מסביר כי תוכניות מסוג זה מציעות לארגונים את "קו הבסיס האידיאלי" לשיפור אבטחת הסייבר שלהם. עם זאת, הוא מעודד חברות ללכת צעד אחד קדימה על ידי יצירת תוכניות תגובה מקיפות לאירועים בשיתוף פעולה עם עמיתים לממשלה ולתעשייה, אשר "ישפרו את התגובה הלאומית הכוללת לפשעי סייבר".
קריסטל מורין, אסטרטג אבטחת סייבר בחברת תוכנות אבטחת ה-IT Sysdig, גם צופה בעיות ענק אם הממשלה תיישם את האיסור המוצע על תשלום תוכנות כופר. היא מציעה שאם ארגוני שירות ותשתית קריטיים כמו ספקי שירותי בריאות חווים התקפת תוכנת כופר ואינם יכולים להחזיר את המערכות שלהם לפעול במהירות על ידי תשלום כופר, חיים עלולים להסתכן.
"במעשיות של היום, הנטל צריך להיות על ארגון הקורבן להחליט על ביצוע תשלום של תוכנת כופר", היא אומרת. "רק לעסקים מושפעים יש מספיק תובנות כדי לשקול את הסיכונים וההשפעות הפוטנציאליות של תשלום או אי תשלום."
מורן קורא לממשלה לשקול תוכניות מגירה לפני איסור על תשלומי כופר במגזר הציבורי. כלומר, ארגונים במגזר הציבורי יזדקקו למשאבים כדי לשפר את עמידותם בפני פרצות סייבר ולהבטיח שתוכניות הגיבוי שלהם יעילות.
היא מאמינה שתמיכה נוספת תהיה הכרחית גם לספקי שירותים ותשתיות קריטיים שיש להם הרבה מה להפסיד על ידי אי תשלום כופר לאחר שחוו התקפת תוכנת כופר. כשהיא מתארת זאת כ"מרכז של גישה מצוינת", היא אומרת שזה יבטיח שארגונים "מוכנים טוב יותר" להגיב ולהתאושש מהתקפות של תוכנות כופר.
היא מוסיפה: "בסך הכל, איסורים רק יעודדו תוקפים לשנות טקטיקה, ולהיות חשאיים יותר בפעולות, בקשות ועסקאות שלהם. זה תחום עבודה רווחי שלא ייעלם בקרוב".
הפחתת התקפות כופר
גם אם מתרחש איסור תשלום על תוכנת כופר בבריטניה, אינספור שיטות עבודה מומלצות יכולות לעזור לארגונים לצמצם התקפות של תוכנות כופר. מורין ממליץ לארגונים להשקיע באמצעי איתור ותגובה חזקים של איומים, לגבות באופן קבוע את הנתונים שלהם ולפלח את סביבות הענן שלהם כדי להכיל הפרות אפשריות. צעדים אלה "יקשיחו את התשתית שלהם ויקלו על התאוששות במקרה שהם מסרבים לשלם".
לפי Tilley מ-11:11 Systems, ארכיטקטורות אמון אפס יכולות גם לסייע במניעת התקפות של תוכנות כופר על ידי הבטחת למשתמשים רק את הרשאות הגישה הדרושות לביצוע עבודתם. אבל כאשר הולכים בדרך זו, חשוב להעריך ולשנות את הרשאות הגישה באופן קבוע.
מכיוון שהתקפות תוכנות כופר מתרחשות לרוב עקב טעות אנוש, כמו לחיצה על קישור זדוני במייל או הגדרת סיסמה חלשה, חשוב גם לחנך את העובדים לסיכוני אבטחת סייבר. טילי אומר שתוכניות מודעות לאבטחת סייבר צריכות לכלול מידע על פישינג, הנדסה חברתית ואיומים מקוונים נפוצים אחרים.
בנוסף להתמקדות במשתמשים בעלי השכלה נמוכה להפצת התקפות כופר, האקרים עשויים להשתמש בתוכנה מיושנת כנקודת כניסה. לכן, ארגונים לא יכולים להרשות לעצמם להתעלם מהחשיבות של ניהול תיקונים. לדברי טילי, עליית התקפות כופר פירושה שארגונים זקוקים ל"תהליך קפדני להחלת תיקוני אבטחה ועדכוני אבטחה על כל המערכות והתוכנות באופן מיידי".
בהתחשב בכך שנוף האיומים המקוון מתפתח במהירות, טילי אומר שארגונים חייבים לשפר ללא הרף את תהליכי ניהול האירועים שלהם על ידי ביצוע "תרגילים סדירים וסקירות לאחר תקרית". הוא מוסיף: "תוכנית תגובה מובנית היטב לאירועים מאפשרת לארגונים לזהות, להכיל ולתקן תקריות אבטחה במהירות, תוך מזעור
שיבוש תפעולי".
אבל יצירת תוכנית כזו לא צריכה להיות קשה. Tilley אומר כי מסגרות מקצועיות בתעשייה כגון ISO 27001 מספקות רבות מהפרקטיקות הטובות ביותר הדרושות להפחתת תוכנות כופר ואיומי סייבר אחרים. יתרה מכך, הקפדה על שיטות עבודה מומלצות אלו תראה שארגון מחויב לאבטחת סייבר ותעזור לו לטפח "תרבות מתמשכת של שיפור אבטחה", הוא מוסיף.
איסור תשלום על תוכנות כופר יגדיל את החשיבות של תהליכי דיווח תקריות יעילים, על פי מור של ESET. לדבריו, ארגונים צריכים להתכונן לבלתי נמנע זה על ידי אימוץ כלים אוטומטיים למעקב אחר אירועים ומעקב צמוד אחר תקנות כמו GDPR ו-NIS2. הוא מוסיף: "ביקורות ציות מוסמכות וערוצי תקשורת ברורים עוזרים גם לבהירות פתוחה יותר, שהיא חיונית להבנת התקפה ולהתקדמות קדימה".
בסך הכל, איסור על תשלום של תוכנות כופר עשוי להיראות כמו רעיון טוב, שדוחה נוכלים להתקפות של תוכנות כופר מכיוון שלא יהיה להם מה להרוויח מהן. אבל הדברים הם הרבה יותר ניואנסים. המציאות היא שגם אם תשלומי כופר נאסרים, האקרים פשוט ימקדו את מאמציהם בוקטורי תקיפה אחרים או תעשיות יעד שאינן מכוסות על ידי האיסור הגורף. מבלי שיוכלו לשלם לפושעי סייבר שפותחים מתקפות כופר, המגזר הציבורי ומפעילים לאומיים קריטיים עלולים לחוות הפרעה חמורה בפעילותם, שעלולה לסכן חיים.
גישה טובה יותר עשויה להיות שהממשלה תספק יותר תמיכה ומשאבים כדי לעזור לארגונים להרתיע מתקפות כופר, כאשר תשלומי כופר הם המוצא האחרון אך לא לגמרי מחוץ לשולחן. בכל מקרה, התקפות תוכנות כופר ממשיכות לגדול בהיקף ובתחכום. לכן, ארגונים לא יכולים להרשות לעצמם להתעלם מהעובדה הזו ולהשאיר את המשמר.
