12 החודשים האחרונים שוב לימדו אותנו שבעוד שהטכנולוגיה ממשיכה להתקדם במהירות מסחררת לפעמים, הרבה ממגמות המאקרו באבטחה ותאימות נשארות ללא שינוי. אז זה צפוי להיות במהלך השנה הקרובה. בעוד שבינה מלאכותית וחידושים מזויפים ימשיכו לשפר את הכישורים ולספק הזדמנויות חדשות עבור גורמי איומים, הדמוקרטיזציה של פשעי הסייבר, האיום ההולך וגובר מצד גורמי מדינה ולחץ מוגבר על ספקי תשתיות קריטיות (CNI) יישארו ללא מעמעם.
נראה שחוקים חדשים יתחילו להשפיע על לוחות, ואחרים יתחילו להתעצב, במיוחד בבריטניה. ואנחנו נראה את מגיני הרשת פונים לאפס אמון במספרים גדולים יותר כאשר הסיכון בשרשרת האספקה מסתחררת. הנה הבחירה שלנו עבור חמש טרנדים מרכזיים שכדאי לשים לב אליהם ב-2025.
1. AI ו-Deepfake Threats Loom Large
המרכז הלאומי לאבטחת סייבר (NCSC) הזהיר מוקדם יותר השנה שבינה מלאכותית "כמעט בוודאות תגדיל את הנפח ותגביר את ההשפעה של התקפות סייבר במהלך השנתיים הקרובות". ואין סיבה להטיל ספק בהערכה הזו. בינה מלאכותית (GenAI), בפרט, תוריד את מחסום הכניסה עבור שחקני פישינג מתחילים ויזרז התקפות על ידי כך שיהיה מהיר וקל יותר לזהות נכסים בעלי ערך גבוה ומכשירים פגיעים לניצול.
GenAI גם תגביר את האיום הזיוף העמוק, אשר בהקשר ארגוני עלול לגרום לצרות עבור בדיקות Know Your Customer המסתמכות על ביומטריה (פנים, קול), אשר כעת ניתן לזייף ברמת דיוק גבוהה. אנו עשויים גם לראות ניסיונות נוספים בסגנון BEC להערים על הצוות לבצע העברות ארגוניות בכסף גדול, באמצעות קול או וידאו המתיימרים להתחזות למנכ"ל או דומה.
שחקנים מאיימים ינסו להשתמש לרעה בשירותים לגיטימיים כמו ChatGPT כדי לעקוף מעקות בטיחות מובנים ואולי למכור גישה כזו כשירות. המספר הקטן יחסית של מפתחי LLM יכול לעודד יותר פושעי סייבר לחקור נקודות תורפה כמו אלה ואחרות.
עם זאת, בינה מלאכותית תעזור גם לקהילת אבטחת הסייבר, עם אנליסטים של פעולות אבטחה (SecOps) שיוכלו לעבוד מהר יותר ופרודוקטיבי יותר הודות לעוזרי GenAI. היכולת של GenAI ליצור תוכן סינתטי תעזור לצוותים לאמן את כלי האבטחה והמשתמשים שלהם בצורה יעילה יותר, בעוד שהכישרון שלה לסרוק מערכי נתונים גדולים לדפוסים חריגים ימשיך לעזור בזיהוי ובתגובה של איומים. למעשה, 61% מהעולם ארגונים מאמינים כעת AI יהיה חיוני לתגובה יעילה ויזומה לאיומים.
2. CNI תחת לחץ גובר
ספקי CNI תמיד היו יעד פופולרי להתקפה. אבל שחקנים ממלכתיים נועזים, פושעי סייבר בעלי משאבים טובים וסביבה גיאו-פוליטית שגויה יותר ויותר הם גורמים מיוחדים לדאגה לקראת שנת 2025. ארגונים שלא הצליחו ליישם את השיטות המומלצות שנקבעו על ידי 2 ש"ח ומקבילו בבריטניה עלולים להיות בסיכון גדול.
צפו לראות עוד קמפיינים רב-שנים ומתוחכמים ביותר כגון וולט טייפון והתקפות אופורטוניסטיות של תוכנות כופר וקבוצות האקטיביסטיות המחפשות להרוויח כסף ו/או שם לעצמן. תת השקעה היסטורית בבריטניה הובילה לכמה גילויים מזעזעים על מצב אבטחה לקוי אוהב את סלפילד ו מים התמזה. אלה בוודאי לא יהיו האחרונים.
3. בריטניה פועלת להתעדכן בחוקי אבטחת סייבר
צפוי לקרות הרבה בבריטניה מנקודת מבט של ציות לרגולציה בשנת 2025, כמו שני סעיפי חקיקה עיקריים ליד ספרי החוקים. הצעת חוק אבטחת סייבר וחוסן תעדכן את תקנות הרשת ומערכות המידע 2018 (תקנות הש"ח). למרות שזה פחות שאפתני מהמאמצים של האיחוד האירופי לעשות זאת, 2 שקלים צריכים להכניס הוראות נחוצות. אלה כוללים הרחבת היקף החוק למגזרים נוספים, שיפור אבטחת שרשרת האספקה וחייב דיווח על תקריות, במיוחד עבור תוכנות כופר. הממשלה גם רוצה לחזק את סמכויות הרגולציה, לרבות את היכולת לחקור באופן יזום נקודות תורפה ולגבות עמלות מארגונים מוסדרים.
בינתיים, הצעת החוק למידע דיגיטלי ונתונים חכמים היא למעשה עדכון של הממשלה הקודמת הצעת חוק הגנת נתונים ומידע דיגיטלי (DPDI). ומבטיח רענון של ה-GDPR. היא מקווה להפחית את עלויות הציות לעסקים, לייעל את שיתוף הנתונים ולהאיץ חדשנות בזהות דיגיטלית. בהתאם לחוק המוצע האחר, הוא יחזק את סמכויות משרד נציב המידע (ICO), אשר בתורו עלול להפעיל לחץ גדול יותר על צוות הציות.
4. ה-C-suite משתלט על הסייבר
זה כבר מזמן. עם זאת, הדרישות החדשות ב- כללי גילוי אבטחת הסייבר של SEC ו ב-2 שקלים יטיל אחריות גדולה יותר על מועצות המנהלים כדי להבין את סיכוני הסייבר. במקרה של הנחיית האיחוד האירופי, ההנהלה הבכירה חייבת לחתום על אמצעים לניהול סיכוני סייבר, לפקח על יישומם ולהשתתף בהדרכות אבטחה מיוחדות. כמו כן, הם יישאו באחריות אישית על ידי הרגולטורים במקרים של רשלנות חמורה והזנחה מכוונת. בינתיים, ה-SEC דורשת כעת מחברות רשומות לפרסם גילויים שנתיים לגבי האסטרטגיה והממשל שלהן לניהול סיכוני סייבר, וכן לתאר את הפיקוח של הדירקטוריון על סיכוני סייבר הנובעים מאיומים.
צעדים דומים להגברת האחריות והשקיפות ברמת הנהלה בכירה יעשו את דרכם למספר הולך וגדל של חוקים חדשים בשנת 2025, כולל החוקים של האיחוד האירופי. חוק חוסן תפעולי דיגיטלי (DORA). היא קובעת כי מועצות המנהלים "מגדירות, מאשרות, מפקחות ואחריות על יישום כל ההסדרים הקשורים למסגרת ניהול סיכוני ה-ICT". מהלכים אלה עשויים להקפיד יותר על תפקידו של ה-CISO, אך אמורים לפחות להקל על האוזן של הדירקטוריון כאשר דנים בעניינים של סיכון סייבר.
5. קווי פשעי מדינת לאום ופשעי סייבר ממשיכים לטשטש
על רקע הסיכון הגיאופוליטי הגואה, מגמה אחת ארוכת השנים שנראה בולטת יותר ב-2025 היא ההצלבה בין פעילות מדינת לאום לפשעי סייבר. מיקרוסופט קראה זאת בשנתי שלה דו"ח הגנה דיגיטלית לאחרונה, מזהיר שלא רק שחקני המדינה (כלומר איראן וצפון קוריאה) מונעים יותר ויותר כלכלית, אלא שחלקם (למשל רוסיה) משתמשים ב-TTP של פשעי סייבר ואפילו מוציאים חלק מהפעולות לכנופיות פשע. אנו עשויים גם לראות קבוצות האקטיביסטיות ממשיכות לעבור מעבר למתקפות DDoS כדי לצלם את ה"מטרות" של האויב במערב עם תוכנות כופר, סחיטת נתונים והתקפות הרסניות, כמו NCSC כבר הזהיר.
חברות CNI יכולות להיות ראשונות בקו הירי, בהתחשב בכך שלתקיפה משבשת תהיה השפעה גדולה על האוכלוסייה. כאמור, לעתים קרובות הם גם חלק מהמטרות הפחות מוגנות היטב, עם סובלנות נמוכה להפסקות, מה שהופך אותם למועמד אידיאלי עבור תוכנות כופר.
כל זה אומר שמקצועני אבטחת סייבר ותאימות יהיו עסוקים יותר מאי פעם בשנת 2025. למרבה המזל, תקני שיטות עבודה מומלצות כמו ISO 27001 ימשיכו לסייע לספק בסיס איתן להתמודדות עם אתגרים אלו ורבים אחרים שצפויים להופיע בשנת 2025. אבל זה יכול להיות נסיעה מהמורות.
