כיצד יוזמות אבטחה אוסטרליות אלו יכולות לעזור לעסק שלך?

בשנים האחרונות, ארגונים אוסטרליים התמודדו עם גל מתגבר של איומי סייבר, המודגשים על ידי פרצות נתונים בפרופיל גבוה והתקפות סייבר מתוחכמות. מגמה מטרידה זו מדגישה את הצורך הקריטי באמצעי אבטחת סייבר חזקים. היכנס למרכז אבטחת הסייבר האוסטרלי (ACSC). חיוני שמונה ומסגרת ההתאמה הנכונה לסיכון (RFFR) של משרד החינוך, המיומנויות והתעסוקה (DESE).

אלה משמשים אבן יסוד להגנת אבטחת סייבר, ומחזקים את היוזמות של ממשלת אלבניה שמטרתן לשפר את חוסן הסייבר הלאומי. עם זאת, ניתן לראות אותם כמשלימים ולא כתחליף לתקן הבינלאומי ISO 27001.

הבנת המסגרת

השמינייה החיונית היא קבוצה של אסטרטגיות שמטרתן לספק עמדה בסיסית של אבטחת סייבר לארגונים. אלה נועדו לצמצם איומי סייבר שונים, תוך שימת דגש על חשיבותם של אמצעים יזומים כגון בקרת יישומים, תיקון, הגבלת הרשאות ניהול, אימות רב-גורמי (MFA) וגיבויים רגילים.

לדברי אדוארד פארל, מנכ"ל ויועץ ראשי ב-Mercury Information Security Services, שמיניית ה- Essential Eight מקורה בניתוח של גורמי השורש של פריצות סייבר במשך כמעט עשור.

"זה היה במקור ארבעת הראשונים שהיוו חלק מ-35 ההקלות להתמודדות עם פריצות סייבר", אומר פארל ל-ISMS.online. "היום זה מובנה לתוך שמיניית החיוניים, שעסקו בשפע של התקפות חדשות שהם ראו. אז, דברים כמו פקודות מאקרו של Office, הפרת MFA, הפרת אישורי שם משתמש וסיסמא באמצעות ניחוש סיסמה, ובעיות עם Java ו-Flash, כמו גם שאר הדברים."

RFFR משלים את ה- Essential Eight בכך שהוא מציע גישה מותאמת יותר לניהול סיכוני אבטחת סייבר. הוא מתמקד בהבנה ובטיפול בפרצות ספציפיות בתוך ארגון, מעודד תרבות של שיפור מתמיד וניהול סיכונים. יחד, יוזמות ממשלתיות אלו מסייעות לארגונים לא רק להגן מפני איומים ידועים, אלא גם להסתגל ולהגיב לאתגרים חדשים כאשר הם מתעוררים, ולהבטיח עמדה איתנה של אבטחת סייבר מול איומים מתפתחים.

הפרות למכביר

מבול לאחרונה של פרצות מידע באוסטרליה מדגיש את האתגר ההולך וגדל העומד בפני ארגונים מקומיים. א דו"ח נציב המידע האוסטרלי בחודשים ינואר עד יוני 2023 חשפו סך של 409 הפרות, המראות ירידה קלה מהתקופה הקודמת אך מדגישים את האיום המתמשך, כאשר התקפות זדוניות או פליליות מהוות 70% מהאירועים הללו. מגזרי הבריאות והפיננסים התגלו כקורבנות המובילים.

עם זאת, אף ארגון אינו בטוח מפני פשרה פוטנציאלית כיום. אירועים בולטים לאחרונה לכלול הפרה בחברת הבת של Woolworths MyDeal, המשפיעה על כ-2.2 מיליון לקוחות, ותקריות המשפיעות על גופים כמו ניסן, אוניברסיטת וולונגונג, בואינג, סוני, דולינגו, פיצה האט ו-DP World Australia. אלה נעו בין התקפות של תוכנות כופר וגרידת נתונים ועד גניבה של מידע רגיש של לקוחות ועובדים.

הגיוון והתדירות של תקריות אלו מדגישים את החשיבות של יישום אמצעי אבטחת סייבר חזקים כמו ה- Essential Eight ו-RFFR, כדי לבנות חוסן מול סיכון סייבר גובר.

דחיפה לאבטחת סייבר של ממשלת אלבניה

בתגובה לנוף האיומים המתפתח, ממשלת אלבניה נקטה צעדים משמעותיים כדי לחזק את אבטחת הסייבר של המדינה - כולל אסטרטגיית אבטחת סייבר לאומית חדשה.

עם זאת, פארל מציע את הצורך באסטרטגיה בעלת ניואנסים יותר, המותאמת לצרכים הייחודיים של ארגונים ומגזרים אוסטרליים ספציפיים.

"המציאות היא שעשינו בדיקות סייבר בריאות לעסקים קטנים עוד בשנת 2018... והן ממש לא המריאו", הוא טוען.

Essential Eight לעומת ISO 27001

השמינייה החיונית מתמקדת באסטרטגיות מעשיות לצמצום תקריות אבטחת סייבר, המותאמות במיוחד למאבק באיומי סייבר נפוצים. האמצעים הפשוטים, הניתנים לפעולה, מיועדים ליישום מיידי, ומכסים היבטים כמו רשימת היתרים של יישומים, תיקון יישומים והגבלת הרשאות ניהול. זה יעיל במיוחד עבור ארגונים המחפשים קווים מנחים ברורים וישירים כדי לשפר את חוסן אבטחת הסייבר שלהם.

ISO 27001, לעומת זאת, מספק מסגרת מקיפה לניהול אבטחת מידע באמצעות מערכת ניהול אבטחת מידע (ISMS). הוא מציע גישה הוליסטית לאבטחת מידע, לא מוגבלת לאיומי סייבר אלא מקיפה את כל צורות אבטחת המידע. ISO 27001 מחייב ארגונים להעריך את סיכוני אבטחת המידע שלהם וליישם בקרות מתאימות המותאמות לצרכים הספציפיים שלהם. תקן זה שם דגש על שיפור מתמיד ועמידה במערך דרישות מוגדרות.

RFFR לעומת ISO 27001

RFFR קרוב יותר ל-ISO 27001. הוא מעודד ארגונים לאמץ גישת ניהול סיכונים המותאמת להקשר התפעולי הספציפי שלהם. הוא תואם באופן הדוק לעקרונות הערכת סיכונים וניהול של ISO 27001, אך הוא מותאם באופן ספציפי לסביבת אבטחת הסייבר האוסטרלית. בעוד ש-ISO 27001 מספק מסגרת רחבה החלה על פני תעשיות שונות ברחבי העולם, RFFR מאפס את סיכוני אבטחת הסייבר הייחודיים העומדים בפני ישויות אוסטרליות.

גישה רחבה יותר

לארגונים אוסטרליים מומלץ לשלב את Essential Eight, RFFR ו-ISO 27001 לאסטרטגיית אבטחת סייבר מעוגלת היטב.

"מסגרות הן נהדרות אם זו סביבה מאוד מסודרת ומסודרת... בעוד שאני חושב ששינויים הקשריים והבנת התחום שבו אתה פועל ישתנו בכל פעם", טוען פארל.

הוא מדגיש את החשיבות של הסתגלות. והצורך של ארגונים לא רק ליישם אמצעי אבטחה בסיסיים שסופקו על ידי ה- Essential Eight, אלא גם את היבטי הממשל וניהול הסיכונים הרחבים יותר של ISO 27001 ואסטרטגיות הסיכון המוגדרות בהקשר של RFFR.

יישום ה- Frameworks

יישום יוזמות אבטחת סייבר כמו Essential Eight, RFFR ו-ISO 27001 יכול להיות מורכב, אבל גישה ממוקדת עוזרת לנווט אתגרים. לדברי פיליפ איבנצ'יק, ראש הפתרונות של APAC בקבוצת Synopsys Software Integrity Group, אחד המכשולים הגדולים ביותר הוא שמירה על תרבות שבה בקרות אבטחה מיושמות באופן עקבי, גם כאשר זה לא נוח.

"השמינייה הבסיסית עצמה ממליצה על שלבים בסיסיים כמו שמירה על תיקון, הגבלת גישה מנהלתית והבטחת גיבויים מתוחזקים ונבדקים. כל הפקדים לכאורה פשוטים והגיוניים. עם זאת, בשיחה עם לקוחות, האתגר הגדול ביותר שעומד בפניהם הוא שמירה על תרבות של הפעלת בקרות אלו מדי יום ביומו", הוא אומר ל-ISMS.online.

"אנשי הצוות צריכים להבין את החשיבות שלהם, וצריכה להיות תרבות שתשמור על הבקרות הבסיסיות האלה גם כשהן לא נוחות. זו פשוט לא יצירה 'חד-פעמית' אלא מסגרת לדיסציפלינות מתמשכות".

כדי ליישם דברים כמו Essential Eight ו-ISO 27001, נדרשת ניווט באתגרים כמו הקצאת משאבים, אינטגרציה עם מערכות קיימות, איומים מתפתחים וטיפוח מודעות העובדים. לשם כך, ארגונים צריכים לערוך הערכות סיכונים יסודיות כדי לקבוע סדרי עדיפויות, להקצות מספיק משאבים, לאמץ גישה מדורגת לניהול מורכבות, לטפח תרבות מודעת לאבטחה ולעדכן באופן קבוע את נוהלי האבטחה כדי להתמודד עם איומים חדשים.

"עבור ארגונים גדולים יותר, אוטומציה של ניהול פגיעות באמצעות כלי ניהול יציבות אבטחת יישומים (ASPM), שבו תוצאות בדיקות חדירה ידניות מושוות אוטומטית לכלי סריקה עם המלצות מועדפות, היא המגמה הגדולה ביותר בקרב הלקוחות שלי", מוסיף איבנצ'יק.

על ידי עיסוק במומחיות חיצונית ושימוש באוטומציה לצורך יעילות, ארגונים יכולים לחזק את הגנת אבטחת הסייבר שלהם בצורה מעשית ובת קיימא. חינוך מתמשך נותר חיוני כדי להבטיח שכל אנשי הצוות יבינו את החשיבות של בקרות האבטחה, והם ממושמעים בשמירה עליהם באופן עקבי.

העתיד של אבטחת סייבר אוסטרלית

בעוד אוסטרליה מנווטת בנוף איומים מתפתח, יוזמות כמו Essential Eight ו-RFFR ותקני שיטות עבודה מומלצות כמו ISO 27001 נשארות אבני יסוד בגישה יזומה לאבטחת סייבר.

בציפייה ליוזמות ממשלתיות עתידיות, פארל מציע דחיפה לכיוון "שיפור שיתוף הפעולה בין המגזר הציבורי והפרטי" והשקעה משמעותית ב"חינוך לאבטחת סייבר ופיתוח כוח אדם". מאמצים אלה אמורים לעזור לשפר את השיתוף של מודיעין איומים ומידע על פגיעויות, ובסופו של דבר לטפח מערכת אקולוגית אבטחת סייבר עמידה יותר ברחבי אוסטרליה.

גם מסגרות וסטנדרטים של שיטות עבודה מומלצות צפויות להתפתח בהתאם לנוף האיומים. האתגר, כמו תמיד, יהיה להימנע ממשחק להדביק את קהילת פשעי הסייבר.