חמש שנים הן זמן רב בתחום אבטחת הסייבר. ובכל זאת, זה הזמן שבו הפורום הכלכלי העולמי (WEF) עורך סקרים בקרב מנכ"לים לגבי... Outlook אבטחת סייבר גלובלי דוחות. התקווה היא שהתובנה שתתקבל תעצים מנהיגים עסקיים להתאים אסטרטגיה ולנווט בנוף איומים המתפתח במהירות. ההיצע של השנה מציב את ההונאה, הבינה המלאכותית והגיאופוליטיקה בראש רשימת החששות ההולכת וגדלה. וכמו שהיה בשנה שעברה, חוסן סייבר הוא המטרה שאליה כולם שואפים.

אך כפי שדנו ב-IO (לשעבר ISMS.online) דוח מצב אבטחת מידע לשנת 2025, לעתים קרובות יש פער לא קטן בין אבחון הבעיה לבין עשיית משהו בנידון.

מה ש-WEF מצא

סקר של WEF קצת יותר מ-800 מנהלים בכירים ברמת C עבור דו"ח השנה. בין הממצאים המרכזיים שלו נמנים:

הונאה תופסת את המקום הראשון

מנכ"לים ומנהלי מערכות מידע היו מעט שונים זה מזה מבחינת שתי הדאגות העיקריות שלהם. בעוד שמנהלי מערכות מידע נותרו עקביים מהשנה שעברה בציטוט (לפי סדר) תוכנות כופר ושיבוש שרשרת האספקה, עמיתיהם המנכ"לים דירגו הונאות מבוססות סייבר במקום הראשון, ואחריהן פגיעויות בבינה מלאכותית. כשמדובר בהונאה, הם מתכוונים לאיומים ממוקדי ארגון כמו פישינג/סמישינג/וישינג, הונאת חשבוניות (כמו BEC) והונאת פנים, אך גם לסוגי פשיעה הקשורים לרוב להפסדי צרכנים כמו גניבת זהות ואפילו הונאת השקעות/הונאות קריפטו.

נראה כי דו"ח IO מסכים. הוא גילה כי 30% מהנשאלים חוו פישינג ב-12 החודשים האחרונים, לעומת 12% בלבד בשנת 2024.

בְּתוֹר הדו"ח האחרון מנקודות השיא של מיקרוסופט, יש תשתית גלובלית מתוחכמת ועמידה שמסייעת לסוגים מסוימים של הונאות כמו BEC המשפיעות על ארגונים. אבל אפילו קמפיינים שמתמקדים באופן נומינלי בצרכן ומתמקדים בדברים כמו גניבת זהות יכולים לגעת בעולם התאגידי.

As צ'ק פוינט טענה בכתבה שפורסמה לאחרונה, כאשר נוכלים מצליחים לאסוף מידע אישי ומידע על מכשירים, כולל תמונות סלפי "חיות", מאנשים, הם יכולים להשתמש במידע מעבר להונאת זיהוי. באופן ספציפי, ניתן ליישם אותו כדי לעקוף מערכות אימות ארגוניות, ולהתחזות לעובדים במוקדי תמיכה של IT באיפוס סיסמאות. ואם אנשים מפסידים סכומים גדולים בהונאות השקעות, הם עלולים להיות פגיעים יותר לכפייה/סחיטה כמקורבים זדוניים.

בינה מלאכותית מגבירה את הסיכון הקיברנטי

בינה מלאכותית הודגשה גם על ידי המשיבים ב-WEF כגורם מרכזי לסיכוני סייבר. אך באופן מעניין, פחות מבחינת יכולתה להפעיל פישינג, זיופים עמוקים ותוכנות זדוניות (שהיו קשורות ל-28%), ויותר מבחינת דליפות נתונים שעלולות לנבוע משימוש לרעה ב-GenAI (30%). דבר זה מצביע על דאגה לגבי השימוש הגובר בבינה מלאכותית על ידי ארגונים, המרחיב את שטח התקפות הסייבר. למעשה, 87% מהמשיבים מאמינים שפגיעויות הבינה המלאכותית הולכות וגדלות (לעומת 77% שאומרים את אותו הדבר לגבי הונאה ו-65% שאומרים את אותו הדבר לגבי שיבושים בשרשרת האספקה).

נתוני IO שופכים אור נוסף על הנושא. שליש (34%) מהנשאלים אמרו לנו שהם מודאגים מבינה מלאכותית בצללים, כאשר 54% הודו שאימצו את GenAI מהר מדי וכעת מתמודדים עם אתגרים ביישומה בצורה אחראית יותר. סיכונים נוטים לשגשג בצללים: מה שארגונים לא יכולים לראות, הם לא יכולים לנהל.

גיאופוליטיקה היא גורם מרכזי באסטרטגיית הביטחון

כמעט שני שלישים מהנשאלים אמרו ל-WEF כי מתקפות סייבר ממניעים גיאופוליטיים הן שיקול מרכזי בעת גיבוש אסטרטגיות ניהול סיכוני הסייבר שלהם. תנודתיות בתחום זה אילצה כמעט את כל הארגונים הגדולים (91%) להתאים את גישתם לאבטחה, כך עולה מהדו"ח. נתון זה תואם את נקודת המבט של IO, שמצאה כי 88% מהחברות בארה"ב ובבריטניה חוששות מהתקפות בחסות מדינה, וכמעט רבע (23%) אומרים שהדאגה הגדולה ביותר שלהם לשנה הקרובה היא חוסר מוכנות ל"הסלמה גיאופוליטית או פעולות סייבר בזמן מלחמה". שליש (32%) טוענים כי ניהול סיכונים גיאופוליטיים הוא המוטיבציה העיקרית שלהם לאבטחת מידע חזקה ותאימות.

מדאיג עוד יותר, 31% מהנשאלים בסקר של WEF דיווחו על אמון נמוך ביכולתה של ארצם להגיב לאירועי סייבר גדולים, לעומת 26% בשנה שעברה. הנתון עולה ל-40% באירופה. על הממשלה להאיץ את יישום הצעדים בחוק אבטחת הסייבר והחוסן ובתוכנית הפעולה הקיברנטית שלה.

שרשראות אספקה ​​נותרות מכשול לחוסן

שרשראות אספקה ​​ממשיכות להיות מקור משמעותי לסיכון סייבר, וקשה לניהול. שני שלישים (65%) מהנשאלים אמרו ל-WEF שזהו האתגר הגדול ביותר שלהם להפוך לעמידים בפני סייבר, עלייה מ-54% בשנה שעברה, וקצת מעל נוף האיומים המשתנה במהירות (63%) ומערכות מדור קודם (49%).

הם צודקים בדאגה. כ-61% מהארגונים בבריטניה/ארה"ב אמרו ל-IO כי עסקיהם הושפעו מאירוע אבטחה שנגרם על ידי ספק צד שלישי בשנה האחרונה. רבים אמרו כי הדבר הוביל לפריצות לנתוני לקוחות/עובדים (38%), הפסד כספי (35%), שיבושים תפעוליים (33%), נטישה/אובדן אמון (36%) ופיקוח מוגבר של שותפים (24%).

לקראת חוסן

על רקע זה, מנהיגים עסקיים ואבטחת מידע יודעים שהם לא יכולים להישאר חסינים מפני פריצות ב-100%. לכן, המיקוד חייב לעבור לעבר חוסן: כיצד לצפות, לעמוד ולהתאושש במהירות מאירועים, תוך שמירה על "עסקים כרגיל" ככל האפשר. JLR ו-M&S הפרות הראו, קל יותר לומר זאת מאשר לעשות.

על פי ה-WEF, המחסומים הגדולים ביותר לחוסן בסייבר הם נוף איומים המתפתח במהירות וטכנולוגיות מתפתחות (61%); פגיעויות של צד שלישי (46%); ומחסור במיומנויות ומומחיות בסייבר (45%). גם מורשת ומימון צוינו כגורמים מרכזיים. אז כיצד ארגונים יכולים להתגבר על אתגרים אלה?

מעניין לציין, שהדו"ח מצא כי ארגונים עמידים יותר נטו יותר:

  • להטיל אחריות אישית על חברי הדירקטוריון במקרה של הפרות
  • יש גישה חיובית כלפי תקנות הקשורות לסייבר
  • בעלי כישורים נאותים להשגת יעדי הסייבר שלהם
  • הערכת אבטחת כלי בינה מלאכותית לפני הפריסה
  • שלבו את נושא האבטחה ברכש
  • לדמות אירועים ולתכנן תרגילי התאוששות עם שותפים
  • הערכת בגרות האבטחה של הספקים.

רבים מהדברים הללו נדרשים על ידי תקני שיטות עבודה מומלצות כמו ISO 27001 ו-ISO 42001. האחרון מתאים במיוחד לסיוע לארגונים. לסגור את פער הממשל ולנהל סיכונים (כולל דליפת נתונים) על פני משטח תקיפה הולך וגדל של בינה מלאכותית.

לפי IO, 80% מהארגונים בבריטניה/ארה"ב התאימו לסטנדרטים כאלה כדי לבנות חוסן בצורה מובנית ומבוססת סיכונים. על רקע נוף עסקי ואיומים תנודתי, אלו שלא עושים זאת נמצאים בעמדת נחיתות גוברת.