כשדנים בממד הזמן במתקפות סייבר לרוב מתייחסים לשני נושאים: האחד - מהירות הזיהוי והתגובה לאירוע, והשני - הזמן שלוקח להתאושש ממתקפה.
לגבי מהירות הזיהוי והתגובה לאירוע, הדברים ברורים. בדרך כלל, ניתן (בדיעבד לפחות) לשחזר את רגע החדירה לארגון וממנו למדוד כמה זמן עבר עד שמערכות הארגון זיהו את המתקפה, התריעו ועד שצוותי האבטחה טיפלו במתקפה. זמן זה נמדד לרוב בשניות, דקות ושעות. אולם גם לאחר שהוכרז "גמר אירוע" יכול לעבור זמן רב עד שהארגון מתאושש לחלוטין, וזמן זה יכול להימדד בשבועות, חודשים ואפילו שנים. על איזה סוג של השפעה אנחנו מדברים בעצם?
- תדמיתית - למתקפת סייבר יכולה להיות השפעה תדמיתית הרסנית על ארגון, שבטווח הזמן המיידי עלול להבריח ממנו לקוחות ולגרום לנזקים כלכליים ישירים (ביטול מנויים) ועקיפים (פגיעה במחיר המניה). ניסיון העבר מראה שלאופן ההתמודדות של הארגון עם התקרית יש השפעה מכרעת על יחס הציבור. ארגונים שהודו בתקריות סייבר באופן מהיר, שקוף וכנה בדרך כלל לא סבלו מפגיעה במוניטין, לעיתים להיפך. בכל מקרה, נראה שפגיעה כזו, גם אם התרחשה, נשכחת לאחר זמן מה והמוניטין של ארגונים, בהכללה, לא נפגע ממתקפות סייבר.
- כלכלית - מתקפת סייבר פוגעת בגוף שסופג אותה. היא גורמת להוצאות ישירות, כמו הזנקת צוותי תגובה ומו"מ חיצוניים, רכישה של ציוד ותוכנות שדרושות לתפעול האירוע, הפעלת ביטוח סייבר (מה שמעלה את הפרמיה בעת החידוש) ועוד. הוצאות עקיפות שנגרמות ממתקפה כוללות בעיקר Down time- זמן שבו הארגון משותק ולא יכול להעניק שירותים, לבצע טרנסאקציות ובגדול מפסיד כסף כי אינו מסוגל לתפקד כרגיל. לצרות אלו מתווספת צרה נוספת בדמות קנסות שהרגולטור יכול להטיל על הארגון הנפגע, אם הוכח שלא עשה די למנוע את המתקפה.
- ערך המניה - ישנם מחקרים שונים שמראים שערך המניה של חברות שסובלות ממתקפות סייבר נפגע בפרק הזמן הקצר-בינוני ולאחר מכן מתאושש. גם אם בטווח הארוך שווי החברה (מחיר המניה שלה) לא נפגע הרי שירידה דרסטית בערך המניה גורמת נזק כלכלי לבעלי המניות, המשקיעים המוסדיים וגם לעובדים שרואים את ערך המניות והאופציות שבידם צונח. בוודאי שזה לא תורם לתדמית של החברה.
- תפקוד מלא של מערכות המידע בארגון - זהו האספקט ה"נשכח" של מתקפות סייבר. רוב מערכות הארגון (שרתים, תחנות קצה, ציוד תקשורת ומערכות ארגוניות) מוחזרות לפעולה תוך שעות או ימים- עם או בלי המידע שנשמר בגיבוי (אם לא היה גיבוי נאות אז מידע יקר ערך לעיתים אובד בתהליך). אבל, לארגונים שונים, בייחוד לארגונים ציבוריים, יש מגוון של מערכות מידע מסוגי שונים. את חלקם קשה מאוד לתקן או לשחזר. יש להזמין תוכנות וחומרות ייעודיות, להביא אנשי מקצוע מומחים ולעיתים אין מנוס ויש לרכוש מערכות חדשות במקום אלו שנפגעו. תהליכים אלו לוקחים זמן רב- לעיתים אף חודשים ושנים, ופוגעים באיכות השירות הניתן ללקוחות. כשמדובר בגופים ציבוריים כגון עיריות, בתי חולים וכדומה, זמן התיקון מתארך והנזק גדל- ומי שסובל בסופו של דבר- הם האזרחים. הם אלו שמקבלים שירות פחות טוב (זמני המתנה ארוכים לתורים, נאלצים לנסוע למקומות רחוקים על מנת לקבל את אותו שירות) ובסוף גם ישלמו מכיסם (מכספי המיסים שלהם) את עלויות התיקון הגבוהות.
הנה כמה דוגמאות
- עיריית בולטימור - מאי 2019. העירייה הותקפה על ידי קבוצת הכופרה "רובין הוד". מערכות ה-IT של העיר הושבתו, כולל מערכות המייל. השיקום נמשך חודשים ארוכים ועלותו הכוללת נעה בין 10 ל-18 מיליון דולר (כשסכום הכופר הראשוני המבוקש היה פחות ממיליון דולר).
- הלל יפה - אוקטובר 2021 . בית החולים הותקף על ידי תוקפים עם מניע כלכלי. במשא ומתן מולם הוסכם על סכום כופר של 3 מיליון שקל אולם המדינה סירבה לשלמו ומערכות הארגון נפגעו בצורה אנושה. השחזור היה ארוך ואיטי וכלל שורה של מכרזים בהולים לרכישת ציוד שהיה נחוץ לתפעול בית החולים, כגון שרת שתומך במערכת ה CT בבית החולים. משרד הבריאות השלים לאחרונה בדיקה שהעלתה שהעלות הכוללת של תפעול הארוע והחזרת בית החולים לכשירות מלאה עלה למשלם המיסים יותר מ-32 מיליון שקלים - בערך פי 10 מסכום הכופר המקורי.
- עיריית גלוסטר - דצמבר 2021. העירייה הותקפה בסוף השנה שעברה, ואפילו כיום, חצי שנה לאחר התקרית, לא חזרו מערכות המידע שמטפלות ברישוי של בינוי ובעזרה לזכאי דיור ציבורי לתפקוד מלא. העירייה הקציבה תקציב נוסף של כחצי מיליון דולר לתיקון נזקים נוספים מהתקרית.
איני בא לטעון שיש לשלם את דמי הכופר (במידה שאלו נדרשים בכלל, ולא מדובר בתוקף שפשוט גונב או מחבל לשם מטרה אחרת). אני כן טוען שברוב המקרים גרם של הגנה שווה קילו של תיקון. בעלויות לא גבוהות (יחסית לעלויות התיקון ולנזק שנגרם) היו יכולים הארגונים שהותקפו להטמיע מערכות הגנה מודרניות שהיו מזהות בששלב מוקדם את המתקפה, מסכלות אותה או לפחות מכילות את הנזק בחלק מצומצם של הארגון כך שפעולות החקירה והתיקון (גם אם יש לערב מומחים חיצוניים בביצוען) יכולות להתבצע במהירות וביעילות ולהחזיר כך את הארגון לפעילות בזמן הקצר ביותר האפשרי.
הכותב הוא מנהל השיווק בחברת הסייבר SentinelOne