צרכנים ב-EMEA עדיין מבולבלים: שמירה על פרטיות או אבטחת מידע?

מחקר גילה גישות שונות באזור לגבי שימוש במידע אישי והגנה מפני טרור סייבר ● כך התגלה כי ל-75% מהצרכנים אין אמון במותגי המדיה החברתית - אך למרות זאת, יותר ויותר צרכנים משתפים מידע ברשתות אלו

F5 שנוסדה לפני 20 שנה, החלה לפני כעשור להתמקד יותר ויותר בפתרונות ארגוניים לאבטחת מידע על ידי ההגנה על היישומים. היא החדירה לאותם יישומים בהם משתמשים עובדי הארגון, הגנה שאינה מאפשרת להגיע לנתונים עצמם, שהם למעשה המטרה של כל התקפות הנוזקות למיניהן.

מתחילת דרכה, F5 הצטיינה והובילה את נושא בקרת העברת היישומים, ADC, והפתרון שלה ידע "לקרוא" כל מה שעובר בתקשורת הנתונים, וכך יכולה הייתה להוביל את הגנת המידע בתנועה מהארגון לרשת האינטרנט וחזרה.

כיום הרוב הגדול של שני מיליארד דולר ההכנסות, מגיע מפתרונות אבטחת המידע והענן שלה. לכן הסקר החשוב מאשש את תפיסתה, שעליה לספק יותר פתרונות חכמים, כי המשתמשים מחפשים אצל שותפים אסטרטגיים כמוה פתרונות שיפתרו את גניבות הנתונים העומדות בשער הארגונים.

כנס F5. צילום: פלי הנמר

כנס F5. צילום: פלי הנמר

את המחקר המקיף באזור EMEA, אשר בוצע עבור F5 Networks, הציגה החברה בכנס המשתמשים שלה בהשתתפות כ-800 לקוחות, שותפים ועובדים, ביניהם מעל ל-20 איש במשלחת מישראל, בראשותה של שושי לייבוביץ, מנהלת המכירות של החברה.

המחקר חשף כי בעוד שיש לצרכנים אירופאים ומזרח-תיכוניים אמון במספר ארגונים בהגנה על המידע שלהם, רבים מוכנים לשתף במידע הפרטי שלהם בתמורה לשימוש בשירותים ללא תשלום. המחקר, אשר בוצע על ידי Opinion Research, סקר יותר מ- 7,000 צרכנים באזור וחקר את גישתם לגבי הגנה על מידע פרטי והשימוש בו.

פחד מהלא נודע

שיתוף מידע עם חברות פרטיות הוביל לכך שקרוב ל-70% מהצרכנים מודאגים שהמידע שלהם יגיע לידיים הלא נכונות, וכן שהפרטיות שלהם תעמוד בסיכון (64%).

המשתמשים בעולם משתפים מידע עם אתרים ורשתות, ובו זמנית לא סומכים עליהם. צילום: פלי הנמר

המשתמשים בעולם משתפים מידע עם אתרים ורשתות, ובו זמנית לא סומכים עליהם. צילום: פלי הנמר

מותגי מדיה חברתית וחברות שיווק קיבלו את ההתייחסות הגרועה ביותר – 75% מהצרכנים ציינו כי הם אינם סומכים עליהם עם המידע הפרטי שלהם בכלל, כאשר רק 21% היו בטוחים כי הם יגנו על המידע שלהם בצורה אפקטיבית מפני האקרים.

מרכזי הידע העולמיים להגנת מידע ולמתקפות סייבר באחד - תלוי בשליטה במדינה ובעוינותה לאחרות. צילום: פלי הנמר

מרכזי הידע העולמיים להגנת מידע ולמתקפות סייבר באחד – תלוי בשליטה במדינה ובעוינותה לאחרות. צילום: פלי הנמר

אבל ישנם צרכנים שמתעלמים מהפחדים הללו, אם משמעות הדבר היא שהם יכולים להשתמש בשירותי חברות בחינם.

למעלה ממחציתם היו מוכנים לשתף בתאריך הלידה שלהם (53%), מצב משפחתי (51%) ותחומי עניין אישיים (50%); בפולין, 58% ישתפו את הרגלי הקניה שלהם, ומחצית מהצרכנים בערב הסעודית יהיו מוכנים לשתף את מספר הסלולארי שלהם.

יחד עם זאת, כמעט חמישית (18%) ציינו כי לא יספקו את המידע שלהם בכלל. צרכנים בריטיים באופן עקבי היו פחות מוכנים לספק את המידע שלהם לעומת מדינות אחרות ב-EMEA.

עם מתן אמון מגיעות הציפיות

בעוד שצרכנים התייחסו לבנקים כגורמים האמינים ביותר (76%), והיה להם אמון רב יותר בהם בכל הנוגע לשמירה על המידע (73%) יחסית לסקטורים אחרים, ישנו עדיין חוסר שביעות רצון בכל הקשור לשיטות בהן משתמשים הארגונים הללו על מנת להגן על המידע.

צרכנים מאמינים כי בנקים (77%), ולאחריהם מוסדות בריאות (71%) ומוסדות ציבוריים וממשלתיים (74%), צריכים להטמיע יכולות אימות טובות יותר על מנת להשיג אבטחה טובה יותר. 88% מהצרכנים משוכנעים כי ארגונים צריכים לשפר את מדיניות האימות שלהם לאבטחה טובה יותר.

מייק קונברטינו, סגן נשיא לאבטחת מידע ו-CISO ב-F5 Networks. צילום: פלי הנמר

מייק קונברטינו, סגן נשיא לאבטחת מידע ו-CISO ב-F5 Networks. צילום: פלי הנמר

"ישנם הבדלים ברורים בסוג החברות שצרכנים סומכים עליהן עם המידע שלהם", אמר מייק קונברטינו, סגן נשיא לאבטחת מידע ו-CISO ב-F5 Networks.

לדבריו, "חברות עם מיקוד מסורתי באבטחת מידע, דוגמת בנקים, נחשבות האמינות ביותר, אבל מעניין לגלות כי אנו משתפים את רוב המידע שלנו ברשתות החברתיות למרות שאנחנו הכי פחות סומכים על החברות הללו שישמרו על המידע שלנו".

קונברטינו הסביר כי "ללא קשר לתעשייה, כל ארגון שעובד ישירות עם צרכנים, צריך לוודא כי ההגנה שלו עומדת בקנה אחד עם הדרישות הגוברות של הצרכנים. ככל שאנחנו הופכים מודעים יותר לסיכונים, חשוב אפילו יותר להשיג תשתית הגנה ואבטחת מידע – טכנולוגיה, חינוך ותהליכים, אשר הינם מחמירים מספיק על מנת להגן מפני איומים, אבל אינם פוגעים בחוויית המשתמש".

הוויכוח: פרטיות או הגנה?

הרגולציות האירופאיות הכלליות להגנה על מידע, GDPR (ר"ת EU General Data Protection Regulation), אשר אושרו לאחרונה על ידי הפרלמנט האירופי, מספקות לאזרחים את הזכות להתלונן ולקבל פיצוי אם נעשה שימוש לרעה במידע שלהם בתוך האיחוד האירופי.

כאשר נשאלו מהו לדעתם שימוש לרעה, התברר כי 67% מאמינים כי מדובר בשיתוף של המידע שלהם עם צד שלישי ללא הסכמה; 71% בפולין ו-75% בבריטניה.

עם התעוררות הדיון הציבורי של אפל (Apple) וה-FBI בנוגע לפריצת סמארטפונים, 43% מהצרכנים הסכימו עם הקביעה כי ארגוני טכנולוגיה צריכים להעמיד את הביטחון הלאומי בעדיפות עליונה מעל פרטיות המשתמש, ולתת לסוכנויות ממשלתיות גישה למכשירים נעולים (31%). השיעורים היו גבוהים אפילו יותר בבריטניה (50%), אך נמוכים יותר בגרמניה (38%) וערב הסעודית (37%).

האחריות להגנה על צרכנים מפני טרור הסייבר עומדת גם היא לדיון. יותר מחמישית (21%) מהצרכנים מאמינים כי עלינו להיות אחראיים להגנה על עצמנו, בעוד ששיעור כפול מזה (43%) מרגישים כי זהו תפקידה של הממשלה במדינתם להגן על האזרחים.

התגובה הראשונה מעוררת את השאלה האם יותר צרכנים מכירים בכך שהם משחקים תפקיד חשוב בהגנה מפני איומים חיצוניים, אבל יש עדיין דרך לעבור בכל הקשור להשתתפות באחריות.

דניאל כהן, RSA: "היום קונים כלי פריצה בפייסבוק"

לדברי כהן, ראש חטיבת שירותי לוחמה בהונאות בסניף הישראלי, "הפושעים המציעים את כלי הפריצה אינם מתגוררים במדינות מתוקנות, אלא בעיקר במזרח אסיה ואמריקה הלטינית, שם רשויות החוק אינן יעילות באכיפה ובמניעת פשעי סייבר"

דניאל כהן, ראש חטיבת שירותי לוחמה בהונאות, RSA ישראל, מספר בהתלהבות מהולה בהבנה מקצוענית מעמיקה על ההונאות והפשעים ברחבי הסייבר שרק הולכים ומתרבים משנה לשנה, ומכנס RSA אחד למשנהו, ומהפצת וירוסים פשוטים הגענו עתה לאיומים ממשיים על ארגונים מסחריים וציבוריים ומדינות שלמות.

"הפושעים והרעים הם קבוצות עבריינים מאורגנות, המשתמשות בשיטות של חברות תוכנה לגיטימיות בפעילותן הפלילית", אומר כהן. "המצב האבסורדי הוא שכיום כל אחד כמעט יכול להפוך לפושע הסייבר, הוא אינו צריך ללמוד את רזי התקיפות אלא לרכוש ערכת תוכנה בלבד ולהתחיל לתקוף מטרות שיבחר. כיצד? הפושעים המקוריים, אלה שפיתחו את כלי התקיפה, מציעים את שירותיהם לכל משתמש מחשב שאין לא מעצורים ונלהב ל'גנוב' ברמה זו או אחרת".

כהן מסביר כי "במרחב הסייבר התפתח מסחר נרחב של קניית כלי פריצה חכמים להפעלה פשוטה על ידי חובבנים לחלוטין שמצליחים כך לגנוב מידע אישי כמו כרטיסי אשראי ולהציעם למכירה ועד למידע מסחרי ומדינתי. שרשרת הערך של עולם הפורצים משתכללת והולכת כשזמינות קוד הפריצה יצרה קהילת מפתחים, הפתוחה ליודעי תכנות לפתח יישומיי נוזקה ורוגלה משוכללים עוד יותר".

הכנסה טובה למפתחים "הרעים"

"כיום, הסוסים הטרויאנים משווקים ונמכרים בקהילות מפתחים במתכונת בתי תוכנה מסחריים לכל דבר, והן מציעות חבילות תמיכה ושירות ללקוחותיהן, פושעי הסייבר, כולל למשל תוכנות עזר לשליטה מרחוק על המחשב של הקורבן", אמר כהן. "הכל בתשלום נמוך יחסית לקונה, המהווה הכנסה טובה למפתחים הרעים. אז לאחר שכלי הפריצה נעשו קלים לשימוש, השלב הבא היה להקל על הרכישה".

"בזמן האחרון, מי שרוצה לפרוץ, לתקוף, לגנוב או סתם לשוטט היכן שיבחר ברשת העולמית, אינו חייב לפעול יותר ברחבי הרשת האפלה (dark net), אלא במקומות הכי מוכרים לכולם ברשת: הרי הן הרשתות החברתיות, כמו פייסבוק (Facebook) חובקת אוכלוסיית העולם וטוויטר (Twitter), גם", אמר כהן.

"קצת קשה להאמין, אך ברשת של כולנו, מוצעים למכירה חופשית לכל משלם כלי פריצה משוכללים ביותר, בעמוד הבית הפייסבוקי של מי שזהותו גלויה לחלוטין והיא והמוכר עצמו אמיתים. אם הם כה גלויים וחשופים לכאורה, כיצד לא עוצרים אותם על מסחר בכלי פריצה? נראה שקל מאוד לעשות זאת וגם מתבקש. התשובה: הפושעים המציעים את כלי הפריצה, אינם מתגוררים פיזית במדינות מתוקנות בסגנון מערב אירופה, צפון אמריקה ויפן, אלא בעיקר במזרח אסיה ואמריקה הלטינית, שם רשויות החוק אינן חזקות ויעילות באכיפה ובמניעת פשעי סייבר", מסכם כהן.

RSA מפעילה מרכז ניטור הרשת הכולל כ-120 אנליסטים בארצות הברית ובישראל (כאן רבים יוצאי יחידת 8200) הסורקים את הרשת העולמית 24/7 בעשרות רבות של שפות הגלובוס.

בוב גריפין, אוונגליסט אבטחה ב-RSA. צילום: פלי הנמר

בוב גריפין, אוונגליסט אבטחה ב-RSA. צילום: פלי הנמר

אבטחה בעידן IOT of me

בוב גריפין, ארכיטקט אבטחה ראשי ב-RSA, עבר לפני כשנתיים מארצות הברית לעבוד בציריך, במרכז המחקרים האירופים לאנליטיקה ולקריפטולוגיה. הוא מבחין בין שני תחומי אינטרנט של הדברים; הראשון הוא האישי והשני הוא התעשייתי. האישי הוא המוכר יותר בתעשיית ה-IT כי הוא עוסק במידע המשרת אותנו האנשים, כלומר המידע האישי שלנו הצמוד אלינו והנמצא במוסדות המשרתים אותנו, מסחריים כציבוריים וממשלתיים.

הסוג השני של האינטרנט של הדברים, התעשייתי, הוא האינטרנט של הדברים של המכונות – כלומר הנתונים העוברים בין מכונות לבין עצמן, דרך התווך שהוא אותה רשת האינטרנט העולמית. מה שמכונה SCADA (ר"ת supervisory control and data acquisition). גריפין מודה מיד שניטור האבטחה בעולם האינטרנט של הדברים התעשייתי קל הרבה יותר מניטורו באינטרנט של הדברים האישי.

הסיבה מובנת מיד: בתעשייתי הכל בינארי, או שהמכשיר פועל, או שאינו. כלומר העוקב אחרי המכשיר יודע בוודאות את מצבו ומטפל בו בהתאם. באישי, יש אינספור מצבים ושום מצב אינו בינארי. לכן האינטרנט של הדברים קשה יותר לניטור ובעיקר לנבא התקפות ולמנוע אותן.

למשל, למרבית בני האדם נמצאים בשתי סביבות פעילות שונות; הבית והעבודה, וכל אחת גוררת התנהגות שונה. ומיד עולה אתגר ההגנה על הפרטיות, בניטור הפעילות של העובד, מתי נגמרת סביבת העבודה ומתי חלה על הניטור הפרטיות? מכשיר הסלולר בו מרוכז כיום רוב המידע של הפרט, האישי ושל עבודתו, מגלם את שיאו של עירוב התחומים, המאתגר את עולם הגנת הסייבר. המאבק של אפל (Apple) בממשל האמריקני, בסירובה לאפשר גישה לנתונים במכשיר ה-iPhone (גם של מי שהוכרז כרוצח) הוא שיאו של המאבק על הגנת הפרטיות מול חובת הממשל להגן על נתיניו.

sharing and collaboration

העידן הקרוב לפי גריפין הוא עידן IOT of me בו יש לך מכשירים שאם לא תגן עליהם היטב, דרכם הפושעים יגיעו ליישומים שלך ובהם למידע האישי שלך. אפל מאמינה בסביבת "הגן הסגור" כדי להגן בדיוק על IOT of me.

גריפין פועל כבר 35 שנה בעולם אבטחת המידע. התובנה שלו היא שעד עתה תמצית האבטחה כולה הייתה "זרוק" טכנולוגיה ועוד טכנולוגיה, ואילו מעתה היא עלתה מדרגה ותמציתה היא "ניהול סיכונים", כי יקר מאוד להבטיח הגנה מלאה על כל מה שזז בעולם IOT of me.

חייבים לשקלל מה ערכו של כל מידע שיכול להיפרץ ולהגן בהתאם. כלומר לנהל את רשימת הסיכונים מול ערך הנזק האפשרי בעת הפריצה וכך לדעת מול מי ומה להתגונן. כך מגיעים לעידן האנליטיקה שתפעל בענן. כן האנליטיקה הדינאמית הלומדת תחליף את האנטי-וירוסים ואת חומות האש הסטטיות. והעיקר, כל מגני המידע – החל בחברות המציעות פתרונות אבטחה וכלה במשתמשים עצמם – חייבים להתחיל לשתף מידע ביניהם – sharing and collaboration – בדיוק כמו שעושים הפושעים התוקפים עצמם.

הרעים עובדים בצוותים, אז אין סיבה שטובים לא יעבדו בשת"פ, ויתעלמו משיקולי התחרות. הנזק של מתקפת סייבר גדול לאין שעור והרווח מכך – יתרון תחרותי.

צרו קשר

הנמר תמיד עונה (גם אם לפעמים זה לוקח יום-יומיים)