להרגיש בטוח

ערן שחם

ערן, להרבה מאיתנו המושג "אבטחת מידע" מזכיר סרטים עם האקרים גאונים ואנשי ממשלה שיודעים להתמודד אתם, האם התחום באמת נראה כך?
לא, הדימוי הטלוויזיוני של "ילד מחשבים" בן 12 עם מבט רעב בעיניים ומקלדת בין השיניים הוא בדרך כלל לא נכון. אנשי מחשבים עוברים תהליך ארוך של הכשרה לפני שהם בונים מתודולוגיה מוסדרת של תקיפה ממוחשבת. יש צורך במחקר רב ואיסוף מידע על הרשת המותקפת, לפני שמתחילים לבצע תהליך של תקיפה בפועל.

לאחרונה אנחנו שומעים הרבה על "לוחמת סייבר", למה הכוונה? מה זה אומר?
לפני פרק זמן קצר שוחחתי עם קולגה שתיאר את ההבדל בין המושג "אבטחת מידע" ל"סייבר" כהבדל שבין אומלט לביצה, במילים אחרות: המושג "סייבר" הוא שם חדש שאמור לייצר באזז לתחום שגם ככה קיים כבר שנים.

זה נכון שבתקופה אחרונה קראנו הרבה על עליה בתחכום של כלי התקיפה, שהפכו מכלי תקיפה פשוטים שמפותחים על ידי יחידים לכלי תקיפה מתוחכמים במיוחד שמאחוריהם עומדים צוותי תקיפה מנוסים. התפקיד של הצד ההגנתי בלוחמה זו, הוא להשתמש בכל האמצעים העומדים לזכותו במגבלת תקציב נתון כדי למגן את הרשת מהמתקפות האלו. לא תמיד זה אפשרי. לפעמים האסטרטגיה היא יצירת רף הגנה גבוה מאוד, שיכול להפיל פורצים פוטנציאליים עם כישורים נמוכים יותר.

שוחחתי עם קולגה שתיאר את ההבדל בין המושג "אבטחת מידע" ל"סייבר" כהבדל שבין אומלט לביצה, במילים אחרות: המושג "סייבר" הוא שם חדש שאמור לייצר באזז לתחום שגם ככה קיים כבר שנים

האם מומחי אבטחת המידע בארגונים היום, עוברים סוג של הכשרה כזו?
מומחי אבטחת מידע בארגונים בדרך כלל עוברים תהליכים של הכשרה בצד ההגנתי. אם בעבר היה מקצוע שכונה בזלזול "מנהל רשתות ואבטחת מידע", היום יודעים בוודאות שה –"ו" (ו' החיבור) הזה לא קיים. הכשרה באבטחת מידע היא הכשרה שלמה, ארוכה וכוללת ידע מקיף מרמת התחנה והשרת, אל ציוד התקשורת ואל הפתרונות הטכנולוגיים המתקדמים של ציוד אבטחת המידע. חשוב להבין שאבטחת מידע בונים בשכבות, ומכיון שכל שכבה יכולה להיות הצלע החלשה ביותר במבנה אבטחתי, על איש האבטחה נופלת החובה להכיר את פתרונות האבטחה ברמה כוללת, בכל השכבות. אנחנו קוראים בעיתונים על פריצות למחשבים.

בסופו של דבר קבוצה של תוקפים עם תקציב מספיק גבוה ומוטיבציה גבוהה, יכולים להגיע כמעט לכל רשת. כשמדברים על לחימה מסוג כל שהוא, מדברים גם על "תורת לחימה" שמאפשרת להתגונן 

כיצד בטכניון לימודי המשך מכשירים את הלומדים להתמודד עם מקרים כאלו?
בשנים האחרונות מכשיר הטכניון צוותים וכמות גדולה מאוד של תלמידים לעולם אבטחת המידע הטכנולוגי והניהולי, מתוך צורך של שוק העבודה. כאיש אבטחת מידע טכנולוגי, הלומד מקבל ראיה כוללת של פתרונות אבטחה בעולמות מייקרוסופט, לינוקס, סיסקו וצ'ק פוינט. הבוגרים נקלטים לחברות אינטגרציה וארגונים גדולים כחלק מצוות אבטחת מידע מיד עם סיום הקורס. אנחנו נמצאים בקשר שוטף עם עשרות כאלה.

תעודת CISO שמעניק הטכניון לתפקיד מנהל אבטחת מידע הפכה בארץ לתקן דה פאקטו של מנהלי אבטחת מידע בארגונים הבכירים במדינת ישראל

בעולם אבטחת המידע הניהולי הלומד מבין את הפזל של עולם אבטחת המידע ויודע לנהל ברמה אסטרטגית את מדיניות אבטחת המידע ולחבר אותה אל הצרכים העסקיים של הארגון. התלמידים שלנו נחשפים לתחומי ידע כמו רגולציה, סקרי סיכונים, ניהול תקציב וניהול צוות אבטחת מידע. הקורס מקשר בין התיאוריה למגוון רחב של תרחישים בשטח וכולל גם הכנה לבחינות ההסמכה הבינלאומיות CISSP ו-CISM.

הכשרה באבטחת מידע היא הכשרה שלמה, ארוכה וכוללת ידע מקיף מרמת התחנה והשרת, אל ציוד התקשורת ואל הפתרונות הטכנולוגיים המתקדמים של ציוד אבטחת המידע

מכיון שתעודת CISO שמעניק הטכניון לתפקיד מנהל אבטחת מידע ניהולי אינה הסמכה בינלאומית אלא הסמכה טכניונית, היא הפכה בארץ לתקן דה פאקטו של מנהלי אבטחת מידע בארגונים הבכירים במדינת ישראל.

למי מתאים ללמוד את הצד הניהולי ולמי מתאים ללמוד את הצד הטכנולוגי של אבטחת המידע?
איש אבטחת מידע טכנולוגי יכול להיות חייל משוחרר שמתעניין במקצוע נדרש בעולם ההיי-טק ואפילו מנהלי רשתות ואנשי תקשורת מחשבים שמעוניינים לגשת להסמכות בינלאומיות יוקרתיות יכולים להצטרף ללימודים.

אנשי אבטחת מידע ניהוליים יכולים להגיע מתפקידים שונים מתוך הארגונים, גם ללא קשר לעולם אבטחת המידע וללא ידע קודם בתחום ולשם כך הם עוברים מכינה מיוחדת המקנה להם מושגים בעולם הטכנולוגי. הניסיון העסקי שהם כבר רכשו עומד לטובתם וקל להם יותר ללמוד איך לחבר את מדיניות אבטחת המידע לטובת הארגון. קהל היעד כאן הוא בדרך כלל אנשים מנוסים יותר, אך בסיטואציות מסוימות אנחנו מאפשרים לבוגרי התכנית הראשונה, (הטכנולוגית) לשדרג את יכולותיהם אל הפן הניהולי ולהפיק את המרב משני העולמות.

איש אבטחת מידע טכנולוגי יכול להיות חייל משוחרר שמתעניין במקצוע נדרש בעולם ההיי-טק ואפילו מנהלי רשתות ואנשי תקשורת מחשבים שמעוניינים לגשת להסמכות בינלאומיות יוקרתיות יכולים להצטרף ללימודים

ערן, האם יש צורך ברקע מוקדם במחשבים כדי ללמוד את נושא אבטחת המידע בטכניון לימודי המשך?
זו טעות נפוצה לחשוב שעל מנת להיכנס לתפקיד איש אבטחת מידע טכנולוגי אתה אמור להגיע עם רקע קודם. המכינה בתחילת הקורס מאפשרת רכישת ידע בסיסי עבור אותם חסרי ידע מוקדם. מנסיוני כמרצה בעל ותק של 20 שנה אני יכול לספר שנוח לי הרבה יותר עם אנשים שמגיעים כטאבולה ראסה ואליהם אני יוצק את הידע בדרך שלי, מאשר אנשים שמגיעים מהתחום ולהם צריך לעקור מן השורש אמונות תפלות והרגלים רעים.