נושא תקנות הגנת הפרטיות הולך וגובר לצד מתקפות ההאקרים הרבים במיוחד בתקופת הקורונה. שיטות התחבולה הנפוצות: אתרים מתחזים - הם יכולים להיות כל מיני אתרים שנחזים לאתרים של הארגון שלכם, שנועדו בעצם לאגור מידע אודות לקוחות שלנו ולכן בעצם בכל גישה שלי לנתונים של האירגון שבו אני עובד אני חייב לבוא ולהקשיח את אמצעי הגישה כדי לוודא בעצם שגם אם הקימו למשל דומיין נפרד, לא יוכלו להגיע בסופו של דבר למאגרים שלי עם כל מיני סיסמאות OTP או דרכי הזדהות כאלה ואחרות. לא מעט ניסיונות שהם הולכים וגוברים של שימוש בכתובות מייל עם דומיינים לכאורה מוכרים, הפצת מיילים בתפוצה מאוד רחבה שהם בעצם מיילים של פישינג, אני מניח שגם חלקכם קיבלתם כל מיני הודעות עם פקסים שהתקבלו במשרדי עורכי דין, הוצאות כאלה ואחרות שכל המטרה שלהם בעצם זה לאפשר חדירה לאירגון. ושוב, אבטחת המידע והגנת הפרטיות בעצם שלובות פה אחת בשנייה כי חדירה למחשב שלנו יכול לאפשר בקלות, אם אין אמצעי הגנה מספיק טובים, חדירה לכל אחד מהמאגרים שהאירגון משתמש בו.
מערך הסייבר הלאומי פיתח מערכת חינמית ואפשר להוריד אותה ומאפשרת איזשהו סוג של מבדק מהיר ויעיל של רמת הגנת הסייבר. מעבר לכך יש שם כל מיני שאלונים שהם פרסמו שאפשר לשלוח לספקים שלנו, לדעת איפה אנחנו עומדים ביחס לדרישות ומה המצב שלהם ואיך איך הם מגינים על המידע שהעברתי או שהם מחזיקים עבורי וכמה המלצות ככה לקראת סיום. אז זה נושא אחד הנושא של מודעות עובדים: א' כמובן בהיבט של הדרכות והסברה וכולי, קמפיינים כאלה ואחרים, אבל מומלץ לעשות אחת לתקופה/לרבעון אם אפשר, ניסיונות פישינג. זאת אומרת לבוא ולשלוח מיילים שנחזים להיות מיילים תמימים, שבעצם מנסים לדוג מאותם עובדים או חברים בארגון מידע כדי לראות באמת שהמודעות הזאת שלנו עבדה. אני יכול להגיד לכם שכשעושים את זה בצורה התקופתית אז רואים בעצם גרף שכל פעם אחרי שעושים קמפיין או הדרכה רמת הסיכון יורדת, כמות האנשים שפתחו את המיילים או גם פתחו וגם הכניסו נתונים שביקשנו מהם הולכת ויורדת. אגב, יש היום גם לא מעט תוכנות ואפליקציות שמאפשרות לעשות את זה בצורה חכמה ובחינם. מעבר לכך זה כמובן לוודא את כל הנושא של הגנת הסייבר על הציוד של הארגון - אז בדרך כלל על השרתים על הענן וכולי כולם יודעים וכולנו מגינים, אבל לא מעט ארגונים נותנים לעובדים שלהם טאבלטים ונותנים להם אפשרות להתחבר למייל דרך הטלפון לא תמיד עושים את זה בצורה מאובטחת ובעצם אנחנו מכניסים לעצמנו פירצה לתוך האירגון שמאפשרת לאחר מכן לחדור לדאטה שלנו. מעבר לכך שבעצם כל מי שמוצא טלפון של עובד שלנו ויכול להיכנס אליו למייל או לחלק מהאפליקציות של הארגון בעצמך חשוף לנתונים שלנו וגם הנושא הזה בלא מעט ארגונים עדיין פרוץ.
כל הנושא של רישוי - גם רישוי וגם עדכונים אוטומטיים: אלף, זו חובה רגולטורית שלנו לוודא שכל תוכנה שמותקנת אצלנו מקבלת תמיכה מבחינת אבטחת מידע - זה חלק מה הדרישות הרגולטוריות, אבל מעבר לזה, אירגונים למשל שלא שידרגו את המערכות ווינדוס שלהם ונמצאים עם ווינדוס או אופיס ישנים מוצאים את עצמם פרוצים בקלות. כל האקר לא מאוד מפותח יכול למצוא בדיוק איפה הפרצות האלה ולהתחבר לנו למערכות.
כל הנושא של הגדרות פרטיות; אז אני יודע וגם כמי שמשתמש במערכות, זה נושא שמציק מאוד אבל כל הנושא של הזדהות חזקה, סיסמה קשה, לא לתת לעובדים לעשות סיסמאות שיהיו רק תאריך הלידה שלהם או השם שלהם - אפשר לקבוע את זה באקטיב דירקטורי או בכל אחת מהמערכות את כל הנושא של שינוי הסיסמה אחת לתקופה או חסימה אחרי מספר ניסיונות התחברות. לא בכל האירגונים עדיין התנו את זה, וככל שניתן וכמובן ככל שהרמה של המידע יותר רגישה, לעבור לאימות דו שלבי או רב גורמי - שוב, ביומטרי או לא באמת תלוי בארגון עצמו ובמידע שנמצא שם, אבל בהחלט נושא חשוב.
גיבויים ושחזורים - במיוחד היום בעולם הכופר ואיומים על מחיקת מידע או על חסימת מידע - הדרך הכי בטוחה היום להינצל מאירוע כזה במיוחד בארגונים קטנים שאין להם הרבה משאבים, זה לוודא שיש לנו גיבוי כמה שיותר מעודכן וכמה שיותר מלא מבחינת הנתונים שלנו, מה שיאפשר לנו, וקרה לי את זה בחברה קטנה - פשוט למחוק את כל המחשבים, לפרמט אותם ולהעלות את הכל מחדש, וככל שהגיבוי שלנו יותר חזק ויותר עדכני אז כמובן שהסיכון שלנו יותר קטן. בנוסף הצפנת מידע; אז גם בשרתים וגם במחשבים של הארגון אבל מעבר לזה יש לא מעט עובדים שנדרשים או לא נדרשים לשלוח נתונים החוצה שולחים קובץ אקסל, אפילו לפעמים מעובד אחד לעובד שני או מעובד אחד לגורם מחוץ לארגון - אקסלים וורדים PDF ים, וקורה לא מעט ואני מניח שלכל אחד מאיתנו זה קרה לפחות פעם אחת בחיים שאנחנו טועים במייל: במקום לשלוח למיכאל גילינסקי שלחו את זה למיכאל גולדברגר ומייל עם מידע שיכול להיות מידע מאוד רגיש עבר לגורם לא מורשה לאותו מידע ולא תמיד זה גורם שיהיה מספיק סימפטי ויוודא שנמחק המידע הזה, אז גם כאן המלצה מאוד חזקה זה ככל שניתן כמובן לצמצם משלוח מייל כזה, זה אבל לוודא ששולחים את הקבצים האלה בצורה מוצפנת וכמובן גם ראיתי טעויות כאלה שאת הסיסמה שולחים באותו מייל ששלחו את הקובץ המוצפן ואז בעצם לא הועילו חכמים בתקנתם. אז לוודא שהסיסמה נשלחת במדיה אחרת או לא לכל הפחות במייל נפרד.