אפשר היה למנוע את הפירצה ב SolarWinds

עינת מירון, מומחית Cyber Resilience להערכות והתמודדות עם אירועי סייבר בהיבטים העסקיים בתגובה לפירצה בסולארווינדס
איאן תורנטון טראמפ, יועץ IT, התריע בפני הנהלת SolarWinds כבר בשנת 2017 על מספר סיכוני אבטחת מידע וסייבר ואף הציע למנהלי החברה למנות מנהל בכיר שיהיה אחראי לנושא. תורנטון סקר את הסיכונים במצגת של 23 שקפים וכחודש לאחר מכן, הודיע על פרישתו מהחברה. הוא נימק את החלטתו ב'ההנהלה לא מעוניינת לבצע שינויים".

התוספת המדהימה הזו פורסמה השבוע בבלומברג שאף ציינו כי צפו במצגת עצמה.

כידוע, SolarWinds היא חברת תוכנה ענקית, ותיקה (1999) ומבוססת עם הכנסות של מעל 930 מיליון דולר המספקת פתרונות תוכנה לניטור למעל 33,000 לקוחות ברחבי העולם. עוד ידוע כי הפירצה במוצר שלה הובילה לפגיעה במאות ואלפים של חברות ברחבי העולם מגופי ממשל פדרליים ועד לחברות יצרניות.

עינת מירון, מומחית Cyber Resilience להערכות והתמודדות עם אירועי סייבר בהיבטים העסקיים: "אני לא מופתעת מהאמירה של תורנטון. כששמעתי על כמה מהשמות הישראלים שהוזכרו בשבועות האחרונים כמי שניזוקו ממתקפות סייבר יכולתי בקלות לשחזר כמה שיחות עם מנהלים בהן שכבר פגשתי בשנים האחרונות וחלקם, הגם שהיו מאוד מנומסים, גילגלו אותי מהמדרגות עם שלל תירוצים מ"הכל אצלנו בסדר" ועד ל"זה לא העיתוי לטפל בזה. כמו תמיד, הכתובת על הקיר וזה לא משנה אם מדובר בסולארווינדס או כל חברה אחרת - למנהלים פשוט לא אכפת מאבטחת מידע!

"חשוב להבין, בכל מקרה של מתקפת סייבר, תמיד, אבל תמיד, יתברר שאפילו צעדים קטנים של אחריות ומעורבות בלבד, מצידה של ההנהלה היו מצמצמים את החשיפה לסיכון ואפילו לעיתים מונעים אותו.

"בכל ארגון שהותקף ניתן למצוא עשרות של מערכות הגנה טכנולוגיות ועדיין, כאמור, המתקפה מצליחה. המשק כולו, ואגב, זו לא רק בעיה מקומית שלנו, משתמש בתפיסות הגנה שכבר מזמן לא רלוונטיות ולא עומדות בקצב של התוקפים.

"מנהלים וחברי דירקטוריון חייבים, וזה כבר לא עניין של אפשרות או שילוב עתידי בתוכנית העבודה, לעצור הכל ולהתחיל כבר עכשיו לשאול שאלות ברורות ולהתייעץ במי שמומחים באמת בסיכוני סייבר עסקיים ולא רק טכנולוגיים, כדי לחסוך לעצמם ולנו, הציבור, את הסיכון ממתקפת סייבר עליהם".