הרבה מילים נכתבו ויכתבו על ענת קם שהדליפה מסמכים מלשכת הרמטכל אלוף פקוד מרכז.
אני רוצה לכתוב קצת על ההיבט האבטחתי של הפרשה.
אני אהיה בוטה ואומר שלדעתי ברגע שסומכים על מישהו שיעבוד בסביבה בה יש מידע רגיש, אין אפשרות למנוע ממנו ב100% להדליף החוצה.
יש אין סוף דרכים שאדם עם גישה למידע יכול להדליף אותו, ונסיון ליצור סביבה הרמטית שממנה לא יכול לדלוף מידע הוא נסיון עקר שנועד להכשל.
אז מה כן אפשר לעשות?
סיווג בטחוני של העובדים במתקנים רגישים, ובדיקות ביטחון שוטפות כחלק מהשגרה.
מידור גם הוא חשוב מאוד כדי למנוע מאנשים גישה מיותרת למידע רגיש, כי כאמור ברגע שהם נחשפו למידע הרגיש הם יכולים להדליף אותו.
השאלה היא האם ענת קם היתה צריכה גישה למידע, והתשובה היא שזה לא ברור.
לכאורה אין ספק שפקידה לא צריכה גישה לכל המידע, אבל יתכן מאוד שהיא עצמה הקלידה חלקים ממנו או שהיא שלחה אותו לכל מני גורמים בהוראת אלוף הפיקוד, ואז בהגדרה היא צריכה גישה כלשהי.
אפשר לטעון מהיום ועד מחרתיים שהיא היתה צריכה להיות ממודרת, שהמסמכים היו צריכים להיות מוצפנים וכו' וכו', ואולי אפילו זה המצב לגבי רוב החומר הרגיש, אבל יש מקרים לגיטימיים שבהם פקידה בלשכת האלוף תחשף לחומרים רגישים.
ואם לא היא, אז מישהו אחר.
ומה אם אלוף הפיקוד בעצמו ידליף מידע?
"מה, אתה טיפש? ברור שהוא לא ידליף", אני שומע אותכם אומרים.
ואתם צודקים, אנחנו סומכים עליו שהוא לא ידליף, וזה העניין.
אלוף הפיקוד סומך על הפקידות שלו, אחרת הוא לא יכול היה לעבוד.
ענת קם הפרה את האמון שניתן בה, התקלה היא שהיא הגיעה למקום שהיא הגיעה אליו ולא שהיא הצליחה להדליף מידע משם.
אבטחת מידע רגיש נגד מדליפים
Facebook Comments
פחחחחחח. זה היה מלשכת אלוף הפיקוד ולא מלשכת הרמטכל.
פחח אינדיד, אבל לא רלוונטי למהות הפוסט.
תיקנתי, תודה.
צודק, אבל בהתחשב בכמות העצומה של המידע שהיא לקחה, היה ניתן לעלות על זה אם היו משלבים אמצעים בסיסים.
צביקה, נכון.
מצד שני היא לא בדיוק מרגלת מתוחכמת.
המידע היה פשוט זמין לה.
נכון שאפשר היה לגלות את זה, אבל כנראה אף אחד לא טרח להתגונן מפני דבר כזה.
כמו שאמרתי, ברגע שאתה סומך על האנשים אתה סומך עליהם (סתם למשל – מה קורה מסתנן "מרגל" ליחידה שאחראית על אבטחת המידע הלשכה? אתה עדיין חושב שאמצעים בסיסיים היו עולים עליו?)
ארגון כמו צבא לא יכול לסמוך על אנשים בנושאים כאלו. אתה יכול לסמוך על החברים שלך אבל ארגון שמעסיק עשרות אלפי אנשים צריך מנגנונים שיתיעו לו על פעולות חריגות.
איסוף מאות מסמכים סודיים בתיקה היה צריך להקפיץ התראה, צריבת המסמכים הללו לדיסק היתה צריכה להקפיץ התראה.
מה שהפרשה הזאת מאפשרת היא להחליק לכל האשמים בפרשה בצבא, כי יותר מכך שהיא גנבה הם פשוט התרשלו באופן חמור בשמירה על הסודות, העובדה שאנחנו לא שומעים על עריפת הראשים בצבא די מטרידה.
דב,
אין לך ברירה אלא לסמוך על האנשים.
אני לא טוען שאין מקום למערכות tripwire שיתריעו על התנהגות מוזרה של משתמשים, אלא שאסור לחשוב שהן יספקו פתרון הרמטי.
מרגל נחוש (ונבון) יכול לעקוף בקלות מערכות כאלו.
למשל:
1. לקחת רק מסמכים רגישים באמת ולא להעתיק את כל הספריה של המסמכים.
2. לצלם מסך עם מצלמה (סלולרית אפילו).
3. להדפיס מסמך רגיש בשני עותקים (אחד לאלוף ואחד לאוסף).
וכו'.
ואיפה לדעתך נמצאים כל המסמכים הרגישים אם לא בתיקיה?
אין לי ספק שאפשר לשפר את מצב אבטחת המידע בצבא, אבל אין פתרון טכנולוגי מושלם לבעיה הזו, וזו הטענה שלי.
פתרון אמיתי חייב לכלול ביקורות שוטפות וסיווג ביטחוני של כל מי שיכול לגשת למידע רגיש.
על ענת קם עלו בגלל שהיא העבירה את המסמכים לעיתונאיים ולאחר שראו אותם שיחזרו, כנראה, מהיכן הגיע המסמך.
מכיוון שהאבטחה בצבא כל כך מופקרת, יכול להיות שיש עוד כמה (שלו לומר עשרות) ענת קם שאספו מסמכים ובעצם אף אחד לא יודע.
בעצם כדאי לצבא לפעול מתוך הנחה שלאור ההפקרות כל המסמכים שלו חשופים.
האם אתה לא חושב שצריך שינוי בתפיסה על מנת שזה לא יהיה המצב.
דב, ברור לגמרי שהסיפור של ענת קם הוא קריאת השקמה לכמה גורמים שנרדמו בצבא, וברור שמסקנות יוסקו לגבי נהלים של אבטחת מידע.
הבעיה היא שכמו תמיד צה"ל מסיק מסקנות שמונעים מהתקלה הקודמת לקרות שוב (או במילים אחרות, צהל מתכונן תמיד למלחמה הקודמת).
אני לא יודע אם צה"ל צריך להניח שכל סודותיו נחשפו, להנחה כזו יש מחיר כבד מאוד שלא בטוח שצה"ל יכול לעמוד בו, ובכל מקרה זה נראה לי כמו תגובה קיצונית מדי.
העונש החמור שקם קיבלה יפתור את הבעיה