[בתמונה למעלה: מנכ"ל קלארוטי, יניב ורדי. צילום: קרן מזור]
דו"ח חדש של חברת הסייבר קלארוטי (Claroty), המתמחה בהגנה על מערכות סייבר-פיזיות (CPS), ממחיש את ההשפעות העסקיות המשמעותיות של מתקפות סייבר על סביבות סייבר-פיזיות – ובעולם, ובישראל בפרט. אחד הממצאים הבולטים בדו"ח הוא כי יותר מרבע (27%) מהארגונים, שהשתתפו בסקר, דיווחו כי ספגו ב-2023 הפסד של מיליון דולר ומעלה כתוצאה ממתקפות סייבר על מערכות ומכשירים פיזיים המחוברים לרשת. ההפסדים הכספיים נבעו בעיקר מאובדן הכנסות, עלויות התאוששות ושעות נוספות של עובדים בעקבות הפגיעה.
הדו"ח מבוסס על סקר עצמאי גלובלי של 1,100 אנשי אבטחת מידע, הנדסת טכנולוגיה תפעולית (-Operational Technology OT(, הנדסה קלינית וביו-רפואית ומנהלי מתקנים ומפעלים, שנשאלו לגבי ההשפעות העסקיות של התקפות סייבר על הארגונים שלהם ב-12 החודשים האחרונים.
איומי כופר וסחיטה ממשיכים לשחק תפקיד מרכזי בעלויות ההתאוששות, כאשר יותר ממחצית מהמשיבים (53%) נאלצו לשלם כופר בעלות של יותר מ-500,000 דולר כדי לשחזר גישה למערכות וקבצים מוצפנים ולחדש את פעילותם. בעיה זו חמורה במיוחד במגזר הבריאות – 78% דיווחו על תשלומי כופר מעל 500,000 דולר.
להפסדים הכספיים יש קשר הדוק עם ההשפעות התפעוליות, כאשר שליש (33%) דיווחו על יום שלם או יותר של השבתה תפעולית שהשפיעה על יכולתם לייצר מוצרים או שירותים. כמחצית (49%) אמרו שתהליך ההתאוששות ארך שבוע או יותר וכמעט שליש (29%) אמרו שההתאוששות ארכה יותר מחודש.
מנכ"ל קלארוטי יניב ורדי אמר כי "התובנות מהדוח מאשרות שאי השקעה באתגר המאוד ייחודי של הגנה על מערכות סייבר-פיזיות, עלולה להוביל לפגיעה כלכלית רצינית בארגון. יחד עם זאת, ארגונים מתחילים לראות את התמורה שבהשקעה זאת".
מהיכן תיפתח הרעה?
כאשר בוחנים את הסיבות להתקפות סייבר אלה, מתגלות בארגונים חשיפות עקב פעילות ספקי צד שלישי בסביבת המערכות הסייבר-פיזיות ומהגישה מרחוק אליהן. 82% מהנשאלים אמרו שלפחות מתקפת סייבר אחת – וכמעט מחצית (45%) אמרו שחמש התקפות או יותר – ב-12 החודשים האחרונים נבעו מגישה של ספקי צד שלישי לסביבת CPS. למרות זאת, כמעט שני שלישים (63%) מודים שיש להם הבנה חלקית או שאינם מבינים כיצד לנהל את הקישוריות של צד שלישי לסביבת ה-CPS שלהם.
בעוד שהממצאים מראים כי 12 החודשים האחרונים היו משבשים ויקרים עבור רוב הארגונים התומכים ב-CPS, המשיבים שידרו ביטחון לאור שיפורים שהכניסו במטרה להפחית סיכונים לארגון. לרובם (56%) יש אמון רב יותר ביכולת מערכות הסייבר-פיזיות של הארגון שלהם לעמוד בפני התקפות סייבר היום לעומת לפני 12 חודשים, ו -72% מצפים לראות שיפורים באבטחה ב -12 החודשים הקרובים.
ומה המצב בישראל?
הסקר של קלארוטי כלל גם את ישראל, בקרב מהנדסי טכנולוגיה תפעולית (OT), מנהלי תפעול ומנהלי מפעלי ייצור בתעשיות הרכב והבריאות. לשאלה האם ארגונם הותקף במהלך 12 החודשים האחרונים ולאלו מערכות כוונו התקיפות, ענו כי ספגו תקיפות שפגעו במערכות סייבר-פיזיות, מערכות IT, מערכות IoT, מערכות IoMT (מערכות רפואיות המחוברות לאינטרנט) ומערכות ניהול מבנים (BMS). מתקפות אלו גרמו להשבתה של 12-24 שעות בפעילות הארגון/המפעל.
עלות המתקפות על מערכות הארגון מוערכת על פי מחצית מהמשיבים בישראל בסכום של בין 100-500 אלף דולר, כאשר המחצית השנייה של המשיבים העריכו את גובה הסכום בחצי מיליון עד מיליון דולרים. משך ההתאוששות מההתקפה, שכלל פעולות שחזור, גיבוי, החלת אמצעי מניעה וכד', היה עד שישה ימים , על פי כל המשיבים לסקר.
הגישה לסביבת הארגון של ספק או שותף צד שלישי, הייתה לפי כל משיבי הסקר, הגורם המוביל ב 1-5 מתקפות סייבר שחוו במהלך 12 החודשים האחרונים. בעקבות זאת, מחצית מהמשיבים אמרו כי הקשרים העסקיים הופסקו ומחצית אמרו כי חודשו פרוטוקולי האבטחה מולם.
כאשר ההתקפה נגרמה בשל גורם פנים-ארגוני, אמרו המשיבים כי ב-1-5 מתקפות, הושפעו מכך גם ספקי צד שלישי ולקוחות הארגון. במקרים אלו, אמרו מחצית מהמשיבים כי האירוע גרם למו"מ מחודש על תמחור ותנאי עבודה. מחצית דיווחו כי שונו פרוטוקולי אבטחה גם במקרה זה.
בהיבט ההשפעות התפעוליות של התקפות הסייבר על הארגון, ענו המשיבים כי כמעט ברוב האירועים הופסקה אספקת המוצרים ללקוחות. השפעות נוספות על התפעול השוטף שעלו בסקר – הפסד כלכלי, איבוד קניין רוחני (IP), פגיעה במוניטין, שינויי כוח אדם, שיבושים בטיפול בחולים (במגזר הבריאות).
לשאלה – אילו יכולות האבטחה היו חסרות בתוכנית אבטחת הסייבר של הארגון, אשר יכלו להפחית את היקף ההשפעה, צוינה בעיקר יכולת אבטחת הגישה מרחוק למערכות ותשתיות הארגון. שאר יכולות האבטחה שצוינו כחסרות הן – ניהול פגיעויות, ניהול חשיפה, סגמנטציה ברשת, ניהול זהות וגישה.
למרות נתונים לא מעודדים אלה, מרבית המשיבים סברו שארגונם פעל לשיפור המצב וננקטו הפעולות הדרושות כדי להפחית את הסיכונים וההשלכות על תפעול הארגון ועל הנזק הכלכלי שגרמו התקפות הסייבר.
