אבטחת מידע בעולם של זהויות נזילות
- binyxisrael
- 8 בפבר׳
- זמן קריאה 3 דקות
למה זליגת מידע קורית דווקא כשאנחנו “רק עובדים כרגיל”
רוב האנשים מדמיינים זליגת מידע כמו סצנה דרמטית: פריצה, האקר, מסך מהבהב, מישהו ש“גנב”. אבל במציאות של היום, הרבה זליגות לא נראות כמו פשע. הן נראות כמו נוחות, שיתוף, עזרה, ו“רק רגע לסיים את זה”.
וזה בדיוק לב העניין של אבטחת מידע התנהגותית:
הבעיה המרכזית אינה רק הטכנולוגיה, אלא איך אנחנו מתנהגים כשהחיים רצים.
בעולם של “זהויות נזילות”, הזהות שלך כבר לא נקודה אחת. היא רשת: טלפון שנשאר מחובר, דפדפן שמזכיר סיסמאות, אפליקציות עם הרשאות, קישורים למסמכים בענן, קבוצות שיחה, ותהליכים אוטומטיים שפועלים “בשקט”.
וכשהזהות היא רשת — גם הזליגה היא רשתית: היא מתרחשת דרך הרבה פתחים קטנים, לא דרך דלת אחת גדולה.
1) זהויות נזילות: מה זה אומר בשפה פשוטה
בעבר, “להיות אתה” ברשת היה בערך: סיסמה נכונה = אתה.
היום “להיות אתה” יכול להיות גם:
מכשיר שנשאר מחובר לחשבון שלך בלי לבקש שוב סיסמה
אפליקציה שקיבלה הרשאה וממשיכה לפעול ברקע
קישור למסמך שנשלח לפני חודש ועדיין עובד
משתמש שקיבל גישה בעבודה ונשאר עם הגישה גם אחרי שהפרויקט נגמר
חשבון שמחובר לשירותים אחרים, כך שכניסה אחת גוררת כניסות נוספות
כלומר, הזהות כבר לא יושבת במקום אחד. היא מתפזרת. וזה יוצר מצב חדש:
אפשר להיפגע גם בלי “פריצה ישירה”, רק בגלל התנהגות רגילה.
2) ההרשאות: המפתח שהיה פעם “אזוטרי”, והיום הוא המרכז
הרשאה היא תשובה לשאלה: מה מותר לעשות.
לצפות? לערוך? למחוק? להוריד? לשתף הלאה? להזמין עוד אנשים? לשנות הגדרות?
כאן מתרחשת זליגה קלאסית:
אנחנו נותנים הרשאות מהר מדי, מתוך רצון לסיים, להיות יעילים, “לעזור”, או לא להסתבך.
דוגמאות יומיומיות:
“נתתי לו עריכה, שלא יתקע” (כשרק צפייה הייתה מספיקה)
“שיתפתי את כל התיקייה, יותר פשוט” (כשרק קובץ אחד היה צריך)
“כל מי שיש לו קישור יכול לצפות” (כי זה נוח, אבל זה גם נודד)
כל הרשאה היא מפתח. ואם נתת מפתח גדול מדי — יצרת זליגה בלי כוונה.
3) נתת הרשאה לאדם אמין, ואז המכשיר שלו נעלם
זה אחד הסיכונים הכי לא אינטואיטיביים, ולכן הכי נפוצים.
אתה משתף מסמך/תיקייה/מערכת עם אדם שאתה סומך עליו.
הוא נכנס בטלפון שלו, מסמן “להישאר מחובר”, וממשיך הלאה בחיים.
כעבור שבוע — הטלפון שלו נאבד, נגנב, נמסר לתיקון, או עבר לידיים אחרות.
כאן קורה הדבר החשוב:
ההרשאה שלך לא “יושבת” רק על האדם. היא יושבת גם על המכשירים שלו.
ואז הזליגה יכולה לקרות בלי רוע בכלל:
המכשיר פתוח בלי נעילה טובה
החשבון נשאר מחובר
המסמכים זמינים
ומידע שהיה אמור להיות אצל אדם אחד, פתאום נגיש למישהו אחר
זה בדיוק אבטחת מידע התנהגותית: להבין שהסיכון אינו תמיד כוונה רעה, אלא מציאות אנושית.
4) זליגה דרך העתקות קטנות, לא דרך “גניבה”
יש זליגה שהיא לא הרשאות בכלל. היא פשוט “שכפול”:
הורדה למחשב פרטי
צילום מסך
שליחה לעצמי בהודעה “רק שלא אשכח”
העברה לקבוצת עבודה
העתקה לצ’אט כדי “לנסח יפה”
הדפסה שנשארת במדפסת
גיבוי אוטומטי לשירות אחר
כל פעולה כזו נראית קטנה. אבל כל אחת היא “עוד תחנה” שבה המידע יכול לצאת משליטה.
כך מידע “מתפזר” — ואז גם אם כולם אנשים טובים, קשה מאוד להחזיר את הגלגל אחורה.
5) למה זה מחייב להיות קצת מעורים במה שקורה בעולם
כי העולם יוצר לנו “דלתות צדדיות” שלא היינו מעלים בדעתנו.
דוגמה עקרונית שממחישה את החשיבה: היו דיווחים על מצבים שבהם קוד הזדהות עלול להגיע גם בערוץ שאנשים לא מחשיבים חלק מהאבטחה (כמו אבטחת תא קולי), ואז להישמר במקום שאף אחד לא חושב לבדוק.
הנקודה אינה הפרט הטכני — הנקודה היא העיקרון:
התקפות מצליחות כשהן מנצלות משהו שנמצא מחוץ לקו החשיבה הרגיל שלנו.
וזה מתחבר לזליגת מידע: אם מישהו מצליח להיראות “אתה” לרגע, הוא יכול לגרום לעוד אנשים לשתף איתו מידע, לשלוח מסמכים, לתת הרשאות, או לאמת “רק רגע”. כך זליגה מתפשטת דרך אמון אנושי.
6) ארבעה מנועים התנהגותיים שמייצרים זליגה
דחיפות – “תן לי עכשיו, אין זמן”
נחמדות – “לא נעים לי לסרב/לשאול”
עייפות – “יאללה, אישור, נמשיך”
ביטחון עצמי מופרז – “אני יודע לזהות, זה בטוח”
אבטחת מידע התנהגותית לא מאשימה. היא פשוט אומרת: אלה המצבים שבהם אנחנו צריכים “מעקה”.
7) שלושה כללים פשוטים שמונעים את רוב הזליגות
כלל 1: מינימום הרשאה
צריך צפייה? לא נותנים עריכה. צריך קובץ אחד? לא נותנים תיקייה.
כלל 2: מינימום זמן
הרשאה בלי סוף נוטה להישכח. לכן קובעים הרגל: “בסוף פרויקט — מבטלים”.
כלל 3: מינימום העתקות
לפני צילום/שליחה/העתקה: “האם אני מוכן שזה יגיע הלאה?” אם לא — בוחרים דרך אחרת.
8) טקס 10 השניות נגד זליגה
לפני שיתוף/הרשאה/שליחת מסמך רגיש — עוצרים ושואלים:
למי אני נותן?
מה בדיוק הוא יכול לעשות?
לכמה זמן?
אם אין תשובה ברורה — לא מאשרים “על אוטומט”.
סיום
בעולם של זהויות נזילות, זליגת מידע היא לא אירוע חד־פעמי — היא תוצאה של שגרה מהירה.
מי שמבין אבטחת מידע התנהגותית לא חי בפחד. הוא פשוט בונה הרגלים קטנים שמחזירים שליטה: הרשאות מדויקות, פחות העתקות, ביטול גישות בזמן, ועצירה קצרה לפני פעולה רגישה.
תגובות