האיום האמיתי
אתמול (ג') בשעה 14:00 נשמעה צפירת אזעקה ברחבי גוש דן, במסגרת התרגיל הגדול שערך פיקוד העורף. בשעה זו בדיוק עשו את צעדיהם האורחים הרבים שהוזמנו לכנס בנושא טרור קיברנטי (סייבר טרור), שאמור היה להתחיל בשעה זו במלון דן בתל אביב. בהתאם להוראות שפורסמו קודם לכן בכלי התקשורת, תושבי העיר הגדולה, כמו גם האורחים שעשו את דרכם למלון ברחוב הירקון, המשיכו בעיסוקיהם כרגיל, וזרמו אל תוך אולם הכנסים כדי לעשות את הדבר המרכזי שלשמו באים אנשים מכל מיני מקומות בעולם לכל מיני כנסים: נטוורקינג.
את ניסים בר-אל, נשיא ויו"ר קומסק שיזם את הכנס יחד עם ICC – גוף לשכות המסחר הבינלאומי, הטרידו לעומת זאת כמה שאלות יותר פרקטיות, כמו האם תהיה שביתה הבוקר ומה יהיה גורל האורחים שהגיעו לכנס מחו"ל, ביניהם הבכיר שבהם - מרקוס ולנברג, נכדו של חסיד אומות העולם, ראול ולנברג, איש עסקים מצליח באירופה ויו"ר ה-ICC העולמית - האם הם יצטרכו להישאר בישראל? האם יצליחו לחזור הביתה?
הכנס, כאמור, דן בנושא שיותר ויותר מדברים עליו באחרונה – טרור קיברנטי. עבור אורחי הכנס - תמהיל נדיר למדי של אנשי עסקים, מנהלי בנקים ואנשי אבטחה, האיום האמיתי על העולם ועל ישראל במיוחד, אינו האיום התשתיתי-פיסי, אלא דווקא זה הקיברנטי. אפרים הלוי, לשעבר ראש המוסד ויו"ר המועצה לביטחון לאומי, הסביר באנגלית רהוטה לטובת האורחים הזרים, כי הסייבר טרור עדיין לא נתפס כאיום אסטרטגי, אבל עם קצת דמיון, הוא יכול לגרום נזקים, להשבית מערכות ולהשחית עסקים ללא כל מאמץ מיוחד. קחו, למשל, את הדוגמה הקיצונית ביותר: אנשי אל-קעידה מצליחים לפגוע בשרתי השורש של האינטרנט ולהפיל אותם לחמש שעות, יממה, שבוע - כל פרק זמן שתרצו. בנקודת הזמן של היום, יש מעט מאוד אנשים שיגידו, "זה לא יכול להיות". הרי גם ב-11 בספטמבר של 2001, שעה לפני הפיגוע המחריד בתאומים, איש לא האמין כיצד תיראה אמריקה - ואיתה כל העולם – 60 דקות מאוחר יותר.
במאבק בטרור הקיברנטי החוקים משתנים. כפי שהלוי הסביר זאת, כאן אין גבולות והמוטיבציה של תוקפי הרשת אינה נובעת משטחים - היא נועדה לגרום נזקים ולהשמיד תשתיות לאומיות שמבוססות על רשת האינטרנט, ואין כמעט תשתית שאינה כזו. לכן, אמר, תפיסת העולם של העברת המאבק אל שטח האויב היא בעייתית קצת. כאן, רוב המאמצים מתמקד בהגנה על הנכסים הלאומיים, אתרי הממשלה, התשתיות שאחראיות על פעילות תקינה של תקשורת, מים וחשמל. אך מה קורה כאשר התשתיות הללו מופרטות? אלו דוגמאות לסוג השאלות שנותרו עוד פתוחות, בעיקר כי ממשלות רבות עוד לא הפנימו את האיום לעומקו. וגם אם הפנימו, עדיין ברור לכל שממשלה שהיא לא יכולה להגן על כל אזרח ועל כל עסק.
ב-2002 העבירה ממשלת ישראל חוק שהסדיר את כל נושא הטיפול בתשתיות הלאומיות, בעקבות המלצות של המועצה לביטחון לאומי, אז עוד בראשותו של אפרים הלוי. בעקבות זאת, הוקמה רשות שפועלת במסגרת משרד ראש הממשלה, ומרבית פעילותה חסויה מעיני הציבור. אבל זה לא מספיק. כאן מגיעה התובנה השנייה מהכנס החשוב שנערך אתמול: גם אם נניח שהממשלה הצליחה להסדיר פחות או יותר את הטיפול בתשתיות שבאחריותה - ושתי שנות אינתיפאדה, מלחמת לבנון ועוד אירועים שונים הוכיחו כי בסך הכל מצבנו לא רע - עדיין נותרה הבעיה המרכזית והיא הסקטור העסקי. בנקודה זו התעכב ארוכות בר-אל מקומסק, שגם מחזיק בתואר הלא רשמי "מר אבטחה הישראלי" (ובצדק); בר-אל, שיושב בוועדות הרלבנטיות של ICC לנושא האבטחה ומייעץ לגורמים ממלכתיים בישראל ובעולם, לא רגוע בכלל ממה שקורה בסקטור העסקי. לכאורה, מוסכם על כולם שהסקטור לא יוכל להיות כפוף למשרד רוה"מ בכל הקשור לניהול רשתות האינטרנט שלו ושאר התשתיות, אבל זה לא עובר במדינה דמקורטית. מצד שני, מסביר בר-אל, לא צריך התקפה של אל-קעידה על שרתי שורש מרכזיים, כדי לגרום לתוהו ובוהו במדינה כולה. מספיק אם נדמיין, מבלי לכוון יותר מדי את דמיונם של אלו שזה תפקידם, שמערכת האינטרנט בבנק אחד או שניים תיפול - ומחבלי הסייבר הצליחו במשימתם. הסקרים הכי אופטימיים אומרים שבנק ממוצע יכול להמשיך לעבוד ללא מחשבים ואינטרנט שבוע ימים במקסימום. מישהו יכול לתאר לעצמו בנק או שניים שמפסיקים לעבוד? ומה קורה לבורסה, לרשתות המזון הגדולות, למגזר הבריאות, ומה עם מרכז הבקרה על הרמזורים בעיר גדולה כמו תל אביב, שלא ערוך בכלל לתקלות חמורות ובלתי צפויות?
כל השאלות האלו עדיין פתוחות, פשוט כי הממשלה אינה רוצה ואינה יכולה להתערב בניהול המגזר העסקי, והמגזר העסקי לא ממש עירני לנושא. בר-אל מדבר על התסריטים האלו לא מהיום ולא משלשום. פרוטוקולים שלמים של ועדות בכנסת מלאים בדברים דומים שאמר לפני שלוש, ארבע וחמש שנים. אף אחד לא חולק על האיום.
הפתרון הוא הרבה יותר מסובך, אבל הוא כנראה צריך להיות בכיוון שבר-אל כיוון אליו אמש: המגזר העסקי יתחיל לרכז מידע על פי תחומים שונים שהוא פועל בהם (בנקאות, קמעונאות, תחבורה וכו'). המידע יגיע ממחלקות ה-IT, שיציפו למעלה את כל הבעיות שמשותפות לאבטחת התשתיות של אותם מגזרים. ברמה העליונה, ראשי המגזרים האלו יחליפו מידע עד כמה שזה ניתן ולא פוגע ברמה העסקית, ואת הפתרונות יגבשו ביחד עם רשות לאומית-אזרחית, שלא תהיה רגולטור במובן האכיפה והענישה, אלא גוף מכוון שיסייע לאותם מגזרים להגן על עצמם טוב יותר.
השורה התחתונה, על פי בר-אל, צריכה להיות תיאום מלא בין המגזר העסקי לממשלתי. ההפרדה הקיימת כיום, לדעתו, היא מלאכותית ונובעת מסיבות אחרות, אבל בעת התקפת טרור קיברנטית - ולא משנה מה גודלה והיקפה - המגזר העסקי והממשלתי חייבים להיות אחידים ומתואמים.
באולם הקטן במלון דן לא נמצאו כאלו שהתנגדו למטווה של התוכנית של בר-אל ואפשר לסמוך עליו שגיבה אותה בניירות עבודה מתאימים. השאלה הגדולה היא מי ייקח על עצמו לבצע אותה ומתי, שכן חלון הזמן, גם בטרור הקיברנטי - כמו גם בטרור הפיסי - אינו משחק לטובתנו.
