בשנת 2021 מכר אזרח רומניה גישה לרשת של סוכנות ממשלתית במדינת אורגון לכמה תוקפים, תמורת אלפי דולרים בלבד. הנזק שנגרם הוערך בכ-250,000 דולר. השבוע, לאחר שהוסגר לארה"ב ב-2025, גזר בית המשפט על הנאשם 5 שנות מאסר בפועל וקנס בגובה 250,000 דולר. המקרה הזה אינו חריג, אך הוא ממחיש בצורה חדה כיצד גישה לא מאובטחת לרשת ארגונית הופכת לנכס שניתן למכור בשוק הפשע הדיגיטלי.
מה בדיוק נמכר כאן?
הביטוי "מכירת גישה" מתאר מצב שבו גורם עוין, לעיתים עובד פנימי ולעיתים האקר שפרץ מבחוץ, משיג אישורי כניסה פעילים לרשת ארגונית ומוכר אותם לצד שלישי. הקונה עשוי להיות קבוצת כופרה, מדינה עוינת או פושעים המעוניינים להשתמש בגישה לגניבת מידע. המחיר לעיתים נמוך בצורה מפתיעה, אך הנזק שמגיע בעקבות זאת עלול להיות עצום.
למה ארגונים נחשפים לסיכון הזה?
- חשבונות עם הרשאות יתר: משתמשים שצברו גישות שכבר אינן נחוצות להם.
- היעדר ניטור פעיל: כניסות חריגות לשעות לא שגרתיות אינן מזוהות בזמן אמת.
- אימות חלש: סיסמאות בלבד ללא אימות רב-שלבי מקלות מאוד על תוקף שהשיג אישורים.
- תהליכי עזיבת עובדים לקויים: חשבונות שנשארים פעילים לאחר סיום העסקה.
הגישה הנכונה לניהול הרשאות בארגון
ארגונים שמיישמים עקרון של הרשאה מינימלית נחשפים פחות לסיכון מסוג זה. כל משתמש מקבל גישה אך ורק למשאבים הנחוצים לתפקידו, ולא מעבר. בנוסף, חשוב לנהל תהליך סדור של בקרת גישה תקופתית: לבדוק אחת לרבעון מי ניגש לאיזה מידע, ולבטל גישות שאינן בשימוש.
מערכות ליבה מותאמות אישית, כגון אלו שמפתחת R.A.S Systems, מאפשרות לשלב בקרות גישה ישירות בתוך תהליכי העבודה הארגוניים. כך, ניהול ההרשאות אינו נשאר עניין של מחלקת IT בלבד, אלא הופך לחלק אינטגרלי מהתשתית העסקית.
ההיבט המשפטי שמשנה את המשוואה
פסק הדין בארה"ב שולח מסר ברור: מכירת גישה לרשת ארגונית מוגדרת כפשע חמור, ובתי המשפט מוכנים להטיל עונשים כבדים גם על אזרחים זרים שהוסגרו. עבור ארגונים ישראליים, הלקח הוא כפול: גם הסיכון הטכנולוגי וגם הסיכון המשפטי, הכרוך בתביעות ובדרישות רגולטוריות לאחר אירוע, מצדיקים השקעה מקדימה בתשתיות אבטחה ובניהול נכון של זהויות ואישורי גישה.
בסופו של דבר, גישה לרשת הארגונית היא נכס, ממש כמו ציוד פיזי או קניין רוחני. ארגון שמתייחס אליה ככזה, ומגן עליה בהתאם, מצמצם משמעותית את הסיכוי שמישהו ימכור אותה עוד לפני שהארגון ישים לב.