התמחות באבטחת מידע

פנה אלי לאחרונה, דרך לינקדאין, בחור בשם Ankit Jain, שהציג עצמו כסטודנט ל-Cyber Security באוניברסיטת דרום קליפורניה. הוא מחפש לבצע התמחות/סטאז' בתחום זה במהלך הקיץ הקרוב, ורצה להתייעץ אתי איך ניתן להשיג מטרה זו בישראל. הסברתי לו שככל שידוע לי נושא ההתמחות לא ממש נפוץ בישראל באופן כללי (לפחות בתחומים שאינם מובנים מראש כמו רפואה, עריכת דין, ראית חשבון וכדומה), וכנראה בהתאמה גם בתחום אבטחת המידע, אבל הפניתי אותו לגורמים שונים בכדי לנסות את מזלו, וגם אמרתי לו שאני משער שאם הוא יארגן קבוצה של מתמחים אז יש סיכוי יותר גבוה לעורר תהודה ובהתאמה למצוא מקום להתמחות, שגם יכולה להוות בסיס לשיתוף פעולה עתידי.
הצעתי לו שאפרסם את בקשתו בפוסט בבלוג זה, בכדי לסייע לו במטרתו, והוא הסכים, ואף ביקש לפרסם את כתובת המייל שלו, jain980 בדומיין usc נקודה edu. אז הנה עשית זאת ואתם מוזמנים לפנות אליו אם יש לכם מה להציע לו.

הפניה שלו הביאה אותי לחשוב שבאמת יש לנו בעיה בנושא. למרות הצורך הרב בעובדים מיומנים בתחום שלנו, אין לנו ממש מסלול מסודר להכשרת הדור הצעיר/חדש-בתחום, מעבר למקסימום של "קורס ויאללה לעבודה", כאשר מצד שני לא מעט מעסיקים מעוניינים רק בעובדים עם ניסיון, מה שגורם לפער שבמקביל מונע מאנשים טובים למצוא משרות וגם מונע ממעסיקים למלא תקנים נדרשים לקידום העסק. יש לנו "חור" באמצע נתיב הקריירה בתחום, בין המתחילים למנוסים.

לכן, שווה לשקול, כל אחד במקום עבודתו ועל בסיס יכולת ההשפעה שלו שם – להקים מסלול של התמחות/סטאז' באבטחת מידע, אליה ניתן יהיה להפנות בוגרי קורסים מקצועיים, יוצאי צבא עם ניסיון מתאים ואולי אף תיכוניסטים מתכנית "מגשימים" או ממגמות מחשוב (בחופשות הקיץ ולפני גיוס).

ברור לי שזה לא יהיה קל ודורש מאתנו, בתור התחלה – לשינוי חשיבה ורצון להשקיע מאמצעים לקידום המקצוע באופן כללי ולא באופן ישיר עבור כל אחד מאתנו, אבל גם עזרה לאחרים עוזרת לנו, לכל הפחות להרגיש טוב עם עצמנו.
בעיות אחרות יהיו בנושאי ההעסקה מול הארגון – משפטית (חוקי עבודה/העסקה) וכספית (כי מן הסתם יש לשלם לפחות שכר מינימום), אבל אני מאמין שאפשר לפתור נושאים אלו על בסיס מעמד של עובדים זמניים או פרילנסרים.

אם אתם ותיקים – תזכרו איך הייתם בתחילת הדרך, אם לא הייתם שמחים שתהיה לכם אפשרות כזו.
אם אתם מתחילים בתחום – אל תתביישו ותדחפו את עצמכם קדימה, פרסמו את עצמכם ואת רצונכם להשתלב בתחום כמתחילים. רק שימו לב שלא ינצלו את המוטיבציה שלכם לרעתכם, כי יש גם מי שיעשו זאת, מניסיון.

תקדישו לזה מחשבה.

 

גרועחלשבסדרטובמצוין (2 הצבעות, ממוצע: 4.00 מתוך 5)
Loading...

הרצאה ומפגש עם דייב מרכוס מ-McAfee

מודה, זה שאני לא מתחזק את הבלוג ומעדכן אותו מספיק גרם לזה שלא הזכרתי עד עכשיו את קבוצת DC9723, המגדירה עצמה כ"קבוצת DefCon הישראלית מיועדת לשמש כמקום לדיונים, התפתחות ולימוד, לקהילה ההולכת וגדלה של העוסקים באבטחת מידע בישראל. אנו נפגשים בכל יום שלישי השלישי בחודש, במיקום מרכזי בתל אביב, ובמפגשים אלו מתקימות הרצאות ופעילויות. כל הפגישות פתוחות בחינם לקהל הרחב, ומותאמות למגוון רמות ידע." (הרצאות קודמות)

הסיבה שאני בכל אופן מזכיר אותם היום היא שבחור בשם Dave Marcus ‏(LinkedIn, ‏Twitter, בלוג במקאפי), שאוחז בתפקיד Security Research and Communications Director ב-McAfee Labs מגיע אליהם להרצאה ומפגש ביום שלישי עוד שבועיים, 10/7/2012, בערב. המיקום הוא רחוב אחד העם 9, תל אביב, המוכר יותר כ"מגדל שלום", באגף המערבי, קומה 7, במקום שנקרא "הספריה".
אני לא מכיר את פועלו של האיש, אבל נראה שהוא נמצא בתפקיד מעניין ובחברה מעניינת, לבטח כאשר מקאפי היא כעת חטיבה באינטל, והשילוב של אבטחת מידע עם חומרה בכלל ומעבדים בכלל דורש בחינה מעמיקה יותר.
אני מתכנן להגיע, ואתם כמובן, כדברי הקבוצה, מוזמנים להגיע גם כן.

.

גרועחלשבסדרטובמצוין (איש לא דירג תוכן זה עדיין. היו אתם הראשונים!)
Loading...

מְסַכָּנוֹת המקצוע – לדעת יותר מדי

דרך האתר law.co.il של עו"ד חיים רביה, העוסק בצד המשפטי של החיים הדיגיטליים (יש אתר דומה של עו"ד אביב אילון, netlaw.co.il), ואליו אני מנוי, נודע לי כי בימים אלו באה לסיומה פרשת גניבת נתוני ההזדהות של לקוחות הבנק הבינלאומי על ידי עובד אבטחת המידע של הבנק, דן טירספולסקי, נתונים אשר הועברו לאנשים נוספים אשר בתורם גנבו כספים מהחשבונות שפרטיהם נגנבו.
טירספולסקי נידון, במסגרת עסקת טיעון בין הפרקליטות לעו"ד של טירספולסקי, לשנת מאסר אחת, מאסר על תנאי למשך 10 חודשים לתקופה של 3 שנים (והתנאי הוא כי לא יעבור כל עבירת רכוש, מרמה או הונאה) וקנס בסך 10,000 ₪ או 60 ימי מאסר תמורתו.

הפרשה, אשר נחשבת למעילת האינטרנט הבנקאית הראשונה בישראל, נחשפה בשנת 2005 (ראויה לציון תגובה 11), אז נחשף כי טירספולסקי, עובד במחלקת אבטחת המידע של הבנק הבינלאומי, אשר היתה לו גישה לפרטי החשבונות של לקוחות הבנק, כולל פרטי ההזדהות שלהם באתר האינטרנט של הבנק, מסר נתונים של ארבעה לקוחות של הבנק, תושבי חוץ, לידי אנשים נוספים שפרטיהם לא מוזכרים, והם בתורם, בעזרת הפרטים שקיבלו מטירספולסקי, גנבו סך של 103,700 ש"ח מלקוחות אלו.
בכתבה שפורסמה ב"גלובס" בעת גילוי הפרשה נטען כי טירספולסקי לא הצליח להחזיר חוב לקרוב משפחה (שגם נעצר) ובשל כך נסחט על ידי גורמים עבריינים במאפיה הרוסית.

לטענת העו"ד של טירספולסקי, על פי גזר הדין, הוא ביצע את המעילה לא עבור עצמו אלא כי נסחט באיומים על ידי אותם גורמים אליהם העביר את פרטי הלקוחות (מה שלא ממש נכון לדעתי, כי הוא השתמש בנתונים שגנב כתחליף להחזר חוב, ומי שבעצם "החזיר את החוב" הם אותם לקוחות של הבנק).
באופן מעורר שאלות, בגזר הדין רשום לגבי באת כוח התביעה (כלומר פרקליטות המדינה) ש"בנוסף היא מאשרת כי נעשו ניסיונות להשיב את הכסף שנגנב, אולם הבנק לא הראה נכונות לקבלו". גישה מעניינת של הבנק.

אז מה אנו למדים ממקרה זה?

– אל תיקחו הלוואות מקרובי משפחה.
– אם כבר אתם לוקחים הלוואה מקרובי משפחה. תבדקו שאין להם קשר לגורמי פשיעה או שהם לא מסוכנים אם לא מחזירים להם את הכסף.
– אבטחת המידע בבינלאומי לא השכילה להצפין את סיסמאות הלקוחות כך שאיש מלבדם לא ידע אותן, כי ברור שלא ניתן למנוע גישה אליהן כי הן מטופלות על ידי עובדי מחלקת המחשוב של הבנק (אנשי סיסטם, מפתחי האתר, DBAים, אנשי הגיבוי והאחסון וכן הלאה). פעולה זו היתה מכשילה בוודאות גבוהה את האפשרות לאירוע מסוג זה להתרחש.
– חשוב שנבין שעיקרון המידור ועקרון ה-Need to know (והצפנה למעשה משלבת את שניהם) מגינים לא רק על בעלי המידע שכן מורשים לגשת אליו ולעשות בו שימוש אלא גם עלינו, אנשי אבטחת המידע (וה-IT בכלל), שיכולה להיות להם גישה למידע, אפילו באופן לא מכוון או מודע, כחלק מעבודתם. העקרונות הללו מפחיתים את רמת הידע שלנו אודות מידע רגיש ובכך מפחיתים את הסיכון שלנו לפיתויי שימוש ברעה על ידינו או לחצים להעביר מידע זה לידי גורמים חיצוניים.
לכן, אם בעבודתכם אתם שמים לב שקיימים מצבים שבהם אתם (או אחרים) יודעים או יכולים לדעת יותר מדי, או יכולים לעשות יותר מדי – תפנו למנהלים הרלוונטיים ותתריעו בפניהם על כך.
תמיד עדיפה מניעה מראש על פני תיקון בדיעבד (שלא תמיד אפשרי).

זה קשור רק חלקית למקרה הנ"ל, אבל מזמן רציתי להגיד את זה: המקצוע שלנו הוא לא חד וחלק, לא ברור ולא מתוחם. לטוב ולרע. ולפעמים יש רע. ואסור לשכוח זאת ואסור להתעלם מכך.
רוצים שנשמור על הארגון, על המידע הרגיש והסודי, אבל שלא נחשף אליו ולבטח לא נעשה בו שימוש לרעה. זה הגיוני, זה דורש אמינות, זה דורש כוח רצון ועמידה בפיתויים ובלחצים, וזה דורש לוליינות טכנולוגית ואישיותית. המקצוע דורש ממך ללכת על חבל דק, על הגבול, ולעולם לא לקבל החלטה שגויה. והקביעה האם ההחלטה שגויה או לא יכולה להיות לפעמים תלוית מקום, זמן, מערכת, מידע, יחסים, פוליטיקות ואין סוף פרמטרים. לפי הצורך והמטרה של המחליט. ולא תמיד אתם הם המחליטים…
ככל שהעולם נכנס יותר ויותר למחשוב, לתקשורת ולאינטרנט – כך בהתאמה מתגברת המשפטיזציה של התחום הזה ושל אבטחת מידע בכלל, כמקבילה הדיגיטלית של תחום הבטחון הפיזי, ובהתאמה העובדים במקצוע (ולא רק באבט"מ, גם אנשי סיסטם, DBAים ועוד) עוסקים בתכנים שהם קריטיים לארגונים ועל כן בקלות יכולים למצוא עצמם בסיטואציות משפטיות שונות, מדיונים עם עורכי הדין של החברה לגבי אירועי אבטחת מידע, דרך איתור תכנים לכתבי תביעה (Forensic) ועד עדות או כנאשמים במשפטים מסחריים ו/או פליליים.
ולדעתי המצב היום הוא שאין לעוסקים במקצוע מספיק מודעות וידע משפטי לגבי המותר והאסור, ואין להם עם מי להתייעץ כיצד לנהוג במצבים מיוחדים, במצבי קצה, ויש כאלה לא מעט במקצוע שלנו. את המצב הזה לדעתי צריך לשנות.
שעת ייעוץ של עו"ד יכולה בקלות להגיע למאות ש"ח/דולר, שלא לדבר על הדרכות/הרצאות משפטיות תקופתיות – מה שמן הסתם גורם לרבים שלא לפנות לייעוץ משפטי אלא לסמוך על השיפוט האישי שלהם בלבד.
אני מקווה ש-IFIS ישימו לב לעניין זה וייזמו הדרכות משפטיות על ידי חברי הפורום בעלי השכלה משפטית בנושא ואולי גם ישיגו תעריפי ייעוץ מופחתים לחברי הפורום אצל משרדי עורכי דין בעלי התמחות מתאימה. יכול להיות שצריך גם לשקול השגת תעריפים מופחתים לביטוח אחריות מקצועית (אם כי אני לא בטוח אם קיים ביטוח כזה בישראל בנוגע לאנשי מחשבים בכלל ואבטחת מידע בפרט).
בינתיים, תשימו לב ותשמרו על עצמכם, ואם אתם לא בטוחים – תשאלו חברים או בעלי מקצוע ותיקים שאתם יכולים לסמוך על דעתם. תמיד עדיף לשמוע כמה דעות לפני שמקבלים החלטה חשובה.

גרועחלשבסדרטובמצוין (1 הצבעות, ממוצע: 5.00 מתוך 5)
Loading...

שר התקשוב באוסטרליה יזם "שבוע E-security Awareness" לאומי

אם אנו כבר בנושאי שלטון, הנה משהו חמוד דרך רשימת הדיוור Technical – Security של אייל איסטרין (הוא מוצא כל מיני קישורים מעניינים בנושאי אבט"מ ומשתף אותנו. כדאי).

כן, גבירותיי ורבותי, לאוסטרליה יש שר בשם Stephen Conroy. על מה הוא ממונה?
על Broadband, Communications and the Digital Economy . יש ממש משרד ממשלתי כזה. לא פחות. הוא מונה לתפקידו בדצמבר 2007. והתפקיד הזה, עם שינויים מדי פעם בהגדרת התפקיד, קיים באוסטרליה משנת 2007.

התפקיד נראה כמו עירוב של משרד התקשורת, חינוך, ספורט, אמנות וגם עידן המידע. אחלה. לא ציפיתי למשרד שלם לעידן המידע אבל גם התייחסות לנושא כתחום שראוי להתייחסות ממשלתית שווה שאפו.

אז מר קונרוי הכריז השבוע בנאום על שבוע E-security Awareness . כחלק מנאומו הוא קורא לאזרחים להחליף סיסמאות פעמיים בשנה לפחות, לסיסמאות חזקות, להתקין תוכנות אבטחת מידע, לעדכן תיקוני אבטחת מידע, לחשוב לפני שמקליקים על קישורים לא מוכרים ולהיזהר מלמסור מידע אישי ברשת. וגם הוקם אתר ממשלתי ייעודי לנושא.
רגע, והוא מפרט, בנאום הפומבי (!) הנ"ל – סיסמאות חזקות צריכות להיות בעלות מינימום של 8 סימנים, שילוב של אותיות גדולות וקטנות, לפחות מספר אחד ולפחות סמל אחד. (הצחקתם את Ophcrack. אבל זה כבר נושא אחר)
כאילו היה איש אבט"מ מהשורה.

וזאת במקביל לנאום של נשיא ארה"ב הצעיר והטרי, ברק אובמה, על חשיבות תשתיות דיגיטליות מאובטחות.

ואצלנו? בשנת 2001 כתבתי טור דעה ל-TheMarker שמציע יצירת תפקיד של שר הייטק. לא שבאמת ציפיתי שזה יקרה. הייתי, ואני עדיין, כל כך אופטימי שאני אפילו לא מצפה שזה יקרה.
אני יודע שחבר הכנסת מיכאל איתן (כיום שר בתפקיד המגוחך "שר בלי תיק האחראי על שיפור השירות הממשלתי לאזרח ולציבור") הוא, ככל שידוע לי היחיד שבאופן קבוע ועקבי חי את נושא עידן המידע ומנסה לקדם אותו. אבל, זה הוא, האדם. לממשלה זה לא באמת אכפת ואין שום תכנית נראית לעין לשינוי המצב.

כן, אני יודע, יש את "היום הלאומי לאינטרנט בטוח". זה עדיין לא זה. זה לא מגיע ממשרד ייעודי, אלא ממשרדי החינוך והבריאות, בדגש על קהל יעד של ילדים-נוער והורים-מחנכים ולא על כלל האוכלוסייה, שלא לדבר על זה שהיום הזה הוא בשילוב של גורם מסחרי מובהק אחד, חברת Microsoft, שזה ממש טעם לפגם.
מאוד מטריד לראות בתחתית דף השער את הטקסט
©2006 Microsoft Corporation. All rights reserved.‎ כולל קישורים של "תנאי שימוש", "סימנים מסחריים" ו"הצהרת פרטיות" שכולם מפנים לדומיין של Microsoft. הטקסט הנוסף שם של "מיקרוסופט מארחת את האתר משיקולי אבטחת מידע." הוא לא פחות מבושה לממשלת ישראל. מה קרה? חוות השרתים של תהיל"ה לא מספיק מאובטחת? חסר לממשלת ישראל שרת לארח את האתר הזה? נתרום לה.

אולי זו שוב הגישה שקיימת כאן "שהאזרחים יהיו אחראים לבצע בעצמם ובכלל לגורלם", אולי זו ההתמקדות העיוורת והבלתי פוסקת במספר מצומצם של נושאים הרי גורל כמו הסכסוך עם הערבים, דת ומדינה וכדומה – וכל השאר לא חשוב ולכן לא קיים.
מתי לממשלה כאן יהיה אכפת מהאזרחים? מתי היא תצטרף למדינות המתוקנות? תבין שעידן המידע כבר מזמן כאן? שהמדינה צריכה, גם לטובת המשך קיומה, לסייע לאזרחים להעצים עצמם ובשל כך את המדינה, ביכולות תקשוב, ובכללן כמובן אבטחת המידע?

.

גרועחלשבסדרטובמצוין (איש לא דירג תוכן זה עדיין. היו אתם הראשונים!)
Loading...

הבלוג של יאיר רודיאקוב

אני גאה לבשר לכם (קצת באיחור) שמורי ורבי, היוֹדַה שלי (סליחה יאיר, הייתי חייב…), מר יאיר רודיאקוב, פתח סוף סוף בלוג – חושב אחרת על אבטחת מידע. בלוג שחיכיתי לו זמן רב.

יאיר הוא מזקני שבט האבט"מ וניהול הסיכונים בארץ, יועץ אמיתי, לפי הספר, ג'נטלמן שלובש חליפה ועניבה כשהוא הולך ללקוחות (שלא לדבר על גלצ"ח). האיש חי, נושם, אוכל ושותה אבט"מ. לעתים קצת קונספירטיבי (אבל זה לא אומר שהוא לא צודק…).
עד היום הוא היה במוד stealth מבחינה ציבורית, והנה הוא יוצא לאור.
אתם יכולים ללמוד ממנו הרבה ורצוי גם לאתגר אותו ולהתפלמס ברמה גבוהה בתגובות, יש לכם עם מי.
כבר לא מייצרים כמוהו יותר.

(עדכוני RSS תמצאו בתחתית הבלוג שלו. מערכת Blogger…)

.

גרועחלשבסדרטובמצוין (איש לא דירג תוכן זה עדיין. היו אתם הראשונים!)
Loading...