שירות דב - מן ה-Help Desk תיפתח הרעה

שירות דב - מן ה-Help Desk תיפתח הרעה
 מאת: דניאל כהן, 1.12.13, 20:30
 
במקרים רבים, מרכז התמיכה הטכנית הוא קו ההגנה הראשון מפני פרצות אבטחה. הדאגה לאבטחתו צריכה להיות חשובה כמו כל פונקציה עסקית קריטית אחרת בארגון. סקר חושף נתונים על תהליכים, נהלים והתנהגות הצוות במרכזי תמיכה טכנית, שיש להם השלכות קשות על אבטחת המידע בארגון מקבל השירות.
  
כולנו מכירים את האמרה "הניתוח הצליח – החולה מת" וכן את "בא לברך – יצא מקלל". מרכזי התמיכה למיניהם, שנועדו להציל אותנו מצרה כלשהי אליה נקלענו, עלולים לפעמים לסבך אותנו בצרה אחרת, גם אם לעתים לא במודע.

תחום אבטחת המידע מצוי במודעות גוברת והולכת של מנהלי מערכות מידע ומנכ"לי ארגונים, שעושים כל שביכולתם, וכל אחד בהתאם לאמצעיו ויכולותיו, כדי למנוע פגיעה במידע הרגיש שלהם. עדיין, מעטים מודעים באמת למקור כל האיומים המקיפים אותנו, ולרובם אין שליטה מספקת למניעתם.
 
מרכזי התמיכה הטכנית מתבקשים בדרך כלל לסייע למשתמשים הנתקלים בבעיות טכנולוגיות נפוצות, כגון איפוס סיסמאות ובעיות עם יישומים וחיבוריות. אלא שלעיתים קרובות מדי, נמדדים הביצועים של עובדי התמיכה הטכנית על פי המהירות בה הם מספקים שירות ופותרים בעיה עבור הפונים. למרבה הצער, היבטים של אבטחה לא משחקים תפקיד משמעותי מספיק בתהליך הזה וכתוצאה מכך, הופכים מרכזי התמיכה הטכנית לנקודה נוחה לפריצה עבור האקרים וגורמים פנים-ארגוניים זדוניים, שמנסים לקבל גישה למשאבים רגישים של הארגון.
 
דו"ח חדש של מכון המחקר SANS שופך אור על איומי האבטחה, שארגונים נחשפים אליהם דרך מרכזי התמיכה הטכנית (Help Desk) שלהם. הסקר חושף נתונים על תהליכים, נהלים והתנהגות הצוות במרכזי תמיכה טכנית, שיש להם השלכות קשות על אבטחת המידע בארגון מקבל השירות.
 
הסקר כלל 900 אנשי  ITברחבי העולם ממגוון רחב של תעשיות, כולל ממשלה, אוצר, חינוך, בריאות, IT ותקשורת. מרבית המשיבים על הסקר (69%) זיהו ב"הנדסה חברתית" את האיום הגדול ביותר על אבטחת מרכזי תמיכה טכנית. למרות זאת, מרבית הארגונים עדיין משתמשים במידע אישי בסיסי, כגון שם, מיקום ומספר הזהות של העובד, על מנת לאמת את זהות המתקשרים למרכז התמיכה ומתחזה יכול להשיג מידע מסוג זה בקלות רבה. יתרה מכך, עובדים רבים במרכזי התמיכה יעקפו את בקרות האבטחה בניסיון להיות לעזר רב יותר למתקשרים ולתת מענה מהיר יותר.
 
בנוסף לגורם האנושי, גם היעדר הכשרה נאותה, כלים וטכנולוגיה, משחקים תפקיד בכשל האבטחה של מרכזי התמיכה הטכנית. למעלה מ-51% מהמשיבים אמרו, שהם נוקטים בגישה מתונה בלבד בנוגע לאבטחת מרכז התמיכה וכי אינם מתמקדים בהכרח בהכשרה או בטכנולוגיות נוספות במסגרת בקרות האבטחה הארגוניות שלהם.
 
מרבית התקציבים נקבעים על פי מספר משתמשים מקבלי שירות, במקום על פי עלותה של שיחה או אפילו עלותן הפוטנציאלית של פרצות אבטחה. חישוב ההחזר על ההשקעה (ROI), בהכשרה נוספת ובכלים לתמיכה יומיומית, עלול להיות קשה במיוחד.
 
מרכזי תמיכה טכנית ממשיכים להיות האמצעי המועדף לפתרון בעיות טכנולוגיות בסיסיות בקרב עובדים. מהות תפקידם הוא מתן שירות טוב יותר למשתמשים, וכתוצאה מכך לאנשי התמיכה הטכנית יכולות להיות הרשאות נרחבות, שהופכות אותם למטרה אטרקטיבית בעיני האקרים המנסים להשיג גישה לרשתות. על מנת לצמצם את פגיעותם של מרכזי התמיכה הטכנית, צריכים ארגונים לבחון מחדש את מודל השירות שלהם ולאזן בין  סיפוק דרישות הנוחות של המשתמשים לבין התגוננות  מפני איומים.
 
אז מה מומלץ לעשות על מנת לצמצם ככל הניתן את רמת הסיכון בעבודה עם מרכזי תמיכה?

1. לאפשר אוטומציה ושירות עצמי לבעיות נפוצות של משתמשים, לרבות איפוס סיסמאות.
2.  לקיים הכשרה מסיבית ומתמשכת לאנשי התמיכה הטכנית, שתתמקד בדרכים לזיהוי מתקפות "הנדסה חברתית" אפשריות וכיצד להגיב עליהן.
3. ליישם כלים טכנולוגיים מתקדמים, שממנפים מקורות מידע דינמיים ושיטות אימות חדשות, על מנת לזהות את המשתמשים ומיקומם בצורה מדויקת יותר.

במקרים רבים, מרכז התמיכה הטכנית הוא קו ההגנה הראשון מפני פרצות אבטחה. הדאגה לאבטחתו צריכה להיות חשובה כמו כל פונקציה עסקית קריטית אחרת בארגון. מרכז תמיכה נדרש למצוא את האיזון בין אבטחה משופרת לבין נוחותו של המשתמש הסופי, איזון, שמטמיע את האבטחה ישירות בתהליך באמצעות הוספת טכנולוגיות אוטומציה ואימות ברמת הארגון והכשרה מתמשכת שתפחית טעויות אנוש.
 
מאת: דניאל כהן, דצמבר 2013.
מנהל פיתוח עסקי, RSA ישראל, חטיבת אבטחת המידע של .EMC