מנהל אבטחת מידע בארגון גדול סיפר לאחרונה לד"ר שמרית צור-דוד שהוא עדיין נדרש לוודא את חוזק הסיסמאות של העובדים על בסיס קבוע. אלה אמנם עומדות בדרישות הארגון, ומכילות אות גדולה, מספר או סימן מיוחד, אך הדבר לא מספיק כדי להבטיח הגנה על מערכות המידע, כי עובדים נוטים לכתוב לעצמם את הסיסמאות המורכבות. גם המעבר לזיהוי ביומטרי כמו טביעת אצבע או זיהוי פנים, לא מבטל ברוב המקרים את התלות בסיסמאות, כיוון שמאחורי הקלעים עדיין קיימת הסיסמה. במקרים כאלה, אם האקרים מצליחים לגנוב אותה באמצעות מתקפת פישינג, הם יכולים להשתמש בה כדי לחדור למערכות הארגון.
"בארגונים גדולים יש מערכות On-Prem שמותקנות בתשתיות המקומיות של הארגון, ובהן גם יישומים ותיקים שלא תוכננו לתמוך בפתרונות אימות מודרניים", מסבירה ד"ר צור-דוד, מייסדת-שותפה ומנהלת אבטחת המידע של Secret Double Octopus. "כשנדרשת אינטגרציה מורכבת, רוב הפתרונות בשוק נותנים מענה רק למערכות שקל לחבר. בסקר שערכנו מצאנו שפתרונות האימות הקיימים מכסים רק כ-50% מהמערכות בארגון. לתוקף, לעומת זאת, מספיקה דלת אחת פתוחה. כל מערכת שנשארת ללא הגנה מתאימה מאפשרת לו למצוא דרך פנימה".
הבעיה שמאחורי הכניסה
בארגונים רבים כבר פועלת מערכת Single Sign-On (SSO), שמאפשרת לעובדים להתחבר למספר יישומים באמצעות הזדהות אחת ובלי להקליד סיסמה. אלא שהפתרונות האלה פועלים בעיקר מול שירותי ענן ואפליקציות מודרניות, ומתקשים להתמודד עם מערכות ותיקות שפותחו בתוך הארגון. הטכנולוגיה של Secret Double Octopus, מסבירים בחברה, מאפשרת להפטר מסיסמאות גם במערכות האלה, כך שהעובד אינו נדרש עוד לבחור סיסמה, לזכור אותה או להקליד אותה. גם כאשר מערכת ישנה עדיין דורשת סיסמה מאחורי הקלעים, היא מנוהלת באופן אוטומטי ואינה ידועה לעובד, ולכן אינו יכול למסור אותה לתוקף במתקפת פישינג.
איך נראה יום עבודה של עובד בארגון שמשתמש במערכת שלכם?
"העובד פותח את המחשב בבוקר בלי סיסמה, מקבל הודעת Push לאפליקציה, מאשר בטביעת אצבע או בזיהוי פנים, והוא בפנים. מכאן אנחנו נותנים חוויית SSO מלאה לכל השירותים הארגוניים, ומנהל המערכת בארגון קובע מה ייכנס תחתיה ומה יחייב אישור נוסף.
בשום שלב העובד אינו משתמש בסיסמה, וזה לא משנה אם הוא נכנס לשירות ווב, למערכת פנים-ארגונית או לאפליקציית לגאסי. הוא גם לא נדרש להחליף סיסמה כל שלושה חודשים, וצוות ה-IT כבר לא צריך לאכוף מדיניות סיסמאות, לבדוק אותן או לענות לטלפונים של 'שכחתי סיסמה'".
בלי להחליף תשתיות
החברה אינה דורשת מלקוחותיה לשנות את תשתיות המחשוב הקיימות או להעביר מערכות לענן. "אנחנו מתממשקים למה שכבר קיים בארגון", מסבירה צור-דוד. "זה יכול להיות מפעל שאוסר על הכנסת טלפונים ניידים לפס הייצור, רשת מבודדת ללא חיבור לאינטרנט או עמדת מחשב משותפת שמשמשת עובדים שונים לאורך היום. לכל אחד מהתרחישים האלה אנחנו יודעים לספק פתרון".
לדבריה, Double Octopus Secret היא מהחברות היחידות בשוק שמספקות אימות רב-שלבי עמיד בפני פישינג (Phishing Resistant MFA) גם למערכות ותיקות ולמקרי קצה מורכבים, בהתאם לדרישות רגולטוריות עדכניות כגון NYDFS ו-CMMC. "בעשר השנים שאנחנו עושים את זה, התמודדנו כבר עם הכול – מערכות אופליין, רשתות מבודדות, חשבונות משותפים, חשבונות אדמין. היום, על כל תרחיש שלקוח מציג, התשובה שלנו היא 'כן'".
בין הארגונים בישראל שבחרו בפתרון של Double Octopus נמצאת עיריית ירושלים. "המטרה מבחינתנו לא הייתה רק לשפר את אופן הכניסה למחשב, אלא לצמצם ככל האפשר את התלות של העובדים בסיסמאות בכל סביבות העבודה ואת עלויות התמיכה הנלוות שהיו גבוהות מאוד", אומר ציון סמולר, מנהל אגף סייבר בעירייה. "בארגון גדול זה משמעותי במיוחד, כי אי אפשר להחליף את כל המערכות ביום אחד וגם לא בשנה".
ארגון נוסף הוא אוניברסיטת אריאל, שבה ביקשו לשפר את אבטחת המידע בלי להכביד על העובדים ועל צוותי התמיכה. "המטרה הייתה לצמצם את התלות בסיסמאות בלי להוסיף שכבה חדשה של מורכבות למשתמשים ולצוות ה-IT", אומר אלירן סולומון, מנהל אבטחת מידע באוניברסיטה. "מבחינתנו, אבטחה טובה היא כזו שמשתלבת בעבודה השוטפת ולא דורשת מהמשתמש לחשוב עליה כל הזמן".
לדברי החברה, Secret Double Octopus פועלת גם בזירה הבינלאומית, עם מאות לקוחות אנטרפרייז מרחבי העולם, ובהם בנקים מהגדולים בעולם ויצרנים ביטחוניים מובילים, המעסיקים עשרות ואף מאות אלפי עובדים. באמצעות הטכנולוגיה שלה מתבצעים מיליארדי תהליכי אימות. "אנחנו מגיעים מעולם הסייבר, והמוצר שלנו נבנה כדי לעמוד בדרישות האבטחה המחמירות ביותר", אומרת צור-דוד.
מחיר הסיסמה
לביטול הסיסמאות עשויה גם להיות השפעה כלכלית ישירה. בארגונים גדולים, 30% עד 50% מהפניות למוקדי התמיכה עוסקות בסיסמאות שנשכחו, בתקלות MFA או בבקשות לאיפוס סיסמה. לטענת החברה, הפתרון של Secret Double Octopus מצמצם בעד-95% את הפניות למוקד בנושאי התחברות, ביותר מ-50% את עלויות התמיכה בעובדים ובעד 88% את שטח החשיפה של הארגון למתקפות זהות ופישינג. "בחברות גדולות מדובר בחיסכון שנתי שיכול להגיע למיליוני דולרים בהוצאות מוקדי התמיכה בלבד, ובחברות הענק הסכום עשוי להיות גבוה אף יותר", מסבירים בחברה.
"לזה צריך להוסיף את הזמן שבו העובד לא מצליח להתחבר למערכות ולכן אינו יכול לעבוד", מציינת צור-דוד. "גם קליטת עובדים הופכת לפשוטה יותר. עובד חדש מקבל קוד QR וכבר יכול להתחבר לכל מערכות הארגון, בלי להתחיל לפתוח חשבונות ולבחור סיסמאות לכל מערכת". גם כאשר עובד מסיים את תפקידו, אפשר לבטל את הגישה שלו למערכות בלחיצה אחת.
האם אנחנו מתקרבים לעולם שבו עובדים כבר לא יצטרכו להשתמש בסיסמאות כלל?
"אני בטוחה, אין אופציה אחרת. הסיסמה היא הכלי הכי פופולרי וקל של תוקפים לחדור לארגונים, והבינה המלאכותית מאפשרת להם לבצע מתקפות מתוחכמות יותר גם בלי מיומנות טכנית גבוהה. במקביל, נכנסים לארגונים סוכני AI שמבצעים פעולות בשם העובדים וצריכים להזדהות מול מערכות שונות. מול שירותי ווב כבר קיימים פתרונות, אבל הגישה למערכות לגאסי ומקרי קצה מיוחדים היא עדיין אתגר. הפתרון שלנו מתרחב עכשיו לתת כיסוי מלא גם לאימות של סוכני AI, כולל במערכות האלה, בדיוק כמו שהוא עושה לעובדים. צריך לנקות את השולחן מסיסמאות. הלקוחות רואים את הערך של זה כבר היום".
Secret Double Octopus
למעבר לאתר >>
