תת השר לנושאי אבטחה קיברנטית במשרד התקשורת וטכנולוגיית המידע בקטאר אמר כי חוסן ואבטחה במרחב הקיברנטי חיוניים להמשך ההצלחה והשגשוג של קטאר. לשם כך, יש צורך באסטרטגיה לאומית כוללת לשם התמודדות עם האיומים החדשים.
לשם כך הוקמה הוועדה לאבטחה קיברנטית לאומית כחלק ממדיניות האבטחה הקיברנטית אשר פורסמה בנובמבר 2014.
לדברי הפקיד הבכיר, המטרה היא לאזן בין הצורך להגן על מוצרים ושרותים מתחום טכנולוגיית המידע והתקשרות, למול הצורך לספק הזדמנויות הממקסמות את התועלות והיעילות המצויות בתחום זה. "הדבר המרכזי הוא לשמור על מרחב קיברנטי מאובטח לשם שמירה על האינטרסים הלאומיים והגנה על התשתיות הקריטיות של המדינה מפני מתקפות גדולות".
בראיון עימו התייחס אל-האשמי – המנהל צוותים העובדים עם סוכנויות הממשל השונות, מוסדות פינסיים, מגזר האנרגיה וכן עם אנשי עסקים וגורמים פרטיים לשם הגנה על מידע רגיש ואבטחת בטחונים של הילדים באינטרנט – לצעדים שהממשלה נוקטת בתחום האבטחה הקיברנטית והתייחס בכלל זה לאתגרי האבטחה הניצבים בפני קטאר, יוזמות חדשות בתחום האבטחה הקיברנטית, וכן לאסטרטגיות להגנה על תשתיות קריטיות.
אתגרי המרחב הקיברנטי
מבין האתגרים מנה אל-האשמי את הבאים;
- חוסר במיומנות – מספר נמוך של עובדים אשר להם כישורים להבנה ממשית את עולם ה-ICT והיכולים להתמודד עם אתגרי אבטחה קיברנטית.
- סכנות שרשרת האספקה הגלובלית – המערכת העולמית כוללת מערכות מחוברות ובהן לרוב רכיבים רבים ממקורות מגוונים ומרחבי העולם. שרשרת זו כוללת חולשות אותם יכולים לנצל שחקנים שונים לשם ביצוע מתקפות.
- חיבוריות ה-(ICS (Internet Connection Sharing – אלו מוחברים לרשתות עסקיות ולאינטרנט בצורה הולכת וגדלה. למול היעילות שבניטור מרוחק אחר התהליכים המכניים בהם נעשה שימוש בהפקת נפט וגז, חשמל וטיהור מים, הדבר מגביר משמעותית את פגיעות מערכות אלה מפני איומים קיברנטיים.
- אילוצי שיתוף מידע – בעלי המידע או הספקים יכולים להרתע מלשתף מידע בדבר חולשות, ארועים ונהלי עבודה למניעת גילוי חולשות.
- שינוי בפרטיות – לאור העליה בשימוש במידע פרטי בקרב ארגונים ממשלתיים ועסקים בינלאומיים, מדינות ממשיכות לחוקק חוקים ולעדכן את הקיימים בכל הקשור בפרטיות על מנת להגן על הפרט ועל המידע שלו.
בעניין היוזמות בתחום האבטחה הקיברנטית, ציין הבכיר כי מטרת הוועדה לאבטחה קיברנטית לאומית היא "להבטיח מסגרת חקיקה אפקטיבית לשם התמודדות עם פשיעה קיברנטית ואבטחת הנכסים הקריטיים שלה". עוד נמסר כי לצד החוקים הקיימים בתחום האבטחה הקיברנטית, הממשלה פועלת ליצירת חוק בתחום פרטיות המידע וחוק להגנה על תשתיות מידע חיוניות. בעניינו של חוק פרטיות המידע ציין אל-האשמי כי החוק עדיין בשלבי ניסוח והוא כולל את הכללים העולמיים הטובים ביותר והוסיף כי לבטח יהיה זה החוק הראשון באזור. מטרתו לעסוק באופן בו ארגונים מנהלים את המידע האישי, כאשר למשתמשים תהא הזכות להתיר מפורשות את השימוש בפרטיהם האישיים ולהבין את מקור המידע המשני.
כמו כן הוקמה תוכנית בשם CIIP) Critical Infrastructure Information Program) לשם פעילות משותפת עם מגזרים קריטיים על מנת לשפר את אבטחתם ולהעניק להם הנחיות להתמודדות עם אתגרי המרחב הקיברנטי. עוד מושם דגש על תוכניות של הדרכה ומודעות לשם בניית יכולת אנושית.
לצד זאת קיימת פונקציה של מודיעין בדבר איומים האחראית על ניטור המרחב הקיברנטי הקטארי, צוות ניהול הארועים פועל למול המגזרים החיוניים והציבור לצורך מענה לדליפות קיברנטיות.
הגנה על תשתיות קריטיות
קטאר הקימה את QCERT לשם בניית היכולת ופעילות שיתוף המידע והקמת ה-CIIP ב-2009. במסגרת זו זוהו עשרה מגזרים קריטיים ובכללם; ממשל, אנרגיה, פיננסים, תקשורת, תחבורה ובריאות. כמו כן נעשתה פעילות לשיפור רמת אבטחת המידע ופרסום מספר מסמכי מדיניות כדי להתמודד עם איומים ספציפיים. כדוגמא הוא ציין את תקינת מערכות שליטה תעשייתיות העוסקות במערכות SCADA תוך קביעה כי זו הראשונה מסוג באזור וככל הנראה מבין הבודדות הקיימות ברחבי העולם. זאת לצד שיתופי פעולה עם המגזר הפיננסי כדי לחזק את הכללים הטכנולוגיים במגזר זה.
במסגרת ניהול ארועים, הפעילות היא על בסיס תעדוף למול גורמים במגזרים קריטיים לשם ניהול ארועי סייבר. כמו כן הוקמו ועדות של מומחי סיכוני ידע (IRECs) לתשתיות קריטיות בתחומי האנרגיה, פיננסים, ממשל, באמצעותן מתבצע שיתוף פעולה ודיאלוג בתוך כל מגזר.
ארגונים, מחוקקים והממשל פועלים ליצירת סביבה תורמת בה המשתתפים חשים בטוחים דיים כדי לדון בארועים בבטחון מוחלט. "אני מעודדים שיתוף מידע בתוך כל מגזר, כמו כן זיהינו פרויקטים משותפים בהם ניתן לשתף פעולה לשם שיפור האבטחה הקיברנטית במגזר. השלב הבא שלנו הוא שיתוף פעולה חוצה מגזרים".
בנושא המודיעין הקיברנטי הוא מסר כי "הבנו את חשיבות המודיעין ופיתחנו כלים מבית לשם הבטחת המיקוד והרלבנטיות של המודיעין במדינה. התרעות ואזהרות מפני איומים מופקות על מנת לעדכן את בעלי העניין בדבר איומים חדשים ופוטנציאליים. זוהי תוכנית כוללת שמטפלת בחששות מרכזיים ומבטיחה שיש לנו את היכולת לממש מדינה חסונה ובעלת רמת בשלות גבוהה של הבנת אבטחת המידע".
בנוסף, מטרות הערכת סיכוני הגנה על תשתיות קריטיות תהיה;
- פיתוח מסגרת לאומית של ניהול סיכונים לזיהוי נכסי מידע בתשתיות קריטיות.
- הערכת איומים, חולשות ותוצאות, לצד פיתוח פרופילי סיכון.
- ביצוע הערכות סיכונים קבועות למנהלי אבטחת מידע וארגונים אחרים.
- ביצוע הערכות של תלויות ותלויות הדדיות לשם זיהוי סיכונים שיטתיים בחתך מגזרים קריטיים.
בתחום בניית היכולת נמסר כי קטאר משקיעה מאמצים רבים להכשיר מומחים בתחום האבטחה הקיברנטית, תוך עבודה עם אוניברסיטאות להעלאת המודעות להכשרת אנשי מקצוע צעירים בתחום אבטחת המידע לשם עבודה בתחום, לצד פעילות למול המכללות על מנת להבטיח כי יציעו לבוגריהן תוכניות בתחום אבטחת המידע.
