המעבר הרחב למודלי עבודה גמישים ומבוזרים בשנים האחרונות העלה באופן משמעותי את יכולות תקיפות הסייבר נגד ארגונים.

כאשר עובדים מתחברים למאגרי הנתונים מביתם, מבתי קפה או מהדרכים, גבולות ההגנה המסורתיים של המשרד הפיזי נעלמים לחלוטין.

תחכום התקפות הסייבר הגיע לרמות חסרות תקדים, במיוחד עם כניסתן של טכנולוגיות בינה מלאכותית המאפשרות להאקרים לייצר הנדסה חברתית מדויקת, הודעות פישינג מותאמות אישית ופתיונות מורכבים.

במציאות זו, מכשיר קצה בודד, לרבות לפטופ, סמארטפון או מחשב ביתי, עלול להפוך לשער כניסה קל ומהיר עבור תוקפים, אל זרם הנתונים הרגיש ביותר של החברה.

המקור המרכזי לתורפת הארגון אינו נובע בהכרח מכשל טכנולוגי, אלא דווקא מטעויות אנוש.

מסקר מקיף של חברת גאלופ עולה, כי עובדים הפועלים בסביבה היברידית ללא הנחיות ברורות ותרגול רציף בנוגע להגנת סייבר, נוטים לגלות ערנות נמוכה בהרבה לאיומי אבטחה.

במקביל, מחקרים של גרטנר מראים, כי יותר מ-60% מאירועי הסייבר והדלפות המידע בארגונים נגרמים ישירות בשל גורמים אנושיים.

החל מסיסמאות חלשות, דרך לחיצה על קישורים זדוניים ועד העברת מידע רגיש לכלי בינה מלאכותית חיצוניים ולא מאושרים.

עבור מנהלי משאבי האנוש, האתגר כפול ומכופל. מעבר לדאגה לרציפות עבודת הצוות, מחלקת משאבי האנוש מנהלת את המאגרים הרגישים ביותר בארגון: פרטים אישיים, מסמכים רפואיים, נתוני שכר, מספרי תעודות זהות ופרטי חשבונות בנק של העובדים.

מחקר של חברת PwC מצביע על כך שגניבת זהויות של עובדים ודליפת מידע אישי פוגעות אנושות באמון העובדים בארגון, מייצרות חשפה משפטית כבדה, ופוגעות קשות במותג המעסיק.

על כן, הגנה על נתונים אלו דורשת תפיסת אבטחה מחמירה הכוללת הצפנה מקצה לקצה, גיבויים תקופתיים ואסטרטגיית התאוששות מאסון, מעודכנת.

כדי לבנות חוסן קיברנטי אמיתי, מחקרים של דלויט ומקינזי מדגישים שלושה עקרונות יסוד שכל מנהל משאבי אנוש חייב ליישם.

להלן 3 העקרונות שמאפשרים לבנות הגנת סייבר איכותית, על פי דלויט ומקינזי:

1 ניהול הרשאות קפדני:

הגבלת הגישה לנתונים רגישים על בסיס צורך מוגדר בלבד. צמצום מספר בעלי ההרשאות מפחית באופן אוטומטי את הסתברות הזליגה.

2 שינוי תפיסתי מטכנולוגיה לתרבות ארגונית:

אבטחת מידע אינה מסתכמת בהתקנת אימות דו-שלבי או חומת אש. השינוי האמיתי דורש העלאת מודעות מתמדת, הטמעת נהלים ברורים ומניעה אקטיבית של טעויות אנוש.

3 הדרכה מתמשכת ובקרה:

הטמעת שיטות עבודה מומלצות כחלק מה-DNA הארגוני, כולל סימולציות פישינג תקופתיות והדרכות ייעודיות לכללי אבטחה בעבודה מרחוק.

בסיכומו של דבר, מידע הוא הנכס היקר ביותר של הארגון המודרני, אבל האנשים המשתמשים בו הם גם החוליה החלשה ביותר וגם קו ההגנה הראשון שלו.

הידוק השיתוף בין מחלקת ה-IT, מנהלי משאבי האנוש וגורמי האבטחה, בצד השקעה בחינוך טכנולוגי ותרבות של ערנות להתקפות, יבטיחו כי הגמישות התעסוקתית בעידן הנוכחי לא תבוא על חשבון הבטיחות והיציבות העסקית.

מתברר שהאיום הגדול ביותר על המידע הרגיש של החברה מגיע לעיתים קרובות דווקא מבפנים. מהעובדים. ולא מתוך כוונת זדון, אלא בשל טעויות אנוש תמימות.

במציאות זו, אבטחת מידע היא כבר לא נחלתה הבלעדית של מחלקת ה-IT, ומנהל משאבי האנוש הופך לשחקן אסטרטגי בקו ההגנה הראשון של הארגון.

השומר שבפנים – מהו תפקידו האסטרטגי של מנהל משאבי האנוש במניעת דליפות מידע בשל טעויות אנוש:

כאשר בוחנים את הגורמים לדליפות נתונים בארגונים, הנתונים של חברות המחקר המובילות מפתיעים מדי שנה.

מדו"ח הגנת המידע השנתי של חברת ווריזון וחברת המחקר גרטנר עולה, כי יותר מ-74% מכלל אירועי אבטחת המידע ודליפות הנתונים בארגונים כוללים רכיב של הגורם האנושי.

מתוכם, כ-50% מוגדרים כטעויות אנוש מובהקות ושלא במתכוון של עובדים ומנהלים (קיימים ולשעבר), בעוד שפריצות האקרים ישירות ושלא נעזרו בטעות אנוש (כמו פישינג שהצליח) מהוות את הנתח הנותר.

כשהטעות הופכת למשבר – להלן 4 דוגמאות לדליפות מידע מתוך החברה שיכולות להתרחש במגוון תרחישים יומיומיים:

1 שיתוף קבצים שגוי:

עובד המשתף קישור לענן (כמו Google Drive או OneDrive) ומגדיר אותו בטעות כפתוח לכל מי שקיבל את הקישור במקום להגבילו לעובדי החברה בלבד.

2 תכתובות דואר אלקטרוני קריטיות:

שליחת דו"ח שכר או מידע עסקי סודי לנמען שגוי בשל מנגנון ההשלמה האוטומטית בתיבת האימייל (למשל, שליחת אימייל ללקוח חיצוני בעל שם דומה לעובד פנימי).

3 שימוש בכלי בינה מלאכותית חיצוניים:

עובדים המזינים קוד מקור סודי, נתונים פיננסיים או מידע אישי של לקוחות לתוך מודלי בינה מלאכותית ציבוריים לצורך ניתוח, בלי לדעת שהמידע הופך לחלק ממאגר האימון של המערכת.

4 עובדים לשעבר (חשבונות רפאים):

עובד שעזב את החברה אבל תהליך הניתוק שלו מהמערכות הארגוניות לא הושלם באופן מלא, מה שמאפשר לו גישה אקראית (בטעות או מתוך הרגל) למידע פנימי רגיש.

תפקידו האסטרטגי של מנהל משאבי האנוש:

כדי למנוע תקלות אלה, למנהל משאבי האנוש יש תפקיד מפתח שחורג מהדרכה שגרתית.

חברת המחקר דלויט מדגישה, כי מנהל משאבי האנוש אחראי על עיצוב תרבות אבטחת המידע בארגון בשלושה צירים מרכזיים:

1 ניהול מחזור חיי העובד וניתוק בעת עזיבה:

מנהל משאבי האנוש הוא הגוף המסנכרן את תהליך העזיבה. עליו לוודא קיומו של פרוטוקול קשיח מול מחלקת ה-IT, המבטיח חסימה מיידית ואוטומטית של כלל הרשאות הגישה של העובד ביום עזיבתו, כולל קבוצות ווטסאפ, תיבות אימייל ומערכות ענן.

2 הדרכות מבוססות התנהגות:

במקום לקיים מבדק אבטחה משעמם פעם בשנה, על מנהל משאבי האנוש להוביל סדנאות חווייתיות המדמות טעויות נפוצות (כמו למשל שימוש לא בטוח בבינה מלאכותית), במטרה להעלות את המודעות הדיגיטלית והאוריינות הדיגיטלית של העובדים ביומיום.

3 יצירת תרבות של שקיפות בלי להאשים את הטועה:

אם עובד ביצע טעות ושלח קובץ שגוי, עליו להרגיש בטוח לדווח על כך מיד למשאבי האנוש ול-IT, בלי לחשוש מפיטורים.

דיווח מהיר מאפשר לטפל באירוע בתוך דקות ולמזער את הנזק, בעוד שהסתרה מחשש לעונש רק מחמירה את הדליפה.

בסיכומו של דבר, אבטחת המידע כיום כבר לא מבוססת רק על חומות אש טכנולוגיות, אלא על החוסן והמודעות של ההון האנושי.

מנהל משאבי אנוש המבין את תפקידו האסטרטגי, פועל לצמצום חסמי המיומנות, יוצר סביבת עבודה אחראית, ומספק לארגון את ההגנה הטובה ביותר מפני הטעויות הבלתי נמנעות של בני האנוש המפעילים אותו.

השינוי המשמעותי חל למעשה בתחילת משבר הקורונה כאשר כל העובדים שיכלו לעבוד מהבית עברו לעבוד מהבית בבת אחת, לאחר שנים רבות שאופציה זו ניתנה רק למעטים וגם זה למספר ימים בודד בשבוע.

מאז, העבודה מהבית, לפחות כמה ימים בשבוע, הפכה כמעט לסטנדרט, ויחד איתה הולכים וגוברים כל הזמן איומי הסייבר שמסתמכים על העובדים מהבית כנקודות תורפה לפריצה לרשת הארגונית.  

אבטחת מידע בעבודה מרחוק – המעבר מהגנה פסיבית לאבטחה אוטונומית.

אם ניקח לדוגמה את שנת 2022, במהלכה, העבודה מהבית נתפסה כאתגר לוגיסטי לאנשי אבטחת הסייבר, הרי שכיום (2026) היא מהווה את 'קו החזית' של אבטחת הסייבר הארגונית.

ממחקר של גרטנר עולה כי כיום, כ-60% מפריצות הסייבר לארגונים מתחילות בנקודות קצה ביתיות של עובדים.

בעידן הבינה המלאכותית היוצרת (GenAI), הסיכונים הפכו למתוחכמים יותר, אבל גם הכלים העומדים לרשות הארגונים השתכללו לאין שיעור.

איומים חדשים בעידן הבינה המלאכותית – מעבר לפישינג המסורתי:

כיום (בשנת 2026), הסכנה הגדולה ביותר לעובד מהבית היא כבר לא אימייל עם לינק חשוד, אלא מתקפות Deepfake מבוססות בינה מלאכותית.

ממחקר של מקינזי עולה, כי חלה עלייה של 300% בניסיונות התחזות למנהלים בשיחות וידאו או הודעות קוליות (Voice Cloning) כדי לגרום לעובדים להעביר מידע רגיש.

בנוסף, האקרים משתמשים בבינה מלאכותית כדי לסרוק רשתות Wi-Fi ביתיות ולזהות פרצות בנתבים תוך שניות.

אם כן, איך הבינה המלאכותית משנה את ההגנה מהבית. מסתבר שהבינה המלאכותית היא לא רק האיום, היא גם הפתרון.

להלן 3 יכולות מפתח שאבטחת התקשורת מהבית לארגון מתבססת עליהן:

1 ניתוח התנהגותי:

במקום להסתמך רק על סיסמה, מערכות הבינה המלאכותית לומדות את דפוסי העבודה של העובד, לרבות שעות התחברות, מהירות הקלדה, מיקום גיאוגרפי וכדומה.

אם מערכת הבינה המלאכותית מזהה חריגה, היא חוסמת את הגישה באופן אוטומטי עוד לפני שנגרם נזק.

2 מודל אפס אמון מבוסס בינה מלאכותית:

ממחקר של דלויט עולה, כי כ-70% מהארגונים הגלובליים עברו למודל של אפס אמון.

המערכת בודקת כל בקשת גישה של עובד מהבית בזמן אמת, תוך הערכת סיכונים דינמית המבוצעת על ידי אלגוריתמים.

3 תיקון עצמי:

סוכני אבטחה המותקנים על המחשב הביתי מסוגלים כיום לזהות ניסיון חדירה ולבודד את המחשב מהרשת הארגונית באופן אוטונומי, ללא צורך בהתערבות ידנית של איש ה-IT.

איך מתבצעת אבטחת התקשורת:

הצפנת קצה לקצה: ממחקר של חברת גרטנר עולה, כי כ-92% מתעבורת המידע מהבית לארגון עוברת כיום דרך פתרונות SASE (Secure Access Service Edge), המשלבים אבטחת ענן עם יכולות רשת מתקדמות.

פער המיומנויות: ממחקר של מכון גאלופ עולה, כי למרות הטכנולוגיה, כ-42% מהעובדים מרגישים שאין להם מספיק ידע כדי לזהות הונאות בינה מלאכותית מתוחכמות.

לכן, היעד המרכזי של מנהלי משאבי אנוש הוא הכשרת חוסן סייבר אנושי.

עלות הפריצה: ממחקר של מקינזי עולה, כי עלות ממוצעת של פריצת האקרים שמקורה בעבודה מרחוק גבוהה בכ-20% לעומת פריצה בתוך המשרד, בעיקר בשל הזמן שלוקח לזהות את החדירה ברשת ביתית לא מאובטחת.

בשורה התחתונה, אבטחת מידע בעבודה מהבית בימים אלה היא כבר לא רק עניין טכני של מחלקת המחשוב.

היא דורשת שילוב בין טכנולוגיה אוטונומית מבוססת בינה מלאכותית לבין תרבות ארגונית של ערנות.

ארגון שישכיל לצייד את עובדיו לא רק במחשב חזק, אלא גם במערכות הגנה חכמות ובהדרכה רלוונטית, יהיה זה שיוכל ליהנות מהגמישות של העבודה מרחוק, בלי לשלם את המחיר הכבד של פריצות סייבר.

להלן 5 כללי זהב להגנה על המידע של הארגון, על הלקוחות ועל הפרטיות של העובדים מכל מקום:

1 הגישה היא רק של העובד ושל העובד בלבד:

אימות דו-שלבי: לעולם אין לכבות או לעקוף את האימות הדו-שלבי. זהו קו ההגנה החשוב ביותר.

הסיסמה היא אישית: אין לשתף סיסמאות באף פלטפורמה.

מחשב העבודה הוא לעבודה בלבד: בני משפחה, ילדים או אורחים, מקסימים ככל שיהיו, אינם מורשים להשתמש במחשב הארגוני. זהו איסור מוחלט. גם לא רק לרגע, ליוטיוב, או לשיעורי בית.

2 רשתות Wi-Fi – היזהרו ממלכודות:

ה-VPN הוא החבר הטוב ביותר של העובד מהבית: בכל התחברות לרשת חיצונית, ה-VPN חייב להיות דלוק. הוא יוצר צינור מאובטח ומוצפן למידע שעובר ברשת למחשב או למכשיר הנייד של העובד.

בלי רשתות ציבוריות פתוחות: כאשר עובדים בבית קפה או ברכבת, אין להתחבר ל-Wi-Fi החינמי ללא הצפנה. יש להעדיף תמיד שימוש בנקודה חמה (Hotspot) מהטלפון הנייד האישי של העובד.

3 עירנות לפישינג (דיוג):

האקרים אוהבים לנצל את העובדה שהעובד עובד לבד בבית ואינו יכול לשאול את הקולגה בשולחן לידו, האם גם הוא קיבל אימייל מוזר מהנהלת חשבונות.

יש לבדוק את השולח: אם קיבלתם לינק דחוף, זה צריך להדליק נורה אדומה. יש לבדוק היטב את כתובת האימייל של השולח. אות אחת שונה יכולה להיות כל ההבדל.

לא להקיש לפני שבודקים: אם האימייל נראה חשוד אפילו קצת, אין ללחוץ על שום קישור ואין להוריד שום קובץ. יש לפנות מייד למחלקת ה-IT.

4 הגנה פיזית על המידע:

לנעול את המסך: בכל פעם שהעובד זז מהמחשב, בין אם זה כדי להכין לעצמו קפה במטבח או כדי ללכת לבית קפה עם המחשב, יש להקיש Windows + L (או Lock ב-Mac). זוהי פעולה שמונעת חשיפת מידע מיותרת.

להימנע מהדפסה: יש להמנע ככל הניתן מהדפסת חומרים מסווגים בבית. אם העובד חייב להדפיס, עליו לוודא שהמסמכים שהודפסו לא נשארים על השולחן לעיני כל, ולהשמיד אותם ברגע שכבר אין בהם צורך.

5 הכלל החשוב ביותר – דיווח על תקלה ללא אשמה:

למרות ההקפדה ביומיום, קורה לפעמים שיש טעויות. אם העובד לחץ בטעות על לינק חשוד, או שהמחשב שלו נגנב או שהטלפון אבד, עליו לדווח מייד בלי לחשוש.

על מנהל משאבי האנוש להבהיר לכל העובדים, כי תפקידו הוא לעזור, לא כדי להעניש.

דיווח מהיר בתוך דקות יכול למנוע נזק עצום לארגון. ככל שהעובד ידווח מהר יותר, מחלקת ה-IT תוכל לפעול מהר יותר וכך ניתן יהיה לבלום את האירוע בקלות רבה יותר.

ולבסוף, על מנהל משאבי האנוש להזכיר לעובדים שוב ושוב, כי אבטחת מידע היא לא אתגר בלעדי של מחלקת המחשוב, אלא היא באחריות כל אחד מהעובדים והמנהלים.

בעידן שבו העבודה מרחוק מטשטשת את הגבולות הפיזיים בין הארגון לעובד, העובד בביתו הופך להיות קו ההגנה הראשון, או החוליה החלשה ביותר, בכל הנוגע למאבק בתקיפות סייבר.

מנהל משאבי אנוש חדש שזה עתה נכנס לתפקידו, חייב להבין שביטחון המידע הוא חלק בלתי נפרד מניהול האנשים.

להלן 3 צעדים קריטיים שעל מנהל משאבי אנוש חדש ליישם ב-3 החודשים הראשונים לעבודתו בחברה, כדי לוודא עמידה בכללי אבטחת מידע מחמירים, בדגש על סביבת עבודה היברידית ומרוחקת:

צעד 1 – חודש ראשון: יישור קו אסטרטגי ועדכון החוזה הפסיכולוגי:

ב-30 הימים הראשונים לעבודתו בחברה, על מנהל משאבי האנוש החדש לשתף פעולה באופן הדוק עם מנהל אבטחת המידע בחברה ואף עם מנכ"ל החברה.

המטרה היא להבין היכן נמצאות נקודות התורפה האנושיות בעבודה מרחוק: האם מדובר בשימוש ברשתות Wi-Fi ציבוריות, שיתוף סיסמאות, חוסר מודעות לפישינג וכדומה.

לאחר מיפוי נקודות התורפה, יש לעדכן את נספחי העבודה מרחוק בחוזי ההעסקה. זהו לא רק צעד משפטי, אלא הצהרת כוונות: אבטחת מידע היא תנאי להעסקה.

יש להגדיר בבירור את הציפיות, החל בחובת השימוש ב-VPN ובאימות דו-שלבי, ועד לאיסור מוחלט על עבודה ממחשבים אישיים או שיתוף מכשירי קצה עם בני משפחה. זהו הבסיס למחויבות העובד.

צעד 2 – חודש שני: בניית ה'חומה האנושית' דרך למידה חווייתית:

בחודש השני לעבודתו של מנהל משאבי האנוש החדש בחברה, הדגש עובר ממילים למעשים.

שליחת קובץ PDF עם נהלי אבטחה לא תסייע כאן, שכן זו הדרך הבטוחה לכך שאף אחד לא יקרא אותם.

במקום זאת, על מנהל משאבי האנוש ליצור תוכנית הכשרה אקטיבית המותאמת לעבודה מרחוק.

יש לבצע סימולציות של פישינג המדמות סיטואציות יומיומיות של עובד מהבית, כמו למשל  הודעה מזויפת משירות המשלוחים או מהנהלת החשבונות.

המפתח הוא להפוך את אבטחת המידע לערך תרבותי ולא לנטל בירוקרטי.

לאחר מכן, במקום להעניש את העובדים שנכשלו בסימולציה, יש להשתמש בזה כהזדמנות למידה.

יש למנות 'שגרירי אבטחה' בכל צוות שיעזרו להטמיע את הכללים בצורה אורגנית בשיחות הווידאו השבועיות.

צעד 3 – חודש שלישי: הטמעת אחריות אישית ומנגנוני דיווח:

בחודש השלישי לעבודתו של מנהל משאבי האנוש החדש עליו לוודא שהכללים הופכים להרגל.

הדרך לעשות זאת היא באמצעות קישור ישיר בין עמידה בנהלי אבטחה לבין הערכת הביצועים של העובד.

מנהל משאבי אנוש מוצלח יטמיע מדדי אבטחה, כמו לדוגמה השלמת הדרכות בזמן, או אפס אירועי אבטחה רשלניים, כחלק מהמדדים לבונוס או לקידום.

בו זמנית, על מנהל משאבי האנוש החדש ליצור תרבות של דיווח ללא אשמה.

בעבודה מרחוק, עובד עלול לחשוש לדווח על אובדן מחשב או על לחיצה על לינק חשוד מחשש לפיטורים.

תפקידו של מנהל משאבי האנוש החדש הוא לוודא שהעובדים מרגישים בטוחים לדווח מייד על כל תקלה.

דיווח מהיר הוא ההבדל בין תקרית קטנה לאסון ארגוני. בסוף שלושה החודשים הראשונים לעבודתו של מנהל משאבי האנוש החדש בחברה, אבטחת המידע צריכה להיות חלק מה-DNA של הארגון, בדיוק כמו עמידה ביעדי המכירות.

שינוי זה משנה באופן מהותי את נוף האיומים, והופך את ההגנות המסורתיות, המבוססות על מהירות הפיתוח האנושית, ללא מספקות כנגד התקפות במהירות מכונה.

להלן 3 האיומים החדשים והקריטיים שמשתמשים בבינה המלאכותית לבניית נשק סייבר:

1 מותו של האמון – הטעיה היפר-ריאליסטית:

בינה מלאכותית גנרטיבית (GenAI) הופכת הנדסה חברתית ממאמץ חובבני לאיום מתוחכם במיוחד, המכוון אל יסוד האמון הארגוני: זהות.

כלים המונעים על ידי בינה מלאכותית יכולים כעת ליצור סינתזה קולית בזמן אמת, וזיופים עמוקים של וידאו ללא רבב, מה שמאפשר לחקות מנהלים בכירים או אנשי IT מרכזיים בדיוק מדהים.

זה מאפשר Vishing (דיוג קולי) 2.0 והונאת כפיל של מנכ"ל, שבה זהות שנפרצה יכולה להפעיל עסקאות אוטומטיות בעלות ערך גבוה.

הכשרת העובדים למודעות האבטחה המסורתית אינה יעילה במידה רבה כנגד התקפות אלה, המותאמות אישית ומבצעות מניפולציות רגשיות.

תוקפים ישתמשו ב-LLMs כדי לנתח נתוני רשתות חברתיות ונתונים ארגוניים כדי ליצור הודעות דואר אלקטרוני לצרכי דיוג, שהן משכנעות ומותאמות אישית, בקנה מידה גדול.

נחילי דיוג אלה משתמשים בשפה מדויקת ודקדוק מושלם, הם משתמשים בפרטים אישיים מדויקים והם מחקים את הטון הפנימי של המטרה, תוך שהם עוקפים ביעילות מסנני דואר זבל מבוססי מילות מפתח.

2 סוכני תקיפה אוטונומיים ומהירות:

ההתפתחות המדאיגה ביותר היא עלייתה של הבינה המלאכותית המשמשת כסוכן.

מדובר במערכות אוטונומיות המסוגלות לבצע התקפות מרובות שלבים ללא התערבות אנושית, מה שמקצר באופן דרמטי את הזמן בין גילוי נקודות התורפה לניצולן.

סוכני הבינה המלאכותית מאומנים לסרוק רשתות באופן אוטומטי, לזהות נקודות תורפה שלא תוקנו וליצור קוד ניצול ייחודי באופן מיידי.

משמעות הדבר היא שלארגונים יש כמעט אפס זמן השהייה לפני שמתרחש ניצול לרעה.

פושעי הסייבר יוצרים תוכנות זדוניות אדפטיביות המשתמשות ב-LLMs במהלך הביצוע כדי לשנות באופן דינמי את הקוד וההתנהגות שלהן.

זה הופך את המטען לייחודי עבור כל מטרה, ומאפשר לתוכנה הזדונית להשתלב בצורה חלקה בתעבורת המערכת הרגילה תוך התחמקות מאנטי-וירוס מבוסס חתימות ומזיהוי נקודות קצה מסורתי.

3 מיקוד במערכת האקולוגית של בינה מלאכותית – הרעלת שרשרת האספקה:

חשוב לדעת, שאימוץ הבינה המלאכותית על ידי ארגונים, יוצר נקודות תורפה חדשות ומורכבות המשתרעות מעבר להיקף הרשת המסורתי.

התוקפים מתמרנים את ההנחיות של מערכות ה-LLMs הפנימיות של הארגון כדי להערים על הבינה המלאכותית כך שהיא תתעלם מהוראות בטיחות, להדליף נתוני הכשרה רגישים ולבצע פקודות לא מורשות בתוך הרשת.

זהו איום בשרשרת האספקה ​​שבו גורמים זדוניים משחיתים באופן בלתי נראה את מערכי הנתונים העצומים המשמשים לאימון מודלים של בינה מלאכותית.

המודלים המורעלים שנוצרים יכולים להכיל דלתות אחוריות נסתרות, להפיק נתונים מוטים או שגויים, או לסרב לבצע משימות מסוימות, ולהשחית את אינטליגנציית הליבה של העסק מבפנים.

כדי להילחם בתקיפות סייבר בעידן החדש הזה, על אבטחת הסייבר לעבור ממודל תגובתי של אדם מעודכן, למודל הגנה אוטונומי, תוך מינוף הבינה המלאכותית של הארגון כדי להילחם בבינה המלאכותית של התוקפים.

וכדי לבסס מסגרות ממשל חדשות לניהול 'זהות המכונה' של כל סוכן בינה מלאכותית.

אלא שבה בעת, מחקרים שבוצעו בנושא צופים יותר פגיעות על ידי איומי סייבר בגלל התגברות השימוש בבינה מלאכותית.

ממחקרי שוק שבוצעו לצורך תחזיות לקראת השנים 2026-2027 עולה תמונה ברורה למדי, אבל פרדוקסלית:

הארגונים מגדילים אמנם דרמטית את השקעותיהם באבטחת הסייבר, אבל עלייה זו בהוצאות אבטחת הסייבר מתקשה להתמודד עם התחכום והנפח המואצים של איומי הסייבר, המונעים בעיקר על ידי בינה מלאכותית.

הארגונים מגיבים להתגברות איומי הסייבר תוך הגברת התחייבויות פיננסיות חזקות להשקעות באמצעי הגנה מפני תקיפות סייבר.

ממחקרים שבוצעו בעולם על היערכות הארגונים לקראת עלייה באיומי הסייבר בשנתיים הקרובות עולה, כי סך ההוצאה הכלל עולמית על מוצרים ושירותי אבטחת סייבר צפויה לעלות ליותר מ-520 מיליארד דולר בשנה, עד סוף השנה הנוכחית או במהלך 2026.

מדובר בעלייה של כ-100 אחוזים לעומת הוצאות בהיקף של כ-260 מיליארד דולר בשנת 2021.

שוק שירותי אבטחת הסייבר הרחב יותר, צפוי להגיע לכ-178 מיליארד דולר עד 2027, עם קצב צמיחה שנתי מצטבר גבוה.

צמיחה זו מונעת על ידי טרנספורמציה דיגיטלית, התפשטות מכשירי IoT (האינטרנט של הדברים) ואימוץ סביבות מרובות עננים, שכולם מרחיבים את משטח התקיפה.

ההוצאות על אבטחת סייבר מתמקדות יותר ויותר בפתרונות מהדור הבא. התחומים בהם ניתן לראות את הצמיחה המהירה ביותר (של הוצאות על אבטחת סייבר), כוללים אבטחת ענן, ניהול אירועי אבטחה מנוהלים (SIEM), ופתרונות הממנפים בינה מלאכותית ולמידת מכונה לגילוי ותגובה אוטומטיים לאיומים.

עוד עולה ממחקרי השוק, כי כ-53% מהארגונים נותנים עדיפות לכלי בינה מלאכותית כדי לסגור פערים קיימים ביכולות.

ארכיטקטורת אפס אמון (ZTA) צפויה לעבור עד סוף השנה הנוכחית משיטות עבודה מומלצות, לדרישה רגולטורית עבור מגזרים רבים, מה שמאלץ שיפוץ מקיף של מערכות ניהול זהויות וגישה.

אלא שלמרות ההשקעה העצומה, העלייה אמיתית בהגנה מפני תקיפות סייבר נותרה חמקמקה, ויוצרת את פרדוקס אבטחת הסייבר.

ההפסדים שנגרמים לארגונים בעולם כתוצאה מפשעי סייבר ממשיכים לזנק, ועד סוף השנה הנוכחית הם צפויים להגיע לכ-10.5 טריליון דולר בכל העולם.

הדבר מצביע על כך שהעלייה בהוצאות על אבטחת סייבר דומה כעת לקצב העלייה של העלויות הנובעות מההתקפות, או מפגרת מעט אחריהן.

האתגר העיקרי שניצב בפני הארגונים הוא הפיכת הבינה המלאכותית לנשק בידי גורמי האיום.

מהירויות ההתקפות צפויות לעלות עד פי 100 כאשר האקרים ימנפו בינה מלאכותית גנרטיבית לצורך זיופים עמוקים משכנעים ביותר וחדירות אוטומטיות למערכות הארגונים, מה שיהפוך הגנות מסורתיות, המפותחות במהירות אך על ידי בני אנוש, למיושנות.

מומחים צופים ששנת 2026 תסומן כשנת פרצת האבטחה הקיברנטית הגדולה הראשונה המונעת על ידי בינה מלאכותית.

פגיעות בולטת נמשכת בניהול הטכנולוגיה החדשה. אימוץ הבינה המלאכותית על ידי הארגונים אמנם הולך ונעשה יותר ויותר נפוץ, אבל מחקרים מצביעים על כך שרק כששה אחוזים מהארגונים מחזיקים באסטרטגיית אבטחה מתקדמת של בינה מלאכותית.

פער משמעותי זה פירושו שעצם הטכנולוגיה שנועדה להגביר את ההגנות, מציגה בו זמנית סיכונים חדשים ומורכבים.

בסיכומו של דבר, התחזיות לשנים 2026-2027 היא של עימות מחריף בין ההאקרים לארגונים המתגוננים.

הארגונים מחזקים את הגנותיהם עם השקעות שיא בבינה מלאכותית ואבטחת ענן.

עם זאת, גל הגנתי זה נתקל בשימוש עוין בבינה המלאכותית ובצורך ארגוני דחוף לסגור את פער המיומנויות, מה שגורם לרמת ההגנה התאגידית נטו להיות חסרת יציבות באופן מסוכן.

ככל שיותר אנשים קונים אונליין, כך גוברת המוטיבציה של ההאקרים לפרוץ למחשבים האישיים ולמכשירים האחרים של העובדים ומשם קצרה הדרך לפריצה למערכות הארגונים, של עובדים שעובדים מהבית, אפילו באופן חלקי.

האקרים מנצלים את הנפחים הענקיים של הקניות אונליין על ידי הגברת מתקפות הנדסה חברתית.

הם שולחים כמויות אדירות של אימיילים מתוחכמים עם אמצעי פישינג במסווה של אישורי משלוח, מבצעי בלאק-פריידי או הודעות דחופות על משלוחים כושלים מקמעונאים פופולריים.

עובדים, המוסחים על ידי קניות אישיות תוך כדי לחץ בעבודה, נוטים יותר ללחוץ על קישורים או קבצים מצורפים זדוניים במכשירים אישיים ובמכשירי העבודה כאחד.

לינקים אלה יכולים להוביל לדפי איסוף אישורים, המאפשרים להאקרים לגנוב פרטי כניסה של החברה, או להוריד תוכנות זדוניות או תוכנות כופר לרשת הארגונית.

יתר על כן, עונת החגים פירושה לעיתים קרובות שצוות ה-IT דליל יותר משום שחלק מהאנשים בחופשה.

מצב זה מאפשר לתוקפים לנצל פגיעויות או להפעיל מתקפות כופר בידיעה שזמני התגובה יהיו איטיים.

ההתמקדות בנפח מכירות גבוה יכולה גם להוביל חברות להוריד זמנית את סדרי העדיפויות של אבטחה לטובת מהירות, וליצור פתח קריטי לפריצה.

לאור כל זאת, כל מי שעובד מהבית, גם חצי שעה ביום לאחר החזרה מהעבודה במשרד, חייב להקפיד על כל כללי הגנת הסייבר, כאילו המחשב בביתו הוא מחשב העבודה שלו.

אחרי הכול, כל תקשורת בין מחשב שנפרץ למחשבי החברה, יכולה לשמש כאמצעי תיווך לפריצה למערכות החברה.

תקופת הקניות בחודשים נובמבר דצמבר, היא עונת השיא עבור האקרים. זו תקופה שבה אתרים מתחזים, דיוג (פישינג) וגניבת פרטים אישיים, לרבות ססמאות ושמות משתמשים, הופכים לנפוצים מאוד.

להלן 9 כללי ברזל לקנייה בטוחה באונליין, שפירסם מערך הסייבר הלאומי, כדי להגן מפני פריצות סייבר:

1 יש לקנות רק באתרים מוכרים, שיש עליהם חוות דעת טובות ברשתות החברתיות.

2 כשמקבלים הודעה בווטסאפ או באימייל או נתקלים במודעה ברשתות החברתיות, לא נכנסים ללינק אלא מחפשים את האתר המקורי ונכנסים רק דרכו.

וגם באתר המוכר, אם מקבלים הודעה שנאמר בה שיש למלא פרטים אישיים באופן מיידי, ושאם הפרטים לא ימולאו באופן מיידי יגרם נזק, לא ממלאים שום פרט.

מבררים עם שירות הלקוחות של האתר אם זה אכן לגיטימי. בדרך כלל, הודעות שמאיצות במשתמש למלא פרטים וכוללות איום לגבי נזקים שיקרו אם הפרטים לא ימולאו, הן הודעות של תקיפת סייבר.

3 בכל אתר שנכנסים אליו, גם באופן ישיר ולא דרך לינק, רצוי לחפש את פרטי העסק ושירות הלקוחות.

4 בכל אתר יש לבדוק שיש HTTPS.

5 אם מקבלים אזהרת דפדפן, יש לצאת מייד מהאתר.

6 נקודה חשובה מאוד: יש לבדוק כמה זמן האתר קיים. אם הוא אתר חדש שהוקם בסמוך לעונת המבצעים, זו צריכה להוות נורה אדומה מהבהבת עם קולות של סירנה.

7 יש לקרוא את מדיניות ההחזרות, משלוחים, פרטי התקשרות וכדומה. אין לתת אמון באתר שאין בו שקיפות.

8 בשום פנים ואופן אין לשלוח פרטי כרטיס אשראי או פרטי גישה בהודעות. התשלום צריך להתבצע רק באתר מאובטח. לא בווטסאפ, לא בטלפון.

9 רצוי לבדוק את הביקורות. אם הן נראות מועתקות או זהות באתרים שונים, הן כנראה מזויפות.

בכל מקרה, כמו תמיד, חשוב מאוד לבחור סיסמה חזקה ולהוסיף אימות דו-שלבי.

זו הסיבה שרשת פרטית וירטואלית (VPN) אינה רק כלי מומלץ, אלא מהווה שכבת הגנה חובה לכל עובד המתחבר למשאבי החברה.

ה-VPN יוצר מעין מנהרה וירטואלית מוצפנת בין מכשיר העובד לרשת הפנימית של החברה.

קישור מאובטח זה מבטיח שכל הנתונים, לרבות אימיילים, העברות קבצים, מסמכים רגישים ופרטי כניסה, יעברו "ערבוב" לפני שהם עוזבים את המחשב ויהיו בלתי קריאים לכל מי שעשוי ליירט אותם.

ללא VPN, העובד חושף למעשה נתונים ארגוניים רגישים לסיכונים הטבועים בחיבורי אינטרנט ציבוריים וביתיים.

נתבים ביתיים הם לרוב פחות מאובטחים ממערכות ברמה ארגונית, ופועלים על הגדרות ברירת מחדל או חומרה מיושנת, מה שהופך אותם למטרות קלות להאקרים.

יתרה מכך, עובדים שעובדים מרחוק, מתחברים לעיתים קרובות לנתונים ארגוניים באמצעות רשתות Wi-Fi ציבוריות בבתי קפה, שדות תעופה או בתי מלון.

רשתות אלו ידועות לשמצה כלא מאובטחות, מה שמותיר נתונים פגיעים להתקפות מצד תווך אמצעי ('האדם שבאמצע'), שבהן גורם זדוני מיירט וקורא תקשורת שעוברת דרך נקודת הגישה הציבורית של ה-Wi-Fi.

על ידי אכיפת חיבור VPN על העובדים, ארגונים יכולים לוודא שכל הפעלה מרוחקת עומדת באותו סטנדרט גבוה של אבטחה ברמת הארגון, ומגנה לא רק על העובד, אלא על כל הארגון מפני פרצת נתונים יקרה.

עובדים עשויים לפעמים להשבית את ה-VPN שלהם בגלל מהירות או תחושה של אי נוחות.

חשוב להסביר להם שההשלכות האבטחתיות עולות בהרבה על היתרונות הקטנים של מהירות.

מנהל משאבי אנוש, בשיתוף עם מחלקת ה-IT, יכולים להדגיש בפני העובדים את הסיבות הקריטיות להשארת ה-VPN פועל כל הזמן.

להלן 3 טיעונים שיש להציג בפני העובדים לטובת הקפדה על אבטחת סייבר ועל השארת ה-VPN דולק כל הזמן:

1 לעצור את מרגלי הנתונים – הצפנה היא קו ההגנה הראשון שלכם:

כל פיסת מידע שאתם שולחים, לרבות סיסמאות החברה, רשימות הלקוחות וכו, מוצפנת על ידי ה-VPN.

השבתתו דומה לשליחת מכתב סודי בדואר הציבורי ללא מעטפה. שמירה על ה-VPN דולק כל הזמן, מבטיחה שכל העבודה שלכם תישאר בלתי קריאה להאקרים, לספק שירותי האינטרנט שלכם (ISP) או לכל אחד אחר המנטר את תעבורת הרשת שלכם.

2 לוודא אפשרות גישה למערכות פנימיות:

יישומים רגישים רבים של החברה, שרתי קבצים ומסדי נתונים, מוגדרים לדחות חיבורים שאינם מגיעים מכתובת IP מוכרת ומאובטחת, שהיא כתובת ה-IP המסופקת על ידי שרת ה-VPN.

כיבוי ה-VPN פירושו שהעובד לא יוכל לגשת לכלים שהוא זקוק להם כדי לבצע את עבודתו. זהו המפתח המאובטח היחיד למשרד הדיגיטלי.

3 הגנה על כל החברה מרשת הבית של העובד:

המכשיר האישי או הנתב הביתי של העובד עלולים להכיל תוכנות זדוניות בלי שהעובד יודע על כך.

ניתוב כל התעבורה דרך ה-VPN מאפשר לחברה לפרוס חומות אש מתקדמות ומערכות זיהוי איומים, כדי לסנן את התעבורה לפני שהיא נכנסת לרשת הליבה של החברה.

ה-VPN של העובד משמש כנקודת ביקורת אבטחה הכרחית, ומונע ממערכת ביתית נפגעת אחת, להפוך לנקודת כניסה להתקפת כופר רחבה יותר או גניבת נתונים נגד העסק כולו.

תפקידו של מנהל משאבי אנוש פרואקטיבי הוא קריטי בגישור הפער בין דרישות ה-IT הטכניות לבין הבנת העובדים את אחריותם להגנת הרשת הארגונית, תוך הבטחת תרבות אבטחה איתנה.

הדרכת אבטחה מקיפה שתועבר בצורה מרתקת:

האחריות העיקרית של מנהל משאבי אנוש היא להקים ולאכוף תוכנית הדרכה חובה ורציפה, למודעות לאבטחה המותאמת לכוח העבודה המודרני והמבוזר.

מדובר בתוכנית שהיא הרבה מעבר למצגות שנתיות. ההדרכה חייבת להיות חוזרת, בתדירות גבוהה, ורלוונטית לזרימת העבודה היומיומית מרחוק.

יש להשתמש בדוגמאות אנונימיות מהעולם האמיתי של התקפות מוצלחות נגד חברות דומות, כדי להמחיש את ההשפעה הפיננסית והתדמיתית ואת השפעתה של הפריצה על הביטחון התעסוקתי.

מיקרו-למידה:

יש לפרק נושאים מורכבים למודולים קצרים וקלים ללמידה, כגון סרטונים בני חמש דקות או חידונים אינטראקטיביים, שהעובדים יכולים להשלים אותם באופן קבוע ושטף. זה עוזר לחזק את הידע בלי לגרום לעייפות הדרכה ויציאה מריכוז.

התמקדות בקשר מרחוק:

מודולי הדרכה ספציפיים חייבים להתייחס לנקודות תורפה שהן ייחודיות לעבודה מהבית, כגון אבטחת רשתות Wi-Fi ביתיות, שימוש במכשירים שהונפקו על ידי החברה אך ורק לעבודה, הסיכונים של Wi-Fi ציבורי ואבטחה פיזית של מכשירים במרחב מגורים משותף.

הסבר הסכנות – פענוח סוגי פריצות:

כדי להבין באמת את חומרת האיום, העובדים חייבים להבין כיצד האקרים פועלים ואת הסכנה הספציפית הנשקפת מכל וקטור התקפה.

על מנהלי משאבי האנוש לשתף פעולה עם מחלקת ה-IT כדי לתרגם את השפה הטכנית והמונחים, למונחים ברורים וניתנים ליישום:

פישינג:

דואר אלקטרוני או הודעה מטעה שנועדו להיראות לגיטימיים (למשל, כאלה שנראים כאילו הגיעו מ-IT, ממשאבי אנוש או מספק) שמנסים להערים על העובדים כדי שילחצו על קישור זדוני או כדי שימסרו פרטי כניסה למערכת.

הפישינג מאפשר גניבת אישורים מיידית, דבר שמעניק להאקר מפתח תקף לרשת החברה, מה שמוביל לגניבת נתונים או להתקפות נוספות.

סוס טרויאני:

תוכנה מזיקה במסווה של יישום שימושי או תמים (למשל, משחק חינמי, קורא מסמכים, תיקון שנראה לגיטימי, אגרת ברכה דיגיטלית) שהמשתמש (העובד) מוריד למחשב מרצונו.

סוס טרויאני יוצר גישה סמויה למערכת. כלומר הוא יוצר 'דלת אחורית' במחשב של העובד, דרכה הההאקר יכול לגנוב נתונים, לנטר פעילות או להתקין תוכנת כופר (שנועלת קבצים לצורך דרישת כופר).

הנדסה חברתית:

מניפולציה של עובדים שישברו את פרוטוקולי האבטחה. לעיתים קרובות זה מתבצע על ידי משחק על אמון, פחד או תחושת דחיפות (למשל, שיחה ממישהו שמתחזה למנכ"ל הדורש העברה בנקאית מיידית).

האקרים שמשתמשים בהנדסה החברתית עוקפים בכך את האבטחה הטכנית. שיטה זו מנצלת את הגורם האנושי, מה שמוביל לעיתים קרובות להפסד כספי משמעותי או לחשיפת מידע רגיש ביותר.

טיפוח תרבות ארגונית של דיווח ללא אשמה:

חשוב לציין, שמנהל משאבי אנוש חייב לפעול כדי לחסל את הפחד של העובדים מפני מעונש, כאשר עובד לוחץ בטעות על משהו חשוד.

תרבות ארגונית של "אי אשמה" הינה חיונית לדיווח בזמן אמת, שכן ככל שמחלקת ה-IT תדע מהר יותר על בעיה, כך היא תוכל לבלום את האיום מהר יותר.

על משאבי אנוש להעביר בבירור את נוהל דיווח האירועים המפרט את הדברים הללו: למי לפנות אם התרחשה טעות שגרמה לפריצה, כיצד ליצור איתו קשר (לא דרך הדואר האלקטרוני שעלול להיות פרוץ), ואילו צעדים יש לנקוט באופן מיידי (למשל, ניתוק מהרשת).

קידום עקבי של גישה פרואקטיבית זו מאפשר למנהל משאבי האנוש להפוך עובדים מרוחקים הפגיעים לפריצות, לצוות אבטחה עירני, ולהפוך טעויות אנוש להזדמנות לחינוך ולא לכישלון קטסטרופלי.