אירוע "ברבור שחור"

בעקבות תקלת המחשוב העולמית, שהשביתה חברות תעופה, בנקים, גופי ממשל כמו נאס"א וה-FBI ובתי חולים ברחבי העולם, ישבנו לשיחה צפופה עם דודי קליין, מנהל תחום חקר ביצועים ותחום המשכיות עסקית במרכז התמחות Matrix Consulting, על ניהול סיכונים, אירוע ברבור שחור וההיערכות הקריטית למגה-אירועים מסוג זה 

באמצע יולי 2024, תקלת ענק גרמה לשיבושים בשדות תעופה, חברות תעופה, גופי ממשל (כולל נאס"א וה-FBI), בנקים, בתי חולים ועוד ברחבי העולם – שאיבדו את היכולת לתפקד ולתת שירותים לציבור בשל קריסה של מערכות מחשוב. התקלה, כך התברר, נגרמה כתוצאה מעדכון תוכנה שגוי למערכת הגנת יחידות קצה של חברת הסייבר CrowdsSrike, עם תוצאות דרמטיות ונזקים אדירים שהיקפם עדיין מתברר.

"זאת לא הפעם הראשונה שדבר כזה קורה", אומר דודי קליין, מנהל תחום חקר ביצועים ותחום המשכיות עסקית במרכז התמחות Matrix Consulting, "לפני מספר שנים, אחד מהבנקים בישראל ביצע תיקון גרסה והמערכות שלו נפלו למספר ימים. ארגונים צריכים מערכות גיבוי ונהלי חירום, שיאפשרו רציפות תפקודית במקרה של קריסת מערכות במקרים מסוג זה. מהבחינה הזאת, זה לא שונה ממתקפת סייבר או רעידת אדמה, או כל אירוע אחר שמתרחש ומשבית באופן מלא את מערכות המידע. אירועים מסוג זה מכונים לפעמים בטרמינולוגיה המקצועית "ברבור שחור".

ברבור שחור?    

"כן, ברבור שחור – במשך הרבה שנים, חשבו שכל הברבורים הם לבנים עד שבמאה ה-17, כשגילו את אוסטרליה, התברר שישנם בעולם גם ברבורים שחורים. התיאורטיקן ניקולס טאלב הפך את הברבור השחור למטאפורה, שמתארת אירועים נדירים שיש להם השפעה דרמטית על החיים שלנו, בפרספקטיבה עולמית: מגפת הקורונה, משברים כלכליים, מלחמות ועוד. וכאשר מסתכלים מפרספקטיבה של ארגון בישראל, הוא מושפע, כמובן, מאירועים גלובליים, ובנוסף לכך, גם מאירועים שרלוונטיים רק למה שמתרחש בישראל, וכמובן שיש אירועים שרלוונטיים בעיקר לארגון עצמו. באירוע ברבור שחור הכוונה להיערכות לאירועים נדירים ובלתי צפויים, שבדיעבד צפוי היה שיקרו. הכוונה לאירועים שיש להם השפעה דרמטית על תפקוד הארגון, ולפעמים מאיימים על עצם קיומו."

אז איך נערכים? שכפול מערכות וגיבויים  

"קודם כל, יש את כל התחום של DR (=Disaster Recovery). ארגונים צריכים שתהיה להם תכנית פעולה למקרה חרום. למשל, הקמת אתר חלופי למקרה בו מערכות המחשוב קורסות במטרה להגן על המידע  יקר הערך של הארגון. רמה גבוהה יותר של היערכות היא לא רק להגן על המידע הארגוני, אלא לאפשר לארגון להמשיך כמעט מיידית לתפקד באמצעות האתר החלופי. הפתרון הטכנולוגי במקרה כזה הוא שכפול מערכות. לבנות אתר חלופי למערכות המידע שיושב במקום מרוחק והוא מוגן ביחס למתארי סיכון מגוונים (מלחמה, רעידת אדמה, צונאמי ועוד). צריך כמובן לבצע ניתוח, ולהחליט מה באמת הכרחי לגבות באתר, איזה מערכות יותר חשובות כדי להוזיל עלויות. וכמובן, להיערך גם במקרה של אירוע סייבר כך שלפחות אחת מהמערכות תהיה זמינה והמידע המופיע בה יהיה אמין.

ארגונים שיש להם רק מערכת מידע אחת, חשוב מאוד לבצע גיבוי עיתי – באמצעות התקנים נתיקים. חשוב לוודא שתהליך כזה של עדכון מנוהל היטב, כלומר כותבים מראש נוהל של מה עושים בכל מיני תרחישים. דבר נוסף שחשוב ואפשר להתכונן אליו מראש, זאת עבודה העוקפת את המערכות הממוכנות. כך שבפרק הזמן שבו יחידת ה-IT פועלת להחזיר לפעולה את מערכות המידע, הארגון ממשיך לספק שירותים ללקוחותיו, גם אם רמת השירות נמוכה מאשר בשגרה. במקרה כזה, נערכים לעבודה בשיטות עבודה מסורתיות מול ספקים, לקוחות ועוד: במקום שימוש במערכות הזמנה ממוכנות, שליחת מייל הזמנה לספקים, פניה טלפונית ואף רישום ידני. באופן דומה, הארגון יקבל פניות מלקוחות במייל ובטלפון במקום דרך מערכת פניות.

מה שחשוב זה שארגונים ימפו לעצמם את הסיכונים האלה, ימפו את התהליכים החיוניים מבחינה עסקית, ויוודאו שיש להם את היכולת לקיים אותם גם בעת משבר, כולל היערכות מבחינת גיבוי המידע הנדרש לתהליכים אלו. גיבוי מסוג זה יכול לנוע משכפול מערכת ועד, למשל, במקרה של עבודה עם מפרטים טכניים, לדאוג מראש לגיבוי מפרטים בהתקן גיבוי נתיק ואפילו בעותקים קשים (הדפסות)."

מעבר להיערכות לאירוע של אסון וקריסת מערכות, האם יש אמצעים שניתן לנקוט כדי למנוע?

"קודם כל, לא, כי כל הרעיון של "ברבור שחור" הוא אירוע שהמקרה הממוקד הזה לא עלה בתכנון המוקדם של רציפות תפקודית שנערכנו לגביו, כי לא ציפינו שיתרחש, או בניהול הסיכונים של הארגון הוערך שהסתברותו זניחה מכדי להשקיע בהתמודדות אתו, ולרוב הם גם לגמרי מחוץ ליכולת השליטה של הארגון. אבל במקרה הזה שקרה, כן יש לקח שאפשר להפיק. ביצוע עדכונים למערכות המידע צריך להיות מנוהל בצורה קפדנית: לא לבצע עדכון בכל המערכות בבת אחת, להכין מראש אפשרות נסיגה וחזרה למצב קודם וכד'."