כשאירוע סייבר אמיתי מתרחש, הוא לא דומה לשיעור בכיתה. אף מדריך לא עוצר את ההתקפה כדי שהחניכים יוכלו לרשום הגדרה. כופרה לא מחכה בנימוס בזמן שצוות מדפדף במדריך למידה. ברגע שפריצה מתחילה, כל שנייה היא לחץ - בלבול, רעש, מידע חלקי, הטעיות, והזרמת האדרנלין הקבועה שמגיעה ברגע שמשהו נראה לא בסדר ואף אחד לא יודע למה.
ובכל זאת באופן מוזר, רוב חינוך אבטחת הסייבר עדיין מאמן אנשים כאילו הם לעולם לא יותקפו בפועל.
במשך עשרים שנה, הוראת סייבר נראתה כמעט זהה: הרצאה, מצגת שקפים, הסמכה ומבחן אמריקאי שבודק אם מישהו זוכר את ראשי התיבות הנכונים במקום אם הוא יכול לפרש התראה חיה ב-SIEM ב-2:30 לפנות בוקר כשהטלפונים מתחילים לצלצל.
והפער הזה - הפער בין לדעת לבין לעשות - הוא בדיוק המקום שבו ארגונים נפרצים.
הבעיה עם "ללמד על אבטחת סייבר"
עולם הסייבר מוצף באנשי מקצוע שיכולים לדבר על התקפות אבל מעולם לא נלחמו באחת בפועל.
בקשו מבוגר טרי לתאר כופרה, ורבים יכולים. בקשו מהם להכיל כופרה, ושתיקה לא נוחה מגיעה לעתים קרובות.
רוב הכישלונות באבטחת סייבר לא נובעים מחוסר ידע; הם נובעים מחוסר אינסטינקט מתורגל. כל אחד יכול לשנן "נתק את הנכס הנגוע". אבל בתגובה לאירוע אמיתי השאלה היא: איזה מכשיר, באיזה סדר, תוך הימנעות משיבוש נלווה לעסק - ומי צריך לדעת על זה עכשיו?
סוג כזה של שיקול דעת בלתי אפשרי לפתח מבוחן.
למה אנחנו זוכרים את מה שאנחנו עושים, לא את מה שאנחנו קוראים
בני אדם לומדים על ידי עשייה - זו אינה מטאפורה; זו ביולוגיה.
שאלו טייס כמה שעות הוא בילה בקריאה על הטסת מטוסים לעומת הנחתת מטוס בסימולטור. שאלו מנתח אם הוא ניתח מטופל לראשונה לאחר שעבר מבחן בכתב. שאלו חייל אם החלטת האש החיה הראשונה שלו קרתה בשדה הקרב.
ניסיון יוצר סוג של זיכרון שלא ניתן לגשת אליו דרך תיאוריה. המוח מחווט את עצמו אחרת כשאנחנו פועלים.
אבטחת סייבר אינה שונה. מגינים צריכים יותר ממידע - הם צריכים רפלקס.
הפעם הראשונה שאנליסט SOC רואה תנועה רוחבית לא צריכה להיות בייצור.
סימולציה משנה את המשוואה
סימולציה מעשית מביאה לומדים למגע עם הבלגן של המציאות - אי-הוודאות, הלחץ, הלוגים החלקיים, הרמזים המטעים, ההסלמה הפתאומית.
במעבדת סייבר מציאותית, אתם לא פשוט "לומדים על" הזרקת SQL. אתם צופים בתוקף מנצל אותה, מסננים את התעבורה, מזהים את החילוץ, וסוגרים את הדלת לפני שהמסד נתונים מתרוקן. אתם לא "לומדים" שליטה ובקרה (C2). אתם מגלים Beacon, שוברים את הערוץ שלו, ומתעדים את שרשרת ההריגה.
מה שאנשים מתרגלים זה מה שאנשים זוכרים. מה שהם זוכרים זה מה שהם פועלים לפיו תחת לחץ.
סימולציה הופכת לומדים מצופים למפעילים.
המספר שכולם מדברים עליו
מחקרים אחרונים בסביבות למידה יישומית מצביעים על יתרון עקבי: אנשים משמרים ומעבירים בערך 70% יותר יכולת כשההדרכה כוללת עשייה במקום הקשבה.
זה לא קסם - זה איך שהמוח האנושי התפתח. לחץ והשלכה מחדדים קשב. אינטראקציה מבססת נתיבים. רגש הופך זכרונות לדביקים.
תרחיש התקפה חי הוא בלתי נשכח בדרך ששום PowerPoint לעולם לא יהיה.
המחיר של לטעות
הסיכונים לכישלון בהדרכה עולים כל שנה.
ארגונים מוציאים מיליונים על כלים, ובכל זאת רוב הפריצות עדיין מתחילות ב-אינטראקציה אנושית - צעדים שגויים, התעלמות, הנחות שגויות, עיכובים. אבטחת סייבר אינה רק בעיה הנדסית; היא בעיית ביצועים.
הדרכה מסורתית מייצרת אנשי מקצוע שיכולים לתאר את ספר המהלכים. סימולציה מייצרת אנשי מקצוע ש-הריצו את המהלך.
אלה לא אותן תוצאות.
החלק שאף אחד לא רוצה להודות בו
במשך שנים, תרבות אבטחת הסייבר תגמלה הסמכה יותר מאשר יכולת. הסמכות הפכו גיוס לקל יותר. הן יצרו שפה סטנדרטית. הן יצרו כוח אדם גלובלי.
אבל הן גם יצרו נקודה עיוורת: ההנחה שהסמכה שווה מוכנות.
הדור הראשון של מגיני סייבר למד בכך שנזרק לאירועים חיים כי לא הייתה אלטרנטיבה. כיום, האלטרנטיבה קיימת - ואי שימוש בה נראה יותר ויותר רשלני.
קו הבסיס החדש למוכנות סייבר
סימולציה אינה בגדר "נחמד שיהיה" (nice to have) יותר.
היא הופכת במהירות לציפייה:
- משרדים הבונים תוכניות מוכנות לאומית
- ספקי הדרכה המשיקים אקדמיות
- ארגונים המנסים להפחית את השפעת הפריצה
- צוותי הגנה המתכוננים ליריבים שאינם כבולים לחוקים
סימולציה מעלה אנשים רמה מהר יותר כי היא מכריחה אותם להפנים מיומנויות, לא לסרוק אותן.
חשוב מכך - היא בונה ביטחון. הסוג שחשוב כשההתראה אמיתית.
העתיד הוא השתתפות, לא מצגת
אבטחת סייבר אינה הרצאה. זהו ספורט מגע המשוחק דרך מקלדות וקונסולות.
הארגונים שמתייחסים להדרכה כתיאורטית ימשיכו לייצר מגינים שקופאים ברגע הראשון שהסביבה בוערת. הארגונים שמתאמנים דרך סימולציה יבנו אנשי מקצוע שיש להם זיכרון שריר - סוג הזיכרון שמופיע כשזה נחשב.
כי בסופו של דבר, ההדרכה היחידה שחשובה היא ההדרכה שמתפקדת תחת לחץ.
מעשי (Hands-on) אינו האלטרנטיבה לחינוך סייבר. זה הוא חינוך סייבר.
וזה מגיע בדיוק בזמן.