מחשבות מהירות על אבטחת מידע

כמה מחשבות מהירות על אבטחת מידע.

היום הייתה לנו הרצאה מאוד מעניינת על אבטחת מידע. באופן אישי, אני יכול לחלק אופי ההקשבה שלי לשני חלקים – עשר הדקות הראשונות של הקשבה טכנולוגית ושעה שלמה של הקשבה למה שעומד מאחורי המילים.

למה אני מתכוון? ההרצאה התחילה בחלוקת נושא האבטחה לשלוש שכבות:

1. רמת הרשת – מתייחסת לאנשי הסיסטם, הקמת פיירוולים וכיוב’.

2. רמת שרת – גישה לשרת, מתן הרשאות כתיבה וכיוב’.

3. רמת האפליקציה – שנוגעת ישירות למשתמש ולא לשרת עצמו וכוללת בין היתר את האפשרות לתמרן את המשתמש ולגרום לו למסור נתונים אישיים ללא ידיעתו.

פה נגמרו עשר דקות ההקשבה הטכנולוגית כשמיד לאחריהן התחלתי להרהר ביני לבין עצמי על המשמעות של הדברים. התחלתי להקשיב לא למה שאומר המרצה אלא למה שעומד מאחורי המילים, והגעתי לתובנה מעניינת. שמתי לב שהשיח שבו הוא משתמש מנותק לגמרי מהרמה של השיח היומיומי והממוצע – מפוצץ במילים שאין להן שום משמעות מעבר למהותן הטכנית – Post, Java Script , SQL, XSS, Stored Procedure. זאת אומרת, יש פה שיח שמכיל מונחים שבכלל לא רלוונטיים לשיחים אחרים. אבל זה לא נגמר רק פה, משום לשיח הטכנולוגי הזה יש משמעות נוספת, הוא גם ממדר בין אלו שיודעים ומכירים אותו לבין אלו שלא. במילים אחרות, נוצר פה מצב מעניין, האדם שבקיא בידע ולכן הוא חזק לעומת האדם שלא מכיר את הידע ולכן הוא חלש. אבל החלש שותף לידע הזה גם מבלי שהוא יודע, הוא נכנס לפייסבוק, הוא קונה דיסקים וספרים באמזון וכל זאת תחת מטריית אבטחה מקוונת – אבל המשתמש לא לגמרי מודע לכך וכך נוצרת בינו לבין השיח הטכנולוגי מערכת יחסים סמויה.

השיח הטכנולוגי הזה לא נולד מהאוויר אלא מצרכים מסוימים. במילים אחרות, השיח משרת תפקיד מסוים. אני אקצין ואומר שהוא לא בא אך ורק לתת פתרון מעשי לבעיות האבטחה אלא גם למדר, למתוח גבול בין האנשים שיודעים לבין אלו שלא יודעים, בין בעלי הכוח לחסרי הכוח. התיחום הזה נועד לבטא באופן מעשי את הרצון למנוע מהפרטים גישה לידע גולמי שלא נתון לפרשנויות – הבנק מאבטח את עצמו מפני פריצות מחיצוניות, אבל האם זו לא זכותו הטבעית של הלקוח לדעת באופן בלתי אמצעי מה בדיוק הולך בבנק שמחזיק בכספי הפנסיה שלו? אז נכון, זו שאלה גסה ולא הוגנת כי יש אלף אחד ושיקולים נוספים לאבטחת המידע של הבנק אבל באותה מידה אפשר להשתמש בדוגמה אחרת – גוגל. גוגל יצרה את שפת ה-SEO שלה שמשפיעה על תוצאות החיפוש ומכאן שגם על הידע של הפרטים. שתי הדוגמאות הללו ממחישות מצב בו ישנו פרט שנמצא במעמד כוח נחות כיוון שהשיח הטכנולוגי מכוון את רמת הידע שלו באופן כזה שמשרת את בעלי הכוח.

נו, אז עכשיו אפשר לשאול – הרי בסופו של דבר הפרט מקבל את מבוקשו בין אם כשהוא מחפש מידע בגוגל או בין אם כשהוא בודק את המצב העו"ש באתר המקוון של הבנק, אז בעצם כל כך רע בזה?

אז זהו, אני חושב שאין פה עניין של רוע או של טוב כמו תמונה מעניינת של תפישת הכוח. בסופו של דבר הכוונה היא להראות שהשיח הטכנולוגי הזה יוצר מעמדי כוח שמשפיעים על החלש ומכאן גם על הידע שמגיע לו, אבל המרתק בכל הסיפור הזה שהכוח המגולם בשיח הטכנולוגי נותן גם את האפשרויות להתנגד לו. אותם הפורצים מבעד לשכבות האבטחה של הבנק הינם פרטים שבקיאים ומתמצאים בשיח הזה אך עושים בו שימוש "רע" ותוך כדי כך חושפים את תחתוניו. אפשר לבוא ולומר, נכון, אבל רוב הפריצות לא נובעות ממניעים אידיאולוגיים שבאים להראות שהמלך הוא עירום אלא באות מתוך אינטרסים צרים גרידא, אז מה כל הקשקוש הזה? הקשקוש הזה חשוב משום שהוא נותן לנו לראות כי הכוח מסוגל גם לתקוף את עצמו, הוא נותן אפשרות להתנגד לו. הקשקוש הזה מאוד לא מובן מאליו ואותי, באופן אישי מאוד הוא מספק. בעבודה, הוא מכניס אותי לפרספקטיבה וגורם לי לשאול לא איך דברים נעשים אלא למה הם נעשים, מה מפעיל אותם ומה ההיגיון להם. הפער הזה שבין ה’איך’ ל’למה’ הוא משמעותי במיוחד כשבאים לפתח רעיון חדש והוא זה שיכול לעשות את ההבדל בין תוצר עבודה טוב לבין תוצר עבודה רע.

זה הכל.

יהונתן לרנר | 11 בדצמבר 2008 | אינטרנט, כללי | תגובות