אבטחת מידע התנהגותית

אבטחת מידע התנהגותית (נקראת גם ״תרבות הגנת סייבר״) היא תחום משנה באבטחת מידע ובאבטחת סייבר, המתמקד בהרגלים, בדפוסי שימוש ובהחלטות של בני אדם המשפיעים על רמת ההגנה על מידע דיגיטלי ופיזי. בעוד שאבטחת מידע טכנולוגית עוסקת באמצעי הגנה כגון הצפנה, חומות אש ומערכות זיהוי מתקפות, אבטחת מידע התנהגותית מדגישה את התפקיד המרכזי של ה"גורם האנושי" – משתמשים פרטיים, עובדים בארגון ואנשי מקצוע – ביצירת חוסן או פגיעות של מערכות המידע.

התחום כולל מחקר, מדיניות ויישום של שיטות לשינוי הרגלים והתנהגויות, הגברת מודעות לסיכוני סייבר, ותכנון מערכות באופן שמקל על התנהגות בטוחה ומקשה על התנהגות מסכנת, הן בסביבה המקוונת והן בסביבה הפיזית. אבטחת מידע התנהגותית נתפסת כהשלמה לאמצעי ההגנה הטכנולוגיים, ולא כתחליף להם.

 הגדרה 
אבטחת מידע התנהגותית היא מכלול העקרונות, הנהלים והפרקטיקות שמטרתם לצמצם סיכוני אבטחת מידע הנובעים מדפוסי התנהגות אנושיים, מודעים ושאינם מודעים. בתחום זה מתייחסים להתנהגות האנושית כחוליה מרכזית בשרשרת ההגנה: בחירת סיסמאות, שיתוף מידע, אופן השימוש במכשירים דיגיטליים, תגובה להודעות חשודות, מסירת מכשירים לתיקון, השמדת ציוד אלקטרוני ועוד.

הגישה ההתנהגותית אינה רואה במשתמש רק "נקודת כשל", אלא גם משאב הגנה פוטנציאלי. בהתאם לכך, אבטחת מידע התנהגותית שואפת לעצב הרגלים בטוחים, לפתח מיומנויות זיהוי סיכון, וליצור סביבת שימוש שבה ברירת המחדל היא התנהגות מגוננת יותר על מידע אישי וארגוני.

 רקע תאורטי והתפתחות התחום 
מאז סוף המאה ה־20 ובתחילת המאה ה־21 התברר יותר ויותר כי חלק משמעותי מאירועי אבטחת מידע נובע מהתנהגות משתמשים: פתיחת קישורים זדוניים, שימוש חוזר בסיסמאות, שיתוף יתר ברשתות חברתיות, השארת מחשבים ללא נעילה, מסירת מכשירים ותוכנם לאנשי מקצוע ללא בקרה ועוד. תובנה זו הובילה להתפתחות תחום מחקר ופרקטיקה המתמקד ב"גורם האנושי" באבטחת מידע, ולעיסוק גובר ב"תרבות אבטחת מידע" ובתרבות אבטחת סייבר בארגונים.

אבטחת מידע התנהגותית נשענת על מספר תחומי ידע עיקריים:
 פסיכולוגיה של קבלת החלטות – חקר הטיות קוגניטיביות, הרגלים, והשפעת לחץ זמן, עייפות או חרדה על תגובה לאיומי סייבר.
 סוציולוגיה ותרבות ארגונית – השפעת נורמות חברתיות וארגוניות על נכונות לשמור על כללי אבטחה, לדווח על אירועי סייבר או לסרב לדרישות לא לגיטימיות.
 חינוך והכשרה – פיתוח תוכניות מודעות והכשרה (Security Awareness) המנסות להטמיע הרגלים בטוחים אצל משתמשים פרטיים ועובדים בארגונים.
 חוויית משתמש (UX) – תכנון ממשקים דיגיטליים כך שיתמכו בהתנהגות בטוחה כברירת מחדל, לדוגמה: עידוד שימוש בסיסמאות חזקות, הפעלת אימות דו-שלבי או הצגת אזהרות ברורות לפני ביצוע פעולות מסוכנות.

בשיח מקצועי ואקדמי סביב "הגורם האנושי" באבטחת מידע האדם מוצג לעיתים כ"חוליה החלשה" בשרשרת הסייבר, אך מחקרים מצביעים על כך שאותה חוליה אנושית יכולה להיות גם "נכס הגנתי" כאשר היא נתמכת בתרבות ארגונית מתאימה, כלים נגישים והדרכה מתמשכת.

 תחום מחקר ויישום 
אבטחת מידע התנהגותית פועלת בשני מישורים משלימים:
 במישור האישי – עיסוק בהרגלי שימוש של משתמשים פרטיים, כגון נעילת מכשירים בסיסמאות חזקות או באמצעי זיהוי ביומטרי, שמירה על פרטיות ברשתות חברתיות, זהירות במסירת מכשירים לתיקון, שימוש במנהלי סיסמאות והצפנת מידע רגיש באמצעים כגון הצפנת דיסק מלאה.
 במישור הארגוני – שילוב של מדיניות, הדרכה ותרבות ארגונית, במטרה לצמצם התנהגויות מסכנות (כגון פתיחת קבצים מצורפים לא מזוהים או שימוש בשירותים לא מאושרים) ולהעצים התנהגויות מגוננות (כגון דיווח על ניסיונות דיוג, נעילת מסכים ושימוש באמצעי הצפנה ואימות דו־שלבי).

תחום זה נתפס כמשלים לאמצעי האבטחה הטכנולוגיים. בעוד שכלים כגון הצפנת דיסקים, מערכות זיהוי חדירה וחומות אש מספקים שכבת הגנה טכנית, אבטחת מידע התנהגותית מבקשת לוודא שהדרך שבה בני אדם משתמשים בכלים הללו אינה מנטרלת את יעילותם, אלא להפך – מחזקת אותם.

 תחומי יישום והתנהגויות נפוצות 
אבטחת מידע התנהגותית מתמקדת במגוון רחב של החלטות יומיומיות של משתמשים, המשפיעות באופן ישיר על הסיכון לדליפת מידע, סחיטה או פגיעה בפרטיות. חלק מן ההתנהגויות הללו קשורות לאופן ההזדהות (סיסמאות ואימות), חלקן לאופן השימוש במכשירים, וחלקן לאופן מסירתם לתיקון או השלכתם בסיום חייהם.

 סיסמאות, נעילת מכשירים ואימות דו-שלבי 
אחד מעקרונות היסוד באבטחת מידע התנהגותית הוא שימוש בסיסמאות חזקות והימנעות משיתוף סיסמאות או קודי גישה. הנחיות עדכניות, כגון אלו של NIST, ממליצות על סיסמאות ארוכות יחסית (בדרך כלל 8–15 תווים ומעלה), הימנעות מסיסמאות שכיחות או דלופות, ושימוש במנהל סיסמאות לסיוע ביצירת סיסמאות ייחודיות לכל שירות.

בהקשר ההתנהגותי, ההמלצה היא להימנע משימוש באותה סיסמה במספר רב של שירותים, לא לשתף סיסמאות עם בני זוג, בני משפחה או חברים, ולהימנע משמירת סיסמאות בקובצי טקסט גלויים או בהודעות מסרים. שימוש באימות דו-שלבי (Two-Factor Authentication, או MFA) נחשב למרכיב מרכזי בהפחתת סיכון, שכן הוא מוסיף שכבת הזדהות המבוססת על משהו שהמשתמש מחזיק (לדוגמה, אפליקציית אימות או הודעת טקסט) או משהו שהוא (למשל זיהוי ביומטרי), בנוסף לסיסמה.

במכשירים ניידים וטלפונים חכמים, ההמלצה ההתנהגותית היא לנעול את המכשיר באמצעות קוד גישה, טביעת אצבע או זיהוי פנים, ולהימנע מהשארת המכשיר פתוח ללא השגחה – במיוחד במרחבים ציבוריים או במקום העבודה.

 הצפנת דיסקים ואחסון מידע רגיש 
התנהגות מגוננת נוספת היא שימוש בהצפנת דיסק מלאה (Full Disk Encryption), המונעת קריאת מידע ממכשיר גם אם הוא נגנב או נלקח ללא הרשאה. מערכות הפעלה מודרניות כוללות בדרך כלל פתרונות הצפנה מובנים, כגון BitLocker ב־Windows ו־FileVault ב־macOS, לצד פתרונות אחרים בקוד פתוח וקוד סגור. שימוש בהצפנת דיסק נחשב לאמצעי טכנולוגי, אך הבחירה להפעיל אותו, לשמור את מפתח השחזור במקום מאובטח ולא לשתף אותו עם גורמים בלתי מוסמכים היא רכיב התנהגותי מובהק.

במסגרת אבטחת מידע התנהגותית, מודגשת חשיבותם של:
 הצפנת מחשבים ניידים ומכשירים ניידים המכילים מידע אישי, עסקי או רפואי;
 שמירה על גיבויים מוצפנים, כולל גיבויים בענן;
 הפרדת מידע רגיש ממידע שאינו רגיש, ככל שניתן, כדי להקטין את היקף החשיפה במקרה של דליפה.

 תיקון מכשירים, מעבדות סלולר ואמון בטכנאים 
מסירת טלפון חכם, מחשב אישי או מחשב נייד לתיקון מעוררת שאלות של אמון, שכן המכשיר כולל לעיתים קרובות מידע אישי מאוד: תמונות, שיחות, מסמכים, סיסמאות שמורות ועוד. מחקרים אמפיריים מצאו כי חלק מטכנאי המחשבים והטלפונים מנצלים את הגישה למכשירים כדי לעיין במידע אישי ואף להעתיקו, לעיתים ללא מדיניות פרטיות ברורה או אמצעי פיקוח. תחקירים עיתונאיים הראו מקרים שבהם טכנאים צפו בתמונות פרטיות, נכנסו לחשבונות ברשתות חברתיות ואף שיבטו (Clone) מכשירים ללא ידיעת הלקוח.

השלכות התנהגותיות בולטות בתחום זה כוללות:
 מסירת מכשירים רק לגורמים בעלי מוניטין מקצועי ומדיניות פרטיות מפורשת;
 הימנעות ממסירת קוד גישה מלא או קוד PIN כאשר אין הכרח בכך, או שימוש בחשבון זמני/משתמש אורח בעת תיקון;
 גיבוי מידע רגיש ומחיקה מאובטחת של תכנים פרטיים לפני מסירת המכשיר, כאשר הדבר אפשרי;
 הסרה זמנית של כרטיס זיכרון או התקן אחסון נייד המכיל תכנים רגישים, כאשר אין צורך בו לצורך התיקון.

אבטחת מידע התנהגותית מדגישה כי שימוש לא זהיר בקודי גישה, סיסמאות או חומרי גיבוי הנמסרים למעבדה עלול להוביל לזליגה של מידע אישי, ולשימוש בו לצורכי שוק שחור של נתונים, או לסחיטה

 שיתוף תוכן אינטימי וסחיטה מינית מקוונת 
במרחב המקוון התפתחה תופעה נרחבת של סחיטה מינית מקוונת ושל הפצה לא־חוקית של תמונות וסרטונים אינטימיים ללא הסכמת המצולמים. גופי אכיפה שונים מדווחים על עלייה חדה במספר הילדים, בני הנוער והמבוגרים הנסחטים באמצעות איום בפרסום תכנים אינטימיים שנשלחו לכאורה באופן פרטי.

במדינות רבות הוגדרו עבירות של "פגיעה באמצעות תמונה אינטימית" הכוללות פרסום או איום בפרסום תמונות אינטימיות ללא הסכמת המצולם/ת. לצד זאת, ארגונים בינלאומיים ומחוקקים מדגישים כי נשים וילדות חשופות במיוחד לסוג זה של פגיעה

בהקשר התנהגותי, אבטחת מידע התנהגותית מדגישה:
 מודעות לכך שכל תוכן אינטימי המועבר באופן דיגיטלי עלול להישמר, להיות מועתק, או להגיע לקבוצות שיתוף סגורות או פתוחות ביישומי מסרים וברשתות חברתיות;
 הימנעות משיתוף תמונות אינטימיות עם גורמים שאין אליהם אמון גבוה ומתמשך, תוך הבנת הסיכון גם ביחסים זוגיים שעלולים להסתיים בסכסוך;
 זיהוי סימנים מוקדמים לניסיונות סחיטה (למשל דרישה לתכנים נוספים, איומים מרומזים), ופנייה מהירה לגורמי אכיפה או לסיוע מקצועי במקרה הצורך.

אף שגורמי אכיפה מדגישים כי האחריות לפגיעה מוטלת על הפוגעים ולא על הנפגעים, אבטחת מידע התנהגותית מבקשת לסייע בהפחתת הסיכון באמצעות שינוי הרגלי שיתוף, חינוך דיגיטלי ואמצעי דיווח ותמיכה.

 השלכת ציוד מחשוב ומדיה אלקטרונית 
במהלך מחזור החיים של ציוד מחשוב – מחשבים, טלפונים ניידים, דיסק קשיח, דיסק און קי ומדיום אחסון אחרים – מגיע שלב שבו הציוד נמכר, נתרם, מוחזר ליצרן או מושלך. גופים רגולטוריים מדגישים כי השלכת ציוד ללא מחיקה מאובטחת של המידע האגור בו עלולה להוביל לחשיפת מידע אישי ומידע רגיש, ולעיתים אף לקנסות משמעותיים על ארגונים שלא טיפלו בציוד בהתאם לדרישות הגנת הפרטיות.

באבטחת מידע התנהגותית מודגשות הפעולות הבאות לפני מכירה, תרומה או השלכת ציוד:
 מחיקת נתונים באמצעים התואמים את סוג המדיה (למשל תוכנות מחיקה מרובות־מעברים בדיסקים מגנטיים או הצפנה + מחיקה במכשירים מסוימים);
 פירמוט מאובטח של מכשירים ניידים בהתאם להנחיות היצרן, כולל מחיקת חשבונות מחוברים;
 במקרה של מידע רגיש במיוחד – שימוש בשירותי השמדה מקצועיים המנפיקים אישורי השמדה.

במגזר הארגוני, מדיניות אבטחת מידע התנהגותית כוללת לעיתים הוראות מפורשות בעניין ניהול ציוד יוצא משימוש, כחלק מעמידה בתקנים דוגמת GDPR ובתקני אבטחת מידע אחרים.

 עבודה מרחוק, ציוד אישי וגבולות שימוש 
עליית מודל העבודה מרחוק והעבודה ההיברידית יצרה אתגר התנהגותי נוסף: שימוש באותו ציוד (מחשב אישי, טלפון נייד, טאבלט) לצרכים אישיים ועסקיים גם יחד. שימוש זה מעלה שאלות של הפרדת מידע, התקנת תוכנות לא מאושרות, ואחסון מסמכים ארגוניים על גבי התקנים פרטיים או בעננים פרטיים.

אבטחת מידע התנהגותית מתייחסת בין היתר ל:
 הימנעות משימוש ביישומים לא מאושרים לצורכי עבודה (Shadow IT), במיוחד כאשר מדובר בשירותי אחסון וקבצים בענן;
 נעילת מסך בעת עזיבת עמדת עבודה, גם בבית;
 שימוש באמצעי חיבור מאובטחים (כגון VPN) בעת גישה למשאבי ארגון מרחוק;
 הפרדת משתמשים במחשב ביתי בין בני משפחה כדי למנוע גישה לא רצויה למסמכי עבודה.

שילוב מדיניות ארגונית ברורה עם הרגלי שימוש מושכלים נחשב מרכיב חיוני להפחתת סיכוני אבטחת מידע בעבודה מרחוק.

 אוכלוסיות בסיכון מוגבר 
השלכותיה של אבטחת מידע התנהגותית אינן אחידות על פני כלל המשתמשים, וישנן קבוצות אוכלוסייה החשופות במיוחד לפגיעה כתוצאה מהתנהגויות לא מגוננות או מהיעדר ידע וכלים להתגוננות.

 ילדים ובני נוער 
ילדים ובני נוער נמצאים ברשתות חברתיות, יישומי מסרים מידיים ופלטפורמות משחקים מקוונות מגיל צעיר, ולעיתים ללא ליווי הורי מספק. דוחות בינלאומיים מצביעים על עלייה חדה בדיווחים על פגיעה מינית מקוונת, בריונות רשת וסחיטה מינית מקוונת, לרבות מקרים שבהם ילדים נסחטים על בסיס תמונות או סרטונים שנשלחו מרצון לכאורה, או שנגזלו מחשבונותיהם ללא ידיעתם.

מחקרים ויוזמות של יוניסף ושל ארגונים בינלאומיים נוספים מצביעים על כך שחלק ניכר מהילדים והצעירים חשים חוסר ידע כיצד להתגונן מפני סיכונים מקוונים, וחלקם אינם חשים בטוחים לדווח על פגיעה לגורמי סמכות.

באבטחת מידע התנהגותית קיימת דרישה לפיתוח חינוך דיגיטלי מותאם גיל, הכולל:
 הכרת סיכוני דיוג, התחזות ושיתוף יתר;
 כללים לשימוש זהיר בצ'אטים, בקבוצות משחק וברשתות חברתיות;
 עידוד דיווח מיידי על פגיעה ויצירת ערוצי דיווח חסויים ונגישים.

 נשים ונפגעי אלימות מבוססת־מגדר 
מחקרים בינלאומיים מצביעים על כך שבנות ונשים חוות שיעורים גבוהים של אלימות ברשת ואלימות מבוססת־מגדר במרחב המקוון, כולל הטרדה, איומים, הפצת תמונות אינטימיות ללא הסכמה, סטוקינג דיגיטלי ושיימינג באמצעות דיפ-פייק .

עבור נפגעות ונפגעי אלימות במשפחה, ניכור הורי, ושליטה קיצונית על ידי בני זוג, התקנת אפליקציות מעקב על טלפונים, שליטה בסיסמאות לגישה לחשבונות, ושימוש במצלמות או ברמקולים חכמים בבית עלולים לשמש ככלי ריגול שליטה ופגיעה. אבטחת מידע התנהגותית ממליצה, בין היתר, על:
 הפרדה בין מכשירים פרטיים למכשירים שבשליטת בן/בת הזוג;
 החלפת סיסמאות, בחינת התקנת אפליקציות לא מוכרות ובדיקת הגדרות הרשאות;
 פנייה לגופי סיוע המתמחים בשילוב בין אלימות מבוססת־מגדר ואבטחת סייבר.

 עיתונאים, פעילים ואנשי ציבור 
עיתונאים, פעילי זכויות אדם, אנשי ציבור ואקדמאים עשויים להיות יעד לרדיפה דיגיטלית, הטרדה מקוונת וניסיונות חדירה לחשבונותיהם, לרבות שימוש בטכניקות הנדסה חברתית מתוחכמות. עבור אוכלוסיות אלו, אבטחת מידע התנהגותית נפגשת עם פרקטיקות של אבטחת מידע אישית ברמת סיכון גבוהה יותר, כגון:
 שימוש בטלפונים ומחשבים נפרדים לזהות מקצועית ופרטית;
 אימוץ מדיניות מחמירה של הצפנה, מנהלי סיסמאות ואימות רב־שלבי;
 הכשרה ייעודית להתמודדות עם הטרדות, דיוג ממוקד (Spear Phishing) וניסיונות התחזות.

 חינוך, מודעות ותכנון מערכות 
היבט מרכזי באבטחת מידע התנהגותית הוא האופן שבו ארגונים ומדינות מפתחים תוכניות מודעות והדרכה (Security Awareness and Training) לשינוי הרגלי שימוש ולצמצום סיכונים. מסמכי מדיניות כגון NIST SP 800-50 ו־NIST SP 800-16 מדגישים כי תוכניות מודעות צריכות להיות מתמשכות, מותאמות לתפקיד, ולשלב דוגמאות מהעולם האמיתי, סימולציות ותרגולים.

בתחום חינוך והדרכה מודרני, נהוג להבחין בין:
 מודעות (Awareness) – העברת מסרים קצרים ורחבים, שמטרתם לעצב תרבות ארגונית ותודעה בסיסית;
 הכשרה (Training) – פיתוח מיומנויות מעשיות לפי תפקיד (לדוגמה: אנשי כספים, צוותי תמיכה טכנית, מנהלים);
 השכלה (Education) – לימודים מעמיקים להכשרת מומחי אבטחת מידע.

במקביל, תחום חוויית משתמש ועיצוב התנהגותי (Nudging) מתמקד בתכנון מערכות כך שיקלו על התנהגות בטוחה: ברירות מחדל מאובטחות יותר, התרעות ברורות, הסבר תמציתי בעת פעולות רגישות, ותהליכים שאינם מכבידים יתר על המידה על המשתמשים.

במחקר האקדמי, "אבטחת מידע התנהגותית" (Behavioral Information Security) הפכה לתחום מחקר עצמאי, העוסק בין היתר בעמידה במדיניות, במניעי אי־ציות, במניעת התנהגות זדונית מצד פנים הארגון, ובפיתוח מודלים לשינוי התנהגות משתמשים.

 ביקורת ומחלוקת 
אף שהעיסוק באבטחת מידע התנהגותית זוכה לתמיכה רחבה, נמתחות עליו גם ביקורות:
 הטלת אחריות על הנפגעים – ארגוני חברה אזרחית ואנשי אקדמיה מזהירים מפני שימוש בשיח התנהגותי כדי להאשים משתמשים (למשל נפגעות סחיטה מינית או בריונות רשת) בכך שלא "נזהרו מספיק", במקום להטיל את האחריות על התוקפים ולדרוש ממדינות, מפלטפורמות טכנולוגיות ומארגונים לספק הגנות טובות יותר.
 העברת אחריות מהמערכת למשתמש – נטען כי דגש יתר על "מודעות" עלול לשמש תחליף להשקעה בתכנון מערכות מאובטחות, בחקיקה ובאכיפה; במקרים מסוימים עובדים נדרשים "לספוג" אחריות ללא שניתנו להם כלים מתאימים.
 עומס מידע ועייפות התרעה – ריבוי אזהרות, מדריכים והודעות אבטחה עלול להביא ל"עייפות אבטחה" (Security Fatigue), שבה משתמשים מתעלמים מהודעות, לוחצים "אישור" באופן אוטומטי, או מפתחים אדישות לאיומים.

מבקרי הגישה ההתנהגותית מציעים להדגיש את השילוב בין שלושה מרכיבים: תכנון מערכות וחוקים (security by design), מנגנוני אכיפה ורגולציה אפקטיביים, ופעולות חינוך ושינוי הרגלים – במקום להסתפק בהעברת האחריות למשתמשים בלבד.

 ראו גם 

 הרשאה (מערכות מידע)
 פורנזיקה במחשבים
 אבטחת מידע
 חוק הגנת הפרטיות
 ניהול רשת
 מניפולציה (פסיכולוגיה)
 מוגנות מינית

 הערות שוליים 

קטגוריה:אבטחת מידע