לא רק מלחמה בטרור

מנהלי אבטחה רבים מוצאים את עצמם עסוקים רוב זמנם במניעת פחת, רציפות תפקודית, מוכנות לחירום ואף בתחומי אבטחת מידע וסייבר. נכון להיום, ולמרות הפשיעה הגואה אל מול הירידה באירועי הפח"ע, אין משטרת ישראל מכשירה את מנהלי האבטחה לתחומים אלו והמחוקק לא נתן בידיהם סמכויות לעבודתם. הגיע הזמן לשינוי.

מאת: קובי לוסטיג

מבוא:

רבים מאיתנו מנהלי האבטחה, וודאי בחברות מסחריות, עסוקים בתחום המכונה "פחת". מושג זה כולל רבדים שונים, החל ממניעת שריפות וכלה במניעת חבלות במזיד ובשוגג, גניבות, איסוף מידע ואירועי סייבר שיכולים כולם לפגוע ברציפות התפקודית של הארגון עליו אנו אמורים להגן.

קצרה היריעה במאמר זה מלדון בכלל רבדי ה"פחת" ואני אזכיר כאן רק את תחומי הגניבה והמעילה או במילים אחרות: ניצול חולשות של ארגון לטובת הפקת רווח מקסימלי בדרך לא חוקית.

במאמר הנוכחי אתן סקירה על האיומים (הגורם הפנימי והגורם החיצוני) המשפיעים על הפחת, והצורך בהתאמת המערכת להתמודדות עם האיומים המשתנים.

הגורם הפנימי – ישנם שני גורמים שכיחים היכולים להסב נזק רב לארגון:

חדירה לארגון ע"י החדרת "עובדים" עוינים (סוס טרויאני אנושי) ושימוש בהנדסה חברתית (Social Engineering).
פעילות של עובד ללא מוטיבציה וללא הזדהות עם ערכי הארגון, העלול לגרום נזק, במישרין או בעקיפין, לעודד דמורליזציה וליצור אווירה שלילית וחוסר לויאליות בקרב העובדים האחרים (בעיקר מנהלים בדרגי ביניים/בכירים).

הגורם החיצוני – נובע מכוחות השוק המעודדים תחרות וכפועל יוצא – רצון לאסוף מידע ואף להתנכל ליריבים פוטנציאלים. מידע נאסף היום במגוון כלים פשוטים להשגה ולרוב ממודיעין גלוי, אך אנו נתקלים גם בשימוש במערכות מתקדמות לחדירה למאגרי המידע של הארגון הנתקף, למכשירי הטלפון הניידים ואף לתקיפת סייבר למערכות. בשנת 1981 אירעו שבעה מקרי גניבות/מעילות באמצעות מחשב בישראל, בשנת 2021 אירעו 2200 מתקפות סייבר ברמה היומית על אתרים ומחשבים בישראל.

הבדלים בגישות – אבטחה מסורתית מול חדשנית:

הגישה המסורתית דוגלת במערך אבטחה גדול, מרתיע ומקצועי הדורש הכשרה ומשכורות בעלות גבוהה מאד. לחברות בפריסה ארצית מדובר על השקעה ניכרת מתקציב החברה. עיקר הפעילות של מערכים אלו הינה סטאטית וברוב המקרים מדובר בתגובה לאירועים שאירעו (בדיעבד).

לעומתה, הגישה החדשנית הדוגלת בשילוב מערכות טכנולוגיות לצד מערך אבטחה מצומצם ומקצועי, זמן התגובה קטן בצורה מהותית הודות למערכות טכנולוגיות ובינה מלאכותית המסייעות לנתח אירועים חריגים, שימוש באלגוריתמים מבוססי סטטיסטיקה הלומדים את מאגרי המידע ומסוגלים לקבל החלטות מיטביות.

קיימות מספר חברות המתמחות בשילוב הטכנולוגיה באבטחה (Insighlogic, Citadel, Salesforce, SQR-it, Spartans ועוד), בכך המערכת מאפשרת יעילות וניצול שעות עבודה של הקב"ט ומגדילה בעשרות אחוזים את כמות הבדיקות לאירועים חריגים .חברת Insighlogic, לדוגמה, מתמחה בשיפור ואופטימיזציה של שיעורי המרות וזיהוי הונאות, פעילה ומבצעית בישראל, חברת SQR-IT היא סטארט-אפ הולנדי המתמחה בתחום ה-Big Data ומפתחת כלים שמאפשרים למחלקות הביטחון של חברות קמעונאיות למצוא בקלות אירועי קופה חריגים המובילים לגילוי מעילות של עובדים, תוך הצלבת מידע ממספר מקורות והצפת אירועים חריגים לגורם המטפל.

איום הייחוס המשתנה דורש חשיבה מחדש של גורמי הרגולציה:

משטרת ישראל מעדכנת מעת לעת את איום הייחוס בהתאם למודיעין עדכני או אמל"ח חדש בזירה ובהתאמה מוציאה הנחיות לגופים המונחים. כובד המשקל מתרכז במניעת פעילות פח"ע. בעשור האחרון ניתן לראות כי כמות ואיכות האירועים הפליליים גברו בעוד מספר ואיכות פיגועי הפח"ע הצטמצמו. כדוגמא, נבחן את נושא ההצתות של בתי עסק בישראל: בין השנים 2010-2021, תועדו כ-8000 הצתות של עסקים, רק 44 בוצעו על רקע לאומני, כל היתר (99.5%) בוצעו על רקע פלילי (חיסול חשבונות ופרוטקשן).

תקנים ואכיפה:

משטרת ישראל היא הגוף המנחה של עולם האבטחה. היא מבקרת ואחראית על הכשרות אנשי האבטחה בגופים המונחים, קובעת מה יהיו תקני האבטחה, מגדירה מה יהיו התקנים לאזעקות ומצלמות, מאשרת את תכנית האבטחה ועוד. לצערי, המשטרה אינה מנחה את עולם האבטחה בתחומים אותם סקרתי, למנהלי האבטחה ולמאבטחים אין הכשרה מתאימה לאיומים אלו וודאי שלא סמכויות והגיע העת לשינוי. המשטרה חייבת לעשות שינוי-תפיסתי לפיו פרוטקשן, גניבות חקלאיות, פריצות אלימות, גניבות שיטתיות ועוד הן בתחום טיפולו של מערך האבטחה בגופים האזרחיים, לא פחות מתחום מניעת הפח"ע. הפשיעה פוגעת באזרח ובחברות הפרטיות, היא מעודדת פעילות של הלבנת הון, מהווה קשר ישיר לבעיית האלימות ולזלזול בחיי האזרח.

לסיכום,

שינוי תפיסתי בקרב פיקוד המשטרה והדרג הממונה עליה, תוך הגדרת יעדים מדידים להתמודדות עם הפשיעה הגואה (אינתיפאדה כלכלית), יקבל פתרון לאיום על הכלכלה בישראל. חובה להעלות את נושא הפחת והנזק הכלכלי לבחינה ברמה הארצית, ברמה חוצת-תחנות וחוצת-מחוזות במשטרה, האינטרס הוא הרבה מעבר למשטרה, הוא כולל את חברות הביטוח, את הפרקליטות, את בתי המשפט הרגילים ובתי המשפט לתביעות קטנות, בתי העסק עצמם וכמובן את מערך האבטחה האזרחי כולו.

רק שיתוף פעולה ("כלים שלובים") המשלב יכולות מודיעין (שב"כ, צה"ל, משטרה ומשרדי הממשלה), חקיקת חוקים ותקנות, תגבור וחיזוק מערכת המשפט ומלחמת חורמה על ארגוני פשע, יכול להצליח בתהליך צמצום הפחת והנזק הכלכלי.

הכותב הינו בוגר עשור שנים בשירות מערכת הביטחון הממלכתית בארץ ובחו"ל, בעל ניסיון כמנב"ט במספר ארגונים ויועץ לחברות בנושאי אבטחה, הורדת פחת וסקרי סיכונים. בעל תואר 1 במזרח התיכון ותואר 2 באסטרטגיה וביטחון לאומי מאוניברסיטת חיפה.

ביבליוגרפיה:

טובי, ט. (2008). בטאון נתיב, פרסום 121 עמודים 65-73

Bamfield, J. (2001). Changing Retail, Changing Loss Prevention (Center for Retail Research, UK). PP 1-16

Hayes, R. (2007). Retail Security and Loss Prevention, second edition (Palgrave Macmillan, Houndmills, Basingstoke, Hampshire RG21, New York). PP 3-24, 33-89

Hollinger, R. C. (2002). National Retail Security Survey (Department of Sociology and the Center for Studies in Criminology and Law, University of Florida). PP 7-18

Philip P. Purpura, 2008. Security and Loss Prevention: An Introduction. PP 1-4