Необходимость принятия закона о кибербезопасности в Израиле

На прошедшей неделе иранские хакеры пытались проникнуть в системы израильских компаний и нарушить деловую активность. Пассажиры на железнодорожных станциях по всей стране столкнулись с цифровыми табло, которые предписывали им немедленно покинуть станцию из-за взлома системы.

В этом нет большого сюрприза. Отчет Microsoft за 2025 год поставил Израиль в тройку самых атакуемых стран мира в киберпространстве, и значительная часть атак направлена против коммерческих структур, таких как сервисные компании, поставщики программного обеспечения и организации, управляющие данными множества клиентов.

В ходе кибератаки в 2023 году на компанию Signature-IT, поставщика услуг электронной коммерции и хостинга сайтов, были парализованы, среди прочего, торговый сайт «Шефа Онлайн», предоставляющий услуги онлайн-покупок для IKEA, и компьютерные системы таких компаний, как «Кравиц» и «Кетер Пластик». Также пострадали информационные системы Israir, «Осем», «Кока-Кола» и других компаний. В ряде случаев в сеть утекли личные данные миллионов клиентов.

Вот проблема: многие организации в бизнес-секторе вообще не подпадают под регулирование в области киберзащиты. То есть в обширных сегментах экономики нет обязательного стандарта для такой защиты, и государственный контролер неоднократно предупреждал об этом. Среди прочего, было обнаружено, что организации не работают в соответствии с установленными методологиями защиты, а системы, содержащие данные миллионов граждан, недостаточно защищены.

Незадолго до нынешнего витка противостояния в Иране Национальный кибер-директорат опубликовал законопроект о национальной киберзащите. Его цель не является особенно драматичной: создать базовую структуру, которая определит обязанности по управлению киберрисками во всех секторах экономики, обяжет сообщать о значительных атаках и позволит кибер-директорату действовать, когда серьезная кибератака угрожает функционированию экономики или человеческим жизням.

Несмотря на это, представители индустрии назвали предложение «драконовским» регулированием, а другие утверждали, что это попытка решить «несуществующую проблему». Это утверждение трудно понять, и оно даже выражает безответственность. Это все равно что если бы не было стандарта для МАМАДов (защищенных комнат), не было бы обязанности строить убежища, и каждое здание само решало бы, как защищать своих жильцов. Предлагаемый закон также не является чем-то исключительным по сравнению с миром. В Европейском союзе, например, регулирование в этой сфере существует уже почти десятилетие.

Закон не стремится управлять киберсистемами компаний, а призван гарантировать, что все организации в экономике соответствуют базовому уровню защиты и сотрудничают в случае атаки. В киберпространстве одна организация, пренебрегающая безопасностью, подвергает риску не только себя, но и клиентов, поставщиков и связанные с ней структуры.

Кибератаки, которые мы видим сейчас, являются напоминанием о том, что цифровой фронт не является второстепенным, и что нельзя ожидать от государства защиты экономики от него, не снабдив кибер-директорат инструментами для этого.

Одна кибератака может парализовать государственные службы, нанести ущерб бизнесу, раскрыть конфиденциальную информацию граждан, посеять страх, панику и замешательство. Так чего же мы ждем? Ложных SMS-сообщений, которые приведут к эвакуации целых высоток в Петах-Тикве и создадут хаос именно во время ракетного обстрела?

В нашей реальности вопрос не в том, нужен ли закон о кибербезопасности, а в том, сколько еще времени мы сможем позволить себе спорить о нем. Теперь, когда закон о призыве снят с повестки дня, возможно, комиссия Кнессета по иностранным делам и безопасности освободится, чтобы энергично продвигать этот закон.