אם תיקחו לידיכם את ספרו החדש של בני צ’רני, תגלו מהר מאוד שכדי לקרוא את הכותרת צריך להפוך את הספר. זה אינו רק גימיק עיצובי. זו הזמנה להסתכל אחרת על אחת התעשיות החשובות בעולם, להטיל ספק במה שכולם כבר התרגלו לקבל כאמת, ולשאול אם אולי בנינו את כל תפיסת הסייבר הפוך. Cybersecurity Upside Down הוא חלקו מדריך טכנולוגי, חלקו סיפורו האישי של יזם, וחלקו קריאה לשינוי. הספר מרכז את הפילוסופיה שהובילה את צ’רני במשך כמעט 20 שנה: לא להסתפק בשיפור הדרכים לזיהוי האיום הבא, אלא לבנות מערכות שמונעות ממנו לבצע את הפעולה שלשמה נוצר.
צ’רני, מייסד, מנכ"ל ויו"ר OPSWAT, סימן לעצמו עוד לפני גיל 30 שני יעדים: להקים חברה עצמאית ולהוציא רישיון טיס. את שניהם השיג. את החברה הפך לארגון גלובלי המגן על תשתיות קריטיות, ואת תחביב הטיסה המשיך עד לקבלת הגדר מכשירים. מטרה אחת לא הופיעה ברשימה שלו מעולם: אקזיט מהיר. "אני לא מחפש אקזיט, אני מחפש אימפקט", הוא אומר. "אני רוצה לבנות חברה שתשנה את הדרך שבה מגינים על המערכות שהעולם תלוי בהן".
המסלול של צ’רני לפסגת תעשיית הסייבר לא היה המסלול המקובל של יזם בעמק הסיליקון. הוא לא התחיל במצגת למשקיעים ולא גייס קרן הון סיכון, אלא בחר קודם להבין כיצד חברות פועלות מבפנים, גם כשהן מצליחות וגם כשהן נכשלות. במהלך לימודיו בטכניון עבד בחברת NetManage, שהייתה חברת תוכנה גלובלית גדולה. לאחר מכן עבר לנהל את הפיתוח בסטארט אפ Netect, שבו עבדו כעשרה עובדים. בעקבות רכישת החברה עבר לארצות הברית והמשיך לצבור ניסיון בחיבור שבין טכנולוגיה, מוצר ושוק.
את OPSWAT הקים בשנת 2002 בדירה קטנה בסן פרנסיסקו, באמצעות הון אישי וללא השקעה חיצונית. במשך שנים הוחזרו מרבית הרווחים להנדסה ולפיתוח. הצמיחה הייתה פחות נוצצת מזו של חברות שגייסו מאות מיליוני דולרים, אבל היא חייבה את החברה לבנות מוצרים שלקוחות באמת היו מוכנים לשלם עבורם.
לנהל מגובה מאה אלף רגל, וגם ממטר אחד
סגנון הניהול של צ’רני מושפע מעולם התעופה. לדבריו, מנהל טוב חייב לדעת לעבור במהירות בין שתי נקודות מבט. "מנהל צריך להיות מסוגל להסתכל על החברה מגובה מאה אלף רגל, להבין את הכיוון, השוק והחזון. אבל מיד אחר כך הוא צריך לרדת למטר אחד מהקרקע ולראות מה באמת קורה אצל המהנדס, אצל איש התמיכה ואצל הלקוח. אם נשארים רק למעלה, מקבלים החלטות יפות שלא תמיד מחוברות למציאות".
הגישה הזו מלווה אותו גם כיום. OPSWAT מעסיקה יותר מאלף עובדים ומשרתת אלפי לקוחות ארגוניים וממשלתיים ביותר מ־100 מדינות. החברה מגינה על בנקים, תחנות כוח, מפעלי מים, בתי חולים, מערכות ייצור, גופי ממשל, מערכות ביטחוניות ומתקנים גרעיניים. בביקורים במשרדי OPSWAT בעולם הוא יושב עם מהנדסים, אנשי תמיכה, מנהלי מוצר ונציגי מכירות. לדבריו, המידע החשוב ביותר על החברה אינו נמצא תמיד בדוחות או במצגות. "עובדים שנמצאים מול המוצר ומול הלקוחות רואים את המציאות לפני ההנהלה", הוא אומר. "התפקיד שלי הוא להקשיב, לשאול שאלות, ואז לאפשר להם לפעול באוטונומיה".
בתפיסת הניהול שלו יש גם השפעה ברורה לרעיונותיו של פרופ’ דן אריאלי על מוטיבציה ומשמעות במקום העבודה. כסף ותנאים חשובים, אך אינם מספיקים. אנשים רוצים לדעת שהעבודה שלהם חשובה ושיש להם יכולת להשפיע על התוצאה. הגישה הזו באה לידי ביטוי גם ביחסו לעובדים שעוזבים. כאשר עובד פורש כדי להקים חברה משלו, צ’רני רואה בכך לעיתים הצלחה ואף השקיע בחלק מהחברות שהקימו עובדים לשעבר. כאשר עובד מצוין עוזב לטובת מתחרה, הוא מפנה את השאלה פנימה, אל עצמו.
הרגע שבו 99.2 אחוז כבר לא הספיקו
לאורך השנים הוביל צ’רני שלושה שינויים מרכזיים בתפיסה הטכנולוגית של OPSWAT. הראשון היה יצירת שפה משותפת בין מוצרי אבטחה. בתחילת דרכה של החברה פעלו בשוק מאות מוצרי אנטי וירוס, חומות אש ומערכות גישה מאובטחת, אך כל אחד מהם דיבר בשפה משלו. OPSWAT פיתחה שכבת טכנולוגיה שאפשרה למוצרים לזהות, לנהל ולבדוק פתרונות אבטחה של יצרנים שונים. המודל הזה הפך לבסיס פעילות היצרנים של החברה ואפשר לה לצמוח ללא הון חיצוני.
השינוי השני היה פיתוח טכנולוגיית Multiscanning, שבודקת כל קובץ באמצעות יותר מ־30 מנועי אנטי וירוס במקביל. הרעיון היה פשוט: כל מנוע מזהה איומים אחרים, ולכן שילוב של מנועים רבים אמור לספק הגנה טובה משמעותית מזו של מנוע יחיד. התוצאות היו מרשימות, אך הן גם חשפו בעיה עמוקה יותר. לפי הבדיקות שערכה החברה, גם כאשר עשרות מנועים פעלו יחד, שיעור הזיהוי נעצר סביב 99.2 אחוז. "ברוב התחומים זו תוצאה מדהימה", אומר צ’רני. "אבל כשאתה מגן על תחנת כוח, כור גרעיני או מערכת ביטחונית, שבריר האחוז שלא זיהית הוא בדיוק המקום שבו האסון יכול להתחיל. הבנתי שאנחנו מנסים לשפר מודל שלעולם לא יהיה מושלם".
(צילום: יח"צ)
ההבנה הזו הובילה לשינוי השלישי והחשוב ביותר: מעבר ממודל המבוסס בעיקר על זיהוי ותגובה, למודל של מניעה שאינה תלויה בזיהוי מוקדם של האיום. טכנולוגיית CDR Content Disarm and Reconstruction שצ’רני היה בין חלוציה המסחריים, מניחה שכל קובץ אינו אמין, מפרקת אותו למרכיביו, מסירה קוד, מאקרו, סקריפטים ורכיבים שאינם מורשים, ואז בונה גרסה נקייה ושימושית בהתאם למדיניות הארגון.
הגישה אינה מבטלת את הצורך באנטי וירוס, בבינה מלאכותית או בסביבת הרצה מבודדת. היא מוסיפה שכבת מניעה שמקטינה את התלות ביכולת לזהות מראש כל איום חדש. "לתוקף מספיק להצליח פעם אחת. המגן צריך להצליח בכל פעם", מסביר צ’רני. "בעידן שבו בינה מלאכותית מאפשרת לייצר מתקפות חדשות ומותאמות בתוך דקות, אי אפשר לבנות את כל ההגנה על הניסיון לזהות את הרע. צריך להגדיר מה מותר להיכנס ולבנות אותו מחדש בצורה בטוחה".
החזון של OPSWAT התרחב עם השנים מעבר להגנת קבצים. פלטפורמת MetaDefender של החברה מאבטחת כיום קבצים, התקנים והעברות מידע בין מערכות IT, סביבות תעשייתיות, רשתות מבודדות וסביבות שבהן המידע נדרש לעבור בין רמות אבטחה שונות.
החברה הרחיבה את פעילותה גם לחומרה, לעמדות סריקה מאובטחות, לכוננים ניידים, להעברת קבצים מאובטחת ולדיודות נתונים. המטרה היא להגן על כל נקודה שבה מידע או התקן נכנסים לסביבה רגישה. מבחינת צ’רני, זהו החיבור החשוב ביותר בעולם הסייבר החדש. פריצה למחשב אישי יכולה לגרום לאובדן מידע. פריצה למפעל, לתחנת כוח, לבית חולים או למערכת תחבורה יכולה לגרום גם לנזק בעולם הפיזי.
במקביל, OPSWAT משלבת בינה מלאכותית בפלטפורמה שלה כדי לגלות איומים חדשים, לנתח קבצים במהירות ולהפוך את מערכות ההגנה לאוטונומיות יותר. צ’רני מבקש להחיל את אותו שינוי גם בתוך החברה באמצעות כלים שמאפשרים לצוותים לפתח מהר יותר, לקבל החלטות טובות יותר ולהגיב לשוק בזמן קצר יותר. "בינה מלאכותית אינה עוד כלי שמוסיפים למוצר", הוא אומר. "היא משנה את הדרך שבה תוקפים פועלים, את הדרך שבה אנחנו מגינים, וגם את הדרך שבה חברה צריכה לעבוד. AI לא רק משפר את ההגנה, הוא גם מאפשר לתוקפים לייצר וריאציות חדשות בקצב שבו מודל שמבוסס רק על זיהוי כבר לא יכול לעמוד."
במשך רוב הקריירה שלו התרכז צ’רני בבניית מוצרים וחברה. כעת הוא מרגיש שהגיע הזמן להסביר לציבור הרחב מדוע תעשיית הסייבר חייבת לשנות כיוון. הספר Cybersecurity Upside Down, שיצא השנה, משלב את סיפור הקמתה של OPSWAT עם הטעויות, הניסויים והתובנות שהובילו אותו למודל של מניעה תחילה. צ’רני לא חוש שלתאר בו כיצד דווקא המגבלות והכישלונות של הטכנולוגיות שפיתח הובילו אותו לרעיונות החשובים ביותר.
לצד הספר, הקים צ’רני את חברת ההפקות Cyber King Productions ויצר את סדרת הדוקו אקשן Into the Breach. הסדרה, בהנחיית קארי ביירון, המוכרת מהתוכנית MythBusters, משתמשת בניסויים, בהדגמות פיזיות ובפיצוצים כדי להסביר לציבור ולמקבלי החלטות כיצד מתקפות סייבר משפיעות על העולם האמיתי. "המטרה היא להפוך את הסייבר של תשתיות קריטיות למשהו שגם אנשים מחוץ לתעשייה יכולים לראות, להבין ולהרגיש."
הפרק הראשון, Breaking the Firewall, צולם במדבר ניו מקסיקו ובוחן את האמונה שחומת אש מספיקה כדי להגן על תשתיות קריטיות. במקום עוד מצגת עם תרשימים, הסדרה הופכת מושגים טכנולוגיים לחוויה מוחשית שאפשר לראות ולהבין. "במשך כמעט 25 שנה בניתי דברים", מסכם צ’רני. "עכשיו הגיע הזמן להסביר מה בניתי, למה בניתי אותו, ולמה אני חושב שהתעשייה צריכה להשתנות".
ומה לגבי העתיד? צ’רני אינו מסתיר את היעד העסקי הבא: להכין את OPSWAT להפוך לחברה ציבורית בארצות הברית, כאשר החברה ותנאי השוק יהיו מוכנים לכך. מבחינתו, הנפקה אינה קו הסיום אלא כלי שיאפשר לחברה להמשיך לגדול ולהרחיב את השפעתה.
