"ההאקרים יצירתיים – אין מערכות טכנולוגיות חסינות מפני מתקפות"

"ההאקרים הולכים ומשתכללים ונהיים יצירתיים מדי יום ביומו. חשוב להבין כי אין מערכות טכנולוגיות שהן חסינות באופן הרמטי מפני מתקפות סייבר", כך אמר דניאל ארנרייך, יועץ בכיר לתחום הגנה על מערכות בקרה תעשייתיות.

ארנרייך דיבר בפתח כנס ICS CyberSec 2017. הכנס, בהפקת אנשים ומחשבים, נערך זו השנה השניה ברציפות ודן בהגנת הסייבר על מערכות בקרה תעשייתיות. הוא התקיים היום (ב') באולם אירועים LAGO בראשון לציון, בהשתתפות מאות מקצועני אבטחת מידע והגנת הסייבר. ארנרייך, יו"ר ועדת הכנס, אף הנחה אותו.

"המסר הוא שצריך להתעורר"

על מנת להמחיש את חשיבות התחומים של הסיכונים ואמצעי הגנת סייבר עבור מערכות בקרה OT-ICS, והגנה על תשתיות חיוניות, CIP, הראה ארנרייך הודעה שיצאה במשותף על ידי ה-FBI והמשרד להגנת המולדת האמריקני, לפיו יש להיזהר מפני מתקפות קשות על מערכות קריטיות – חשמל, מים, גז ונפט ותשתיות. "המסר הוא שצריך להתעורר", אמר, "יש צורך להגן על תשתיות קריטיות".

הארגונים בעולם, אמר, "נחלקים לשלושה – אלה שחוו אירוע סייבר ומתגוננים מולו, אלה שקרה להם אך אינם מודעים ויודעים עליו, ואלה שזה יקרה להם מחר בבוקר".

"דרכי התקיפה יכולות להיות מכל מיני מקומות", ציין ארנרייך, "מרשת האינטרנט, חדירה פנימית למערכת, טעויות של אנשים. לא משנה מהיכן תגיע הנוזקה למערכת – היא בסוף תגיע לבקר הייעודי ותסב נזק".

בהגנה על מערכות IT, אמר, "פועל מודל ה-CIA, סודיות – Confidentiality, אמינות ושלמות – Integrity, זמינות ושרידות – Availability. בעולם מערכות הבקרה התעשייתיות, ICS, הדרישה היא לאמינות, תפוקתיות ופעילות בטוחה, כאשר האבטחה היא זו שנדרשת להיות בראש".

לדבריו, "אנו רואים כיום שילוב חדש, של אינטרנט של הדברים, IoT, של IoT תעשייתי, IIoT – עם מערכות ICS".

עוד הסביר כי "הסיכונים לתפעול מערכות ICS הן: היעדר הגנה פיזית מספקת, הקפדה בלתי מספקת על נהלים, הנדסה חברתית, פיצוח סיסמאות, חיבור למערכות קבלני צד ג', תקלות חומרה ותוכנה חריגות, הגנה חלשה על רשת ה-IT הארגונית".

"אין מערכות טכנולוגיות שהן מוגנות וחסינות מפני מתקפות", סיכם ארנרייך. "מרחב הסייבר הישראלי הנמצא תחת אחריותנו פועל מול תוקפים יצירתיים וחדשניים. אין לנו ברירה – אנחנו חייבים להשתפר. נדרש לשלב כמה אמצעים טכנולוגיים, נהלים, תרגול ובדיקות. צריך תמיד להיות מוכנים – יש להגיב במקצועיות, במהירות וביעילות. חייבים להיות מוכנים – והכי חשוב להיערך לקראת מה שלא יודעים".

אורי שיין, מנהל תחום אבטחת מידע והגנת הסייבר בחירום, משרד התשתיות הלאומיות, האנרגיה והמים. צילום: ניב קנטור

אורי שיין, מנהל תחום אבטחת מידע והגנת הסייבר בחירום, משרד התשתיות הלאומיות, האנרגיה והמים, הציג את פעילות המשרד בהתמודדות מול הסייבר. בסופו של דבר, אמר, "עלינו לשמר את הרציפות האנרגטית במגינת ישראל".

לדבריו, "נכנסנו למלא חלל שהיה קיים לגבי תחנות כוח ומתקני התפלה שלא היו מונחים מקצועית על ידי גופי הביטחון, כי הם הופרטו. יש 150 מתקני תשתיות שאנו מנחים אותם, בין השאר, בהיבטי סייבר ואבטחה פיזית. הנחיות בנושא יצאו לפני שמונה שנים, ומאז ועד היום הוצאנו כבר גרסה 5 לנוהל. אנו מלווים את הגופים הללו משך כל שנות הקמתם ומאז – בעת שהם פועלים".

"אנו רוצים זמינות ורציפות תפקודית", אמר שיין, "ובמילים של בעלי המתקנים – רציפות עסקית". הוא אמר כי המשרד הקים בבאר שבע מק"מ, מרכז קיברנטי למגזרי אנרגיה ומים, "אשר בונה תמונת מצב למקבלי ההחלטות בתחום. אנו מביטים על האירועים בראייה לאומית".

שיין סיים באומרו כי "הבנו כי יש חוסר וכי נדרש להקים מעבדה שתהווה סביבת בדיקות מחקר ומוקד חדשנות, שתהיה ממוקדת תשתיות תפעול, ICS-SCADA, תוך שילוב גופים מהממשלה, התעשייה, והאקדמיה. נצא למכרז בקרוב – ניכנס לתהליך ההקמה שלו בתחילת 2018".