איך להגן על בקרים בצורה הטובה ביותר?

"אחת השאלות הגדולות באבטחת מערכות תעשייה היא האם להשתמש בהגנות אקטיביות עבור בקרים. זו שאלה מאתגרת, כי המערכות שבדרך כלל יש בהן בקרים אלה מערכות תפעול וייצור ולפעמים, כמו במקרה של הרכבת, מדובר בחיי אדם ולכן, שיבוש בפעולה של בקר כזה יכול להוביל למשהו שמעורר חלחלה לחשוב עליו. בנוסף, אם נשים אבטחה אקטיבית כזו, בדרך כלל יצרן הבקרה מסיר את האחריות באופן מידי, וזה בעייתי", כך אמרה יעל מור, ראשת יחידת הסייבר ברכבת ישראל.

מור דיברה בפאנל מומחי תשתיות קריטיות שנערך במסגרת כנס Cyber-ICS 2019, שהתקיים באחרונה, בהפקת אנשים ומחשבים, באולם האירועים לאגו בראשון לציון. את הפאנל הנחה דניאל ארנרייך, יו"ר הכנס.

ארנרייך שאל את מור מתי היא תבחר לבצע ניטור ישיר של חיישנים באמצעות בקר נפרד. "אם זה יקרה אז רק בנקודות הרגישות במערכת, אבל מבחינתי זה עוד פתח למערכת הסגורה שאני ממש לא בטוחה שאני רוצה לפתוח אותה לעולם", השיבה. "בכל מקרה, לרבות במקרה של החלפת בקרים, הבקר חייב להתאים למערכות הקיימות ולאבטחת המידע שכבר קיימת, ולהיות בעל משאבי עיבוד וזיכרון חזקים ומוכן לעתיד".

דוד קנטרוביץ', יועץ בכיר לאבטחת סייבר במערכות SCADA. צילום: ניב קנטור

דוד קנטרוביץ', יועץ בכיר לאבטחת סייבר במערכות SCADA, התייחס לשאלה מתי אפשר לשלב קבלן אבטחה חיצוני. "הייתי מוכן לקבל ספק חיצוני בשיטת הכול כלול. לא רק אבטחה אלא מתחזוקה של שרתים ועד רשת הבקרה, ובכלל זה שיספק לי הגנת סייבר. כך אני מרוויח עבודה מול ספק אחד שמכיר הכי טוב את הרשת מעל ואת הבקרה מתחת, וגם מגן על הכול. אבל זה יהיה רק אחד שאני יכול לעשות לו קודם כל בדק בית", אמר.

קנטרוביץ' חיזק את דבריה של מור לגבי מערכות אקטיביות. "רוב היצרנים שמציעים ציוד ICS מונעים התערבות בתכנון שלהם, וגם מחייבים את המפעיל המקומי לסרב. זו אחת הסיבות העיקריות לסרב למערכות אקטיביות", ציין.

רותם בר, מנהל ה-IT והסייבר של קצא"א. צילום: ניב קנטור

את רותם בר, מנהל ה-IT והסייבר של קצא"א, שאל המנחה מהן שלוש התכונות החשובות ביותר לבקר אם רוצים לבצע החלפת בקרים. תשובתו הייתה: "הדבר הראשון הוא שעליו לעמוד בתקציב המוגדר, כי אנשי האבטחה לא קובעים מחירים. הדבר השני הוא שזה צריך להיות בקר שביצע עבודה נכונה ומתאימה, והשלישי הוא שהבקר חייב להגיע מאחת מארבע היצרניות הגדולות, כדי שיהיה מאובטח ויוכל לתת מענה בנושא הקשחות ועדכונים".

גם בר התייחס לשימוש אפשרי בקבלן חיצוני. הוא אמר כי לדעתו, בארגון בקרה, 60% מאבטחת המידע מתחילה ונגמרת במודעות. "זה נושא מאוד משמעותי ולכן, הקבלן החיצוני חייב להיות כזה שיכול לקבל את התרבות הארגונית של החברה שלה הוא נותן שירות. הדבר השני הוא שמירת ידע, טיפול טכני ותיעוד, כך שאם הספק יחליף בן אדם או אם הארגון יחליף ספק, יהיה תמיד מענה מהיר".

גיל גרושקופ, מנכ"ל יחידת המערכות התפעוליות במקורות. צילום: ניב קנטור

דובר נוסף בפאנל היה גיל גרושקופ, מנכ"ל יחידת המערכות התפעוליות במקורות. הוא ציין כי "יש יותר ויותר חברות שעוברות למערכות הגנה אקטיביות, מעבר לשימוש שלהן במערכות פסיביות. עם זאת, סיבה שיכולה למנוע את המעבר הזה היא התחזוקה הרבה והצורך להקים תשתית מתאימה. לא כל הארגונים מוכנים להעמיד את המשאבים לכך".

לדבריו, כשבאים לקבל החלטה האם להשתמש בבקר נפרד לניטור חיישנים, צריך לדבר על התחזוקה. "זה פתרון שמצריך יותר תחזוקה – של הבקר עצמו וגם של נתיבי התקשורת. אנחנו נפעיל בקר כזה רק במפעלים קריטיים בהם שימוש בחיישנים יכול לגרום לבעיות קריטיות", ציין גרושקופ.

גלעד זינגר, מנהל בכיר ואחראי אבטחת מערכות תפעוליות ב-PwC ישראל. צילום: ניב קנטור

גלעד זינגר, מנהל בכיר ואחראי אבטחת מערכות תפעוליות ב-PwC ישראל, הזכיר כי על ארגונים לפקח היטב על מה שקורה כשהם משתמשים במיקור-חוץ. "אחד הדברים המרכזיים הוא הבקרה על השימוש במשאבים שנכנסים לארגון", אמר. "לא שמים על זה מספיק דגש בעולם המערכות התפעוליות – וזה נורא. זו הפינה הראשונה שהייתי סוגר, לפני שהייתי חושב להעביר את העבודה לקבלן חוץ", אמר.

"כשאני בא לבחור בקרים חדשים, התכונה שאני בודק בראש הרשימה היא יכולת ההזדהות. הדבר השני – הייתי שמח לראות בקרה על תהליך הפיתוח של המוצר, כדי לוודא שהאבטחה מוטמעת תוך התכנון. הדבר האחרון הוא קיומה וטיבה של ההצפנה", ציין.