"השבתה תפעולית עלולה לגרום לפגיעה בחיי אדם"

"בשנים האחרונות חל גידול ניכר באירועי סייבר נגד ארגונים תעשייתיים, תאגידי מים, תחנות תדלוק כלי רכב, יצרני מזון ועוד. לרוב המתקפות מובילות להשבתה, ולעתים לנזק. במרבית האירועים שפורסמו, היעד היה מערכות המידע הארגוניות, ולא המערכות התפעוליות. חלקם גרמו, רק, להשבתה קצרה או ארוכה, וחלקם לנזק במכונות ייצור – נזק שניתן לתיקון, או לנזקים חמורים, שגרמו להשבתה של מכונות. אבל, תמיד קיים חשש שאירוע חמור יגרום לפגיעה בחיי אנשים", כך אמר דניאל ארנרייך, יועץ אבטחת סייבר לתשתיות קריטיות.

ארנרייך הנחה את כנס ICS CyberSec8 2024, שהוא משמש כיו"ר ועדת התכנים שלו. הכנס התקיים באולם אירועים לאגו בראשון לציון, בהשתתפות מאות מומחים בתחום, ופתח את סדרת הכנסים הפיזיים של אנשים ומחשבים. את האירוע פתח יהודה קונפורטס, העורך הראשי של אנשים ומחשבים.

צילום ועריכת וידיאו: ליטל רובינשטיין

לדברי ארנרייך, "מרבית האירועים שגרמו להשבתה תפעולית או לנזק לא נגרמו עקב מתקפת סייבר נגד מערכות הייצור, אלא בשל תקלות טכניות, או בשל פעולות שגויות של עובד מורשה. רק חלק מאוד קטן של האירועים נגרם בשל מתקפה. כאן יש להבחין בין חדירה דרך רשת חיצונית, חדירה פיזית לשטח הארגון או יחס רשלני לשרשרת האספקה, כגון ספקי שירות תחזוקה, ספקי מערכות מחשוב ועוד".

"הסיבות שאירועי סייבר קורים", ציין, "הן חולשות במערכות OT שלא נפתרו – ונוצלו, מניע כספי או אחר של התוקפים, או שהיו מתקפות דומות, שהצליחו".

"בעשור האחרון", אמר ארנרייך, "לא התרחשו אירועי סייבר רבים נגד מערכות תפעוליות. למרות זאת, יש חובה לנקוט במגוון אמצעי הזהירות".

ארבעה סוגי אירועים בעולמות התפעול

ארנרייך חילק את האירועים שהתרחשו בעולמות התפעול בארגונים לארבעה סוגים: "הסוג הראשון הוא אלה שפגעו רק במערכות המידע של הארגון, ולא הייתה להם השלכה על המערכת התפעולית. ככל הידוע, מרבית האירועים היו מסוג זה, ובהם כלל לא נגרם נזק למערכת ה-OT. הסוג השני הוא אירועים שפגעו במערכות המידע בארגון והייתה להם רק השלכה עקיפה על תפקוד של המערכת התפעולית. על אף שלא נגרם נזק, מרבית הארגונים הגיבו לאירועים אלה בהשבתה יזומה מטעמי זהירות. הסוג השלישי הוא מתקפות שפגעו במערכות המידע בארגון, ובהמשך, התוקפים חדרו גם למערכות התפעוליות. במקרים אלה, בדרך כלל נגרמו השבתה, נזק למכונות הייצור ופגיעה באספקת המוצרים או בשירות ללקוחות. הסוג הרביעי הוא מתקפות סייבר שפגעו ישירות במערכות התפעוליות וגרמו להשבתה, נזק למכונות הייצור ופגיעה באספקת מוצרים או שירות ללקוחות. אירוע מסוג זה התרחש בעולם רק כמה עשרות פעמים".

"ארגונים נדרשים להגן על מערכות הייצור שלהם, ועל אף שאין פתרונות קסם שימנעו מתקפות, ניתן לבצע שלוש פעולות חשובות, שלא דורשות תקציבים רבים: האחת – לשדרג את ההגנה הפיזית ההיקפית על אתרים שמותקנים בחוץ. זאת, כדי למנוע מגורם עוין לגעת במערכות המכשור הללו ולחבל בהן. הפעולה השנייה הנדרשת היא להקפיד על קישוריות מאובטחת בין רשת המידע לרשת התפעולית. כאן, ניתן ליישם מגוון טכנולוגיות לא יקרות במיוחד. הפעולה השלישית היא הקפדה על הדרכות לעובדים בכל הרבדים המעורבים במערכות התפעוליות, כולל הדרכות למפעילים ולאנשי התחזוקה, כדי שיידעו תמיד להגיב נכון ומהר", הוסיף.

הוא הסביר כי "בעולם ה-IT, נושא סודיות המידע נמצא בראש הדאגות של האחראים על המערכות. בעולם המערכות התפעוליות, יש להקפיד על בטיחות האנשים ועל רציפות תפקודית".

לסיכום אמר ארנרייך כי "מערכות המידע והמערכות התפעוליות חייבות להיות מתוכננות ברמה הטכנולוגית בנפרד, בנויות ובדוקות בנפרד. לאחר השלמת הבדיקות ולפני המסירה, מערכות אלה צריכות להיות מקושרות באופן מאובטח לצרכים חשובים בלבד. אין לאפשר תכנון ובנייה של מערכות מקושרות ללא אבטחת סייבר נאותה, כזו שתמנע חדירה מרשת המידע לרשת התפעולית. רק שמירה על כללים אלה תביא לאבטחת הארגון בצורה ראויה".