"לתאגידי מים נדרשת הגנה יעילה מפני איומי סייבר"

*****כותב המאמר הוא  דניאל ארנרייך, יועץ ומנחה, SCCE-SCADA Security

פרסום

יו"ר כנס ICS CYBERSEC  2018

סיכוני סייבר בתשתיות מים

תאגידי מים מזוהים כתשתית חיונית בכל העולם, ובישראל במיוחד, ולכן הם מחויבים בהגנת סייבר, בכדי למזער את הסיכונים כתוצאה מפגיעה במערכות השו"ב (שליטה/בקרה) שלהם. מרבית תקיפות הסייבר שהכרנו בעבר, כוונו למערכות מידע- IT , אבל כיום תקיפות אלה עלולות לגרום נזק גם למערכות שו"ב. בכדי לעמוד במשימת אבטחת הסייבר, נדרש  להשקיע בשדרוג של אמצעים טכנולוגיים (Cyber Defense Technologies), נהלי אבטחה (Risk Mitigation Policy) והגנה באמצעות מודעות מוגברת (Cyber Risk Awareness).

אספקת מים רציפה, באיכות ראויה ובלחץ קבוע היא אחד המחויבויות של ממשלות לציבור, ולכן לא מפתיע כי מערכות אלו מהוות מטרה לתקיפות. מה יקרה אם מערכת השו"ב שמפקחת על אספקת מי השתייה תיפגע? כיצד ובאיזה מהירות יטפל בנושא תאגיד המים העירוני? תוך כמה זמן יזהו שהייתה תקיפת סייבר על המערכת? מה יקרה לאמון הצרכנים בעקבות האירוע? האם רק מי שתייה בסכנה? כך, למשל, יתכן מצב מסוכן, בו בעקבות תקיפה על מערכת השו"ב, הביוב עלול לגלוש ממתקני הטיהור ולהציף שטחים קרובים לאזורי מגורים.

האם הרשויות בעיר ותאגיד המים ערוכים להתמודד עם סיכונים אלה? מדוע אחרי שנים של קידום טכנולוגי באבטחת סייבר, יש עלייה עולמית מתמדת של תקריות סייבר על מערכות שו"ב ? ומה לגבי התקריות הרבות שאירעו ולא דווחו כנדרש על פי ההנחיות?

במצב העניינים כיום, מרבית תאגידי המים בעולם מגיבים רק בעקבות אירוע ולא משקיעים בהתגוננות יזומה. הסיבות לכך מגוונות, וביניהן ניתן למנות את האמונה השגויה שלהם בכך שמערכות שו"ב לא מהוות מטרה, כי התוקפים לא מבינים את המבנה המורכב של המערכות הללו. זאת ועוד, מנהלים בארגונים רבים מאמינים כי ספקי הפתרונות להגנת סייבר עסוקים בהפחדה מפני תרחישים אפוקליפטיים רק בכדי למכור להם פתרונות. בצד סיבות אלו, רווחת בקרב מנהלים גם ההנחה לפיה למחלקת ה-IT שלהם יש מדיניות ואמצעי אבטחה שמגנים בצורה מספקת על מערכות השו"ב שלהם.

במהלך העשור האחרון, מערכות שו”ב המפקחות על תשתיות חיוניות הוסבו כדי לאפשר העברת מידע לרשת המחשוב הארגוני (IT), בעיקר על מנת לייעל את התהליכים התפעוליים וכך גם לאפשר חיסכון בהוצאות עבור תאגידי המים.  חשוב לציין, כי ללא קשר לשיטת ההעברה ואמצעי ההגנה שהותקנו, כל סוג של קישור לא מאובטח כראוי בין מערכת שו"ב למערכות ה- IT מהווה סיכון לבטיחות ואמינות של התשתית החיונית.

במקביל לתהליכים אלה, גובר השימוש בטכנולוגיות רשת נתונים הכוללות שימוש ברשתות אלחוטיות עבור תקשורת עם בקרים מרוחקים. בנוסף אנו עדים לשימוש גובר והולך בהתקני "אינטרמת של דברים תעשייתיים" (IIOT) , ומערכות שו”ב רבות עדיין משתמשות ברשתות אלה בפרוטוקול סטנדרטי Modbus שאינו מצטיין בשרידות במקרה של תקיפת סייבר. כתוצאה מכך, מערכות שו”ב לא מוגנות בצורה אפקטיבית בפני תקיפות סייבר.

איך להגן טוב יותר על מערכת השו"ב?

אם מערכת השו"ב בתאגיד המים עדיין לא הותקפה, זה לא אומר שזה לא יקרה בעתיד. השאלה היא רק מתי ובאיזה חומרה התקיפה תתרחש ותשפיע על תפקודו של התאגיד ועל אספקת המים לתושבים. היות והמטרה של תאגיד המים היא להבטיח אספקה סדירה של מי שתיה לתושבים, הנושא של הגנת סייבר על מערכות השו"ב חייב להיות מטופל, לקבל תקציבים בראש סדר העדיפויות ולהיערך להמשכיות התפעולית. הגנה על מערכת ה-שו”ב ומערכות ה- IT מתקיפות חיצוניות היא, כאמור, סיבה לדאגה. מעבר לסיכון מכך שהנתונים (כלל פרטיים אישיים של תושבים ואמצעי התשלום שלהם)  עלולים לזרום מרשתות ה- IT, התוקפים לא פוסלים גם אפשרות של החדרת נוזקה לרשת השו"ב, וגרימת נזקים חמורים. בכדי ליישם אבטחה יעילה על מערכת השו"ב, חייבים להתמקד לא רק בהוספת טכנולוגיה חדשנית כגון חומות אש (Firewall), אנטי וירוס בתוכנה, סורקים לתוכנות זדוניות וכיו"ב. חשוב להתמקד גם בהגנה פיזית על המתקן, בהכשרת אנשים, ביצוע תרגולים והקפדה על נהלים. חשוב לפתח יותר מודעות לסיכונים ברמה הניהולית. תאגיד מים חפץ חיים וביטחון, צריך למנות צוות ייעודי שיהיה אחראי על אבטחת מערכת השו”ב, לבצע הדרכות תקופתיות ולעבוד עם יועצים ומומחים בתחום.

חוף מבטחים? חמישה צעדים – למים בטוחים

למרות העובדה כי אמצעי המחשוב במערכות שו"ב ומערכות IT הן דומות, בכדי להגן על מערכות שו"ב, נדרש להתמקד בבטיחות, אמינות ותפוקה (SRP – Safety, Reliability, Productivity). הגנת סייבר שאינה מותאמת במיוחד עבור מערכות שו"ב  עלולה לפגוע בתפקוד המערכות, לגרום להשבתה ואף לגרום נזק כבד לציוד המכאני. עקב סיכונים אלה, לא נוהגים לבצע שדרוגים של מערכת הפעלה, תוכנות יישום, אמצעי אבטחה אנטי-וירוס ועוד ללא בדיקה יסודית. על מנת לשמור על מערכת שו"ב שתתפקד בצורה אמינה ובטוחה חרף היעדר שדרוגי תוכנה, ניתן לנקוט באמצעים הבאים:

א)      התקנה של מערכות לאיתור חדירות (Intrusion Detection Systems-IDS) וזיהוי מצבים חריגים לגבי התהליכים התפעוליים ותקשורת (Process and Communications Anomaly Behavior ).

פרסום

ב)      התקנה של מערכת לאיתור שינויים במצב המערכת (Visibility supervision and detection) במטרה לגלות כי בוצע שינוי בתצורה או בתוכנה של המערכת.

ג)       התקנה של אמצעי הצפנה ואימות של מתחברים (Authentication and Encryption), במטרה לגלות פעולות חריגות ולמנוע פיענוח של מידע (Man in the Middle) על ידי גורם לא מורשה.

ד)      התקנה של אמצעי תקשורת חד כיווני (Unidirectional Gateway) במטרה למנוע החדרה של נוזקה למערכת השו"ב בנקודת חיבור למערכת IT ארגוני.

ה)     שימוש במחשבי הלבנה (Sanitizing Kiosk) למניעת החדרה של נוזקה בעת העברת קבצים מגורם חיצוני, לצורך שדרוג האבטחה או התהליך התפעולי.

ICS CYBERSEC 2018– הכנס השנתי להגנת הסייבר בתשתיות ובתעשייה

משרד הכלכלה והתעשייה מקדם בשנים האחרונות מדיניות תעשיה 4.0 על מנת לעמוד מול האתגרים שמציב שוק ייצוא גלובלי תחרותי. הכנסת טכנולוגיות ייצור מתקדם עם מאפיינים של תעשייה 4.0 , טומנת בחובה צורך עולה להגנת סייבר, תחום בו נחשבת ישראל למובילה עולמית. השינויים הטכנולוגיים אותם נדרשים המפעלים לאמץ, מחייבים אותם לבצע טרנספורמציה דיגיטלית בתהליכי הייצור, להטמיע מתודולוגיות חדשניות, לעשות שימוש בטכנולוגיות IIoT/IoT ועננים, ולקיים עבודת צוות אמיתית בין גופי ה IT וה OT במפעל, תוך שימת דגש מרכזי לנושא אבטחת הסייבר. 

כנס 2018 ICS-CYBERSEC  הבינלאומי שיערך בלאגו ראשל"צ ב11/10 בהפקת "אנשים ומחשבים" יתמקד בפתרונות לאיומי הסייבר במערכות תעשיה, בצד הגנה אפקטיבית על מערכות שו"ב, מערכות IIoT ותשתיות חיוניות. עוד בכנס, ניתוח מעמיק של האתגרים העומדים בפני הארגונים בתחום הגנת הסייבר ו"ארגז כלים" של פתרונות להתמודדות.  מבין הדוברים בכנס, בהפקת "אנשים ומחשבים", יוסי שביט מהמשרד להגנת הסביבה, שירצה על הגנת המידע והסייבר בתעשייה ועוד דוברים בעלי ידע נרחב בתחום. בנוסף יהיה בכנס פנאל של דוברים, מומחים כמו גיל גרוסקופ מנהל מחלקת בקרה ב"מקורות" מרכז וישראל בר-און, מנהל מחלקת בקרה ברכבת ישראל, ועוד. הכנס מהווה מקום מפגש לבעלי תפקידים, להחלפת דעות ולחשיפה לפתרונות חדשים שיגנו על המערכות הקריטיות ביותר במדינה. https://ics-event.events.co.il/home