לא תהיה תשתית מחשוב משותפת ל-IT ול-OT!

סוגיות רבות בנושאי אבטחת מידע, סייבר ושליטה ובקרה (שו"ב) היו על הפרק בכנס 2016 ICS Cybersec של אנשים ומחשבים, שהנחיתי בשבוע שעבר. בעקבות הכנס, יותר מ-400 מקצוענים בתחום בישראל יכולים להסביר באופן ברור וממוקד יותר מהו ההבדל בין הגנת סייבר על מערכות מידע (IT – ר"ת Information Technology) להגנה על מערכות שו"ב תעשייתיות (OT – ר"ת Operation Technology). במערכות OT הכוונה היא ל-ICS ,DCS ,SCADA ועוד.

אחת השאלות שנשאלו בכנס הייתה האם ניתן לשלב בין המערכות האלה, במטרה לאחד טכנולוגיות, להוריד עלויות ולצמצם כוח אדם שנדרש על מנת לטפל בשתי מערכות בנפרד. טרם נדון במשאלות הלב של בעלי העניין שדוחפים לאיחוד, חשוב להבין את ההבדלים המהותיים בין המטרות של כל אחת ממערכות המחשוב ולהתייחס למה שהנחה את אלה שאפיינו מערכות אלה.

אין חילוקי דעות שאנשי ה-IT בארגון עמלים קשה כדי להבטיח את זמינות הגישה, סודיות ותקינות המידע (CIA – ר"ת confidentiality, integrity, availability). תפקיד זה הורחב באחרונה והפך למורכב יותר, עקב השימוש הנרחב במחשבים ניידים שמתחברים למערכת מרחוק (Remote connection) ועקב שימוש בטלפונים חכמים לצרכי עבודה.

תפקידם של המקצוענים בארגונים שבהם מפעילים, למשל, מתקני תהליכי ייצור מורכבים, תחנות כוח, מערכות טיהור והזרמת מים מטוהרים, מפעלי תעשייה, ושבהם פועלות מערכות מחשוב למטרות של שליטה ובקרה, הוא להבטיח פעולה אמינה, ובטוחה ותפוקה גבוהה של המתקנים התעשייתיים. באנגלית קוראים לזה SRP (ר"ת safety, reliability, productivity).

המשותף בין אלה הוא שבשתי המערכות חייבים לפעול במקצועיות ולאפשר תגובה מידית לכל בעיה, תקלה מערכתית, שגיאה של אדם או תקיפת סייבר. כמובן שיש לבצע זאת באמצעים שונים שמותאמים למערכת. הלקוחות של צוות מערכות המידע הם כלל עובדי הארגון, וכן משתמשים חיצוניים ומרוחקים, כמו לקוחות, ספקים ומנהלים. לעומתם, הצוות שמגן על המערכות התפעוליות חייב להבטיח שאלה יפעלו באופן בטוח ואמין. עקב מטלות ומחויבויות שונות, צוותים אלה חייבים לעבור הדרכות שונות ולהגיב באופן שונה לכל קריאה. אין מי שיעלה בדעתו להקפיץ איש מערכות מידע באמצע הלילה כי הוא לא הצליח לקרוא מייל מהבית, אבל אם מתעוררת בעיה בתהליך הייצור, האיש המקצועי ביותר יוקפץ מידית.

חייבים פיצול

שתי מערכות המחשוב הללו חייבות להיבנות בארכיטקטורה מבודדת לחלוטין, ללא חיבור ביניהן, וכך להיבדק טרם הפעלתן. מערכת המחשוב ארגוני (Corporate/Business network) מחוברת לאינטרנט באמצעות נתבים מאובטחים, ומערכות תפעוליות חייבות להיבדק ולפעול כאשר הן מנותקות מכל גורם חיצוני. כדי להיענות לצרכים הניהוליים, שתי מערכות אלה מחוברות זו לזו באמצעי אבטחה שימנעו כל אפשרות של התערבות מהרשת הארגונית לרשת התפעולית, כגון מחבר חד-כיווני (Unidirectional gateway), התקן פיירוול מתאם להגנה על מערכות שו"ב (Scada-aware firewall) או מערכות אזור מפורז (De-militarized zone).

אין כאן כוונה למנוע מהצוות שבתוקף תפקידו מיישם פתרונות הגנת סייבר על מערכת המידע להתייעץ או לייעץ למקצוענים שתפקידם ליישם פתרונות הגנת סייבר על המערכת התפעולית. להיפך, יש לעודד את הקשר המקצועי בין צוותים אלה למטרה של הפריה הדדית והעברת מידע לגבי הניסיון שלהם עם פתרונות ומוצרים. הם חייבים להפרות זה את זה בכל הקשור לאיומי תקיפה, אך חשוב להדגיש כאן שלהשגת הגנת סייבר יעילה יש להתייחס לשוני המשמעותי בין המערכות ואופן הטיפול בהן.

לסיכום אציין שכל צוות חייב להתמקצע בתחומו בנפרד, כדי לתת מענה לאתגרים המיידיים שעלולים להופיע עקב תקיפת סייבר, ובמקביל לבנות תוכנית ארוכת זמן לשדרוג מערכות המחשוב שבאחריותם. התובנה החשובה ביותר היא שאין אפשרות מעשית ואין הצדקה תפעולית לחשוב על מצב של איחוד בין מערכות המידע למערכות התפעוליות, כי כל שילוב בין המערכות (IT-OT Convergence) יצור חולשות אבטחה נוספות, מסוג שיהיה מאוד קשה לבטל אותן. הדבר יגרום לכך שיהיה קשה למנוע מתוקף סייבר שפרץ לרשת מערכות המידע לדלג לתוך הרשת התפעולית.

כנס 2016 ICS Cybersec הסתיים בהצלחה בין היתר מאחר שניתנו בו הרצאות ממוקדות ומכוונות להגנת סייבר על מערכות שו"ב. באנשים ומחשבים כבר שוקדים על האירוע שיהיה ב-2017, שבו ישתתפו יותר חברות שמספקות פתרונות לתחום הגנת הסייבר על מערכות אלה, ומבקרים מחו"ל, שרואים בישראל מעצמת על בתחום הגנת הסייבר בכלל ומובילה בהגנת סייבר על תשתיות מים, אנרגיה, תקשור, תחבורה ומפעלים תעשייתיים.

הכותב הינו יועץ ומרצה להגנת סייבר.