"לא כל התקני ה-IoT מועילים – אך כולם מגדילים סיכון לתקיפה"
כך לפי דניאל ארנרייך, מנחה ויו''ר ועדת התכנים של כנס ICS CyberSec, שדיבר באירוע שהתקיים היום (ד'), זו הפעם השישית
"ארגונים פועלים לייעל תהליכים ולהטמיע טכנולוגיות מתקדמות, כחלק ממימוש תפישת תעשיה 4.0. חלק ממימוש התפישה כולל הוספה של התקני IoT תעשייתיים, המחוברים למערכות שליטה ובקרה. התקני IoT אלה מגדילים את משטח התקיפה ואת הסיכון לארגונים: 75% מפרויקטי ה-IoT לא מספקים את התועלות הצפויות – אבל 100% מהתקנים אלה מגדילים את הסיכון לתקיפה", כך אמר דניאל ארנרייך, יועץ בכיר להגנת ICS-OT, סייבר למערכות בקרה תעשייתיות ולמערכות תפעוליות.
ארנרייך דיבר בפתח כנס ICS CyberSec. הכנס, שנערך זו הפעם השישית, התקיים היום (ד') באולם אירועים לאגו בראשון לציון. את הכנס, בהפקת אנשים ומחשבים, הנחו יהודה קונפורטס, עורך ראשי של הקבוצה, וארנרייך, שהיה יו"ר ועדת התכנים של הכנס.
צילום ועריכת וידיאו: ליטל רובינשטיין
"בשנים האחרונות", אמר ארנרייך, "ניכרת מגמה גוברת של תקיפות סייבר נגד ארגונים תעשייתיים בתחומי חשמל, מים, דלקים ועוד. חלק ממתקפות הסייבר האחרונות היו מכוונות נגד מערכות בקרה תעשייתיות, ורק בנס הן לא הסבו נזק וגרמו לפגיעה בחיי אדם. לעומת מתקפות אלו, רבות הן התקיפות נגד מערכות המידע (IT) של הארגון – שלעתים גרמו להשבתה של מערכות הייצור, למרות שהתקיפה כוונה נגד מערכות המידע".
"כך, למרבה ההפתעה", אמר, "מאז 2010 אירעו פחות מעשרים מתקפות על OT. רובן הגורף של המתקפות הוא על IT. המתקפות על OT היו: ב-2010 על מתקן הגרעין בנתאנז שבאיראן, עם התולעת סטוקסנט; בשנים 2015 ו-2016, על מערכות החשמל באוקראינה; נוזקת טריטון שתקפה ב-2017 מתקן תשתיות חשוב בסעודיה; תקיפת ענקית האלומיניום Norsk Hydro הנורבגית בסייבר ב-2019; תקיפת מתקן מים בישראל ב-2020; תקיפת מתקן מים ממשלתי בפלורידה, בפברואר השנה; תקיפת צינור הגז בחוף המזרחי בארה"ב השנה, של קולוניאל פייפליין; ועוד השנה – תקיפת המפעל לעיבוד בשר JBS".
"לא ניתן להבטיח אבטחה תפעולית בלא הגנת סייבר"
"יש לזכור", ציין, "כי ישנם שלושה וקטורים לסיכון: איום פנימי, דוגמת סטוקסנט, איום חיצוני, המתחיל מהנדסה חברתית, ואיום על שרשרת האספקה. יש להפריד בין המושגים, הקרובים לעתים: OT היא טכנולוגיה תפעולית, בעוד ש-ICS הן מערכות בקרה תפעולית. ושני אלה שונים מהתקני אינטרנט תעשייתי של הדברים, IIoT. הגנה על מערכת מידע מתבצעת באמצעות הקפדה על סודיות, שלמות ונגישות למידע, בעוד שהגנה על מערכות תעשייה מתבצעת על ידי הקפדה על בטיחות, אמינות, ותפוקה בתהליכי הייצור".
ארנרייך סיכם באומרו כי "לא ניתן להבטיח אבטחה תפעולית בלא הגנת סייבר, ואותה לא ניתן להבטיח בלא הגנה היקפית פיזית. צריך שהכל יתמוך בהכל. אסור, כמובן, לעצור את הקדמה, אבל בהחלט צריך לחשוב על כל תוספת של התקני IoT, תוכנות AI ותוכנות לימוד מכונה (ML), ולוודא שפעולות אלה הולמות את דרישות האבטחה בעולמות ה-IT וה-OT. הבינה המלאכותית היא הבסיס לחדשנות בעולם התפעול התעשייתי. זאת, לצד הפצת ידע וחינוך בתחום, כי זו הדרך להגדלת החוסן בסייבר. ברור לכל כי תקיפה תתרחש בכל אחד מהארגונים התעשייתיים, והשאלות העולות קשורות לרמת החומרה והתזמון. כדי להיות ערוכים היטב, יש לצאת מתוך הנחה כי מתקפה חמורה עלולה להגיע בכל רגע".
תגובות
(0)