סייבר למערכות OT ומתח נמוך: הרשת שמאחורי המצלמות והבקרים

כשמדברים על סייבר בארגון, חושבים בדרך כלל על מחשבים, שרתים ודוא"ל. אבל במבנה ממוצע יש עשרות ומאות רכיבים נוספים המחוברים לרשת: מצלמות, מקליטים, בקרי דלתות, רכזות אזעקה, אינטרקום, בקרי מיזוג ומעליות. אלה מערכות OT (Operational Technology), ולהן מאפיינים שונים מאוד ממחשבי משרד.

למה OT שונה

• הציוד פועל שנים רבות ולא תמיד מקבל עדכונים.
• לעיתים הוא מותקן ומנוהל על ידי ספקים חיצוניים, לא על ידי ה-IT.
• הוא חייב להמשיך לפעול – אי אפשר "לכבות לרגע" מערכת גילוי אש או בקרת כניסה.
• גישה מרחוק של טכנאים היא צורך יומיומי, ולעיתים מוגדרת בצורה לא מאובטחת.

עקרונות מתוך IEC 62443

סדרת התקנים IEC 62443 היא המסגרת הבינלאומית המקובלת לאבטחת מערכות אוטומציה ובקרה. כמה עקרונות מרכזיים שרלוונטיים גם למתח נמוך:

• חלוקה לאזורים (Zones) וערוצי תקשורת מבוקרים (Conduits) ביניהם.
• הגנה לעומק – כמה שכבות הגנה ולא חומה אחת.
• הרשאות מינימליות לכל משתמש ולכל רכיב.
• ניהול מחזור חיים: עדכונים, החלפת ציוד שאינו נתמך, תיעוד.

צעדים מעשיים

• רשת נפרדת (VLAN) לכל משפחת מערכות, עם חומת אש שמאפשרת רק את התעבורה הנחוצה.
• גישה מרחוק דרך נקודה אחת מבוקרת, עם הזדהות חזקה ותיעוד – ולא חיבורי TeamViewer או פורטים פתוחים לכל ספק.
• רשימת מלאי מעודכנת של כל הרכיבים: דגם, קושחה, כתובת, אחראי.
• סיסמאות ייחודיות ומנוהלות, וביטול חשבונות של ספקים או עובדים שסיימו.
• גיבוי הגדרות של מקליטים, בקרים ורכזות.
• ניטור בסיסי: התראה כשרכיב מתנתק או כשמתרחשת תעבורה חריגה.

הרגולציה והמלצות בישראל

מערך הסייבר הלאומי מפרסם המלצות ותורת הגנה לארגונים, כולל התייחסות ספציפית למצלמות ולמערכות IoT. לאחר אוקטובר 2023 פורסמו התרעות על ניסיונות השתלטות על מצלמות. ארגונים בתחומים מפוקחים (פיננסים, אנרגיה, בריאות ועוד) כפופים לעיתים להנחיות רגולטור ייעודי. מעבר לכך, תיקון 13 לחוק הגנת הפרטיות מעלה את רף האחריות לאבטחת מידע אישי – כולל וידאו.

שיתוף פעולה בין IT לקבלן

הצלחה בתחום תלויה בעבודה משותפת: מחלקת ה-IT מגדירה את המדיניות והרשת, והקבלן מתקין ומתחזק את הציוד בהתאם. כדאי לקבוע מראש מסמך דרישות סייבר לקבלנים, לכלול אותו בחוזה, ולבצע בדיקה תקופתית משותפת.

דוגמה: גישה מרחוק של ספקים

בארגון אחד ייתכן שספק המצלמות, ספק המיזוג וספק בקרת הכניסה מתחברים כל אחד בדרך משלו – תוכנת שליטה מרחוק, פורט פתוח בנתב, או מודם סלולרי בארון. כל אחד מאלה הוא פתח לרשת. הפתרון המקובל הוא נקודת גישה אחת מבוקרת: כל ספק מתחבר דרכה, עם משתמש אישי והזדהות חזקה, רק לרשת שלו ובזמן מוגדר, וכל החיבורים מתועדים.

דוגמה למבנה רשת

• רשת משרדית: מחשבים ושרתים.
• רשת ביטחון: מצלמות, מקליטים, בקרת כניסה ואזעקה.
• רשת מבנה: מיזוג, מעליות, תאורה.
• רשת אורחים: גישה לאינטרנט בלבד.

בין הרשתות מוגדרת חומת אש שמתירה רק תעבורה נחוצה – למשל עמדת הצפייה של הביטחון מורשית לפנות למקליט, אבל המצלמות לא יכולות לפנות לרשת המשרדית.

מחזור חיים של ציוד

ציוד מתח נמוך מותקן לעיתים לעשור ויותר, אבל תמיכת היצרן בעדכוני אבטחה מוגבלת בזמן. כדאי לנהל רשימה עם תאריך התקנה ומצב תמיכה לכל רכיב, ולתכנן החלפה של ציוד שיצא מתמיכה – במיוחד ציוד שחשוף לרשתות אחרות.

תגובה לאירוע

גם עם הגנה טובה, חשוב לדעת מה עושים כשמשהו קורה: איך מנתקים רכיב חשוד בלי להשבית את כל המערכת, מי מודיע למי, ואיך משחזרים הגדרות מגיבוי. נוהל קצר וכתוב חוסך זמן יקר.

מסמך דרישות סייבר לקבלנים – מה לכלול

• איסור על חשיפה ישירה של ציוד לאינטרנט ועל פתיחת פורטים ללא אישור.
• דרישה להחלפת סיסמאות ברירת מחדל ולמסירת הסיסמאות ללקוח בצורה מאובטחת.
• נוהל גישה מרחוק דרך נקודה מאושרת בלבד.
• דרישה לעדכון קושחה בהתקנה ולתיעוד הגרסאות.
• רשימת ציוד מלאה במסירה, כולל כתובות ומיקומים.
• חובת דיווח על אירוע חשוד.
• סודיות לגבי מידע ווידאו של הלקוח.

מסמך כזה הופך את הציפיות לברורות ומאפשר לבדוק את העמידה בהן.

בדיקה תקופתית משותפת

פעם בתקופה כדאי שה-IT והקבלן יעברו יחד על הרשימה: האם יש ציוד חדש שלא תועד, האם יש משתמשים שאינם בשימוש, האם יש ציוד שיצא מתמיכה. בדיקה קצרה כזו מונעת הצטברות של "חוב אבטחה".

עבודה מול רגולטורים ומבטחים

מבטחים ולקוחות גדולים שואלים יותר ויותר שאלות על אבטחת מערכות מחוברות. ארגון שמחזיק רשימת ציוד, מדיניות גישה מרחוק ותיעוד עדכונים יכול לענות על שאלונים כאלה במהירות ובאמינות. התיעוד הזה משרת גם את צוות ה-IT בעת תקלה, וגם את הקבלן בכל ביקור שירות.

לסיכום

מערכות מתח נמוך הן חלק מהרשת הארגונית ולכן חלק מהסיכון. הפרדה, גישה מבוקרת, עדכונים ותיעוד אינם מותרות – הם הבסיס שמאפשר לנצל את היתרונות של מערכות מחוברות בלי לפתוח דלת אחורית לרשת.