אבטחת סייבר למערכת SCADA: איפה מתחילים ומה אומר תקן IEC 62443

מערכות בקרה שהיו מבודדות במשך שנים מחוברות היום לרשת הארגון, למודמים סלולריים ולגישה מרחוק. ב-2020 פרסם מערך הסייבר הלאומי בישראל אזהרה על ניסיונות תקיפה של מערכות SCADA בתחנות טיהור שפכים, בתחנות שאיבה ובמתקני ביוב, וגורמים ברשות המים מסרו שלא נגרם נזק תפעולי. המסקנה ברורה: מערכת בקרה שנחשפה לרשת בלי הגנה היא יעד.

IEC 62443 היא סדרת תקנים לאבטחת מערכות אוטומציה ובקרה תעשייתיות. היא וולונטרית כשלעצמה, אבל מתייחסים אליה יותר ויותר בדרישות רגולטוריות וחוזיות, למשל באיחוד האירופי. הרעיון השימושי ביותר בה לשטח הוא חלוקה לאזורים (zones) ולצינורות תקשורת (conduits) מבוקרים ביניהם.

חמישה צעדים להתחלה: מיפוי כל הנכסים, כולל שערים, מודמים ויחידות קצה; חלוקה לאזורים עם חומת אש בין רשת הבקרה לרשת הארגון; גישה מרחוק רק דרך נקודת כניסה מבוקרת עם אימות רב-שלבי, בלי חשיפה ישירה לאינטרנט; החלפת סיסמאות ברירת מחדל ועדכון קושחה לפי מדיניות קבועה; וגיבוי של תכנות הבקרים והגדרות ה-SCADA, עם נוהל שחזור שנבדק.

ציוד תקשורת בשטח דורש תשומת לב מיוחדת: מודם סלולרי או שער Modbus עם הגדרות ברירת מחדל הוא דלת פתוחה לרשת הבקרה. כדאי לכבות שירותים שאין בהם צורך, להגביל כתובות מקור ולתעד כל שינוי.

אבטחה היא תהליך ולא מוצר. התחילו ממיפוי והפרדה, ואז הרחיבו לניטור ולתרגול שחזור. לתכנון מותאם למתקן שלכם, פנו לצוות ההנדסי של טלריס. המאמר כללי ואינו מהווה ייעוץ משפטי או הסמכה.