הנדסת מים

40 148 | מגזין המים הישראלי הנדסת מים | “האיומים המרכזיים כיום על מערכות המים בישראל הם התקפות סייבר, ובעיקרם חדירות שקטות לתשתיות קריטיות (דוגמת תאגידי מים ומתקני טיהור שפכים) ו'תפיסתשטח' ליום פקודה. זו טקטיקה מוכרת וידועה במלחמות סייבר בין־מדינתיות ולפיה כל מדינה שותלת יכולות פגיעה עתידית בתשתיתשאותן יפעילו Battlespace בשעת הצורך. הקונספט זכה לכינוי והוא פרקטיקה נהוגה בהערכות ארוכת preparation טווח למלחמות. מעבר לקטסטרופה פוטנציאלית, יש נזק משני בתהליך כזה: בעלי תשתיות רבות שואלים, האם היו פגיעות בתשתיות קריטיות? כמוטיבציה לפעול. זו תפיסת עולם שגויה ומסוכנת: העובדה שלא נגרם נזק לא אומרתשתשתית לא הותקפה, היא בסך הכול אומרת שמימוש הנזק לא קרה, זה הבדל מהותי. ראינו פעילות משמעותית מהסוג הזה במקומות שונים, כגון ארצות הברית ואירופה, חדירות שקטות וניסיונותהתבססותבתוך התשתית ליום פקודה. לצערי מצב ההגנה בתחום התשתיות הקריטיות גרוע כך שאפילו רכיבי התרעה בסיסיים לאיתור ניסיונות חדירה אינם נפוצים, ולכן ניסיונות חדירה מצד גורמים מיומנים פשוט לא מתגלים וקשה לנו לאמוד באופן סביר את היקף התופעה“. מהם האתגרים המרכזיים בהגנה על מערכות מים? “ישנם מספר לא מבוטל של אתגרים. השונות הרבה בין המערכות, ציוד חדש לצד ציוד בן עשרות שנים. ציוד ישן אינו תומך בפרוטוקולי אבטחה מודרניים ולעיתים לא ניתן לעדכן אותו כלל. לתשתיות קריטיות יש פרופיל תפעול מאוד מאתגר שמחייב זמינות, יתירות ומקשה מאוד על יישום אבטחה 'סטנדרטית' . בתוך כך, מדובר IT כפי שאנחנו רגילים בעולם ה־ בתעשייה 'מסורתית' מאוד עם אחריות עצומה וקיימת נטייה חזקה להקטין שינויים (בבחינת 'אם זה עובד – אל תיגע'). מדובר על פער תרבותי מהותי מול המיידיות והמהירות של עולם הסייבר והאיומים שהוא מביא“. כיצד ניתן להגן על מערכות כה מגוונות, במיוחד כשאין תקציב וכוח אדם? “הפתרון חייב להיות פשוט, כלכלי וקל לפריסה. הורגלנו שנים שאבטחת מידע היא מורכבת, יקרה ודורשת כוח אדם מיומן. המשוואה הזו חייבת להשתנות כשדנים בתשתיות קריטיות במתווה שתיארנו. ) appliances יש להטמיע התקני אבטחה ייעודיים ( שמגינים על הציוד הקריטי. אל לנו להסתמך רק על הפרדת רשתות כאמצעי הגנה יחיד. רכיבים אלו צריכים לפעול כבר מרמת הבקרים, הם אינם דורשים שינויים במערכת הקיימת ואינם מחייבים שינויים בתהליכי העבודה והם מספקים הגנה מיידית מפני תקיפות נפוצות. עניין חשוב בתחום האבטחה על תשתיות קריטיות היא התחשבות בשוני הרב בין תשתית לתשתית: מוצרי אבטחה על פי רוב קשיחים מאוד ולא פעם ארגונים נאלצים להתפשר בגלל פערי יישום. פתרונות אבטחה עבור תשתיות קריטיות חייבים להביא בחשבון שנדרשת מידה רבה של גמישות יישומית בתהליך. תפיסת האבטחה שמשוקפת חייבת להביא בחשבון הגנה אקטיבית, התרעות ואמצעי עזר לתגובה במקרה של חדירה. בתוך כך יש מסר שאגף חירום ברשות דני לקר מתמיד להעביר לכלל הגורמים: צריך להתאים את מדיניות האבטחה ללקוח .לעיתים אנו (מומחי הסייבר) שוכחיםשמתקן מים תפקידו קודם כל לספק מים, ותפקידנו למצוא ולאפשר את המענה שיאפשר את המשך השירות כנדרש“. מה תפקיד המדינה והרגולטור באבטחת סייבר של מים? “במקרים של תשתיות קריטיות עם שונות גדולה ופערי ידע ברורים, הרגולטור חייב קודם כל לשמש אבטחת סייבר במערכות מים אתגרי ההווה והעתיד ומומחה לאבטחת תשתיות קריטיות, RubyComm שלומי מרקו, מנכ“ל חברת מזהיר מהשלכות חדירה שקטה למערכות מים בישראל וקורא להיערכות מיידית עם פתרונות פשוטים וזמינים – גם ברשויות ללא תקציב גם עם תקציב מוגבל ניתן להקטין משמעותית את הסיכון. שיתוף פעולה עם חברות אבטחה וגופי ממשלה הוא קריטי ואסור להזניח את ההגנה על מערכות המים