הנדסת מים

23 הוא SCCE פעיל בחברת דניאל ארנרייך, יועץ, מרצה מקצועי לאבטחת סייבר למערכות תפעוליות וגם חבר במספר ועדות תקינה שכותבות פרקים חדשים בנושא אבטחת סייבר. מאמרים מקצועיים של דניאל בתחום 2016 זה פורסמו בישראל ובחו“ל. החל משנת OT &IIoT דניאל הוא יו“ר הקבוע של כנסים המאורגן על ידי חברת אנשים ICS-CyberSec ומחשבים בישראל. חשוב לציין כי למרות הפרסומים בעולם על 14- חולשות אבטחה בבקרים ותוכנות, ב שנים מאז אירוע הכור האירני לא התרחשו תקיפות שמטרתם לפגוע במערכות תפעוליות. במאמר זה נבחן לעומק מה חשוב לספקי מים בישראל לדעתעל סיכונים אפשריים לתשתיות מים, ומה נדרש לעשות כדי להיותמוגנים טוב יותר באמצעותבחירת בקרים מאובטחים, פתרונות טכנולוגיים, הקפדה על נהלים ושדרוג הידע של אנשים באמצעות הדרכות מותאמות לתחום המים. מדוע לא היו הרבה תקיפות נגד מערכות מים בעולם? מרבית ארועי התקיפות מונעים בעיקר למטרה של רווח כספי, כפי שזה קורה ) באמצעות תקיפות IT במערכות מידע ( כופרה. בתחום מערכות מים, לא התרחשו תקיפות כפרה (הצפנה וזליגת מידע פרטי) מהסיבות הבאות: המידע במערכותתפעוליות בתחום המים איננו סודי ולכן אין לו ערך עבור תוקפים שמטרתם להרויח כסף. לא ניתן להבטיח כי פיענוח של תוכנת במחשב או בקר מוצפן, יחזיר את המערכת לפעולה בטוחה ואמינה. ארגונים עוינים מעדיפים להתמקד ), שם לקורבן בד“כ IT במערכות מידע ( אין ברירה, וישלם את הכופרה. מהם האיומים על הרציפות התפקודית של ארגוני מים? ברב המקרים קיימים שלושה סוגי סיכונים: א. השבתה של תפקוד המערכת ב. נזק למכונות ג. סיכון לחיי אדם. היכרותעם גורמים אלהתאפשר לכם לבחור את הפתרונות הטכנולוגיים, שיספקו את ההגנה המותאמת לכל מערכת: מנהלי בקרה חייבים להיערך לכך שתקלה בלתי צפוייה בחיישן, בקר או תוכנה יגרמו להשבתה. מנהלי בקרה ואבטחתסייבר חייבים להיות ערוכים להגיב נכון במקרים של פעולה שגויה על ידי עובד. להגיב לתקיפות סייבר שעלולות להתרחש עקב חדירה למערכת מפנים, מבחוץ ובאמצעות שרשת האספקה. לאיזה סוגי אירועים חייבים להערך? נושא זה הוא החשוב ביותר, כיוון שיש לו נגיעה לכלל הארגון ולא רק לאנשים שתפקידם להפעיל ולתחזק את מערכות הבקרה במתקני מים מרוחקים, בד“כ לא מאוישים, מתקנים גדולים מאוישים וגם בחדרי בקרה: אירועים שנועדו לפגוע במערכות המידע ) באמצעות תקיפות IT של הארגון ( סייבר, כלל תקיפת כופרה, שאין להם השפעה ישירה על מערכות תפעוליות )99% ). אלה מרבית האירועים (מעל OT ( שמתרחשים בעולם. אירועים שנועדו לפגוע במערכות המידע ), אבל לתקיפה ישהשפעה IT של הארגון ( ) וכך OT עקיפה (!) על מערכותתפעוליות ( הם פוגעות ביכולת הפעולה של הארגון. לדוגמה: חוסר בחומרים לטיהור מים, רכש חלפים וכו'. אירועיםשנועדו לפגוע באמצעותמערכות ), אבל התקיפה IT המידע של הארגון ( עלולה עקב תכנון פגום של ההפרדה בין רשת מערכות המידע ורשת הבקרה ) OT לעבור לאיזור מערכת התפעולית ( ולגרום נזק. אירועים שנועדו לפגוע ישירות במערכות ) וכך לגרום OT התפעולית של הארגון ( להשבתה תפעולית, נזק למכונות וחלילה סיכון לחיי אדם. תקיפות כאלה הם נדירות ועלולות להתרחש ביוזמה של מדינות עויינות.