אזורים וערוצים לפי IEC 62443, בשפה של מנהלי מפעלים

רוב מנהלי המפעלים פוגשים את IEC 62443 כשורה במכרז או כממצא בביקורת: "יש לחלק את מערכת הבקרה לאזורים וערוצים". זה נשמע כמו עוד מסמך. בעיניי זה החלק השימושי ביותר בכל סדרת התקנים.

אזור: קבוצת נכסים שמגיעה לה אותה הגנה

התקן מגדיר אזור (Zone) כקבוצה של נכסים פיזיים או לוגיים שיש להם דרישות אבטחה משותפות. בעברית פשוטה: אוסף רכיבים שלתקיפה בהם יהיו אותן השלכות, ושאפשר להגן עליהם כיחידה אחת. הבקרים וה-HMI של קו ייצור אחד יכולים להיות אזור. מערכת הבטיחות (SIS) היא כמעט תמיד אזור בפני עצמו. ה-Historian והשרתים שמחליפים נתונים עם הרשת המשרדית שייכים לאזור אחר.

לעיתים קרובות אזור חופף ל-VLAN, לחדר או לשכבה במודל Purdue, אבל הוא משהו אחר: החלטה על סיכון. כל מה שבתוכו זוכה לאותה רמת אמון, וכל מה שבתוכו צריך לעמוד באותה רמת אבטחת יעד.

ערוץ: כל דרך שמחברת בין שני אזורים

ערוץ (Conduit) מאגד את ערוצי התקשורת שמחברים בין אזורים ושיש להם אותן דרישות אבטחה. הכבל בין אזור הבקרה ל-DMZ הוא ערוץ. גם חיבור הגישה מרחוק של הספק, המחשב הנייד של מהנדס ההרצה, ה-USB שמעבירים בו מתכון מהמשרד, וקו הרדיו או הקו הטורי לתחנה מרוחקת. בכל מקום שבו נתונים או פקודות יכולים לעבור מאזור לאזור יש ערוץ, בין אם מישהו שרטט אותו ובין אם לא.

התקן דורש שלושה דברים מכל ערוץ: שנדע שהוא קיים, שנחליט מה מותר לעבור בו, ושנאכוף את ההחלטה באמצעי ממשי. זה יכול להיות Firewall שהחוקים שלו כתובים לפי הפרוטוקול התעשייתי, דיודת מידע במקום שבו נתונים צריכים רק לצאת מהמתקן, או שרת קפיצה עם משתמשים אישיים לגישה מרחוק.

רמות אבטחה: כמה כל אזור צריך לעמוד

כל אזור וכל ערוץ מקבלים רמת אבטחת יעד, מ-SL 1 ועד SL 4. רמה 1 מגינה מפני שימוש לרעה מקרי או בטעות. רמה 2 מפני תקיפה מכוונת באמצעים פשוטים ובידע כללי. רמה 3 מפני תוקף מתוחכם עם ידע במערכות בקרה ומשאבים בינוניים. רמה 4 מפני אותו תוקף עם משאבים נרחבים, כלומר בפועל מדינה.

IEC 62443-3-2 מתאר איך קובעים את רמת היעד מתוך סקר סיכונים. IEC 62443-3-3 מפרט את דרישות המערכת לכל רמה, בחלוקה לשבע דרישות יסוד: זיהוי ואימות, בקרת שימוש, שלמות המערכת, סודיות הנתונים, הגבלת זרימת הנתונים, תגובה בזמן לאירועים וזמינות המשאבים. באזורים ובערוצים הגבלת זרימת הנתונים הופכת לדבר מוחשי.

מה זה אומר למנהל המפעל: לא כל אזור צריך רמה 3. קו אריזה ובקר של טורבינה לא צריכים את אותו תקציב, והחלוקה לאזורים היא הדרך להפנות את הכסף למקום שבו נמצאות ההשלכות.

איך משרטטים אותם במתקן אמיתי

מתחילים מהמיפוי, לא משרטוט הרשת

שרטוט הרשת מראה איך המתקן היה אמור להיבנות. המיפוי מראה מה באמת יש בו. בסקרי הסיכונים שאני עורך, התוצר הראשון הוא מיפוי מלא של הבקרים, התחנות, השרתים, המתגים, ה-Firewalls והדיודות, בכלים שמתשאלים את הרכיבים עצמם. בתחנות הכוח של כימיקלים לישראל המיפוי הזה היה הבסיס לדוח שהוגש לרגולטור. אזורים שמשורטטים בלי מיפוי מפספסים את המודם השכוח ואת כרטיס הרשת השני ב-Historian.

מקבצים לפי השלכות ולפי תפקיד

לכל קבוצת רכיבים שואלים: מה יקרה אם תוקף ישלוט בה? רכיבים של יחידת תהליך אחת נשארים יחד, הבטיחות מופרדת מהבקרה, וכל מה שנוגע ברשת המשרדית עובר לאזור משלו. גם האחריות חשובה. ציוד שספק מתחזק בחוזה מצדיק לעיתים קרובות אזור נפרד, כי מחשב של מישהו אחר יתחבר אליו.

רושמים כל זרימה, ואז קובעים את הערוצים

לכל זוג אזורים רושמים מה חייב לעבור ביניהם: איזה פרוטוקול, באיזה כיוון, בין אילו מחשבים ובאיזו תדירות. כל מה שלא ברשימה נחסם. בשלב הזה מתגלות רוב ההפתעות, למשל מחשב משרדי שכותב ישירות לבקר כי לפני כמה שנים זה היה נוח למישהו.

קובעים רמות יעד ומשווים למציאות

כל אזור וערוץ מקבלים רמת יעד מתוך סקר הסיכונים, ואז משווים אותה למה שהציוד המותקן יכול להשיג בפועל. הפער הוא רשימת הפרויקטים, מסודרת לפי השלכות ולא לפי מה שהכי קל לרכוש.

מתעדים בשני עמודים

תוצר טוב הוא תרשים אחד וטבלה אחת. התרשים מראה את האזורים והערוצים. הטבלה מפרטת לכל אזור את הנכסים ואת רמת היעד, ולכל ערוץ את הזרימות המותרות ואת הרכיב שאוכף אותן. אם צוות התפעול לא יכול לקרוא את זה, אף אחד לא יתחזק את זה.

טעויות נפוצות

• אזור OT אחד וגדול. כל המתקן מאחורי Firewall אחד מפריד בין IT ל-OT, וזו התחלה טובה. אבל תוקף שנכנס פנימה מגיע לכל דבר.
• אזורים שהועתקו מתוכנית הכתובות. ה-VLANs תוכננו לפי תעבורה ונוחות, לא לפי השלכות. משתמשים בהם כדי לממש אזורים, לא כדי להגדיר אותם.
• ערוצים שנשכחו. גישה מרחוק, מחשבים ניידים של ספקים, מדיה נתיקה, קישורים אלחוטיים והדרך ל-Historian הם ערוצים, ותוקפים מעדיפים בדיוק את אלה שאף אחד לא שרטט.
• ערוצים על הנייר בלבד. Firewall בין שני אזורים עם חוק "הכול מותר" הוא שרטוט, לא אמצעי הגנה.
• מערכת הבטיחות בתוך אזור הבקרה. ה-SIS מגינה על אנשים ועל ציוד כשהבקרה נכשלת. היא צריכה אזור משלה ואת הערוץ ההדוק ביותר באתר.
• מודל שלא מתעדכן. מתקנים משתנים בכל השבתה. מודל האזורים חייב להיות חלק מניהול השינויים, אחרת הוא מתאר מתקן שכבר לא קיים.

מאיפה מתחילים

לא צריך תוכנית IEC 62443 מלאה כדי להפיק ערך מאזורים וערוצים. שלוש שאלות מספיקות להתחלה. האם יש לנו מיפוי עדכני של כל רכיב ברשת הבקרה? האם אנחנו יודעים למנות כל דרך לרשת הבקרה, כולל גישה מרחוק ומדיה נתיקה? האם מערכת הבטיחות מופרדת מכל השאר? אם התשובה לאחת מהן היא לא, זה הפרויקט הראשון. ואם התשובה לכולן היא כן, שווה לבדוק מתי המיפוי עודכן לאחרונה, ומי אחראי לעדכן אותו אחרי ההשבתה הבאה.

בקורס להגנה על תשתיות קריטיות זה תרגיל על הלוח: חלוקה ידנית של רשת מפעל, לפני שמישהו נוגע ב-Firewall. זה אותו תרגיל שאני עושה עם לקוחות, במתקן שלהם, כפתיחה לארכיטקטורת סייבר ל-OT. למפעילים בישראל, העמוד הגנת סייבר OT לתשתיות קריטיות בישראל מסביר מי מנחה את מי.