הגנת סייבר לתשתיות קריטיות בישראל
מים, חשמל, גז ותעשייה: הרגולטור משתנה ממגזר למגזר, רשת הבקרה שמתחת נשארת אותה רשת.
אני מתכנן מערכות בקרה תעשייתיות כבר עשרים שנה, ועוסק בהגנת הסייבר שלהן מאז 2013: תחנות כוח, מתקן גז, מתקני משרד הביטחון, מכון ויצמן ושופרסל בישראל, ותחנות כוח ותחנות משנה בטורקיה ובגאנה. העמוד הזה מסדר מי מנחה את מי בישראל, ואיפה מהנדס OT חיצוני עוזר.
מי קובע את הדרישות
מערך הסייבר הלאומי
מערך הסייבר הלאומי הוא הגורם המקצועי המנחה. לפי החלטת הממשלה 2443 משנת 2015, המערך מנחה את יחידות הסייבר המגזריות במשרדי הממשלה, והן מנחות את הגופים שבתחומן. בין המסמכים שפרסם המערך: תורת ההגנה בסייבר לארגון, הנשענת על NIST Cybersecurity Framework.
הצעת חוק הגנת הסייבר הלאומית
הצעת החוק עברה קריאה ראשונה בכנסת ביוני 2026. לפי הנוסח שפורסם, ארגונים חיוניים במגזרים כמו אנרגיה ומים יחויבו ברף הגנה ובניהול סיכונים, ידווחו על מתקפות משמעותיות, ויפוקחו על ידי היחידה המגזרית במשרד הממשלתי הרלוונטי, בהנחיה מקצועית של המערך. הנוסח עוד עשוי להשתנות לפני שיהפוך לחוק.
מגזר המים
רשות המים היא הרגולטור של ספקי המים, ובהם תאגידי המים, גם בתחום הסייבר. דוח מבקר המדינה משנת 2022 בחן את האסדרה הזו והמליץ לעגן את סמכות הרשות לתת לספקי המים הנחיות סייבר. באפריל 2020 דיווח מערך הסייבר על ניסיונות תקיפה במערכות השליטה והבקרה של מכוני טיהור שפכים, תחנות שאיבה וביוב, וקרא לגופים במגזרי האנרגיה והמים להחליף סיסמאות גישה מהאינטרנט, לצמצם את החשיפה לרשת הציבורית ולעדכן את גרסאות הבקרים.
מגזר החשמל
יצרני חשמל ובעלי רישיונות פועלים מול רשות החשמל ומשרד האנרגיה והתשתיות, ובתחום הסייבר בהכוונה מגזרית בהנחיית המערך. סקרי הסיכונים שערכתי בתחנות הכוח של כימיקלים לישראל הוגשו לרגולטור.
שיטת העבודה: IEC 62443 ו-NIST SP 800-82
ההנחיות אומרות מה צריך להשיג. ISA/IEC 62443 ו-NIST SP 800-82 אומרים איך: אזורים וערוצים (Zones and Conduits), רמות אבטחה, ודרישות מספקים ומאינטגרטורים. כך אני עובד בכל מגזר, מוסדר או לא.
איך ארבעת השירותים עונים על הדרישות
- סקרי סיכונים המיפוי שכל תוכנית הגנה מתחילה ממנו: כל בקר, תחנה, מתג, Firewall ודיודה, נקודות הכניסה, תרחישי התקיפה, ודוח שהרגולטור יכול לקרוא.
- ארכיטקטורת סייבר ל-OT הפרדת IT/OT, אזורים וערוצים לפי IEC 62443, גישה מרחוק מבוקרת לספקים, וניטור פסיבי בתוך רשת הבקרה.
- תכנון מערכות בקרה מתקנים חדשים ושדרוגים שבהם דרישות האבטחה כתובות כבר במפרט ובחוזי הספקים, ולא מתווספות בדיעבד.
- ייעוץ עסקי להנהלה ולדירקטוריון שמאשרים את התוכנית: סדרי עדיפויות, תקציב, והטמעת AI בלי לחשוף את נתוני התפעול.
לצוותי התפעול יש את הקורס להגנה על תשתיות קריטיות, בגרסאות של שבוע, שבועיים ושלושה שבועות, עם מעבדות התקפה והגנה על בקרים אמיתיים.
הוכחות מהשטח
- כימיקלים לישראל (ICL), תחנות כוח, 2017 ו-2018. מיפוי כולל של מערכות הבקרה, הנכסים, מערכות המשנה, המתגים, התחנות, השרתים, ה-Firewalls והדיודות; התוצר הוגש לרגולטור. סקרי סיכונים
- דלק, 2016. סקר סיכונים למתקן הגז.
- משרד הביטחון. תכנון בקרה, תקשורת וארכיטקטורה למתקנים ולבסיסי צה"ל, עם הגנת סייבר כחלק מהתכנון. פרטים
- מכון ויצמן למדע ושופרסל. מעל 500 בקרים בקמפוסים של המכון, ומערכת בקרה מרכזית לכ-300 סניפים. כל הפרויקטים
- אנרג'יסה (EnerjiSA), טורקיה, 2017. סקר סיכונים בתחנות כוח הידרו-אלקטריות אחרי התקפות סייבר, כולל איתור מקורות ההתקפות.
- תשע תחנות משנה, גאנה, 2018. GRAPHENE, זיהוי חדירות פסיבי, מנטרת את רשתות הבקרה של התחנות.
- SPARTA. מודול הגנה לשרת ה-HMI, רשום כפטנט בארה"ב.
- SIIRD. מו"פ משותף לישראל ולסינגפור: סביבת בדיקות התקפה והגנה למערכות בקרה. פרטים
שיחה ראשונה
שיחה ראשונה ללא עלות ונמשכת חצי שעה. ספרו לי מה המגזר, מי הרגולטור, וכמה אתרים ובקרים יש בערך. עבודה מסווגת נדונה בפגישה אישית.
או כתבו ל-mail@ilanshaya.com.