אבטחת סייבר: IEC62443 והגישה לפי "רמות האבטחה"

(של אומברטו קטנאו*)
16/01/25

כפי שראינו במאמר הקודם שלי, תיאוריית RAT מזהה כיצד המוטיבציה של התוקף היא מרכיב חשוב בהערכת איומים וכיצד יש צורך ליישם אמצעי הגנה נאותים כדי להימנע או להגיב להתקפות סייבר.

בהתייחס לאבטחת סייבר המיושמת על עולם ה-OT (Operational Technology), באופן דומה תקן IEC 62443, המבוסס על עקרון גישת הסיכון, מגדיר כיצד ליישם הגנות על ידי התייחסות למניעים של התוקפים ולסיכונים לנזק שיכולים לנבוע מתקפה מוצלחת.

בפרט, החל מניתוח הסיכונים הקשורים לאיום, הם מוגדרים 5 רמות אבטחה שניתן ליישם, החל מ רמת אבטחה 0 (אין צורכי הגנה מיוחדים) עד ל רמת אבטחה 4 (הגנה מרבית).

אחד המאפיינים החשובים ביותר של תקן IEC62443, בכל מקום שנלקח כהתייחסות לתשתיות OT, הוא זה של להגדיר רמות אבטחה לא רק עבור רכיבים בודדים של מערכת אלא גם עבור מערכת כולה, כסכום הטכנולוגיות, הארכיטקטורות והנהלים שיושמו.

תכונה חשובה נוספת של IEC62443 היא שהוא מספק בדוק את הרשימה להגדרה של רמת אבטחה, הפיכת הערכת יכולתה של מערכת להתנגד להתקפות סייבר לאובייקטיבית וסטנדרטית.

ולבסוף הרעיון של רמת אבטחה לפי אותו היגיון כמו רמות הבטיחות "SIL" המשמשות להערכת מאפייני ה"בטיחות" ("בטיחות פיזית" היינו אומרים באיטלקית) המתייחסים ליכולת של מערכת לפעול ברציפות מבלי לגרום נזק לאנשים או לדברים, על פי לתקנים IEC61508 ו-IEC61511. ההערכה והעמידה ברמות SIL היא חובה מזה זמן, למשל, עבור מערכות בקרה של תשתיות קריטיות כגון: מנהרות רכבת או כבישים, מפעלים בעלי סיכון גבוה להשפעה סביבתית, מערכות איתות.

בואו נראה כיצד מוגדרות רמות אבטחת סייבר וכיצד ניתן להשיג בפועל את רמות האבטחה הללו ביצירת מערכת בקרה תעשייתית.

ההגדרה של רמת אבטחה מתייחסת להגנות שיש להכניס כדי למתן התקפות מ:

SL1: טעויות בלתי רצוניות שנעשו על ידי אנשים המשתייכים לארגון (למשל טעויות עובדים);

SL2: התקפות וולונטריות של נבדקים עם מעט משאבים, אמצעים פשוטים, מוטיבציות נמוכות וידע גנרי בתחום מערכות הבקרה התעשייתיות (ICS) (כגון: פושעי סייבר, האקרים);

SL3: התקפות מרצון של אנשים בעלי משאבים מתונים, אמצעים מתוחכמים, מניעים מתונים וידע ספציפי בתחום מערכות הבקרה התעשייתיות (ICS) (מחבלים סייבר והאקטיביסטים)

SL4: התקפות מרצון של אנשים בעלי משאבים גדולים, אמצעים מתוחכמים, מוטיבציה גבוהה וידע ספציפי בתחום מערכות הבקרה התעשייתיות (ICS) (מחבלים סייבר, התקפות סייבר של מדינות, APT).

כדי להשיג את רמות הבטיחות, הוגדרו פרמטרי הערכה אובייקטיביים כך שניתן יהיה לתקן את ההערכות, בכל מקום בו היא מתבצעת ברמה גלובלית.

I דרישות יסוד אשר מוערכים בבדיקות התאמה או אישורים הם 7, אשר לאחר מכן מועשרים עוד יותר במספר מסוים של דרישות נוספות להגיע לתיאור מלא של מאפייני הבטיחות של מערכת ו/או מוצר.

דרישות יסוד מעריכות עד כמה מערכת מסוגלת:

  1. בדוק זיהוי והרשאת גישה

  2. שליטה במשתמשים בפעולות שלהם

  3. ניהול סודיות הנתונים

  4. נהל את שלמות הנתונים

  5. שליטה והגבלת זרימת נתונים

  6. הגיבו מיידית לאירוע זדוני

  7. להבטיח יתירות מערכת קריטית

כל אחת מהדרישות הבסיסיות הנ"ל, כאמור, מועשרת לאחר מכן בדרישות נוספות ומהווה רשימת בדיקה "אובייקטיבית" של כ-100 פרמטרים המגדירה את הגיעה לרמת האבטחה (מושג) על ידי מערכת (או על ידי מוצר).

חשוב לציין כי בפרויקט אבטחת סייבר OT השגת א יעד SL (SL-T) ניתן לתכנן עם שלבים שונים אשר עשויים לכלול גם מודרניזציה של תשתיות ייצור כדי להתאים אותן להכנסת בקרות אבטחת סייבר. ניתן להשיג את ההישג של ה-SL-T על ידי הגעה ל-SLs ביניים לאורך זמן.

תהליך זה יכול לקחת שנים, שבמהלכו, כדי להבטיח את בטיחות המערכת, ייתכן שיהיה צורך להציג כמה בקרות מפצות, אפילו זמני, מסוגל לפצות על כל ליקוי הקשור להתיישנות המערכות.

מרכיב בסיסי נוסף שיש לקחת בחשבון הוא הכנסת תוכניות תחזוקה ועדכון, המוקדשות לעולם ה-OT. על תכניות אלו לקחת בחשבון את הצורך להגביל את ההשפעות על מחזורי הייצור, להשתלב בתהליכים ולעדכן את רכיבי הסייבר, ככל שיאושרו על ידי ספקי רכיבי המערכת ולא להתערב בתהליכי הפיקוח והבקרה.

ההבדל העיקרי בהשוואה לבדיקות שבוצעו במגזר ה-IT עשוי להיות טמון בעובדה שהגישה מתבצעת ברמת המערכת וכי אין ספציפי נקודת התחלה, אבל אתה חייב שיהיה לך אחד חזון כמה שיותר "הוליסטית".

* מומחה ISA99/IEC62443