מנהיגים עסקיים מזניחים את סיכוני הטכנולוגיה התפעולית (OT) על אחריותם. אלו הן המערכות המפעילות חלק מהתשתיות הלאומיות הקריטיות ביותר בבריטניה - מתחנות כוח גרעיניות ועד מתקני טיהור מים. שלא כמו איומי IT, התקפות המכוונות נגד OT עלולות להשפיע פיזית ישירה על האוכלוסייה. עם זאת, דירקטוריונים של CNI אשמים לעתים קרובות בתעדוף מטרות עסקיות אחרות על פני אבטחת סייבר.

זה אולי עומד להשתנות עם ה- פרסום דו"ח חדש ממומחה אבטחת ה-OT, דראגוס. המחקר, המגובה בניתוח עצמאי של חברת הביטוח מארש מקלנן, מגלה כי הסיכון הפיננסי השנתי הקשור לאירועי OT עשוי להגיע עד 329.5 מיליארד דולר. השאלה היא: אם דירקטוריונים סוף סוף יתחילו להקשיב למנהלי ה-CISO שלהם, מה יקרה הלאה?

מדוע טיפול תרופתי נמצא בסיכון?

אבטחת OT אינה נוראית באופן כללי. אבל כשלים נפוצים כוללים:

  • ציוד מדור קודם בעל אורך חיים ארוך ולעתים קרובות מריץ תוכנה מיושנת, בין אם עקב בעיות תאימות חומרה ו/או משום שקשה להוריד אותו מהאינטרנט לצורך תיקון.
  • גישות היסטוריות לניהול סיכונים שכללו הפרדת מערכות OT מהאינטרנט הציבורי. אלו נכשלות כעת, שכן מערכות מתכנסות יותר ויותר עם IT ומצוידות בקישוריות.
  • סדרי עדיפויות מעוותים שמעדיפים זמינות ובטיחות על פני אבטחה

כתוצאה מכך, סביבות OT רבות נותרות ללא עדכונים קריטיים, מפעילות פרוטוקול תקשורת מיושן ולא מאובטח, וכוללות רשתות שטוחות ולא מפולחות. ייתכן גם חוסר תובנה לגבי נכסי OT, ואימות חלש כגון סיסמאות סטטיות בנקודות קצה.

בעיות אבטחה כאלה נוצלו באופן מפורסם על ידי גורמי איום סינים "להתמקם מראש" על רשתות CNI אמריקאיות, במטרה לשגר התקפות הרסניות במקרה של סכסוך. לדברי מארץ' מקלנן, המגזרים שנפגעו הכי הרבה מפריצות OT בעשור האחרון היו

  • שירותי בריאות (27%)
  • בנייה (27%)
  • ייצור (16%)
  • אוטומציה של מבנים: (3%)
  • שירותים: (2%)

מה אומר הדו"ח

כדי להגיע לנתון שלה לגבי סיכון OT, שנחשבת לפעם הראשונה שבה סיכון פיננסי נמדד בדרך זו, מארש מקלנן ריסקה נתונים מאחד ממאגרי המידע הגדולים בעולם לתביעות ביטוח. כמו כן, היא ניתחה נתונים של צד שלישי עצמאי, דוחות ביטוח ודוחות התאוששות מפריצות - המכסים את התקופה 2014-2024.

לצד התרחיש הגרוע ביותר של אירועי סייבר ב-OT שיובילו לסיכון פיננסי של כמעט 330 מיליארד דולר בשנה, הדו"ח מציין כי אירועי סייבר המובילים לתביעה בגין הפרעה לעסקים עלולים להוביל להפסדים של 172 מיליארד דולר. מעניין לציין, שחלק ניכר מההפסדים הללו נובעים מעלויות עקיפות - שלעתים קרובות אינן נספרות כחלק ממידול סיכונים. כ-70% מפריצות ה-OT גוררות עלויות אלו - הנובעות משיבושים תפעוליים קשורים ומהשבתות "באמצעות שפע של זהירות".

"המורכבות של מערכות OT מחוברות זו לזו יכולה לעתים קרובות להוביל לסיכון מצטבר מצטבר בסביבות אלו", מציין הדו"ח.

 דאגה של הסוויטה הראשית

לדברי דראגוס, ארגונים התקשו באופן היסטורי לנהל סיכוני OT בגלל:

  • הם לא יכלו לכמת את החשיפה הפיננסית הקשורה לאירועים ספציפיים
  • הם לא יכלו למדוד את יעילותן של בקרות אבטחת OT
  • חסרו להם מדדי אמות מידה עצמאיים שיידעו אותם אילו בקרות חשובות ביותר, ומדוע

כעת יש להם תובנה טובה יותר, הודות לדו"ח. הוא מדגיש את חמשת הבקרות הבאות כיעילות ביותר בהפחתת "הסבירות והחומרה של הפסד כספי" כתוצאה מפריצת מערכות OT:

  • תוכניות תגובה לאירועים
  • ארכיטקטורה ניתנת להגנה
  • נראות וניטור הרשת
  • גישה מאובטחת מרחוק
  • ניהול פגיעות מבוסס סיכונים

פיל טונקין, מנהל הטכנולוגיה הראשי של דרגוס, מסביר כי בניית ארכיטקטורה ניתנת להגנה חייבת להתחיל בהבנה של התהליכים הפיזיים ומערכות קריטיות לבטיחות שעליהן בנויה הפעילות התעשייתית.

"ארכיטקטורה ניתנת להגנה ב-OT חייבת להיות מתוכננת כך שתעמוד בפני התקפות ממוקדות, שיבושים מקריים וכשלים אחרים. משמעות הדבר היא בידוד רשתות בקרה ממערכות ארגוניות, אכיפת בקרות גישה מחמירות לקישוריות מרחוק, והבטחת נראות לכל נכס ונתיב תקשורת", הוא אומר ל-ISMS.online.

"זה דורש גם תכנון מערכות תוך מחשבה על חוסן. משמעות הדבר היא שגם אם מתרחשת פרצה, ההשפעה מוגבלת וההתאוששות יכולה להיות מהירה. הארכיטקטורה צריכה לשקף את המציאות התפעולית של כל מערכת בקרה תעשייתית - לא רק את המודלים התיאורטיים של אבטחת IT. מדובר בהנדסת אמון בתשתית עצמה."

הצעד הבא

חמושים בנתונים משכנעים כמו אלה שבדו"ח דראגוס, למנהיגי אבטחת OT יש הזדמנות מצוינת להתחיל בדיונים אסטרטגיים עם הנהלה בכירה על הדרך הטובה ביותר לשפר את האבטחה התפעולית.

"השלב הבא הוא לתרגם נקודות תורפה תפעוליות לשפה עסקית - להראות כיצד מערכת בקרה שנפגעה עלולה להוביל להשבתת ייצור, תקריות בטיחות או חשיפה רגולטורית. כעת ניתן למנהיגים לכמת את הסיכון ולהדגים כיצד בקרות ספציפיות מפחיתות אותו", אומר טונקין.

"זה מעצים אותם לקדם השקעות ממוקדות, לא רק הוצאות אבטחה רחבות היקף. זה גם פותח את הדלת לשיתוף פעולה משמעותי יותר בין צוותי תפעול, כספים וסיכונים. המטרה היא לעבור ממערכות הגנה ריאקטיביות לחוסן פרואקטיבי - הטמעת אבטחת OT בתצורת הסיכון הכוללת של הארגון ובמסגרת קבלת ההחלטות שלו."

סטנדרטים של שיטות עבודה מומלצות יכולים לסייע במאמצים אלה, במיוחד תקן ISO 62443 - אשר תוכנן תוך מחשבה על מערכות אוטומציה ובקרה תעשייתיות. המפתח הוא להבטיח שהם מיושמים "דרך עדשת OT", אומר טונקין.

"כאשר סטנדרטים אלה מותאמים באופן מושכל, הם יכולים לעזור לצוותי OT לבסס גישה מובנית לניהול סיכונים", הוא מסכם.

"לעתים קרובות היה קשה לצוותי אבטחה ולהנהלה לקשר את המסגרות הללו לתוצאות מדידות. אבל עכשיו אנחנו יכולים לראות כיצד בקרות OT ספציפיות, כמו תכנון תגובה לאירועים ונראות הרשת, מתואמות ישירות להפחתת סיכונים פיננסיים."