הפער שבין "רעש" ל"נזק" הוא אחת האשליות המסוכנות בעולמות הסייבר. בזמן שהציבור מתרגש מפריצה לאתר מסחרי או מדליפת פרטי לקוחות, האיום האמיתי נמצא בשכבות שבהן נמצאות המערכות ששולטות בלחץ צינורות הגז, בטמפרטורת חומרים מסוכנים, במתח החשמל ובמערכות הניווט של כלי שיט ומטוסים. שם מדובר בסיכון פיזי, סביבתי ולאומי.
במשך שנים, מדדנו הצלחה במספר ניסיונות החדירה שנבלמו בפרימטר הדיגיטלי של הארגון: פישינג שנחסם, נוזקה שנעצרה, DDoS שסוכל. במערכה מול איראן, הסטטיסטיקה הזו אינה רלוונטית. האויב אינו מחפש פרטי כרטיסי אשראי. היעד האמיתי הוא הבקר התעשייתי שמווסת לחץ, מערכת SCADA שמנהלת תהליך ייצור, מצלמת אבטחה שמחוברת לרשת הארגונית או מערכת קשר קריטית.
המלחמה הבאה לא תתחיל בפיצוץ, אלא בשקט. במערכות שיראו "ירוק" על המסך בזמן שהמציאות בשטח תתפרק. מנכ"ל ששואל היום "האם פרצו לנו?" שואל את השאלה הלא נכונה. השאלות הנכונות הן – "האם נפרצנו? האם נדע לזהות אותם לפני שילחצו על המתג? והאם נדע להמשיך לתפקד כשהאורות יכבו"?
העובדה שלא חווינו עד כה השבתה של תשתיות קריטיות אינה רק תוצאה של הגנה אפקטיבית, אלא תוצאה של אסטרטגיית האויב. הנחת העבודה חייבת להיות שה- Zero Days הייעודית לסביבות התשתיות הקריטיות שמורה לרגע המתאים. תפיסה אחרת מנציחה קונספציה. מנהלי אבטחת מידע אינם יכולים להרשות לעצמם לנהל סיכונים על בסיס אופטימיות.
ארגונים ממשיכים להשקיע במניעה במעגלי אבטחה קלאסיים, אך מעט מושקע בניטור עומק של הרשת התפעולית. האם המערכות יודעות להבדיל בין תקלה טכנית אקראית לבין "פעילות עוינת שקטה" שמשנה פרמטרים במילימטר בכל יום? האם קיימת יכולת לזהות חריגות זעירות ומתמשכות בלחץ, בטמפרטורה, בזרימה לפני שהן הופכות לקטסטרופה?
שימוש מושכל ב-AI לניתוח אנומליות בסביבות OT אינו מותרות, הוא תנאי סף. אך כאן צריך מערכת נמדדת, שמנוהלת לאורך כל השנה. מערכת שלא נבדקת בתרגילים אמיתיים ושלא מחוברת לתהליכי קבלת החלטות, לא תתפקד ברגע האמת.
וקטור תקיפה נוסף הוא מערך המצלמות וה IoT-. מצלמות אבטחה שנועדו להגן על מתקן, הן לעיתים הדלת האחורית לרשת הארגונית. מעבר לסיכון החדירה, האויב יכול להשתמש בתשתית הזו לצורך איסוף מודיעין בזמן אמת (Visual Intelligence) כהכנה לתקיפה. לרוב, קיימת קישוריות רשלנית בין רשת המצלמות לרשתות "שכנות".
התרחיש הסביר אינו אירוע בודד, אלא סנכרון חזיתות: השבתת רמזורים ומערכות קשר ליצירת פקקים ומניעת הגעה של כוחות ביטחון; שיבוש מערכות מים וחשמל ליצירת עומס במוקדי חירום; פגיעה במרכזים לוגיסטיים; ובמקביל מתקפה קינטית על מוקדים שכבר מצויים בכאוס. זהו מודל של לוחמה היברידית, שבו דיגיטל ופיזי נשזרים לאירוע אחד.
בסופו של דבר, המבחן הוא לא רק טכנולוגי אלא מנהיגותי. חוסן אינו נמדד ביכולת לבלום, אלא ביכולת להתאושש. האם יש לארגון שלכם תוכנית המשכיות עסקית שמותאמת גם לתרחיש של השבתת OT ? האם קיים "כפתור אדום", ידני או לוגי, שמאפשר עצירה בטוחה של תהליך תעשייתי? האם תורגל תרחיש שבו מערכות הבקרה אינן אמינות, והצוות נדרש לפעול ללא תלות במידע הדיגיטלי?
הקו האדום הדיגיטלי כבר כאן. השאלה אינה אם נחצה אותו, אלא האם נהיה מוכנים כשהוא ייחצה.
הכותב הוא מנכ"ל T&M Cyber
