מהי אבטחת IoT?
אבטחת IoT היא מכלול של טכנולוגיות, נהלים, בקרות ותהליכי ניהול שמטרתם להגן על התקני אינטרנט של הדברים, על התקשורת ביניהם, על המערכות שמנהלות אותם ועל המידע שהם אוספים, משדרים ומעבדים.
המונח IoT מתייחס לכל התקן פיזי שמתחבר לרשת ויכול לאסוף מידע, להגיב לפקודות או לתקשר עם מערכות אחרות.
זה כולל מצלמות אבטחה, חיישני טמפרטורה, שעונים חכמים, רכיבי בית חכם, ציוד רפואי מחובר, מערכות בקרה תעשייתיות, מדחסים, בקרי תאורה, מערכות חניה, עמדות טעינה, מסופים לוגיסטיים, צי רכבים מחובר ומערכות עיר חכמה.
אבטחת IoT מתחילה כבר בשלב התכנון.
יש צורך להחליט אילו רכיבים מתחברים לרשת, מי רשאי לנהל אותם, כיצד מאמתים זהות של כל רכיב, איך מצפינים מידע, כיצד מעדכנים גרסאות, איך מבודדים רשתות ואיך מזהים התנהגות חריגה בזמן אמת.
בפועל, אבטחת IoT עוסקת בארבע שכבות מרכזיות.
השכבה הראשונה היא ההתקן עצמו, כולל מערכת ההפעלה, הקושחה, הגישה הפיזית והגדרות האבטחה.
השכבה השנייה היא הרשת, כולל סגמנטציה, חומות אש, בקרת גישה ותקשורת מוצפנת.
השכבה השלישית היא פלטפורמות הניהול והענן, שם נאסף מידע, מוגדרות הרשאות ומבוצעות פעולות שליטה.
השכבה הרביעית היא הצד האנושי והארגוני, כלומר מדיניות, נהלים, בקרה, הכשרת עובדים ותגובה לאירועים.
החשיבות של אבטחת IoT עולה משום שהתקפה על התקן אחד לכאורה פשוט יכולה להוביל לפגיעה נרחבת.
מצלמה לא מאובטחת יכולה לשמש כבסיס לחדירה לרשת.
חיישן תעשייתי פרוץ יכול לשבש תהליך ייצור.
בקר גישה לא מוגן עלול לאפשר גישה למתחם רגיש.
מערכת רפואית מחוברת שאינה מנוהלת כראוי עלולה לסכן פרטיות של מטופלים ואף תפקוד של ציוד קריטי.
לכן כשמדברים על אבטחת IoT, מדברים למעשה על ניהול סיכונים מתקדם בעולם שבו הפיזי והדיגיטלי מחוברים זה לזה באופן מלא.
סוגי אבטחת IoT
אבטחת IoT כוללת מספר סוגי הגנה שפועלים יחד.
אין פתרון יחיד שמספיק בפני עצמו.
כדי להגיע לרמת הגנה גבוהה יש לבנות מעטפת מלאה המותאמת לסוג ההתקנים, לסביבה העסקית ולרגולציה הרלוונטית.
אחד הסוגים המרכזיים הוא אבטחת התקן.
כאן מתמקדים בהקשחת רכיבי הקצה עצמם.
זה כולל שינוי סיסמאות ברירת מחדל, כיבוי שירותים לא נחוצים, שימוש באימות חזק, התקנת קושחה חתומה, הגבלת ממשקי ניהול ושמירה על רצף עדכונים.
בהתקנים מסוימים נדרש גם מנגנון אתחול מאובטח כדי למנוע הרצת קוד זדוני כבר משלב ההפעלה.
סוג חשוב נוסף הוא אבטחת תקשורת.
מכשירי IoT מעבירים מידע ללא הפסקה, לכן יש להבטיח שהתקשורת בינם לבין שערי תקשורת, שרתים או מערכות ענן תהיה מוצפנת ומאומתת.
המשמעות היא שימוש בפרוטוקולים מאובטחים, ניהול מפתחות נכון, מניעת האזנה והקטנת סיכון לשינוי נתונים בדרך.
בסביבות תעשייתיות וקריטיות נדרש גם פיקוח הדוק על פרוטוקולים ייעודיים המשמשים מערכות בקרה.
סוג נוסף הוא אבטחת רשת.
במקום לחבר את כל ההתקנים לאותה רשת שטוחה, נכון לייצר הפרדה בין אזורים, להחיל סגמנטציה, להפעיל חומות אש ייעודיות, לנהל הרשאות גישה ולבקר תעבורה נכנסת ויוצאת.
גישה זו מצמצמת את היכולת של תוקף לנוע בתוך הסביבה במקרה של פריצה לרכיב אחד.
אבטחת זהויות והרשאות היא שכבת הגנה קריטית נוספת.
לא מספיק לדעת אילו מכשירים מחוברים.
צריך להגדיר מי רשאי לנהל אותם, באילו שעות, מאילו כתובות ולפי איזה תפקיד.
ניהול גישה מבוסס תפקידים, אימות רב שלבי וניטור פעולות מנהלים מצמצמים מאוד סיכוני טעות אנוש ושימוש לרעה.
קיים גם תחום של ניטור וזיהוי אנומליות.
מכיוון שמערכות IoT פועלות בתבניות יחסית קבועות, ניתן לנתח התנהגות ולזהות חריגות כמו מכשיר שמתחיל לתקשר עם יעד לא מוכר, עליה חדה בתעבורה, ניסיון התחברות בשעות חריגות או שינוי פתאומי בפרופיל הפעולה.
פתרונות כאלה מסייעים בזיהוי מוקדם של תקיפה או תקלה.
אבטחת ענן ופלטפורמות ניהול היא סוג נוסף שלא ניתן להתעלם ממנו.
ארגונים רבים מפעילים את מערך ה IoT דרך שירותי ענן.
אם הפלטפורמה שמרכזת את הנתונים אינה מוגדרת היטב, כל שכבות ההגנה האחרות נחלשות.
לכן חשוב להגדיר הרשאות נכונות, לבצע הצפנה, לנהל לוגים, להפעיל בקרה רציפה ולבדוק חשיפות קונפיגורציה.
סוג הגנה נוסף הוא אבטחה תפעולית וארגונית.
הכוונה לנהלי רכש, למיפוי נכסים, לתיעוד, לבדיקות תקופתיות, לניהול ספקים, לתהליך טיפול בפגיעויות ולתוכנית תגובה לאירועים.
בהרבה מאוד מקרים, חולשה איננה נמצאת בטכנולוגיה עצמה אלא בהיעדר תהליך מסודר.
כאשר ארגון לא יודע אילו התקנים קיימים אצלו, מי התקין אותם, באיזו גרסה הם עובדים ומי אחראי עליהם, קשה מאוד להגן עליהם בפועל.
לכן אבטחת IoT אמיתית משלבת בין תשתית, תוכנה, בקרה ותרבות ניהול.
מי צריך אבטחת IoT?
התשובה הקצרה היא שכמעט כל ארגון שמחובר לטכנולוגיה מודרנית צריך אבטחת IoT.
גם מי שאינו מגדיר את עצמו כארגון טכנולוגי מפעיל בפועל התקנים חכמים רבים.
החל במצלמות, דרך מערכות כניסה חכמות, ועד מערכות בקרת אקלים, חיישנים ומערכות מדידה.
עסקים קטנים זקוקים לאבטחת IoT כי גם סביבתם מחוברת יותר מבעבר.
מסעדות מפעילות מערכות קופה, מצלמות, ציוד קירור מנוטר ונתבים חכמים.
משרדים קטנים מפעילים בקרת כניסה, מדפסות רשת, טלוויזיות חכמות ומערכות תקשורת.
קל לחשוב שתקיפות מכוונות רק כלפי חברות גדולות, אך בפועל ארגונים קטנים מהווים לעיתים יעד נוח דווקא בגלל רמת ההגנה הנמוכה יחסית.
חברות בינוניות וגדולות זקוקות לאבטחת IoT ברמה גבוהה במיוחד.
הן מחזיקות היקף רחב של התקנים, מספר אתרים, עובדים מרובים, קבלנים חיצוניים וממשקים מול מערכות ליבה.
במצב כזה, כל חולשה קטנה יכולה להשפיע על שרשרת שלמה של שירותים ותהליכים.
עבור מפעלים וארגוני תעשייה, אבטחת IoT היא צורך קריטי.
החיבור בין OT לבין IT יוצר יעילות תפעולית, אך גם חושף מערכות ייצור ובקרה לסיכוני סייבר שלא היו קיימים בעבר.
תקיפה בסביבה תעשייתית עלולה לגרום להשבתת קווי ייצור, לנזק לציוד, לפגיעה באיכות, לעיכובים באספקה ואף לסיכון בטיחותי.
גם מוסדות רפואיים צריכים אבטחת IoT מתקדמת.
בתי חולים, מרפאות, מעבדות ומרכזים רפואיים עובדים עם ציוד מחובר רב, כולל מכשור אבחוני, מערכות ניטור, ציוד הדמיה ורכיבים מנהליים.
כל תקלה או פריצה עלולות להשפיע הן על פרטיות והן על זמינות השירות הרפואי.
מוסדות חינוך, רשויות מקומיות וארגוני ממשל נדרשים גם הם להגנה בתחום זה.
ערים חכמות, מערכות תחבורה, רמזורים, חיישני סביבה, מצלמות עירוניות ותשתיות ציבוריות מחייבים חשיבה רחבה על שרידות, פרטיות ואמון הציבור.
גם במגזר הלוגיסטי והקמעונאי יש חשיבות עצומה לאבטחת IoT.
מרכזים לוגיסטיים מתבססים על סורקים, חיישנים, שערים, מדידים ומערכות בקרה.
רשתות קמעונאיות מפעילות מקררים חכמים, מסכים, מצלמות, שערי תשלום ומערכות מלאי אוטומטיות.
פגיעה ברכיבים אלה משפיעה ישירות על שירות, מכירות ותפעול.
גם בתים חכמים ובנייני מגורים אינם פטורים מהצורך באבטחה.
כאשר דלתות, מצלמות, אינטרקום, תאורה, מעליות וחניונים מחוברים למערכת מרכזית, נוצרת חשיפה שדורשת תכנון נכון.
לכן מי שצריך אבטחת IoT הוא כל גורם שמפעיל התקנים מחוברים ורוצה למנוע מצב שבו נוחות תפעולית הופכת לנקודת תורפה.
סטטיסטיקות מישראל בנושא אבטחת IoT
בישראל ניכרת בשנים האחרונות צמיחה עקבית באימוץ טכנולוגיות מחוברות במגזר העסקי, הציבורי והתעשייתי.
המשק המקומי מאופיין ברמה גבוהה של חדשנות, דיגיטציה מואצת ואימוץ פתרונות אוטומציה, ולכן שאלת אבטחת IoT מקבלת משקל מיוחד.
ארגונים בישראל מחברים יותר מצלמות, חיישנים, מערכות בקרה, רכיבי בניין חכם ופתרונות ניטור לענן ולמערכות ניהול מרכזיות.
במקביל, גופי סייבר, רגולציה ותפעול מזהירים מפני העלייה בסיכון שנובעת מהתרחבות זו.
לפי מגמות שוק שפורסמו בישראל בשנים האחרונות, שיעור הארגונים שמשלבים התקנים חכמים בתהליכי ליבה ממשיך לעלות באופן קבוע.
במגזר התעשייתי ניתן לראות מעבר נרחב לסביבות ייצור מנוטרות, עם חיישנים למדידת ביצועים, צריכת אנרגיה, איכות ותחזוקה חזויה.
גם בתחום הנדלן המניב והמבנים החכמים קיימת עלייה משמעותית בהטמעת מערכות בקרה מבוססות רשת.
אחד הנתונים הבולטים בישראל הוא הפער שבין קצב ההטמעה של רכיבי IoT לבין קצב ההיערכות האבטחתית.
במקרים רבים ארגונים משקיעים במצלמות, בקרים וחיישנים כדי לייעל תפעול ולהפחית עלויות, אך רק בשלב מאוחר יותר בוחנים לעומק את שאלות האבטחה, הנראות והניהול השוטף.
סקרים מקצועיים בתחום הסייבר הארגוני בישראל מצביעים על כך שחלק משמעותי מהמנהלים רואים בהתקני קצה חכמים אזור סיכון מתפתח שעדיין אינו ממופה בצורה מלאה.
עוד מגמה בולטת בישראל היא הגידול בהיקף הדיווחים על ניסיונות תקיפה, סריקות רשת והתעניינות עוינת ברכיבי קצה המחוברים לאינטרנט.
התקנים בעלי ממשק ניהול פתוח, סיסמאות חלשות או קושחה לא מעודכנת מושכים תוקפים משום שהם מהווים נקודת כניסה נוחה יחסית.
במיוחד בסביבות שבהן קיימת חשיפה ישירה לאינטרנט ללא בידוד מתאים.
בישראל יש גם מודעות גוברת להשפעה העסקית של תקיפת IoT.
מנהלים מבינים כיום שלא מדובר רק בגניבת נתונים.
הנזק יכול לבוא לידי ביטוי בהשבתה, פגיעה במערכות תפעול, חדירה לרשת הארגונית, הפרת פרטיות, נזק תדמיתי ועלויות התאוששות גבוהות.
בענפים מפוקחים, הנזק עלול לכלול גם חשיפה משפטית ורגולטורית.
במגזר התעשייתי הישראלי, יותר ארגונים בוחנים כיום הפרדה בין רשתות ייצור לבין רשתות משרדיות, הקשחת ציוד בקרה, ניטור פרוטוקולים תעשייתיים וניהול פגיעויות ייעודי לסביבות קריטיות.
במגזר הבריאות והציבור, קיימת עלייה בדרישה לנהלי בקרה, תיעוד ומיפוי התקנים מחוברים.
השיח המקצועי בישראל עבר בשנים האחרונות משאלה של האם צריך אבטחת IoT לשאלה כיצד מיישמים אותה באופן מעשי, רציף ותואם סיכון.
מבחינת שוק השירותים, ישראל מציגה גידול בביקוש לייעוץ, סקרי סיכונים, בדיקות חדירה, ארכיטקטורת אבטחה, פתרונות ניטור ושילוב בין מומחי סייבר, תקשורת, בקרה ותשתיות.
זהו סימן ברור לכך שהשוק המקומי מבין שאבטחת IoT אינה מוצר מדף בלבד אלא תחום מקצועי שמחייב התאמה מדויקת לכל ארגון.
גם אם הנתונים הכמותיים משתנים בין סקר לסקר ובין ענף לענף, התמונה הכוללת בישראל ברורה.
היקף השימוש ב IoT גדל במהירות, החשיפה גדלה איתו, והצורך בפתרונות אבטחה מקצועיים הופך מתשתית רצויה לדרישה הכרחית.
שירותי קורל טכנולוגיות בנושא אבטחת IoT
קורל טכנולוגיות מספקת מעטפת מקצועית לארגונים ועסקים הזקוקים לפתרונות אבטחת IoT ברמה גבוהה, עם התאמה מלאה לצרכים התפעוליים, לסביבה הטכנולוגית ולרמת הסיכון הייחודית של כל לקוח.
הגישה המקצועית של קורל טכנולוגיות נשענת על הבנה כי אבטחת IoT איננה מסתכמת בהתקנת רכיב או תוכנה אחת.
כדי להשיג תוצאה אמיתית נדרש שילוב בין מיפוי מדויק, תכנון ארכיטקטורה, בקרת גישה, סגמנטציה, הקשחת התקנים, ניטור ונהלים תפעוליים.
אחד השירותים המרכזיים הוא מיפוי סביבת ההתקנים המחוברים.
ארגונים רבים אינם מחזיקים תמונה מלאה של כלל רכיבי ה IoT שפועלים אצלם.
קורל טכנולוגיות מבצעת זיהוי של נכסים, ממשקי תקשורת, גרסאות, תפקידי מערכת, חשיפות רשת ותלויות תפעוליות, כדי לייצר בסיס נכון לניהול אבטחה.
על גבי מיפוי זה ניתן להבין אילו רכיבים מהווים סיכון גבוה, אילו תהליכים דורשים בידוד ואילו שכבות הגנה חסרות בארגון.
שירות חשוב נוסף הוא סקר סיכונים וניתוח פערים.
קורל טכנולוגיות בוחנת את סביבת הלקוח מבחינת תצורה, הרשאות, גישה מרחוק, עדכונים, חשיפה חיצונית, תיעוד ויכולות ניטור.
המטרה היא לתרגם סיכונים טכניים להשפעה עסקית ברורה, כדי לאפשר קבלת החלטות מושכלת.
כך ניתן לקבוע סדרי עדיפויות ולהשקיע במקומות שבהם ההשפעה על ההגנה תהיה הגבוהה ביותר.
קורל טכנולוגיות מספקת גם שירותי תכנון והקשחת סביבות IoT.
זה כולל בניית סגמנטציה נכונה, הפרדת רשתות, יישום מדיניות הרשאות, הקשחת הגדרות ברכיבי קצה, הטמעת מנגנוני אימות ושילוב בקרה על תעבורת המידע.
כאשר מדובר בסביבות רגישות, התכנון נעשה תוך התחשבות ברציפות תפעולית, כדי לשפר אבטחה בלי לפגוע בזמינות השירות.
בנוסף, קורל טכנולוגיות מלווה ארגונים בהקמת מנגנוני ניטור וזיהוי.
באמצעות כלים מתקדמים וחשיבה תפעולית, ניתן לזהות פעילות חריגה, לבנות בסיס נראות אמין ולחבר בין נתוני התקנים לבין אירועי רשת ומערכות ניהול.
נראות טובה יותר מאפשרת תגובה מהירה יותר ומפחיתה את הסיכוי שתקיפה תתפתח ללא זיהוי.
תחום נוסף שבו קורל טכנולוגיות מעניקה ערך הוא ליווי שוטף והטמעת נהלים.
אבטחת IoT היא משימה מתמשכת.
גם לאחר ההקמה נדרש לעדכן התקנים, לבצע בקרה, לבדוק שינויים, לנהל ספקים חיצוניים ולוודא שהסביבה נותרת מאובטחת לאורך זמן.
ליווי מקצועי מסייע לארגון להפוך את האבטחה מחוליה נקודתית לתהליך ניהולי רציף.
יתרון משמעותי של קורל טכנולוגיות טמון ביכולת לחבר בין ראייה הנדסית, תפעולית ואבטחתית.
בעולם ה IoT, הפער בין טכנולוגיה לבין מציאות בשטח הוא לעיתים מקור הסיכון המרכזי.
לכן חשוב לעבוד עם גוף שמבין גם תשתיות, גם מערכות חכמות וגם את שפת הסייבר הארגונית.
כאשר התכנון מבוצע נכון, הארגון מקבל פתרון שמגן על הנכסים הדיגיטליים שלו אך גם תומך ביעילות, בשליטה וביכולת צמיחה.
שאלות ותשובות בנושא אבטחת IoT
אחת השאלות הנפוצות היא האם אבטחת IoT רלוונטית רק לארגונים גדולים.
התשובה היא לא.
גם עסק קטן שמפעיל מצלמות, בקרת כניסה, ציוד קירור חכם או נתבים מחוברים עלול להיחשף לתקיפה.
לעיתים דווקא עסקים קטנים מהווים יעד קל יותר משום שהם פחות ערוכים מבחינת ניהול הרשאות, עדכונים וניטור.
שאלה נפוצה נוספת היא האם מספיק להחליף סיסמאות ברירת מחדל כדי להיות מוגנים.
זהו צעד חשוב, אך הוא רחוק מלהיות מספיק.
יש צורך גם בעדכון גרסאות, בהפרדת רשתות, בהצפנת תקשורת, בהגבלת גישה, בניטור פעילות ובניהול מסודר של כלל ההתקנים.
אבטחת IoT היא שילוב של מספר שכבות ולא פעולה בודדת.
שאלה אחרת שעולה לעיתים קרובות היא כיצד יודעים אילו התקנים קיימים בארגון.
בדיוק כאן מתחיל תהליך מקצועי של מיפוי נכסים.
בארגונים רבים אין רשימה מלאה של כל הרכיבים המחוברים, במיוחד כאשר התקנות בוצעו לאורך זמן על ידי מחלקות שונות או ספקים חיצוניים.
מיפוי מסודר הוא תנאי בסיסי לכל תוכנית אבטחה אפקטיבית.
יש מי ששואלים אם התקן שלא מחובר ישירות לאינטרנט עדיין נמצא בסיכון.
גם כאן התשובה היא כן.
התקן יכול להיות חשוף דרך הרשת הפנימית, דרך מחשב ניהולי, דרך חיבור תחזוקה מרחוק או דרך שרשרת ספקים.
היעדר חיבור ישיר לאינטרנט מפחית סיכון מסוים, אך לא מבטל אותו.
שאלה חשובה נוספת היא האם אבטחת IoT שייכת למחלקת IT בלבד.
בפועל, האחריות מחולקת בין כמה גורמים.
IT, אבטחת מידע, תפעול, הנדסה, רכש, תחזוקה וספקים חיצוניים צריכים לעבוד בתיאום.
כיוון שמכשירי IoT משפיעים על תהליכים פיזיים, נדרש שיתוף פעולה רחב יותר מזה המקובל בפרויקטי מחשוב רגילים.
ארגונים רבים שואלים האם ניתן ליישם אבטחת IoT בלי לפגוע בתפעול.
כאשר התכנון נעשה נכון, בהחלט כן.
המפתח הוא להבין את סביבת העבודה, לזהות אילוצים תפעוליים ולבצע את השינויים באופן מדורג ומבוקר.
פתרון טוב אינו רק בטוח יותר אלא גם יציב, מנוהל וברור יותר לצוותים בשטח.
שאלה נפוצה אחרת היא כל כמה זמן צריך לבדוק את סביבת ה IoT.
התשובה תלויה בהיקף הפעילות וברמת הרגישות, אך באופן עקרוני מדובר בבקרה רציפה ולא בבדיקה חד פעמית.
כל התקן חדש, כל שינוי תצורה, כל חיבור ספק וכל עדכון מערכת מחייבים בחינה מחודשת של הסיכון.
לצד זאת, כדאי לבצע סקרים תקופתיים ובדיקות מקצועיות לפי תוכנית סדורה.
יש גם שאלה לגבי העלות.
כמה עולה אבטחת IoT.
התשובה תלויה במספר ההתקנים, במבנה הרשת, ברמת החשיפה, בצורך בניטור, בסביבת הענן ובדרישות הארגון.
עם זאת, חשוב להבין שהשוואת עלות צריכה להיעשות מול פוטנציאל הנזק של פריצה, השבתה או אירוע אבטחה.
ברוב המקרים, השקעה מסודרת בהגנה זולה משמעותית מההתמודדות עם תקרית.
שאלה אחרונה שחוזרת הרבה היא איך מתחילים.
מתחילים במיפוי, בהבנת התמונה הקיימת, בזיהוי סיכונים ובבניית תוכנית עבודה פרקטית.
לא חייבים לשנות הכול בבת אחת.
גישה נכונה היא לקבוע סדרי עדיפויות, לטפל תחילה בחשיפות המהותיות ביותר ולהתקדם בהדרגה למעטפת מלאה ויציבה.
מחפש אבטחת IoT? פנה עכשיו!
