שירותי התשתית העירוניים מפעילים את הערים באוקראינה: מים, חשמל, חימום ופינוי פסולת. לצד הסיכונים הפיזיים ניצבות כיום גם איומי סייבר, ולכן חשוב לדעת מי אחראי על ההגנה הדיגיטלית באותה מידה שחשוב לדעת מי מתקן קו שבור. המאמר ממפה את בעלי העניין המרכזיים באוקראינה בתחום אבטחת הסייבר של תשתיות עירוניות, כדי להבין מי מחליט, מי מממן, מי מפעיל ומי מפקח על התוצאות.
ראשי ערים וחברי מועצה: תקציב ומדיניות
ראשי ערים וחברי מועצות מקומיות קובעים את הטון לכל צעד הגנה שחברת תשתית יכולה לנקוט. הם מקצים תקציבים לעדכוני תוכנה, להכשרת צוותים ולביקורות חיצוניות. כשמכת כופר מקפיאה מערכות חיוב, הם מחליטים אם לבודד רשתות תחילה או לשחזר מגיבויים. ההצהרות הציבוריות שלהם מעצבות את אמון התושבים, שמצפים לשירות רציף גם בהפסקות חשמל או במתקפות מרחוק.
ההחלטות כמעט אף פעם אינן מתקבלות בבידוד. ההנהלה מתייעצת עם יועצים משפטיים בנושא הגנת מידע, משווה גישות עם עמיתים במחוזות אחרים, ועוקבת אחר סדרי העדיפויות הלאומיים לשיקום בפורטל השיקום של אוקראינה, כדי שהתוכניות המקומיות לסייבר יישארו מיושרות עם יעדי השיקום הרחבים. בלי בעלות ברורה של ההנהלה, לצוותים הטכניים אין סמכות לסגור פורטים מסוכנים או להחליף בקרי בקרה מיושנים.
מפעילים ששומרים על משאבות ותחנות משנה פעילות
עובדי התשתית בשטח מכירים את חדרי הבקרה טוב יותר מכל אחד אחר. מהנדסים שעוקבים אחרי מערכות SCADA מבחינים בדפוסי תעבורה חריגים הרבה לפני שמגיע יועץ חיצוני. הם מחליטים אילו חיישנים יישארו מחוברים בחלון תחזוקה, ואילו חשבונות גישה מרחוק ראויים להשעיה זמנית. הידע המעשי שלהם הופך מדיניות אבטחה מופשטת לנוהלי עבודה יומיומיים.
פערי הכשרה עדיין נפוצים אחרי שנים של לחץ מלחמתי. רבים מהמפעילים עדיין נשענים על סיסמאות משותפות, כי כלי אימות רב־שלבי נתפסים כמסורבלים בשיאי החורף. מאמרי Foundation בארכיון טיפים ותובנות עוסקים דרך קבע בהרגלים פשוטים שמפחיתים סיכון בלי לעכב תיקונים. מפעילים שמתעדים כל שינוי ומסרבים להתקני USB לא מוזמנים הם חומת האש החיה הראשונה של תשתיות עירוניות באוקראינה.
גופים לאומיים שקובעים סטנדרטים מחייבים
הרשויות המרכזיות כותבות את הכללים שהערים חייבות לקיים. שירות המדינה לתקשורת מיוחדת והגנת מידע מפרסם הנחיות לתשתיות קריטיות, ומשרד הקהילות ופיתוח השטחים קושר דרישות סייבר למימון שיקום. חברות תשתית מקומיות אינן יכולות להמציא לעצמן הגדרות של «סיכון מקובל» כשצווים לאומיים קובעים רמות הצפנה מינימליות ומועדי דיווח על אירועים.
גם היציבות הפיננסית מעצבת את הסטנדרטים. הבנק הלאומי של אוקראינה עוקב אחרי השפעת שיבושים דיגיטליים על מערכות תשלום הקשורות לחשבונות תשתית, וממצאי מבחני הלחץ שלו זורמים לעיתים קרובות להמלצות חוסן סייבר. ערים שמתעלמות ממסגרות לאומיות מסתכנות באובדן גישה למענקים המיועדים למערכות בקרה מודרניות.
ספקי טכנולוגיה וחברות שירות מנוהל
חברות פרטיות מספקות את חומות האש, גלאי החריגות ושערי הגישה המאובטחת מרחוק שחברות התשתית מתקינות. צוותי המכירות מבטיחים ניטור רציף, אך החוזים משאירים לא פעם את אחריות העדכונים מעורפלת. בעלי העניין חייבים לדרוש זכויות לבדיקת קוד מקור לכל תוכנה שנוגעת בבקרים תעשייתיים, במיוחד כשספקים זרים שולטים בשוק.
אינטגרטורים מקומיים לעיתים מגיבים מהר יותר ממותגים גלובליים בזמן לחימה פעילה. הם מבינים יומני מערכת באוקראינית ויכולים להגיע לאתר גם כשטיסות מסחריות מופסקות. מי שמתעניין בנושאי תשתית קרובים ימצא הקבלות שימושיות בתכנון יתירות עמוד השדרה של טלקום: אותות שכדאי לעקוב אחריהם, שמראה כיצד רשתות חופפות מצמצמות נקודות כשל בודדות. בחירת ספקים שמפרסמים לוחות זמנים שקופים לפגיעויות נותרת חיונית להגנה ארוכת טווח.
מלווים בינלאומיים ושותפי שיקום
תוכניות שיקום גדולות כמעט אינן מתקדמות בלי הון חיצוני. תוכנית הבנק העולמי לאוקראינה מצמידה אבני דרך של סייבר להלוואות שמממנות מכוני טיהור מים חדשים או שדרוגי רשת חכמה. מנהלי פרויקט חייבים להראות שבתכנון הדיגיטלי כלולים רשתות מפולחות וגיבויים לא מקוונים לפני שמגיע השלב הבא של הכסף.
תנאים דומים מופיעים בהערכות של ניתוח קרן המטבע הבינלאומית לאוקראינה, שמקשרת יציבות מקרו־כלכלית ליכולת של שירותים קריטיים לעמוד במתקפות היברידיות. ערים שמתייחסות להוצאות סייבר כאל אופציה מגלות במהרה ששותפים בינלאומיים רואים בהן תנאי שאינו ניתן למשא ומתן. דיווח שקוף על אירועים ועל צעדי תיקון שומר על ערוצי המימון פתוחים.
תושבים וגופי פיקוח מקומיים
תושבים רגילים הופכים לבעלי עניין ברגע שאירוע סייבר מנתק חימום בינואר. עמותות קהילתיות מגישות בקשות לחופש מידע על פריצות קודמות ודורשות לוחות מחוונים ציבוריים שמראים את מצב המערכות. השאלות שלהן מאלצות את חברות התשתית להסביר בחירות טכניות בשפה פשוטה, בלי להסתתר מאחורי ז׳רגון.
לחץ השיקום בערים המזרחיות מחזק את הביקורת הזו. קוראים שעוקבים אחרי קו הבסיס של ביקוש השיקום בחרקוב: מה שקוראים חדשים צריכים לדעת כבר מבינים עד כמה אמינות השירות משפיעה על החלטת אנשים לחזור לשכונות פגועות. כשתושבים משתפים צילומי מסך של ניסיונות פישינג לפורטלי לקוחות של תשתיות, הם מספקים התראות מוקדמות שחיישנים רשמיים עלולים לפספס.
שירותי חירום ויחידות סייבר צבאיות
מחלקות סייבר במשטרה וצוותים צבאיים ייעודיים נכנסים לתמונה כשמתקפה חורגת מיכולת מקומית. הם משמרים ראיות, מבודדים מקטעים שנפגעו ומתאמים עם גופי מודיעין שעוקבים אחרי שחקנים בחסות מדינה. חברות תשתית עירוניות חייבות לשתף מראש מפות רשת ורשימות קשר, כדי שמגיבים לא יבזבזו זמן בחיפוש אחרי תרשימים מיושנים בזמן משבר.
תרגילים משותפים חושפים אם קווי התקשורת מחזיקים תחת לחץ. העברה מתורגלת היטב בין חדר בקרה עירוני לצוות תגובה לאירועי מחשב לאומי יכולה לקצר שעות התאוששות לדקות. בבלוג של Foundation מופיעים מדי פעם פרופילים של תרגילים כאלה, כדי שקהילות אחרות יוכלו לאמץ פורמטים מוצלחים בלי להתחיל מאפס.
משקיעים שעוקבים אחרי אבטחת הנכסים
הון פרטי שמממן דיור או פרויקטים מסחריים ליד מתקנים עירוניים רגיש מאוד לסיכון סייבר. השבתה ממושכת עלולה להקפיא הכנסות משכירות ולהפעיל חריגי ביטוח. לכן משקיעים שואלים אם חברת המים המקומית מצפינה את תעבורת הטכנולוגיה התפעולית, לפני שהם מתחייבים לכסף בפיתוחים סמוכים.
אותם משקיעים משווים לא פעם את הפרקטיקה האוקראינית לניסיון במקומות אחרים. רבים נעזרים בארכיון טיפים למשקיעים כדי ללמוד על חיזוק תשתיות קריטיות תחת איום מתמשך. מפת בעלי עניין ברורה מרגיעה אותם שהאחריות אינה נעצרת בלשכת ראש העיר. חששות מקבילים עולים גם בהערכת אסטרטגיות נדל״ן, כמו אלה שמתוארות בחמש סימנים שבניין מתאים ל-BRRRR בקייב, שבהן אמינות התשתיות היא חלק מחישוב הסיכון.
הבנה מי ממלא כל תפקיד הופכת את «אבטחת הסייבר» ממושג מופשט לשיחות קונקרטיות. ראשי ערים מאשרים תקציבים, מפעילים מריצים את המכונות, גופים לאומיים כותבים כללים, ספקים מספקים כלים, שותפים בינלאומיים מצמידים תנאים, תושבים דורשים אחריותיות, יחידות חירום מגיבות, ומשקיעים מתמחרים את הסיכון הנותר. מי שמחפש תשובות מעמיקות יותר על תהליכים או מונחים יכול להתחיל בשאלות נפוצות, ואז לחזור לדירקטוריונים של חברות תשתית מקומיות עם שאלות חדות יותר על אבטחת סייבר של תשתיות עירוניות באוקראינה. כשכל בעל עניין מכיר את חלקו בהגנה, רציפות השירות הופכת להישג משותף ולא לתקווה שברירית.
ערך נצחי. מורשת לנצח.
