כיצד מגנים על התשתית הקריטית מפני איומים פיזיים ודיגיטליים?
אבטחת מרכז נתונים מבוססת על מספר שכבות המגנות הן על המתקן הפיזי והן על המערכות הדיגיטליות. ברמה הפיזית משלבים אבטחת היקף, מצלמות, בקרת כניסה, זיהוי מבקרים והפרדה בין אזורים בעלי רמות הרשאה שונות. ברמת הסייבר נדרשים ניטור רשת, ניהול זהויות והרשאות, זיהוי חריגות ומערכות SOC ו־SIEM. החיבור בין שני העולמות חשוב במיוחד, משום שאירוע פיזי במתקן עלול להפוך לאירוע סייבר ולהפך.
ממצלמות ובקרת כניסה ועד Zero Trust, הפרדת רשתות והגנה על מערכות הבקרה: כך מתכננים מעטפת אבטחה רב־שכבתית למרכז נתונים מודרני
מרכז נתונים הוא אחד הנכסים הרגישים והאסטרטגיים ביותר בארגון המודרני. בתוך המבנה הפיזי מרוכזים שרתים, מערכות אחסון, ציוד תקשורת, מערכות חשמל וגיבוי, תשתיות קירור, מערכות בקרה ומידע עסקי בעל ערך רב.
פגיעה באחד המרכיבים האלה עלולה לגרום לא רק לאובדן מידע, אלא גם להשבתת שירותים חיוניים, לפגיעה בלקוחות, לנזקים כספיים משמעותיים, להפרות רגולטוריות ובמקרים מסוימים אף לסיכון תשתיות לאומיות.
אבטחת מרכז נתונים אינה יכולה אפוא להסתכם בהצבת שומר בכניסה, בהתקנת מצלמות או בהפעלת חומת אש ארגונית. מרכז נתונים מודרני הוא מערכת סייבר־פיזית מורכבת, שבה הגבול בין אבטחה פיזית לאבטחת מידע הולך ונעלם.
מערכת בקרת הכניסה מחוברת לרשת, מערכות הקירור מנוהלות באמצעות תוכנה, הגנרטורים, מערכות האל־פסק ולוחות החשמל מנוטרים מרחוק, וספקים חיצוניים עשויים להתחבר למערכות לצורכי תחזוקה. גם התרעה ממערכת גילוי אש יכולה להפעיל תהליכים אוטומטיים במערכות נוספות.
המשמעות היא שאירוע שהחל במרחב הדיגיטלי עלול להפוך במהירות לאירוע פיזי. מנגד, חדירה פיזית למתקן עשויה לאפשר גישה ישירה לשרתים, לציוד תקשורת, לממשקי ניהול או למדיה המכילה מידע רגיש.
לכן, ההגנה הנכונה חייבת להתבסס על תפיסה משולבת: מעטפת אבטחה רב־שכבתית, מבוססת סיכונים, המחברת בין המבנה, האנשים, מערכות המידע, מערכות התפעול, הספקים ותהליכי החירום.
מרכז הנתונים כמערכת סייבר־פיזית
בעבר היה נהוג להבחין בין שני תחומים מקצועיים נפרדים. האבטחה הפיזית עסקה בגדרות, שומרים, מנעולים, דלתות ומצלמות, ואילו אבטחת המידע עסקה ברשתות, סיסמאות, חומות אש, הצפנה והגנה מפני תוכנות זדוניות.
במרכזי נתונים מודרניים, הפרדה זו אינה משקפת עוד את המציאות.
מערכות ניהול המבנה, BMS, מערכות ניהול תשתיות מרכז הנתונים, DCIM, מערכות ניטור החשמל, EPMS, בקרי הקירור, מערכות גילוי וכיבוי אש ובקרת הכניסה האלקטרונית הן כולן מערכות תפעוליות ממוחשבות.
מערכות אלה משתייכות לעולם ה־OT, טכנולוגיה תפעולית המנטרת תהליכים פיזיים או שולטת בציוד המשפיע עליהם. בניגוד למערכות מידע רגילות, שבהן קיימת חשיבות מרכזית לסודיות המידע, במערכות OT יש לתת משקל משמעותי גם לבטיחות, לאמינות, לזמינות ולהמשכיות התפעולית.
תוקף שאינו מצליח להגיע ישירות לשרתים עשוי לנסות לפגוע במערכת הקירור, לשבש את ניטור החשמל, להשבית חיישנים או לנצל חיבור תחזוקה מרחוק של ספק חיצוני. מן העבר השני, אדם שהצליח להיכנס פיזית לאזור רגיש עשוי להתחבר לציוד, להחדיר התקן בלתי מורשה, לגשת למסוף ניהול או להוציא מדיה מהאתר.
השאלה המרכזית בתכנון האבטחה היא אפוא:
כיצד מונעים מתוקף לנצל חולשה במעגל הגנה אחד כדי לעבור למעגל אחר ולהגיע למערכת קריטית?
השלב הראשון: מיפוי הנכסים והאיומים
לפני שבוחרים מצלמות, מערכות ביומטריות או מוצרי סייבר, יש לבצע תהליך סדור של ניהול סיכונים.
התהליך מתחיל במיפוי הנכסים שעליהם נדרש להגן:
- מידע עסקי, אישי, פיננסי, רפואי או ביטחוני.
- שרתים, מערכות אחסון וציוד תקשורת.
- מערכות חשמל, אל־פסק, גנרטורים ולוחות חלוקה.
- מערכות קירור, צ’ילרים, משאבות ויחידות CDU.
- מערכות BMS, DCIM, EPMS, SCADA ובקרי שטח.
- מערכות בקרת כניסה, מצלמות, אזעקות וגילוי אש.
- חדרי תקשורת ונקודות Meet-Me Room.
- מערכות גיבוי, מדיה ניידת ומפתחות הצפנה.
- נהלים, ידע תפעולי והרשאות של עובדים וספקים.
לאחר מיפוי הנכסים יש לבחון את תרחישי האיום הרלוונטיים לאתר. אלה עשויים לכלול חדירה בלתי מורשית, גנבה, חבלה מכוונת, מתקפת כופרה, גנבת הרשאות, ניצול חולשה במערכת בקרה, פגיעה בשרשרת האספקה, התחזות לספק, איום פנימי או אירוע סביבתי המשפיע על מערכות המתקן.
מסגרת NIST Cybersecurity Framework 2.0 מציעה לנהל את הסיכון באמצעות שש פונקציות משלימות:
ממשל, זיהוי, הגנה, גילוי, תגובה והתאוששות.
המסגרת מדגישה כי אבטחת מרכז נתונים אינה פרויקט חד־פעמי של רכישת מערכות, אלא מחזור ניהולי מתמשך הכולל מדיניות, חלוקת אחריות, ניטור, טיפול בחריגות ושיפור מתמיד.
עקרון ההגנה לעומק
אחד העקרונות המרכזיים באבטחת מרכזי נתונים הוא Defense in Depth — הגנה לעומק.
במקום להסתמך על אמצעי הגנה יחיד, מקימים מספר שכבות עצמאיות ומשלימות. אם שכבה אחת נכשלת או נפרצת, השכבות הבאות אמורות לעכב את התוקף, לזהות את האירוע ולמנוע ממנו להגיע אל הנכסים הקריטיים.
שכבות ההגנה יכולות לכלול:
- בחירת אתר ותכנון סביבתי.
- מעטפת היקפית ומניעת חדירה.
- בקרת כניסה למבנה.
- חלוקה פנימית לאזורי אבטחה.
- הגנה על אולמות, כלובים וארונות.
- הפרדת רשתות ומערכות.
- ניהול זהויות והרשאות.
- ניטור פיזי ודיגיטלי.
- בקרת ספקים וגישה מרחוק.
- תגובה לאירועים והתאוששות.
המטרה היא למנוע מצב שבו כשל יחיד — פיזי, טכנולוגי או אנושי — יאפשר גישה מלאה למערכות הקריטיות.
אבטחה פיזית במרכז הנתונים
בחירת האתר כחלק מתפיסת האבטחה
אבטחת מרכז הנתונים מתחילה עוד בשלב בחירת המיקום.
יש לבחון את קרבת האתר לצירי תחבורה, למרחבים ציבוריים, למתקנים מסוכנים ולתשתיות אחרות. כמו כן, יש להעריך את החשיפה להצפות, שריפות, רעידות אדמה, נפילות טילים, אירועי מזג אוויר קיצוניים או חסימת דרכי גישה.
יש להתייחס גם ליכולת ליצור מרחק ביטחון בין המבנה לבין המרחב הציבורי, להגנה על כניסות החשמל והתקשורת וליכולת של כוחות הצלה וצוותי תחזוקה להגיע לאתר בעת אירוע.
תקנים כמו ANSI/TIA-942 ומשפחת EN 50600 מתייחסים למיקום האתר, למבנה ולאבטחה הפיזית כחלק בלתי נפרד מתכנון מרכז הנתונים.
מעטפת היקפית ומניעת חדירה
המעטפת החיצונית נועדה לא רק למנוע כניסה, אלא גם לעכב ניסיון חדירה ולאפשר לצוות האבטחה לזהות אותו ולהגיב בזמן.
בהתאם לסקר הסיכונים, המעטפת עשויה לכלול:
- גדרות ושערים מבוקרים.
- מחסומים נגד התקרבות בלתי מבוקרת של כלי רכב.
- תאורה היקפית.
- מצלמות בעלות כיסוי רציף.
- חיישני חדירה או פתיחת שערים.
- הפרדה בין כניסת עובדים, מבקרים ומשלוחים.
- אזורי בידוק לכלי רכב ולציוד.
גדר או שער אינם מספקים הגנה אפקטיבית אם אין יכולת לגלות ניסיון חדירה, להעביר התרעה לגורם המתאים ולהפעיל תגובה מבצעית.
חלוקה לאזורי אבטחה
בתוך מרכז הנתונים יש ליצור היררכיה ברורה של אזורים.
הרשאה להיכנס למבנה אינה צריכה להקנות הרשאה אוטומטית לאולם המחשוב, לחדר החשמל, לחדר התקשורת או לאזורי הקירור.
חלוקה אפשרית כוללת:
- אזור קבלה ומבקרים.
- אזור תפעולי כללי.
- אזור פריקה ולוגיסטיקה.
- חדרי בקרה ו־NOC.
- אולמות מחשוב.
- חדרי תקשורת ו־Meet-Me Room.
- חדרי חשמל, אל־פסק וסוללות.
- חדרי גנרטורים ודלק.
- אזורי קירור ומערכות מכניות.
- כלובי לקוחות וארונות נעולים.
הגישה לכל אזור צריכה להינתן בהתאם לתפקיד, לצורך התפעולי ולרמת הסיכון.
בקרת כניסה רב־שלבית
בקרת הכניסה היא אחד המרכיבים הקריטיים ביותר במערך האבטחה.
מערכת אפקטיבית יכולה לשלב:
- כרטיס עובד אישי.
- קוד זיהוי נוסף.
- אימות ביומטרי, בכפוף לדין ולמדיניות הפרטיות.
- אימות אנושי בעמדת אבטחה.
- מעבר מבוקר מסוג Mantrap.
- מנגנון Anti-Passback.
- הרשאה לפי אזור, תפקיד ושעות פעילות.
- התראה על דלת שנותרה פתוחה.
- ביטול מיידי של הרשאות שאינן נדרשות עוד.
מערכת בקרת הכניסה עצמה חייבת להיות מוגנת מפני תקיפה דיגיטלית, מגובה באנרגיה ומנוטרת באופן רציף. יש להגדיר גם כיצד היא תפעל במקרה של הפסקת חשמל, תקלה תקשורתית או אירוע המחייב פינוי מהיר.
ניהול מבקרים, קבלנים וספקים
מבקרים וספקי תחזוקה מהווים סיכון מיוחד, משום שלעתים הם נדרשים לגישה פיזית או דיגיטלית למערכות רגישות, אך אינם כפופים לאותה מסגרת ניהולית כמו עובדי הארגון.
תהליך מסודר צריך לכלול:
- אישור מוקדם של גורם מוסמך.
- אימות זהות.
- רישום מטרת הביקור.
- הנפקת תג זמני ובולט.
- הגבלת הגישה לאזורים הנדרשים בלבד.
- ליווי בהתאם לרמת הסיכון.
- תיעוד הציוד שנכנס למתקן ויוצא ממנו.
- איסוף התג וסגירת הביקור.
ספק קירור, לדוגמה, אינו זקוק בהכרח לגישה לארונות הלקוחות או לחדרי התקשורת.
מצלמות, חיישנים ומרכז שליטה
מערך המצלמות נועד לשרת שלוש מטרות מרכזיות: הרתעה, גילוי ותחקור.
כדי להשיג מטרות אלה יש לתכנן את המערכת בהתאם לתרחישי האיום ולבחון:
- כיסוי של כניסות, מסדרונות ואזורים קריטיים.
- איכות תמונה בתנאי תאורה שונים.
- זיהוי פגיעה, הסתרה או שינוי כיוון של מצלמה.
- משך שמירת הצילומים.
- אבטחת מערכות ההקלטה.
- הרשאות הצפייה והייצוא.
- סנכרון זמן עם מערכות אחרות.
- שילוב עם בקרת הכניסה והאזעקות.
ערכה של מצלמה עולה משמעותית כאשר ניתן לקשר בין צילום, פתיחת דלת, שימוש בכרטיס, התחברות למערכת ושינוי תצורה.
כך ניתן לנתח את האירוע כרצף אחד ולא כאוסף התרעות מנותקות.
הגנה על ציוד ומדיה
גם לאחר הכניסה לאולם המחשוב יש להמשיך את ההגנה ברמת הכלוב, הארון והציוד הבודד.
יש להקפיד על:
- נעילת כלובים וארונות.
- תיעוד פתיחת ארונות.
- ניהול מלאי של שרתים, דיסקים ורכיבי רשת.
- שרשרת משמורת לציוד היוצא מהאתר.
- אחסון מאובטח של מדיה תקולה.
- מחיקה מבוקרת של אמצעי אחסון.
- השמדה פיזית של מדיה שלא ניתן למחוק באופן אמין.
הוצאת דיסק תקול ללא תהליך מתועד עלולה לגרום לדליפת מידע גם כאשר הרשת הארגונית מוגנת היטב.
הגנת הסייבר במרכז הנתונים
מיפוי נכסים ועדכון רציף
אי אפשר להגן על מערכת שאינה מוכרת לארגון.
מאגר הנכסים צריך לכלול שרתים פיזיים ווירטואליים, מערכות אחסון, ציוד תקשורת, מערכות גיבוי, תחנות ניהול, בקרי OT, חשבונות שירות, חיבורי ספקים, גרסאות תוכנה וקושחה וממשקי API.
לכל נכס יש להגדיר:
- בעלים ארגוני.
- רמת קריטיות.
- סוג המידע המעובד בו.
- רמת החשיפה לרשת.
- התלות במערכות אחרות.
- גרסת התוכנה או הקושחה.
- מועד סיום התמיכה של היצרן.
הפרדת רשתות וסגמנטציה
אחת הטעויות החמורות ביותר היא חיבור מערכות המחשוב, הניהול והתפעול לרשת שטוחה אחת.
יש להפריד בין:
- רשתות הייצור.
- רשתות הלקוחות.
- רשת ניהול השרתים.
- רשת ניהול ציוד התקשורת.
- רשת מערכות הגיבוי.
- רשת האבטחה הפיזית.
- רשתות BMS, DCIM ו־EPMS.
- רשתות החשמל והקירור.
- רשתות ספקים ותחזוקה.
- רשתות אורחים ורשתות אלחוטיות.
ההפרדה צריכה להיאכף באמצעות חומות אש, רשימות בקרת גישה, מערכות NAC, רשתות מבודדות ומיקרו־סגמנטציה.
המדיניות המומלצת היא Default Deny: כל תעבורה חסומה כברירת מחדל, ורק תקשורת שנדרשה ואושרה במפורש מותרת.
Zero Trust – אין אמון אוטומטי
גישת Zero Trust מבטלת את ההנחה שמשתמש או התקן הם מהימנים רק משום שהם נמצאים בתוך המבנה או בתוך הרשת הארגונית.
כל בקשת גישה נבחנת בהתאם לזהות המשתמש, מצב ההתקן, סוג המשאב, מיקום הגישה, שעת הפעילות ורמת הסיכון.
יישום Zero Trust במרכז נתונים כולל:
- אימות רב־שלבי לגישה רגישה.
- הענקת הרשאה מינימלית בלבד.
- הפרדת חשבונות משתמש מחשבונות ניהול.
- הרשאות זמניות מסוג Just-in-Time.
- בדיקה רציפה של זהות המשתמש וההתקן.
- תיעוד מלא של פעולות מנהליות.
- ביטול או צמצום גישה כאשר תנאי הסיכון משתנים.
עובד שנכנס פיזית למרכז הנתונים אינו צריך לקבל בשל כך אמון דיגיטלי, ולהפך.
ניהול חשבונות בעלי הרשאות גבוהות
חשבונות מנהל הם יעד מרכזי לתוקפים, משום שהם מאפשרים לשנות תצורות, ליצור משתמשים, למחוק לוגים, לגשת למידע ולהשבית מערכות.
לכן יש להפעיל מערכת PAM לניהול הרשאות מיוחדות וליישם:
- חשבונות אישיים במקום חשבונות משותפים.
- שמירת סיסמאות בכספת דיגיטלית.
- החלפה אוטומטית של סיסמאות.
- אימות רב־שלבי.
- הרשאה זמנית.
- אישור נוסף לפעולות רגישות.
- הקלטת פעולות מנהליות.
- התראה על שימוש חריג.
- ביטול מהיר של הרשאות שאינן נחוצות.
יש להימנע משימוש בחשבון מנהל לצורכי גלישה, דואר אלקטרוני או עבודה משרדית רגילה.
הגנה על מישור הניהול
ממשקי הניהול של השרתים, מערכות האחסון, ציוד התקשורת ומערכות ה־OT הם למעשה חדר הבקרה הדיגיטלי של מרכז הנתונים.
יש להגן עליהם באמצעות:
- הפרדה מרשת המשתמשים.
- גישה מתחנות ניהול ייעודיות בלבד.
- אימות רב־שלבי.
- הגבלת כתובות המקור המורשות.
- הצפנת התקשורת.
- ביטול שירותים ופרוטוקולים שאינם נחוצים.
- תיעוד כל התחברות ושינוי.
- מניעת חשיפה ישירה לאינטרנט.
- ערוץ ניהול Out-of-Band מאובטח.
חיבור ישיר לממשק ניהול באמצעות סיסמת ברירת מחדל או דרך חשבון ספק בלתי מבוקר עלול לעקוף שכבות אבטחה רבות אחרות.
ניהול חולשות ועדכונים
מרכזי נתונים כוללים לעתים מערכות ותיקות, ציוד ייעודי ורכיבים שלא ניתן להשבית בכל עת לצורך עדכון.
עם זאת, דחיית עדכונים ללא תהליך מוסדר יוצרת הצטברות של חולשות.
תהליך תקין צריך לכלול:
- קבלת התראות אבטחה מהיצרנים.
- סריקת חולשות תקופתית.
- דירוג לפי קריטיות, חשיפה והשפעה תפעולית.
- בדיקת העדכון בסביבה מבוקרת.
- תכנון חלון תחזוקה.
- גיבוי ותוכנית חזרה לאחור.
- אמצעי הגנה חלופיים כאשר לא ניתן לעדכן.
- תיעוד ואישור של החרגות.
בסביבות OT יש לבדוק את השפעת העדכון על אמינות המערכת ועל רציפות הפעילות, אך אין להשאיר מערכת חשופה ללא אמצעי פיצוי.
הצפנה וניהול מפתחות
הצפנה נדרשת הן למידע המאוחסן והן למידע המועבר ברשת.
עם זאת, הצפנה חזקה אינה מספקת הגנה אם מפתחות ההצפנה מאוחסנים לצד המידע או נגישים לאותם משתמשים.
מערך תקין כולל:
- הצפנת דיסקים ומערכות אחסון.
- הצפנת התקשורת בין מערכות ואתרים.
- מערכות ייעודיות לניהול מפתחות, KMS.
- שימוש ברכיבי HSM במערכות רגישות.
- הפרדת תפקידים בין מנהלי המידע למנהלי המפתחות.
- החלפת מפתחות תקופתית.
- גיבוי מאובטח של מפתחות.
- תיעוד כל גישה ושימוש.
גיבויים עמידים למתקפות כופרה
גיבוי שניתן למחוק באמצעות אותן הרשאות שנפרצו בסביבת הייצור אינו מספק הגנה אמיתית.
מערך גיבוי אפקטיבי צריך לשלב:
- מספר עותקים של המידע.
- הפרדה מסביבת הייצור.
- עותקים בלתי ניתנים לשינוי, Immutable.
- עותק מבודד או בלתי מקוון.
- הצפנה.
- הרשאות נפרדות ממערכות הייצור.
- ניטור ניסיונות מחיקה ושינוי.
- בדיקות שחזור תקופתיות.
- הגדרת RPO ו־RTO בהתאם לצורכי הארגון.
הצלחת פעולת הגיבוי אינה מוכיחה שניתן לשחזר את השירות. המדד האמיתי הוא ביצוע שחזור מלא, מתוזמן ומתועד של המערכות הקריטיות.
ניטור משולב ומרכז SOC
מרכז נתונים מייצר כמויות גדולות של מידע: לוגים של שרתים, ציוד תקשורת, חומות אש, מערכות בקרת כניסה, מצלמות, מערכות חשמל ומערכות קירור.
יש לרכז את המידע במערכות ניטור ואנליטיקה כגון SIEM, EDR, NDR ופלטפורמות ניטור OT.
הערך המרכזי אינו רק באיסוף הלוגים, אלא ביצירת הקשר בין האירועים.
לדוגמה:
- כרטיס עובד שימש לכניסה בשעה חריגה.
- דקות לאחר מכן בוצעה התחברות לחשבון מנהל.
- מאותה תחנה שונתה תצורה במערכת קריטית.
- במקביל הפסיק חיישן מסוים לדווח.
כל אירוע בנפרד עשוי להיראות לגיטימי. החיבור ביניהם עשוי להצביע על אירוע אבטחה משמעותי.
לשם כך נדרש סנכרון זמן בין המערכות, שמירת לוגים מוגנת והגדרה ברורה של האחריות לבדיקת ההתרעות ולתגובה אליהן.
מערכות ה־OT – נקודת החיבור בין סייבר לתפעול
מערכות BMS, DCIM ו־EPMS מנטרות ולעתים גם שולטות במשתנים הפיזיים הקריטיים ביותר של מרכז הנתונים:
- טמפרטורה ולחות.
- מערכות קירור ומשאבות.
- חלוקת חשמל.
- מערכות אל־פסק וגנרטורים.
- מערכות גילוי וכיבוי אש.
- פתיחת דלתות.
- צריכת אנרגיה.
- התרעות תפעוליות.
מערכות אלה תוכננו לעתים בראש ובראשונה לזמינות ולנוחות תפעולית, ולא בהכרח להגנת סייבר מתקדמת.
לכן יש ליישם עבורן:
- הפרדה בין רשת ה־OT לרשת הארגונית.
- חסימת גישה ישירה מהאינטרנט.
- מיפוי של כל הבקרים והחיבורים.
- ניטור התעבורה בין הרשתות.
- גישה מרחוק דרך שער מבוקר בלבד.
- אימות רב־שלבי לצוותי תחזוקה ולספקים.
- הקלטת חיבורים מרחוק.
- הגבלת זמן הגישה והרשאותיה.
- גיבוי תצורות הבקרים.
- מנגנוני הפעלה ידניים למקרה של כשל דיגיטלי.
מרכז הנתונים צריך להיות מסוגל להמשיך לפעול גם כאשר מערכת הניהול המרכזית אינה זמינה. לכן יש לתרגל עבודה במצב ידני ולהגדיר מראש אילו פעולות ניתן לבצע ללא תלות במערכות הדיגיטליות.
בינה מלאכותית משנה את מפת האיומים
השימוש בבינה מלאכותית משנה את האופן שבו מתבצעות מתקפות ואת האופן שבו ניתן לזהות אותן.
תוקפים יכולים להשתמש בכלי AI לצורך אוטומציה של סריקת חולשות, יצירת הודעות התחזות משכנעות, חיקוי קולי או ויזואלי של בעלי תפקידים וניתוח מבנה הרשת.
במקביל, מערכות אבטחה מודרניות יכולות להיעזר באנליטיקה מתקדמת כדי לזהות דפוסים חריגים, לקשר בין אירועים פיזיים ודיגיטליים ולתעדף התרעות הדורשות בדיקה.
עם זאת, אין להתייחס לבינה מלאכותית כתחליף למדיניות, לסגמנטציה, לניהול הרשאות או לצוות מקצועי. היא יכולה לשפר את יכולת הגילוי והניתוח, אך היא עצמה זקוקה לבקרה, לאימות ולפיקוח אנושי.
ספקים ושרשרת האספקה
מרכז נתונים תלוי במספר רב של גורמים חיצוניים: יצרני ציוד, ספקי תקשורת, חברות קירור, ספקי אל־פסק וגנרטורים, אינטגרטורים, חברות אבטחה, קבלני ניקיון וספקי תוכנה.
כל ספק עשוי ליצור נתיב גישה פיזי או דיגיטלי.
לכן יש לבחון:
- לאילו מערכות ונתונים הספק יכול לגשת.
- כיצד מזוהים עובדי הספק.
- האם קיימת גישה מרחוק.
- כיצד הגישה מתועדת ומנוטרת.
- כיצד מנוהלים ספקי משנה.
- מהו תהליך הדיווח על אירוע.
- כיצד מוחזר ציוד ומבוטלות הרשאות.
- האם לארגון קיימת זכות לבצע ביקורת.
- אילו תקנים ובקרות נדרשים מהספק.
- כיצד נשמרת רציפות השירות אם הספק אינו זמין.
הרשאות ספק צריכות להיות מוגבלות בזמן, במערכת ובמטרת השימוש. אין להעניק חשבון תחזוקה קבוע ופתוח רק משום שהספק מספק שירות במשך שנים.
חלוקת האחריות במתקני Colocation
במרכז נתונים מרובה לקוחות קיימת חלוקת אחריות בין מפעיל המתקן לבין הלקוח.
המפעיל אחראי בדרך כלל למעטפת המבנה, למערכות התשתית, לבקרת הכניסה לאזורים הכלליים ולרציפות השירותים שעליהם התחייב.
הלקוח אחראי בדרך כלל על השרתים, מערכות ההפעלה, ההרשאות, האפליקציות, ההצפנה והמידע שלו.
פרסום
עם זאת, חלוקת האחריות משתנה בין שירותים וחוזים. לכן יש להגדיר במפורש:
- מי מאשר כניסה לאזור הלקוח.
- מי מחזיק בהרשאות או במפתחות לארון.
- מי מטפל באירוע פיזי או דיגיטלי.
- מי שומר ומעביר צילומים ולוגים.
- מי אחראי למחיקה או להשמדת מדיה.
- מי מדווח ללקוחות ולרגולטורים.
- מי מבצע בדיקות חדירה וסקרי סיכונים.
- כיצד נבדקות הרשאות עובדי המפעיל.
- מהו זמן התגובה המחייב.
עמימות בחלוקת האחריות עלולה ליצור אזורים שאינם מוגנים משום שכל צד מניח שהצד האחר אחראי להם.
תגובה משולבת לאירועים
מרכז נתונים צריך להחזיק תוכנית תגובה המתייחסת לאירועים פיזיים, דיגיטליים ומשולבים.
תרחישים שיש לתרגל כוללים:
- אדם בלתי מורשה באזור רגיש.
- אובדן תג או אמצעי זיהוי.
- חשד לפעילות של גורם פנימי.
- מתקפת כופרה.
- חדירה באמצעות חשבון ספק.
- השבתת מערכת ניהול.
- פגיעה במערכת הקירור או החשמל בעקבות אירוע סייבר.
- ניתוק חיישנים או אובדן תקשורת.
- דליפת מידע.
- מעבר לאתר חלופי.
התוכנית צריכה להגדיר:
- מי מנהל את האירוע.
- מי מוסמך לבודד מערכת או רשת.
- מי אחראי להמשכיות העסקית.
- כיצד נשמרות ראיות.
- כיצד מתקשרים עם לקוחות וספקים.
- מתי מערבים הנהלה, ייעוץ משפטי ורגולטורים.
- אילו ערוצי תקשורת חלופיים זמינים.
- מי מאשר חזרה לפעילות.
- כיצד מתבצע תהליך הפקת הלקחים.
תגובה לאירוע אינה מסתיימת כאשר המערכת חוזרת לפעול. לאחר כל אירוע יש לבחון את מקור הכשל, לעדכן את סקר הסיכונים, לשנות בקרות ולתרגל את התהליך מחדש.
תקנים ומסגרות עבודה מרכזיות
ISO/IEC 27001
תקן לניהול אבטחת מידע המבוסס על ניהול סיכונים, מדיניות, חלוקת אחריות, ביקורת ושיפור מתמשך.
NIST Cybersecurity Framework 2.0
מסגרת לניהול סיכוני סייבר המבוססת על ממשל, זיהוי, הגנה, גילוי, תגובה והתאוששות.
NIST SP 800-53
קטלוג מקיף של בקרות אבטחה ופרטיות, לרבות בקרת גישה, הגנה פיזית, ניהול תצורה, תגובה לאירועים והמשכיות עסקית.
NIST SP 800-207
מסמך העקרונות המרכזי לארכיטקטורת Zero Trust.
NIST SP 800-82
הנחיות להגנת מערכות OT, מערכות בקרה ותשתיות המחוברות לסביבה הפיזית.
ANSI/TIA-942
תקן תשתיות למרכזי נתונים הכולל התייחסות למבנה, תקשורת, חשמל, מכניקה, אש, ניטור ואבטחה פיזית.
EN 50600
משפחת תקנים אירופית לתכנון ולהפעלת מרכזי נתונים, לרבות דרישות אבטחה פיזית.
ההיבט הישראלי – פרטיות, סייבר ורגולציה
ארגון המפעיל מרכז נתונים בישראל או מעבד מידע אישי נדרש לבחון את תחולת חוק הגנת הפרטיות, תקנות הגנת הפרטיות ואסדרה ענפית נוספת בהתאם לסוג המידע וללקוחות שהוא משרת.
תקנות הגנת הפרטיות עוסקות, בין היתר, בניהול הרשאות, תיעוד, סקרי סיכונים, אבטחת מערכות, התקשרויות עם ספקים וטיפול באירועי אבטחה.
תיקון 13 לחוק הגנת הפרטיות הרחיב את סמכויות האכיפה של הרשות להגנת הפרטיות ועדכן חלק מהחובות וההגדרות החלות על ארגונים ומאגרי מידע.
באירוע אבטחה חמור עשויה לחול חובת דיווח לרשות להגנת הפרטיות, בהתאם לסוג המאגר, רמת האבטחה ונסיבות האירוע.
בנוסף, תורת ההגנה בסייבר של מערך הסייבר הלאומי מספקת מתודולוגיה לניהול סיכונים, למיפוי נכסים, לבחירת בקרות ולהערכת רמת ההגנה של ספקים.
הדרישות המדויקות משתנות לפי סוג השירות, סוג המידע, זהות הלקוחות והאסדרה הענפית. לכן נדרש שילוב בין מומחי אבטחת מידע, ממוני פרטיות, יועצים משפטיים ואנשי התפעול של מרכז הנתונים.
מדדים לבחינת אפקטיביות ההגנה
אבטחה אינה נמדדת במספר המצלמות, חומות האש או המוצרים שנרכשו. יש לבחון האם הבקרות פועלות בפועל והאם הארגון מסוגל לזהות אירוע, להגיב אליו ולהתאושש ממנו.
| מדד | משמעות | יעד ארגוני |
|---|---|---|
| נכסים ממופים | שיעור נכסי ה־IT וה־OT המופיעים במאגר מנוהל | קרוב ככל האפשר ל־100% |
| MTTD | הזמן הממוצע לגילוי אירוע חריג | בהתאם לקריטיות המערכת |
| זמן תגובה והתאוששות | הזמן הנדרש להכלה, לבידוד ולהחזרת השירות | בהתאם ל־RTO |
| כיסוי MFA | שיעור חשבונות הניהול והגישה מרחוק המוגנים באימות רב־שלבי | 100% בחשבונות רגישים |
| ביטול הרשאות | הזמן הנדרש לחסום גישה של עובד או ספק שסיים תפקיד | מיידי |
| שילוב לוגים | שיעור מערכות ה־IT, ה־OT והאבטחה הפיזית המעבירות לוגים למערכת מרכזית | כיסוי מרבי |
| בדיקות שחזור | שיעור תרחישי השחזור שנבדקו בהצלחה | בהתאם למדיניות ההמשכיות |
| הערכת ספקים | שיעור הספקים הקריטיים שעברו בדיקת אבטחה | 100% מהספקים הקריטיים |
| טיפול בחולשות | שיעור החולשות הקריטיות שטופלו בזמן שנקבע | בהתאם לרמת הסיכון |
טעויות שעולות מיליוני שקלים
הסתמכות על הגדר והשומר בלבד
מעטפת חיצונית קשיחה אינה מגינה מפני מתקפות סייבר, התחזות, ספקים מורשים או איום פנימי.
חיבור כל המערכות לרשת אחת
רשת שטוחה מאפשרת לאירוע שהחל במצלמה, בבקר קירור או בעמדת תחזוקה להתפשט למערכות קריטיות.
הרשאות קבועות לספקים
חשבון תחזוקה שנותר פעיל ללא הגבלת זמן הופך לנתיב חדירה שקל לשכוח מקיומו.
שימוש בחשבונות משותפים
כאשר מספר עובדים משתמשים באותו חשבון, קשה לדעת מי ביצע פעולה, לבטל הרשאה ספציפית או לנהל אחריות.
חיבור מערכת בקרה ישירות לאינטרנט
נוחות תחזוקה אינה מצדיקה חשיפה בלתי מבוקרת של מערכות החשמל, הקירור או המבנה.
מצלמות ללא ניטור
צילום שנבדק רק לאחר האירוע אינו מאפשר גילוי ותגובה בזמן אמת.
שמירת לוגים ללא סנכרון זמן
פערים בין שעוני המצלמות, בקרת הכניסה והשרתים עלולים למנוע שחזור אמין של האירוע.
גיבוי המחובר תמיד לרשת הייצור
תוקף שהשיג הרשאות גבוהות עלול למחוק או להצפין גם את עותקי הגיבוי.
התמקדות ב־IT והזנחת ה־OT
השבתת מערכת הקירור או החשמל עלולה להשבית את מרכז הנתונים בדיוק כמו פגיעה בשרתים.
אבטחה שנוספה רק בסוף הפרויקט
הוספת בקרות לאחר השלמת התכנון יקרה יותר, מורכבת יותר ולעתים אינה מאפשרת הפרדה אפקטיבית.
תעודה במקום הגנה
הסמכה לתקן היא כלי ניהולי חשוב, אך אינה מחליפה ניטור, בדיקות, תרגול ושיפור מתמשך.
היעדר חלוקת אחריות
במתקני Colocation, עמימות בין אחריות המפעיל לאחריות הלקוח עלולה להשאיר נכסים ותהליכים ללא גורם אחראי.
סיכום
אבטחת מרכז נתונים היא משימה רב־תחומית המחייבת שיתוף פעולה בין מומחי סייבר, אנשי אבטחה פיזית, מהנדסי חשמל וקירור, מנהלי תפעול, אנשי תקשורת, משפטנים, מנהלי סיכונים וספקים.
מרכז נתונים מאובטח אינו רק מבנה המוקף בגדר גבוהה, ואינו רק רשת שבה פועלת חומת אש מתקדמת.
זהו אתר שבו כל שכבה תוכננה מתוך הבנת הקשר בין המרחב הפיזי למרחב הדיגיטלי:
- הכניסה למתקן מבוקרת ומתועדת.
- המבנה מחולק לאזורים לפי רמת סיכון.
- הגישה למערכות ניתנת לפי צורך ולזמן מוגבל.
- רשתות המחשוב והבקרה מופרדות.
- מערכות התפעול מוגנות ומנוטרות.
- הספקים מנוהלים כחלק ממעטפת הסיכון.
- אירועים פיזיים ודיגיטליים נבחנים יחד.
- קיימים גיבויים, נהלים ויכולת התאוששות.
- הארגון מתרגל תרחישים ומשפר את ההגנה באופן מתמשך.
המבחן האמיתי אינו היכולת למנוע כל אירוע, משום שאין מערכת חסינה לחלוטין.
המבחן הוא האם הארגון מסוגל להקטין את הסבירות לחדירה, לזהות אותה במהירות, למנוע את התפשטותה, להמשיך לספק את השירותים הקריטיים ולהתאושש באופן מהיר, מסודר ומבוקר.
מאמר זה הוא חלק מהמדריך המקצועי להקמת מרכזי נתונים וחוות שרתים.
הבהרה משפטית: המידע במדריך נועד למידע מקצועי וכללי בלבד ואינו מהווה ייעוץ הנדסי, תכנוני, בטיחותי, משפטי או רגולטורי. האחריות לתכנון ולביצוע חלה על הגורמים המקצועיים ובהתאם לדין ולתקנים המחייבים. קבוצת פורטל נט אינה אחראית לנזק שייגרם מהסתמכות על התוכן.
© כל הזכויות שמורות לקבוצת פורטל נט.
