כששיבוש הוא עניין של זמן, ולא שאלה של "אם" – כך בונים ארכיטקטורת סייבר שמעדיפה חוסן ותפקוד בשטח על פני אשליה של הגנה הרמטית.
סייבר בעולם שבו כל שינוי חייב להיות מדוד
אבטחה סביב מערכות קריטיות שלא תוכננו לעדכונים תכופים
עולם התעופה נשען על מערכות דיגיטליות מורכבות וותיקות מאוד. אלו מערכות שנבנו כדי להיות יציבות ובטוחות לאורך עשורים, לא כדי לאמץ חידושים טכנולוגיים בתכיפות. לפי תפיסת האבטחה של United Airlines, המטרה היא לא "לשבור ולבנות מחדש", אלא להוסיף שכבות הגנה חכמות סביב אותן מערכות ליבה שאי אפשר (ואסור) לשנות בתדירות גבוהה.
במקום לנסות להפוך מערכות ישנות ("Legacy") למערכות ענן חדישות בכוח, הגישה היא "לעטוף" אותן: הגבלת גישה לפי זהות המשתמש, הפרדת רשתות (סגמנטציה) וניטור הדוק. כאן, הצלחה לא נמדדת במהירות שבה מטמיעים כלי חדש, אלא בדיוק – כל שינוי חייב לשפר את הבטיחות והאמינות מבלי לערער את היציבות של המטוסים באוויר.
חוסן תפעולי לפני מניעה מוחלטת
כשאירוע סייבר הופך מיד למשבר לאומי וציבורי
חברות תעופה הן הרבה יותר מגופים טכנולוגיים – הן מפעילות לוגיסטיקה ותשתיות קריטיות. לכן אסטרטגיית הסייבר לא יכולה להסתפק במניעת פריצות בלבד. היא חייבת לתת משקל זהה ליכולת להתאושש מהר ולהמשיך לתפקד גם תוך כדי אירוע.
במצב כזה, סיכון סייבר נמדד לפי השפעתו על היכולת להזיז מטוסים, צוותים ונוסעים בבטחה ובזמן. המשמעות ברורה: מנהל אבטחת מידע לא יכול לעבוד בבועה טכנית. הוא חייב להבין לעומק את "המנוע" של העסק – מתזמון הטיסות והתחזוקה ועד למגבלות מזג האוויר. הסייבר הוא הכוח שמאפשר לעסק לפעול בבטחה, ולא רק מחלקה טכנית מבודדת.
רשת של שותפים מחייבת אחריות משותפת
ניהול סיכונים כשהתלות המרכזית נמצאת מחוץ לארגון
ענף התעופה תלוי ברשת ענקית של ספקים: שדות תעופה, יצרני מטוסים וגופי ממשל. חלק גדול מהסיכונים בכלל לא נמצא בשליטה הישירה של החברה. לפיכך במקום להסתמך רק על "שאלונים לספקים", הניהול מתמקד בהבנה של התלות ההדדית ובניתוח תרחישים: "מה קורה אם המערכת של השותף שלי קורסת?".
נקודת המוצא היא שחלק מהשיבושים יגיעו מבחוץ. המטרה היא לא למנוע כל תקלה בעולם, אלא לזהות אותה מוקדם, להבין את המשמעות שלה על הטיסות ולהגיב בלי לפגוע בבטיחות הנוסעים. זה דורש עבודת צוות של כולם: אבטחה, תפעול, משפטים והנהלה – בייחוד כשיש מטוסים באוויר.
המלצות למנהלי אבטחה בארגונים מורכבים מאת אנשי אבטחת המידע של IPV Security:
- חוסן כיעד מרכזי: אל תבטיחו רק "אפס פריצות", השקיעו ביכולת להמשיך לעבוד גם כשמשהו משתבש.
- הגנה היקפית: עטפו מערכות ישנות בבקרות מודרניות במקום לנסות להחליף אותן בתהליך יקר ומסוכן.
- ניתוח עסקי: בחנו סיכונים לפי ההשפעה שלהם על הלקוח והתפעול, לא רק לפי הדירוג הטכני של הפרצה.
- תרגול רב־תחומי: בנו צוותי תגובה שכוללים את ההנהלה והתפעול, ותרגלו מצבי קיצון יחד.
- שפת הבטיחות: דברו עם ההנהלה על "רציפות שירות" ו"אמינות", ולא על שמות של כלי תוכנה.
לסיכום,
המודל של עולם התעופה משקף את המציאות החדשה של כולנו: במערכות מורכבות, אבטחת מידע נמדדת ביכולת לשמור על אמון ורציפות – גם כשתוקפים אותנו. המשימה היא לא לבנות חומה שאי אפשר לעבור, אלא לבנות ארגון שיודע להמשיך לטוס גם במצבי לחץ.
למידע נוסף: United Airlines CISO on building resilience when disruption is inevitable – Help Net Security
מעוניינים להתייעץ עם מומחה, פנו למומחי איי פי וי סקיוריטי!
להתייעצות מקצועית ניתן לפנות אלינו לאימייל info@ipvsecurity.com או במספר הטלפון
077-4447130. IPV Security מתמחה זה 21 שנה באבטחת מידע, סייבר, סקרי סיכונים
ותקנים ורגולציות הנוגעים לביטחון מידע ועוד.
