פורסם 26 בספטמבר 2026
אבטחת OT תעשייתי היא ההגנה על מערכות שמפעילות ציוד פיזי: בקרים (PLC), מערכות SCADA, ממירי תדר ורגשים ברצפת הייצור. ההבדל המרכזי מול אבטחת IT רגילה הוא סדר העדיפויות: במשרד מגנים קודם כל על סודיות המידע, ברצפת הייצור מגנים קודם כל על זמינות ובטיחות. מכאן נגזר הכל, כולל העובדה שאי אפשר פשוט להתקין עדכון אבטחה באמצע משמרת.
מה זה OT ולמה זו לא עוד רשת משרדית
ראשי התיבות OT מייצגים Operational Technology: כל הרכיבים שמתרגמים פקודה דיגיטלית לתנועה פיזית. מסוע שמסתובב, תנור שמתחמם, שסתום שנפתח. ברוב המפעלים בישראל מדובר בתערובת של ציוד מגילאים שונים: בקר שהותקן לפני חמש שנים לצד לוח בקרה שעובד מאז 2004, ומחשב תחנת הפעלה עם מערכת הפעלה שכבר אין לה תמיכה.
כדאי לקרוא גם: אבטחת סייבר לעסק קטן: 12 צעדים שאפשר ליישם בלי איש IT · אקסוסקלטון תעשייתי: מה זה וכמה זה עולה · איזה ווסט מומלץ לחייל מילואים מדריך מקצועי לבחירת ציוד טקטי נכון
הבעיה התחילה כשהרשתות האלה הפסיקו להיות מבודדות. כדי לקבל דוחות תפוקה בזמן אמת, לחבר מערכת ERP או לאפשר לספק לבצע אבחון מרחוק, מישהו חיבר את רצפת הייצור לרשת המשרדית, ומשם לאינטרנט. גם חיבור לגיטימי לחלוטין, כמו מערכת ניהול מלאי שמושכת נתוני ייצור, יוצר נתיב שלא היה קיים קודם.
ההבדל בין אבטחת IT לאבטחת OT
מי שמנסה להחיל נהלי IT על מערכות בקרה נתקל בקיר די מהר. הנה ההבדלים המעשיים:
| פרמטר | אבטחת IT משרדית | אבטחת OT תעשייתי |
|---|---|---|
| סדר עדיפויות | סודיות, שלמות, זמינות | בטיחות, זמינות, שלמות |
| חלון עדכונים | לילה או סוף שבוע, שגרתי | עצירת ייצור מתוכננת, לעיתים פעם או פעמיים בשנה |
| אורך חיי הציוד | 3-5 שנים | 15-25 שנים ולפעמים יותר |
| השפעת תקלה | אובדן נתונים או זמן עבודה | עצירת קו, נזק לציוד, סיכון בטיחותי |
| פרוטוקולים | HTTP, SMB, סטנדרטים מוכרים | Modbus, Profinet, EtherNet/IP, לרוב ללא הצפנה או אימות |
| סריקה אקטיבית | שגרה מקובלת | עלולה להפיל בקר ישן, מעדיפים ניטור פסיבי |
שורה תחתונה: כלים שעובדים מצוין ברשת המשרדית עלולים להזיק ברצפת הייצור. סריקת פורטים שגרתית יכולה להקפיא בקר שלא מצפה לתעבורה כזו, ואנטי-וירוס שמבצע בדיקה כבדה על תחנת הפעלה עלול לגרום לפיגור בתצוגת ה-SCADA בדיוק ברגע הלא נכון.
איך נראית תקרית כופרה שעוצרת קו ייצור
התרחיש הנפוץ אינו תקיפה מתוחכמת על הבקר עצמו. במקרים רבים שדווחו בעולם, הכופרה כלל לא נגעה במערכות הבקרה: היא הצפינה את רשת ה-IT, ואז ההנהלה עצרה את הייצור בעצמה כי לא הייתה דרך לדעת אם הזיהום עבר הלאה, ולא היה אפשר להנפיק תעודות משלוח, לתעד אצוות או לתקשר עם המחסן.
המסלול הטיפוסי: הודעת פישינג מגיעה לעובד במשרד, התוקף משיג הרשאות, מסתובב ברשת כמה ימים, מוחק גיבויים ואז מפעיל הצפנה. אם אין הפרדה ברורה בין הרשת המשרדית לרשת הייצור, השאלה "האם רצפת הייצור נקייה" הופכת לשאלה שאין עליה תשובה, והעצירה יכולה להימשך ימים. העלות האמיתית היא לרוב לא הכופר אלא ימי ההשבתה, החומר שנפסל באמצע תהליך והלקוחות שלא קיבלו אספקה.
צ׳ק ליסט: 8 צעדים להגנה על מערכות הבקרה
1. מיפוי נכסים לפני הכל
אי אפשר להגן על מה שלא יודעים שקיים. רשימה של כל הבקרים, תחנות ההפעלה, ההמרות התקשורתיות והחיבורים החיצוניים, כולל גרסת קושחה ואיש הקשר אצל הספק. זה שלב ידני ומייגע, והוא בדרך כלל חושף שניים-שלושה חיבורים ששכחו מהם.
2. הפרדת רשתות וסגמנטציה
רשת הייצור צריכה להיות VLAN נפרד עם חומת אש בין העולמות, ורצוי שכבת ביניים (DMZ תעשייתי) שבה יושבים השרתים שמדברים עם שני הצדדים. הכלל: אף תחנה משרדית לא פונה ישירות לבקר, והבקרים לא יוצאים לאינטרנט. בהמשך אפשר לחלק גם בתוך רצפת הייצור, לפי קווים או אזורים, כדי שאירוע בקו אחד לא יזלוג לשני.
3. ניטור תעבורה פסיבי
במקום לסרוק, מאזינים. חיישן שמחובר לפורט מראה (SPAN) קורא את התעבורה בלי להתערב בה, לומד מה נחשב נורמלי ומתריע על חריגות: תחנה חדשה שהופיעה, פקודת כתיבה לבקר משעה שלא מקובלת, או ניסיון להוריד תוכנית חדשה. זה הכלי היחיד שנותן נראות אמיתית בלי לסכן את הציוד.
4. גיבוי הגדרות ותוכניות בקר
לא רק גיבוי שרתים: גם התוכנית שרצה בכל PLC, מסכי ה-HMI, קבצי התצורה של ממירי התדר וטבלאות הפרמטרים. עותק אחד מנותק מהרשת, ובדיקת שחזור לפחות פעם בשנה. במפעלים רבים הגיבוי היחיד נמצא על מחשב נייד של מתכנת חיצוני, וזו חשיפה עסקית לפני שהיא חשיפת סייבר.
5. בקרת גישה פיזית
ארונות בקרה נעולים, מפתח ה-PLC במצב RUN ולא במצב תכנות, פורטי USB חסומים בתחנות ההפעלה, ונוהל ברור לגבי מי נכנס לחדר החשמל. חלק גדול מהתקריות בציוד תעשייתי מתחיל מדיסק און קי שהוכנס לתחנה כדי להעביר קובץ.
6. שליטה בגישה מרחוק של ספקים
מודם סלולרי שהתקין ספק לפני שלוש שנים הוא הפרצה הקלאסית. הגישה צריכה לעבור דרך ערוץ מנוהל אחד, להיפתח לפי בקשה ולהיסגר אחריה, עם אימות דו-שלבי ותיעוד של מה נעשה. חיבור קבוע וזמין תמיד הוא נוחות שמשלמים עליה ביוקר.
7. ניהול עדכונים בחלונות תחזוקה
כיוון שאי אפשר לעדכן שוטף, בונים לוח שנה: מה מתעדכן בעצירה הקרובה, מה מקבל פיצוי מפצה (למשל חסימה בחומת האש) עד שיהיה אפשר, ומה פשוט לא יעודכן לעולם ולכן יבודד. תיעוד ההחלטה חשוב לא פחות מהעדכון עצמו.
8. תוכנית תגובה ותרגול יבש
דף אחד שאומר מי מחליט על ניתוק הרשתות, איך ממשיכים לייצר במצב ידני, למי מתקשרים ואיפה נמצאים מספרי הטלפון כשהמייל לא עובד. תרגול של שעתיים עם מנהלי המשמרת שווה יותר מכל מסמך מדיניות ארוך.
סדרי גודל של עלות ומאמץ
המספרים משתנים מאוד לפי גודל המפעל, מספר הקווים ומצב התשתית הקיימת, ולכן כדאי להתייחס אליהם כטווחים גסיים בלבד:
- סקר וסיווג נכסים ראשוני: לרוב כמה עשרות אלפי שקלים לפרויקט חד-פעמי במפעל בינוני, ואפשר להתחיל גם בעבודה פנימית.
- הפרדת רשתות וחומת אש תעשייתית: מכמה אלפי שקלים לציוד בסיסי ועד עשרות אלפים למערך מלא, בתוספת עבודת אינטגרציה.
- מערכת ניטור OT: בדרך כלל מודל מנוי שנתי שגדל לפי מספר הנכסים המנוטרים.
- גיבוי ותיעוד הגדרות: העלות העיקרית היא שעות אדם, לא רישוי.
לפני שנכנסים לתקציבים גדולים, כדאי לוודא שהבסיס המשרדי מסודר. רוב התקריות נכנסות דרך שם. מי שעדיין לא סגר את הפינה הזו ימצא נקודת פתיחה טובה במדריך אבטחת הסייבר לעסק קטן, שמכסה את שכבת ה-IT שממנה מתחילות רוב התקיפות.
הטעויות שחוזרות בשטח
- להניח שהרשת "מנותקת" בלי לבדוק בפועל. כמעט תמיד מתגלה חיבור אחד ששכחו.
- להטיל את האחריות על מנהל ה-IT בלבד, בלי מהנדס התחזוקה שמכיר את הציוד.
- לקנות מערכת ניטור ולא להגדיר מי קורא את ההתראות ומתי.
- לגבות שרתים ולא לגבות את תוכניות הבקרים.
- סיסמה אחת משותפת לכל תחנות ההפעלה, שמודבקת על המסך.
מאיפה מתחילים בשבועיים הקרובים
אין צורך בפרויקט של שנה כדי להזיז את המחט. שלושה דברים שאפשר לעשות מיד: לצאת עם דף ועט ולמפות מה מחובר לרשת בכל קו, לוודא שיש עותק עדכני ומנותק של תוכניות הבקרים, ולנתק או לחסום כל חיבור מרוחק שאין לו בעלים ברור. משם אפשר לבנות תוכנית רב-שנתית שמתיישרת עם עצירות התחזוקה המתוכננות.
שאלות נפוצות
האם אנטי-וירוס רגיל מספיק לתחנות SCADA?
לא תמיד, ולפעמים הוא אפילו מזיק. יצרני מערכות בקרה מגדירים אילו תוכנות הגנה נתמכות ואילו תיקיות יש להחריג. במערכות ישנות מעדיפים לרוב רשימת היתר (whitelisting) שמאפשרת להריץ רק תוכנות מאושרות, כי היא צורכת פחות משאבים ולא מתעדכנת כל יום.
יש לנו מפעל קטן עם שלושה בקרים. זה רלוונטי?
כן, ודווקא בגרסה פשוטה יותר. במפעל קטן אפשר להסתדר עם הפרדת רשת בסיסית, גיבוי מסודר של התוכניות וסגירת הגישה מרחוק. שלושת הצעדים האלה מכסים חלק ניכר מהסיכון בעלות נמוכה יחסית.
מה עושים עם בקר שאי אפשר לעדכן?
מבודדים אותו. אם אין קושחה נתמכת או שהעדכון מסכן את התהליך, מקיפים אותו בבקרות מפצות: מגבילים מי יכול לדבר איתו ברמת הרשת, מנטרים כל פנייה אליו ומגדירים שהחלפתו תיכלל בתוכנית ההשקעות הבאה.
מי צריך להוביל את הנושא במפעל?
שילוב. מנהל התפעול או מהנדס התחזוקה מכיר את התהליך ואת מה שאסור להפיל, ואיש ה-IT או ספק חיצוני מביא את הכלים. כשאחד מהם עובד לבד, התוצאה היא בדרך כלל או מסמך שלא מיושם או פעולה שמפילה קו ייצור.
כמה זמן לוקח ליישם את כל הצ׳ק ליסט?
במפעל בינוני מדובר בדרך כלל בתהליך של שישה עד שמונה עשר חודשים, כי חלק מהצעדים תלויים בעצירות תחזוקה מתוכננות. את הצעדים שאינם דורשים נגיעה בציוד, כמו מיפוי, גיבוי וסגירת גישה מרחוק, אפשר להשלים תוך שבועות.
לסיכום
אבטחת OT תעשייתי אינה גרסה מוקשחת של אבטחת IT אלא דיסציפלינה עם אילוצים משלה: ציוד שחי עשרות שנים, חלונות תחזוקה נדירים ומחיר השבתה שנמדד בשעות ייצור. הבשורה הטובה היא שרוב ההגנה האפקטיבית מגיעה מצעדים שאינם יקרים במיוחד: לדעת מה מחובר, להפריד רשתות, לגבות את מה שמפעיל את המכונות, לשלוט בגישה פיזית ומרוחקת ולתרגל תרחיש עצירה לפני שהוא קורה באמת.
כותב טכנולוגיה ותעשייה
עידו רזניק כותב על טכנולוגיה מנקודת המבט של מי שצריך להשתמש בה, לא של מי שמוכר אותה. אחרי שנים בתפעול ובניהול פרויקטים בתעשייה, הוא עבר לכתיבה ומתמקד בחדשנות תעשייתית, אנרגיה, סייבר לעסקים קטנים וכלים דיגיטליים. מאמין שכל טכנולוגיה מסובכת אפשר להסביר בשלוש פסקאות.
