הזמן שמתבזבז על תקלות טכניות במשרד, העבודה הכפולה שנוצרת מטעויות אנוש, והסיכון התמידי לאובדן מידע רגיש, הם העלויות הנסתרות של המצב הקיים. התעלמות מנושא כמו אבטחת מכשירי IoT במשרד אינה חוסכת כסף, היא רק דוחה את התשלום למועד מאוחר יותר, ובריבית גבוהה. כל מכשיר שמחובר לרשת, מהטלוויזיה בחדר הישיבות ועד למערכת בקרת האקלים, הוא נקודת כניסה פוטנציאלית לרשת העסקית כולה. השאלה אינה אם העסק שלכם חשוף, אלא באיזו רמה, ומהם הצעדים הנכונים עבורכם כדי להתחיל לצמצם את החשיפה הזו באופן שיטתי.

מעבר למדפסת: אילו מכשירי IoT 'תמימים' מסתתרים במשרד שלכם?

השלב הראשון בכל תהליך אבטחה הוא מיפוי והבנה של מה בדיוק צריך לאבטח. רוב בעלי העסקים מופתעים לגלות כמה מכשירי 'אינטרנט של הדברים' (IoT) כבר פועלים ברשת המשרדית שלהם, לעיתים קרובות מתחת לרדאר. המדפסת המשרדית היא הדוגמה הקלאסית, אך הרשימה ארוכה ומגוונת בהרבה. חשבו על הטלוויזיה החכמה בחדר הישיבות, המשמשת למצגות אך מחוברת לאינטרנט באופן קבוע. חשבו על מצלמות האבטחה, מערכות בקרת הכניסה הביומטריות, מערכות אזעקה חכמות, ואפילו תרמוסטטים ומערכות תאורה המנוהלות מרחוק. כל אלה הם מחשבים לכל דבר, עם מערכת הפעלה, כתובת רשת ונקודות תורפה פוטנציאליות. גם מכשירים שנראים שוליים יותר, כמו מערכות סאונד אלחוטיות, מקרנים חכמים, או אפילו מכונות קפה מחוברות, הם חלק מהמערכת האקולוגית הזו. יצירת רשימת מלאי מסודרת של כל המכשירים האלה, כולל יצרן, דגם וגרסת קושחה (Firmware), היא פעולת בסיס חיונית. ללא רשימה כזו, כל ניסיון לאבטח את הרשת דומה לניסיון לנעול בית עם דלתות וחלונות שאינכם יודעים על קיומם. המדריך שלנו על איומי האבטחה במכשירי IoT משרדיים מרחיב על סוגי המכשירים והסיכונים הספציפיים לכל אחד.

מהי אבטחת מכשירי IoT במשרד, ומדוע טוסטר חכם הוא סיכון?

אבטחת מכשירי IoT במשרד היא תחום העוסק בהגנה על כל אותם מכשירים 'חכמים' שאינם מחשבים או סמארטפונים, מפני גישה לא מורשית, שיבוש פעולתם או שימוש בהם כנקודת כניסה לתקיפת הרשת כולה. הסיבה שמכשירים אלו, אפילו טוסטר חכם היפותטי, מהווים סיכון כה גדול נעוצה בשלושה גורמים מרכזיים. ראשית, הם מיוצרים לרוב עם דגש על מחיר נמוך ונוחות שימוש, כאשר האבטחה נמצאת בתחתית סדר העדיפויות של היצרן. רבים מהם מגיעים עם סיסמאות ברירת מחדל ידועות וקלות לניחוש (כמו admin/admin). שנית, בניגוד למחשב, לא ניתן להתקין עליהם תוכנת אנטי-וירוס או הגנה אחרת. ההגנה חייבת להגיע מרמת הרשת או מהגדרות המכשיר עצמו. שלישית, תהליך עדכון הקושחה (Firmware) שלהם מסורבל, לא אוטומטי, ולעיתים קרובות פשוט לא קיים. כתוצאה מכך, חולשות אבטחה שהתגלו נשארות פתוחות לנצח. תוקף שמצליח להשתלט על מצלמת אבטחה או טלוויזיה חכמה לא מתעניין בהכרח בצפייה בחדר הישיבות. הוא משתמש במכשיר הפרוץ כראש גשר כדי לנוע 'הצידה' בתוך הרשת הפנימית שלכם, להגיע לשרתים, למאגרי מידע של לקוחות, ולנכסים הדיגיטליים החשובים באמת של העסק.

מהדלפת סודות ועד השבתה: תרחישי האימה של מתקפות IoT

הנזק הפוטנציאלי ממתקפה שמתחילה במכשיר IoT תמים אינו תיאורטי. קיימים מספר תרחישים קונקרטיים שכל בעל עסק צריך להכיר. התרחיש הנפוץ ביותר הוא גיוס המכשיר ל'בוטנט' (Botnet), רשת של מכשירים נגועים הנשלטת על ידי תוקף. רשת כזו יכולה לשמש לביצוע מתקפות מניעת שירות (DDoS) על אתרים אחרים, מה שעלול לסבך את העסק שלכם משפטית, או גרוע מכך, לשמש לתקיפת התשתיות שלכם עצמכם. תרחיש חמור נוסף הוא ריגול תעשייתי. מיקרופונים ומצלמות המובנים בטלוויזיות חכמות או במערכות ועידה יכולים להיות מופעלים מרחוק כדי להקליט שיחות רגישות בחדרי ישיבות, ולחשוף סודות מסחריים, אסטרטגיות שיווק או מידע פיננסי. תרחיש שלישי הוא 'תנועה רוחבית' (Lateral Movement). לאחר שהשתלט על מדפסת או מצלמה, התוקף סורק את הרשת הפנימית, מאתר שרתים עם חולשות ומתקדם משם להתקנת תוכנות כופר, גניבת נתונים או שיבוש מערכות ליבה. במקרים קיצוניים, ניתן להשתמש במכשירי IoT כדי לגרום נזק פיזי. השבתה של מערכת בקרת אקלים בחדר שרתים עלולה לגרום להתחממות יתר ולהרס של ציוד יקר, ופריצה למערכת בקרת כניסה עלולה לאפשר גישה פיזית למשרדים. זיהוי פריצה כזו בזמן אמת יכול להיות קשה, אך ישנם סימנים מחשידים שיש לשים לב אליהם: התנהגות חריגה של המכשיר (כמו מצלמה שזזה בעצמה), עלייה פתאומית ובלתי מוסברת בתעבורת הרשת היוצאת מהמכשיר, או שינויים בלתי צפויים בהגדרותיו.

הטעויות הנפוצות ביותר שעסקים עושים באבטחת מכשירים חכמים

הפער בין המודעות הגוברת לסיכונים לבין היישום בפועל נובע לרוב מכמה טעויות נפוצות שחוזרות על עצמן בעסקים קטנים ובינוניים. הטעות הראשונה והבסיסית ביותר היא השארת סיסמאות ברירת המחדל. תוקפים מריצים סריקות אוטומטיות על רשתות שלמות ומחפשים מכשירים עם סיסמאות ידועות כמו 'admin' או 'password'. שינוי סיסמה הוא צעד פשוט אך קריטי. הטעות השנייה היא חיבור כל המכשירים, ללא הבחנה, לאותה רשת Wi-Fi ראשית של המשרד, לצד המחשבים של העובדים והשרתים. בגישה זו, פריצה למכשיר IoT אחד מעניקה לתוקף גישה ישירה לכל הנכסים החשובים ברשת. הטעות השלישית היא הזנחת עדכוני קושחה (Firmware). יצרנים משחררים עדכונים כדי לתקן חולשות אבטחה שהתגלו, אך בעלי עסקים רבים לא מודעים לצורך לבדוק ולהתקין אותם באופן יזום. טעות נפוצה נוספת היא רכישת ציוד זול מיצרנים לא מוכרים, ללא כל התייחסות למוניטין שלהם בתחום האבטחה. ולבסוף, קיימת תפיסה שגויה שאבטחת IoT היא נושא למקצוענים בלבד. בעוד שפתרונות מתקדמים דורשים מומחיות, ישנם צעדי בסיס שכל בעל עסק יכול וצריך ליישם בעצמו.

צ'קליסט הגנה ב-5 צעדים: כך תאבטחו את רשת ה-IoT המשרדית

גם אם אין לכם מנהל אבטחת מידע במשרה מלאה, אפשר להתחיל לאבטח את המכשירים החכמים במשרד בעזרת מספר צעדים מעשיים. התייחסו לרשימה זו כבסיס שעליו תוכלו לבנות בהמשך.

1. מיפוי וזיהוי

כפי שצוין, אי אפשר להגן על מה שלא יודעים שקיים. צרו גיליון אלקטרוני פשוט ורשמו בו כל מכשיר המחובר לרשת שאינו מחשב או סמארטפון: דגם, יצרן, מיקום פיזי ותפקיד.

2. שינוי סיסמאות ברירת מחדל

זהו הצעד האפקטיבי והמהיר ביותר. עבור כל מכשיר ברשימה, התחברו לממשק הניהול שלו ושנו את סיסמת האדמין לסיסמה חזקה וייחודית. אם אינכם יודעים איך, חיפוש מהיר בגוגל של "[דגם המכשיר] default password" ייתן לכם את נקודת ההתחלה.

3. הפרדת רשתות (סגמנטציה)

הקימו רשת Wi-Fi נפרדת לאורחים ולמכשירי IoT בלבד. רוב הנתבים המשרדיים המודרניים תומכים באפשרות זו. כך, גם אם מכשיר IoT ייפרץ, התוקף יהיה מבודד ברשת נפרדת ולא יוכל לגשת לשרתים ולמידע הרגיש שלכם.

4. השבתת שירותים מיותרים

מכשירי IoT רבים מגיעים עם שירותים מופעלים כברירת מחדל שאינכם צריכים, כמו גישה לניהול מרחוק דרך האינטרנט (Remote Administration) או פרוטוקולים ישנים כמו Telnet. עברו על הגדרות כל מכשיר והשביתו כל תכונה שאינה חיונית לפעולתו.

5. קביעת נוהל עדכונים

הגדירו תזכורת רבעונית לבדוק אם יצאו עדכוני קושחה (Firmware) למכשירים הקריטיים שלכם, בעיקר למצלמות, למדפסות ולנתב. התקנת עדכונים סוגרת פרצות אבטחה ידועות. צעדים אלו מהווים בסיס מצוין ומופיעים גם בהמלצות כלליות כמו בצ'קליסט אבטחת סייבר לעסק חדש.

כמה עולה להגן על העסק? ניתוח עלויות של אבטחת מכשירי IoT במשרד

השאלה אינה אם להשקיע באבטחה, אלא כמה ואיך. העלות של התעלמות יכולה להיות הרסנית: אובדן הכנסות עקב השבתת מערכות, קנסות רגולטוריים, עלויות שחזור נתונים לאחר מתקפת כופר, ופגיעה אנושה במוניטין. מנגד, עלות ההגנה יכולה להיות מודולרית ומותאמת לגודל העסק ולרמת הסיכון. עבור עסקים קטנים, יישום צ'קליסט ההגנה הבסיסי כרוך בעיקר בזמן ובתשומת לב, ואינו דורש השקעה כספית גדולה. השלב הבא הוא פנייה לשירותי אבטחה מנוהלים (MSSP). ניתן למצוא בשוק הישראלי חברות המציעות חבילות בסיסיות של אבטחת מידע מנוהלת לעסקים קטנים החל מכ-450 ₪ לחודש, בעוד אחרות מציעות חבילות מקיפות יותר החל מכ-950 ₪ לחודש. חבילות אלו, המיועדות לעסקים של 5-10 עובדים, כוללות לרוב ניטור רציף של הרשת, ניהול גיבויים והגנת נקודות קצה (EDR), ולעיתים גם ניטור ספציפי של תעבורת IoT. לעסקים גדולים יותר או כאלה המחזיקים מידע רגיש במיוחד, העלויות יכולות לכלול פתרונות ייעודיים לניהול ואבטחת IoT. פתרונות מתקדמים מחברות בינלאומיות כמו Armis או Cisco דורשים השקעה משמעותית, המותאמת לגודל הארגון ומורכבותו, ויכולה להיות גבוהה בסדרי גודל מעלות הפתרונות לעסקים קטנים. חשוב לזכור שההשקעה באבטחת מכשירי IoT במשרד אינה הוצאה, אלא פוליסת ביטוח חיונית להמשכיות העסקית.

מתי צ'קליסט בסיסי אינו מספיק? פתרונות אבטחה מתקדמים

הגנה בסיסית היא התחלה מצוינת, אך ישנם מצבים בהם היא פשוט לא מספקת. ככל שהעסק גדל, כמות המכשירים מתרחבת והמידע המאוחסן הופך לרגיש יותר, כך עולה הצורך בפתרונות מתקדמים. הסימן הראשון לכך שאתם צריכים לעלות מדרגה הוא כאשר אינכם מסוגלים עוד לנהל ידנית את רשימת המלאי והעדכונים. אם יש לכם עשרות או מאות מכשירים, מעקב ידני הופך לבלתי אפשרי. זה השלב לשקול פלטפורמות לגילוי וניהול נכסים (Asset Discovery and Management) הסורקות את הרשת באופן אוטומטי ומזהות כל מכשיר. סימן נוסף הוא כאשר העסק שלכם כפוף לרגולציות מחמירות (כמו GDPR בתחום הפרטיות או תקנות בתחום הפיננסי), הדורשות בקרות אבטחה מתועדות וניתנות לאימות. במקרים כאלה, פתרונות כמו Network Access Control (NAC) הופכים לחיוניים. מערכת NAC אוכפת מדיניות אבטחה על כל מכשיר המנסה להתחבר לרשת, ומכניסה להסגר מכשירים שאינם עומדים בדרישות. ב-Mr. Make, במסגרת שירותי ייעוץ אבטחת סייבר לעסקים, אנו מדגישים שתמיד יש לבחון את התהליך לפני הטכנולוגיה. לפעמים, הפתרון הנכון הוא לא בהכרח הכלי היקר ביותר, אלא בפישוט תהליכים והגדרת מדיניות ברורה שמונעת חיבור של מכשירים לא מאושרים לרשת מלכתחילה.

הרגולציה והשוק הישראלי: מהן דרישות מערך הסייבר הלאומי?

הסביבה העסקית בישראל מציבה אתגרים והזדמנויות ייחודיים בתחום אבטחת ה-IoT. מערך הסייבר הלאומי, הגוף הממשלתי האמון על הגנת מרחב הסייבר האזרחי, מודע היטב לסיכונים. בעקבות אירועים ביטחוניים כמו מלחמת 'חרבות ברזל', מערך הסייבר הלאומי פרסם אזהרות דחופות המתמקדות בסיכון של שימוש עוין במצלמות אבטחה אזרחיות לאיסוף מודיעין, והמליץ לנתקן מהאינטרנט או להגביל את הגישה אליהן. הנחיות אלו מספקות קווים מנחים לעסקים ולאזרחים כאחד. אמנם רוב ההנחיות הן בגדר המלצה ולא חובה חוקית עבור רוב העסקים, אך אימוצן הוא צעד מתבקש של אחריות עסקית. במקביל, השוק הישראלי מושפע מהתפתחויות רגולטוריות בעולם. החקיקה המתהדקת באירופה, למשל, צפויה לחלחל לישראל ולהעלות את רף דרישות האבטחה מיבואנים ויצרנים מקומיים. המשמעות עבור בעל העסק היא שבעתיד הקרוב, מכשירים שיימכרו בישראל יצטרכו לעמוד בסטנדרטים גבוהים יותר של אבטחה מובנית (Security by Design). בינתיים, פועלות בישראל מספר חברות שירותים מנוהלים (כמו R-Net ו-BBT) המשרתות עסקים קטנים ובינוניים, וכן חברות סטארטאפ המתמחות באבטחת IoT, ומספקות פתרונות ושירותים המותאמים לשוק המקומי.

פעולה אחת להתחיל איתה עוד השבוע

הדרך לאבטחת סייבר מקיפה יכולה להיראות מרתיעה, אך היא מתחילה בצעד אחד פשוט. במקום לנסות ליישם הכול בבת אחת, התמקדו בפעולה אחת בעלת ההשפעה הגדולה ביותר. אם אתם צריכים לבחור דבר אחד להתחיל איתו, הפרידו את הרשתות שלכם.

• הגדירו רשת Wi-Fi ייעודית לאורחים: כמעט כל נתב מודרני מאפשר זאת בכמה קליקים. הנחו את כל המבקרים במשרד להתחבר לרשת זו בלבד.
• העבירו את כל מכשירי ה-IoT לרשת האורחים: הטלוויזיה החכמה, המדפסת, מערכת הסאונד, מצלמות האבטחה, כל מכשיר שאינו מחשב של עובד צריך לעבור לרשת המבודדת הזו.
• ודאו שהרשתות מופרדות באמת: בהגדרות הנתב, ודאו שהאפשרות 'Client Isolation' או 'Guest Network Isolation' מופעלת. הגדרה זו מונעת ממכשירים ברשת האורחים 'לראות' אחד את השני או את המכשירים ברשת הראשית.

פעולה זו לבדה יוצרת חומה משמעותית בין נקודות התורפה הפוטנציאליות לבין הנכסים הדיגיטליים החשובים שלכם. זהו הבסיס החשוב ביותר לכל אסטרטגיה של אבטחת מכשירי IoT במשרד, והוא ניתן ליישום מיידי וללא עלות.

קראו גם

• הפריצה כבר קרתה: 4 עקרונות אבטחה שכל עסק חייב לאמץ
• הסמארטפון של העובד: נכס או איום סייבר? המדריך המלא לאבטחת BYOD בעסק

ב-Mr. Make (ליאור צברי) מתחילים תמיד מהשאלה אם התהליך בכלל צריך אוטומציה, ורק אחר כך בונים. אם השאלה הזאת רלוונטית אצלכם, בואו נדבר.