ישראל נערכת למתקפות סייבר – אבל מה עם היערכות לרעידת אדמה?

השבוע נערך באוניברסיטת תל אביב שבוע הסייבר הלאומי. בזה אחר זה עלו על הבמה בכירי תעשיית הסייבר בישראל, וגם כמה מהבכירים העולמיים – כולל ניק אנדרסן, המנהל בפועל של CISA, סוכנות הסייבר המרכזית של ארצות הברית. אנדרסן עלה על הבמה בתל אביב כמה שעות לפני שפורסמה ההחלטה של הנשיא האמריקני, דונלד טראמפ, למנות לסוכנות מנהל קבוע. כולם דיברו על איומי הסייבר ההולכים ומתרבים, ומשתכללים, ועל החשיבות שבהגנת הסייבר ובשיתופי פעולה בינלאומיים. מהדברים אפשר היה להבין שישראל משקיעה רבות בהגנת הסייבר שלה.

אחת הדאגות המרכזיות של פרנסי תעשיית הסייבר בישראל היא הגנה על תשתיות קריטיות, כדי שההאקרים לא "יורידו את השאלטר" על החשמל, המים, הגז ו/או מרכיב חיוני אחר לחיינו. אלא שיש איום לא פחות חשוב על התשתיות האלה, שקריטי להתגונן מפניו: רעידות אדמה. אתמול (ד') קיבלנו תזכורת לכך בדמות רעידת האדמה שהייתה באילת, שאמנם לשמחתנו, לא גרמה לנפגעים ולנזק, למעט כמה זכוכיות מנופצות בנמל התעופה רמון, אבל מעלה את השאלה: האם מדינת ישראל ערוכה להגן על התשתיות הקריטיות שלה מפני האיום הזה? גם רעידות אדמה עלולות לפגוע ברציפות התפקודית של אותם ארגוני תשתיות, שתלויים במערכות המידע שלהם. לפגיעה בדאטה סנטרים ובחוות השרתים של הארגונים האלה עלולות להיות תוצאות קטסטרופליות.

מבקר המדינה הזהיר – ובינתיים לא עושים עם זה כלום

זה לא נושא חדש. הוא עלה במלחמות עם איראן, עקב היותם של הדאטה סנטרים – לפחות אלה שנמצאים מעל לפני הקרקע – חשופים לפגיעות טילים, ואף לפני כן. ביוני השנה פרסם מבקר המדינה (דאז), מתניהו אנגלמן, דו"ח בנושא תשתיות המחשוב הלאומיות, שבו הוא הצביע על כשלים בהגנה על חדרי שרתים ותקשורת – הן בהיבט הסייבר והן הגנה פיזית, בהגדרות האבטחה ובפיקוח על יישומן. הדו"ח אמנם לא עסק ישירות ברעידות אדמה, אבל הן בהחלט אחד האירועים הרלוונטיים בהקשר זה.

מבקר המדינה לשעבר, מתניהו אנגלמן. צילום: ניב קנטור

בין פרסום הדו"ח להיום אירעו במדינת ישראל בחירות. ניתן היה לחשוב שבגללן הנושא לא מטופל, אולם אתמול, לאחר רעידת האדמה באילת, פרסם מבקר המדינה הודעה שלפיה הליקויים בהגנת מבנים מפני רעידות אדמה שהוא העלה בדו"ח אחר, שפרסם ב-2023, עדיין לא תוקנו. ובחלק מהמבנים האלה יש דאטה סנטרים וחוות שרתים.

פתרונות DR מסורתיים לא יעזרו

חשוב להבין שבמקרה שבו רעידת אדמה תפגע בבניין שבו נמצא הדאטה סנטר, הפתרונות המקובלים של התאוששות מאסון (DR) לא יעזרו. האיום חמור עוד יותר אם לוקחים בחשבון שפגיעה במרכזי מחשוב עלולה לחסום את דרכי הגישה למתקנים ולא ניתן יהיה לחלץ משם את המידע.

נדרשת יכולת להפעיל מערכות חלופיות. אבל, לפי נתונים של גופים שונים, יש בישראל לא מעט דאטה סנטרים שהינם ברמת גיבוי בסיסית בלבד, ומפעיליהם לא מקפידים על אמצעי גיבוי מרחוק. מבקר המדינה מצא ליקויים כאלה גם במרכזי נתונים וחוות שרתים של ארגונים שמפוקחים על ידי הממשלה. כאן מן הראוי לציין שבחלק אחר של חוות השרתים, כולל של אזורי ענן ייעודיים, יש מערכות שמאפשרות DR מרחוק.

הממצאים המדאיגים האלה מעלים כמה שאלות:

האם יש גוף לאומי שמתכלל את הסיכונים וההערכות לרעידת אדמה בהיבט של תשתיות תקשורת? ודאי לא תופתעו לקרוא שאין. הסמכויות מפוזרות בין גופים שונים – רח"ל, משרד התקשורת ועוד.

האם נעשו סקרי סיכונים לגבי העמידות של מבני חוות השרתים מפני רעידת אדמה בעוצמה חזקה? לא נעשה סקר לאומי-ממשלתי, אולם חברות פרטיות חייבות לערוך סקרי סיכונים משל עצמן ולעמוד בתקנים בינלאומיים כתנאי לקבלת רישוי וביטוח.

האם ידוע אילו מתקנים חיוניים נמצאים באזורים בעלי סיכון גבוה לפגיעה מרעידת אדמה? הרוב המוחלט של הדאטה סנטרים וחוות השרתים בישראל נמצאים במרכז הארץ ובשפלה – אזורים שבהם הסיכון לרעידות אדמה חזקות נמוך בהשוואה לבקעת הירדן, שממוקמת על השבר הסורי-אפריקני. אולם, יש באזור המרכז והשפלה נקודת תורפה: מתקנים באזורים אלה חשופים לסיכונים הנדסיים משניים בזמן רעידת אדמה חזקה, כולל התנזלות קרקע, אם הם נמצאים בסמיכות לנחלים ולחוף הים.

אילו מהם מוגנים מבחינה הנדסית? התקנים מחייבים שמתקנים דוגמת מתקני הדגל של חברות כגון MedOne יהיו מוגנים. בגדול, מתחת לאדמה, ההגנה ההנדסית רבה וטובה יותר, אם המתקן תוכנן מראש לכך.

והיכן מתקני הגיבוי של הארגונים? כאן יש הבדל בין משרדי ממשלה לחברות פרטיות, שלמרביתן יש מתקן מרכזי במרכז או בשפלה, ומתקן גיבוי באזור אחר של הארץ.

רעידת האדמה באילת חייבת להדליק נורת אזהרה אדומה כהה ובולטת אצל כל הגורמים – הממשלה, בעלי חוות השרתים והלקוחות של הדאטה סנטרים וחוות השרתים, כדי שאם וכאשר תקרה חלילה רעידת אדמה חזקה, הארגונים, והמדינה בכלל, ימשיכו לתפקד

האם הממשלה הבאה תייחס חשיבות מספקת לנושא?

הכנסת ערכה לא מעט דיונים בנושאים אלה, אבל גם הם לא השפיעו על רמת ההיערכות של הארגונים. ועדת הפנים והגנת הסביבה דנה בנושא כבר לפני שנה. יו"ר הוועדה, ח"כ יצחק קרויזר (עוצמה יהודית), דרש בדיון ממשרד ראש הממשלה להציג תוכנית להקמת גוף מתכלל שיעסוק במגוון ההיבטים של רעידת אדמה. נציג המשרד אמר שקיים מסמך כזה, שמתוקצב ב-17 מיליארד שקלים, אבל הוא לא הגיע לכלל מימוש. נראה שהמסמך, ככל שאמנם קיים, לא פורסם לציבור – בדיקה של אנשים ומחשבים מעלה שהוא לא מצוי ברשת, לרבות לא בארכיוני הכנסת והממשלה.

עוד תוכנית, שהוכרזה בחגיגיות בפברואר השנה, היא תוכנית חירום רב שנתית להערכות לרעידות אדמה של רח"ל – רשות החירום הלאומית, שפועלת תחת משרד הביטחון. אלא שבאופן מפתיע, אין בתוכנית הזאת התייחסות לעמידות של תשתיות במבנים פיזיים, כי אם עקרונות כלליים, כגון חיזוק היכולות הלאומיות והעמקת שיתופי הפעולה בנושא בין משרדי הממשלה.

האם הממשלה הבאה תטפל בנושא? צילום: leolintang, ShutterStock

נראה שבמקרה הטוב, הנושא יטופל לאחר שתוקם הממשלה הבאה, אם זה יקרה בכלל ולא נצטרך לצאת לעוד מערכת בחירות. אין ולו מפלגה אחת שהתייחסה לנושא בקמפיין הבחירות, כולל מבין אלה שכן פרסמו מצע. ראש הממשלה החדש, או החדש-ישן, והשרים יצטרכו לתת את דעתם על כך לאחר כינון הממשלה החדשה – וספק אם יעשו זאת. נקווה שכן, לפני שיהיה מאוחר מדי.

האחריות – גם על המנמ"רים

חשוב להזכיר שהאחריות למוכנות של תשתיות המחשוב מפני רעידות אדמה לא מוטלת רק על הממשלה ובעלי חוות השרתים, אלא גם על הלקוחות. והאחריות הזאת מתחילה אמנם מהמנכ"ל, אבל עיקר הטיפול מוטל על המנמ"ר, סמנכ"ל הטכנולוגיות ו/או מנהל אבטחת המידע. הם צריכים לוודא שתוכניות הרציפות התפקודית של הארגון מתייחסות גם לתרחישי קיצון פיזיים כגון רעידת אדמה.

עליהם לבדוק שהתוכניות הללו כוללות הוראות ברורות מה לעשות במקרה של פגיעה בדאטה סנטר, השבתת תקשורת אזורית, אובדן ממושך של אספקת חשמל ועוד צרות צרורות, ולתרגל את זה. כמו כן, רצוי שהם יבחנו היטב את מיקומם של מרכזי המחשוב ואתרי הגיבוי, את התלות בספקי ענן ותקשורת, את זמינות מערכות החשמל והקירור ואת היכולת להעביר פעילות לאתר חלופי.

על מנהלי ואנשי ה-IT בארגונים לבדוק שהתוכניות האלה לא רק נמצאות על הנייר, אלא גם מיושמות בפועל, ומיושמות על הצד הטוב ביותר.

השורה התחתונה: רעידת האדמה באילת חייבת להדליק נורת אזהרה אדומה כהה ובולטת אצל כל הגורמים – הממשלה, בעלי חוות השרתים והלקוחות של הדאטה סנטרים וחוות השרתים. עליהם לשלב את המוכנות לרעידות אדמה בתוכניות העבודה שלהם, להדריך את מי שצריך ליישם אותה ולתרגל את כל זה בפועל – ויפה שעה אחת קודם, כדי שאם וכאשר חלילה תקרה רעידת אדמה חזקה, הארגונים, והמדינה בכלל, ימשיכו לתפקד.