נדרשות מקצוענות וטכנולוגיות כדי להגן על מערכות הדאטה סנטר

מערכות מחשוב לאחסון מידע בענן (דאטה סנטרים – Data Centers) הפכו בשנים אחרונות לעמוד השדרה לאבטחת פעולה אמינה ורציפה במרבית הארגונים. חשוב להדגיש כי משמעות המילה "ענן" בהקשר למידע הוא שימוש במרכזי אחסון שמותקנים במדינות רבות. אתרים אלה מקושרים ביניהם כדי לספק יתירות, ואמינות תפעולית.

האמצעי להתגבר על כך הוא ליישם את ההגנה באמצעות תהליכים המוגדרים בתקן בינלאומי 62443 ISA-IEC. למרות העובדה כי תקן זה מורכב, ניתן להיעזר בו, אחרי הדרכה קצרה לעובדים שמעורבים בתכנון ובנייה והשמה של מערכות אלה

על מנת לשכנע לקוחות להאמין במערכות אלה, הוגדרו שני מונחים מקצועיים: RTO (ר"ת Return time Objectives) ו-RPO (ר"ת Return Point Objective), שבאמצעותם ספקי פתרונות יכולים למסור מידע מדויק לגבי כמות הנתונים שעלולים לא להישמר במקרה של אירוע, ומידע לגבי הזמן שהמערכת תחזור לפעולה במקרה שכזה. כדי לעמוד ביעדים אלה, המערכת חייבת להיות בנויה באופן מקצועי ולכלול אמצעים שיבטיחו את האמינות והרציפות של מערכות ענן אלה.

איך מגינים על מערכותיו נכון? דאטה סנטר. צילום: אילוסטרציה. BigStock

הגנה מקיפה על המערכות

הגנה על מערכות אחסון מידע חייבת לכלול מגוון גישות, שיטות ואמצעים טכנולוגיים, מותאמים במיוחד למערכות שחייבות לפעול ברציפות 24/7/365. המפעילים של מערכות אלה נדרשים לבצע תכנון קפדני, בחינה תקופתית, הכללת יתירות במערכות, עדכונים ותחזוקה, הכללת מערכות לניטור מצבים חריגים, ועוד.

חשוב להדגיש כי הגנה פיזית, היקפית על מתקנים אלה היא תנאי ראשון והכרחי כדי להבטיח פעולה רציפה. חדירה של אדם לא מורשה לאזור בו מותקנות המערכות עלולה לאפשר עקיפה על אמצעי הגנה יקרים. לפיכך נדרשים:

• הקפדה על פעולה תקינה ורציפה של מערכות לאספקת חשמל לפחות בשתי נקודות הזנה, שימוש בגנרטור לגיבוי, שמירה על מלאי דלק, שימוש במערכות אל פסק, ועוד.
• מערכות האוורור והמיזוג (HVAC) חייבות לכלול אמצעי יתירות, כדי להבטיח שפעולה תקינה ורציפה גם במצבים של אירוע חמור עקב תנאי מזג אוויר, תקלות, פעולה שגויה של אנשים ועוד.
• התקנה של ניטור מאובטח דרך רשת אינטרנט ציבורית, באמצעות הטמעה של אמצעים לניטור מצבי תקשורת ותעבורה של נתונים בכמות חריגה, שעלולים להתרחש עקב תקלה, חבלה פנימית או אירועי סייבר.
• ביצוע תהליכי הקשחה עבור מערכות המחשוב שנרכשו כמוצרים סטנדרטיים (COTS) היא פעולה חיונית על מנת להקשות על גורם עוין לחדור למערכות אלה ולשבש את פעולתן.
• ביצוע תחזוקה שוטפת על מערכות המחשוב, כולל עדכוני תוכנה וביטול פגיעויות שדווחו על ידי ספקי מוצרים ותוכנה, עדכונים עבור מערכות לאבטחת מידע ועוד.

לסיכום, המטרה העיקרית היא לשמור על הסודיות, השלמות והגישות למידע (CIA ר"ת Confidentiality Integrity Availability). כדי להבטיח שמטרות אלה הושגו, חייבים לבחון את המערכות הללו גם מזווית ראיה של מערכות תפעוליות (OT – ר"ת Operation Technology). אין להתעלם מהעובדה כי חברות שבונות מערכות אלו לא כוללות מומחים בתחום מערכות תפעוליות, וזו בעיה.

האמצעי להתגבר על כך הוא ליישם את ההגנה באמצעות תהליכים המוגדרים בתקן בינלאומי 62443 ISA-IEC. למרות העובדה כי תקן זה מורכב, ניתן להיעזר בו, אחרי הדרכה קצרה לעובדים שמעורבים בתכנון ובנייה והשמה של מערכות אלה.

חשוב מאד שהגורמים בישראל שבאחריותם להבטיח פעולה רציפה ואמינה של מערכות אלה יאשרו רכש של המערכות הללו רק מחברות שמחויבות לתקן בינלאומי.

הכותב הוא פעיל בחברת SCCE, יועץ ומרצה לאבטחת סייבר למערכות תפעוליות וגם חבר במספר ועדות תקינה הכותבות פרקים עדכניים בתחום. בנוסף, ארנרייך מרצה בכנס Data Centers and Cloud 2025 – שיתקיים ב-LAGO ראשל"צ, ב-9 ביוני הקרוב. לפרטים נוספים על הכנס – הקישו כאן.