אלביט מערכות אוסרת רכבים סיניים: הסיכון הסייברי במכוניות המחוברות

הגבלות על רכבים סיניים בגופי הביטחון: מה קורה ומדוע

בחודשים האחרונים התגבש בישראל מהלך שיטתי של הוצאת כלי רכב מתוצרת סין מהציים של גופי הביטחון והממשל. צה"ל, התעשייה האווירית ורפא"ל כבר חסמו דגמים סיניים ממכרזי הליסינג שלהם, ועתה הצטרפה אליהם אלביט מערכות, אחת מחברות הביטחון הגדולות בישראל.

עובדי אלביט שכבר בחרו רכב סיני מתוך הרשימה המאושרת קיבלו הודעה שהאופציה בוטלה למפרע, ונדרשו לבחור מחדש מתוך דגמים ממדינות מערביות בלבד. המהלך אינו בירוקרטי, אלא נובע מהערכת סיכונים אמיתית בנוגע לאבטחת מידע.

מדוע רכב מחובר הפך לאיום ביטחוני

כלי רכב מודרניים, ובמיוחד דגמים חשמליים וחצי-חשמליים, הם בפועל מחשבים ניידים. הם מצוידים בחיישנים, מיקרופונים, מצלמות ומודולי תקשורת המשדרים נתונים לענן. עבור נהג שהוא עובד בכיר בתעשיית הביטחון, פירוש הדבר הוא שהרכב עלול לתעד ולהעביר מידע על מסלולי נסיעה, שיחות, מיקומים רגישים ועוד.

החשש הזה קיבל ממד קונקרטי כאשר הדיילי מיילס הבריטי דיווח לאחרונה כי ברכבו של ראש ממשלת בריטניה זוהה משדר מוסתר ששידר נתונים לסין. המשדר הותקן לכאורה בתוך רכיב אטום שיובא מסין כארבע שנים לפני הגילוי. אפילו אם הפרטים המדויקים של דיווח זה טעונים בדיקה, הוא ממחיש את רמת החשיפה הפוטנציאלית.

שרשרת האספקה כנקודת תורפה

אחד הלקחים המרכזיים שארגוני ביטחון מפיקים מאירועים כאלה נוגע לשרשרת האספקה. לא מדובר רק בתוכנה מעודכנת שניתן לסנן, אלא ברכיבי חומרה שמגיעים משולבים במוצר הסופי, ובעצם בלתי נראים עד לבדיקה מעמיקה. ארגון שמאפשר לעובדיו הבכירים לנסוע ברכב שחומרתו אינה שקופה לו, חשוף לסיכון שקשה מאוד לאתר ולטפל בו בדיעבד.

מניסיון R.A.S Systems בעבודה עם ארגונים שמנהלים מידע רגיש, ניהול נכון של סיכוני מידע מחייב ראייה מערכתית שמתייחסת גם לנקודות קצה שאינן מחשוב קלאסי. רכבים, ציוד IoT ומערכות בניין חכמות הפכו כולם לחלק מאותה מפה של חשיפות פוטנציאליות.

מגמה רחבה יותר: הפרדה טכנולוגית בין מזרח למערב

ישראל אינה לבדה. מדינות ה-G7 ומדינות נוספות נמצאות בתהליך הדרגתי של סינון ציוד ממדינות שנחשבות לפוטנציאל סיכון, במגוון תחומים כולל תשתיות תקשורת, ציוד רפואי, ועתה גם כלי רכב. ברמת הארגון, ההחלטה של אלביט היא דוגמה לאופן שבו מדיניות ביטחון לאומי מתורגמת לנהלים פרקטיים ברמת הפרט.

עבור ארגונים שמנהלים מידע עסקי או טכנולוגי רגיש, גם מחוץ לתעשיית הביטחון, ראוי לאמץ גישה דומה: לבחון לא רק את מערכות ה-IT הפנימיות, אלא את כלל שרשרת הציוד שנכנסת לסביבת הארגון ועלולה לשמש נקודת כניסה לא מוגנת.