פרק 4 –  חומרים מסוכנים –  פיקוח ורגולציה במבחן המציאות

4.1       הסדרי חקיקה

הוראות המסדירות את תחום הפיקוח על החומרים רעילים נמצא במספר רב של חיקוקים וזאת מעבר לחוק על תקנותיו, ביניהם: פקודות הרוקחים (נוסח חדש) התשמ"א 1981, חוק התכנון והבניה, התשכ״ה – 1965 , חוק רישוי עסקים, התשכ"ח – 1968, חוק למניעת מפגעים, התשכ״א – 1961 וכן חוק העונשין, התשל״ז – 1977.

יש לציין כי כבכל מדינה תעשייתית מתפתחת, התרחשו בישראל תהליכים מקבילים זה לזה שמהווים את הבסיס לחקיקה דנן. מחד גיסא, ניבנו מפעלים בקרבת מרכזים עירוניים, ומאידך נבנו שכונות מגורים ליד מפעלים ותיקים. דוגמאות בולטות ניתן לראות באיזור מפרץ חיפה, בבאר שבע ובאשדוד. בעניין זה , תקנות התכנון והבניה. (תסקירי השפעה על הסביבה),התשנ"ג – 2003 מחייבים מפעלים מסוימים לצרף לתכנית הבניה המפורטת, בעת הגשתה לוועדת בגין ערים, תסקיר השפעה על הסביבה. בכך יש משום סיוע למניעת הקמת מתקנים, המטפלים בחומרים רעילים, בקרבת שכונות מגורים. אין הוראות החוק קובעות את המרחק הדרוש בין מרכז מגורים מתוכנן לבין תעשיות ומלאכות מזיקות קיימות או שבתכנון בעניין זה, בעניין זה פעלו לפי קריטריונים שנקבעו עוד בשנת 1972 ע״י ועדה בין משרדית ועודכנו בשנת 1985 בעדכון נקבעו בין השאר, המרחקים בין מבני מגורים לבין מפעלים. בעניין, פקודות הרוקחים (נוסח חדש) והתקנות שהותקנו לפיה, מחייבות את הסוחר ברעלים לבקש מהמשרד מדי שנה בשנה תעודת היתר רעלים, לגבי הרעלים שהוגדרו בחוק. ההיתר משמש מקור מידע על הרעלים שהוגדרו כחוק. מתברר, שבטופס לקבלת היתר רעלים לא נדרשו המפעלים שסחרו ברעלים לנקוב בכמות הרעלים שברשותם.

דוגמא נוספת שבה הסדרי חקיקה נקבעו בעקבות אירוע באה לידי ביטוי באירוע דליקה, אשר פרצה בינואר 1989 בחוות הגז שבקריית אתא וגרמה, בין היתר, לפינוי זמני של כ-3000 תושבים. לאחר האירוע מינו שר האנרגיה והתשתית ושר הפנים ועדה לבירור נסיבותיה. הוועדה העלתה ליקויי בטיחות שונים: היעדר סטנדרטים בעבודה, ידע מקצועי מועט של העובדים, טיפול לקוי בציוד, ומודעות נמוכה ביותר לבטיחות. ועדת הבירור קבעה, בי משרד האנרגיה קיבל את האחריות לנושא האנרגיה ובכלל זה למערך הדלק במדינה, אך הסמכויות בנושא נתונות בידי משרדי ממשלה שונים. נוסף על ההמלצות לשיפורים במתקן החווה עצמו, המליצה ועדת הבירור, בין היתר, לרכז בידי משרד האנרגיה את הסמכות והאחריות המקצועיות והייחודיות למשק הגז שיכללו קביעת תקנות וכללים בטיחותיים למתקני גז ולעוסקים במשק הגז. עם זאת המליצה ועדת הבירור, כי המשטרה תמשיך לשאת באחריות להיבטים של שלום הציבור, כי משרד התחבורה ימשיך לטפל בכל הנוגע לכלי רכב המובילים גז וכי שירותי הכבאות ימשיכו להיות הסמכות המאשרת סידורי כיבוי. הממשלה קיבלה את המלצות הוועדה ובעקבותיה חוקק חוק הגז (בטיחות ורישוי) התשמ"ט – 1989 שמקנה לשר האנרגיה סמכות להסדיר את בטיחותן של פעולות שונות הקשורות בטיפול בגז.

בהיבט של חומרים מסוכנים ומניעת התקפות סייבר, ישראל נדרשה לכך בתחילת שנות ה- 2000, עם כניסתו לתוקף של חוק הסדרת הביטחון בגופים ציבוריים, תשנ״ח-1998. עיקרי החוק עוסקים בהגנה על מערכות בקרה תעשייתיות במפעלים שהוגדרו כמערכות ממוחשבות חיוניות. בין השאר, חברת החשמל, בתי זיקוק לישראל , קצא״א ונמלי ישראל . חלק מתעשיות אלה פועל לפי הוראות וכללים בתחום הגנת הסייבר ממערך הסייבר הלאומי. על פי ההסדרים שנקבעו בחוק, מדינת ישראל גיבשה רשימה של כ- 70 מפעלים שקשורים לחומרים מסוכנים, מתוכם, 30 מפעלים המסווגים כמפעלי SEVESO רף עליון (upper tier) והשאר מסווגים כמפעלי SEVESO רף תחתון (lower tier) . שאר המפעלים אינם כפופים להוראות אלה ועל כן, נכון להיום, אין מענה כולל לסיכוני סייבר בתעשיות ומפעלים בהם יש שימוש בחומרים מסוכנים.

בשנת 2015 התקבלה החלטת הממשלה מספר 2443 בנושא "קידום אסדרה לאומית והובלה ממשלתית בהגנת הסייבר״ שמבקשת לקדם הקמה של יחידות להכוונה מקצועית מגזרית בתחום הגנת הסייבר במשרדי הממשלה, שמטרתן לספק הכוונה והנחיה מקצועית בתחום הגנת הסייבר. במסגרת ההחלטה, מערך הסייבר הלאומי אמור לסווג את הרגולטורים השונים בממשלה על פי סמכויותיהם וזאת על מנת להתמודד עם סיכוני התקפת סייבר על מתקנים חיוניים. באשר למפעלים אשר כפופים להנחיית מערך הסייבר או רגולטורים אחרים, ניתנה הנחייה ליישם מערך בקרות מלא וכוללני למרות שבפועל מערך הסייבר – הן לגבי מפעלי תמ״ק והן לגבי קביעת רגולטור מוביל – לא קבע גורם אחד האחראי לכלל היבטי האסדרה בהגנת הסייבר, כולל היבט החומרים המסוכנים. יש לציין כי בשנים האחרונות נערך פיילוט במספר מפעלים על מנת להעריך האם הרשות הרלוונטית ערוכה לתת מענה להיבטי החומרים המסוכנים במסגרת האסדרה המבוצעת על ידיו.

בנוסף החלטה 2443 כפופה להחלטת הממשלה מספר 2118 שעניינה הפחתת הנטל הרגולטורי ועל פיה יש לאפשר הפחתה של הסדרי רגולציה לצד העלאה של רמת ההגנה במרחב הסייבר בהיבטים של הפחתה ומניעה של סיכונים סביבתיים וסיכונים לבריאות הציבור ולחיי אדם, בדגש על סיכוני הסייבר במפעלי תעשייה העלולים לגרום לאירועי חומרים מסוכנים. על פי מדיניות המשרד להגנת הסביבה הרגולציה העתידית בתחום זה תבקש לבצע התאמות למציאות הישראלית בהתבסס על תקינה בינלאומית כשהיא מידתית ותסתייע בגורמים הקיימים הפועלים בתחום אבטחת המידע והגנת הסייבר.

הסדרים נוספים באים לידי ביטוי בתקנים וסטנדרטים ישראליים ובינלאומיים שעוסקים בהגנה על מידע וסייבר במערכות בקרה תעשייתיות, בין השאר:

תורת הגנה בסייבר לארגון – מסמך שנוסח על ידי מערך הגנת הסייבר הלאומי בשנת 2017 ועניינו תקינה בינלאומית בנושא הגנה בסייבר, בהתאמה לצרכי ומאפייני הארגונים במשק הישראלי.

(NIST Cybersecurity Framework (NIST CSF – מסגרת בסיס למסמך ההוראות לעמידה בתנאים של היתר רעלים בתחום ההגנה על מידע וסייבר של המשרד להגנת הסביבה. שכוללת בין השאר, 800-53 NIST Special Publication – עוסק בבקרות הגנה על מידע ופרטיות בארגונים ומערכות מידע, 800-30 NIST Special Publication – עוסק בניהול סיכונים ו NIST Special Publication 800-82R2 -עוסק בהגנה על מערכות אוטומציה ובקרה תעשייתיות.

תקן -62443 IEC– כולל כלים שונים באבטחת סייבר, של אמצעי להפחתה (mitigation) במערכות אלקטרוניות המבוססות על מערכות אוטומציה ובקרה תעשייתיות (IACS ) במובן הרחב ביותר, שמקיף את כל סוגי הרכיבים, המפעלים, מתקנים והמערכות בתעשיות ובתשתיות בין השאר, מערכות אוטומציה ובקרה תעשייתיות כוללות.

תקני 27000 ISO  – העוסקים בניהול אבטחת המידע בארגון, בין השאר, תקן 27001 ISO שמגדיר את עקרונות הקמת ניהול ותחזוקה של מערכת אבטחת מידע המתאימה לארגון ; 27014 ISO – טכנולוגיית המידע – טכניקות אבטחה – ניהול אבטחת מידע ;27032 ISO – טכנולוגיית המידע – טכניקות אבטחה – קווים מנחים לאבטחת סייבר ו״מערכות בקרה תעשייתיות״ קריטיות.

4.2       ביקורת וגיבוש מדיניות פיקוח ובקרה

התקפת סייבר על מתקן תעשייתי יכולה להביא להשבתה של המתקן וגרימת נזק ישיר ועקיף. כאשר מדובר במתקן המחזיק בחומרים מסוכנים, מעבר לנזק שנגרם למפעיל המתקן, הרי שעלול להיגרם נזק לסביבה לאדם . תוצאה זו מועצמת כאשר מדובר בהתקפת סייבר על מתקן המחזיק בחומרים מסוכנים ופעילותו מבוססת על מערכות ממוחשבות ויכולה להתבצע, למשל, על ידי השתלטות על הבקר האחראי על התהליך, שינוי ערכי לחץ, טמפרטורה וזרימה, השבתת מערכות הגנה כולל השבתת מערכות גלאים, ומערכות התראה על פריצת חומ״ס . בעניין זה "אירוע חומרים מסוכנים משמעותי״ לפי ההגדרה בדירקטיבת SEVESO עלול לגרום, לצד נזק סביבתי וכלכלי, גם פגיעה בנפש.

בדו"ח מבקר המדינה צויין כי קיימים בארץ מאות מפעלים ועסקים המייצרים או מאחסנים חומרים רעילים. הפיקוח על מפעלים אלה נתון בידי תשעה משרדי ממשלה וכל משרד אמור לעסוק בעניו בתחום אחריותו וסמכותו. עדייו אין הטיפול בנושא חשוב זה מרוכז תחת סמכות אחת וכאשר יש צורך דחוף במידע כמעט שלא ניתן להשיגו לאלתר. אמנם הוחל בהתארגנות לריכוז הטיפול בחומרים רעילים, אולם בתחום חשוב זה שיש לו תוצאות ישירות על בריאות הציבור, ובייחוד נוכח האסונות שאירעו בעולם מן הראוי לנקוט צעדים מזורזים לטיפול מעשי בעניו בקצב התואם את חשיבות הנושא.

בדברי הביקורת ציין המבקר כי על הרשויות המוסמכות למצות את סמכויותיהן כלפי תעשיות ומפעלים העוסקים בחומרים מסוכנים שלא מלאו את דרישותיהן בדבר טיפול נאות בהסדרי האבטחה. לדעת המבקר, מכלול הצעדים שהוחל בהם זה מכבר בתחום זה, הם פעולות ראשוניות בכוון הרצוי. עם זאת, יש להעמיד את הטיפול בנושא חיוני זה במקום גבוה בסולם העדיפויות, במיוחד בעניינים כגון: איסוף מידע מפורט על היקף החומרים הרעילים בארץ. קביעת אחריות. תיאום ושיתוף פעולה בין הגורמים השונים לטיפול באירועים מסוכנים. הקמת צוותים מקצועיים לתרגולים לקראת אירוע אפשרי ועוד.

בהיבט המעשי ממשלת ישראל רואה את אחד מיעדיה לפתח את הכלכלה בארץ ולגרום לצמיחה. הממשלה הנמצאת בקשיי תקציב גדולים, בבעיות בריאות, תחבורה, רווחה מנסה באמצעים דלים ולעיתים במדיניות של כיבוי שריפות להתמודד גם עם בעיית החומרים המסוכנים וזאת כאשר מכל עבר קיימות דרישות לנגוס מנתח התקציב והפעילות המוקצים לנושא זה. יש לציין כי מדיניות הפיתוח (הצמיחה) של הממשלה יוצרת בהכרח בעיות המצריכות פתרון. בעניין זה בניית מפעלים העוסקים בטכנולוגיה מתקדמת יוצרת כנגזרת בעיות של חומרים מסוכנים שהטיפול בהם מצריך התערבות של משרדי ממשלה רבים העוסקים בנושא. התערבות זו יוצרת לעיתים בעיות פוליטיות, הנובעות מבעלי התפקידים הנמצאים בראשות המשרדים השונים ומחייבת לעיתים גם את התערבות ראש הממשלה על מנת להגיע לסיכומים וקביעת מדיניות מוסכמת.

בנושא החומרים הרעילים קיימים מספר נושאים המצריכים קביעת מדיניות ממשלתית ברורה, בין השאר, הקמת מערכת שתטפל בחומרים מסוכנים (אחריות כוללת), מערכת שתטפל מקצועית בטיפול בשינוע של חומרים מסוכנים לרבות הקמת מערך להשמדה וקבורה של חומרים מסוכנים ״תשלום מס" למטפלים באיכות הסביבה ואיכות חיי התושבים – הגנה על החברה מנזקים צפויים במהלך יישום המדיניות . בעניין זה, צמיחה הקשורה בפיתוח מפעלים ותעשיות בצד ההבנה כי מדובר בחומרים מסוכנים לאדם ולסביבה מביאה בסופו של דבר לצורך בקביעת מדיניות ממשלתית ברורה הן ברמה המקומית והן ברמה הארצית ונדמה כי לא תמיד הרשות הרגולטורית כיום, המשרד להגנת הסביבה יכול לאפשר התמודדות ומציאת פתרונות לבעיות המדיניות בנושאים אלה.

על פי הספרות הרלוונטית בעניין זה, במהלך השנים, הוצעו מספר דרכים לשיפור המצב בארץ וההמלצות בנושא זה הן רבות . המלצה אחת המייצגת את בעיית החומרים המסוכנים היא שינוי מערך משרדי הממשלה ודפוסי הניהול במשרדים. המבנה הנוכחי של משרדי הממשלה, מספרם, חלוקת העבודה ביניהם וסדרי הניהול הפנימי פוגמים ביעילות הפעולה המנהלתית. חולשותיו של המערך הנוכחי כוללות קשיים בגיבוש מדיניות כוללת משולבת (בין משרדית), הפרעה לתאום ושיתוף פעולה בין משרדי, צמצום אפשרויות המעקב וההערכה אחר פעולות, כפילות תיפקודים מיותרת, סיבוך בתהליכי עבודה ואי נוחות לאזרח. לכך יש לשנות את מערך משרדי הממשלה בצורה שירוכז הטיפול בנושאים במיוחד בנושאי רווחה וסעד, בינוי איכות הסביבה – חומרים מסוכנים, עליה, קליטה וכלכלת המשק. ריכוז כזה ניתן להשגה על ידי שילוב משרדים או על ידי הקמת משרדי-על ומוקדי הכוונה על משרדיים.

בהקשר זה פעילות המשרד להגנת הסביבה אינה נותנת מענה ברור. במבנה הארגוני הקיים לא ניתן לנהל בצורה מושכרת ויעילה את הסביבה ולשמור על איכותה. בנוסף לפיצול המאפיין את המבנה הארגוני של המערכות המטפלות באיכות הסביבה מתקיימים בה מצבים של ניגוד אינטרסים הגורמים לפגיעה במשאבי סביבה חיוניים. הדוגמא הבולטת במציאות הישראלית היא משרד החקלאות האחראי על הקצאת המים והן על שמירת איכותם במסגרת חוק המים. דוגמא בולטת לא פחות היא שמירת הטבע. בין שמירת הטבע ופיתוח החקלאות יש קונפליקטים מובנים ואיך ספק כי שמירת הטבע יוצאת נפסדת מהעובדה ששר החקלאות צריך להכריע בין תועלת החקלאים וההגנה על החי והצומח .

הסיבות שגרמו להעמקת הטיפול בנושא איכות הסביבה היו בין השאר, מצב הסביבה ברמה המקומית, האזורית, הלאומית והגלובלית התדרדר בקצב מואץ; ההבנה וההכרעה בקשרי הגומלין בין כלל מרכיבי המערכת האקולוגית על רמותיה השונות מעמיקים ומתחזקים ;הארגונים הקיימים לא השכילו לחזות את התהליכים המשחיתים את הסביבה ולא הצליחו למנוע אותם או לצמצמם. כישלונם נבע בין היתר מהעובדה כי מדובר בתהליכים ארוכי טווח איטיים ובעלי אופי מצטבר. וכפי שצוין במבנה ארגוני שמכוון לעסוק בפעולות פיתוח בעיקר בטווח הקצר, קשה ליישם אסטרטגיה כוללת למניעת הדרדרות הסביבה.

בנושא איכות הסביבה יש מרכיב ערכי ומדובר במערכת ערכים ודגמי התנהגות חדשים. כדי להנחילם, יש צורך להקים מערכת ארגונית חדשה הניזונה מערכים אלה ומשרתת אותם וזאת המיוחד לאור העובדה שבעשורים האחרונים מתחדדת ההכרה במימד הגלובלי – בינלאומי של בעיות הסביבה. מספרם של אמנות והסכמים בינלאומיים היוצרים מחויבות שניתן ליישמם רק באמצעות כלים ארגוניים ומסגרות חדשות גדל.

בתחום מתקפות סייבר על מתקנים תעשייתיים, דו"ח של מכון המחקר SANS שעסק באבטחת מתקני תעשיה משנת 2017, מצא כשלים וחוסר מודעות בתחום ההגנה על מערכות בקרה תעשייתיות. בדו"ח הופיע סקר ממנו עולה כי קרוב לשליש מבעלי המפעלים הניחו כי מערכת הבקרה של המפעל נפגעה על ידי קוד זדוני או נפרצה ברמה כזו או אחרת. תוצאות אלה שיקפו מצב שבו חלק מהמפעלים נעדרים כלים שמאפשרים לנטר את המערכות ולהגן עליהן ובמצב זה פעילות המפעלים בתחום זה אינה מיטבית.

בישראל, קיים ממשק רגולטורי בין המשרדים השונים שפועלים בתחום הגנת הסייבר וחומרים מסוכנים שבא לידי ביטוי באופן הבא: מערך הסייבר הלאומי שהחל משנת 2016 מחזיק באחריות למערכות ממוחשבות חיוניות ואחראי להנחיה של חלק ניכר מהמפעלים המפוקחים על המשרד במסגרת חוק החומרים המסוכנים וכן אחראי להנחיה מקצועית של המשרד להגנת הסביבה. משרד הביטחון אחראי על אבטחת מידע באותם גופים שפועלים על פי החוק ומחזיקים בהיתר רעלים. משרד האנרגיה והמים מבצע הכוונה ובקרה של תחום אבטחה של כל מתקני התשתית הפרטיים אשר בתחום אחריותו. משרד הבריאות למרות העדר מומחיות בתחום ההגנה על מערכות בקרה תעשייתיות שיש בהן חומרים מסוכנים מנהל מערך ביקורת והנחייה בהיבטי חומרים מסוכנים הקשורים לבריאות הציבור. משרד התחבורה מבצע הכוונה ובקרה של תחום אבטחת מידע במטרה לבחון היבטי חומרים מסוכנים בגופי התחבורה.

יש לציין כי למרות החלטת הממשלה מספר 2443, עד לאחרונה, מערך הסייבר הלאומי לא קבע משרדים מובילים באשר לטיפול בחומרים מסוכנים כאשר כשל זה נוגע במיוחד למשרד להגנת הסביבה שמתקשה ביישום הגנת סייבר בגופים מפוקחים. בין השאר, בשל העדר הקצאת משאבים מספקת והעדר כוח אדם מקצועי פנימי ולא חיצוני שאינו מצריך הסמכה. בנוסף, לא נעשה מיפוי של בעלי העניין – גורמי התעשייה בתחום החומ"ס העשויים להיות מושפעים מהרגולציה בתחום הסייבר לרבות התאמה אל מול רגולטורים אשר מופקדים על הסקטורים התעשייתיים בהיבטים שאינם סביבתיים.

בעניין זה, המשרד להגנת הסביבה, בדו"ח שעסק בחומרים מסוכנים והגנה אל מול התקפות סייבר הציע מספר חלופות לטיפול הממוסד כפי שפורט בהחלטות הממשלה דנן . בין השאר, עדכון והתאמה של רשימת מפעלים ואתרים עליהם תחול המדיניות (מעגלי סיבון) שיפעלו תחת הוראות החוק ויישומה של רגולציה לכלל העסקים והאתרים הסביבתיים תוך איפיון רמת הסיכון על פי פרמטרים מורכבים שונים. חלופה נוספת עוסקת בגורמים מפוקחים לפי החוק ותחול על כלל המפעלים באופן אינהרנטי על בסיס הערכת סיכון לציבור ולסביבה. על כל המפעלים יוחלו הדרישות לפי רמות הדירוג לקבלת היתר כפי שהן מוגדרות בתקנות החומרים המסוכנים (אמות מידה לקביעת תוקף היתרים), תשס״ג-2003 (דרגות B ,A ו- C). חלופה נוספת עניינה בפיקוח הדוק יותר על מפעלים בעלי רמת סיכון גבוהה – מפעלי SEVESO שהינם בעלי פוטנציאל הסיכון הגבוה ביותר וזאת ביחס למפעלים אחרים.

יש לציין כי הערכת סיכוני הסייבר מתייחסת לכל הפעילות ברשת Operation Technology, המכילה את רצפת הייצור שבה פועלות המערכות הממוחשבות הקשורות לחומרים מסוכנים או מטפלות בהם. בעניין זה, סיכונים הנובעים מפגיעה במערכות המידע הממוחשבות של המפעל שאינן ברצפת הייצור, ובכללן מערכות Information Technology – IT- כגון מערכות דוא״ל, גישה לאינטרנט, מידע רגיש עסקית, מידע בסיווג גבוה וכדומה – אינם מטופלים במסגרת הרגולציה בסייבר של המשרד להגנת הסביבה.

בעניין זה, המשרד להגנת הסביבה גיבש בשנת 2020 מדריך סייבר – עמידה בתנאים של היתר רעלים בתחום הסייבר בתעשייה שעוסק בין השאר בחישוב רמת סיכוני הסייבר כלפי תשתיות שבהן חומרים מסוכנים כאשר ניהול הסיכונים מבוסס על הערכת סיכונים המשקפת את מידת פגיעותן של מערכות ממוחשבות, הערכת האיומים, השלכותיהם ומידת ההיתכנות שלהם. הנחת היסוד במדריך זה שבתקיפת סייבר זדונית הפגיעה תהיה באופן שהחומר המסוכן ביותר ישוחרר וזאת על מנת להעצים את ממדי הפגיעה. הערכת סיכונים תעריך את רמת הנזק IMPACT שעלול להיגרם לסביבה או לבריאות הציבור אם יתרחש אירוע חומרים מסוכנים בעקבות מתקפת סייבר. כל אחת מהמערכות הממוחשבות בעסק המערבות חומ״ס תסווג לאחת מארבע קבוצות לפי הערכת הסיכון שלה ותנוקד בהתאם כמפורט להלן:

רמה 1: פוטנציאל סיכון נמוך; רמה 2: פוטנציאל סיכון בינוני; רמה 3: פוטנציאל סיכון גבוה; רמה 4: פוטנציאל סיכון גבוה מאוד.

בנוסף המדריך דנן מציע מתווה ביקורת שמבוסס, בין השאר, על המאפיינים הבאים:

מיפוי מערכות וכתיבת מדיניות אבטחת מידע למערכות מחשוב ובקרת חומ״ס – מיפוי של כל החומרים המסוכנים אשר מטופלים במערכות ממוחשבות; מיפוי כל מערכות המחשוב, הרשת, הבקרה, החישה והאוטומציה בעסק שעסקות בין היתר, באחסון, שימוש, זרימה, ייצור, שינוע, השמדה וגילוי חריגות ודליפות של חומרים מסוכנים. מדובר במערכות שיש בהם פוטנציאל פגיעה.

בדיקת חדירות (Penetration Test) – אחת לשנתיים בדיקת חדירות בעזרת מומחה אבטחת מידע, אשר תכלול לפחות: בדיקת עמידות מערכות המחשוב ובקרת החומ״ס להתקפה מחוץ לעסק ; בדיקת עמידות מערכות המחשוב ובקרת החומ״ס להתקפה מרשת lT-n בעסק; בדיקת עמידות מערכות המחשוב ובקרת החומ״ס לתוקף בעל גישה פיזית לעמדות תפעול ולארונות התקשורת והבקרים.

בקרת גישה בסיסית – הגנה על עמדות המחשוב ; גיבוש מתווה של שתי רמות הרשאות ברמת מערכת ההפעלה ; הגדרת הרשאות גישה אפליקטיביות למשתמשים מורשים; הגדרת בעלי תפקיד המורשים לבצע שינויי הגדרות ופעולות תחזוקה לבקרים, חיישנים ורכיבי SCADA.

בקרת גישה מתקדמת – עדכון רבעוני של רשימת המשתמשים מורשי גישה למערכות מחשוב ובקרת חומ״ס; הגבלת התחברות משתמש למערכת לאחר 5 ניסיונות התחברות כושלים; אכיפה של מדיניות העוסקת בהתחברות לרשת התפעולית מרחוק למערכות מחשוב ואוטומציה של חומ״ס והצפנה מקצה לקצה ומזוהה אישית בהזדהות חזקה (2FA) ; איסור וחסימה של גישה למערכות מחשוב ובקרת חומ״ס מרשתות אלחוטיות של העסק ; אכיפה של מדיניות מאובטחת של סיסמאות ; שינויים קריטיים בעמדות HMI דוגמת שינויי לחצים, טמפרטורות וזרימה תידרש הקפצת חלון הדורש הזדהות נוספת.

מניעת קוד זדוני בסיסית / מתקדמת –  הטמעה של כלים לזיהוי ולמניעה של קוד זדוני על תחנות עבודה ושרתים בעסק ; הטמעה של כלים לזיהוי וחסימת נוזקות ברמת הרשת; הפעלת אמצעים לזיהוי ומניעה IDS/IPS, המתבססים על זיהוי התנהגות החורגת מהתנהגות מקובלת וסבירה (זיהוי אנומליה ברשת והתנהגות עמדה/משתמש); ניהול באמצעות מערכת בקרה מרכזית (SIEM) את כלל כלי מניעת הקוד הזדוני ואבטחת המידע בעסק.