סיכוני סייבר במערכות אבטחה והצורך הקריטי באבטחת תשתיות וידאו

טכנולוגיות האבטחה הפכו למקושרות וחכמות יותר, אך יחד עם תחכום זה מתגבר גם הסיכון מהתקפות סייבר על מערכות אלו. כל מצלמה או התקן IoT המחוברים לרשת עשויים לשמש כשער הקורא לפורץ. על נושא בוער זה בראיון שקיימנו עם רוב ינסנס, מנהל תחום אבטחת הסייבר לאזור EMEA בחברת Hikvision.

מאת: עירד גיל וחן יודלביץ

מצודה – מגזין האבטחה של ישראל, גיליון 54, יולי 2025, עמ’ 19

טכנולוגיות האבטחה הפכו למקושרות וחכמות יותר, אך קישוריות אלו מגבירות את הסכנה מהתקפות סייבר. סכנה זו הפכה בשנים האחרונות לאחד הנושאים הבוערים ביותר בתחום. בתחילת יוני הגיע לישראל לסדרת סדנאות ומפגשים רוב ינסנס, מנהל תחום אבטחת הסייבר לאזור EMEA בחברת Hikvision, אחד מהמומחים הגדולים היום בעולם לתחום זה, שניאות להעניק לנו ראיון זה.

נוף איומים מורכב

״אבטחת סייבר במערכות אבטחה אינה מסתכמת בהגנה על המוצר עצמו, אלא בהגנה על כלל המערכת האקולוגית״, מסביר רוב. ״שרשרת האספקה של כל מערכת אבטחה כוללת יועצים, אינטגרטורים, מתקינים ומשתמשי קצה, ולכל אחד מהם אחריות בשמירה על ‘היגיינת סייבר’.״

לדבריו, אחד הסיכונים המרכזיים נובע מהטמעה לקויה של מערכות: ״המערכות של Hikvision כוללות מאפייני אבטחה מתקדמים, אך אם האינטגרטור לא יעדכן גרסאות או יותיר הגדרות לא מאובטחות, כמו פתיחת פורטים, ייווצרו פגיעויות למערכת.״

הפרדה בין מיתוס למציאות

רוב מדגיש את ההבחנה בין בעיות סייבר אמיתיות לבין מחלוקות המבוססות על תפיסה שגויה, ונכון לגעת בסוגייה רגישה מאין כמותה לחברה אותה הוא מייצג.

״בשנים האחרונות שורבב שמה של חברת Hikvision בהקשר ל-NDAA האמריקאי, כאשר התובנה הכללית הייתה שישנה בעיית סייבר כללית לציוד ומערכות של החברה, ואי לכך יש מניעה מהתקנות מערכות של החברה. עם זאת״, וכפי שמבהיר רוב:

״ה-NDAA הוא, בראש ובראשונה, לא תקן סייבר. מדובר במסמך פנים-אמריקאי המנחה אנשי רכש בגופים פדרליים בארה״ב, והוא אינו רלוונטי לגבי גופים שאינם פדרליים בתוך ארה״ב – לא ברמה המדינתית או העירונית, ובוודאי שלא לישראל או למדינות אחרות בעולם.״

תקנים והסמכות גלובליים

חברת Hikvision, שהינה היצרן הגדול בעולם של מערכות צילום, המודעת היטב לרוח הנושבת ול״סימון״ של יצרנים סינים כלא לגיטימיים, עושה כל שביכולתה על מנת לעמוד בכל תקן אבטחת מידע ברמה הגלובלית.

כחלק מההיערכות לרגולציות משתנות, אימצה החברה שורה של מסגרות אבטחת מידע מהמובילות בעולם. בין היתר, מחזיקה החברה בתקנים:
ISO 27701, ISO 27001, EN 303645 ETSI, CSA STAR למכשירי IoT, וכן בתקן החדשני ISO 42001 – תקן ראשון מסוגו לממשל תבוני (AI Governance).

החברה גם שותפה רשמית במנגנון הדיווח הגלובלי לפגיעויות CNA, כחלק ממחויבותה לעולם הסייבר. ניתן לומר בוודאות שאין בעולם חברה שעומדת בכל התקנים בהם נבדקו ואושרו הפתרונות של חברת Hikvision.

אבטחת שכבת המידע

שאלה קריטית לכל מנהל אבטחה היא כיצד להבטיח העברת מידע בטוחה בין מצלמות ליחידות הקלטה (NVR).

רוב מבקש להדגיש:
״בעולם שבו האבטחה הפיזית חזקה רק בהלימה להגנה הדיגיטלית שלה – אבטחת סייבר חייבת להיות בסיס, ולא תוספת. בין אם אתם אחראים על מגדל משרדים, מרכז מסחרי או אתר רגיש של הממשלה – הגנה על תשתית הווידאו מפני מתקפות סייבר כבר אינה רשות. זו חובה.״

עשרת הדיברות שכל איש אבטחה צריך ליישם

1. עדכון קבוע של קושחה ותוכנה
   שמירה על גרסאות עדכניות למניעת ניצול פרצות מוכרות.
   
2. יישום מדיניות סיסמאות חזקות
   שימוש בסיסמאות מורכבות והחלפתן באופן תקופתי.
   
3. שימוש באימות דו־שלבי (MFA)
   הוספת שכבת הגנה קריטית מעבר לסיסמה בלבד.
   
4. הפרדת רשתות
   ניהול מערכות וידאו ואבטחה ברשת נפרדת ממערכות משרדיות.
   
5. אימוץ עקרון “Zero Trust”
   אין אמון בברירת מחדל – כל גישה נבחנת ומאומתת.
   
6. שימוש בחומות אש, סורקי פגיעויות ומערכות IDS
   זיהוי מוקדם של ניסיונות חדירה ופעילות חריגה.
   
7. הגבלת גישה לפי עקרון המידתיות
   כל משתמש מקבל רק את ההרשאות הנדרשות לתפקידו.
   
8. ניטור תעבורת מידע ופעילות IP חשודה
   מעקב רציף אחר תעבורה חריגה או דפוסי תקיפה.
   
9. הכשרת צוותים נגד דיוג והנדסה חברתית
   חיזוק החוליה האנושית – לרוב נקודת התורפה המרכזית.
   
10. דיווח על תקריות בערוצים מוסמכים
    תגובה מהירה, מתועדת ומתואמת לאירועי אבטחת מידע.

עשר הדיברות להיגיינת סייבר

רוב הינו חד-משמעי: Hikvision פועלת לפי עקרונות של design-by-security ו-left-shift, כאשר יותר מ-50 מנגנוני אבטחה משולבים כבר בשלב הפיתוח, וביניהם: חומרה מוגנת מפני חבלה, בקרות גישה מבוססות תפקידים, תקשורת מוצפנת, חומות אש מובנות ומנגנוני תיעוד ובקרה.

רוב מדגיש כי לחברה אין גישה לנתוני הווידאו של הלקוחות – ואין לחברה אפשרות לגשת למידע המאוחסן או מועבר על ידי המשתמש הסופי.

בינה מלאכותית, זיהוי פריצות ואיומי הדור הבא

כשהבינה המלאכותית הופכת לנפוצה, גם בצד ההגנה וגם בצד התוקפים, יש צורך באסטרטגיית סייבר מתקדמת.
״חברת היקוויז’ן משלבת AI כחלק מהחומרה, הן לשיפור היכולת המבצעית והן כחלק מהפתרון לאבטחת המידע.״

רוב מדגיש את החשיבות העצומה לשילוב מערכות לזיהוי חדירות (IDS) ברשתות מורכבות, וממליץ על פתרונות כגון: Rapid7, Nessus Tenable, Insight או מערכות מקומיות.

במסגרת ההשקעה הגוברת בתחום הסייבר למוצרי IoT, החלה החברה לשתף פעולה עם ״סיטדל סייבר סקיוריטי״ – חברה ישראלית המתמחה בבדיקת פגיעויות. סיטדל ביצעה סקירה ראשונית של מערכות האבטחה של החברה, כולל בדיקת חולשות מוכרות והגדרות מערכת. המבחנים בוצעו בסביבה מבוקרת וכללו ניתוח ידני של מגוון ממשקי התקנים. התוצאות היו חיוביות מאוד, ואישרו שהמערכות עומדות בתקני האבטחה הגבוהים ביותר ועברו את כל הבדיקות הקריטיות בהצלחה.