מה דורש קוד הסייבר המעודכן של סינגפור ממפעילי התשתיות הקריטיות?

הסיבה לכך מעשית: תוקפים עלולים להשתמש במערכות פחות מוגנות כנקודת כניסה לתשתית קריטית. בסינגפור אמרו כי גורמי איום מכוונים יותר ויותר למערכות שאינן מוגדרות כ-CII בדיוק בשל חולשה אפשרית זו.

2. אבטחת הסייבר הופכת לאחריות של הדירקטוריון כולו

לפי הגישה המעודכנת, האחריות לא תישאר אצל מחלקת ה-IT או אצל מנהל יחיד. הדירקטוריון וההנהלה הבכירה יידרשו לפקח יחד על סיכוני הסייבר ועל יכולת ההתאוששות של הארגון.

על הדירקטוריונים להחזיק מסגרת מתועדת לחוסן סייבר, שתכלול:

• את רמת הסיכון שהארגון מוכן לקבל;
• צעדים לצמצום הסיכון ולניהולו;
• אפשרויות להעברת סיכון, למשל באמצעות הסדרי ביטוח או חוזים; וכן
• סדרי עדיפויות ויכולות להתאוששות לאחר אירוע.

יש לבחון את המסגרת לפחות פעם בשנה.

המשמעות היא שחוסן סייבר הופך מחובת ציות חד-פעמית למשימה ניהולית חוזרת. הדירקטורים יידרשו להחליט לא רק כמה הארגון משקיע בהגנה, אלא גם איזה סיכון הוא מוכן לקבל וכיצד ימשיך לספק שירותים לאחר אירוע חמור.

3. הפיקוח יתרחב למערכות המקושרות לתשתית הקריטית

בעלי CII יצטרכו לפקח על מערכות שמתחברות ל-CII, מתקשרות איתה או תומכות בה. הדרישות המעודכנות כוללות גם חיזוק של ארכיטקטורת הרשת, ניהול הניטור והזיהוי, ותוכניות מקיפות לתרגילי סייבר ולתגובה מתואמת לאירועים.

מבחינה תפעולית, המשמעות היא שעל המפעילים לבנות מפת תלות מלאה יותר: מערכת שאינה נושאת את התווית הרשמית CII עדיין עשויה לדרוש בדיקה הדוקה אם היא מספקת נתיב כניסה לשירות חיוני או משפיעה על תהליך ההתאוששות לאחר מתקפה.

4. מערכות תומכות שאינן CII יידרשו להגיע לרמה 5

עד סוף 2027 יידרשו בעלי CII להשיג הסמכת Cyber Trust Mark, או CTM, ברמה 5 עבור מערכות שאינן CII, אך נמצאות בשליטתם ותומכות בפעילות העסקית או בשירותים שלהם. כך מתרחבת דרישת האבטחה אל מעבר למערכות שהוגדרו רשמית כתשתית קריטית.

רמה 5 היא הרמה הגבוהה ביותר במסגרת Cyber Trust של סינגפור. התוכנית כוללת תחומים כמו אבטחת סייבר בסיסית, אבטחת ענן, אבטחת טכנולוגיות תפעוליות ואבטחת מערכות AI.

המטרה היא לצמצם את הפער בין מערכת CII מוגנת היטב לבין התשתית הארגונית שסביבה — זו שעשויה לחלוק איתה פרטי גישה, כלי ניהול, רשתות או תהליכי התאוששות.

מדוע סינגפור מחמירה עכשיו?

AI מקצר את חלון הזמן להגנה

CSA מסרה כי הקוד המעודכן נועד להתמודד עם איומים מתקדמים ומתמשכים ועם איומים המופעלים באמצעות AI. בינה מלאכותית יכולה לאפשר לתוקפים לפעול במהירות, בהיקף ובתחכום גדולים יותר, ולהפעיל לחץ על ארגונים לזהות פעילות חשודה מוקדם יותר ולהגיב לכל סביבת ההפעלה — ולא רק לגבול הרשת.

לכן התגובה הרגולטורית אינה מסתכמת בהוספת כלי טכנולוגי אחד. היא משלבת זיהוי, ממשל תאגידי, הסמכות ותרגילים, כדי שמפעילים יוכלו לזהות חדירה, לקבל החלטות במהירות ולהחזיר שירותים חיוניים לפעילות גם אם מנגנוני המניעה נכשלו.

מתקפת UNC3886 הדגישה את חשיבותה האסטרטגית של התקשורת

ב-2025 כוונה מתקפת UNC3886 נגד ארבע מפעילות התקשורת הגדולות בסינגפור. הרשויות במדינה תיארו את הפעילות כקמפיין מכוון, מתוכנן היטב ובעל יכולות מתקדמות.

CSA זיהתה את UNC3886 כקבוצת APT בחסות מדינה, המשתמשת בטכניקות מתוחכמות — ובהן שימוש בכלים לגיטימיים שכבר קיימים במערכת וניצול חולשות מסוג zero-day — ומתמקדת בנכסים אסטרטגיים בעלי ערך, לרבות תשתיות קריטיות.

בתגובה הפעילה סינגפור את Operation CYBER GUARDIAN, מבצע מתואם שבו השתתפו גופי ממשל וחברות תקשורת. הרשויות מסרו כי האירוע נבלם ללא שיבוש בשירותי התקשורת, וכי לא נמצאו ראיות לפגיעה בנתוני לקוחות.

העובדה שלא דווח על הפסקת שירות אינה הופכת את האירוע לזניח עבור מגזרים אחרים. היא ממחישה מדוע תקשורת, אנרגיה, בריאות, פיננסים, תחבורה ושירותים חיוניים נוספים נחשבים יעדים אסטרטגיים — ומדוע סינגפור מרחיבה את הבקרה גם למערכות ולספקים הסובבים את ה-CII.

ענן ואבטחת ספקי צד שלישי הם השכבה הבאה

סינגפור מתכננת לפרסם במחצית השנייה של 2026 קוד נוהג נפרד ומחייב משפטית לאבטחת שירותי ענן. הקוד צפוי לעסוק בפריסה, בתפעול ובניהול מאובטחים של מערכות CII המתארחות בסביבות ענן.

CSA עבדה עם AWS, Google Cloud ו-Microsoft Azure על הנחיות יישום ייעודיות לכל ספק, ובהן תצורות מתאימות ושימוש ביכולות אבטחה מובנות בענן.

לוחות הזמנים להסמכה משתרעים גם על שרשרת האספקה בתחום הסייבר:

• מבקרי CII יידרשו להשיג CTM ברמה 5 עד סוף 2026;
• ספקים מורשים לבדיקות חדירה ולשירותי מרכזי תפעול אבטחה מנוהלים יידרשו להשיג CTM ברמה 3 עד סוף 2026;
• בעלי CII יידרשו להשיג CTM ברמה 5 עבור מערכות תומכות רלוונטיות עד סוף 2027.

העיקרון הרחב ברור: האבטחה של מפעיל תשתית קריטית תלויה לא רק בבקרות שהוא מפעיל בעצמו, אלא גם בגופים שמבקרים, מנטרים, בודקים ומארחים את המערכות שלו.

מה עדיין לא ברור?

הדרישות המעודכנות ל-CII כבר מופיעות בפרסומי CSA, אך החובות המפורטות במסגרת קוד הענן הנפרד עדיין מתגבשות. המידע הציבורי מגדיר את לוח הזמנים ואת הכיוון הכללי, אך טרם פירט במלואו את הדרישות לספקי ענן, לקבלני משנה ולהסדרי האחריות המשותפת.

לכן, סדר העדיפויות המיידי של מפעילי CII הוא לבחון את כל שרשרת התלות: התשתית שהוגדרה כ-CII, מערכות מקושרות, עומסי עבודה בענן, סביבות התאוששות, ספקים ושירותי אבטחה במיקור חוץ. הכיוון של מדיניות סינגפור ברור גם כשחלק מפרטי היישום עדיין ממתינים לפרסום: הגבול המוגן הופך למערכת האקולוגית התפעולית כולה — ולא רק למערכת שנושאת את התווית CII.