סייבר רכב: גיוס מומחים לרשתות הרכב ולעדכונים מרחוק

בקצרהמומחה סייבר רכב מאבטח את הרשתות הפנימיות של הרכב, את יחידות הבקרה, את התקשורת לענן ואת העדכונים מרחוק, ומתעד את הכול לפי דרישות הרגולציה של הענף. בגיוס בודקים ניסיון במערכות משובצות, הבנה של ניתוח איומים לפי תקני הענף ויכולת לעבוד מול ספקים ויצרנים.

סייבר רכב: למה הרכב הפך למערכת שצריך להגן עליה

רכב חדש הוא רשת של מחשבים על גלגלים. עשרות יחידות בקרה מדברות זו עם זו, מערכת המולטימדיה מחוברת לטלפון, יחידת התקשורת מחוברת לענן, והיצרן שולח עדכוני תוכנה בלי שהרכב נכנס למוסך. כל חיבור כזה הוא גם דלת שמישהו יכול לנסות לפתוח.

התחום שעוסק בזה נקרא סייבר רכב, והוא שונה מאבטחת מידע ארגונית. הנכס המוגן הוא לא רק מידע אלא גם ההיגוי, הבלמים והבטיחות של מי שיושב בפנים. לכן מי שעובד בו צריך לחשוב כמו תוקף ולהבין כמו מהנדס רכב.

בישראל פועלות כיום חברות סייבר רכב לצד מרכזי פיתוח של יצרנים וספקים בינלאומיים, ורבים מהמועמדים צמחו ביחידות הטכנולוגיה בצבא או במחקר חולשות. התחרות על אותם אנשים חזקה, ולכן מעסיק שמבין מה הוא מחפש מגיע אליהם מהר יותר.

רשתות הרכב ועדכונים מרחוק: איפה נמצאות החולשות

הלב הטכני של התחום הוא הרשתות הפנימיות של הרכב, שתוכננו במקור לאמינות ולא לאבטחה. מסר שנשלח ברשת כזו לרוב אינו מאומת, ולכן מי שהשיג גישה לרכיב אחד עלול לשלוח פקודות לרכיבים אחרים. מומחה טוב יודע לזהות את המעברים בין אזורי הרשת ולתכנן הפרדה ביניהם.

הזירה השנייה היא העדכונים מרחוק. עדכון כזה חוסך ליצרן ריקול פיזי, אבל אם שרשרת החתימות והאימות לא בנויה נכון, הוא יכול להפוך לנתיב החדרה של קוד זדוני לצי שלם של רכבים. הזירה השלישית היא הממשקים החיצוניים: אפליקציית הבעלים, טעינה של רכב חשמלי, מפתח דיגיטלי ותקשורת בין רכבים לתשתית בכביש.

התקנים והרגולציה שמגדירים את העבודה

כיום הענף כבר עבר מהמלצות לחובה. תקנת האו״ם לניהול סיכוני סייבר ברכב, שהאיחוד האירופי ושווקים נוספים מחייבים לצורך אישור דגם, דורשת מהיצרן מערכת ניהול סייבר לאורך כל חיי הרכב. תקנה מקבילה עוסקת בניהול עדכוני תוכנה. לצידן עומד התקן הבינלאומי להנדסת אבטחת סייבר ברכבי כביש, שמגדיר איך מנתחים איומים ומתעדים החלטות.

המשמעות לגיוס ברורה. יצרן או ספק שמגייס איש סייבר רכב צריך מישהו שיודע לא רק למצוא חולשה, אלא גם לבנות ניתוח איומים מסודר, לנמק כל דרישת אבטחה ולהעביר את התיעוד לביקורת של הלקוח או של הגוף המאשר.

הדרישות האלה גם משפיעות על לוחות הזמנים. ניתוח איומים צריך להתחיל כבר בשלב התכנון של הרכיב, ולא אחרי שהקוד נכתב, ולכן מומחה שמצטרף מאוחר לפרויקט מוצא את עצמו מתקן במקום לתכנן. מעסיק שמגייס בזמן חוסך שינויים יקרים בהמשך הדרך.

התפקידים: מארכיטקט אבטחה ועד חוקר שתוקף רכיבים

בצד ההנדסי נמצאים ארכיטקטי אבטחה לרכב, שמגדירים את מבנה הרשת, את ניהול המפתחות ואת שרשרת האתחול המאובטח, ומהנדסי אבטחה למערכות משובצות שמיישמים את זה בקושחה. לידם עובדים מומחי ניתוח איומים, שמחזיקים את התיעוד ואת הקשר מול הרגולציה והלקוח.

בצד ההתקפי עובדים בודקי חוסן לרכב וחוקרי חולשות, שמפרקים יחידות בקרה, מנתחים קושחה ותוקפים את הממשקים לפני שמישהו אחר יעשה את זה. הפרופיל הזה קרוב מאוד לעבודה שמתוארת בתחום הסייבר ההתקפי והמחקר, עם תוספת של ידע בחומרה ובפרוטוקולים של הרכב. בחברות שמפתחות פתרונות הגנה לרכב יש גם תפקידי מוצר ופרי־סייל, שבהם מסבירים ליצרן איך הפתרון עונה על הדרישות.

איך מגייסים מומחה סייבר רכב שמתאים לצוות

מתחילים בהגדרה כנה של הצורך. ספק שצריך לעמוד בדרישות של יצרן מחפש בעיקר מומחה תהליך ותיעוד, וחברה שבונה מוצר הגנה מחפשת מהנדס או חוקר. מועמד שמצטיין באחד מהם אינו בהכרח מתאים לשני, וכשמערבבים את שניהם בהגדרה אחת, המשרה נשארת פתוחה זמן רב.

בראיון המקצועי כדאי לבקש מהמועמד לנתח איום על רכיב אמיתי מתוך המוצר שלכם: מה התוקף רוצה, באיזה נתיב יגיע, מה החומרה ומה הבקרה המוצעת. כך רואים גם עומק טכני וגם יכולת לנמק. מועמדים מגיעים לתחום מכמה כיוונים, מהנדסת מערכות משובצות, ממחקר חולשות ומאבטחת IoT, ושווה לחפש בכולם.

בדיקת הרקע נעשית בשיחות עם ממליצים שעבדו לצד המועמד בפרויקטים דומים, כדי להבין איך הוא עובד מול ספקים, מול לוחות זמנים של פיתוח ומול ביקורת חיצונית. ההיכרות עם הצוות שלכם ועם הפרויקט נעשית בשיחת וידאו, ומשם עוברים לחיפוש ממוקד בקרב מועמדים שכבר עבדו על בעיות דומות לשלכם.

AI האנטרס: גיוס מומחי סייבר רכב שמבינים גם את ההנדסה

ב-AI האנטרס אנחנו מגייסים מומחי סייבר לתעשייה, לתשתיות ולענף הרכב, ומכירים את השילוב הנדיר של ידע באבטחה ובהנדסה שהתפקידים האלה דורשים. אנחנו מבינים את ההבדל בין חוקר שתוקף יחידות בקרה לבין מומחה שמוביל ניתוח איומים לקראת אישור דגם, ומציגים רק מועמדים שמתאימים לצורך שהגדרתם.

תהליך העבודה מתחיל בשיחת וידאו עם מי שינהל את המגויס, ממשיך בשיחה מקצועית עם כל מועמד ומסתיים בבדיקת רקע מול ממליצים. אפשר להכיר את כל התפקידים שאנחנו מגייסים אליהם בעמוד האבטחה לתשתיות ולמערכות תעשייתיות, ולשלוח לנו את המשרה הפתוחה כבר היום.