Sve veća potreba za sajber-bezbednošću u industrijskoj automatizaciji
Sistemi industrijske automatizacije istorijski su projektovani imajući u vidu dostupnost, pouzdanost i upravljanje procesima, a ne sajber-bezbednost. Mnogi PLC-ovi, SCADA sistemi, uređaji za udaljeni I/O i industrijske mreže radili su u izolovanim okruženjima u kojima su sajber-pretnje smatrane malo verovatnim.
Međutim, industrijska okruženja su se značajno promenila. Širenje industrijskog Etherneta, daljinskog nadzora, povezivanja sa oblakom i proizvodnje zasnovane na podacima uklonilo je mnoge tradicionalne granice između operativne tehnologije (OT) i informacione tehnologije (IT).
Danas automatizacioni kontroler ili inteligentni terenski uređaj više nije samo upravljačka komponenta. On je i povezano digitalno sredstvo koje može postati potencijalna ulazna tačka za napadače.
Patrick Ho iz kompanije Rockwell Automation sažeo je ovu promenu jednostavnim principom: ako je industrijski uređaj povezan, mora biti zaštićen. Ova ideja odražava fundamentalnu promenu u načinu na koji proizvođači i operateri pristupaju bezbednosti industrijskih sistema.
OT bezbednost postala je osnovni zahtev moderne industrije
Pejzaž industrijske sajber-bezbednosti razvijao se kroz nekoliko velikih događaja, pri čemu je napad Stuxnet 2010. godine postao prelomni trenutak. Pokazao je da sajber-pretnje mogu prevazići krađu podataka i direktno uticati na fizičke industrijske procese.
Od tada su standardi sajber-bezbednosti i strategije zaštite OT sistema nastavili da se razvijaju. Organizacije sada prepoznaju da zaštita proizvodnih sistema nije samo odgovornost IT-a, već i ključni inženjerski zahtev.
Konvergencija IT-a i OT-a proširila je površinu za napade. Industrijske mreže sada obuhvataju PLC-ove, HMI-jeve, industrijske računare, bezbednosne sisteme, pogone, senzore i rešenja za udaljeni pristup, što sve zahteva koordinisano upravljanje bezbednošću.
Iz svoje perspektive inženjera automatizacije, smatram da sajber-bezbednost sada treba posmatrati kao deo celokupnog životnog ciklusa opreme, baš kao i električno projektovanje, funkcionalnu bezbednost i planiranje održavanja. Mašina koja radi besprekorno, ali nema bezbednosne kontrole, i dalje može predstavljati ozbiljan operativni rizik.
Propisi podižu očekivanja u pogledu bezbednosti industrijske opreme
Vlade i industrijski regulatori širom sveta pooštravaju zahteve za sajber-bezbednost u sektorima kritične infrastrukture, uključujući energetiku, tretman vode, transport i proizvodnju.
Regioni kao što su Evropa, Australija, Novi Zeland, Japan, Singapur i Kina uvode ili jačaju okvire za sajber-bezbednost koji od organizacija zahtevaju da dokažu bolju zaštitu ključnih sistema.
Za proizvođače industrijske opreme, to znači da sajberbezbednost više ne može da se tretira kao opcionalna funkcija dodata nakon proizvodnje. Dobavljači će sve češće morati da dokažu kako su proizvodi projektovani, konfigurisani, održavani i nadzirani tokom čitavog radnog veka.
Pravac razvoja u budućnosti je jasan: industrijska imovina zahtevaće dokumentovane bezbednosne informacije na isti način na koji mašine već zahtevaju tehničke specifikacije, sertifikate o bezbednosti i zapise o održavanju.
Koncept izvoda iz matične knjige sajberbezbednosti
Koncept izvoda iz matične knjige sajberbezbednosti kompanije Rockwell Automation rešava jedan od najvećih izazova u upravljanju industrijskom imovinom: tačno utvrđivanje svega što se nalazi unutar sistema automatizacije.
Savremene industrijske mašine mogu sadržati stotine hardverskih i softverskih komponenti, uključujući kontrolere, komunikacione module, verzije firmvera, mrežne uređaje i ugrađene tehnologije. Bez tačnih zapisa, prepoznavanje ranjivosti postaje izuzetno teško.
Izvod iz matične knjige sajberbezbednosti obezbeđuje sledljivost od trenutka proizvodnje proizvoda. Može dokumentovati:
- Hardverske komponente obuhvaćene sistemom
- Verzije firmvera i softvera
- Bezbednosne konfiguracije
- Informacije o poreklu proizvoda
- Istorija praćenja ranjivosti
Ovaj pristup stvara digitalni identitet industrijske imovine, omogućavajući operaterima da razumeju stanje bezbednosti tokom čitavog životnog ciklusa opreme.
Po mom mišljenju, ovaj koncept predstavlja prirodan razvoj industrijske dokumentacije. Tradicionalni zapisi o opremi govore inženjerima kako mašina radi, dok zapisi o sajberbezbednosti objašnjavaju kako mašina može ostati zaštićena.
Platforme SecureOT i kontinuirani nadzor ranjivosti
Kompanija Rockwell Automation integriše ovaj pristup bezbednosti u svoju platformu SecureOT, koja je usmerena na prepoznavanje ranjivosti i poboljšanje vidljivosti u industrijskim okruženjima.
Tradicionalne provere sajberbezbednosti često se oslanjaju na periodične procene. Međutim, industrijski sistemi mogu raditi decenijama, a ranjivosti se mogu pojaviti dugo nakon instalacije opreme.
Kontinuirani nadzor pruža praktičnije rešenje jer operaterima omogućava da prepoznaju nove rizike čim se pojave, umesto da čekaju zakazane provere.
Za inženjere automatizacije i timove za održavanje, ovo menja sajberbezbednost iz jednokratnog zadatka instalacije u stalnu operativnu aktivnost.
Savremena strategija industrijskog održavanja treba da obuhvati:
- Upravljanje životnim ciklusom firmvera
- Nadzor mrežne bezbednosti
- Provera inventara imovine
- Procena ranjivosti
- Kontrolisani procesi ažuriranja
Ove aktivnosti postaju podjednako važne kao preventivno održavanje mehaničkih i električnih sistema.
Izazov zaštite postojeće industrijske opreme
Iako je primena standarda sajberbezbednosti tokom proizvodnje nove opreme relativno jednostavna, unapređenje postojećih industrijskih sredstava i dalje predstavlja veliki izazov.
Mnoge fabrike i dalje koriste mašine instalirane pre više decenija. Ti sistemi mogu obuhvatati zastarele PLC-ove, zastarele komunikacione mreže i softverske platforme za koje više ne postoji podrška.
Naknadna ugradnja kontrola sajberbezbednosti zahteva pažljivo inženjersko planiranje, jer je dostupnost proizvodnje često najviši prioritet. Poboljšanje bezbednosti ne sme izazvati neočekivani zastoj niti ometati validirane industrijske procese.
Zato su industriji potrebne praktične strategije migracije koje uspostavljaju ravnotežu između unapređenja sajberbezbednosti i operativnih zahteva.
Mogući pristupi obuhvataju:
- Segmentacija mreže između IT i OT okruženja
- Bezbedna rešenja za daljinski pristup
- Ažurirano upravljanje firmverom
- Uvođenje industrijskih zaštitnih zidova
- Alati za otkrivanje i nadzor sredstava
Sajberbezbednost postaje deo industrijske bezbednosti
Istorijski gledano, bezbednost mašina bila je usmerena na sprečavanje fizičkih opasnosti, kao što su mehaničke povrede. Danas je sajberbezbednost sve više povezana sa bezbednošću, jer sajberincidenti mogu uticati na procese u stvarnom svetu.
Kompromitovani kontroler, bezbednosni sistem ili industrijska mreža mogu stvoriti uslove koji utiču na rad opreme i bezbednost osoblja.
To znači da će budući industrijski standardi verovatno nastaviti da objedinjuju zahteve funkcionalne bezbednosti i sajberbezbednosti.
Za stručnjake za automatizaciju, ovo predstavlja veliki pomak u inženjerskoj odgovornosti. Projektovanje mašine više se ne svodi samo na to da ona ispravno radi; potrebno je i obezbediti da ostane pouzdana tokom čitavog svog radnog veka.
Nova era transparentnosti industrijskih sredstava
Koncept izvoda iz matične knjige sajberbezbednosti naglašava širu transformaciju u industrijskoj automatizaciji: svako povezano sredstvo mora imati kompletnu digitalnu istoriju.
Kako fabrike postaju inteligentnije i povezanije, sajberbezbednost će postati standardna inženjerska disciplina, uporedo sa upravljačkim inženjerstvom, projektovanjem električnih sistema i optimizacijom procesa.
Pristup kompanije Rockwell Automation pokazuje da se industrijska sajberbezbednost pomera sa reaktivne zaštite ka proaktivnom upravljanju tokom čitavog životnog ciklusa.
Buduće industrijsko okruženje zavisiće od toga da proizvođači, sistem-integratori i operateri rade zajedno na održavanju bezbednih, sledljivih i otpornih sistema automatizacije. Identitet mašine više se neće završavati njenim modelom ili serijskim brojem; obuhvataće njen kompletan profil sajberbezbednosti.
