Nhu cầu ngày càng tăng về an ninh mạng trong tự động hóa công nghiệp
Các hệ thống tự động hóa công nghiệp trước đây được thiết kế xoay quanh tính sẵn sàng, độ tin cậy và khả năng kiểm soát quy trình thay vì an ninh mạng. Nhiều PLC, hệ thống SCADA, thiết bị I/O từ xa và mạng công nghiệp hoạt động trong các môi trường biệt lập, nơi các mối đe dọa mạng được cho là khó xảy ra.
Tuy nhiên, môi trường công nghiệp đã thay đổi đáng kể. Sự mở rộng của Ethernet công nghiệp, giám sát từ xa, kết nối đám mây và hoạt động sản xuất dựa trên dữ liệu đã xóa bỏ nhiều ranh giới truyền thống giữa công nghệ vận hành (OT) và công nghệ thông tin (IT).
Ngày nay, một bộ điều khiển tự động hóa hoặc thiết bị hiện trường thông minh không còn chỉ là một thành phần điều khiển. Nó cũng là một tài sản kỹ thuật số được kết nối, có thể trở thành một điểm xâm nhập tiềm tàng cho kẻ tấn công.
Patrick Ho của Rockwell Automation đã tóm lược sự chuyển dịch này bằng một nguyên tắc đơn giản: nếu một thiết bị công nghiệp được kết nối, thiết bị đó phải được bảo vệ. Ý tưởng này phản ánh sự thay đổi căn bản trong cách các nhà sản xuất và đơn vị vận hành tiếp cận vấn đề bảo mật hệ thống công nghiệp.
Bảo mật OT đã trở thành yêu cầu cốt lõi đối với ngành công nghiệp hiện đại
Bối cảnh an ninh mạng công nghiệp đã phát triển qua một số sự kiện lớn, trong đó cuộc tấn công Stuxnet năm 2010 trở thành một bước ngoặt mang tính quyết định. Sự kiện này cho thấy các mối đe dọa mạng có thể vượt ra ngoài việc đánh cắp dữ liệu và tác động trực tiếp đến các quy trình công nghiệp vật lý.
Kể từ đó, các tiêu chuẩn an ninh mạng và chiến lược bảo vệ OT tiếp tục phát triển. Các tổ chức hiện nhận ra rằng bảo vệ hệ thống sản xuất không chỉ là trách nhiệm của bộ phận IT mà còn là một yêu cầu kỹ thuật quan trọng.
Sự hội tụ giữa IT và OT đã tạo ra một bề mặt tấn công lớn hơn. Các mạng công nghiệp hiện bao gồm PLC, HMI, máy tính công nghiệp, hệ thống an toàn, bộ truyền động, cảm biến và các giải pháp truy cập từ xa, tất cả đều cần được quản lý bảo mật phối hợp.
Theo góc nhìn của tôi với tư cách là một kỹ sư tự động hóa, an ninh mạng hiện nên được xem là một phần của toàn bộ vòng đời thiết bị, tương tự như thiết kế điện, an toàn chức năng và lập kế hoạch bảo trì. Một máy móc hoạt động hoàn hảo nhưng thiếu các biện pháp kiểm soát bảo mật vẫn có thể gây ra rủi ro vận hành nghiêm trọng.
Các quy định đang thúc đẩy yêu cầu bảo mật cao hơn đối với thiết bị công nghiệp
Các chính phủ và cơ quan quản lý công nghiệp trên toàn thế giới đang tăng cường các yêu cầu về an ninh mạng đối với các lĩnh vực cơ sở hạ tầng trọng yếu, bao gồm năng lượng, xử lý nước, giao thông vận tải và sản xuất.
Các khu vực như châu Âu, Úc, New Zealand, Nhật Bản, Singapore và Trung Quốc đang ban hành hoặc tăng cường các khung an ninh mạng, yêu cầu các tổ chức chứng minh khả năng bảo vệ tốt hơn cho các hệ thống thiết yếu.
Đối với các nhà sản xuất thiết bị công nghiệp, điều này có nghĩa là an ninh mạng không còn có thể được xem là một tính năng tùy chọn bổ sung sau khi sản xuất. Các nhà cung cấp ngày càng phải chứng minh sản phẩm được thiết kế, cấu hình, bảo trì và giám sát như thế nào trong suốt thời gian sử dụng.
Định hướng tương lai rất rõ ràng: các tài sản công nghiệp sẽ cần thông tin bảo mật được ghi chép theo cách tương tự như máy móc hiện nay đã cần thông số kỹ thuật, chứng nhận an toàn và hồ sơ bảo trì.
Khái niệm Giấy khai sinh An ninh mạng
Khái niệm giấy khai sinh an ninh mạng của Rockwell Automation giải quyết một trong những thách thức lớn nhất trong quản lý tài sản công nghiệp: biết chính xác những gì đang tồn tại bên trong một hệ thống tự động hóa.
Các máy móc công nghiệp hiện đại có thể chứa hàng trăm thành phần phần cứng và phần mềm, bao gồm bộ điều khiển, mô-đun truyền thông, phiên bản chương trình cơ sở, thiết bị mạng và công nghệ tích hợp. Nếu không có hồ sơ chính xác, việc xác định lỗ hổng trở nên cực kỳ khó khăn.
Giấy khai sinh an ninh mạng cung cấp khả năng truy xuất nguồn gốc từ thời điểm sản phẩm được sản xuất. Tài liệu này có thể ghi lại:
- Các thành phần phần cứng có trong hệ thống
- Phiên bản chương trình cơ sở và phần mềm
- Cấu hình bảo mật
- Thông tin về nguồn gốc sản phẩm
- Lịch sử theo dõi lỗ hổng
Phương pháp này tạo ra một danh tính số cho các tài sản công nghiệp, cho phép người vận hành nắm được trạng thái bảo mật trong suốt vòng đời của thiết bị.
Theo quan điểm của tôi, khái niệm này thể hiện sự phát triển tự nhiên của tài liệu công nghiệp. Hồ sơ thiết bị truyền thống cho kỹ sư biết máy móc vận hành như thế nào, còn hồ sơ an ninh mạng giải thích cách duy trì khả năng bảo vệ cho máy móc.
Nền tảng SecureOT và Giám sát Lỗ hổng Liên tục
Rockwell Automation đang tích hợp phương pháp bảo mật này vào SecureOT Platform, nền tảng tập trung vào việc xác định lỗ hổng và cải thiện khả năng hiển thị trong các môi trường công nghiệp.
Các đợt đánh giá an ninh mạng truyền thống thường phụ thuộc vào những lần đánh giá định kỳ. Tuy nhiên, các hệ thống công nghiệp có thể hoạt động trong nhiều thập kỷ, và lỗ hổng có thể xuất hiện rất lâu sau khi thiết bị được lắp đặt.
Giám sát liên tục mang lại giải pháp thiết thực hơn khi cho phép người vận hành xác định các rủi ro mới ngay khi chúng xuất hiện, thay vì chờ đến các đợt đánh giá theo lịch.
Đối với các kỹ sư tự động hóa và đội ngũ bảo trì, điều này chuyển an ninh mạng từ một nhiệm vụ cài đặt một lần thành một hoạt động vận hành liên tục.
Một chiến lược bảo trì công nghiệp hiện đại nên bao gồm:
- Quản lý vòng đời chương trình cơ sở
- Giám sát an ninh mạng
- Xác minh danh mục tài sản
- Đánh giá lỗ hổng
- Quy trình cập nhật có kiểm soát
Các hoạt động này đang trở nên quan trọng không kém việc bảo trì phòng ngừa đối với các hệ thống cơ khí và điện.
Thách thức trong việc bảo vệ thiết bị công nghiệp hiện có
Mặc dù việc áp dụng các tiêu chuẩn an ninh mạng trong quá trình sản xuất thiết bị mới tương đối đơn giản, việc nâng cấp các tài sản công nghiệp hiện có vẫn là một thách thức lớn.
Nhiều nhà máy vẫn vận hành các máy móc được lắp đặt từ hàng chục năm trước. Các hệ thống này có thể bao gồm PLC cũ, mạng truyền thông lỗi thời và các nền tảng phần mềm không còn được hỗ trợ.
Việc trang bị bổ sung các biện pháp kiểm soát an ninh mạng đòi hỏi kỹ thuật cẩn trọng vì tính sẵn sàng của sản xuất thường là ưu tiên cao nhất. Một cải tiến bảo mật không được gây ra thời gian ngừng hoạt động ngoài dự kiến hoặc cản trở các quy trình công nghiệp đã được thẩm định.
Do đó, ngành công nghiệp cần các chiến lược chuyển đổi thực tế nhằm cân bằng việc cải thiện an ninh mạng với các yêu cầu vận hành.
Các phương án khả thi bao gồm:
- Phân đoạn mạng giữa môi trường IT và OT
- Giải pháp truy cập từ xa an toàn
- Quản lý firmware được cập nhật
- Triển khai tường lửa công nghiệp
- Công cụ phát hiện và giám sát tài sản
An ninh mạng đang trở thành một phần của an toàn công nghiệp
Trong lịch sử, an toàn máy móc tập trung vào việc ngăn ngừa các mối nguy vật lý như chấn thương cơ học. Ngày nay, an ninh mạng ngày càng gắn liền với an toàn vì các sự cố mạng có thể tác động đến các quy trình trong thế giới thực.
Một bộ điều khiển, hệ thống an toàn hoặc mạng công nghiệp bị xâm phạm có thể tạo ra các điều kiện ảnh hưởng đến hoạt động của thiết bị và an toàn của nhân viên.
Điều này có nghĩa là các tiêu chuẩn công nghiệp trong tương lai có thể sẽ tiếp tục kết hợp các yêu cầu về an toàn chức năng và an ninh mạng.
Đối với các chuyên gia tự động hóa, điều này thể hiện một sự thay đổi lớn trong trách nhiệm kỹ thuật. Thiết kế một máy móc không còn chỉ là làm cho máy vận hành đúng cách; mà còn phải bảo đảm máy vẫn đáng tin cậy trong suốt vòng đời vận hành.
Kỷ nguyên mới của tính minh bạch đối với tài sản công nghiệp
Khái niệm giấy khai sinh an ninh mạng làm nổi bật một sự chuyển đổi rộng hơn trong tự động hóa công nghiệp: mọi tài sản được kết nối đều cần có lịch sử kỹ thuật số đầy đủ.
Khi các nhà máy trở nên thông minh và kết nối hơn, an ninh mạng sẽ trở thành một lĩnh vực kỹ thuật tiêu chuẩn bên cạnh kỹ thuật điều khiển, thiết kế điện và tối ưu hóa quy trình.
Phương pháp tiếp cận của Rockwell Automation cho thấy an ninh mạng công nghiệp đang chuyển từ bảo vệ phản ứng sang quản lý chủ động trong suốt vòng đời.
Môi trường công nghiệp trong tương lai sẽ phụ thuộc vào sự phối hợp giữa các nhà sản xuất, nhà tích hợp hệ thống và đơn vị vận hành để duy trì các hệ thống tự động hóa an toàn, có thể truy xuất nguồn gốc và có khả năng chống chịu. Danh tính của một máy móc sẽ không còn chỉ dừng ở số model hoặc số sê-ri; mà sẽ bao gồm hồ sơ an ninh mạng đầy đủ của máy.
