Zapewnienie większego bezpieczeństwa IT w branży przemysłowej

Nasze potrzeby i zdolności do dzielenia się informacją z innymi wzrastają wykładniczo. Od handlu elektronicznego zaczynając, a na komunikacji z systemem zaopatrzenia oraz z innymi partnerami kończąc – nasza własność intelektualna jest bardziej eksponowana, równocześnie stając się w coraz większym stopniu podstawą naszej przewagi nad konkurencją.

Technologie, takie jak Internet czy komunikacja bezprzewodowa, ciągle nas kuszą, ponieważ mogą zapewnić łączność. Już nawet urządzenia na poziomie hal fabrycznych oferują usługi internetowe jako źródło informacji dla odbiorców zewnętrznych. Coraz popularniejsza „odchudzona” produkcja (jak wszystko, co wymaga zdecydowanych cięć) zwiększa jednak ryzyko. Wymusza to wzrost bezpieczeństwa w zdefiniowanej tzw. infrastrukturze krytycznej, w skład której wchodzi wiele działów wykorzystujących przemysłowe automatyczne systemy sterowania, a w szczególności w następujących obszarach:

• Magazynowanie/dostawy gazu i ropy
• System dostarczania wody 
• Bankowość i finanse 
• Transport 
• Energia elektryczna 
• Telekomunikacja 
• Służby ratownicze 
• Działania rządowe 

W ciągu minionych kilku lat wzrósł stopień ryzyka, ponieważ systemy automatyzacji procesów, które wspierają produkcję przedsiębiorstw, znacznie się rozwinęły, przechodząc od odizolowanych, wewnętrznych sieci i systemów operacyjnych do połączonych ze światem zewnętrznym systemów o modułowej budowie i rozbudowanych platformach sterowania. 

W tych połączonych systemach używa się otwartych architektur i protokołów – w celu zwiększenia wewnętrznej zdolności operacyjnej we współpracy z sieciami korporacyjnymi i aplikacjami. Obecnie ogromną zaletą tych sieci są rozwiązania kompleksowej obsługi łańcucha dostaw, co jednak również zwiększa ryzyko i zewnętrzne zagrożenia. 

E-biznes niesie z sobą pewne kluczowe wytyczne odnośnie zabezpieczeń:

Autoryzacja: kim jesteś i czy masz przydzielone prawo dostępu? Identyfikacja uprawnień: na jaką czynność masz pozwolenie i skąd możesz ją wykonać?

Ważność/dostępność: czy możesz zrobić to, czego potrzebujesz, gdy chcesz to zrobić?

Brak odmowy: czy można udowodnić, że to zrobiłeś? Dla prawnie uregulowanych środowisk przemysłowych brak odmowy jest krytyczny dla śledzenia indywidualnych modyfikacji.

Prywatność: czy możemy ochronić twoje dane?

Rozwój branży IT oraz integracja poprzez łańcuch dostaw z przedsiębiorstwem ma olbrzymie zalety, ale wiąże się ze zwiększonym ryzykiem. 

Bezpieczeństwo a zarządzanie ryzykiem 

Ogólnie, potrzebujemy ochrony tylko tych punktów, które mają istotne znaczenie dla naszych interesów i powinniśmy stosować stopień ochrony proporcjonalnie do wartości tych elementów. To jest bardzo ważna koncepcja, ponieważ posiadanie zbyt wielu zabezpieczeń powoduje niepotrzebne wydatki i zmniejsza dostępność tych elementów, dla których uzyskanie dostępu jest autoryzowane. Należy to przeanalizować i zachować równowagę poziomu narażenia na ryzyko tego, co jest chronione z jego realnym znaczeniem i wpływem na procesy krytyczne dla firmy. 

W niektórych branżach przemysłowych zapory są ustawione bardzo wysoko, co uniemożliwia uzyskanie fizycznego dostępu do systemu automatyki zakładu. Często jednak użytkownik został poddany autoryzacji i uzyskał pożądany stopień zaufania poprzez zwyczajną, fizyczną autoryzację przed wejściem do zakładu i dla niego powinno się bezwzględnie wymagać tylko barier niskiego poziomu.

Z kolei w innych branżach przemysłowych nie ma żadnych barier (fizycznych zapór), a elementy sterujące są rozmieszczone na terenie otwartym (real lub cyber). W takich przypadkach bardziej sensowne mogłoby wydawać się inne podejście, tzn. solidne poświadczenie identyfikacji użytkownika i technika autoryzacji uprawnień powinny zostać zastosowane w każdym punkcie dostępu do systemów sterowania.

Przykład: Kiedy pracownik pracuje w domu i chce uzyskać zdalny dostęp, dobrym zabezpieczeniem jest zablokowanie mu dostępu do sieci korporacyjnej IT, jeżeli trzy razy pod rząd niepoprawnie wprowadzi swoje hasło. Z tego punktu widzenia jest to dobre rozwiązanie. Z drugiej jednak strony w przypadku przebywającego wewnątrz zakładu operatora reaktora jądrowego, jeśli uniemożliwi mu się rozpoczęcie procesu wygaszania reaktora, gdy trzy razy wprowadzi niepoprawnie hasło – to nie jest już dobre rozwiązanie. Różnica w tym przypadku polega na tym, że pracownik pracujący w domu jest na zewnątrz korporacyjnej blokady (firewalla). Operator reaktora jądrowego jest wewnątrz sterowni, już za warstwą zewnętrznego, fizycznego zabezpieczenia (fakt fizycznej obecności w tym miejscu jest już rodzajem autoryzacji dostępu). Czy to oznacza, że operator nie powinien podać hasła? Powinien! Nadal musimy być pewni, że operator posiada autoryzację i jest odpowiednio przeszkolony, aby wykonać operację i że ta operacja nie jest wykonywana przypadkowo. Aby zbudować skuteczną obronę bardzo ważne jest zrozumienie, kto jest „wrogiem”.

Ekspertyza ARC wykazuje, że 25% zakłóceń w produkcji przemysłowej można uniknąć i można wskazać osobę, która popełnia błąd. W jednym na osiem przypadków zakłócenie spowodowane jest błędem pracownika. Kolejny jeden na osiem przypadków dokonany jest z premedytacją, np. przez niezadowolonych pracowników lub byłych pracowników, konkurentów w biznesie, hakerów itd. 

Ostatnio ukazało się w prasie wiele artykułów związanych z cyberterroryzmem i cyberatakami. Wiele jednak szkód powodują ludzie wewnątrz fabryki, ale niestety nie w pełni dostrzega się to zagrożenie: najwięcej zabezpieczeń IT skupia się na zagrożeniach z zewnątrz.

Te 25% wymienionych wyżej awarii obejmuje pewne typowe scenariusze:

• Rozgniewany pracownik blokuje dostęp pracownikom z innego działu poprzez zmianę  hasła.
• Kierownik sprzedaży z konkurencyjnego przedsiębiorstwa zdobywa dostęp do twojego zapytania ofertowego i przebija ofertę.
• Niezadowolony poszukiwacz pracy zamienia się w ekoterrorystę i używając laptopa oraz radia dostaje się do systemu miejskiej sieci kanalizacyjnej, by wypuścić do otoczenia miliony litrów wód ściekowych (temu ostatniemu przypadkowi, niestety, nie udało się zapobiec).
• Grupa hakerów próbuje dostać się do systemu.

A co z pozostałymi 75% przypadków, których sprawców jeszcze nie udaje się odnaleźć? Jest bardzo ważne, by pamiętać, że jak byśmy się nie bronili, szkody wciąż możemy ponieść. Co zatem zrobić, jeżeli mimo wszystko będziemy mieli do czynienia z krytycznym problemem? Co mogliśmy zrobić wcześniej, by już po fakcie powrót do stanu przed szkodą był łatwiejszy?

Rozwiązaniem mogą być: służba ciągłości działania i służby ratunkowe (ang. Business Continuity & Recovery – BCR), skupione na utrzymaniu zdolności operacyjnej przedsiębiorstwa albo przynajmniej na bardzo szybkim odzyskaniu zdolności operacyjnej do działania po ewentualnej przerwie spowodowanej zakłóceniami. Takie zakłócenia ciągłości mogą obejmować klęski żywiołowe, awarie urządzeń, błędy ludzi albo poważne naruszenie zabezpieczeń.

Te specjalnie wydzielone służby UR i ratunkowe (BC & R) wykorzystywano do silnie uregulowanych normalizacyjnie gałęzi przemysłu jak finanse, skupiając się na ciągłości systemów biznesowych. Sektor produkcji przemysłowej dołączył już w pełni do planowania akcji odtworzeniowych i „ratunkowych”. 

Zagadnienia poruszone w artykule należy traktować jako „temat w ciągłym przygotowaniu”. Ale już teraz możemy udzielić kilka rad dotyczących takich przygotowań:

• Opracuj plan reakcji na zdarzenia, w celu określenia stopnia naruszenia zabezpieczeń i dowolnych mechanizmów bezpośrednich.
• Opracuj plan reakcji na klęski żywiołowe i plan odtworzenia ciągłości działalności po klęsce. 
• Przygotuj plan reakcji na nagłe, poważne przerwy (mniej niż 50% producentów ma dziś takie plany).
• Sporządzaj okresowe kopie (zabezpieczeń) wszystkich poziomów operacyjnych fabryki (projektowanie, druk, obróbka, programy, konfiguracje, historia i dziennik, rejestry, itd).

Według specjalistów od klęsk żywiołowych w 25% przedsiębiorstw dotkniętych poważnym kryzysem nie podjęto na nowo działalności. 30% przedsiębiorstw rozpoczynających proces odtwarzania działalności upada w ciągu dwóch lat. 

Artykuł pod redakcją Adama Majczaka