Aby digitalizace byla bezpečná

Technologie neustále vyvíjejí a organizace si osvojují stále lepší a efektivnější způsoby podnikání – jenže tato nová digitální transformace současně přináší nové hrozby. Dny, kdy kritická infrastruktura spoléhala v otázce bezpečnosti pouze na offline režim, jsou pryč. V současné době existuje více chytrých zařízení než kdy dříve, a když je potřeba v podniku připojit komponentu, která nebyla navržena pro bezpečné připojení k síti, otevírá se obrovský potenciál možného zneužití. Je také důležité vědět, že aktéři vnějších hrozeb se v průběhu let ve svých nekalých praktikách zlepšili a dnes již nasazují sofistikovanější metody a způsoby k provádění kybernetických útoků. Proto musí podniky aktivně jednat, aby chránily to, na čem jim záleží.

Kromě běžných IT zařízení může OT síť zahrnovat systémy Scada (dohledové řízení a sběr dat), systémy automatizace budov a DCS (distribuované řídicí systémy). Ty slouží k monitorování a ovládání motorů, senzorů nebo regulátorů a průběžně shromažďují a odesílají relevantní data do velínů a ERP systémů. Spoléhají na vysokorychlostní komunikaci přes protokoly typu fieldbus a standardní ICS (průmyslový řídicí systém), jako jsou například Hart, Profibus, Modbus TCP, BACnet atd.

Tak jako v IT je spolehlivost systému nejvyšší prioritou také v OT. Chybné postupy v kybernetické bezpečnosti by mohly potenciálně poškodit kritické operace. Podniky musí být proaktivní, aby zlepšily své zásady kybernetické bezpečnosti, například tím, že se zaměří na některé základní principy, jako je správa aktiv či proškolení a informovanost zaměstnanců o bezpečném přístupu a konfiguraci.

Při určování a vyvažování rizika mají IT a OT zcela odlišné priority. IT používá model CIA, což znamená důvěrnost, integritu a dostupnost, aby určil, jak jsou data a systémy chráněny, zatímco při podobných rozhodnutích v OT jsou priority obrácené – dostupnost, integrita a důvěrnost. To znamená, že v rámci IT sítě lze systém obvykle přepnout do režimu offline, aby bylo možné za běhu nainstalovat aktualizace a bezpečnostní záplaty. V síti OT je však k provedení jakýchkoli úprav k ochraně provozu zapotřebí vyšší úroveň procesů plánování a řízení změn.

Mezi IT a OT zabezpečením existuje několik rozdílů, počínaje rozpočty po rozdíly v doménových znalostech a prioritizaci cílů kybernetické bezpečnosti. Bezpečnostní týmy IT bývají proaktivní a mají k dispozici mnoho bezpečnostních nástrojů, které jim umožňují neustále nacházet a redukovat slabá místa. A přestože bezpečnostní týmy OT mohou přidělit kybernetické bezpečnosti podobnou prioritu, nemusí být v rámci sítě OT schopny takové nástroje instalovat ani systémy okamžitě odpojit, aby mohly nainstalovat aktualizace a bezpečnostní záplaty.

V současné době se objevilo větší úsilí směrem ke sbližování IT a OT a je důležité v tomto dialogu pokračovat, aby odborníci z obou oblastí lépe porozuměli tomu, jak se mohou navzájem podporovat a sladit své cíle v oblasti kybernetické bezpečnosti.

Jedním z příkladů masivního úniku IT dat je nedávný incident se serverem Microsoft Exchange, který mohl postihnout více než 30 000 organizací v USA. Důležitý je hlavně tím, že ukazuje, jak by mohla být zranitelnost jednoho typu běžně dostupného softwaru zneužita ve více organizacích.

Objevily se tíž zprávy, že hackeři získali přístup do Oldsmar Water Treatment Facility prostřednictvím softwaru na pracovní stanici. Skrze něj se pokusili zvýšit hladiny hydroxidu sodného, chemické látky používané ke kontrole kyselosti vody, a to více než stonásobně. K tomu mohlo dojít mnoha různými způsoby, ale to podstatné je, že k podobným únikům dat a neoprávněným průnikům do systémů může dojít jak v IT, tak v OT sítích – otázkou tak není jestli, ale kdy k tomu dojde. Podobné incidenty jen zdůrazňují, jak důležité je převzít osobní odpovědnost za ochranu vašeho majetku a lidí.

Je známo, že OT systémy jsou všeobecně křehké. Některé mohou být staré mnoho desetiletí a mít omezenou nebo dokonce vůbec žádnou schopnost přijímat bezpečnostní záplaty a aktualizace, a tím pádem se stávají každým dnem zranitelnější. Organizace potřebují komplexní strategii kybernetické bezpečnosti, aby mohly spravovat starší zařízení, aktualizovat konfigurace a pravidelně instalovat záplaty na zařízení, která podporují záplatování. Zároveň potřebují implementovat další vrstvu ochrany pro ochranu starších zařízení, která jsou kritická pro provoz, ale také musí zajistit bezpečnost nových změn prováděných ve své OT síti.

Přitom existuje několik bezpečnostních řešení pro OT sítě, přičemž to, které je pro vaši firmu to pravé, skutečně závisí na tom, co hledáte. Pro hraniční ochranu existuje firewall Cisco ISA a také firewally značky Eaton, jako je MTL Tofino s hloubkovou kontrolou paketů pro OT protokoly. Tempered prodává zero-trust řešení se zabezpečeným vzdáleným přístupem, zatímco Tenable OT, Tripwire a Dragos nabízejí produkty pro monitoring. To jsou velcí hráči na dnešním trhu.

Tato řešení jsou si podobná, ale mají také různé požadavky. Odborníci na kybernetickou bezpečnost obvykle volí produkty, které se hladce integrují se stávajícím systémem. Zohledňují strukturu nasazení, způsob provozu a to, zda je řešení síťově aktivní či pasivní a také zváží úsilí s údržbou.

Komplexní přístup ke kybernetické bezpečnosti zaujímá spolčnost Eaton. Jejím cílem je zajistit, že všechny produkty a řešení budou vyhovovat filozofii zabezpečení již od návrhu a budou v souladu s širokou škálou průmyslových standardů a osvědčených postupů. Náš rámec kybernetické bezpečnosti pokrývá také řízení zranitelnosti a reakci na incidenty, což jsou prvky nezbytné k aktivnímu hledání, řešení, komunikaci a opravě problémů s kybernetickou bezpečností v rámci našich produktů a řešení.

Je gřeba dodat, že UL a IEC prověřily řadu inteligentních a připojených zařízení Eaton podle standardů kybernetické bezpečnosti UL 2900 a IEC 62443. Vedle toho Eaton nabízí řadu služeb kybernetické bezpečnosti, které našim zákazníkům pomáhají navrhovat, nasazovat a udržovat své systémy. Konkrétně naši službu ochrany průmyslové sítě lze použít k zabezpečení starších systémů prostřednictvím hraniční ochrany, posilování zabezpečení sítě a dalších mechanismů k zajištění bezpečného vzdáleného přístupu a ochrany před hrozbami.

Jak na výběr dodavatele?

Především je třeba se ujistit, že vaši dodavatelé mají odborníky na různé funkce, a to nejen na kybernetickou bezpečnost obecně, ale se specifickým zaměřením právě na systémy OT a ICS. Měli by rozumět kritičnosti a požadavkům na bezpečnost a dostupnost systémů v reálném čase a zároveň by měli být schopni efektivně aplikovat osvědčené postupy kybernetické bezpečnosti OT sítě v praxi.

Již bylo zmíněno, že kybernetická bezpečnost ICS a OT sítí není úplně totožná, protože mnoho IT postupů a nástrojů může v případě nesprávného použití poškodit zařízení, vypínat systémy nebo v horším případě způsobit fyzickou újmu. Aby bylo možné zvládnout digitální transformaci a zajistit kontinuitu podnikání, je nanejvýš důležité spíše kombinovat aspekty bezpečnosti IT a OT sítí než upřednostňovat jeden před druhým.

_____________________________________________________________________________________________________

Zdroj: Tisková zpráva společnosti EATON. Zpracováno redakcí.