Indinvest LT изгражда пътна карта за киберсигурност на OT с Rockwell

Италианският производител на алуминий Indinvest LT работи с Rockwell Automation и H.S. Automation по цялостна оценка на състоянието на киберсигурността на своите операционни технологии. Инициативата е предназначена да идентифицира уязвимости, да оцени съществуващите мерки за контрол, да приоритизира отстраняването им и да създаде пътна карта, която поддържа непрекъсваемостта на бизнеса, докато производствените системи стават все по-свързани.

Indinvest LT експлоатира интегрирана леярна за заготовки и съоръжения за екструдиране в Чистерна ди Латина, обслужващи промишления и архитектурния пазар. Тези операции съчетават енергоемко технологично оборудване, задвижвания, PLC контролери, системи за надзор, данни за качеството и интерфейси към бизнес системите. В такава среда киберсигурността не е изолирана ИТ цел. Лошо планирано сканиране, неуправлявана отдалечена връзка или недостъпен контролер могат да засегнат производството, качеството на продуктите, целостта на оборудването и безопасността.

Защо оценката трябва да предхожда покупката на технология

Много програми за индустриална сигурност започват с покупка на устройство за мониторинг или защитна стена. Това може да помогне, но инструментите не могат да компенсират непълен инвентар на активите, неясна отговорност или недокументирани потоци от данни. Структурираната оценка установява какво съществува, кои процеси са критични, как системите комуникират и какво би означавал даден отказ от оперативна гледна точка. Едва тогава заводът може да подреди мерките за контрол според намаляването на риска, а не според маркетинговата спешност.

Rockwell посочва, че неговият OT Cybersecurity Assessment Suite е съобразен с IEC 62443 и насоките на NIST. Ценността на тези рамки е способността им да превърнат широкообхватното безпокойство относно сигурността в повтаряем процес: управление, идентифициране на активите, сегментиране, контрол на достъпа, управление на уязвимостите, архивиране, реакция при инциденти и непрекъснато подобрение. Оценката не бива да се разглежда като еднократен доклад за съответствие. Тя трябва да създаде регистър на действията с посочени отговорни лица, срокове, зависимости и критерии за проверка.

Анализът на PLC ProTech за планирането на SCADA и пропуските в киберсигурността на OT обяснява защо архитектурата и управлението трябва да се разглеждат едновременно, а не след пускането в експлоатация.

Пасивното откриване защитава уязвимите производствени активи

Идентифицирането на активите в работещ завод трябва да се извършва внимателно. Стандартните скенери за уязвимости, предназначени за корпоративни среди, могат да претоварят по-старите комуникационни модули или да предизвикат неизправности в наследени шлюзове. Безопасният план за откриване обикновено започва с конфигурацията на комутаторите, проектите на контролерите, чертежите, записите за поддръжка и пасивното наблюдение на мрежата. След това активното запитване се ограничава, планира се и се тества върху представително оборудване.

Инвентарът трябва да съдържа повече от IP адреси. Полезните записи включват собственик на актива, местоположение, функция, фърмуер, операционна система, комуникационен път, поддържан метод за възстановяване, жизнен цикъл според производителя и последиците от загубата. В една алуминиева производствена линия малка инженерна работна станция може да е по-критична за операциите от голям сървър, ако тя е единственият поддържан път до наследен PLC контролер.

Картографиране на екструзионната клетка

Една зона за екструдиране може да включва управление на пещи, обработка на заготовки, PLC контролери на преси, хидравлични силови агрегати, изтеглящи устройства, триони, охладителни системи, контролери за безопасност, архиватори на данни и системи за качество. Оценката трябва да картографира както нормалния производствен трафик, така и извънредните връзки, използвани по време на поддръжка. VPN връзка на доставчик, отваряна само два пъти годишно, може да представлява по-голям неконтролиран път от непрекъснато наблюдаваната мрежа на контролерите.

Диаграмите на потоците от данни помагат да се разкрие къде доверието преминава между границите. Връзките между устройствата на производствения етаж и корпоративните системи трябва да преминават през ясно определени комуникационни канали. Инженерният достъп трябва да използва именувани акаунти, разрешения с ограничен срок и запис на сесиите, когато това е възможно. Споделените идентификационни данни и постоянно активните тунели към доставчици затрудняват отчетността и увеличават въздействието от компрометиран лаптоп.

Сегментирането трябва да отчита зависимостите в производството

Подходът на IEC 62443 със зони и комуникационни канали е ефективен, защото групира активите според функцията, критичността и изискванията за сигурност. Плоската заводска мрежа позволява на зловреден софтуер или неправилна конфигурация да се разпространява широко. Сегментирането ограничава това движение, но прекалено агресивната политика на защитната стена може също да прекъсне чувствителния към времето контролен трафик. Инженерите се нуждаят от проверена матрица на комуникациите преди налагането на ограниченията.

Практическото внедряване често започва в режим на мониторинг. Екипите наблюдават реалните протоколи и крайни точки, сравняват ги с предвидения дизайн и проучват изключенията. След това правилата се затягат в контролирани времеви прозорци. Трябва да бъдат включени основни услуги като синхронизация на времето, домейн удостоверяване, събиране на данни от архиватора, лицензиране и архивиране. Временните правила за пускане в експлоатация трябва да имат отговорници и дати на изтичане.

Класирането на риска трябва да включва физическите последици

Корпоративното оценяване на риска често поставя акцент върху поверителността на данните. Индустриалните системи добавят достъпност, цялостност, безопасност, въздействие върху околната среда и време за възстановяване. Уязвимост, която може да бъде експлоатирана отдалечено в некритичен дисплей, може да получи по-нисък приоритет от неподдържан контролер, който може да бъде възстановен само от остаряла станция за програмиране. Оценката трябва да съчетава възможността за експлоатация с последиците за процеса и съществуващите защитни мерки.

Затова фокусът на Indinvest LT върху пътна карта, основана на риска, е важен. Резултатът трябва да разграничава незабавното ограничаване на риска, планираните инженерни промени и приетия остатъчен риск. Краткосрочните действия могат да включват премахване на неизползвания отдалечен достъп, промяна на паролите по подразбиране, проверка на архивите и изолиране на неподдържаните активи. По-дългосрочните проекти могат да включват модернизиране на комутаторите, архитектура за управление на идентичностите, защитени шлюзове за отдалечен достъп или миграция на контролерите.

За среди с преобладаващи продукти на Rockwell управлението на фърмуера е особено важно. Ръководството на PLC ProTech за избор на фърмуер за ControlLogix показва защо съвместимостта, преобразуването на проектите, комуникационните модули и планирането на връщане към предишна версия трябва да бъдат оценени преди актуализация, мотивирана от изискванията за сигурност.

Архивите са полезни само когато възстановяването е упражнено

Оценката трябва да провери програмите на контролерите, приложенията на HMI, параметрите на задвижванията, проектите за безопасност, рецептите, сертификатите и лицензите, а не само образите на сървърите. Копията трябва да имат етикети с версиите и да бъдат защитени офлайн или чрез неизменяемо съхранение. Трябва да бъде проведено поне едно упражнение за възстановяване върху резервно или виртуализирано оборудване. Времето, необходимо за намиране на софтуера, активиране на лицензите, установяване на комуникация и възстановяване на проверен проект, често надхвърля действителното време за изтеглянето му.

Плановете за реакция при инциденти също се нуждаят от роли за завода. Операторите трябва да знаят кои симптоми изискват ескалация. Инженерите по управлението трябва да разполагат с процедури за запазване на доказателства, без да удължават престоя. Реагиращите от ИТ отдела трябва да имат ясно правило да не изолират или рестартират оперативни активи без разрешение от отговорните за процеса. Настолните учения могат да разкрият противоречиви предположения преди възникването на реален инцидент.

Местните познания за интеграцията са стратегическа мярка за контрол

H.S. Automation, златен OEM партньор в Rockwell PartnerNetwork, специализиран в заводи за производство на алуминиеви профили, извършва оценката. Тези познания за местните процеси могат да направят препоръките по-приложими. Мерките за сигурност, които не отчитат производствените последователности, прозорците за спиране или ограниченията при поддръжката на оборудването, обикновено остават само на хартия. Партньор, запознат с машините, може да преведе риска в промени, които поддръжката и операциите могат да поддържат.

Успехът няма да се измерва с броя на констатациите. Той ще се измерва с това дали Indinvest LT ще придобие актуална базова картина на активите, защитим списък с приоритети, по-силни възможности за възстановяване и повтаряем цикъл на преглед. Зрелостта на киберсигурността се вижда, когато изключенията са документирани, временният достъп изтича, архивите са тествани, промените могат да бъдат проследени и ръководството може да обясни кои производствени рискове остават.

Тази инициатива е полезен модел за производителите, които модернизират дългогодишни заводи. Започнете с доказателства, подреждайте според оперативните последици, внедрявайте на контролирани етапи и проверявайте дали всяка мярка работи при реални производствени ограничения. Така оценката се превръща в устойчивост, а не в поредния доклад.