Włoski producent aluminium Indinvest LT współpracuje z Rockwell Automation i H.S. Automation nad kompleksową oceną stanu cyberbezpieczeństwa technologii operacyjnej. Inicjatywa ma na celu identyfikację podatności, ocenę istniejących mechanizmów kontroli, ustalenie priorytetów działań naprawczych oraz stworzenie planu działania wspierającego ciągłość biznesową w miarę jak systemy produkcyjne stają się coraz bardziej połączone.

Indinvest LT prowadzi zintegrowaną odlewnię wlewków oraz zakłady wyciskania w Cisterna di Latina, obsługując rynki przemysłowy i architektoniczny. Operacje te łączą energochłonne urządzenia procesowe, napędy, sterowniki PLC, systemy nadrzędne, dane dotyczące jakości oraz interfejsy biznesowe. W takim środowisku cyberbezpieczeństwo nie jest odizolowanym celem IT. Źle zaplanowane skanowanie, niezarządzane połączenie zdalne lub niedostępny sterownik mogą wpłynąć na produkcję, jakość produktu, integralność urządzeń i bezpieczeństwo.

Dlaczego ocena powinna poprzedzać zakup technologii

Wiele przemysłowych programów bezpieczeństwa zaczyna się od zakupu urządzenia monitorującego lub zapory sieciowej. Może to pomóc, ale narzędzia nie zrekompensują niepełnej ewidencji zasobów, niejasnego zakresu odpowiedzialności ani nieudokumentowanych przepływów danych. Ustrukturyzowana ocena pozwala ustalić, co istnieje, które procesy mają znaczenie krytyczne, jak komunikują się systemy oraz jakie byłyby operacyjne konsekwencje awarii. Dopiero wtedy zakład może ustalać priorytety mechanizmów kontroli według redukcji ryzyka, a nie pilności wynikającej z marketingu.

Rockwell informuje, że jego pakiet OT Cybersecurity Assessment Suite jest zgodny z normą IEC 62443 i wytycznymi NIST. Wartość tych ram wynika z ich zdolności do przekształcenia szerokiego problemu bezpieczeństwa w powtarzalne działania: zarządzanie, identyfikację zasobów, segmentację, kontrolę dostępu, zarządzanie podatnościami, tworzenie kopii zapasowych, reagowanie na incydenty i ciągłe doskonalenie. Oceny nie należy traktować jako jednorazowego raportu zgodności. Powinna ona doprowadzić do powstania rejestru działań, za który ktoś odpowiada, zawierającego osoby odpowiedzialne, terminy, zależności i kryteria weryfikacji.

Analiza planowania systemów SCADA i luk w cyberbezpieczeństwie OT firmy PLC ProTech wyjaśnia, dlaczego architekturą i zarządzaniem należy zająć się wspólnie, a nie dopiero po uruchomieniu systemu.

Pasywne wykrywanie chroni wrażliwe zasoby produkcyjne

Identyfikacja zasobów w działającym zakładzie musi być ostrożna. Standardowe skanery podatności stosowane w przedsiębiorstwach mogą przeciążyć starsze moduły komunikacyjne lub wywołać usterki w starszych bramach sieciowych. Bezpieczny plan wykrywania zwykle rozpoczyna się od konfiguracji przełączników, projektów sterowników, schematów, rejestrów konserwacji i pasywnej obserwacji sieci. Aktywne odpytywanie jest następnie ograniczane, planowane i testowane na reprezentatywnych urządzeniach.

Ewidencja powinna obejmować więcej niż adresy IP. Przydatne informacje to właściciel zasobu, lokalizacja, funkcja, oprogramowanie układowe, system operacyjny, ścieżka komunikacji, obsługiwana metoda odtwarzania, status cyklu życia u dostawcy oraz konsekwencje utraty zasobu. Na linii do produkcji aluminium mała stacja inżynierska może mieć większe znaczenie operacyjne niż duży serwer, jeśli jest jedyną obsługiwaną drogą dostępu do starszego sterownika PLC.

Mapowanie gniazda wyciskania

Obszar wyciskania może obejmować sterowanie piecem, obsługę wlewków, sterowniki PLC prasy, agregaty hydrauliczne, odbieraki, piły, systemy chłodzenia, sterowniki bezpieczeństwa, archiwizatory danych i systemy jakości. Ocena powinna mapować zarówno normalny ruch produkcyjny, jak i wyjątkowe połączenia wykorzystywane podczas konserwacji. Sieć VPN dostawcy otwierana tylko dwa razy w roku może stanowić większą, niemonitorowaną ścieżkę dostępu niż stale obserwowana sieć sterowników.

Diagramy przepływu danych pomagają ujawnić miejsca, w których zaufanie przekracza granice. Połączenia między urządzeniami hali produkcyjnej a systemami przedsiębiorstwa powinny przebiegać przez zdefiniowane kanały. Dostęp inżynierski powinien wykorzystywać imienne konta, autoryzację ograniczoną czasowo oraz, tam gdzie to możliwe, rejestrowane sesje. Współdzielone dane uwierzytelniające i stale aktywne tunele dostawców utrudniają rozliczalność oraz zwiększają skutki przejęcia laptopa.

Segmentacja musi uwzględniać zależności produkcyjne

Podejście stref i kanałów określone w normie IEC 62443 jest skuteczne, ponieważ grupuje zasoby według funkcji, krytyczności i wymagań bezpieczeństwa. Płaska sieć zakładowa pozwala złośliwemu oprogramowaniu lub błędnej konfiguracji szeroko się rozprzestrzeniać. Segmentacja ogranicza ten ruch, ale zbyt restrykcyjna polityka zapory może również przerwać wrażliwy czasowo ruch sterujący. Przed wdrożeniem reguł inżynierowie potrzebują zweryfikowanej macierzy komunikacji.

Praktyczne wdrożenie często rozpoczyna się w trybie monitorowania. Zespoły obserwują rzeczywiste protokoły i punkty końcowe, porównują je z założonym projektem i analizują wyjątki. Następnie reguły są zaostrzane podczas kontrolowanych okien. Należy uwzględnić usługi kluczowe, takie jak synchronizacja czasu, uwierzytelnianie domenowe, gromadzenie danych przez archiwizator, licencjonowanie i tworzenie kopii zapasowych. Tymczasowe reguły uruchomieniowe powinny mieć właścicieli i daty wygaśnięcia.

Ustalanie priorytetów ryzyka musi uwzględniać konsekwencje fizyczne

Ocena ryzyka w przedsiębiorstwach często koncentruje się na poufności danych. Systemy przemysłowe dodają dostępność, integralność, bezpieczeństwo, wpływ na środowisko i czas odtworzenia. Podatność możliwa do wykorzystania zdalnie w niekrytycznym panelu może mieć niższy priorytet niż niewspierany sterownik, który można odtworzyć wyłącznie za pomocą przestarzałej stacji programistycznej. Ocena powinna łączyć możliwość wykorzystania podatności z konsekwencjami dla procesu i istniejącymi zabezpieczeniami.

Dlatego skupienie Indinvest LT na planie działania opartym na ryzyku ma istotne znaczenie. Wynik powinien rozróżniać natychmiastowe ograniczanie ryzyka, planowane zmiany inżynieryjne i zaakceptowane ryzyko rezydualne. Działania krótkoterminowe mogą obejmować usunięcie nieużywanego dostępu zdalnego, zmianę domyślnych danych uwierzytelniających, weryfikację kopii zapasowych i odizolowanie niewspieranych zasobów. Dłuższe projekty mogą obejmować modernizację przełączników, architekturę tożsamości, bezpieczne bramy dostępu zdalnego lub migrację sterowników.

W środowiskach opartych w dużej mierze na rozwiązaniach Rockwell szczególne znaczenie ma zarządzanie oprogramowaniem układowym. Przewodnik PLC ProTech dotyczący wyboru wersji oprogramowania układowego ControlLogix pokazuje, dlaczego przed aktualizacją motywowaną względami bezpieczeństwa należy ocenić zgodność, konwersję projektu, moduły komunikacyjne i plan wycofania zmian.

Kopie zapasowe są przydatne tylko wtedy, gdy przećwiczono odtwarzanie

Ocena powinna obejmować weryfikację programów sterowników, aplikacji HMI, parametrów napędów, projektów systemów bezpieczeństwa, receptur, certyfikatów i licencji, a nie tylko obrazów serwerów. Kopie powinny mieć oznaczenia wersji oraz ochronę offline lub niezmienną. Co najmniej jedno ćwiczenie odtwarzania należy przeprowadzić na zapasowym lub zwirtualizowanym sprzęcie. Czas potrzebny na znalezienie oprogramowania, aktywację licencji, nawiązanie komunikacji i przywrócenie sprawdzonego projektu często przekracza rzeczywisty czas jego wgrania.

Plany reagowania na incydenty muszą również określać role zakładowe. Operatorzy powinni wiedzieć, które objawy wymagają eskalacji. Inżynierowie automatyki potrzebują procedur zabezpieczania dowodów bez wydłużania przestoju. Osoby reagujące po stronie IT muszą mieć jasną zasadę zakazującą izolowania lub ponownego uruchamiania zasobów operacyjnych bez zgody na poziomie procesu. Ćwiczenia symulacyjne mogą ujawnić sprzeczne założenia przed wystąpieniem rzeczywistego zdarzenia.

Lokalna wiedza integracyjna jest strategicznym mechanizmem kontroli

H.S. Automation, złoty partner Rockwell PartnerNetwork i producent OEM specjalizujący się w zakładach do produkcji profili aluminiowych, realizuje ocenę. Ta lokalna wiedza procesowa może sprawić, że zalecenia będą łatwiejsze do zastosowania. Mechanizmy kontroli bezpieczeństwa nieuwzględniające sekwencji produkcyjnych, okien wyłączeń ani ograniczeń związanych ze wsparciem urządzeń często pozostają jedynie na papierze. Partner znający maszyny może przełożyć ryzyko na zmiany, które służby utrzymania ruchu i zespoły operacyjne będą w stanie utrzymać.

Miarą sukcesu nie będzie liczba ustaleń. Będzie nią to, czy Indinvest LT uzyska aktualną bazę zasobów, możliwą do uzasadnienia listę priorytetów, większą zdolność odtwarzania oraz powtarzalny cykl przeglądów. Dojrzałość cyberbezpieczeństwa jest widoczna wtedy, gdy wyjątki są udokumentowane, tymczasowy dostęp wygasa, kopie zapasowe są testowane, zmiany można prześledzić, a kierownictwo potrafi wyjaśnić, jakie ryzyka produkcyjne nadal pozostają.

Inicjatywa ta stanowi użyteczny model dla producentów modernizujących długo eksploatowane zakłady. Należy zacząć od dowodów, ustalać priorytety według konsekwencji operacyjnych, wdrażać zmiany w kontrolowanych etapach i sprawdzać, czy każdy mechanizm kontroli działa w rzeczywistych warunkach produkcyjnych. W ten sposób ocena staje się odpornością, a nie kolejnym raportem.