Indinvest LT, Rockwell ile OT Siber Güvenlik Yol Haritası Oluşturuyor

İtalyan alüminyum üreticisi Indinvest LT, operasyonel teknoloji siber güvenliği durumunu kapsamlı biçimde değerlendirmek için Rockwell Automation ve H.S. Automation ile birlikte çalışıyor. Girişim; üretim sistemleri daha fazla birbirine bağlandıkça güvenlik açıklarını belirlemeyi, mevcut kontrolleri değerlendirmeyi, iyileştirme çalışmalarına öncelik vermeyi ve iş sürekliliğini destekleyen bir yol haritası oluşturmayı amaçlıyor.

Indinvest LT, endüstriyel ve mimari pazarlara hizmet veren entegre bir kütük dökümhanesi ile ekstrüzyon tesislerini Cisterna di Latina’da işletiyor. Bu operasyonlar yüksek enerjili proses ekipmanlarını, sürücüleri, PLC’leri, denetleyici sistemleri, kalite verilerini ve iş arayüzlerini bir araya getiriyor. Böyle bir ortamda siber güvenlik, BT’ye özgü ve yalıtılmış bir hedef değildir. Kötü planlanmış bir tarama, yönetilmeyen bir uzaktan bağlantı veya kullanılamayan bir kontrolör; üretimi, ürün kalitesini, ekipman bütünlüğünü ve güvenliği etkileyebilir.

Teknoloji satın almadan önce neden değerlendirme yapılmalı?

Birçok endüstriyel güvenlik programı, izleme cihazı veya güvenlik duvarı satın alarak başlar. Bu yardımcı olabilir, ancak araçlar eksik bir varlık envanterini, belirsiz sorumlulukları veya belgelenmemiş veri akışlarını telafi edemez. Yapılandırılmış bir değerlendirme; nelerin mevcut olduğunu, hangi süreçlerin kritik olduğunu, sistemlerin nasıl iletişim kurduğunu ve bir arızanın operasyonel açıdan ne anlama geleceğini ortaya koyar. Ancak bundan sonra bir tesis, kontrolleri pazarlama aciliyetine göre değil, risk azaltma potansiyeline göre önceliklendirebilir.

Rockwell, OT Siber Güvenlik Değerlendirme Paketi’nin IEC 62443 ve NIST yönergeleriyle uyumlu olduğunu belirtiyor. Bu çerçevelerin değeri, kapsamlı bir güvenlik kaygısını tekrarlanabilir çalışmalara dönüştürebilmeleridir: yönetişim, varlıkların belirlenmesi, segmentasyon, erişim kontrolü, güvenlik açığı yönetimi, yedekleme, olay müdahalesi ve sürekli iyileştirme. Değerlendirme, tek seferlik bir uyumluluk raporu olarak görülmemelidir. Sorumlu kişileri, tarihleri, bağımlılıkları ve doğrulama ölçütlerini içeren, sahiplenilmiş bir eylem kaydı oluşturmalıdır.

PLC ProTech’in SCADA planlaması ve OT siber güvenliği açıkları üzerine yaptığı analiz, mimari ve yönetişim konularının devreye alma sonrasına bırakılmak yerine birlikte ele alınması gerektiğini açıklıyor.

Pasif keşif, hassas üretim varlıklarını korur

Faaliyette olan bir tesiste varlıkların belirlenmesi dikkatli yapılmalıdır. Geleneksel kurumsal güvenlik açığı tarayıcıları, eski iletişim modüllerini aşırı yükleyebilir veya eski ağ geçitlerinde arızaları tetikleyebilir. Güvenli bir keşif planı genellikle anahtar yapılandırması, kontrolör projeleri, çizimler, bakım kayıtları ve pasif ağ gözlemiyle başlar. Ardından aktif sorgulama sınırlandırılır, planlanır ve temsili ekipman üzerinde test edilir.

Envanter yalnızca IP adreslerini içermemelidir. Faydalı kayıtlarda varlık sahibi, konum, işlev, ürün yazılımı, işletim sistemi, iletişim yolu, desteklenen kurtarma yöntemi, tedarikçinin yaşam döngüsü durumu ve kaybın sonucu yer alır. Bir alüminyum hattında küçük bir mühendislik iş istasyonu, eski bir PLC’ye erişim sağlayan tek desteklenen yol olması nedeniyle büyük bir sunucudan daha kritik olabilir.

Ekstrüzyon hücresinin haritalandırılması

Bir ekstrüzyon alanında fırın kontrolleri, kütük taşıma sistemleri, pres PLC’leri, hidrolik güç üniteleri, çekiciler, testereler, soğutma sistemleri, güvenlik kontrolörleri, tarihçe sistemleri ve kalite sistemleri bulunabilir. Değerlendirme, hem normal üretim trafiğini hem de bakım sırasında kullanılan istisnai bağlantıları haritalandırmalıdır. Yılda yalnızca iki kez açılan bir tedarikçi VPN’i, sürekli izlenen kontrolör ağından daha büyük ve izlenmeyen bir geçiş yolu oluşturabilir.

Veri akış şemaları, güven sınırlarının nerelerde aşıldığını ortaya çıkarmaya yardımcı olur. Tesis katındaki cihazlarla kurumsal sistemler arasındaki bağlantılar, tanımlanmış kanallardan geçmelidir. Mühendislik erişimi, mümkün olduğunda adı belirli hesaplar, süreyle sınırlı yetkilendirme ve kaydedilen oturumlar kullanılarak sağlanmalıdır. Paylaşılan kimlik bilgileri ve sürekli açık tedarikçi tünelleri, sorumluluğu belirlemeyi zorlaştırır ve güvenliği ihlal edilmiş bir dizüstü bilgisayarın etkisini artırır.

Segmentasyon, üretim bağımlılıklarına saygı göstermelidir

IEC 62443’ün bölge ve kanal yaklaşımı etkilidir; çünkü varlıkları işlev, kritiklik ve güvenlik gereksinimine göre gruplandırır. Düz bir tesis ağı, kötü amaçlı yazılımların veya yanlış yapılandırmaların geniş ölçekte yayılmasına olanak tanır. Segmentasyon bu hareketi sınırlar, ancak aşırı katı bir güvenlik duvarı politikası zaman açısından hassas kontrol trafiğini de kesintiye uğratabilir. Mühendislerin zorunlu kılma işleminden önce doğrulanmış bir iletişim matrisi oluşturması gerekir.

Pratik bir uygulama genellikle izleme modunda başlar. Ekipler gerçek protokolleri ve uç noktaları gözlemler, bunları amaçlanan tasarımla karşılaştırır ve istisnaları araştırır. Ardından kurallar kontrollü zaman aralıklarında sıkılaştırılır. Zaman senkronizasyonu, alan kimlik doğrulaması, tarihçe verisi toplama, lisanslama ve yedekleme gibi temel hizmetler kapsama alınmalıdır. Geçici devreye alma kurallarının sahipleri ve sona erme tarihleri olmalıdır.

Risk sıralaması fiziksel sonuçları da kapsamalıdır

Kurumsal risk puanlaması çoğu zaman verilerin gizliliğini öne çıkarır. Endüstriyel sistemler buna ek olarak kullanılabilirlik, bütünlük, güvenlik, çevresel etki ve kurtarma süresini de içerir. Uzaktan istismar edilebilen kritik olmayan bir ekranın güvenlik açığı, yalnızca eski bir programlama istasyonundan geri yüklenebilen desteklenmeyen bir kontrolörden daha düşük sırada yer alabilir. Değerlendirme, istismar edilebilirliği süreç üzerindeki sonuçlarla ve mevcut önlemlerle birlikte ele almalıdır.

Bu nedenle Indinvest LT’nin risk temelli bir yol haritasına odaklanması önemlidir. Çıktı; acil sınırlama önlemlerini, planlanan mühendislik değişikliklerini ve kabul edilmiş artık riski birbirinden ayırmalıdır. Kısa vadeli eylemler arasında kullanılmayan uzaktan erişimin kaldırılması, varsayılan kimlik bilgilerinin değiştirilmesi, yedeklemelerin doğrulanması ve desteklenmeyen varlıkların yalıtılması yer alabilir. Daha uzun projeler arasında anahtar yükseltmeleri, kimlik mimarisi, güvenli uzaktan erişim ağ geçitleri veya kontrolör geçişi bulunabilir.

Rockwell ağırlıklı ortamlarda ürün yazılımı yönetişimi özellikle önemlidir. PLC ProTech’in ControlLogix ürün yazılımı karar kılavuzu, güvenlik odaklı bir yükseltmeden önce uyumluluk, proje dönüştürme, iletişim modülleri ve geri dönüş planlamasının neden değerlendirilmesi gerektiğini gösteriyor.

Yedeklemeler ancak kurtarma provası yapıldığında işe yarar

Bir değerlendirme yalnızca sunucu imajlarını değil; kontrolör programlarını, HMI uygulamalarını, sürücü parametrelerini, güvenlik projelerini, reçeteleri, sertifikaları ve lisansları da doğrulamalıdır. Kopyalar sürüm etiketlerine sahip olmalı ve çevrimdışı ya da değiştirilemez korumayla saklanmalıdır. En az bir kurtarma çalışması yedek veya sanallaştırılmış ekipman üzerinde gerçekleştirilmelidir. Yazılımı bulmak, lisansları etkinleştirmek, iletişimi kurmak ve bilinen iyi durumdaki bir projeyi geri yüklemek için gereken süre, gerçek indirme süresini çoğu zaman aşar.

Olay müdahale planlarının tesis rollerini de içermesi gerekir. Operatörler hangi belirtilerin üst makamlara bildirim gerektirdiğini bilmelidir. Kontrol mühendisleri, duruş süresini uzatmadan kanıtları korumaya yönelik prosedürlere ihtiyaç duyar. BT müdahale ekipleri, süreç yetkilendirmesi olmadan operasyonel varlıkları yalıtmama veya yeniden başlatmama konusunda net bir kurala sahip olmalıdır. Masa başı tatbikatları, gerçek bir olay yaşanmadan önce çelişen varsayımları ortaya çıkarabilir.

Yerel entegrasyon bilgisi stratejik bir kontroldür

Alüminyum profil üretim tesislerinde uzmanlaşmış, Rockwell PartnerNetwork altın seviye OEM’i H.S. Automation değerlendirmeyi gerçekleştiriyor. Bu yerel proses bilgisi, önerileri daha uygulanabilir hale getirebilir. Üretim sıralarını, duruş aralıklarını veya ekipman destek kısıtlarını göz ardı eden güvenlik kontrolleri kâğıt üzerinde kalma eğilimindedir. Makinelere aşina bir iş ortağı, riski bakım ve operasyon ekiplerinin sürdürebileceği değişikliklere dönüştürebilir.

Başarı ölçütü bulguların sayısı olmayacaktır. Önemli olan, Indinvest LT’nin güncel bir varlık taban çizgisi, savunulabilir bir öncelik listesi, daha güçlü bir kurtarma kapasitesi ve tekrarlanabilir bir inceleme döngüsü kazanıp kazanmadığıdır. Siber güvenlik olgunluğu; istisnalar belgelendiğinde, geçici erişimlerin süresi dolduğunda, yedeklemeler test edildiğinde, değişiklikler izlenebilir olduğunda ve yönetim hangi üretim risklerinin devam ettiğini açıklayabildiğinde görünür hale gelir.

Bu girişim, uzun ömürlü tesislerini modernleştiren üreticiler için yararlı bir modeldir. Kanıtlarla başlayın, operasyonel sonuçlara göre önceliklendirin, kontrollü aşamalarla uygulayın ve her kontrolün gerçek üretim kısıtları altında çalıştığını doğrulayın. Bir değerlendirme ancak böylece başka bir rapor değil, dayanıklılık haline gelir.