Khi các hệ thống công nghiệp trở thành chiến trường kỹ thuật số

Các hệ thống tự động hóa công nghiệp không còn là những môi trường biệt lập. Lưới điện, nhà máy lọc dầu và các nhà máy sản xuất hiện kết nối với nền tảng đám mây và mạng bên ngoài.

Khả năng kết nối này cải thiện hiệu quả nhưng cũng mở rộng bề mặt tấn công. Các mối đe dọa mạng giờ đây có thể nhắm vào bộ điều khiển, thiết bị hiện trường và thậm chí cả các hệ thống an toàn.

IEC 62443 xuất hiện như một giải pháp có cấu trúc cho sự chuyển đổi này, xác định cách bảo mật các hệ thống công nghiệp trong suốt vòng đời của chúng.

Sự chuyển đổi về kỹ thuật đằng sau IEC 62443

IEC 62443 không chỉ là một hướng dẫn. Đây là khung an ninh mạng dựa trên vòng đời, được thiết kế riêng cho các hệ thống điều khiển công nghiệp (ICS).

Tiêu chuẩn đề cập đến vấn đề bảo mật từ khâu thiết kế sản phẩm đến tích hợp hệ thống và vận hành nhà máy. Điều này khiến tiêu chuẩn phù hợp với các nhà sản xuất, nhà tích hợp hệ thống và chủ sở hữu tài sản.

Tiêu chuẩn này áp dụng biện pháp bảo vệ theo nhiều lớp, đảm bảo không có một lỗ hổng đơn lẻ nào có thể xâm phạm toàn bộ mạng công nghiệp.

OT và IT không còn sử dụng cùng một ngôn ngữ

Các hệ thống Công nghệ Thông tin tập trung vào xử lý dữ liệu, trong khi các hệ thống Công nghệ Vận hành kiểm soát những quy trình vật lý.

Môi trường OT bao gồm PLC, RTU, rơ-le và HMI, những thành phần tương tác trực tiếp với máy móc và hạ tầng điện.

Ngược lại, các hệ thống CNTT quản lý máy chủ, cơ sở dữ liệu và nền tảng đám mây dùng để lưu trữ và xử lý dữ liệu doanh nghiệp.

Khi sự hội tụ ngày càng gia tăng, các hệ thống phải cân bằng giữa an toàn, thời gian hoạt động và an ninh mạng mà không làm gián đoạn hoạt động vận hành.

Các ưu tiên bảo mật thay đổi trong môi trường công nghiệp

An ninh mạng CNTT truyền thống dựa trên mô hình CIA: tính bảo mật, tính toàn vẹn và tính sẵn sàng.

Các hệ thống công nghiệp đảo ngược thứ tự ưu tiên này, nhấn mạnh tính sẵn sàng trước tiên vì thời gian ngừng hoạt động có thể tác động trực tiếp đến sản xuất hoặc sự ổn định của lưới điện.

Tính toàn vẹn được ưu tiên ngay sau đó, nhằm đảm bảo dữ liệu quy trình luôn chính xác và không bị can thiệp trong quá trình vận hành.

Tính bảo mật thường được xếp ở mức thấp hơn do các giao thức cũ vẫn được sử dụng rộng rãi trong môi trường hiện trường.

Một cách diễn giải khác về CIA trong mạng OT

Trong các hệ thống OT, tính sẵn sàng trở thành mối quan tâm hàng đầu, đặc biệt trong những cơ sở hạ tầng trọng yếu như tua-bin hoặc trạm biến áp.

Tín hiệu bị sai lệch hoặc lệnh điều khiển bị trì hoãn có thể khiến thiết bị ngắt hoạt động hoặc tạo ra các điều kiện vận hành không an toàn.

Các hệ thống cũ sử dụng những giao thức như Modbus thường không có mã hóa, càng nhấn mạnh nhu cầu triển khai các lớp bảo mật bù trừ.

Bên trong cấu trúc của các hệ thống điều khiển công nghiệp hiện đại

Hệ thống tự động hóa công nghiệp, còn được gọi là IACS, kết hợp nhiều lớp thành phần phần cứng và phần mềm.

Các lớp này bao gồm bộ điều khiển tích hợp, hệ thống máy chủ, hạ tầng mạng và các ứng dụng phần mềm công nghiệp.

Mỗi lớp đều phát sinh các lỗ hổng tiềm ẩn cần được xử lý trong một mô hình bảo mật thống nhất.

Các kiến trúc hiện đại thường dựa vào những nền tảng như hệ thống công nghiệp Siemens và các môi trường điều khiển tích hợp được kết nối thông qua mạng truyền thông bảo mật.

IEC 62443 tổ chức trách nhiệm về an ninh mạng như thế nào

Khung IEC 62443 phân chia trách nhiệm thành bốn phân đoạn có cấu trúc, bao quát các vai trò khác nhau trong hệ sinh thái công nghiệp.

Sự phân tách này đảm bảo trách nhiệm giải trình trong phát triển sản phẩm, thiết kế hệ thống và quản lý vận hành.

Tiêu chuẩn cũng cho phép mở rộng bảo mật theo mức độ phức tạp của hệ thống mà không làm mất đi sự rõ ràng trong quản trị.

Từ chính sách đến thành phần

Phần chung xác định thuật ngữ và các khái niệm nền tảng về an ninh mạng cho các hệ thống công nghiệp.

Lớp chính sách và quy trình tập trung vào các chủ sở hữu tài sản chịu trách nhiệm quản lý rủi ro và quản trị vận hành.

Cấp độ hệ thống hỗ trợ các đơn vị tích hợp thiết kế kiến trúc bảo mật cho các triển khai thực tế.

Cấp độ thành phần hướng dẫn các nhà sản xuất xây dựng các sản phẩm công nghiệp bảo mật ngay từ thiết kế.

Các lớp này tạo nên một mô hình bảo mật toàn diện bao phủ toàn bộ vòng đời công nghiệp.

Vì sao IEC 62443 quan trọng trong các dự án tự động hóa hiện đại

An ninh mạng không còn là tính năng tùy chọn trong tự động hóa công nghiệp. Đây đã trở thành một yêu cầu của hệ thống.

Mạng PLC, nền tảng SCADA và hệ thống điều khiển phân tán hiện phụ thuộc vào việc thẩm định bảo mật có cấu trúc.

Các kỹ sư ngày càng dựa vào những kiến trúc bảo mật tương tự như các kiến trúc trong nền tảng tự động hóa Emerson và các hệ sinh thái cấp công nghiệp khác.

Tiêu chuẩn này cũng tương thích với các khung quốc tế như NIST và ISO 27001, củng cố tính phù hợp trên phạm vi toàn cầu.

Định hướng của ngành: hội tụ với khả năng phục hồi vận hành

Ngành công nghiệp đang hướng tới các kiến trúc bảo mật OT/CNTT hợp nhất. Điều này bao gồm phân đoạn mạng, các nguyên tắc zero trust và giám sát liên tục.

Các hệ thống tại hiện trường hiện đòi hỏi khả năng phát hiện mối đe dọa theo thời gian thực mà không ảnh hưởng đến hiệu suất điều khiển mang tính xác định.

Các nhà cung cấp đang tích hợp trực tiếp các tính năng an ninh mạng vào PLC, biến tần và mô-đun mạng.

Sự chuyển đổi này biến an ninh mạng từ một lớp bên ngoài thành một chức năng vốn có của hệ thống.

Góc nhìn thực tiễn từ lĩnh vực kỹ thuật

IEC 62443 thành công vì thấu hiểu thực tế công nghiệp. Tiêu chuẩn không áp đặt các mô hình CNTT lên môi trường OT.

Thay vào đó, tiêu chuẩn cân bằng giữa an toàn, tính sẵn sàng và an ninh mạng thông qua các nguyên tắc kỹ thuật có cấu trúc.

Điểm mạnh thực sự của tiêu chuẩn nằm ở khả năng thích ứng trong các ngành như phát điện, dầu khí và sản xuất rời rạc.

Tuy nhiên, việc triển khai vẫn phụ thuộc nhiều vào tính kỷ luật trong kỹ thuật và nhận thức ở cấp độ hệ thống.

Qua kinh nghiệm làm việc với các hệ thống điều khiển được triển khai trong môi trường ABB, Schneider và Siemens, tôi nhận thấy khoảng cách lớn nhất không nằm ở công nghệ mà ở sự đồng bộ giữa các ưu tiên vận hành và thiết kế an ninh mạng. IEC 62443 giúp thu hẹp khoảng cách đó, nhưng chỉ khi được áp dụng với tính kỷ luật trong kỹ thuật thay vì tư duy đối phó để tuân thủ.

Daniel Mercer, Chuyên viên phân tích an ninh mạng công nghiệp | 14 năm làm việc với PLC, DCS và tích hợp bảo mật OT trên các hệ thống Siemens, Honeywell và Emerson