Ipari kiberbiztonság a termelés védelmében

Egy termelési sor nem azért áll le, mert valaki feltétlenül rossz jelszót választott. Gyakran az első jel egy megmagyarázhatatlan kommunikációs hiba: a karbantartó nem éri el a vezérlőt, a gyártási adatok nem jutnak el az ERP-be, a címkenyomtató nem működik, vagy a műszakvezető hirtelen csak papíron tudja követni, mi készült el. Ilyenkor derül ki, hogy az ipari kiberbiztonság nem kizárólag az IT-osztály ügye. A termelés folytonosságáról, a minőségről, a szállítási határidőkről és az üzemi döntésekhez szükséges információról szól.

Egy irodai rendszer kiesése is komoly probléma lehet. Egy ipari környezetben azonban egy hibásan kezelt incidens leállást, selejtet, gépkárt vagy akár munkavédelmi kockázatot is okozhat. Ezért a megfelelő kérdés nem az, hogy „van-e tűzfalunk?”, hanem az, hogy pontosan mely üzemi folyamatok sérülnek, ha egy rendszer, kapcsolat vagy eszköz nem működik a várt módon.

Miért más az ipari kiberbiztonság?

Az üzleti IT-rendszerekben a bizalmasság gyakran elsődleges szempont: ki fér hozzá pénzügyi adatokhoz, ügyféladatokhoz vagy szerződésekhez. Az ipari technológiában - PLC-k, SCADA-rendszerek, gyártóberendezések, szenzorok, robotcellák és felügyeleti megoldások környezetében - a rendelkezésre állás és a működés biztonsága sokszor előrébb kerül.

Egy irodai számítógép biztonsági frissítés miatti újraindítása kellemetlen lehet. Egy termelési vezérlő vagy egy régebbi géphez kapcsolódó ipari számítógép újraindítása viszont megakaszthat egy műveletet, befolyásolhat egy gyártási tételt, vagy hosszabb újraindítási procedúrát indíthat el. Emiatt az irodai IT-ban bevált intézkedések nem ültethetők át automatikusan az üzembe.

Ez nem azt jelenti, hogy az ipari rendszereket változatlanul kell hagyni. Azt jelenti, hogy minden változtatást a gyártási folyamat, a gépszállítói előírások, a karbantartási lehetőségek és a leállás üzleti költségeinek ismeretében kell megtervezni. A védelem célja nem az, hogy minél több technológia kerüljön a hálózatba, hanem hogy egy hiba vagy támadás ne tudjon ellenőrizetlenül továbbterjedni.

A legnagyobb kockázat gyakran az átláthatatlanság

Sok üzemben a hálózat és a termelési környezet évek alatt alakult ki. Új gép érkezett, egy külső partner távoli hozzáférést kapott, később bekerült egy adatgyűjtő megoldás, majd egy riportálási kapcsolat az irodai rendszerek felé. Ezek külön-külön indokolt döntések lehettek. Együtt azonban olyan függőségeket hozhatnak létre, amelyeket már senki nem lát teljes egészében.

A műszak tudja, melyik gép melyik termékhez kritikus. A karbantartás tudja, melyik vezérlőhöz kell ritka szakértelem. Az IT tudja, hol futnak a szerverek és milyen hozzáférések léteznek. Ha ez a tudás nincs összekapcsolva, egy incidens vagy tervezett fejlesztés során mindenki csak a saját részét látja.

Ez üzleti szempontból is bizonytalanságot teremt. Ha egy beszállító távoli kapcsolata kompromittálódik, tudható-e, milyen rendszerekhez ér el? Ha egy régi Windows-alapú gép már nem frissíthető, elválasztható-e biztonságosan a többi hálózattól? Ha a termelési adatok nem érkeznek meg, melyik döntés, kiszállítás vagy számla késik emiatt?

Az ipari kiberbiztonság első lépése ezért rendszerint nem egy új termék beszerzése, hanem a valós helyzet feltárása. Nem a hálózati rajz idealizált változatát, hanem azt, ami ténylegesen működik a gyárban.

Először a kritikus működést kell azonosítani

A jó felmérés üzemi kérdésekkel kezdődik. Melyik termelési lépés nem állhat le néhány órára sem? Mely rendszerek adják át egymásnak az adatot? Hol történik még kézi adatbevitel, USB-s adatmozgatás vagy telefonos egyeztetés? Ki tud beavatkozni egy vezérlésbe, és milyen jóváhagyással?

Ezekből a válaszokból kialakulhat egy olyan prioritási sorrend, amely üzleti alapon kezelhető. Nem minden eszköz jelent azonos kockázatot. Egy elkülönített mérőállomás, amelynek hibája egy műszaknyi utómunkát okoz, más védelmet igényel, mint egy központi SCADA-szerver kiesése, amely több gyártósort érint.

A minimális, de használható alap általában négy területet fed le:

• pontos eszköz- és kapcsolati nyilvántartás,
• szerepkörökhöz kötött, ellenőrizhető hozzáférések,
• az irodai és üzemi hálózatok tudatos elkülönítése,
• tesztelt mentési és helyreállítási eljárások.

Ezek nem látványos intézkedések, mégis itt dől el sok esetben, hogy egy probléma kezelhető üzemzavarrá vagy többnapos leállássá válik-e. A mentés például csak akkor jelent védelmet, ha a szükséges konfigurációk, gyártási receptek és kritikus rendszerek visszaállítása reálisan elvégezhető a rendelkezésre álló időn belül.

A hálózati elkülönítés nem egyenlő az elszigeteléssel

A termelési adatokra a vezetésnek, a minőségbiztosításnak, a logisztikának és gyakran az ügyfélszolgálatnak is szüksége van. Ezért nem életszerű cél, hogy az üzemi hálózatot teljesen leválasszák minden üzleti rendszerről. Az adatoknak sok esetben mozogniuk kell: a rendelésből gyártási igény lesz, a gyártásból készletinformáció, a készletből pedig szállítás és számlázás.

A kérdés az, hogyan mozognak ezek az információk. Ha a kapcsolatokat egyetlen közös hálózat, megosztott felhasználói fiókok és régi, dokumentálatlan távoli elérések jelentik, akkor egy irodai incidens könnyen elérheti az üzemi környezetet is. Ha viszont a kapcsolatok kijelölt, szükséges és naplózható adatfolyamokra épülnek, a kockázat jelentősen csökkenthető.

Itt is van kompromisszum. A túl szigorú elkülönítés lelassíthatja a hibakeresést és a karbantartást. A túl nyitott hozzáférés kényelmesebb, de kiszámíthatatlan következményekkel járhat. A megfelelő szint attól függ, milyen kritikus a folyamat, milyen gyakran szükséges külső támogatás, és milyen helyreállítási képessége van az adott üzemnek.

A távoli hozzáférésnek üzemi szabályokra van szüksége

A gépszállítók és integrátorok távoli támogatása sok vállalatnál elengedhetetlen. Egy ritka vezérlési hiba esetén értékes órákat takaríthat meg, ha a megfelelő szakember gyorsan diagnosztikát tud végezni. A probléma nem maga a távoli hozzáférés, hanem a korlátlan, állandó és nehezen visszakövethető elérés.

Egy ellenőrzött modellben a hozzáférés csak indokolt esetben, meghatározott időre nyílik meg. Egyértelmű, melyik partner melyik rendszerhez férhet hozzá, ki engedélyezte a kapcsolatot, és mi történt a munkavégzés alatt. Ez nem bürokrácia. Egy üzemzavar után ez teszi lehetővé, hogy a csapat ne feltételezésekből, hanem naplózott eseményekből dolgozzon.

Ugyanez igaz a belső jogosultságokra is. Ha több műszak, karbantartó, rendszergazda és külső partner ugyanazt a közös fiókot használja, a hozzáférés ugyan gyors, de a felelősség és a vizsgálhatóság eltűnik. A személyhez kötött, szerepkör alapú hozzáférés kezdetben több fegyelmet igényel, hosszú távon viszont kevesebb kockázatot és kevesebb vitát okoz.

A helyreállítási képesség fontosabb, mint a papíron létező terv

Sok szervezetnek van incidenskezelési dokumentuma. Kevesebb szervezet tudná egyértelműen megmondani, ki dönt egy gyártósor kontrollált leállításáról, honnan állítják vissza a vezérlőprogramot, vagy hogyan működik tovább a rendeléskezelés, ha a gyártási adatok átmenetileg nem érhetők el.

A működő terv konkrét helyzetekre készül. Például arra, hogy egy zsarolóvírus miatt elérhetetlenné válik egy fájlszerver, miközben a gyártócellák még működnek. Ilyenkor tisztázni kell, hogy a termelés folytatható-e biztonságosan, honnan érhetők el a szükséges receptek, hogyan dokumentálják a gyártást, és ki kommunikál a logisztikával.

A gyakorlat során gyakran nem technológiai, hanem folyamatproblémák derülnek ki: nincs egyértelmű felelőse a döntésnek, a kritikus konfiguráció egyetlen laptopon található, vagy a kézi kerülőfolyamatot csak egy tapasztalt kolléga ismeri. Ezeket nem egy új biztonsági eszköz oldja meg, hanem dokumentált felelősségek, ellenőrzött információáramlás és rendszeres tesztelés.

Ipari kiberbiztonság mint működési fegyelem

A kiberbiztonság akkor válik fenntarthatóvá, ha nem külön projektként, hanem az üzemeltetés részévé válik. Új gép beszerzésekor a hálózati igények, a távoli támogatás, a mentés és a felelősségek ugyanúgy tervezési kérdések, mint a teljesítmény vagy a karbantartási szerződés. Egy rendszerintegráció esetén pedig nem elég, hogy az adat átjut A pontból B-be: azt is tudni kell, mi történik hibás, hiányzó vagy késve érkező adat esetén.

A CGAT szemléletében az ilyen kérdéseket mindig a működési folyamattal együtt érdemes vizsgálni. A technikai védelem akkor ad valódi értéket, ha közben javul az átláthatóság, csökken az egyetlen emberhez kötődő tudás, és a vezetés megbízhatóbb képet kap a termelés állapotáról.

Egy jól védett üzem nem attól erős, hogy soha semmi nem hibásodik meg. Attól, hogy tudja, mi kritikus, ki dönt, milyen adatra támaszkodik, és hogyan tér vissza kontrolláltan a normál működéshez, amikor mégis hiba történik.