Cyberbezpieczeństwo przemysłowe w ochronie produkcji

Linia produkcyjna nie zatrzymuje się dlatego, że ktoś wybrał złe hasło. Często pierwszym sygnałem jest niewyjaśniony błąd komunikacji: konserwator nie może dotrzeć do kontrolera, dane produkcyjne nie docierają do ERP, drukarka etykiet nie działa, a kierownik zmiany nagle może śledzić postępy tylko na papierze. W takich sytuacjach okazuje się, że przemysłowe bezpieczeństwo cybernetyczne nie jest wyłącznie sprawą działu IT. Dotyczy ciągłości produkcji, jakości, terminów dostaw i informacji niezbędnych do podejmowania decyzji operacyjnych.

Awaria systemu biurowego również może być poważnym problemem. W środowisku przemysłowym jednak źle zarządzany incydent może spowodować przestój, wadliwe produkty, uszkodzenie maszyn lub nawet zagrożenie bezpieczeństwa pracy. Dlatego odpowiednie pytanie nie brzmi: „czy mamy zaporę ogniową?”, ale które procesy operacyjne zostaną naruszone, jeśli system, połączenie lub urządzenie nie działa zgodnie z oczekiwaniami.

Dlaczego bezpieczeństwo cybernetyczne w przemyśle jest inne?

W systemach IT dla biznesu poufność często jest priorytetem: kto ma dostęp do danych finansowych, danych klientów czy umów. W technologii przemysłowej - w środowisku PLC, systemów SCADA, urządzeń produkcyjnych, czujników, komórek robotycznych i rozwiązań nadzorczych - dostępność i bezpieczeństwo działania często są ważniejsze.

Ponowne uruchomienie komputera biurowego z powodu aktualizacji bezpieczeństwa może być uciążliwe. Jednak ponowne uruchomienie kontrolera produkcji lub komputera przemysłowego podłączonego do starszej maszyny może przerwać operację, wpłynąć na partię produkcyjną lub rozpocząć dłuższą procedurę ponownego uruchomienia. Dlatego sprawdzone w IT biurowym środki nie mogą być automatycznie przenoszone do zakładu.

To nie oznacza, że systemy przemysłowe powinny pozostać niezmienione. Oznacza to, że każda zmiana musi być zaplanowana z uwzględnieniem procesu produkcyjnego, wymagań dostawcy maszyn, możliwości konserwacji i kosztów przestoju. Celem ochrony nie jest wprowadzenie jak największej ilości technologii do sieci, ale zapobieganie niekontrolowanemu rozprzestrzenianiu się błędu lub ataku.

Największe ryzyko często wynika z braku przejrzystości

W wielu zakładach sieć i środowisko produkcyjne rozwijały się przez lata. Pojawiła się nowa maszyna, zewnętrzny partner uzyskał zdalny dostęp, później wprowadzono rozwiązanie do zbierania danych, a następnie połączenie raportowe z systemami biurowymi. Każda z tych decyzji mogła być uzasadniona osobno. Jednak razem mogą tworzyć zależności, które nikt nie widzi w całości.

Zmiana wie, która maszyna jest krytyczna dla którego produktu. Konserwacja wie, który kontroler wymaga rzadkiej wiedzy specjalistycznej. IT wie, gdzie działają serwery i jakie istnieją dostępy. Jeśli ta wiedza nie jest połączona, podczas incydentu lub planowanego rozwoju każdy widzi tylko swoją część.

To również tworzy niepewność z biznesowego punktu widzenia. Jeśli zdalne połączenie dostawcy zostanie skompromitowane, czy wiadomo, do jakich systemów ma dostęp? Jeśli stara maszyna oparta na Windows nie może być już aktualizowana, czy można ją bezpiecznie odseparować od reszty sieci? Jeśli dane produkcyjne nie docierają, które decyzje, dostawy lub faktury są opóźnione?

Pierwszym krokiem w przemysłowym bezpieczeństwie cybernetycznym nie jest zatem zakup nowego produktu, ale odkrycie rzeczywistej sytuacji. Nie idealizowanej wersji schematu sieci, ale tego, co faktycznie działa w fabryce.

Najpierw należy zidentyfikować krytyczne operacje

Dobre badanie zaczyna się od pytań operacyjnych. Który etap produkcji nie może się zatrzymać nawet na kilka godzin? Które systemy przekazują sobie dane? Gdzie nadal odbywa się ręczne wprowadzanie danych, przesyłanie danych przez USB lub uzgodnienia telefoniczne? Kto może ingerować w kontrolę i z jaką zgodą?

Z tych odpowiedzi może powstać priorytetowa lista, którą można zarządzać na podstawie biznesowej. Nie każde urządzenie stanowi to samo ryzyko. Oddzielna stacja pomiarowa, której awaria powoduje jedną zmianę dodatkowej pracy, wymaga innej ochrony niż awaria centralnego serwera SCADA, która dotyczy wielu linii produkcyjnych.

Minimalna, ale użyteczna podstawa zazwyczaj obejmuje cztery obszary:

• dokładna ewidencja urządzeń i połączeń,
• kontrolowane, role-based access,
• świadome oddzielenie sieci biurowych i operacyjnych,
• przetestowane procedury tworzenia kopii zapasowych i odzyskiwania.

Te działania nie są spektakularne, ale to tutaj często decyduje się, czy problem stanie się zakłóceniem operacyjnym, czy kilkudniowym przestojem. Na przykład kopia zapasowa zapewnia ochronę tylko wtedy, gdy niezbędne konfiguracje, receptury produkcyjne i krytyczne systemy można realistycznie przywrócić w dostępnych ramach czasowych.

Oddzielenie sieci nie jest równoznaczne z izolacją

Dane produkcyjne są potrzebne kierownictwu, zapewnieniu jakości, logistyce, a często także obsłudze klienta. Dlatego nie jest realistycznym celem całkowite odłączenie sieci operacyjnej od wszystkich systemów biznesowych. Dane muszą często się przemieszczać: z zamówienia powstaje zapotrzebowanie produkcyjne, z produkcji informacja o stanie zapasów, a z zapasów dostawa i fakturowanie.

Pytanie brzmi, jak te informacje się przemieszczają. Jeśli połączenia są realizowane przez jedną wspólną sieć, wspólne konta użytkowników i stare, niedokumentowane zdalne dostępy, to incydent biurowy może łatwo dotrzeć do środowiska operacyjnego. Jeśli jednak połączenia opierają się na wyznaczonych, niezbędnych i rejestrowanych przepływach danych, ryzyko można znacznie zmniejszyć.

Tutaj również istnieje kompromis. Zbyt surowe oddzielenie może spowolnić rozwiązywanie problemów i konserwację. Zbyt otwarty dostęp jest wygodniejszy, ale może mieć nieprzewidywalne konsekwencje. Odpowiedni poziom zależy od tego, jak krytyczny jest proces, jak często potrzebne jest wsparcie zewnętrzne i jakie są zdolności odzyskiwania danego zakładu.

Zdalny dostęp wymaga zasad operacyjnych

Zdalne wsparcie dostawców maszyn i integratorów jest niezbędne w wielu firmach. W przypadku rzadkiego błędu kontrolnego można zaoszczędzić cenne godziny, jeśli odpowiedni specjalista szybko przeprowadzi diagnostykę. Problemem nie jest sam zdalny dostęp, ale nieograniczony, stały i trudny do śledzenia dostęp.

W kontrolowanym modelu dostęp jest otwierany tylko w uzasadnionych przypadkach, na określony czas. Jasne jest, który partner ma dostęp do którego systemu, kto zatwierdził połączenie i co się działo podczas pracy. To nie jest biurokracja. Po awarii to umożliwia zespołowi pracę na podstawie zarejestrowanych zdarzeń, a nie przypuszczeń.

To samo dotyczy wewnętrznych uprawnień. Jeśli wiele zmian, konserwatorów, administratorów systemów i zewnętrznych partnerów używa tego samego wspólnego konta, dostęp jest szybki, ale odpowiedzialność i możliwość audytu znikają. Dostęp osobisty, oparty na rolach wymaga początkowo większej dyscypliny, ale na dłuższą metę powoduje mniej ryzyka i mniej sporów.

Zdolność do odzyskiwania jest ważniejsza niż plan istniejący na papierze

Wiele organizacji posiada dokumentację zarządzania incydentami. Mniej organizacji mogłoby jednoznacznie powiedzieć, kto decyduje o kontrolowanym zatrzymaniu linii produkcyjnej, skąd przywracany jest program kontrolera, lub jak działa zarządzanie zamówieniami, jeśli dane produkcyjne są tymczasowo niedostępne.

Działający plan jest przygotowany na konkretne sytuacje. Na przykład, gdy serwer plików staje się niedostępny z powodu ataku ransomware, podczas gdy komórki produkcyjne nadal działają. W takim przypadku należy wyjaśnić, czy produkcja może być bezpiecznie kontynuowana, skąd można uzyskać niezbędne receptury, jak dokumentować produkcję i kto komunikuje się z logistyką.

W praktyce często ujawniają się problemy procesowe, a nie technologiczne: brak jednoznacznego odpowiedzialnego za decyzję, krytyczna konfiguracja znajduje się tylko na jednym laptopie, lub ręczny proces obejścia zna tylko doświadczony kolega. Nie rozwiąże tego nowe narzędzie bezpieczeństwa, ale dokumentowane odpowiedzialności, kontrolowany przepływ informacji i regularne testy.

Przemysłowe bezpieczeństwo cybernetyczne jako dyscyplina operacyjna

Bezpieczeństwo cybernetyczne staje się zrównoważone, gdy nie jest traktowane jako oddzielny projekt, ale jako część operacji. Przy zakupie nowej maszyny wymagania sieciowe, zdalne wsparcie, kopie zapasowe i odpowiedzialności są tak samo ważne jak wydajność czy umowa serwisowa. W przypadku integracji systemów nie wystarczy, że dane przechodzą z punktu A do punktu B: trzeba też wiedzieć, co się dzieje w przypadku błędnych, brakujących lub opóźnionych danych.

W podejściu CGAT takie kwestie zawsze warto badać razem z procesem operacyjnym. Ochrona techniczna przynosi prawdziwą wartość, gdy jednocześnie poprawia się przejrzystość, zmniejsza się wiedza związana z jedną osobą, a kierownictwo ma bardziej wiarygodny obraz stanu produkcji.

Dobrze chroniony zakład nie jest silny dlatego, że nigdy nic się nie psuje. Jest silny, ponieważ wie, co jest krytyczne, kto podejmuje decyzje, na jakich danych się opiera i jak kontrolowanie wraca do normalnego działania, gdy jednak wystąpi błąd.