Przyszłość cyberbezpieczeństwa przemysłowego w produkcji

Linia produkcyjna w poniedziałek rano nie zatrzymuje się z powodu fizycznej awarii maszyny. Ekrany operatorów nie aktualizują się, kierownik zmiany nie widzi statusów, a dział utrzymania ruchu nie wie, czy doszło do błędu sterowania, sieciowego czy połączenia danych. Tymczasem w ERP nadal napływają zamówienia, magazyn pracuje, a obsługa klienta nie może podać wiarygodnych informacji o dostawie. Przyszłość cyberbezpieczeństwa przemysłowego staje się kwestią biznesową w takich sytuacjach.

Dla producentów i firm przemysłowych cyberbezpieczeństwo przez długi czas oznaczało głównie IT biurowe: e-maile, konta użytkowników, serwery i dane finansowe. Obecnie środowisko produkcyjne jest również połączone z resztą systemów firmy. Dane produkcyjne, informacje o zapasach, historia konserwacji, relacje z dostawcami i zdalne wsparcie coraz częściej stają się częścią tej samej działalności biznesowej.

Może to przynieść korzyści: szybsze podejmowanie decyzji, dokładniejsze planowanie i lepsze śledzenie. Jednak źle zarządzane połączenie może nie tylko prowadzić do utraty danych. Produkcja może zostać zatrzymana, parametry procesu mogą się zmienić, jakość może ucierpieć, lub po prostu może zniknąć przejrzystość potrzebna kierownictwu.

Przyszłość cyberbezpieczeństwa przemysłowego to nie kwestia produktu

Często po incydencie lub audycie firma szuka nowego oprogramowania ochronnego, zapory ogniowej lub narzędzia monitorującego. Mają one swoje miejsce, ale same nie odpowiadają na ważniejsze pytania: bez których systemów zakład nie może produkować? Kto i w jakim celu ma do nich dostęp? Jakie dane lub polecenia są między nimi przesyłane? Co się stanie, jeśli połączenie zostanie przerwane na godzinę, dzień lub tydzień?

W środowisku przemysłowym bezpieczeństwo nie może być oddzielone od ciągłości biznesowej. Planowane wyłączenie systemu biurowego może być nieprzyjemne. Niespodziewana awaria systemu zarządzania produkcją lub nadzoru nad maszynami może jednak oznaczać odpady, opóźnienia, ryzyko kontraktowe, a nawet problemy z bezpieczeństwem pracy.

Dlatego właściwym punktem wyjścia nie jest to, jaką technologię firma powinna kupić. Najpierw trzeba zrozumieć, jak faktycznie działa zakład. W wielu organizacjach schemat procesu i rzeczywistość różnią się: zewnętrzny partner wspiera starą maszynę zdalnie, inżynier przesyła dane z własnego laptopa, lub wspólne konto użytkownika jest wciąż używane, bo tak było szybciej przy zmianie zmiany.

Nie zawsze wynikają one z braku dyscypliny. Są to zazwyczaj praktyczne rozwiązania, które szybko odpowiadały na wcześniejszy problem operacyjny. Z czasem stają się jednak niewidocznymi zależnościami.

Powierzchnia ataku rośnie tam, gdzie systemy się łączą

Zbliżenie technologii produkcyjnej i informatyki korporacyjnej jest uzasadnione biznesowo. Kierownictwo chce mieć dane produkcyjne w czasie rzeczywistym. Dział utrzymania ruchu chciałby diagnozować zdalnie. Informacje o zapasach i produkcji muszą być dostępne w ERP, logistyce, a często także w komunikacji z klientem.

Problemem nie jest sama integracja. Problemem jest, jeśli nikt nie widzi systemu jako całości. Infekcja zaczynająca się od systemu fakturowania, skompromitowane konto dostawcy lub nieaktualizowane rozwiązanie zdalnego dostępu staje się naprawdę poważne, jeśli może niekontrolowanie dotrzeć do sieci operacyjnej.

Przyszłe bezpieczeństwo przemysłowe dotyczy mniej ochrony izolowanych urządzeń, a bardziej świadomego zarządzania połączeniami. Trzeba wiedzieć, który system z którym się komunikuje, jakie dane przekazuje, kto może inicjować połączenie i czy jest ono w ogóle potrzebne.

To oznacza również dyscyplinę operacyjną. Nie wszystkie dane muszą trafiać do każdego systemu, a nie każdy zewnętrzny podmiot musi mieć ciągły dostęp. Zdalny dostęp dla dostawcy, ograniczony czasowo i rejestrowany, jest znacznie łatwiejszy do zarządzania niż wspólnie używane konto utworzone lata temu, którego właściciel już nie pracuje w firmie.

Najpierw widoczność, potem ochrona

W wielu fabrykach największym ryzykiem nie jest znana podatność, ale nieznane urządzenie. Stare PLC, komputery przemysłowe, systemy pomiarowe, kamery, urządzenia sieciowe i aplikacje działają bez aktualnych rejestrów. Urządzenie wykonuje swoje zadanie, więc nikt go nie dotyka. To zrozumiałe z punktu widzenia operacyjnego, ale niebezpieczne z punktu widzenia bezpieczeństwa i zrównoważonego rozwoju.

Widoczność niekoniecznie oznacza natychmiastowy duży projekt. Może zacząć się od mapowania krytycznych urządzeń i ich roli biznesowej. Które sterowanie zatrzymuje całą komórkę? Który serwer przechowuje receptury lub specyfikacje produkcyjne? Które połączenie jest niezbędne do codziennego działania, a które jest tylko wygodnym rozwiązaniem?

Na tej podstawie można zbudować znacznie bardziej realistyczną listę priorytetów niż ogólna lista kontrolna technologii. W przypadku maszyny, której nie można zatrzymać ani zaktualizować, potrzebna jest inna metoda ochrony niż w przypadku zwykłego stanowiska biurowego. Może się okazać, że izolacja sieciowa, ścisłe zarządzanie dostępem i ciągłe monitorowanie są bardziej wartościowe niż ryzykowna aktualizacja na miejscu.

Segmentacja to zadanie planowania operacyjnego

Segmentacja sieci często brzmi jak termin techniczny, ale w rzeczywistości dotyczy granic operacyjnych. Nie ma powodu, aby komputer użytkownika biurowego miał taki sam bezpośredni dostęp do systemów produkcyjnych jak kontrolowane stanowisko używane przez inżyniera utrzymania ruchu. Podobnie, nie jest konieczne, aby każda linia produkcyjna komunikowała się z urządzeniami z innych obszarów.

Celem nie jest budowanie cyfrowej ściany wokół produkcji i utrudnianie pracy. Nadmierne ograniczenia mogą również stwarzać ryzyko, jeśli pracownicy szukają obejść lub nie ma procedur w przypadku pilnego usuwania awarii. Dobre projektowanie podąża za procesami operacyjnymi: określa niezbędne ścieżki danych, dokumentuje wyjątki i umożliwia kontrolę dostępu.

Dobrze zaprojektowana granica zmniejsza szansę na to, że problem rozprzestrzeni się na całą firmę. Jeśli jeden obszar jest dotknięty, istnieje większa szansa, że pozostałe obszary pozostaną funkcjonalne. To nie tylko korzyść z punktu widzenia bezpieczeństwa, ale także podstawa ciągłości biznesowej.

Odzyskiwanie jest ważniejsze niż obietnica doskonałości

Nie ma ochrony, która wykluczałaby wszystkie błędy, złośliwe działania lub problemy z dostawcami. Dlatego dojrzałe organizacje przemysłowe nie przygotowują się wyłącznie na zapobieganie włamaniom, ale także na to, jak będą działać podczas i po incydencie.

Plan odzyskiwania musi odpowiadać na konkretne pytania operacyjne. Które systemy można uruchomić ponownie w jakiej kolejności? Czy są przetestowane, izolowane kopie zapasowe? Czy konfiguracje produkcyjne, receptury i programy sterujące są dostępne, jeśli oryginalny system nie jest użyteczny? Kto decyduje o zatrzymaniu, ponownym uruchomieniu i informowaniu klientów?

Kopia zapasowa sama w sobie nie jest gwarancją. Jeśli nigdy nie próbowano jej przywrócić, jest bardziej założeniem niż działającą zdolnością. To samo dotyczy scenariuszy incydentów. Regulamin istniejący tylko na papierze niewiele znaczy, jeśli kierownik zmiany, IT i zewnętrzny serwis nie wiedzą, co robić w pierwszych trzydziestu minutach.

Zgodność jest wartościowa, gdy poprawia działanie

Na firmy przemysłowe nakładane są coraz większe wymagania klientów, ubezpieczycieli i regulatorów. Wymagania NIS2, audyty dostawców i kwestionariusze bezpieczeństwa dużych partnerów korporacyjnych dla wielu liderów są postrzegane jako obciążenie administracyjne. Jest to zrozumiałe, zwłaszcza gdy dokumentacja nie jest zgodna z rzeczywistym działaniem.

Zgodność staje się jednak bardziej zarządzalna, gdy nie jest traktowana jako osobny projekt. Aktualny rejestr urządzeń, jasne zasady odpowiedzialności, kontrolowane dostępy, przetestowane kopie zapasowe i udokumentowane zmiany czynią codzienną działalność bardziej przewidywalną. Są przydatne nie tylko dla audytu.

Zadaniem lidera nie jest osobiste sprawdzanie każdego szczegółu technicznego. Zadaniem jest wyznaczenie odpowiedzialności, podejmowanie decyzji dotyczących ryzyka i regularne uzyskiwanie informacji zwrotnej o zmianach w krytycznych systemach. Cyberbezpieczeństwo nie jest wyłącznie wskaźnikiem wydajności działu IT, jeśli konsekwencje pojawiają się w produkcji.

Człowiek jest częścią ochrony, a nie przyczyną błędu

W rozmowach o ochronie systemów przemysłowych łatwo jest postrzegać pracowników jako ryzyko. W rzeczywistości większość ryzykownych rozwiązań wynika z konieczności obsługi produkcji, gdy procedury są wolne, niejasne lub nie pasują do rzeczywistej pracy.

Jeśli kierownik zmiany używa wspólnego hasła, ponieważ uzyskanie uprawnień trwa trzy dni, to nie jest to tylko problem edukacyjny. Proces musi zostać zrewidowany. Jeśli serwisant przynosi własne nośniki danych, ponieważ nie ma wyznaczonej i szybkiej metody przekazywania potrzebnych plików, to zasady operacyjne i potrzeby zakładu nie są zgodne.

Dobre działanie w zakresie bezpieczeństwa jest jasne, wykonalne i wspierające pracę. Pracownik powinien wiedzieć, co robić w podejrzanej sytuacji, ale także czuć, że jego zgłoszenie nie wywoła obwiniania, lecz szybką pomoc.

Przyszłe przedsiębiorstwo przemysłowe nie będzie bardziej chronione dzięki zakupowi większej liczby systemów. Będzie bardziej odporne, gdy dokładnie zrozumie swoje krytyczne procesy, kontroluje przepływ informacji i dostępów oraz potrafi kontrolowanie wrócić do działania, gdy coś niespodziewanie się zmieni.