Priemyselná kybernetická bezpečnosť na ochranu výroby

Výrobná linka sa nezastaví len preto, že si niekto vybral zlé heslo. Často je prvým znakom nevysvetliteľná komunikačná chyba: údržbár sa nemôže dostať k riadiacej jednotke, výrobné údaje sa nedostanú do ERP, tlačiareň etikiet nefunguje, alebo vedúci smeny môže sledovať, čo bolo vyrobené, len na papieri. Vtedy sa ukáže, že priemyselná kybernetická bezpečnosť nie je len záležitosťou IT oddelenia. Ide o kontinuitu výroby, kvalitu, dodacie lehoty a informácie potrebné pre prevádzkové rozhodnutia.

Výpadok kancelárskeho systému môže byť vážnym problémom. V priemyselnom prostredí však nesprávne riešený incident môže spôsobiť zastavenie, chyby, poškodenie strojov alebo dokonca riziko bezpečnosti práce. Preto správna otázka nie je, či máme firewall, ale ktoré prevádzkové procesy sú ohrozené, ak systém, spojenie alebo zariadenie nefunguje podľa očakávania.

Prečo je priemyselná kybernetická bezpečnosť iná?

V obchodných IT systémoch je dôvernosť často prioritou: kto má prístup k finančným údajom, údajom o zákazníkoch alebo zmluvám. V priemyselnej technológii - v prostredí PLC, SCADA systémov, výrobných zariadení, senzorov, robotických buniek a monitorovacích riešení - je dostupnosť a bezpečnosť prevádzky často dôležitejšia.

Reštart kancelárskeho počítača kvôli bezpečnostnej aktualizácii môže byť nepríjemný. Reštart výrobného riadiaceho systému alebo priemyselného počítača pripojeného k staršiemu stroju však môže prerušiť operáciu, ovplyvniť výrobnú dávku alebo spustiť dlhší proces reštartu. Preto opatrenia osvedčené v kancelárskom IT nemožno automaticky preniesť do prevádzky.

To neznamená, že priemyselné systémy by mali zostať nezmenené. Znamená to, že každú zmenu treba plánovať s ohľadom na výrobný proces, predpisy dodávateľov strojov, možnosti údržby a obchodné náklady na odstávku. Cieľom ochrany nie je zaviesť čo najviac technológií do siete, ale zabrániť nekontrolovanému šíreniu chyby alebo útoku.

Najväčšie riziko často spočíva v netransparentnosti

V mnohých prevádzkach sa sieť a výrobné prostredie vyvíjali roky. Prišiel nový stroj, externý partner získal vzdialený prístup, neskôr bola zavedená riešenie na zber údajov, potom prepojenie na reportovanie do kancelárskych systémov. Tieto rozhodnutia mohli byť jednotlivé opodstatnené. Spolu však môžu vytvoriť závislosti, ktoré už nikto nevidí v celku.

Smena vie, ktorý stroj je kritický pre ktorý produkt. Údržba vie, ktorý riadiaci systém vyžaduje zriedkavú odbornosť. IT vie, kde bežia servery a aké prístupy existujú. Ak tieto znalosti nie sú prepojené, počas incidentu alebo plánovaného vývoja každý vidí len svoju časť.

To vytvára neistotu aj z obchodného hľadiska. Ak je kompromitovaný vzdialený prístup dodávateľa, je známe, ku ktorým systémom má prístup? Ak starý systém založený na Windows už nemožno aktualizovať, môže byť bezpečne oddelený od ostatných sietí? Ak výrobné údaje neprichádzajú, ktoré rozhodnutie, dodávka alebo faktúra sa kvôli tomu oneskorí?

Prvým krokom priemyselnej kybernetickej bezpečnosti preto zvyčajne nie je nákup nového produktu, ale odhalenie skutočného stavu. Nie idealizovanú verziu sieťového plánu, ale to, čo skutočne funguje vo fabrike.

Najprv je potrebné identifikovať kritickú prevádzku

Dobrý prieskum začína prevádzkovými otázkami. Ktorý výrobný krok nemôže byť zastavený ani na niekoľko hodín? Ktoré systémy si navzájom odovzdávajú údaje? Kde sa ešte vykonáva manuálny vstup údajov, presun údajov cez USB alebo telefonické dohodnutie? Kto môže zasiahnuť do riadenia a s akým schválením?

Z týchto odpovedí môže vzniknúť prioritný zoznam, ktorý je možné riešiť na obchodnom základe. Nie každé zariadenie predstavuje rovnaké riziko. Izolovaná meracia stanica, ktorej chyba spôsobí jednu smenu dodatočnej práce, vyžaduje inú ochranu ako výpadok centrálneho SCADA servera, ktorý ovplyvňuje viacero výrobných liniek.

Minimálny, ale použiteľný základ zvyčajne pokrýva štyri oblasti:

• presná evidencia zariadení a spojení,
• overiteľné prístupy viazané na role,
• vedomé oddelenie kancelárskych a prevádzkových sietí,
• testované postupy zálohovania a obnovy.

Tieto opatrenia nie sú okázalé, ale často rozhodujú o tom, či sa problém dá zvládnuť ako prevádzková porucha alebo sa zmení na niekoľkodňovú odstávku. Záloha napríklad poskytuje ochranu len vtedy, ak je možné reálne obnoviť potrebné konfigurácie, výrobné recepty a kritické systémy v dostupnom čase.

Sieťové oddelenie nie je rovnaké ako izolácia

Výrobné údaje sú potrebné pre vedenie, zabezpečenie kvality, logistiku a často aj pre zákaznícky servis. Preto nie je realistickým cieľom úplne oddeliť prevádzkovú sieť od všetkých obchodných systémov. Údaje sa často musia pohybovať: z objednávky sa stáva výrobná požiadavka, z výroby sa stáva informácia o zásobách a zo zásob sa stáva dodávka a fakturácia.

Otázkou je, ako sa tieto informácie pohybujú. Ak sú spojenia zabezpečené jednou spoločnou sieťou, zdieľanými používateľskými účtami a starými, nedokumentovanými vzdialenými prístupmi, kancelársky incident môže ľahko zasiahnuť aj prevádzkové prostredie. Ak sú však spojenia založené na určených, potrebných a zaznamenateľných dátových tokoch, riziko sa dá výrazne znížiť.

Aj tu existuje kompromis. Príliš prísne oddelenie môže spomaliť hľadanie chýb a údržbu. Príliš otvorený prístup je pohodlnejší, ale môže mať nepredvídateľné dôsledky. Správna úroveň závisí od toho, aký kritický je proces, ako často je potrebná externá podpora a aké sú schopnosti obnovy danej prevádzky.

Vzdialený prístup potrebuje prevádzkové pravidlá

Vzdialená podpora dodávateľov strojov a integrátorov je v mnohých spoločnostiach nevyhnutná. V prípade zriedkavej chyby riadenia môže ušetriť drahocenné hodiny, ak odborník môže rýchlo vykonať diagnostiku. Problémom nie je samotný vzdialený prístup, ale neobmedzený, trvalý a ťažko sledovateľný prístup.

V kontrolovanom modeli sa prístup otvára len v odôvodnených prípadoch a na určený čas. Je jasné, ktorý partner má prístup k akému systému, kto schválil spojenie a čo sa stalo počas práce. To nie je byrokracia. Po prevádzkovej poruche to umožňuje tímu pracovať na základe zaznamenaných udalostí, nie predpokladov.

To isté platí aj pre interné oprávnenia. Ak viaceré smeny, údržbári, správcovia systémov a externí partneri používajú rovnaký spoločný účet, prístup je síce rýchly, ale zodpovednosť a možnosť kontroly sa strácajú. Osobne viazaný, na role založený prístup si na začiatku vyžaduje viac disciplíny, ale z dlhodobého hľadiska spôsobuje menej rizík a menej sporov.

Schopnosť obnovy je dôležitejšia ako plán existujúci na papieri

Mnoho organizácií má dokumentáciu na riešenie incidentov. Menej organizácií by však vedelo jednoznačne povedať, kto rozhoduje o kontrolovanom zastavení výrobnej linky, odkiaľ sa obnovuje riadiaci program alebo ako pokračuje spracovanie objednávok, ak sú výrobné údaje dočasne nedostupné.

Funkčný plán je pripravený na konkrétne situácie. Napríklad na to, že kvôli ransomvéru sa stane súborový server nedostupným, zatiaľ čo výrobné bunky ešte fungujú. V takom prípade je potrebné objasniť, či môže výroba bezpečne pokračovať, odkiaľ sú dostupné potrebné recepty, ako sa dokumentuje výroba a kto komunikuje s logistikou.

V praxi sa často ukáže, že nejde o technologické, ale o procesné problémy: nie je jasný zodpovedný za rozhodnutie, kritická konfigurácia sa nachádza len na jednom notebooku alebo manuálny obchádzkový proces pozná len jeden skúsený kolega. Tieto problémy nevyrieši nový bezpečnostný nástroj, ale dokumentované zodpovednosti, kontrolovaný tok informácií a pravidelné testovanie.

Priemyselná kybernetická bezpečnosť ako prevádzková disciplína

Kybernetická bezpečnosť sa stáva udržateľnou, keď sa stane súčasťou prevádzky, nie samostatným projektom. Pri nákupe nového stroja sú sieťové požiadavky, vzdialená podpora, zálohovanie a zodpovednosti rovnako dôležité plánovacie otázky ako výkon alebo zmluva o údržbe. Pri integrácii systému nestačí, že údaje prejdú z bodu A do bodu B: je potrebné vedieť, čo sa stane v prípade chybných, chýbajúcich alebo oneskorených údajov.

V rámci prístupu CGAT sa takéto otázky vždy skúmajú spolu s prevádzkovým procesom. Technická ochrana poskytuje skutočnú hodnotu, keď sa zlepšuje transparentnosť, znižuje závislosť od jedného človeka a vedenie získava spoľahlivejší obraz o stave výroby.

Dobre chránená prevádzka nie je silná preto, že sa nikdy nič nepokazí. Je silná preto, že vie, čo je kritické, kto rozhoduje, na aké údaje sa spolieha a ako sa kontrolovane vrátiť k normálnej prevádzke, keď sa predsa len stane chyba.