Industrijska sajber bezbednost u zaštiti proizvodnje

Proizvodna linija se ne zaustavlja nužno zbog loše izabranih lozinki. Često je prvi znak neobjašnjiva komunikaciona greška: održavanje ne može da pristupi kontroleru, proizvodni podaci ne stižu do ERP-a, štampač etiketa ne radi, ili vođa smene može da prati šta je završeno samo na papiru. Tada postaje jasno da industrijska sajber bezbednost nije samo pitanje IT odeljenja. Ona se tiče kontinuiteta proizvodnje, kvaliteta, rokova isporuke i informacija potrebnih za poslovne odluke.

Prekid rada kancelarijskog sistema može biti ozbiljan problem. Međutim, u industrijskom okruženju, loše upravljani incident može izazvati zaustavljanje, otpad, oštećenje mašina ili čak rizik po bezbednost na radu. Stoga, pravo pitanje nije „da li imamo firewall?“, već koje poslovne procese ugrožava nefunkcionalnost sistema, veze ili uređaja.

Zašto je industrijska sajber bezbednost drugačija?

U poslovnim IT sistemima poverljivost je često primarni cilj: ko ima pristup finansijskim podacima, podacima o klijentima ili ugovorima. U industrijskoj tehnologiji - PLC-ima, SCADA sistemima, proizvodnoj opremi, senzorima, robotskim ćelijama i nadzornim rešenjima - dostupnost i sigurnost rada često su prioritet.

Ponovno pokretanje kancelarijskog računara zbog sigurnosnih ažuriranja može biti neprijatno. Međutim, ponovno pokretanje proizvodnog kontrolera ili industrijskog računara povezanog sa starijom mašinom može prekinuti operaciju, uticati na proizvodnu seriju ili pokrenuti duži postupak ponovnog pokretanja. Zbog toga se mere koje su uspešne u kancelarijskom IT-u ne mogu automatski primeniti u proizvodnji.

To ne znači da industrijske sisteme treba ostaviti nepromenjene. To znači da svaku promenu treba planirati uzimajući u obzir proizvodni proces, specifikacije proizvođača mašina, mogućnosti održavanja i poslovne troškove zastoja. Cilj zaštite nije da se što više tehnologije uvede u mrežu, već da se spreči nekontrolisano širenje greške ili napada.

Najveći rizik često je netransparentnost

U mnogim pogonima mreža i proizvodno okruženje razvijali su se godinama. Nova mašina je stigla, spoljašnji partner je dobio daljinski pristup, kasnije je uvedeno rešenje za prikupljanje podataka, zatim veza za izveštavanje prema kancelarijskim sistemima. Ove odluke su mogle biti opravdane pojedinačno. Zajedno, međutim, mogu stvoriti zavisnosti koje niko ne vidi u celosti.

Smenski radnici znaju koja je mašina kritična za koji proizvod. Održavanje zna koji kontroler zahteva retku stručnost. IT zna gde se pokreću serveri i kakvi pristupi postoje. Ako ovo znanje nije povezano, tokom incidenta ili planiranog razvoja svi vide samo svoj deo.

To stvara nesigurnost i sa poslovnog aspekta. Ako je kompromitovan daljinski pristup dobavljača, može li se znati kojim sistemima se pristupa? Ako se stara mašina zasnovana na Windows-u više ne može ažurirati, može li se bezbedno odvojiti od ostalih mreža? Ako proizvodni podaci ne stignu, koja odluka, isporuka ili faktura kasni zbog toga?

Prvi korak u industrijskoj sajber bezbednosti stoga obično nije nabavka novog proizvoda, već otkrivanje stvarne situacije. Ne idealizovane verzije mrežnog dijagrama, već onoga što zaista funkcioniše u fabrici.

Prvo treba identifikovati kritične operacije

Dobra procena počinje pitanjima o poslovanju. Koji proizvodni korak ne može stati ni na nekoliko sati? Koji sistemi prenose podatke jedan drugom? Gde se još uvek vrši ručni unos podataka, prenos podataka putem USB-a ili telefonska koordinacija? Ko može intervenisati u kontroleru i uz kakvo odobrenje?

Odgovori na ova pitanja mogu stvoriti prioritetni redosled koji se može poslovno upravljati. Ne predstavlja svaki uređaj isti rizik. Izolovana merenja stanica, čija greška uzrokuje dodatni rad u jednoj smeni, zahtevaju drugačiju zaštitu od pada centralnog SCADA servera koji utiče na više proizvodnih linija.

Minimalna, ali korisna osnova obično pokriva četiri oblasti:

• tačan registar uređaja i veza,
• proverljivi pristupi zasnovani na ulogama,
• svesno odvajanje kancelarijskih i poslovnih mreža,
• testirane procedure za backup i oporavak.

Ove mere nisu spektakularne, ali često odlučuju da li će problem postati kvar ili višednevni zastoj. Na primer, backup pruža zaštitu samo ako se potrebne konfiguracije, proizvodni recepti i kritični sistemi mogu realno obnoviti u dostupnom vremenu.

Mrežno odvajanje nije isto što i izolacija

Podaci o proizvodnji su potrebni menadžmentu, kontroli kvaliteta, logistici i često korisničkoj podršci. Stoga nije realno ciljati na potpuno odvajanje poslovne mreže od svih poslovnih sistema. Podaci često moraju da se kreću: od narudžbine do proizvodne potrebe, od proizvodnje do informacija o zalihama, od zaliha do isporuke i fakturisanja.

Pitanje je kako se te informacije kreću. Ako veze predstavljaju jedna zajednička mreža, deljeni korisnički nalozi i stari, nedokumentovani daljinski pristupi, onda kancelarijski incident lako može zahvatiti poslovno okruženje. Međutim, ako su veze zasnovane na određenim, potrebnim i evidentiranim tokovima podataka, rizik se može značajno smanjiti.

Ovde takođe postoji kompromis. Previše strogo odvajanje može usporiti rešavanje problema i održavanje. Previše otvoren pristup je udobniji, ali može imati nepredvidive posledice. Odgovarajući nivo zavisi od toga koliko je proces kritičan, koliko često je potrebna spoljašnja podrška i kakva je sposobnost oporavka u datom pogonu.

Daljinski pristup zahteva poslovna pravila

Daljinska podrška dobavljača mašina i integratora je neophodna u mnogim kompanijama. U slučaju retke greške u kontroli, može uštedeti dragocene sate ako odgovarajući stručnjak brzo može obaviti dijagnostiku. Problem nije sam daljinski pristup, već neograničen, stalan i teško pratljiv pristup.

U kontrolisanom modelu, pristup se otvara samo u opravdanim slučajevima, na određeno vreme. Jasno je kojem partneru je dozvoljen pristup kojem sistemu, ko je odobrio vezu i šta se dogodilo tokom rada. Ovo nije birokratija. Nakon kvara, ovo omogućava timu da radi na osnovu evidentiranih događaja, a ne pretpostavki.

Isto važi i za unutrašnje dozvole. Ako više smena, održavanje, sistem administrator i spoljašnji partner koriste isti zajednički nalog, pristup je brz, ali odgovornost i mogućnost provere nestaju. Pristup zasnovan na ličnosti i ulozi zahteva više discipline na početku, ali dugoročno donosi manje rizika i manje sporova.

Sposobnost oporavka je važnija od plana na papiru

Mnoge organizacije imaju dokument o upravljanju incidentima. Manje organizacija može jasno reći ko odlučuje o kontrolisanom zaustavljanju proizvodne linije, odakle se vraća kontrolni program ili kako nastavlja rad sa narudžbinama ako proizvodni podaci privremeno nisu dostupni.

Funkcionalni plan je pripremljen za konkretne situacije. Na primer, kada ransomware učini fajl server nedostupnim, dok proizvodne ćelije i dalje rade. U tom slučaju, potrebno je razjasniti da li proizvodnja može bezbedno da se nastavi, gde su dostupni potrebni recepti, kako se dokumentuje proizvodnja i ko komunicira sa logistikom.

Tokom prakse često se otkrivaju problemi sa procesima, a ne sa tehnologijom: nema jasnog odgovornog za odluku, kritična konfiguracija je na jednom laptopu ili ručni zaobilazni proces poznaje samo jedan iskusni kolega. Ove probleme ne rešava novi sigurnosni alat, već dokumentovane odgovornosti, kontrolisani protok informacija i redovno testiranje.

Industrijska sajber bezbednost kao operativna disciplina

Sajber bezbednost postaje održiva kada postane deo operacija, a ne poseban projekat. Prilikom nabavke nove mašine, mrežni zahtevi, daljinska podrška, backup i odgovornosti su jednako važna pitanja kao i performanse ili ugovor o održavanju. U slučaju sistemske integracije, nije dovoljno da podaci pređu iz tačke A u tačku B: potrebno je znati šta se dešava u slučaju greške, nedostatka ili kašnjenja podataka.

U CGAT pristupu, ovakva pitanja se uvek razmatraju zajedno sa operativnim procesom. Tehnička zaštita daje pravu vrednost kada poboljšava transparentnost, smanjuje zavisnost od jednog čoveka i omogućava menadžmentu pouzdaniji uvid u stanje proizvodnje.

Dobro zaštićen pogon nije jak zato što se nikada ništa ne pokvari. Jak je zato što zna šta je kritično, ko odlučuje, na koje podatke se oslanja i kako se kontrolisano vraća u normalno stanje rada kada dođe do greške.