Postęp w dziedzinie cyberbezpieczeństwa przyczynia się do modernizacji systemów sterowania, a projekty przemysłowe i inwestycje związane z rozbudową najważniejszych elementów infrastruktury wpływają na tworzenie odpornych na zagrożenia cybernetyczne produktów i systemów automatyki.
Podmioty działające w sektorze przemysłu i infrastruktury coraz częściej poszukują produktów i rozwiązań, które są z założenia bezpieczne pod względem cybernetycznym. W wielu przypadkach bezpieczeństwo cybernetyczne stanowi katalizator dla projektów modernizacji systemów sterowania. Jest to szczególnie widoczne wtedy, gdy użytkownicy odkrywają, że nie mogą dłużej wspierać istniejącego systemu, który wymaga coraz więcej czasu i zasobów do tego, by jego odporność na zagrożenia cybernetyczne była wciąż na wysokim poziomie. Większość dotychczasowych działań związanych z bezpieczeństwem cybernetycznym w przemyśle koncentrowała się na zapewnieniu kolejnych warstw bezpieczeństwa cybernetycznego w ramach istniejącej infrastruktury, bez wykorzystania nowych produktów i aplikacji, które zapewniają odpowiedni poziom bezpieczeństwa cybernetycznego. Bezpieczeństwo cybernetyczne może często być osiągane dzięki połączeniu cech konstrukcyjnych produktu i bezpiecznego procesu cyklu życia produktu. Z punktu widzenia łańcucha dostaw wielu użytkowników końcowych poszukuje odpowiednio zabezpieczonych komponentów, mikroprocesorów i systemów wbudowanych. Oprócz dokładniejszej kontroli dostawców, podejście „bezpieczeństwo na etapie projektowania” wymaga również zabezpieczonego wdrażania, instalacji i konserwacji w całym cyklu życia systemu lub produktu. Mamy tu do czynienia z dwoma oddzielnymi, ale powiązanymi cyklami życia: Jeden dla rozwoju produktu, a drugi dla wdrożenia i wsparcia. Poszukiwanie produktów certyfikowanych zgodnie z normami bezpieczeństwa cybernetycznego, takimi jak seria norm bezpieczeństwa cybernetycznego dla przemysłowych systemów sterowania ISA/IEC 62443 (dawniej ISA-99), może stanowić wyzwanie, ponieważ wielu użytkowników nie jest zaznajomionych z różnymi jednostkami certyfikującymi i normalizacyjnymi. Mimo że nawet produkty nieposiadające certyfikatu zgodności z obowiązującym standardem mogą zapewniać akceptowalne bezpieczeństwo cybernetyczne, to stwierdzenie, że tak właśnie jest wymaga dokładniejszej analizy oferty sprzedawców i ich praktyk związanych z rozwojem i pozyskiwaniem dostawców. Wykorzystanie certyfikacji do wstępnej kwalifikacji potencjalnych produktów może zaoszczędzić sporo czasu i wysiłku.
Produkty przemysłowe wymagają zabezpieczeń od samego początku
Większość produktów i aplikacji wchodzących w zakres technologii operacyjnych nie jest zaprojektowanych od podstaw z myślą o zapewnieniu bezpieczeństwa cybernetycznego. Do niedawna najwięcej uwagi poświęcano cechom urządzenia, jego funkcjom i otwartej łączności sieciowej. Dążenie do „otwartości” w latach 90. i na początku XXI wieku spowodowało, że sposób myślenia o cyberbezpieczeństwie skupiał się na dodawaniu warstw zabezpieczeń do systemów na poziomie technologii operacyjnej w celu wyeliminowania potencjalnych słabości. Chociaż ten sposób myślenia jest nadal niezbędny do stworzenia skutecznych zabezpieczeń, wielu użytkowników końcowych twierdzi, że znacznie łatwiej i taniej jest inwestować w produkty zaprojektowane z myślą o zabezpieczeniach, niż zwiększać nakłady na modyfikację produktów, które nie są bezpieczne. Bezpieczeństwo w fazie projektowania powinno wykraczać poza same produkty i sposób ich projektowania oraz uwzględniać również praktyki bezpiecznego cyklu życia aplikacji. Te same zasady odnoszą się do procesów stosowanych w inżynierii systemów sterowania, instalacji i podczas uruchomień. Użytkownicy końcowi zwracają również baczniejszą uwagę na bezpieczeństwo łańcucha dostaw, a w szczególności na to, jak systemy są opracowywane i produkowane oraz czy wykorzystują bezpieczne komponenty i systemy wbudowane.
Przemysłowy Internet Rzeczy (IIoT) to większe zagrożenie cyberatakiem
Nowa fala produktów Przemysłowego Internetu Rzeczy, takich jak urządzenia brzegowe, platformy przetwarzania danych w chmurze oraz inteligentne czujniki zdolne do komunikacji między sobą, to dodatkowy poziom złożoności dla użytkownika pod względem cyberbezpieczeństwa. Podczas gdy wiele rozwiązań związanych z technologią przetwarzania brzegowego zawiera dobre zabezpieczenia cybernetyczne, takie jak architektury „zero zaufania”, to inne rozwiązania związane z IIoT mogą już ich nie posiadać. Ponieważ wiele z tych ofert przechodzi ze świata technologii informatycznych (IT) do świata technologii operacyjnych (OT), muszą być one dokładniej analizowane w celu oceny ryzyka zagrożeń.
Bezpieczeństwo cybernetyczne przyczyną modernizacji systemów
Systemy sterowania w środowiskach przemysłowych i związanych z kluczowymi elementami infrastruktury mają zazwyczaj bardzo długą trwałość. Wiele rozproszonych systemów sterowania (DCS) i programowalnych sterowników logicznych (PLC) jest w użyciu od 20 lat lub dłużej. Wielu użytkowników końcowych uważa, że istniejący system jest zbyt skomplikowany, kosztowny i podatny na ryzyko cyberzagrożeń, aby kontynuować jego obsługę. Jest to często impuls do migracji do innego systemu sterowania lub modernizacji istniejącego.
Bezpieczeństwo na etapie projektowania, normy bezpieczeństwa cybernetycznego
Seria norm ISA/IEC 62443 to kluczowe normy bezpieczeństwa cybernetycznego dla produkcji i infrastruktury. Normy te są respektowane na całym świecie i są owocem dziesięcioleci pracy użytkowników końcowych i dostawców. Podczas gdy początkowo normy skupiały się na opisywaniu architektur referencyjnych oraz podstawowych koncepcji takich jak koncepcja „defense-indepth”, obecnie normy IEC 62443 obejmują wszystkie aspekty cyberbezpieczeństwa przemysłowego, od rozwoju produktu i aplikacji poprzez cały okres ich trwałości. Norma IEC 62443-4-1 określa wymagania procesowe dla bezpiecznego rozwoju produktów stosowanych w przemysłowych systemach sterowania (ICS). Definiuje ona bezpieczny cykl rozwoju (SDL) produktów. Cykl ten obejmuje następujące praktyki:
– zarządzanie bezpieczeństwem,
– specyfikacja wymagań bezpieczeństwa,
– zabezpieczenia wprowadzane na etapie projektowania,
– bezpieczna implementacja,
– walidacja zabezpieczeń i testy sprawdzające,
– zarządzanie kwestiami związanymi z bezpieczeństwem,
– zarządzanie aktualizacjami bezpieczeństwa,
– wytyczne dotyczące bezpieczeństwa.
Uwzględnienie bezpieczeństwa cybernetycznego w procesie zamówień ICS
Wybór produktów i aplikacji, w których o bezpieczeństwo zadbano już w fazie ich tworzenia, może stanowić wyzwanie dla wielu użytkowników końcowych ICS. Wielu z nich nie opracowało dobrych kryteriów wyboru systemów i aplikacji. Wiele systemów używanych w przemyśle i infrastrukturze jest niejasnych i może w ogóle nie brać pod uwagę bezpieczeństwa cybernetycznego. Jednocześnie wiele z tych systemów staje się coraz bardziej kompatybilnymi z IoT, co potęguje ryzyko zagrożeń. Podczas gdy większość głównych dostawców DCS oferuje sterowniki i inne komponenty systemu, które posiadają certyfikat ISASecure, wielu dostawców oferujących mniej znane typy systemów, takie jak systemy automatyki terminali, systemy SCADA oparte na RTU, sterowniki kotłów i sprężarek, może nie uwzględniać zasady „bezpieczeństwo na etapie projektowania”. Właściwy proces wyboru i zakupu oznacza zaangażowanie różnych zainteresowanych stron w danej organizacji. Wymagania opisane w normie IEC 62443 stanowią solidną podstawę dla takiego procesu.
Bezpieczeństwo uwzględnione na etapie projektowania to lepszy zwrot z inwestycji
Wielu użytkowników końcowych osiągnęło lepszy zwrot z inwestycji oraz niższe koszty użytkowania produktu przez inwestowanie w technologie, w których zabezpieczenia wprowadzono na etapie ich tworzenia. Wielu użytkowników końcowych ma ograniczone zasoby do zarządzania kwestiami bezpieczeństwa cybernetycznego. Poza dodatkowymi kosztami związanymi z zapobieganiem zagrożeniom podczas codziennej działalności, wymiar bezpieczeństwa cybernetycznego w projektowaniu i inżynierii systemów może zwiększyć koszty i czas potrzebny do ukończenia projektu. Uwzględnienie bezpieczeństwa w fazie projektowania może zmniejszyć koszty inżynieryjne i ogólne koszty projektu, a także koszty operacyjne i koszty utrzymania. Wiele produktów przeznaczonych do zastosowań przemysłowych zapewnia pewne zabezpieczenia projektowe, które mogą pomóc użytkownikom końcowym w obniżeniu kosztów cyklu życia produktu i poprawie bezpieczeństwa cybernetycznego. Niektóre produkty zapewniają bezpieczeństwo dzięki swojej konstrukcji lub właściwościom fizycznym. Są to na przykład diody danych lub bramki jednokierunkowe, które zapewniają bezpieczną komunikację jednokierunkową lub nawet dwukierunkową. Diody danych mogą zapewniać zwiększone bezpieczeństwo wynikające z samej konstrukcji produktu lub poprzez warstwy bezpiecznego oprogramowania i projektowania sieci. Jeden z dostawców oferuje diodę danych, która łączy fizyczne obwody tylko do wysyłania i tylko do odbierania z komunikacją światłowodową. Inni dostawcy diod danych wykorzystują komponenty COTS do budowy swoich produktów, ale stosują specjalistyczne metody inspekcji treści i inne rozwiązania programowe w celu zapewnienia bezpiecznej komunikacji jednokierunkowej. Wielu innych produktów uwzględnia zabezpieczenia na etapie tworzenia systemów automatyki i sterowania lub oferowanych przez nich przyrządów. Mogą one obejmować unikatowe konstrukcje mechaniczne szaf, blokady portów lub inne funkcje. Na przykład niewielki, ale innowacyjny dostawca automatyki może zawrzeć zasadę projektowania z uwzględnieniem zagrożeń w kilku swoich komponentach, takich jak płyta montażowa, zasilacz i inne. Zapytaj swojego dostawcę automatyki lub dostawcę przemysłowych zabezpieczeń cybernetycznych o to, czy w swoich produktach stosuje zasadę projektowania urządzeń z uwzględnieniem potencjalnych zagrożeń. Inną kwestią, na którą należy zwrócić uwagę przy projektowaniu zabezpieczeń, jest wdrożenie systemu i sieci. Niektórzy dostawcy oferują przetestowane i zweryfikowane architektury referencyjne do projektowania systemów i sieci, które zawierają najwyższy stopień bezpieczeństwa. Jest to często wynik współpracy pomiędzy wyspecjalizowanymi dostawcami sieci i dostawcami automatyki. Inni dostawcy automatyki oferują funkcje projektowe w systemach bezpieczeństwa procesów, aby zapobiec nieautoryzowanemu dostępowi użytkowników do urządzeń. Wszyscy dostawcy systemów wprowadzają takie lub podobne funkcje. Nowe funkcje są stale wprowadzane na rynek, co oznacza, że użytkownicy powinni stale oceniać ofertę istniejących i potencjalnych dostawców.
Testowanie i certyfikacja produktów pod kątem bezpieczeństwa cybernetycznego
Istnieją produkty, w których zabezpieczenia zostały uwzględnione już w fazie projektowania, przechodząc proces certyfikacji lub rejestracji, w ramach którego są testowane pod kątem spełniania standardu bezpieczeństwa. Jednym z przykładów jest rodzina certyfikowanych produktów ISASecure, które są testowane zgodnie z normą bezpieczeństwa cybernetycznego ISA/IEC 62443. ISASecure oferuje certyfikaty zarówno dla produktów fizycznych, takich jak kontrolery, sterowniki PLC, bramy i routery, jak i systemów, w tym systemów automatyki procesowej i systemów bezpieczeństwa procesowego. Oferuje również certyfikaty bezpiecznego działania oprogramowania dla systemów i aplikacji opracowanych przez certyfikowanych dostawców.
Warstwy ochrony
Stosowanie warstwowych zabezpieczeń jest niezwykle ważne. Jednak jeszcze ważniejsze może być wprowadzenie zasad bezpiecznego projektowania do produktów i aplikacji, aby zapewnić określony poziom bezpieczeństwa już w fazie projektowania. Zapewnienie bezpieczeństwa urządzeń już na etapie projektowania jest celem wielu działań związanych z bezpieczeństwem cybernetycznym, takich jak ANSI/ CAN/UL 2900 Standard for Software Cybersecurity for Network-Connectable Products oraz ISASecure. Zasady projektowania omówione w niniejszym artykule odnoszą się do oprogramowania, urządzeń oraz sieci. Wiele z dostępnych obecnie na rynku produktów i aplikacji nie zostało opracowanych z wykorzystaniem tych zasad.
Choć jest ważne, to bezpieczeństwo w fazie projektowania nie jest panaceum na wszystko. Nie zwalnia użytkownika końcowego z przestrzegania zasad bezpieczeństwa cybernetycznego oraz wdrażania projektów lub procesów operacyjnych mających na celu ulepszanie zabezpieczeń. Uwzględnienie bezpieczeństwa w projekcie jest jednym z aspektów dobrze rozwiniętej i kompetentnej organizacji i strategii bezpieczeństwa cybernetycznego. Inne aspekty bezpieczeństwa w procesie projektowania systemu są również bardzo istotne. Obejmują bezpieczeństwo cybernetyczne łańcucha dostaw, proweniencję (określenie miejsca pochodzenia komponentów systemu, takich jak elementy odpowiedzialne za przetwarzanie danych, oraz ich nieodłącznych poziomów bezpieczeństwa) oraz inne kwestie.
Larry O’Brien jest wiceprezesem ARC Advisory Group.
