Ochrona OT klasy inżynieryjnej

Ochrona OT klasy inżynieryjnej

Znacznik czasu: 19 września 2023 10:00
Inżynierska ochrona OT PlatoBlockchain Data Intelligence. Wyszukiwanie pionowe. AI.

Poniżej znajdują się fragmenty książki, która ma zostać wydana 1 listopada 2023 r.

Wiele napisano na temat różnic pomiędzy konwencjonalnymi sieciami IT a technologia operacyjna (OT) lub sieci systemów sterowania przemysłowego (ICS): w sieciach OT trudniej jest instalować poprawki, trudniej jest korzystać z oprogramowania antywirusowego, sieci OT korzystają z bardzo starych protokołów i komputerów, a ludzie zarządzający tymi sieciami napotykają ogromny opór wobec zmian. Wszystkie te różnice są jednak powierzchowne. Istotną różnicą między tymi dwoma rodzajami sieci są konsekwencje: najczęściej najgorsze konsekwencje cyberataków znacznie i jakościowo różnią się w przypadku sieci IT i OT.

Jaka jest ta różnica? Ransomware uderza w naszą sieć informatyczną i co robimy? Wykrywamy, reagujemy i odzyskujemy siły. Identyfikujemy zagrożone komputery i izolujemy je. Wykonujemy zdjęcia kryminalistyczne i kasujemy sprzęt. Przywracamy z kopii zapasowych. My powtarzamy. W najgorszym przypadku wyciekną dane osobowe (PII) lub inne poufne informacje, co skutkować będzie procesami sądowymi. To wszystko są konsekwencje biznesowe. Mówiąc inaczej, w sieciach IT celem zarządzania ryzykiem cybernetycznym jest zapobieganie konsekwencjom biznesowym poprzez ochronę informacji — ochronę poufności, integralności i dostępności informacji biznesowych.

Jednak w sieciach OT najgorsze konsekwencje kompromisu są prawie zawsze fizyczne. Rzeczy wybuchają i zabijają ludzi, awarie przemysłowe powodują katastrofy ekologiczne, gasną światła lub nasza woda pitna jest skażona. Celem zarządzania ryzykiem cybernetycznym w sieciach OT jest zazwyczaj zapewnienie prawidłowego, ciągłego i wydajnego działania procesu fizycznego. Celem nie jest „ochrona informacji”, ale raczej ochrona operacji fizycznych przed informacjami, a dokładniej przed atakami cybersabotażowymi, które mogą być osadzone w informacjach. Na tym polega zasadnicza różnica między sieciami IT i OT: ani życia ludzkiego, ani uszkodzonych turbin, ani katastrof ekologicznych nie da się „przywrócić z kopii zapasowych”.

Oznacza to, że nawet gdybyśmy mogli w jakiś sposób machnąć magiczną różdżką i sprawić, że wszystkie sieci przemysłowe będą w pełni załatane, w pełni zabezpieczone antywirusowo, w pełni zaszyfrowane i w inny sposób całkowicie aktualne w stosunku do nowoczesnych mechanizmów cyberbezpieczeństwa IT, ta zasadnicza różnica pozostałaby. Ta różnica ma dzisiaj i zawsze wymaga innego podejścia do zarządzania ryzykiem w sieciach o krytycznym znaczeniu dla bezpieczeństwa i niezawodności w porównaniu do sieci biznesowych.

Inżynieria bezpieczeństwa

Dobra wiadomość jest taka, że ​​zawód inżyniera dysponuje potężnymi narzędziami pozwalającymi stawić czoła cyberzagrożeniom OT. Na przykład mechaniczne zawory nadciśnieniowe zapobiegają eksplozji zbiorników ciśnieniowych. Zawory te nie zawierają procesorów i dlatego nie można ich zhakować. Sprzęgła ograniczające moment obrotowy zapobiegają rozpadowi turbin, nie zawierają procesorów i dlatego można je zhakować. Bramy jednokierunkowe nie są fizycznie w stanie umożliwić przepływu informacji o ataku w jednym kierunku, w związku z czym nie można ich zhakować. Dziś te potężne narzędzia są często zaniedbywane, ponieważ nie mają one odpowiednika w przestrzeni bezpieczeństwa IT.

Sięgając nieco głębiej, zawód inżyniera od ponad stulecia radzi sobie z zagrożeniami dla bezpieczeństwa publicznego. To dlatego, że słaba inżynieria stwarza ryzyko dla bezpieczeństwa publicznego, zawód inżyniera jest w wielu jurysdykcjach uregulowanym i samoregulującym się zawodem, podobnym do zawodów medycznych i prawniczych. Zawód inżyniera może wnieść ogromny wkład w zarządzanie zagrożeniami cybernetycznymi OT, jednak jest on słabo rozumiany zarówno w środowisku zawodowym, jak i poza nim.

Dlaczego? Zacznijmy od tego, że na świecie jest 50 razy więcej specjalistów ds. bezpieczeństwa IT niż specjalistów ds. bezpieczeństwa OT, dlatego też eksperci IT często są pierwszą osobą, do której zwraca się uwagę, gdy potrzebujemy przemysłowych rozwiązań w zakresie cyberbezpieczeństwa. Większość ekspertów ds. bezpieczeństwa IT nie jest jednak inżynierami, dlatego nie są świadomi obowiązków zawodu inżyniera ani wkładu, jaki może on wnieść.

Zawód inżyniera jako całość nie jest dużo lepszy. Jeśli liczba cyberataków o konsekwencjach fizycznych będzie się zwiększać ponad dwukrotnie rocznie, problem cybernetyczny OT osiągnie rozmiary kryzysowe przed końcem dekady. Jednak w większości jurysdykcji zawód inżyniera nie uporał się jeszcze z cyberryzykiem dla społeczeństwa i operacji fizycznych. W chwili pisania tego tekstu nie ma na świecie jurysdykcji, w której niezastosowanie solidnego zarządzania ryzykiem cybernetycznym do wzorów przemysłowych może kosztować inżyniera utratę licencji na wykonywanie zawodu.

Jednak jest postęp. W ciągu ostatniego półwiecza wykrystalizowało się wiele podejść do solidnej inżynierii cyberbezpieczeństwa:

  • Inżynieria procesowa: Połączenia Przegląd zabezpieczeń PHA pod kątem cyberbezpieczeństwa opartego na konsekwencjach Podręcznik dokumentuje podejście do korzystania z rutynowych przeglądów inżynieryjnych analizy zagrożeń procesowych (PHA) w celu wprowadzenia niemożliwych do złamania fizycznych zabezpieczeń przed zagrożeniami cybernetycznymi dla pracowników, środowiska i bezpieczeństwa publicznego.
  • Inżynieria automatyki: Książka Andrew Bochmana i Sarah Freeman Przeciwdziałanie sabotażowi cybernetycznemu: wprowadzenie inżynierii zorientowanej na konsekwencje i opartej na wiedzy cybernetycznej to przede wszystkim tekst poświęcony ocenie ryzyka, ale zawiera szereg rozdziałów poświęconych niemożliwym do złamania zabezpieczeńom cybernetycznym, w tym niemożliwym do złamania cyfrowym ograniczeniom zagrożeń cybernetycznych dla ochrony sprzętu.
  • Inżynieria sieciowa: Moja książka Technologia bezpiecznych operacji opisuje inżynierską perspektywę ochrony prawidłowych operacji fizycznych przed atakami, które mogą być osadzone w przychodzących przepływach informacji, zamiast próbować „chronić informacje”. Duża część tekstu skupia się na różnych sposobach projektowania sieci przemysłowych, aby umożliwić monitorowanie opuszczania sieci przez informacje bez wprowadzania informacji o ataku przedostających się do sieci.

Na ten temat Departament Energii Stanów Zjednoczonych (DOE) również opublikował „Krajowa strategia inżynierii świadomej cybernetyki” (PDF) w czerwcu 2022 r. Strategia ma na celu opracowanie inżynieryjnego zasobu wiedzy, który umożliwi między innymi „wykorzystanie decyzji projektowych i kontroli inżynieryjnych w celu złagodzenia lub nawet wyeliminowania możliwości ataku cybernetycznego lub ograniczenia konsekwencji wystąpienia ataku .”

Patrząc w przyszłość

Głównym pytaniem, na które odpowiada nowa książka, jeśli chodzi o cyberbezpieczeństwo, jest: „jak duzo wystarczy?Konsekwencje określają stopień ochrony, jakiego potrzebuje system lub sieć, a najlepsze dostępne wytyczne mówią, że musimy zabezpieczyć systemy infrastruktury krytycznej i krytycznej dla bezpieczeństwa naprawdę dokładnie. Jest to bardzo kosztowny proces. Co gorsza, nawet najlepsze programy cyberbezpieczeństwa nie zapewniają deterministycznej ochrony, jakiej oczekujemy od projektów inżynieryjnych, gdy zagrożone jest bezpieczeństwo publiczne.

Inżynieria bezpieczeństwa ma potencjał, jeśli jest stosowana rutynowo i systematycznie, w celu wyeliminowania z rozważań wielu konsekwencji związanych z bezpieczeństwem i niezawodnością/bezpieczeństwem narodowym. Może to radykalnie uprościć „jak duzo wystarczy?” poprzez zmniejszenie wymaganej siły i kosztów programów cyberbezpieczeństwa, które eliminują pozostałe zagrożenia w sieciach OT. Biorąc pod uwagę nadchodzący kryzys w postaci przestojów OT, uszkodzeń sprzętu i innych gorszych sytuacji spowodowanych cyberatakami, nadszedł czas na to nowe podejście.

Więcej informacje o książce można znaleźć w linku.

Znak czasu:

Więcej z Mroczne czytanie