Obrázek 1: Standardní přístup k modelování rizik v oblasti provozních technologií ( PT) podle institutu NIST, který riziko definuje takto: „Riziko je funkcí pravděpodobnosti výskytu ohrožující události a potenciálního nepříznivého dopadu, pokud k události dojde.“ Obrázek poskytla společnost NIST prostřednictvím Acquired Data Solutions a KDM Analytics Obrázek 1: Standardní přístup k modelování rizik v oblasti provozních technologií ( PT) podle institutu NIST, který riziko definuje takto: „Riziko je funkcí pravděpodobnosti výskytu ohrožující události a potenciálního nepříznivého dopadu, pokud k události dojde.“ Obrázek poskytla společnost NIST prostřednictvím Acquired Data Solutions a KDM Analytics

Strategie v oblasti informačních technologií mohou pomoci v boji proti novým zranitelnostem v oblasti kybernetické bezpečnosti a při zavádění spolehlivého programu kybernetické bezpečnosti pro provozní použití technologií u průmyslových řídicích systémů, RTU a SCADA, neboť zavádění IIoT se stále rozšiřuje.

Obavy ze zneužití zdrojů u kriticky významných provozů existují již od počátku průmyslového věku. Zvýšily se také obavy o kybernetickou bezpečnost. S rozvojem informačních technologií (IT) exponenciálně rostou možnosti narušení, poškození a znefunkčnění sítí a systémů, což vedlo k rozvoji nových škodlivých mechanismů.

Ačkoli první patent na kybernetickou bezpečnost byl zaregistrován již na počátku 80. let 20. století, naplňování obchodních potřeb a ochrana kriticky významných provozů jsou pro národní bezpečnostní a zpravodajské agentury stále většími prioritami. Důraz na kybernetickou bezpečnost v oblasti IT zaznamenal v posledních třech desetiletích exponenciální růst, ale bezpečnost tradičně samostatných, nepropojených systémů v oblasti provozních technologií (PT) stále zaostává kvůli nezávislé povaze jejich funkcí. Systémy PT zahrnují průmyslové řídicí systémy (ICS), jako jsou systémy průmyslového řízení a sběru dat (SCADA), distribuované řídicí systémy (DCS), vzdálené koncové jednotky (RTU) a programovatelné automaty (PLC). S nástupem internetu věcí (IoT) do oblasti PT, tzv. průmyslového internetu věcí (IIoT), se věnuje větší pozornost kybernetické bezpečnosti.

V posledním desetiletí došlo k výraznému nárůstu poptávky po využití propojených PT s četným nasazením pokročilých technologií, které vyžadují konektivitu pro provoz a údržbu zařízení. Používání systémů a komponent PT s podporou IT zvyšuje zranitelnost, protože sbližování IT a PT odhalilo nové příležitosti pro kybernetické útoky.

Doporučení pro kybernetickou bezpečnost z léta 2020

V červenci 2020 Národní bezpečnostní agentura (NSA) a Agentura pro kybernetickou bezpečnost a bezpečnost infrastruktury (CISA) ministerstva vnitřní bezpečnosti (DHS) upozornily americké společnosti, aby přijaly okamžitá opatření ke snížení zranitelnosti a expozice ve všech PT a ICS.

V doporučení „NSA and CISA Recommend Immediate Actions to Reduce Exposure Across all Operational Technologies and Control Systems“ (U/OO/154383-20 | PP-20-0622 | červenec 2020 rev. 1.0) se uvádí: „V posledních měsících prokázali pachatelé působící v kybernetickém prostoru, že jsou stále ochotni provádět škodlivé kybernetické aktivity proti kritické infrastruktuře zneužíváním prostředků PT přístupných přes internet. Vzhledem k nárůstu schopností a aktivit protivníka, ke kritickému významu pro národní bezpečnost a způsob života v USA a ke zranitelnosti systémů PT se civilní infrastruktura stává atraktivním cílem pro cizí mocnosti, které se snaží poškodit zájmy USA nebo provést odvetu za domnělou agresi USA.“

Toto kritické varování je výzvou k akci pro společnosti poskytující veřejné služby se sídlem v USA, které nedodržují federálně regulované bezpečnostní pokyny, čímž mohou ohrozit velkou část své kriticky významné infrastruktury. Implementace přístupů k zajištění kybernetické bezpečnosti a k prevenci zneužití zranitelností je jedním z největších problémů většiny výrobců s kriticky významnou infrastrukturou, tvůrců politik a federálního vedení.

CTL2012 MAG2 F4 ITautomation cyber Fig3 KDMA Blade RiskManagerObrázek 2: Vědecký náhled, který by se měl uplatňovat pro všechna rizika, výslovně rizika kybernetické bezpečnosti (podle NIST Special Publication 800-30, rev.1 /2018/, strana 12). Obrázek poskytla společnost NIST prostřednictvím Acquired Data Solutions a KDM Analytics

Konektivita, kritická infrastruktura a rizika

Představte si výrobce s kriticky významnou infrastrukturou nebo dodavatele veřejných služeb, který nemá jasnou představu o bezpečnostních dopadech na kritické služby, jako je energie, voda nebo potraviny. Představte si, že neúmyslně nebo i úmyslně rozšíříte virus v rozsáhlém komplexním systému, jenž podporuje dopravní komunikace USA nebo infrastrukturu záchranných služeb, a nebudete vědět nebo chápat četné zranitelnosti, které mohou oportunističtí hackeři zneužít v operační síti USA prostřednictvím obranné průmyslové základny USA (DIB).

Proto by aplikace vyspělé a automatizované kybernetické bezpečnosti na kritickou infrastrukturu mohla zajistit komplexní identifikaci a posouzení zranitelností a zároveň zavést kulturu bezpečnosti a rizik mezi federálními, státními a místními rozhodovacími orgány. To zahrnuje ochranu před nevhodnými přístupy k systémům kritické infrastruktury a omezení vyzrazení, narušení nebo ztráty dat prostřednictvím optimalizace tohoto hodnocení pomocí automatizace.

DHS: Tři oblasti infrastruktury

Ministerstvo vnitřní bezpečnosti rozděluje infrastrukturu do tří oblastí:

  1. fyzická infrastruktura: rozvody optických kabelů, přehrady / nádrže / čistírny odpadních vod, firemní instituce, místa dodávek, farmy / zpracování potravin, vládní zařízení, nemocnice, jaderné elektrárny, elektrárny / výrobní místa, železniční či dálniční mosty / potrubí / přístavy;
  2. kritická infrastruktura / klíčový zdroj: zemědělství a potravinářství, bankovnictví/finance, chemický průmysl, obchodní zařízení, komunikace, přehrady, obranná průmyslová základna, záchranné služby, energetika, vláda, informační technologie, památky / historická místa, jaderná energetika, pošta a lodní doprava, veřejné zdraví, doprava, voda;
  3. kybernetická infrastruktura: řídicí systémy, hardware, informační služby, software.

Rizika a přínosy integrovaného kybernetického zabezpečení

Protože je vše propojeno, mohou neopravené zranitelnosti, chybná konfigurace nebo slabiny aplikací narušit propojené systémy a ohrozit všechny.

Propojení mezi IT a PT systémy se denně rozšiřuje s tím, jak se zavádějí nové technologie, organizace rozšiřují své zákaznické základny a roste kritická infrastruktura. Odvětví výroby energie patří k mnoha oblastem kritické infrastruktury, v nichž dochází ke křížení IT a PT technologií, kombinací hardwaru a softwaru ve prospěch organizací, společností, agentur a korporací, které tyto propojené komponenty a systémy využívají.

Konvergence požadavků na bezpečnost, zabezpečení a spolehlivost ukazuje na obrovskou potřebu celostního přístupu ke kritické infrastruktuře a k nejrůznějším řídicím systémům obsaženým v těchto oblastech, aby bylo možné pochopit související rizika. Tento mnohostranný pohled je potřebný v kritické infrastruktuře všech odvětví. Vzhledem k tomu, že se IT používají k podpoře provozu PT, přináší spojení těchto dvou technologií nové rizikové faktory do provozu a údržby každé oblasti.

Pracovník IT má nyní k dispozici komunikaci na úrovni strojů a propojení s daty na bázi PT. Bezpečnostní komponenty IT používané v PT nejsou navrženy tak, aby detekovaly a monitorovaly, používají síťové protokoly, které nejsou určeny pro monitorovací činnosti, s doprovodnými riziky, která jsou denně přenášena a přijímána. To může vést – a často také vede – k neodhaleným zranitelnostem v IT zařízeních a aplikacích, což vede k narušení, selhání a k neočekávaným negativním důsledkům.

CTL2012 MAG2 F4 ITautomation cyber Fig3 KDMA Blade RiskManagerObrázek 3: Nástroj Blade RiskManager (BRM) společnosti KDM Analytics (KDMA) využívá přístup založený na systémovém inženýrství na bázi modelu (Model-Based Systems Engineering – MBSE) a rozšiřuje možnosti analýzy o posouzení kybernetické bezpečnosti na základě komponent, prvků, výměny informací a datových toků. Obrázek poskytla společnost Acquired Data Solutions a KDM Analytics

Dopad datové struktury IT na PT

Systémy PT jsou instalovány, implementovány a nasazovány s připojením a monitorováním ze strany IT. Vstupy IT do systémů PT nejsou navrženy nebo konfigurovány tak, aby zvládaly tyto nové a odlišné typy a struktury dat. Rozdíly mezi IT a PT způsobují, že PT reaguje neznámým a neočekávaným způsobem, což zapříčiňuje, že PT nefunguje optimálně. To může mít negativní dopad na služby, které ovlivňují náš způsob života, jako jsou dodávky energie, vody a další oblasti.

Abychom mohli vytvořit a podporovat konvergovaný systém PT s IT, musíme pochopit problémové oblasti, které tyto systémy představují, a pracovat s nimi. Naše provozy, produkty, služby a činnosti jsou ohroženy. Riziko vzniká, když hrozba, která využívá slabiny nebo nesrovnalosti v systému, vyvolá nepříznivý dopad na systém, činnost nebo organizační proces. Tyto problémy mohou způsobit ztrátu příjmů, ztrátu dat (což vede ke ztrátě zisku v důsledku pokut od regulačních orgánů), ztrátu zákazníků, ztrátu pověsti, dokonce i možnou ztrátu podílu na trhu; to vše má vliv na celou organizaci, nikoli „pouze“ na IT nebo na týmy kybernetické bezpečnosti. 

Uplatnění přístupů řízení rizik u PT / kritické infrastruktury

Pro řešení problémů kybernetické bezpečnosti u PT / kritické infrastruktury je třeba se zabývat následujícími otázkami:

  • Které komponenty jsou relevantní v PT a kritické infrastruktuře?
  • Jak jsou propojeny?
  • Jaká data jsou ukládána nebo přenášena mezi každou komponentou a externími subjekty?
  • Jaká jsou rizika, hrozby a zranitelná místa v systému?
  • Kde je najdete?
  • Jak je odhalíte?

Na začátku procesu „modelování rizik“ je analýza systému a zvědavost. Na obrázku 1 je uveden standardní přístup k modelování rizik v oblasti PT podle Národního institutu pro standardy a technologie (NIST), který riziko definuje takto: „Riziko je funkcí pravděpodobnosti výskytu ohrožující události a potenciálního nepříznivého dopadu, pokud k události dojde.“

V oblasti kybernetické bezpečnosti PT existuje více přístupů, které mohou odborníkům na kybernetickou bezpečnost pomoci s analýzou rizik a komplexním vypracováním vhodné reakce, například:

  1. provedení modelování rizik;
  2. izolování a zapouzdření komponent;
  3. definování vzorů útoků na PT;
  4. vytvoření a implementace zabezpečeného dodavatelského řetězce.

Tyto techniky pomáhají organizaci určit oblasti s vysokým rizikem a také to, co je třeba chránit a monitorovat, aby bylo možné stanovit priority bezpečnostního úsilí pro uvažované PT. Obrázek 2 poskytuje vědecký náhled, který by se měl uplatňovat pro všechna rizika, výslovně rizika kybernetické bezpečnosti (podle NIST Special Publication 800-30, rev.1 /2018/, strana 12).

Tento proces poskytuje výpočty kvantifikovaného rizika pro každou oblast a umožňuje organizaci vytvořit oblasti prioritních rizik ke zmírnění a pro podporu rozhodování.

Řízení rizik PT a automatizace

Tento typ nástroje může využít přístup založený na systémovém inženýrství na bázi modelu (Model-Based Systems Engineering – MBSE) a rozšířit možnosti analýzy o posouzení kybernetické bezpečnosti na základě komponent, prvků, výměny informací a datových toků. Na základě rámce architektury sjednocené architektury (UAF) byly vyvinuty automatizované akcelerátory rizik, které rozšiřují rozsah a hloubku analýzy a řeší kybernetickou bezpečnost a hodnocení rizik na základě důkazů. Takový nástroj poskytuje ucelený přehled o aktuálních relevantních vodítkách pro kybernetickou bezpečnost od mezinárodních a národních normalizačních organizací, jako je například NIST. Druhý přístup, tj. izolování a zapouzdření komponent, umožňuje izolování komponent PT, které blokuje vystavení vnějším rizikům přítomným v provozním prostředí PT.

Ve třetím přístupu nástroj pro automatizované modelování rizik graficky zobrazuje schéma vzorů/cest útoku, které nástroj vyhodnocuje. Ve čtvrtém přístupu vyvíjí zabezpečený dodavatelský řetězec provozní činnost, která je bezpečná v celém prostředí, což přináší prostor se sníženým rizikem pro práci PT a připojených IT. To umožňuje organizaci snížit a řídit rizika, která zajišťují zabezpečené akce a činnosti založené na PT. Tyto techniky nabízejí kritický vhled a výsledky analýzy kybernetické bezpečnosti při aktivní ochraně komponent PT pro zájmový systém, aby bylo možné nákladově efektivně a účinně řídit kybernetickou bezpečnost.

Steven Seiden je prezident společnosti Acquired Data Solutions. Leighton Johnson, CISSP, CISM, CMMC-AB Provisional Assessor L-3, je hlavní technik kybernetické bezpečnosti ve společnosti Acquired Data Solutions. Dr. Tony Barber, CSEP, RMP, je vedoucí systémový technik ve společnosti Acquired Data Solutions. Djenana Campara je prezidentka společnosti KDM Analytics. Upravil Mark T. Hoske, obsahový ředitel časopisu Control Engineering, CFE Media and Technology, Tato e-mailová adresa je chráněna před spamboty. Pro její zobrazení musíte mít povolen Javascript..

Control Engineering Česko

Control Engineering Česko je přední časopis o průmyslové automatizaci. Je vydáván v licenci amerického Control Engineering, které poskytuje novinky z této oblasti více než 60 let.

www.controlengcesko.com