Tylko w 2018 r. zidentyfikowano 415 poważnych luk w systemach automatyki wykorzystywanych w infrastrukturze przemysłowej[1].
Energetyka była trzecim najczęściej atakowanym sektorem w 2018 roku[2].
31 proc. cyberataków kończy się ujawnieniem lub modyfikacją danych firmowych[3].
Jednym z wyzwań stojących przed pionami zajmującymi się cyberbezpieczeństwem jest zapewnienie ciągłości działania przedsiębiorstwa. Ochrona przed cyberatakami jest niezbędna dla zagwarantowania pełnej sprawności sprzętu i maszyn.
W obliczu zmieniających się przepisów prawa i coraz częstszych cyberataków, konieczne jest włączenie środowisk operacyjnych przedsiębiorstwa (OT – z ang. Operational Technology) do działań na rzecz cyberbezpieczeństwa. Jak pokazuje przykład niedawnego ataku na systemy teleinformatyczne norweskiego producenta aluminium Norsk Hydro, ryzyko jest wysokie. Szacuje się, że firma ta poniosła straty w wysokości 40 milionów dolarów, a przywrócenie pełnej pracy produkcji w fabrykach zajęło kilka tygodni[4].
Piony IT od wielu lat zmagają się z zagadnieniem cyberbezpieczeństwa i do niedawna głównie na nich spoczywała odpowiedzialność za ten obszar. Natomiast działy operacyjne dopiero zaczynają wkraczać w świat bezpieczeństwa cybernetycznego. Jaka przyszłość czeka środowiska OT i IT w świetle tych zmian?
Ciągła edukacja i podnoszenie świadomości
Przed menadżerami zarządzającymi systemami produkcyjnymi stoi jedno z ważniejszych wyzwań, jakim jest kwestia przygotowania pracowników do konieczności wdrożenia nowych rozwiązań w zakresie cyberbezpieczeństwa. Brak odpowiedniej edukacji i szkoleń to główne czynniki, które hamują podnoszenie standardów bezpieczeństwa w zakresie OT.
- Działy systemów sterowania przemysłowego stoją przed nowym wyzwaniem związanym z cyberbezpieczeństwem. Dotychczas środowiska OT nie musiały mierzyć się z tym tematem, ponieważ skupiały się na podnoszeniu wydajności. Współpracując i wymieniając się wiedzą i doświadczeniem z pionami IT, jesteśmy w stanie w znacznie lepszym stopniu zabezpieczyć się przed zagrożeniami cybernetycznymi. – mówi Paul Forney, Analityk ds. Cyberbezpieczeństwa w Schneider Electric.
Wdrożenie wspólnie wypracowanego holistycznego rozwiązania, które umożliwia analizę, monitorowanie i zabezpieczanie całej infrastruktury OT przedsiębiorstw niezależnie od producenta czy dostawcy poszczególnych urządzeń, pozwoli sprostać rosnącym zagrożeniom związanym z atakami cybernetycznymi, a także spełni wymagania nałożone przez ustawodawców.
Regulacje prawne
Unijna Dyrektywa NIS (Network and Information Systems Directive), która ma na celu podnoszenie wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii Europejskiej[5], kierowana jest do dwóch grup odbiorców: operatorów usług kluczowych (m.in. przedsiębiorców z sektora energetyki, transportu, zaopatrzenia w wodę) oraz dostawców usług cyfrowych (m.in. usług przetwarzania danych w chmurze).
W Polsce dokonano wdrożenia dyrektywy NIS za pomocą Ustawy o krajowym systemie cyberbezpieczeństwa[6]. Nakłada ona na Operatorów Usług Kluczowych zbudowanie zespołu odpowiedzialnego za ciągłe monitorowanie infrastruktury OT od najniższej wastwy celem wykrywania incydentów oraz raportowania tych poważnych do organów właściwych w zależności od branży. Operatorzy Usług Kluczowych mają również za zadanie usuwanie wykrytych podatności.
Wspólnie w obliczu wyzwań
Aby ułatwić firmom sprostanie wymaganiom ustawodawcy powstała oddolna inicjatywa przedsiębiorców: Rada Cyberbezpieczeństwa Przemysłowego. Głównym zadaniem Rady jest wskazanie firmom, w jaki sposób mają postępować i wdrażać nowe technologie, aby odbyło się to w sposób bezpieczny. Dodatkowo, jednym z celów Rady jest wytyczanie standardów na styku środowisk OT, ICT i IT, w oparciu o ścisłą współpracę z przedstawicielami instytucji publicznych.
- Przygotowanie konkretnego planu, wymiana wiedzy i technologii między obszarami IT i OT są konieczne, aby sprostać wymaganiom ustawowym. Wdrażanie nowych rozwiązań musi odbywać się po kolei, tak, aby zachować ciągłość pracy systemów produkcyjnych. Wybierając innowacyjne technologie, takie jak platforma EcoStruxture, która łączy rozwiązania OT z najnowszą infrastrukturą IT, możemy kontrolować m.in. aplikacje i serwisy, dokonywać analiz oraz monitorować każde urządzenie pod kątem cyberbezpieczeństwa. Decydując się na sprawdzone rozwiązania, jesteśmy w stanie zapewnić naszemu przedsiębiorstwu wyższy poziom bezpieczeństwa cybernetycznego.– mówi Paul Forney.
Cyberbezpieczeństwo realizowane bardzo szeroko – od podstawowego poziomu, czyli np. sterowników, poprzez komunikację sieciową opartą o konkretne protokoły, a także współpracę między działami IT i OT jest w stanie zminimalizować ryzyko cyberataków.
O Schneider Electric
W Schneider Electric wierzymy, że dostęp do energii i zasobów cyfrowych to podstawowe prawo każdego człowieka. Stwarzamy warunki do poprawy efektywności energetycznej dla każdego, w każdym miejscu i w każdej chwili. Nazywamy to Life Is On.
Oferujemy cyfrowe rozwiązania z zakresu zarządzania energią i automatyki, zapewniające wydajność i zrównoważony rozwój. Łączymy najlepsze na świecie technologie energetyczne, automatykę w czasie rzeczywistym, oprogramowanie i usługi w ramach zintegrowanych rozwiązań dla domów, budynków, centrów danych, infrastruktury i przemysłu.
Wykorzystujemy nieskończone możliwości, jakie zapewnia otwarta, globalna, innowacyjna społeczność z pasją podzielająca nasze wartości, takie jak Szczytny Cel, Otwartość i Zaangażowanie.
[1] Kaspersky Lab, Threat landscape for industrial automation systems. H2 2018
[2] Ibidem.
[3] PwC, Cyberbezpieczeństwo
