Aby chronić zasoby automatyki przemysłowej i zabezpieczyć ciągłość działania zakładów podjęto wiele inicjatyw, które znajdują swoje odzwierciedlenie w przepisach normy IEC 62443, znanej w przeszłości pod nazwą ISA-99. Norma ta odpowiada na specyficzne potrzeby cyberbezpieczeństwa obiektów przemysłowych.

Jeszcze kilka lat temu bezpieczeństwo zakładów produkcyjnych było kwestią często pomijaną przez decydentów. W większości zakładów, zwłaszcza małych i średnich, cyberzagrożenia wydawały się wówczas raczej abstrakcyjne i teoretyczne. Wszystko zmieniła seria incydentów związanych z bezpieczeństwem, o których głośno zaczęto mówić w mediach. Przykładem może być publikacja przez SANS ICS obszernego raportu na temat cyberataku na sieć dystrybucji energii elektrycznej na Ukrainie^[1]. 23 grudnia 2015 r. ukraińska spółka Kyivoblenergo, regionalna firma zajmująca się dystrybucją energii elektrycznej, zgłosiła klientom przerwy w świadczeniu usług. Przestoje były spowodowane włamaniem osób trzecich do firmowych systemów komputerowych i systemów SCADA. Od około 15:35 czasu lokalnego siedem stacji 110 kV i 23 podstacje 35 kV zostało wyłączonych na trzy godziny. Cyberatak wpłynął na działanie innych części sieci dystrybucyjnej i zmusił operatorów do przełączenia się w tryb ręczny. Wydarzenie zostało omówione przez ukraińskie media informacyjne, które przeprowadziły wywiady i ustaliły, że atakujący zdalnie sterował systemem zarządzania dystrybucją SCADA. Początkowo uważano, że awarie dotknęły około 80 000 klientów, jednak później ujawniono, że zaatakowano trzy różne firmy energetyczne, co spowodowało kilka awarii, które doprowadziły do utraty energii przez około 225 000 klientów w różnych obszarach geograficznych. Tuż po ataku urzędnicy ukraińskiego rządu stwierdzili, że przerwy zostały spowodowane cyberatakiem, a za incydenty odpowiadały rosyjskie służby bezpieczeństwa. Nagle stało się jasne, że systemy automatyki i zakłady produkcyjne znalazły się na liście celów cyberataków, a potencjalne konsekwencje tych ataków mogą być poważne dla całych społeczeństw.

Dostosowanie się do norm odpowiedzią organizacji na coraz liczniejsze zagrożenia

Badania incydentów bezpieczeństwa pokazują, że nie tylko sieci i obszary produkcyjne uznawane są za istotne cele ataków, ale także stojące za nimi osoby i organizacje stają się coraz bardziej agresywne w swoich taktykach, używają bardziej skutecznych narzędzi i przeznaczają więcej zasobów na ich przeprowadzanie. Obrona przed zagrożeniami i atakami powinna być zatem podstawowym kryterium w ocenie znaczenia poszczególnych etapów transformacji cyfrowej. Dlatego też zaleca się firmom przeprowadzenie dokładnego przeglądu swojej sytuacji w zakresie bezpieczeństwa, bez względu na to, czy towarzyszy im presja ze strony czynników rządowych dążących do wprowadzenia większej liczby regulacji.

W podejściu do cyberbezpieczeństwa przyjmuje się, że w środowisku biurowym ważniejsza jest ochrona informacji przed nieuprawnionym dostępem, niż zapewnienie ciągłej dostępności systemów i informacji. Nie jest niczym niezwykłym czekanie przez kilka sekund na dostęp do danych, nie jest również dużą przeszkodą gdy komputer będzie niedostępny przez kilka minut z powodu aktualizacji systemu operacyjnego. Standardy ochrony informacji przed naruszeniami są już od dawna stosowane w środowisku biurowym. Seria norm ISO/IEC 27000 czyli 27001^[2] i 27002^[3] jest od wielu lat szeroko akceptowana jako podstawa tzw. ISMS, czyli systemów zarządzania bezpieczeństwem informacji. Inaczej wygląda ochrona w przypadku zautomatyzowanych obiektów przemysłowych. Głównym celem jest ich zabezpieczanie przed cyberzagrożeniami, czyli m.in. nieuprawnionym dostępem do urządzeń automatyki. Problem z bezpieczeństwem może mieć miejsce w związku z zamiarem przestępczym lub nastąpić z powodu zaniedbania pracownika. Na przykład, w sytuacji stresowej pracownik może sformatować dysk twardy serwera produkcyjnego, jeśli nie zostały nałożone żadne zabezpieczenia przed tą przypadkową czynnością. Niewielki ludzki błąd może prowadzić do istotnej awarii nawet całych zakładów przemysłowych poprzez wyłączenie krytycznych dla działania urządzeń. Normy muszą chronić zakład zarówno przed takimi losowymi sytuacjami, jak i intencjonalnymi cyberatakami. Priorytetem cyberbezpieczeństwa w środowisku przemysłowym jest dostępność i integralność podstawowych funkcji zautomatyzowanego obiektu przemysłowego. Proces lub produkcja musi nadal działać, nawet jeśli automatyzacja ulegnie degradacji z powodu cyberataku lub błędu ludzkiego.

Zestaw zrównoważonych środków ochrony

Norma IEC 62443 opiera się na fundamentalnym zrozumieniu, że ochrona zautomatyzowanego obiektu przemysłowego przed zamierzonym lub niezamierzonym naruszeniem bezpieczeństwa wymaga zestawu zrównoważonych środków, które muszą zostać wdrożone przez odpowiedzialne, działające na terenie zakładu jednostki. O konkretnych kompetencjach i zakresie działania danej grupy ludzi i jednostek decyduje ich rola w organizacji i w strukturze bezpieczeństwa. Rola jest definiowana przez obowiązki oraz zakres odpowiedzialności, a także związane z nimi działania, które ma spełniać organizacja. Wdrożenie całościowego schematu ochrony zautomatyzowanego obiektu przemysłowego wymaga wkładu i współpracy wszystkich zaangażowanych podmiotów zgodnie z wyznaczoną im rolą. Właściciel aktywów (asset owner – AO) jest odpowiedzialny za ochronę zautomatyzowanego obiektu przemysłowego przed cyberzagrożeniami i wszystkimi powiązanymi ryzykami w całym jego cyklu życia. OA definiuje ryzyko cyberbezpieczeństwa i wdraża całościowy schemat ochrony zgodnie z tym ryzykiem. Organizacja może delegować część obowiązków i związanych z nimi działań na inne organizacje pełniące role pomocnicze. Druga część przypisana do roli AO to odpowiedzialność za obsługę obiektu przemysłowego za pomocą rozwiązania automatyzacji. Jeśli chodzi o cyberbezpieczeństwo, ta część koncentruje się na praktyce Organizational security measures (OSM) zgodnie z określonymi politykami i procedurami bezpieczeństwa. Dostawca usług integracji (SI) jest odpowiedzialny za zaprojektowanie i wdrożenie, a także uruchomienie i walidację środków poziomu bezpieczeństwa (Security level measures – SLM). Działania te obejmują opracowanie i walidację całościowego schematu ochrony, którego celem jest dopasowanie działań do celu ochrony, czyli tzw. „dopuszczalnego rezydualnego ryzyka cyberbezpieczeństwa” określonego przez OA. Poziom ten jest znanym decydentom i akceptowanym przez nich poziomem ryzyka, bowiem ryzyka w całości nie da się zupełnie wyeliminować.

Defense in depth

Powszechnie przyjmuje się, że zamiast polegać na jednej metodzie zapewnienia bezpieczeństwa, ochrona zautomatyzowanego obiektu przemysłowego wymaga wdrożenia uzupełniających się środków, z których każdy stanowi warstwę ochronną. Jeśli atakujący byłby w stanie pokonać pierwszą warstwę, stanąłby przed warstwą drugą, potem kolejną i tak dalej, co jest w stanie skutecznie powstrzymać wiele, nawet bardzo wyrafinowanych ataków. Ta strategia jest powszechnie nazywana „Defense in depth”. Norma IEC 62443 dotyczy wszystkich części tej strategii angażujących w pełni całą organizację.

Ochrona obiektów przemysłowych wymaga przede wszystkim świadomości zagrożeń. Poza stosowaniem środków ochrony ważne jest także wzbudzenie zaufania do środków bezpieczeństwa i wiarygodności odpowiedzialnego personelu wewnątrz organizacji.

Przy definiowaniu zabezpieczeń stosowanych w rozwiązaniach automatyki przemysłowej należy kierować się właściwym wyczuciem proporcji. Wyzwaniem jest znaczne zminimalizowanie potencjalnych szkód spowodowanych cyberzagrożeniami, ale także osiągnięcie adekwatnego do zagrożenia poziomu ochrony. Niestety, nie ma w tym przypadku jednego, standardowego rozwiązania, ponieważ każdy zakład ma indywidualne ograniczenia i podlega specyficznym zagrożeniom. Mimo to, istnieje sprawdzone podejście i możliwa do opanowania liczba możliwych środków, które można zastosować w celu uzyskania skutecznej koncepcji ochrony. Pojedynczy środek ochrony prawdopodobnie nie wystarczy. Co istotne, wielorakie zagrożenia wymagają różnych środków zaradczych. Na przykład wirusy komputerowe nie mogą być skutecznie blokowane za pomocą zapór ogniowych, natomiast naruszania praw dostępu nie zostaną wykryte przez skanery antywirusowe. Najbardziej odpowiednim podejściem jest strategia „Defense in depth”, która jest zgodna z koncepcjami normy IEC 62443. Aby zminimalizować ryzyko, konieczne jest podejście holistyczne z kombinacją środków technicznych i organizacyjnych. Z jednej strony należy wdrożyć różne skoordynowane środki, aby stawić czoła różnorodnym zagrożeniom, z drugiej strony potencjalny napastnik powinien stawić czoła kilku barierom do pokonania. Wszystkie aspekty, od poziomu operacyjnego do poziomu terenowego i od fizycznej kontroli dostępu po ochronę sieci i terminali, muszą być stosowane jednocześnie, aby chronić systemy przemysłowe przed wewnętrznymi i zewnętrznymi cyberatakami.

Całościowe podejście do trwałej ochrony obiektów przemysłowych wymaga zasadniczo udziału dostawców produktów, ale także integratorów i operatorów oraz obejmuje środki techniczne i organizacyjne. Norma IEC 62443 jest obszernym działem wiedzy, który odzwierciedla złożoność tematu i pozwala organizacjom działającym w obszarze automatyki przemysłowej odpowiadać na współczesne zagrożenia.

[1] Atak cybernetyczny na ukraiński system energetyczny https://www.computerworld.pl/news/Atak-cybernetyczny-na-ukrainski-system-energetyczny,404145.html

[2] ISO/IEC 27001: Information technology – Security techniques – Information security management systems – Requirements, (Second edition 2013-10-01)

[3] ISO/IEC 27002: Information technology – Security techniques – Code of practice for information security controls (Second edition 2013-10-01)