Контрольный список безопасности ICS

В традиционной кибербезопасности нарушение может раскрыть, повредить или даже заблокировать корпоративные системы данных .

В то время как традиционная утечка данных может стоить денег и ослабить корпоративные ИТ-системы, кибератака на промышленные системы управления может повлиять на критически важные данные и операции. Учитывая, что промышленные системы управления контролируют все, от атомных электростанций до нефтеперерабатывающих заводов, электрических сетей, заводов и тяжелого оборудования, безопасность АСУ ТП имеет жизненно важное значение.

В то время как ИТ-системы представляют собой аппаратное обеспечение в программном обеспечении в традиционных условиях предприятия, системы управления производством, иногда известные как операционные технологии (OT), охватывают устройства, системы и сети для управления и / или автоматизации производственных процессов.

Здесь мы предлагаем набор принципов безопасности ICS, чтобы помочь профессионалам отрасли снизить риск кибербезопасности.

1. Разберитесь в своих активах

Большинство промышленных организаций не готовы к передовым методам кибербезопасности. Они должны начинать с основ. «Большинство организаций не знают, какие технологии они используют, - сказал Билл Малик, вице-президент по стратегиям инфраструктуры в Trend Micro.

Отчасти проблема заключается в том, что операционные технологические активы часто отличаются от ИТ-активов, - сказал Джейсон Хавард-Грау, директор по информационной безопасности PAS. Например, сервер в центре обработки данных - это ИТ-актив. Но система в серверной на заводе - это «возможность, которая приведет вас к активу», - добавил он. «Он будет запускать систему управления для ПЛК [программируемых логических контроллеров], SCADA [диспетчерского управления и сбора данных] или систем DCS [распределенной системы управления]».

Таким образом, подсчет серверов, IP-адресов или сетевых коммутаторов не дает полной картины. «Есть масса [промышленных] систем, которые не входят в официальную сеть», - сказал Хавард-Грау. Еще одна проблема - старение оборудования. «В основе многих заводов до сих пор лежат технологии 1960-х и 1970-х годов», - добавил он.

На предприятии выполнить оценку уязвимости или инвентаризацию активов, как правило, несложно, в отличие от тех же действий в мире OT и ICS. Проведение инвентаризации «в среде OT может вывести из строя устройство или всю среду», - сказал Шон Писли, руководитель отдела безопасности IoT, партнера по рискам и финансовому консультированию компании Deloitte. По его словам, специализированные поставщики средств защиты АСУ ТП могут проводить инвентаризацию устройств пассивно.

2. Обратитесь за помощью к Frameworks

Обеспечение безопасности промышленной инфраструктуры может быть сложной задачей, но количество стандартов, которые могут помочь, растет. По словам Пизли, наличие общей структуры, включающей кибербезопасность, может преодолеть разрыв между ИТ и ОТ и способствовать формированию «целостного мышления» в промышленной организации.

По словам Хаварда-Грау, большинство стандартов АСУ ТП во многом пересекаются. «Начните с основы. Меня не волнует, какой из них, - посоветовал он.

Соответствующие стандарты и рамки включают следующее:

• Стратегические принципы DHS по обеспечению безопасности Интернета вещей
• ISA / IEC 62443
• ISO / IEC 27001
• Платформа MITER ATT &CK для промышленных систем управления
• NERC CIP
• Структура кибербезопасности NIST, Руководство NIST по безопасности промышленных систем управления (ICS) и Рекомендации NIST для производителей устройств IoT
• Стандарты UL 2900

3. Составьте план восстановления после кибератак

Хотя стандартные документы по кибербезопасности часто бывают сложными, в конечном итоге структура должна позволять персоналу обсуждать кибербезопасность на простом английском языке и давать им план реагирования на сценарии кибер-кошмаров. «[С] фреймворками мы говорим о том,« Как мне идентифицировать и защищать вещи? Как я буду обнаруживать [кибератаки], реагировать и, что более важно, восстанавливаться после них? »- сказал Хавард-Грау.

4. Инвестируйте в киберстрахование

Поскольку кибератаки часто становятся причиной того, что киберстрахование неоценимо. Однако приобрести страховку непросто. Унаследованное промышленное оборудование является обычным явлением, поэтому, по словам Хаварда-Грау, имеет смысл страховать производственные процессы, а не конкретную технологию. «Если у меня есть вещи, которые я не могу исправить, киберстраховщик будет искать компенсационные меры», - сказал он. Даже при наличии надежной программы кибербезопасности в страховом полисе могут быть другие исключения.

5. Воспользуйтесь «наименьшими привилегиями»

В кибербезопасности концепция «наименьших привилегий» советует организации ограничить контроль доступа между ИТ-системами и пользователями без включения основных видов деятельности.

Брандмауэры - это традиционная ИТ-стратегия для достижения этой цели, но они также жизненно важны для безопасности OT. «Подумайте, как вредоносные программы могут распространяться по производственному объекту, и установите брандмауэры», - сказал Малик. Чтобы избежать возможных помех, внесите допустимые процессы в белый список.

«Минимальные привилегии - это нечто большее, чем брандмауэры», - сказал Дэвид Голдштейн, генеральный директор AssetLink Global. Например, Гольдштейн рекомендовал «ограничить трафик по направлениям, которые не нужны приложению. Если вы только отслеживаете, отключите возможность управления и так далее ».

Еще одна проблема - удаленный доступ. «Используйте уникальные идентификаторы для задач обслуживания», - сказал Малик. «При доступе к технологиям через IP-сети в промышленной среде требуется уникальная аутентификация каждого пользователя».

Использование обычного ПК в среде АСУ ТП также представляет собой риск. «Заблокируйте это. Отключите установку, удалите компиляторы и отключите все неизвестные или ненужные процессы », - сказал Малик.

6. Рассмотрите программу Bug Bounty

Программы Bug Bounty, в рамках которых разработчики получают вознаграждение за обнаружение уязвимостей системы, в последние годы приобрели популярность, в том числе в промышленных условиях. «Программы вознаграждения за ошибки - отличительная черта дальновидных поставщиков Интернета вещей и промышленного Интернета вещей», - сказал Малик.

«Весь путь цифровизации изменит способ работы заводов», - сказал Хавард-Грау. «Если вы начнете внедрять устройства IIoT и 5G, вам потребуются вознаграждения за обнаружение ошибок».

Но это не значит, что в каждом случае имеет смысл отдавать приоритет вознаграждениям за ошибки. Организация с устаревшим оборудованием и рабочими станциями, работающими под управлением незащищенных или устаревших операционных систем, скорее всего, обнаружит, что результаты программы поиска ошибок ошеломляют.

7. Управляйте сторонними рисками

По словам Пизли, сторонние программы управления рисками приобретают все большее значение в сфере ОТ. Но управлять рисками в расширенной цепочке поставок часто бывает непросто, подчеркнул он. «Для крупных компаний могут быть тысячи различных третьих, четвертых и пятых сторон, которые они должны учитывать», - сказал он. «Будь то поставщик, который что-то встраивает в субкомпонент, или ... программный продукт, все это необходимо учитывать », - добавил Писли.

8. Вдохновляйтесь программами безопасности

Многие промышленные организации имеют программы безопасности на протяжении десятилетий. Теперь, когда угрозы кибербезопасности могут приводить к угрозам, связанным с безопасностью, «у нас должен быть аналогичный менталитет в отношении безопасности», - сказал Писли.

Идея получила распространение. Американский институт инженеров-химиков, например, рекомендует интегрировать соображения кибербезопасности в традиционный анализ рисков технологического процесса, который традиционно фокусируется на риске человеческой ошибки, отказа оборудования и т.п. на предприятиях химического машиностроения.

Одной из стратегий защиты промышленных объектов от потенциальной катастрофы является использование инструментальных систем безопасности. Но сами такие системы могут быть уязвимы для компромисса, сказал Малик. По словам Малика, не рекомендуется встраивать функции безопасности в существующие системы безопасности. «Вы будете строить инфраструктуру на базе платформы, которая никогда не была предназначена для обеспечения кибербезопасности», - сказал он.

Хотя Хавард-Грау признал, что автоматические системы безопасности несовершенны, он подчеркнул, что они являются жизненно важной защитой. «По мере того, как мы начинаем расширять операции и соединяем все больше вещей, потребность в более эффективных системах безопасности никуда не исчезнет. Они станут более важными ».