Безопасная Семерка: 7 проверенных стратегий защиты вашей фабрики от современных угроз

Это часть 1 из 2-частной серии. На следующей неделе мы раскроем часть 2.

Производители, бесшовно интегрирующие фабричные системы с корпоративными сетями, раскрывают гибкость, эффективность и прибыльность — подтвержденное недавним кейс-стади Daimler Truck North America. Однако каждое соединение расширяет поверхность атаки. Наследие промышленных систем управления было построено без учета безопасности или IP-соединения, делая уязвимости пролиферативными, когда IT и OT переплетаются. Хакеры, тем временем, становятся все более изощренными.

Промышленные системы автоматизации и управления (IACS) исторически полагаются на проприетарное железо и протоколы, сопротивляющиеся стандартным сетевым инструментам безопасности. Даже когда изолированные от корпоративного IP, они часто работают как открытые сетевые острова машин с минимальной или нулевой защитой. Зачем создавать такие острова, ограничивающие бизнес-гибкость и рост, когда надежная системная безопасность необходима? Для руководства консультируйтесь с нашим Покупательским руководством: 10 вопросов вашему вендору промышленной кибербезопасности.

Ставки высоки. Недавний белый документ Cisco Connected Factory показывает, что задержки кибербезопасности могут отложить реализацию цифровой ценности до пяти лет, позволяя конкурентам обогнать. Отчет Cisco Annual Security Report 2016 подсвечивает, что промышленный сектор имеет некоторые из наименее зрелых практик безопасности и инфраструктуру самого низкого качества. В этой среде сильная поза безопасности — не просто защита — она становится устойчивым конкурентным преимуществом.

Как гласит поговорка, «Лучшая атака — это отличная защита». И пока семь — счастливое число во многих культурах, удача не заменит намеренную стратегию безопасности.

Ниже — подходы «Безопасной Семерки», которые расширяют возможности вашей фабрики эффективно защищать себя.

1. Создавайте, обучайте и применяйте политики безопасности

Многие заводы не имеют формальных политик безопасности. Начните с составления четких, письменных политик и процедур, определяющих, кто может получать доступ к каким активам, описывающих допустимое использование активов и устанавливающих механизмы отчетности об инцидентах. Включите план реагирования на инциденты, детализирующий шаги для восстановления критических производственных систем после события безопасности.

2. Внедряйте защиту в глубине (Defense-in-Depth)

Каждое дополнительное соединение расширяет возможности нарушения. Никакая одиночная технология не может обеспечить абсолютную защиту. Голунистическая защита — комбинирующая физические, процедурные и цифровые слои (сеть, устройство, приложение) — необходима. Начните с упражнения по маппингу для инвентаризации каждого устройства и ПО в вашей сети. Помните, стратегии air-gap не безупречны; скомпрометированный флеш-накопитель может поставить под угрозу изолированную машину.

Видео: Defense-in-Depth для производства

3. Укрепляйте свою первую линию обороны

Физическая безопасность первостепенна. Внутренние угрозы — такие как неавторизованный доступ на цех — могут нанести самый серьезный ущерб, включая кражу инвентаря, потерю данных или кражу ИП. Комплексная система физической безопасности, интегрированная с безопасной проводной и беспроводной промышленной сетью, защищает ПЛК и другие критические активы. Используйте замки, ключ-карты, видеонаблюдение, аутентификацию устройств, авторизацию и шифрование там, где возможно.

Del Papa Distributing, региональный дистрибьютор напитков, защитил свой 27-акровый штаб-квартир в Техасе решениями Cisco: видеонаблюдение, контроль доступа, цифровая сигнализация, датчики температуры. IP-камеры мониторят периметр, склад, офисы и ворота доставки. Системные алерты уведомляют персонал при открытии ограниченных дверей, с ссылками на живое видео. Двери могут открываться или закрываться кнопкой IP-телефона.

4. Контролируйте доступ к сети с профилированием устройств

Производственные полы теперь хранят планшеты, телефоны и другие мобильные устройства сотрудников, усложняя видимость сети. Сервисы профилирования устройств и идентичности позволяют мониторить, аутентифицировать и контролировать каждого пользователя, устройство и приложение в сети через централизованную, политико-ориентированную безопасность.

Diebold, Inc. развернула Cisco Identity Services Engine (ISE) для защиты своих 87 000 устройств по 77 странам. ISE профилирует каждое устройство, упрощает гостевой и подрядчический доступ и отказывает в неавторизованных соединениях — предотвращая простой и нарушения безопасности.

Мы поделимся остальными пунктами «Безопасной Семерки» на следующей неделе. Для больших лучших практик фабричной безопасности скачайте наш последний белый документ:

Чтобы получать будущие производственные блоги прямо в свой почтовый ящик: