Безопасность промышленной автоматизации: почему она должна быть топ-приоритетом

В أعقاب COVID-19 промышленная автоматизация ускорилась быстрее чем когда-либо. Пока этот сдвиг бустит эффективность, он также вводит новые риски безопасности, которые могут поставить под угрозу миссионно-критические операции.

«Когда речь идет об автоматизации и системах промышленного управления (ICS), нет сомнений, что спешка делает больше, чем просто отходы», — предостерегает Дэн Миклович, аналитик Analyst Syndicate. «Это может привести к катастрофическим или даже смертельным исходам».

Исторически человеческий надзор держал критические системы работающими. Крис Кеттертон, директор solution engineering в ONE Tech, отмечает, что автоматизированный мониторинг теперь перевешивает ручные проверки — детектируя значение крутящего момента на несколько фунтов в сторону или высокочастотный писк подшипника, который человеческое ухо не может услышать.

Тем не менее, пренебрежение безопасностью в автоматизации может быть опасным. Хоббийная электроника упрощает управление машинами, но также экспонирует знакомые поверхности атаки. Миклович предупреждает, что plug-and-play решения без встроенной безопасности открывают затвор уязвимостей. Кеттертон добавляет, что такие продукты могут стать игровой площадкой для кибер-криминалов.

AI-развертывания требуют тщательного надзора

Поспешное внедрение AI в промышленные воркфлоу рискованно, особенно когда data-science таланты редки и опытные операторы отстранены ограничениями COVID-19. Миклович подчеркивает, что тренеры часто упускают критичную информацию безопасности, ведущую к небезопасному поведению AI.

Даже в оптимальных условиях софт может содержать 1–10 багов на 1000 строк кода — см. «The Fifth Domain». Миссионно-критические системы вроде космических аппаратов все еще демонстрируют этот дефектный рейт. С миллионами строк кода маржа для ошибки сужается; провал может быть катастрофическим.

История дает суровые напоминания. Катастрофа Ariane 5 1996 года стоила около $300 млн, когда повторно использованный софт не справился с более высокой скоростью запуска ракеты. Grounding Boeing 737 Max 2019 года стоило Boeing $18 млрд после аутсорсинга софта к $9-в-час разработчикам, приведшего к двум фатальным крушениям с 346 жертвами.

Удаленный доступ расширяет поверхность атаки

Расширение удаленного доступа, часто через инструменты вроде Zoom, может экспонировать торговые тайны и операционные данные кибер-криминалам. Миклович указывает, что публичный-интернет экспозиция систем управления — «известная цель атаки». Марк Керриган, COO PAS Global, отмечает, что такие системы действуют как последняя линия обороны для процессов, работающих за пределами лимитов, и поэтому должны быть жестко защищены.

Фишинговые атаки также растут по мере того, как больше сотрудников получают привилегированный доступ. Керриган предупреждает, что social-engineering кампании могут собирать учетные данные для инфильтрации контрольных сред через все более доступные удаленные шлюзы.

Секторно-специфический ландшафт угроз

Критическая инфраструктура — ядерные, нефтяные и химические заводы — типично имеет установленные протоколы и регуляторный надзор, делая их менее склонными к быстрым изменениям. Энергетические утилиты, например, должны соответствовать стандартам кибербезопасности FERC и NERC.

Наоборот, HVAC, освещение и заводские системы давно управлялись удаленно и могут быть менее затронуты мандатами социального дистанцирования. «Средний ярус» промышленных операций переживает самый быстрый рост автоматизации и внедрения удаленной работы, драйвемый пандемическим давлением, говорит ко-фаундер Analyst Syndicate, Френч Колдуэлл.

Стратегические соображения

Каждая организация должна балансировать выгоды диджитализации против рисков медленного или поспешного развертывания. «Автоматизация становится неразделимой от физических активов», — говорит Нитин Кумар, CEO Appnomic. «Неудача интегрировать адекватные цифровые процессы создаст неэффективную операционную модель».

Коллаборация между инженерией и IT необходима, особенно во время кризисов. Колдуэлл призывает совместные команды выравнивать надежность и безопасность с критичностью системы. Пост-пандемически фирмы будут иметь полосу пропускания для переоценки и расширения автоматизации и удаленного доступа, усиливая устойчивость против непредвиденных контингенций.

С бизнес-перспективы, стейкхолдеры требуют более высокую устойчивость среди неопределенности. Кумар отмечает, что акционеры будут продолжать давить на надежную автоматизацию, в то время как безопасность должна быть встроена в дизайн с первого дня. Шон Пизли, партнер Deloitte, подчеркивает, что «безопасность должна быть функциональным требованием с самого начала», а не послемыслом.

Подводя итог, промышленная автоматизация может доставить замечательные выгоды — но только если безопасность встроена в каждую фазу развертывания. Тщательное планирование, строгое тестирование и кросс-департаменталная коллаборация — ключи к защите операций в то время как жнете плоды автоматизации, AI и удаленного доступа.