Оценка факторов риска в кибербезопасности OT: Руководство для инженеров автоматизации

Часто говорят: «Интернет — это плохой район». И насколько это может быть правдой, есть многие другие риски и угрозы, о которых инженерам автоматизации нужно знать, которые могут повлиять на компьютерные системы, используемые в автоматизации и управлении.

Операционная технология, или OT, относится к физическому оборудованию и программному обеспечению, используемым для мониторинга и управления промышленным оборудованием, процессами и инфраструктурой. Это те элементы, с которыми мы, инженеры автоматизации, работаем каждый день.

Эта статья пристально рассмотрит факторы риска в кибербезопасности OT и то, как вы можете снизить эти риски.

Критическая инфраструктура, такая как энергетические установки, плотины и ветрофермы, а также критически важные производственные заводы, должны быть осведомлены о множестве угроз, которым их системы подвергаются. Например, угрозы могут исходить от недовольного сотрудника, который намеренно заражает сеть вирусом.

Угрозы могут исходить из внешних источников, таких как интернет. Каждый из этих типов угроз может нанести значительный вред OT-инфраструктуре завода.

От каких рисков должны защищаться ваши системы? Просто делая то, что делают другие, или хаотично используя оборудование и ПО для кибербезопасности, недостаточно для обеспечения безопасности.

Систематический подход к кибербезопасности — необходимый жизненно важный шаг для устранения рисков и превращения ваших систем в более дружелюбный район.

Основы оценки рисков кибербезопасности OT

Оценка рисков OT определяется как систематический процесс идентификации, оценки и приоритизации угроз и уязвимостей. Есть несколько характеристик, уникальных для сред OT, которые отличают их от сред IT.

Среди них — распространенность устаревших систем, требования доступности 24/7 и физическая интеграция с машинами, актуаторами и датчиками, составляющими производственный процесс.

Оценка рисков должна задействовать всех заинтересованных сторон, включая операционный персонал, инженеров, IT-специалистов и менеджмент. Как я упоминал ранее, эта оценка рисков должна следовать систематическому подходу для ее успеха.

Итак, давайте посмотрим на пять шагов, входящих в эту оценку.

Идентификация и инвентаризация активов

Когда страховая компания просит застраховать ваш дом, они хотят знать, что в доме, чтобы знать, что может быть потеряно, или, другими словами, что подвергается риску потери или повреждения. То же верно для оценки рисков в кибербезопасности.

Инвентаризация и отображение всех ваших OT-активов — первый критически важный шаг. Все должно быть в инвентаризации, включая оборудование, такое как ПЛК, SCADA-системы и HMI-станции. Эта инвентаризация должна включать все программное обеспечение и прошивку, установленные на ваших OT-системах.

Эти активы могут не казаться физическими по своей природе, но они подвергаются риску и являются самыми легкими активами для заражения хакерами.

Мы также должны включить сетевое оборудование, такое как коммутаторы и кабели. И не забывайте внешние соединения, такие как порты данных, предоставленные для доступа поставщиков, или соединения для удаленного обслуживания.

Полная инвентаризация критически важна, чтобы позволить команде оценки рисков полностью понять то, что называется «ландшафтом угроз».

Упущенные элементы, такие как порты данных, предоставленные для доступа поставщиков, могут быть легкими путями для заражения системы, даже если это не сделано злонамеренно.

Идентификация угроз и уязвимостей

Как только у нас есть список всех наших активов, мы знаем все элементы, которые могут быть атакованы. Далее нам нужно определить типы угроз, которые могут пригласить наши системы.

Эти угрозы могут быть внутренними от инсайдеров, такими как присвоение средств со счетов или незонамерная ошибка конфигурации сетевых коммутаторов, позволяющая обходить требования аутентификации пользователей.

Угрозы также могут быть внешними из источников интернета, вредоносного ПО, хакеров или государственных акторов за ценными активами, такими как формулы и рецепты.

Часто забываются общие уязвимости, которые могут возникать с устаревшим OT-оборудованием и ПО, такие как отсутствие патчей, слабая аутентификация и небезопасные протоколы.

Анализ воздействия

Теперь, когда мы знаем наш ландшафт угроз, мы должны оценить последствия фактического компрометирования системы из-за атаки.

Эти последствия могут принимать множество форм, таких как риски безопасности для персонала или окружающей среды, нарушение производства, операционные сбои, финансовые потери, репутационный ущерб и нарушения нормативных требований и соответствия.

Последствия, с которыми может столкнуться ваше предприятие, зависят от вашей уникальной ситуации и могут включать многие другие риски.

Оценка вероятности

Следующий шаг — самый сложный — определение вероятности того, что эти последствия действительно реализуются.

Определение вероятности эксплуатации уязвимостей вашей системы включает прогнозирование вашего воздействия интернет-угрозам, идентификацию известных эксплойтов и возможностей противников, а также, что важно, историю инцидентов, затронувших системы, подобные вашим.

Например, Stuxnet был всепроникающим и ослабляющим вирусом, атаковавшим оборудование конкретного поставщика. Атака на Colonial Pipeline была атакой вымогательского ПО, приведшей к остановке операций и значительному дефициту топлива на Восточном побережье. Что может случиться с вашей операцией и насколько вероятно это?

Матрица рисков

Финальный шаг — построить Матрицу рисков для каждого фактора риска. Матрица рисков обычно сопоставляет воздействие нарушения кибербезопасности с вероятностью его возникновения. Вот пример матрицы, использующей пороги для воздействия и вероятности как низкий, средний и высокий.

Команда оценки рисков отвечает за определение лучшего распределения риска по каждой ячейке матрицы. Ваша команда может определить, что высокая вероятность возникновения со средним воздействием также квалифицируется как высокий риск. Ранжирование зависит исключительно от вашей уникальной ситуации.

Зачем генерировать эту матрицу? Она позволяет легко идентифицировать риски, требующие немедленного смягчения, такие как все элементы высокого риска, а также те, которые можно отложить, такие как те с низким риском.

У компаний ограниченные бюджеты на кибербезопасность, поэтому вопросы с наивысшим риском должны решаться в первую очередь.

Проблемы и соображения в оценке рисков OT

Этот процесс обычно не является легким. Элементы, такие как понимание всех ограничений на патчинг устаревших систем, могут быть трудными. Может быть ограниченная видимость природы некоторых угроз.

Могут быть организационные барьеры для получения всех данных, необходимых для оценки широты некоторых угроз. Могут быть риски цепочки поставок и третьих сторон, которые неизвестны.

Лучшие практики для эффективной оценки рисков OT

Есть лучшие практики для преодоления некоторых из этих ограничений и разработки эффективного профиля рисков. Самая важная — вовлечение всех заинтересованных сторон и сотрудничество в оценке.

Для помощи в этом процессе есть много стандартов и фреймворков, которые направляют команды в процессе оценки рисков, такие как NIST CSF и IEC 62443.

Ключ к эффективным программам оценки рисков кибербезопасности — периодическое обновление оценки с использованием актуальных данных.

Заключение

Оценки рисков кибербезопасности OT являются основой для создания эффективной защиты от внутренних и внешних угроз. Задействуя всех заинтересованных сторон в процессе, можно определить наиболее полную картину угроз и вероятности их возникновения и отобразить в матрице рисков.

Из матрицы рисков можно принять правильные решения о применении средств кибербезопасности. По мере эволюции OT-рисков важно, чтобы предприятия были проактивными и проводили постоянные оценки рисков как основу своей программы кибербезопасности OT.