Оценка безопасности сети цеха: готовы ли вы?

Это может не быть на первом месте, но мелкие и средние производственные предприятия должны думать о кибербезопасности IT/OT, особенно при изготовлении деталей для военной и оборонной промышленности. Регуляции уже здесь. Готовы ли вы?

Достаточно ли закупить новейшие станки и режущий инструмент, такие как 5-осевые станки, нанять и обучить учеников и новых токарьев, производить детали и следить за графиками технического обслуживания? С умными датчиками и большей интернет-инфраструктурой, используемой сейчас сотрудниками на цехе, в большинстве цехов вокруг станков и пультов управления находится так много технологий.

Управление безопасностью теперь — реальная проблема, и оно включает управление всеми системами и поведением сотрудников. Для предприятий, изготавливающих детали для оборонной промышленности, безопасность — главный вопрос соответствия требованиям с реальными последствиями для бизнеса.

«Практическая реальность сегодня такова, что мелкие и средние производители работают на пределе возможностей, заказы поступают, а главная проблема — поиск и удержание талантов — главное ограничение для выпуска продукции. Учитывая все решения, которые производители должны принимать каждый день, кибербезопасность не высока на их радаре», — говорит Эллиот Форсайт, вице-президент по операционной деятельности в Технологическом центре производства Мичигана, в статье для Advanced Manufacturing.

Мы поговорили с инсайдерами индустрии о состоянии безопасности в современном производстве — и о том, куда оно движется.

Промышленные кибератаки: утечки данных, кибершпионаж и не только

Интернет — фантастический инструмент и благо для бизнеса. Но это также место преступной деятельности, где мошенничество, вымогательство, кража и манипуляция системами происходят слишком часто.

Производство не избежало проблем безопасности. Промышленные секторы, включая нефть и газ и критическую инфраструктуру, такие как электростанции и атомные станции, также вынуждены усиливать свою безопасность. В 2018 году нефтехимические компании в Саудовской Аравии были взломаны с намерением саботировать работу и вызвать взрывы.

Это крайний случай, конечно, но это может произойти. Большинство инцидентов безопасности направлены на финансовую информацию и интеллектуальную собственность.

«Это очень небезопасное пространство», — говорит Джон Ливингстон, CEO Verve Industrial Protection. «Большинство производителей в целом не осознают проблему или у них нет внутренних ресурсов [для её решения]. … С одной стороны, многие полагаются на облачные сервисы, а с другой — на старые операционные системы в своих средах, которые не обновляются».

В 2018 году в производстве зафиксировано 352 инцидента безопасности, и в 87 из них было подтверждено раскрытие данных, согласно «Отчету по расследованию утечек данных 2019» компании Verizon, который является одним из самых комплексных ежегодных исследований.

«Во второй год подряд финансово мотивированные атаки превосходят кибершпионаж как главную причину утечек в производстве, и в этом году на более значительный процент (разница 40 процентов)», — заключают авторы отчета Verizon. «Если бы это было в большинстве других вертикалей, это не стоило бы упоминать, так как деньги — причина подавляющего большинства атак. Однако производство в последние годы переживало более высокий уровень утечек, связанных с шпионажем, чем другие вертикали».

Если целью является пиковая производительность и изготовление деталей, нет сомнений, что технологии играют центральную роль в помощи компаниям достичь своих целей. Сбор и мониторинг точной информации станков становится всё более критичным для достижения пиковой производительности.

Малые цеха часто подключены к интернету, и приложения, которые используют сотрудники, включая электронную почту, веб-сайты и мобильные приложения, все могут стать входной точкой для атакующих, чтобы получить доступ к информации сотрудников и компании или интеллектуальной собственности. Эта информация может включать библиотеки спецификаций деталей, которые OEM хотел бы удержать от конкурентов, а правительство — от других наций.

«Производители должны провести оценку рисков своих операций», — говорит Коушик Субраманьян, стратегический советник Национального центра кибербезопасности в производстве, в статье для Advanced Manufacturing. «Риск может быть техническим — в станках, системах управления или ПО, а также в персонале, практиках и процессах. Риск принимает множество форм, но наиболее распространен — это кибератаки, где злонамеренные лица или группы пытаются взломать системы, используя слабое звено: людей. Именно поэтому фишинг и вирусы-вымогатели так популярны и атаки имеют растущую тенденцию».

Для малых цехов управление компьютерами часто означает найм сторонних IT-компаний для помощи. Для средних и крупных производителей это может означать гибридную форму внутреннего IT-персонала и дополнительной помощи от внешних компаний для более сложных технологических вопросов.

«Большинство отрасли проходит через фазу осознания», — говорит Ливингстон. «Они начинают понимать, что проблема есть. Но они спрашивают себя: "Как мне обхватить мир, который никогда раньше не управлялся как интернет-инфраструктура?"»

Вам нужен ответ на технический вопрос? Спросите команду MSC Metalworking Tech Team на форуме.

Агенты изменений: стандарты, государственное финансирование и сторонние сервисы

Национальный институт стандартов и технологий — орган, регулирующий критическую инфраструктуру и устанавливающий правила для авиации и оборонной промышленности. В 2016 году NIST опубликовал SP 800-171, содержащий правила для «Защиты контролируемой несекретной информации в нефедеральных системах и организациях».

Стандарты включают строгие меры безопасности, которые могут влиять на OEM и подрядчиков оборонной промышленности любого размера. Если компания не соответствует требованиям, она, скорее всего, не сможет претендовать на работу.

«Для большинства производителей, не входящих в критическую инфраструктуру, потеря дня производительности из-за проблемы безопасности — не национальная чрезвычайная ситуация, но это бьет по итоговой строке», — говорит Скотт Соер, технический директор Paperless Parts. «Вот где это реально вступает в силу — интеллектуальная собственность. Министерству обороны действительно важна эта область».

Это затрагивает производителей всех размеров.

«Даже компании в 100-200 человек борются с этим», — говорит Соер. «Вдруг им нужно разобраться, как им стать соответствующими».

Как компании справляются? Некоторые, пытающиеся сохранить контракты или привлечь новые в оборонной промышленности, привлекают консультантов — и внедряют программы безопасности. Государственные и местные экономики могут негативно влиять на эти виды регуляций. Это может быть дорого. Поэтому организации предлагают финансирование, чтобы помочь компаниям стать соответствующими стандартам безопасности через производственные партнерства расширения (MEP).

Чтобы узнать больше о усилиях Министерства обороны и NIST, посмотрите это видео.

Это хорошие новости для тех, кто следит за проблемой безопасности, но большинство производителей все еще в темноте. Особенно малые цеха, объясняет Соер.

«У некоторых ложное чувство безопасности. Они думают, что не в зоне риска, потому что они малы, в стороне от пути, их физическое расположение сельское, у них не много сотрудников и они держат низкий маркетинговый профиль», — говорит Соер. «Но, знаете ли, в каком-то смысле именно это может сделать их мишенью. Они более легкая мишень, чем Lockheed Martin, Raytheon или Northrop Grumman, потому что у них нет безопасности».

Те крупные компании — цели, но они также гораздо более изощренны в обращении с классифицированными спецификациями и физической безопасностью, объясняет Соер. Соер знает — он работал в оборонной промышленности несколько лет перед переходом в производство.

Оборонные компании обучают сотрудников не говорить о работе, когда они уходят с завода. Многие говорят убрать значок сотрудника из виду после ухода. Но даже эти усилия не остановили мотивированных атакующих от получения важной интеллектуальной собственности.

«Если вы верите в американское производство, и вы патриот, частью этого должно быть заботу о части информационной безопасности», — говорит Соер.

Как ваш цех справляется с безопасностью сегодня? Вы готовитесь или в режиме «незнание — блаженство»? Обсудите на форуме. [требуется регистрация]