Print

Bezpečnost vyžaduje kybernetické zabezpečení

-- 14.07.17

Kde není zabezpečení, není ani bezpečnost. Zranitelná místa kybernetického zabezpečení představují další způsoby selhání a bezpečnostní incidenty nezohledňované v tradičních hodnoceních bezpečnosti. Když budete vytvářet obchodní zdůvodnění pro hodnocení rizik kybernetického zabezpečení, berte v úvahu bezpečnost pracovníků. 

Hodnocení funkční bezpečnosti jsou dobře zavedenou praxí při automatizaci strojů a procesů. Tato hodnocení se zaměřují na náhodná selhání hardwaru nebo na systematická selhání softwaru (jako jsou softwarové chyby). Nicméně kybernetické hrozby a zranitelná místa představují další způsoby selhání, které mohou vést k incidentům, s nimiž se při tradičním hodnocení bezpečnosti nepočítá. Pro diskusi o hodnocení kybernetických rizik můžete vypracovat obchodní zdůvodnění. 

Většina továren a procesních závodů je dnes provozována automatickými systémy na bázi sítí Ethernet TCP/IP a starších operačních systémů Microsoft. Tyto systémy jsou zranitelné a málo odolné vůči kybernetickým útokům, což vede k potenciálně významným rizikům, včetně ohrožení zdraví, bezpečnosti i životního prostředí. Abyste se s těmito riziky mohli vyrovnat, musíte jim porozumět. Ale jak? Hodnocení funkční bezpečnosti se zaměřují na náhodná selhání hardwaru nebo systematická selhání softwaru (jako jsou softwarové chyby) a obecně nezohledňují kybernetické hrozby nebo zranitelná místa. 

Abyste kybernetickému riziku porozuměli, je nezbytné provést hodnocení kybernetické zranitelnosti a kybernetických rizik. Asi vás nepřekvapí, že přesně totéž požadují normy a předpisy pro kybernetické zabezpečení. 

Předpisy a normy pro kybernetické zabezpečení

Naštěstí je dnes k dispozici pomoc. Během poslední dekády bylo vyvinuto mnoho norem a předpisů, které řeší tento známý problém – naše průmyslové řídicí systémy (ICS) jsou zranitelné a málo odolné vůči kybernetickému narušení. 

Agentury, jako jsou NERC (North American Electric Reliability Corporation), ISA (International Society of Automation), API (American Petroleum Institute), NIST (National Institute of Standards and Technology), IEC (International Electrotechnical Commission) a další, vyvinuly mnoho dokumentů popisujících potřebu chránit systémy ICS před kybernetickými útoky a popisují, jak to dělat. 

Také normy pro funkční bezpečnost začínají nyní vyžadovat hodnocení kybernetické zranitelnosti a rizika. Druhé vydání normy IEC 61511 (Funkční bezpečnost: Bezpečnostní přístrojové systémy pro sektor průmyslových procesů) vstoupilo v platnost v roce 2016. Jedno z jeho nových ustanovení uvádí, že by se mělo provést hodnocení rizika zabezpečení za účelem identifikace zranitelných míst zabezpečení systému SIS. Další ustanovení uvádí, že provedení systému SIS musí zajišťovat nezbytnou odolnost vůči identifikovaným rizikům zabezpečení. Norma se omezuje jen na tato vyjádření, nicméně poskytuje i další pokyny tím, že čtenáře odkazuje na technickou zprávu ISA 84 a normu ISA/IEC 62443-3-2 (Hodnocení rizika zabezpečení a provedení systému), které popisují, jak hodnocení kybernetické zranitelnosti a rizika provádět. 

Co je to riziko kybernetického zabezpečení?

Existují různé druhy nebo různé komponenty rizika a kybernetické zabezpečení je jedním z nich. Vyskytují se například různá rizika pro finanční prostředky. Lidé mohou být okradeni, akciový trh se může zhroutit, finanční instituce, která vede účet, může zkrachovat nebo být vykradena nebo vám mohou vybrat účet kybernetičtí zločinci. Obdobně existují různá rizika pro závody nebo provozní operace. Může selhat mechanické zařízení, pracovník může udělat chybu, elektronická součástka se může pokazit nebo kybernetické riziko může narušit řídicí systémy. Abyste riziko zvládli, je nezbytné porozumět všem komponentům rizika, včetně kybernetických. 

I když je mnohem obtížnější uchopit kybernetická rizika než mechanická rizika, lze je hodnotit a řídit. Pokud by to nebyla pravda, bankovní účty by již byly vykradeny kybernetickými zločinci.

Kybernetická rizika jsou obecně považována za funkci tří proměnných: hrozeb, zranitelností a následků. Hrozbami jsou inicializační události, jako je útok hackera nebo počítačový virus. Hrozby mohou být různé podle dovednosti nebo motivace hackera či sofistikovanosti malwaru. Zranitelnosti jsou slabá místa obsažená v systému, která umožňují realizaci hrozby. A následky jsou nežádoucím výsledkem, pokud by byla hrozba úspěšně realizována. Riziko kybernetického zabezpečení je kombinací pravděpodobnosti, že hrozba zneužije zranitelné místo, a závažnosti konečných následků. 

Hodnocení zranitelnosti kybernetického zabezpečení systému ICS

Zranitelná místa jsou klíčovou proměnnou rizik kybernetického zabezpečení. Teoreticky platí, že nejsou-li kybernetická zranitelná místa, není žádné kybernetické riziko. Samozřejmě v realitě mají všechny systémy ICS zranitelná místa a některé jich mají více než jiné. Počet a závažnost zranitelných míst závisí na použitých komponentách, způsobu konfigurace a na způsobu jejich zapojení do sítě. 

Co je to tedy hodnocení zranitelnosti kybernetického zabezpečení systému ICS? Je to vyhodnocení provedení systému ICS. U systémů typu brownfield začíná hodnocení posouzením výkresů počátečního stavu systému ICS. Příklad je uveden na obrázku 1.

Jak je tento řídicí systém postaven? Která zařízení tento systém tvoří? Jak jsou navzájem síťově propojená? Jak spolu sítě komunikují? Moderní řídicí systémy jsou založeny na sítích Ethernet a na operačních systémech Microsoft. Pochopit, jak tyto díly skládanky do sebe zapadají, může být v mnoha závodech velmi obtížné. Výkresy, které by znázorňovaly architekturu celého systému, nemusejí existovat – tyto systémy se často stavěly a vyvíjely po celá desetiletí. 

Začněte analýzou síťové komunikace, abyste pochopili, jak jsou tyto sítě postaveny a jakým způsobem procházejí data systémem. Provádí se to záznamem skutečného provozu a jeho vykreslením, které znázorní datové toky. 

Identifikujte, která zařízení spolu vzájemně komunikují. Která zařízení by spolu měla komunikovat? Která zařízení spolu komunikují a pravděpodobně by to tak nemělo být nebo se to přinejmenším neočekává? Komunikují některá zařízení pomocí neočekávaných protokolů? Jsou v řídicím systému zařízení, která se pokoušejí komunikovat s internetem? Vykreslete komunikační toky a hledejte abnormální chování. 

Při hodnocení zranitelnosti pak budete analyzovat vlastní servery a pracovní stanice, které tvoří systém. Většina operačních systémů, jež dnes řídí spoustu průmyslových závodů, běží na starších platformách společnosti Microsoft, jako jsou Windows XP a Windows Server 2003. Identifikujte zranitelná místa. Dívejte se na samotná řídicí zařízení, na programovatelné automaty, bezpečnostní přístrojové systémy, operátorská rozhraní, frekvenční měniče, analyzátory atd. Většina těchto zařízení má nyní ethernetové porty a jsou připojena ke společným sítím, které tvoří síť řídicího systému. 

Dalším krokem při hodnocení zranitelnosti je rozdělení systému do zón a tras, jak ukazuje obrázek 2. Tímto způsobem dokážete lépe analyzovat systém a kvalitněji navrhovat ochranné prvky pro omezení komunikace pouze na takovou, která má jít do příslušné zóny nebo z ní. 

Vyhodnocení rizika by mělo rovněž zahrnovat přezkoumání zásad a postupů a analýzu slabých míst. Jak si systém stojí vzhledem k průmyslovým normám a zásadám nejlepší praxe? Nakonec by se v rámci hodnocení měl vytvořit seznam zjištěných zranitelných míst a doporučených opatření ke zmírnění těchto nedostatků. 

Hodnocení rizika kybernetického zabezpečení systému ICS

Pochopit zranitelnost je pouze jednou částí problému. Kybernetické riziko je kombinací hrozeb, zranitelností a následků. Většina organizací chce pochopit, jaká jsou skutečná kybernetická rizika. Za tímto účelem byla vyvinuta metoda – označuje se jako hodnocení kybernetického rizika neboli analýza kybernetického procesního nebezpečí (Process Hazard Analysis – PHA). Jde o velmi systematický přístup, v mnoha směrech podobný studii PHA nebo HAZOP (analýza rizik a provozuschopnosti). Proces samotný je dokumentován v normě IEC 62443-3-2. Tato metoda byla aplikována mnohokrát ve firmách dodržujících předpis pro řízení procesní bezpečnosti při práci s vysoce nebezpečnými chemickými látkami (29 CFR 1910.119). Metoda funguje poměrně dobře, protože je velmi podobná analýze HAZOP, metodě, která se v průmyslu používá již více než 40 let. Příklad části studie hodnocení kybernetického rizika je uveden na obrázku 3

Namísto tradičních příčin hledejte v rámci této studie hrozby. Zvažte také zranitelnosti a následky. Použijte stejnou matici rizika, jaká se používá při klasifikaci jiných rizik v rámci organizace. Provedení takové studie pomůže při prioritizaci aktivit a zdrojů, umožní projektantům chytrým způsobem navrhovat a aplikovat opatření k nápravě a přispěje ke zdokumentování a odůvodnění rozhodnutí. Vyhodnocení kybernetického rizika zdokumentuje, proč byla určitá kontrolní opatření zavedena a někdy také proč zavedena nebyla. 

Může být také velmi účinné jako školení a opatření ke zvýšení povědomí. Podobně jako analýza HAZOP vyžadují i tyto studie multidisciplinární tým. Systém musejí společně zkoumat lidé z oddělení IT, provozu, technického zajištění a automatizace. Při práci předepsaným postupem tým nakonec vypracuje rejstřík rizik a profil rizika, jež popisují klasifikovaný soubor rizik a vysvětlují, kde se tato rizika v systému nacházejí. A nakonec je možno odvodit soubor doporučení a vypracovat plán ke zmírnění těchto rizik. 

Přínosy hodnocení kybernetického rizika

Provedením hodnocení kybernetického rizika mohou organizace získat četné přínosy. Mají zásadní význam pro jakýkoli program řízení rizika a představují standardizovanou metodu pro informování managementu o riziku. Protože žádná organizace nemá neomezené zdroje a nekonečné rozpočty, výsledky hodnocení rizika mohou být pro management velmi užitečné při prioritizaci aktivit sloužících ke zmírňování rizik. Strukturovaný přístup pomáhá odhalit skrytá rizika nebo vyvrátit dlouhodobá přesvědčení o oblastech vysokého rizika, která mohla být nadhodnocená. Účast odborníků na hodnocení kybernetického rizika může být efektivním způsobem školení personálu v oblasti kybernetického zabezpečení a zároveň zvyšuje vstřícnost zaměstnanců k navrhovaným opatřením. Výsledkem procesu hodnocení kybernetického rizika je navíc podrobná dokumentace a odůvodnění opatření ke zmírnění, která byla přijata, i těch, která dosud přijata nebyla. 

John Cusimano, CISSP, GICSP, CFSE, je ředitel divize průmyslového kybernetického zabezpečení společnosti aeSolutions. www.aesolns.com. Upravil Mark T. Hoske, obsahový ředitel, Control Engineering, CFE Media, mhoske@cfemedia.com.


Sponzorované odkazy

 
Aktuální vydání
Reklama

Navštivte rovněž

  •   Události  
  •   Katalog  

Události

WEBINÁŘ: Trendy v IIoT V
2017-09-13 - 2017-09-13
Místo: webinář
3. ročník konference SMART HOME
2017-09-19 - 2017-09-19
Místo: Grandior Hotel Prague, Na Poříčí 42, Praha, konferenční sál C + D
Moderní metody rozpoznávání a zpracování obrazových informací 2017
2017-09-19 - 2017-09-19
Místo: Technická univerzita v Liberci Budova G, Univerzitní náměstí 1410/1, Liberec (posluchárna G312)
Moderní technologie pro potravinářský průmysl IV
2017-09-20 - 2017-09-20
Místo: Kongresové centrum Praha
Konference CityCON 2017
2017-09-20 - 2017-09-20
Místo: Clarion Congress, České Budějovice

Katalog

COGNEX
COGNEX
Emmy-Noether-Str. 11
76131 Karlsruhe
tel. 737 489 292

B+R automatizace, spol. s r.o.
B+R automatizace, spol. s r.o.
Stránského 39
616 00 Brno
tel. +420 541 4203 -11

Schneider Electric CZ, s. r. o.
Schneider Electric CZ, s. r. o.
U Trezorky 921/2
158 00 Praha 5
tel. 00420737266673

Mitsubishi Electric Europe B.V.
Mitsubishi Electric Europe B.V.
Pekařská 621/7
155 00 Praha 5
tel. +420 251 551 470

BALLUFF CZ s.r.o.
BALLUFF CZ s.r.o.
Pelušková 1400
19800 Praha
tel. 724697790

všechny firmy
Reklama


Tematické newslettery




Anketa


Ano, proto se je snažíme minimalizovat
Ne, jsou na odpovídající úrovni
Nejsou vysoké, ale rychle rostou

O nás   |   Reklama   |   Mapa stránek   |   Kontakt   |   Užitečné odkazy   |   Bezplatné zasílání   |   RSS   |   
Copyright © 2007-2017 Trade Media International s. r. o.
Navštivte naše další stránky
Trade Media International s. r. o. Trade Media International s. r. o. - Remote Marketing Továrna - vše o průmyslu Control Engineering Česko Řízení a údržba průmyslového podniku Inteligentní budovy Almanach produkce – katalog firem a produktů pro průmysl Konference TMI