Jednym z wyzwań stojących przed pionami zajmującymi się cyberbezpieczeństwem jest zapewnienie ciągłości działania przedsiębiorstwa. Ochrona przed cyberatakami jest niezbędna dla zagwarantowania pełnej sprawności sprzętu i maszyn. W obliczu zmieniających się przepisów prawa i coraz częstszych cyberataków, konieczne jest włączenie środowisk operacyjnych przedsiębiorstwa (OT – z ang. Operational Technology) do działań na rzecz cyberbezpieczeństwa.
Jak pokazuje przykład niedawnego ataku na systemy teleinformatyczne norweskiego producenta aluminium Norsk Hydro, ryzyko jest wysokie. Szacuje się, że firma ta poniosła straty w wysokości 40 milionów dolarów, a przywrócenie pełnej pracy produkcji w fabrykach zajęło kilka tygodni[1]. Piony IT od wielu lat zmagają się z zagadnieniem cyberbezpieczeństwa i do niedawna głównie na nich spoczywała odpowiedzialność za ten obszar. Natomiast działy operacyjne dopiero zaczynają wkraczać w świat bezpieczeństwa cybernetycznego. Jaka przyszłość czeka środowiska OT i IT w świetle tych zmian?
Ciągła edukacja i podnoszenie świadomości
Przed menadżerami zarządzającymi systemami produkcyjnymi stoi jedno z ważniejszych wyzwań, jakim jest kwestia przygotowania pracowników do konieczności wdrożenia nowych rozwiązań w zakresie cyberbezpieczeństwa. Brak odpowiedniej edukacji i szkoleń to główne czynniki, które hamują podnoszenie standardów bezpieczeństwa w zakresie OT.
– Działy systemów sterowania przemysłowego stoją przed nowym wyzwaniem związanym z cyberbezpieczeństwem. Dotychczas środowiska OT nie musiały mierzyć się z tym tematem, ponieważ skupiały się na podnoszeniu wydajności. Współpracując i wymieniając się wiedzą i doświadczeniem z pionami IT, jesteśmy w stanie w znacznie lepszym stopniu zabezpieczyć się przed zagrożeniami cybernetycznymi. – mówi Paul Forney, Analityk ds. Cyberbezpieczeństwa w Schneider Electric.
Wdrożenie wspólnie wypracowanego holistycznego rozwiązania, które umożliwia analizę, monitorowanie i zabezpieczanie całej infrastruktury OT przedsiębiorstw niezależnie od producenta czy dostawcy poszczególnych urządzeń, pozwoli sprostać rosnącym zagrożeniom związanym
z atakami cybernetycznymi, a także spełni wymagania nałożone przez ustawodawców.
Regulacje prawne
Unijna Dyrektywa NIS (Network and Information Systems Directive), która ma na celu podnoszenie wspólnego poziomu bezpieczeństwa sieci i systemów informatycznych na terytorium Unii Europejskiej[2], kierowana jest do dwóch grup odbiorców: operatorów usług kluczowych (m.in. przedsiębiorców z sektora energetyki, transportu, zaopatrzenia w wodę) oraz dostawców usług cyfrowych (m.in. usług przetwarzania danych w chmurze).
W Polsce dokonano wdrożenia dyrektywy NIS za pomocą Ustawy o krajowym systemie cyberbezpieczeństwa[3]. Nakłada ona na Operatorów Usług Kluczowych zbudowanie zespołu odpowiedzialnego za ciągłe monitorowanie infrastruktury OT od najniższej wastwy celem wykrywania incydentów oraz raportowania tych poważnych do organów właściwych w zależności od branży. Operatorzy Usług Kluczowych mają również za zadanie usuwanie wykrytych podatności.
Wspólnie w obliczu wyzwań
Aby ułatwić firmom sprostanie wymaganiom ustawodawcy powstała oddolna inicjatywa przedsiębiorców: Rada Cyberbezpieczeństwa Przemysłowego. Głównym zadaniem Rady jest wskazanie firmom, w jaki sposób mają postępować i wdrażać nowe technologie, aby odbyło się to w sposób bezpieczny. Dodatkowo, jednym z celów Rady jest wytyczanie standardów na styku środowisk OT, ICT i IT, w oparciu o ścisłą współpracę z przedstawicielami instytucji publicznych.
– Przygotowanie konkretnego planu, wymiana wiedzy i technologii między obszarami IT i OT są konieczne, aby sprostać wymaganiom ustawowym. Wdrażanie nowych rozwiązań musi odbywać się po kolei, tak, aby zachować ciągłość pracy systemów produkcyjnych. Wybierając innowacyjne technologie, takie jak platforma EcoStruxture, która łączy rozwiązania OT z najnowszą infrastrukturą IT, możemy kontrolować m.in. aplikacje i serwisy, dokonywać analiz oraz monitorować każde urządzenie pod kątem cyberbezpieczeństwa. Decydując się na sprawdzone rozwiązania, jesteśmy w stanie zapewnić naszemu przedsiębiorstwu wyższy poziom bezpieczeństwa cybernetycznego.– mówi Paul Forney.
Cyberbezpieczeństwo realizowane bardzo szeroko – od podstawowego poziomu, czyli np. sterowników, poprzez komunikację sieciową opartą o konkretne protokoły, a także współpracę między działami IT i OT jest w stanie zminimalizować ryzyko cyberataków.
[1] Norsk Hydro traci miliony każdego dnia. Trwa walka o powrót do normalności
[2] Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/1148
