JOSEPH DA SILVA, RIADITEĽ INFORMAČNEJ BEZPEČNOSTI SPOLOČNOSTI ELECTROCOMPONENTS PLC ZDIEĽA SVOJ POHĽAD NA TO, AKO SA MÔŽETE ZABEZPEČIŤ, ABY BOLO VAŠE ZAVEDENIE IIOT ČO NAJBEZPEČNEJŠIE.

Kybernetická bezpečnosť je už mnoho rokov téma, ktorá nedáva IT manažérom spať. So vznikom „priemyselného internetu vecí” (IIoT) sa však potenciálne riziko zvýšilo, pretože do podnikových sietí sa pripája čoraz viac zariadení. Zatiaľ čo IIoT ponúka podnikom vzrušujúce možnosti, od prediktívnej a proaktívnej údržby až k potenciálnym novým tokom príjmu, je dôležité nazerať na zavedenie každého IIoT ako na časť systému a nielen v kontexte celého riešenia IIoT.

Zavádzania IIoT sú časťou komplexnejšieho systému v rámci vášho podniku, či už úmyselne alebo neúmyselne, a je dôležité zvážiť, ako by zavedenie IIoT mohlo rozšíriť možné miesta útokov celej organizácie. Nezabezpečené riešenie IIoT by mohlo ponúknuť vstupný bod do vášho operatívneho technologického prostredia alebo širšieho IT prostredia, prípadne by mohlo byť vstupným bodom do vašich logistických procesov, procesov riadenia skladu alebo finančných procesov.

Takže čo môžete urobiť pre vašu ochranu? Nadišiel čas nasadiť si čiapku z alobalu a vrátiť sa do doby parnej lokomotívy? Zrejme nie. Bezpečnosť je hra založená na riziku a prvý krok k minimalizácii rizika spočíva v jeho pochopení. Bezpečnosť by sa nemala považovať za „problém niekoho iného”, určite by ste ju nemali prenechať iba vášmu IT tímu a najdôležitejšie je, aby sa neprenechala externým poskytovateľom. 

Myslite na to: každé zariadenie je potenciálnym novým vstupným bodom pre hackera. Nemusíte byť expertom, ale musíte si položiť správne otázky a prijať správne opatrenia. Niektoré z nich sú opísané nižšie:


1. Zmena predvolených hodnôt

Väčšina zariadení IIoT a aj väčšina IT softvéru sa dodávajú s predvolenými heslami. Hneď si ich nechajte zmeniť na trochu silnejšie a jedinečné heslá (rozhodne nepoužívajte rovnaké heslo pre všetko ..). Vyhýbajte sa všetkým zariadeniam s pevne zakódovanými heslami. Ak je heslo pevne zakódované, pozná ho už každý hacker vonku.

2. Oddelené siete

Neumiestňujte žiadne zariadenia IIoT do vašej podnikovej siete ani do rovnakej siete, ktoré používate pre vaše vybavenie OT. Vedie to len k problémom. Jediné zariadenie by tiež nemalo byť schopné pristupovať k viacerým sieťam, inak by mohlo byť použité ako „most”.

3. Deaktivujte nepotrebné funkcie

Vidíte televízor na stene vašej zasadačky? Stavím sa, že je to inteligentný televízor. Stavím sa že nikto nevypol funkciu Bluetooth alebo mikrofón či webový server, ktorý prevádzkuje. Nepotrebné funkcie môžu byť použité ako „brána na útok” nielen na zariadenie, ale aj na väčšiu sieť, na ktorej sa nachádza. Nechajte veci vypnúť programom alebo ich deaktivujte fyzicky. Napríklad USB port sa dá trvalo deaktivovať takými jednoduchými prostriedkami ako kliešte alebo tekutá epoxidová živica.

4. Aktualizujte

Chyby zabezpečenia softvéru sa objavujú veľmi často, ale ešte častejšie dochádza k tomu, že známe opravy týchto chýb zabezpečenia sa neaplikujú včas. Zabezpečte, aby sa firmvér a softvér pravidelne aktualizoval a aby ste disponovali procesom aktualizácie, predovšetkým, keď to zahŕňa plánovanie prestojov. Nebudete schopní vypnúť 24x7 montážnu linku, ale mali by ste byť schopní tolerovať prestoje pri snímačoch monitorovania stavu.

5. Testovať, testovať, testovať

Poraďte sa so špecializovaným testerom penetrácie, ktorý sa vyzná v priemyselnom vybavení a prevádzkovej technike – nie všetci to vedia. Ide o špeciálny odbor, ktorý si vyžaduje špeciálne znalosti o PLC a vybavení SCADA a vy chcete, aby ich preskúšala priateľská tvár predtým, ako to urobí niekto s nekalými úmyslami. Najdôležitejšie je riadiť sa jeho odporúčaniami – možno nedokážete dať všetko do poriadku, ale môžete sa na základe rizika rozhodnúť, čo dáte do poriadku, čo iným spôsobom zmiernite a čo môžete akceptovať.

6 . Majte jasno v tom, čo má kto robiť

Aj keď si kúpite údajne riešenie „na kľúč“, nie je to úplne jednoduché, najmä keď je sám poskytovateľ služby odkázaný na rad tretích strán. Mali by ste vedieť, kam vaše údaje putujú, kto k nim má prístup a ako sú chránené. „Nachádzajú sa vo výpočtovom stredisku veľkého poskytovateľa cloudu, sú v bezpečí”, ako odpoveď nestačí.

7. Na záver to najdôležitejšie: Pripravte si plán pre prípad, že sa niečo pokazí

Realizujte niekoľko scenárov a pravidelne ich testujte simuláciou skúšobného chodu. V prípade bezpečnostného incidentu musí byť úplne jasné, čo má kto robiť, a keď je to jasne zdokumentované a ľahko prístupné, vrátane komunikačných deklarácií vo forme šablón, šetrí to veľa času a adrenalínu.

Joseph je zbehlý manažér v oblasti zabezpečenia informácií s rozsiahlymi skúsenosťami v IT a obchodnými skúsenosťami v rôznych odvetviach. Presadzuje agendu zabezpečenia informácií v spoločnosti Electrocomponents s cieľom pomôcť tak podniku, ako ak jeho zákazníkom, aby pochopili riziká a bojovali proti nim, a aby súčasne umožnili rast obchodu. Má kvalifikácie CCISO, CISM a BCS, ako aj diplom s vyznamenaním z biochémie a v súčasnosti sa venuje výskumu pre svoju dizertačnú prácu.