Sokan fogadják el alaptételnek, hogy az ipari vezérlőrendszereket (OT/ICS – Operational Technology/Industrial Control Systems) főleg azért veszélyeztetik a kibertámadások, mert néhány évtizedekkel ezelőtt tervezésükkor még nem számoltak (számolhattak) az internet mindent átszövő hatásával. Így természetesen azzal sem, hogy a hálózatba kapcsoltsággal ugrásszerűen megnőtt ezeknek a rendszereknek a támadható felülete.

Nem csak a technológiával van gond

De most kiderült, mégsem csak emiatt esnek áldozatuk incidenseknek az OT/ICS rendszerek. A leggyengébb láncszem a gyártóvállalatoknál is az ember. A német ARC tanácsadó cégnek egy a Kaspersky megbízásából végzett globális kutatásából kiderült, hogy az automatizáció ellenére tavaly az OT/ICS hálózatokat érintő incidensek 52 százaléka az alkalmazottak által vétett hibák miatt következett be. Az ARC munkatársai több mint húsz ország közel 300, zömében nagyobb (1500 alkalmazottnál többet foglalkoztató) gyártó vállalatának olyan szakembereit kérdezték meg, akik döntési helyzetben vannak cégük OT/ICS rendszereit illetően.
 

A State of Industrial Cybersecurity 2019 című jelentés szerint a probléma egy szélesebb körű, összetettebb jelenség része. Az ipari infrastruktúrák növekvő komplexitása korszerűbb védelmet és magasabb szintű készségeket igényel. A vállalatoknál azonban komoly hiány van olyan szakemberekből, akik képesek kezelni az ebből eredő új fenyegetéseket. Szintén komoly problémát okoz az alkalmazottak tájékozatlansága.

Az alkalmazottak felkészületlensége és a rendszerek komplexitása közötti olló ráadásul folyamatosan nyílik a kutatás szerint. Az ipari hálózatok digitalizálása és az Ipar 4.0 elemeinek bevezetése ugyanis az iparvállalatok négyötödénél napirenden van. A megkérdezett szervezetek 81 százaléka idén vagy a közeljövőben megvalósítandó feladatnak tekinti az operációs hálózata digitalizálását.

A vállalatok is látják a veszélyt

Az ellenben jó hír, hogy a kockázatokkal a vállalatok is tisztában vannak. Ezt jelzi, hogy a válaszadók 87 százaléka szerint az OT/ICS kiberbiztonsága cége első számú prioritásává lépett elő. Itt is van azonban egy komoly szakadék a felismerés a a cselekvés között: a vállalatoknak ugyanis csupán 57 százaléka irányzott elő forrásokat az ipari kiberbiztonságra, például célirányos intézkedésekre és magasan képzett szakemberek megszerzésére.

A tanulmány ugyanakkor felhívja a figyelmet, hogy az önmagában kevés, ha megfelelő ipari tudással rendelkező kiberbiztonsági szakembereket vesz fel egy gyártó vállalat (a válaszadók 52 százaléka szerint nehéz ilyen szakembert találni), ugyanis az OT/ICS hálózatok üzemeltetői sincsenek tisztában azokkal a felhasználói viselkedésmintákkal, amelyek kiberbiztonsági kockázatot jelentenek. Így azonban nehéz kialakítani védekezési mechanizmusokat.

A vállalatok 45 százalékánál egyébként az IT-infrastruktúra biztonságáért felelős szakemberekre terhelik az OT/ICS hálózatok felügyeletét is – az alapvető munkaköri feladataik mellett. Ez már önmagában is biztonsági kockázatokat hordozhat magában – derül ki a megkérdezettek válaszaiból. Hiába integrálódnak ugyanis egyre szorosabban az OT/ICS rendszerek és a vállalati hálózatok, a két oldal szakembereinek mások a szempontjai és céljai a kiberbiztonságot illetően. A két oldalt képviselő szakemberek szemléletét csak rendszeres képzés révén lehet közelíteni egymáshoz.

Ez olyan technológiák is megkövetelik, mint például az ipari IoT (IIoT) vagy a digitális ikrek alkalmazása (a vállalatok 41 százaléka gondolkodik abban, hogy például OT/ICS hálózatát a megelőző karbantartást segítendő digitális ikrek használatával felhőhöz csatlakoztassa. Az IIoT-peremeszközök és a felhőszolgáltatások összekapcsolásával pedig értelemszerűen újabb biztonsági kihívásokat kell kezelni.

A szabványosítás segíthet

Az Industrial Internet Consortium az IIoT peremeszközök és a felhőszolgáltatások egyre szorosabb integrálódására reagálva megkezdte egy biztonsági keretrendszer kidolgozását. Az Industrial Internet Security Framework a technológiai (CTO) és biztonsági (CISO) vezetőknek ad segítséget a jelenleg elérhető ipari internetes biztonsági technológiák implementálásához. A keretrendszer jó gyakorlatok gyűjteménye ún. kiberfizikai rendszerek biztonsági rendszereinek kiépítéséhez.