Dojrzałość bezpieczeństwa środowiska OT · Technologia operacyjna

Bezpieczeństwo OT dotyczy systemów sterujących procesami fizycznymi: sterowników programowalnych, systemów SCADA, DCS, czujników, sieci polowych, stacji inżynierskich, dostępów do zdalnej konserwacji. Jego priorytety różnią się od priorytetów informatyki biznesowej. Dostępność i integralność procesu są ważniejsze niż poufność, cykle życia urządzeń liczy się w dziesiątkach lat, a aktualizacji nie wdraża się we wtorkowy wieczór. Modele referencyjne tej dziedziny, IEC 62443 po stronie przemysłowej i NIST SP 800-82 jako przewodnik wdrożeniowy, opisują segmentację na strefy i kanały, zarządzanie dostępami, monitorowanie oraz reagowanie na incydenty.

W praktyce zarządzanie natrafia na trzy proste pytania, rzadko rozstrzygnięte. Czy inwentarz podłączonych urządzeń jest kompletny, czy odtwarzany z pamięci przez zespół utrzymania ruchu? Czy sieć przemysłowa jest rzeczywiście odseparowana od sieci biurowej, czy tylko oddzielona zaporą sieciową, której reguł nikt już nie weryfikuje? Czy dostępy do zdalnej konserwacji dostawców są śledzone i odwoływane, czy pozostają otwarte na stałe od momentu uruchomienia linii? Do tego dochodzi podział odpowiedzialności między dyrekcją przemysłową, utrzymaniem ruchu a działem systemów informatycznych, często niejasny.

Konwergencja IT/OT zmieniła sytuację. Projekty przemysłu połączonego, przesyłanie danych produkcyjnych do chmury oraz konserwacja predykcyjna otworzyły środowiska zaprojektowane jako izolowane. Powraca częste nieporozumienie: zastosowanie wprost podstawowych zasad bezpieczeństwa informatycznego do hal produkcyjnych. Oprogramowanie antywirusowe na stanowisku nadzoru z przestarzałym systemem operacyjnym, comiesięczna poprawka na sterowniku pracującym w trybie ciągłym, silne uwierzytelnianie na pulpicie współdzielonym przez trzy zmiany, żadne z tych działań nie przenosi się bez uzgodnienia z produkcją.

Diagnoza dojrzałości odpowiada na inne pytanie niż audyt techniczny. Audyt stwierdza istnienie podatności na konkretnym urządzeniu w danym momencie. Diagnoza umieszcza Państwa praktyki na skali stopniowej, obszar po obszarze, i wskazuje, jakie działanie pozwala przejść na kolejny poziom. Umożliwia też porównanie zakładów między sobą: nowo wybudowana fabryka i zakład przejęty w ramach akwizycji nie zaczynają z tego samego punktu, a plan działania nie może być taki sam.

W Datamensio model referencyjny jest gotowy do użycia, a Państwo zachowują nad nim pełną kontrolę. SI dostosowuje obszary tematyczne, pytania i poziomy do Państwa kontekstu przemysłowego, lub buduje wariant na podstawie Państwa polityk i standardów inżynierskich. Przy parku liczącym kilka zakładów łączy ona luki w jedną uszeregowaną mapę drogową, zamiast w listę działań dla każdego zakładu z osobna.