Informatycy (IT) i operacje (OT) to całkiem odmienne działy, które jednak coraz częściej zaczynają współpracować ze sobą i w związku z tym coraz częściej muszą wspólnie rozwiązywać problemy. W artykule zawarto trzy wskazówki, jak uniknąć potencjalnych konfliktów we współpracy działów IT i OT.
Technologia Informatyczna oraz Technologia Operacyjna są wspólnie odpowiedzialne za unikanie ryzyka potencjalnego cyberataku. Oba działy mają jednak odmienne podejście do tego zagadnienia, co w przypadku wspólnych działań może prowadzić do poważnych konfliktów.
W czasach, gdy nie istniał Internet, granica pomiędzy działem IT a OT była dość oczywista. Granica ta jednak się zatarła, gdy technologia umożliwiła komunikację z nieomal wszystkimi urządzeniami na obiekcie. Ta rozszerzona komunikacja łączy oba działy w całkiem odmienny sposób i wymusza ich współpracę. Zamiast konserwowania zwyczajowych konfliktów, muszą one teraz szukać dróg porozumienia ze względu zarówno na swoje interesy, jak i korzyść całego przedsiębiorstwa.
Trudna współpraca
? Działy IT i OT są bardzo trudne we współpracy ? mówi Luigi De Bernardini, dyrektor generalny firmy Autoware, producenta systemu MES i inteligentnych systemów automatyki z Włoch. Gdy pracował z klientem dużego projektu automatyki, zauważył, że w wielu firmach produkcyjnych ciągle istnieje obustronna niechęć do współpracy działów informatycznych i operacyjnych.
Zdaniem De Bernardiniego to musi się zmienić. ? Funkcjonowanie obu tych działów osobno nie tylko spowalnia wdrażanie nowych rozwiązań bazujących na technologiach wykraczających poza obszar systemów sterowania, ale naraża firmę na awarie lub utratę bezpieczeństwa, co może mieć znaczący wpływ na produkcję ? mówi De Bernardini.
Różne punkty widzenia
IT i OT to całkiem różne światy, każdy z innym zakresem odpowiedzialności. Dział IT co do zasady zabezpiecza dane. Celowe lub przypadkowe działania w obszarze systemów informatycznych mogą doprowadzić do kradzieży własności intelektualnej, strat finansowych przedsiębiorstwa lub utraty kluczowych informacji, a powstałe straty mogą się wahać w granicach od 200 tys. USD do 4 mln USD, i to tylko dla pojedynczego incydentu.
Odmiennie, dział OT wykorzystuje systemy komputerowe do fizycznego sterowania produkcją. Jak pokazują przypadki niektórych awarii przemysłowych, cyberatak na te systemy może przynieść dramatyczne konsekwencje dla infrastruktury produkcyjnej, urządzeń, życia i zdrowia pracowników oraz dla środowiska naturalnego.
Różne priorytety
Różnice w priorytetach działów IT i OT są kluczem do zrozumienia, skąd tak łatwo o konflikt między nimi. Priorytetem działu IT jest zabezpieczenie danych, podczas gdy priorytetem działu OT jest bezpieczeństwo i prawidłowe prowadzenie procesu, gdzie kwestie bezpieczeństwa danych są na samym końcu.
Sposoby zabezpieczenia systemów sterowania podejmowane przez obie grupy mogą być całkiem odmienne i zależne od wielu czynników, takich jak przepisy i wymagania, architektura sieci, wymagania produkcyjne, wymagania dotyczące bezpieczeństwa pracowników i środowiska naturalnego, poziom ryzyka oraz założone poziomy bezpieczeństwa. Stąd każda grupa ma swoje specyficzne rozwiązania ochrony systemów sterowania przed cyberatakiem i jego konsekwencjami.
Z punktu widzenia IT
Priorytetem działu IT jest zabezpieczenie danych, takich jak własność intelektualna, finanse przedsiębiorstwa, dane indywidualne pracowników i klientów. Pracownicy działu IT często przyglądają się pracy działu operacyjnego, znajdując oczywiście wiele obszarów wymagających podniesienia bezpieczeństwa.
Rozwiązania IT zawierają:
?? większą segmentację sieci zakładowych,
?? zarządzanie listą dostępu dla ograniczenia dysponowania kluczami dostępu,
?? geograficzne lub organizacyjne zarządzanie danymi i majątkiem,
?? wprowadzenie zasad mocnych haseł,
?? rutynowe aktualizacje oprogramowania,
?? powszechne stosowanie procedur bezpieczeństwa.
Z punktu widzenia OT
Priorytety działu OT koncentrują się wokół wydajności. Gdy dział IT sugeruje dodatkowe zabezpieczenia dotyczące systemów sterowania, pracownicy działu OT odpowiadają, że nie są one narażone na cyberryzyka.
Argumenty działu OT stojące za niestosowaniem dodatkowych systemów zabezpieczających są następujące:
?? Przemysłowe sterowniki programowalne PLC nie mają dostatecznie dużo pamięci do obsługi intensywnej komunikacji, a nierozpoznane kody funkcyjne mogą powodować resetowanie urządzeń.
?? Nie wszystkie aktualizacje zalecane przez producenta są potrzebne. Aby stwierdzić, czy zalecenia ICS-CERT Industrial Control Systems Cyber Emergency Response Team są odpowiednie dla urządzeń zainstalowanych aktualnie na obiekcie, potrzebne jest stosowne doświadczenie i odpowiednio dużo czasu.
?? Programy antywirusowe i automatyczne aktualizacje nie są typowo stosowane w systemach sterowania i wymagają intensywnych testów, a niekiedy także obecności producenta systemu przy ich instalacji (ze względu na zobowiązania gwarancyjne).
?? Preferowana jest prosta architektura sieci, bez rozgałęzień i podsieci, dla maksymalnej izolacji systemu i procesu. Dzięki temu dział OT może zminimalizować opóźnienia sygnałów mogące zakłócić procesy czułe na synchronizację czasu, a wszystkie urządzenia są łatwo dostępne w przypadku konieczności zmian ich konfiguracji i dostosowania do nowych potrzeb.
?? Współdzielony dostęp jest powszechny zarówno w nowych, jak i starszych systemach sterowania. Zapewnia on użytkownikowi szybki dostęp do pełnej funkcjonalności systemu bez konieczności używania procedur mocnych haseł, co jest procesem skomplikowanym przy konieczności dostępu wielu operatorów i wielozmianowości pracy.
?? Zdalny dostęp jest znakomitym rozwiązaniem dla obsługi, umożliwiając koordynacje niektórych działań z domu, a połączenie przez Internet umożliwia śledzenie danych diagnostycznych i prowadzenie prac serwisowych.
Bezpieczeństwo informacji jest istotne, ale przecież straty na produkcji przekładają się bezpośrednio na straty całego przedsiębiorstwa. Z drugiej strony cyberataki, które przecież mogą prowadzić do zakłócenia produkcji, spowodować awarie, zakłócić sterowanie procesem lub zagrozić bezpieczeństwu, tym samym również mogą wpłynąć na pogorszenie wyników biznesowych.
Zmiany proponowane przez dział IT w celu dodatkowego zabezpieczenia systemów sterowania są często uważane przez dział OT za nieodpowiednie i niepotrzebne. Dodatkowo działy OT są zwykle dość sceptyczne co do ryzyk zagrażających systemom sterowania, wierząc, że zdarzają się one niezwykle rzadko.
Rozwiązanie
Zamiast wprowadzać odgórnie rozwiązania, które mogą naruszyć poufność danych czy zagrozić bezpieczeństwu procesu, przedsiębiorstwa powinny wziąć pod uwagę trzy poniższe działania dla uniknięcia konfliktów między działami IT i OT, które zarazem przyczynią się do podniesienia bezpieczeństwa systemów sterowania pracujących w ich przedsiębiorstwach.
1. Strategiczny sojusz na najwyższym poziomie zarządzania
Jak mówi Luigi De Bernardini, większość klientów jego firmy nadal utrzymuje dwa całkowicie odrębne działy OT i IT, z osobnym personelem, polityką, własnymi celami i projektami.
De Bernardini proponuje przeprowadzenie reorganizacji, tak aby IT i OT stały się działami strategicznie powiązanymi, zarówno organizacyjnie, jak i zadaniowo. Sugeruje przy tym, aby szef działu IT, szef działu bezpieczeństwa informatycznego oraz szef działu operacyjnego mieli częściowo wspólne i pokrywające się cele, które skłoniłyby ich do wzajemnej współpracy.
Szefowie działu informatycznego i bezpieczeństwa informatycznego muszą również zaakceptować swoją całkowitą odpowiedzialność za cyberbezpieczeństwo systemów sterowania, za incydenty naruszające ich bezpieczeństwo, niezawodność oraz za uszkodzenia sprzętu związane z cyberatakami.
2. Koordynacja działań
De Bernardini, śladem wytycznych NIST Sp 800-82r2 (Industrial Control System Security Guide) zaleca stworzenie zespołu interdyscyplinarnego mającego szeroką wiedzę ekspercką i stosowne doświadczenie dla oceny zagrożeń i ograniczenia ryzyk związanych z systemami sterowania. NIST (National Institute of Standards and Technology) w swoich zaleceniach wymienia konkretne osoby, które powinny być częścią takiego zespołu:
?? członek organizacji IT,
?? inżynier automatyk,
?? operator procesu,
?? specjalista ds. sieci i bezpieczeństwa systemów,
?? członek kierownictwa przedsiębiorstwa,
?? członek działu bezpieczeństwa.
W tak powołanym zespole powinni znaleźć się również (z funkcją doradczą): dyrektor przedsiębiorstwa, dostawcy systemów sterowania, integratorzy systemów oraz szefowie działów IT i bezpieczeństwa IT.
3. Projekt pilotażowy
Pierwszym zadaniem zespołu powinno być przygotowanie projektów pilotażowych, nad którymi cała grupa mogłaby wspólnie pracować. Powinna zatem powstać lista najważniejszych elementów systemu sterowania, które w pierwszej kolejności muszą zostać zabezpieczone, a stosowne prace powinny być szybko wdrożone.
Takie projekty pilotażowe nie mogą być obarczone zbyt dużym ryzykiem i powinny zostać ukierunkowane na zdobycie doświadczenia i kompetencji zespołów IT i OT. Mogą być również pomocne w nabyciu umiejętności przezwyciężania powstających konfliktów podczas prac nad poprawą bezpieczeństwa systemów sterowania.
Jak zauważa De Bernardini, taki zespół interdyscyplinarny powinien mieć wspólne zarządzanie i odpowiedzialność w realizacji projektów, zharmonizowane, pokrywające się procesy oraz musi wspierać wszechstronne umiejętności, których brakuje obecnie w większości przedsiębiorstw.
Działania długofalowe
Złagodzenia konfliktów typowych dla współpracy między działami IT i OT, jak również poprawy bezpieczeństwa systemów sterowania nie osiągnie się w ciągu jednego dnia.
Kierownictwo powinno umieć łączyć zadania, wspólnie szacować ryzyka i wynikające z nich następstwa oraz szkolić pracowników w różnych dziedzinach, co w rezultacie może poprawić bezpieczeństwo systemów sterowania, prowadzonych procesów i związanych z nimi ludzi.
Te dwa współpracujące ze sobą działy powinny tak poszerzyć swoje umiejętności, aby zaadaptować modele bezpieczeństwa wypracowane w dziale IT na potrzeby prowadzenia procesu z uwzględnieniem wszystkich istniejących różnic specyficznych dla obu działów.
Chociaż wciąż istnieje wiele kulturowych i strukturalnych problemów utrudniających współpracę działów IT i OT, to długofalowe korzyści znacznie przewyższają trudności, które mogą się pojawić na początku takiej współpracy.
Katherine Brocklehurst, Belden Industrial IT Group