V dnešní geopolitické situaci i v rámci pokračující digitalizace a automatizace nabývá na významu nutnost kvalitního řešení kybernetické bezpečnosti OT technologií, které jsou jádrem kritické infrastruktury států i průmyslových podniků. Najít včas vhodné řešení pro jejich zabezpečení může být pro mnohé podniky otázkou existence.
kybernetická bezpečnost provozní technologie průmyslový řídicí systém řízení kybernetické bezpečnosti
Úvod
Velkým tématem v kybernetické bezpečnosti je dnes zabezpečení provozních technologií (Operational Technologies – OT). OT technologie jsou významnou součástí podniků čím dál více propojených, a tedy závislejších průmyslových dodavatelských řetězců. Za příklad lze uvést celý dodavatelský řetězec automobilového nebo lékárenského průmyslu, kde výpadek byť i jen jednoho výrobního podniku či článku v dopravním řetězci (např. transportní lodi) může způsobit značné potíže. [1]
Tato vzájemná propojenost je dnes zřejmá a naprosto zřetelná snad ve všech průmyslových odvětvích. Mezi taková odvětví patří velkoobjemové výroby energie, výroby elektřiny z jaderných, plynových, větrných, vodních elektráren za současného zavádění a rozšiřování lokálních, národních i nadnárodních inteligentních sítí (Smart Grids [2]). Dále sem patří různá chemická zařízení, přeprava vody, výroba a přeprava ropy a plynu, železniční a námořní doprava, letectví, automobilový průmysl a mnoho dalších.
Všechna tato různá průmyslová odvětví čelí novým kybernetickým hrozbám. Zejména průmyslová odvětví spadající pod státní kritickou infrastrukturu čelí v dnešní geopolitické situaci novým výzvám kybernetické bezpečnosti, protože bezpečnost a ochrana lidí je jedním z hlavních zájmů. Hrozby vytváří také konvergence OT a informačních a komunikačních technologií (Information Communication Technologies – ICT), tedy propojení dvou dříve odlišných prostředí kybernetická bezpečnost provozní technologie průmyslový řídicí systém řízení kybernetické bezpečnosti v rámci nástupu Průmyslu 4.0 s postupně se rozvíjející automatizací a digitalizací. [3]
Vzhledem k specifikům průmyslových odvětví zde dochází oproti odvětvím využívajícím primárně ICT technologie (např. bankovnictví) k implementaci postupů a procesů kybernetické bezpečnosti se zpožděním. Toto zpoždění a pomalá implementace je způsobena především velkým využitím OT technologií, jež jsou mnohdy staršího data výroby a jejichž výměna či renovace je velmi nákladná. Oproti tomu v odvětvích využívajících primárně ICT technologie jsou inovace řízeny především nutností kompatibility s ostatními ICT technologiemi a probíhají násobně rychleji. [4] Z těchto důvodu je nutné porozumět specifikům OT prostředí a nalézt efektivní způsob pro řešení OT kybernetické bezpečnosti.
Hlavní skupiny OT systémů
OT systémy tvoří několik velkých množin systémů, které se dále dělí na další podmnožiny (viz Obr. 1). Představené základní dělení OT systémů vychází z autorových zkušeností a z predispozice, kdy základním smyslem OT technologií je řídit, monitorovat či vykonávat nějakou fyzickou činnost. Součástí množiny OT jsou tak systémy a zařízení, která mají v rámci své činnosti jasný přesah do fyzického světa. [5]
OT systémy lze rozdělit na čtyři základní skupiny: průmyslové řídicí systémy (Industrial Control System – ICS), řídicí systémy (Control Systems – CS), kyber-fyzické systémy (Cyber-Physical System – CPS) a zařízení rozšířeného internetu věcí (Extended Internet of Things – XIoT).
ICS systémy jsou stále pravděpodobně největší množinou OT systémů. Tyto systémy a jim přidružené OT technologie lze rozdělit do několika základních skupin dle jejich funkcionalit. ICS se dělí na systémy pro dispečerské řízení a sběr dat (SCADA – Supervisory Control and Data Acquisition), ale také na distribuované řídicí systémy (Distributed Control System – DCS) a systémy bezpečnostní integrity (Safety Integrated System nebo také Safety Instrumented System – SIS); jež jsou přesným opakem řídicích systémů a jsou řešeny především sérií standardů IEC 61508. SCADA jsou největší podmnožinou ICS systémů a stejně jako DCS a SIS se skládají z několika skupin vzájemně spolupracujících OT technologií.
Do ICS této množiny spadají systémy pro řízení transportu (Transportation System – TS; např. systémy pro řízení vlakové dopravy) a systémy zaměřující se na kontrolu a monitorování fyzického prostředí (Physical Environment System – PES). U TS probíhá významný vývoj především směrem k integrované bezpečnosti (např. řízení vlakové dopravy) a autonomii (např. automobilová doprava).
Obr. 1: Vybrané množiny OT systémů
Další velkou množinou jsou samotné řídicí systémy, které se využívají pro jiné než čistě průmyslové účely. Lze si představit systémy pro podporu komerčních aktivit a také systémy, které se začínají využívat v jednotlivých domácnostech.
Do této skupiny patří systémy pro integrované řízení budov (Building Automation System – BAS nebo také Building Management System – BMS), které integrují různé systémy pod automatické centralizované řízení. Integrovanými systémy mohou být systémy pro řízení tepla a ventilace vzduchu (Heat, Ventilation, Air Conditioning – HVAC), řízení výroby a rozvodu elektrické energie (Building Energy Management System – BEMS), řízení osvětlení, systémy pro kontrolu fyzických přístupů v budovách (Physical Access Control System – PACS) a kamerové systémy (Closed-Circuit Television – CCTV). V kyberfyzických systémech jsou propojené výpočetní, komunikační a řídicí schopnosti ICT s tradiční provozní infrastrukturou (OT). Operabilita těchto systémů závisí na propojenosti fyzické vrstvy (např. nosič elektrické energie) a vrstvy kybernetické (např. nosič dat a informací). Zjednodušeně lze říci, že se jedná o fyzické systémy, jež jsou řízené kyberneticky (pomocí softwaru). Vzhledem k vývoji v rámci průmyslu 4.0, autonomních vozidel a dalších CPS systémů (např. dronů) lze v blízké budoucnosti očekávat významný rozvoj této množiny.
Zařízení rozšířeného internetu věcí (XIoT) označuje holistický termín, který zahrnuje všechna zařízení, jež jsou připojitelná k síti. Tato většinou drobnější zařízení s jednodušším ovládacím systémem (oproti CPS, které jsou o poznání komplexnější) se používají v různých kontextech lidské společnosti. Významnou úlohu začínají hrát v průmyslu (Industrial Internet of Things – IIoT), kde se jedná o využití chytrých senzorů, aktuátorů a dalších chytrých zařízení (např. připojitelné brýle pro virtuální či rozšířenou realitu) za účelem zlepšení výrobních a průmyslových procesů. U zařízení IIoT lze často využívat výpočetní sílu a moderní analýzu dat v reálném čase za využití specifických dat, která produkují stroje v průmyslovém prostředí. Podniková alternativa IoT (Enterprise Internet of Things – EIoT) obsahuje obdobná zařízení, jež jsou připojena k podnikovým sítím a zpravidla usnadňují zaměstnancům určité pracovní i nepracovní procesy (např. dálkově ovládané chytré kávovary). Samotné civilní IoT jsou taktéž zařízení, která jsou vybavena senzory, softwarem a dalšími technologiemi, které jim umožňují přenášet a přijímat data do a z jiných zařízení a systémů (dnes také hračky, chytré chůvičky apod.). V rámci celosvětové digitalizace počty všech XIoT zařízení dramaticky stoupají. Koncept navíc rozšiřuje tradiční IoT o začlenění dalších technologií a schopností. Kombinací IoT s umělou inteligencí (Artificial Intelligence – AI), strojovým učením (Machine Learning – ML) a velkými daty (Big Data) se v rámci XIoT objevují stále inteligentnější a efektivnější systémy.
Obr. 2: Zjednodušený komunikační model SCADA systému [6]
Důležité je zmínit, že výčet OT systémů není konečný a dané skupiny systémů se ve svých verzích mohou prolínat (SCADA systémy se objevují např. ve skupině TS) nebo dělit na další podskupiny. ICS mohou obsahovat ve svém designu IIoT zařízení apod. Náhledy na problematiku, kategorizace a definice těchto množin se mnohdy liší i mezi jednotlivými dodavateli. Autorovým cílem je vnést na problematiku jednoduchý strukturovaný náhled, na jehož základě si lze problematiku OT systémů lépe představit a díky tomu posléze kvalitněji řídit kybernetickou bezpečnost podniku.
Obecný vztah OT technologií v rámci systémů SCADA
SCADA systémy jsou dominantními OT systémy, z tohoto důvodu je porozumění jejich základnímu návrhu z hlediska zajištění kybernetické bezpečnosti důležité. Zjednodušené propojení vrstev OT a ICT technologií v rámci obecného návrhu SCADA systému lze vidět na Obr. 2. Fyzicky ovládaná zařízení, jakými jsou např. stroje, motory, čerpadla apod., jsou monitorována a kontrolována pomocí senzorů a akčních členů. Senzory zpravidla sledují vybrané fyzikální charakteristiky (např. úroveň teploty, objemu, průtoku, výšky, hlasitosti, vlhkosti, otáček, otřesů apod.). Senzory jsou tedy snímací zařízení, která jsou schopná něco regulovat a která přeměňují konkrétní veličinu na elektrický signál dle svého využití (fungují jako detektory, snímače, spínače, hlídače a hlásiče).
Tyto informace jsou poté předávány vzdálenému terminálu/ telemetrické jednotce (Remote Terminal/Telemetry Unit). RTU jsou jednoúčelová zařízení navrhnutá za účelem zpracování určitých signálů od zmíněných čidel. RTU mohou komunikovat i bezdrátově. Některé činnosti mohou provádět na základě obdržených informací od čidel zcela autonomně nebo na základě požadavku, který přijde od programovatelného logického řadiče (Programmable Logic Controller – PLC). RTU předává např. informace o stavu a měření z přenosové rozvodny nebo napájecího zařízení do systému SCADA a přenáší řídicí příkazy odeslané ze systému SCADA do provozního zařízení.
Na PLC lze nahlížet jako na průmyslový počítač. Často dochází k nahrazování jednoúčelových RTU víceúčelovými PLC z důvodu, že PLC mohou být přeprogramovány na různá zadání. Nabízejí tak různorodější použitelnost. RTU jsou také nahrazována nebo doplňována inteligentními elektronickými zařízeními (Intelligent Electronic Device – IED) či měniči s proměnnou frekvencí (Variable Frequency Drives – VFD), což jsou v zásadě inteligentní motory (variace menšího PLC). [7] IED je zařízení, které přijímá data např. ze senzorů v elektrické síti a energetického zařízení a může vydávat řídicí příkazy, jako je vypínání jističů, pokud senzory zaznamenají anomálie v napětí, v proudu nebo ve frekvenci v síti. Případně kalibrují napětí k udržení požadované úrovně.
Celý průmyslový proces nebo jeho části jsou ovládány pomocí rozhraní člověk-stroj (Human Machine Interface – HMI). HMI je v zásadě grafické rozhraní, které může mít různou podobu a umožňuje vzdáleně ovládat a monitorovat průmyslové systémy a v nich obsažené OT technologie. Mají podobu od klasického PC, pracovního notebooku přes tablet či mobil až k dotykovým obrazovkám různých tvarů a velkostí.
Hlavní server celého SCADA prostředí, který komunikuje přímo s PLC, RTU či IED, je hlavní terminálová jednotka (Master Terminal Unit – MTU). U tohoto serveru je vyžadována vysoká dostupnost z důvodu velmi nežádoucích výpadků, obzvlášť pokud se jedná o kritický systém. K tomuto serveru se pak přistupuje pomocí dohledového počítače (Supervisory Computer – SC). V SC se soustřeďují veškeré informace a odtud dochází ke skutečnému řízení systému jako celku.
Nedílnou součástí SCADA systémů je také centralizovaný databázový server nazývaný Data Historian, který obsahuje historii nastavení SCADA systému a umožňuje analýzu dat a procesů statistickými postupy. Vlastní SCADA systém může běžet na platformě Windows i UNIX a existuje ve formě open i closed source se všemi souvisejícími výhodami i nevýhodami, jakými jsou podpora, možnost úprav, zajištění bezpečnosti apod. Příklad komunikačního modelu SCADA systému sloužícího k řízení a monitorování vlakového provozu lze vidět na Obr. 3.
Obr. 3: Příklad komunikačního SCADA systému sloužícího k řízení a monitorování vlakového provozu [8]
Tradiční komunikační OT protokoly
Síťové propojení OT technologií využívá více než 200 různých protokolů. [9]1 Situace vznikla historicky tím, že většina výrobců vyvinula pro komunikaci svých zařízení svůj vlastní proprietární protokol. Obecné fungování OT protokolů je velmi podobné klasickým ICT protokolům v rámci ISO/OSI modelu. Příklady OT protokolů jsou MODBUS, RTU, TCP, Plus, ASCII; DeviceNet; ControlNET; Profibus; Profinet; Allen Bradley DF1, DH, DH+; DNP3; ICCP; UCA 2.0; IEC 61850, GE Fanuc; Omron, Toshiba, Siemens Sinaut; IEC 60870-5; CANBus; CIP; OPC; Westinghouse a další.
Dnes mnozí výrobci implementují standardizovaná open source řešení do svých zařízení, např. MODBUS, a trendem je obohacování OT protokolů o IP hlavičku, případně částečná nebo úplná konverze komunikačních OT sítí do nejpoužívanějšího ITC protokolu TCP/IP [10], aby se využilo výhod tohoto protokolu. Starší proprietární protokoly, přes které komunikují např. MTU s RTU/PLC, jsou však stále většinově přítomné. Tyto starší protokoly mají dobře popsané zranitelnosti, na které je pak možné vést kybernetický útok. Tyto zranitelnosti vycházejí většinou z logiky samotných protokolů, a není tak možné je jednoduše odstranit. [11]
Proč je důležité řešit OT kybernetickou bezpečnost
Ať se jedná o ICS systémy důležité pro výrobu elektřiny, těžbu uhlí, zabezpečení železničních přejezdů nebo řízení vlaku, všechny tyto systémy mají jeden společný cíl – přenést systémová data z jednoho místa na druhé při zachování primárně jejich integrity a dostupnosti. To znamená, aby byla přenesena přesně a včas. Dojde-li k porušení některých částí systému, může dojít v lepším případě k zastavení výroby. To může být zpravidla velmi nákladné. V horším případě může dojít k ohrožení zdraví zaměstnanců nebo cestujících, což lze shledat jako naprosto nepřípustné. Nejsou výjimkou ani incidenty významně narušující životní prostředí, např. zamoření mořské vody surovou ropou na základě selhání ICS systému v rámci kybernetického incidentu.
Jeden z prvních kybernetických útoků zaměřených na OT systém ropné a plynárenské společnosti se stal v roce 2005 v Norsku. Vyšetřování odhalilo, že síť a počítače byly infikovány červem zvaným Zotob prostřednictvím zranitelností v operačních systémech Microsoftu. Celkem bylo během 17 dnů infikováno 157 hostitelů a 185 klientů. [12] Důvodem bylo připojení infikovaného notebooku třetí strany do sítě. Dle dalšího rozboru, důsledky tohoto incidentu by mohly vést k poruchám v rafinériích a úplnému zastavení mořské těžby ropy a zemního plynu s potenciálním narušením schopnosti nakupovat benzín v celém Norsku. [13]
V roce 2010 došlo k průniku na nově postavené ropné plošině v Jižní Koreji. Nejpravděpodobnějším scénářem je, že jeden z počítačů na palubě byl infikován a že se malware rozšířil do řídicí sítě, kde zasáhl systém BOP (Blowout Preventer System). Protože hlavním účelem tohoto systému je prevence požáru a výbuchu, mohlo by to potenciálně vést ke katastrofickému scénáři. Souprava byla odstavena na 19 dní, dokud nebyly všechny systémy vyčištěny. [14] Přestože okolnosti tohoto útoku nejsou jasné, předpokládá se, že šlo o součást větší malwarové kampaně zaměřené na různá průmyslová odvětví v Jižní Koreji. Podle kybernetické bezpečnostní společnosti CyberKeel, InfoSec a Lloyds Register Drilling Integrity Services to byl pouze jeden z několika takových incidentů v této oblasti. [15] Tento incident lze nepřímo spojit se špionážní kampaní proti japonské kritické infrastruktuře a průmyslovým společnostem, která v té době začala a jež je známá jako operace Dust Storm. Kromě japonských finančních institucí, dopravy, stavebních společností, ropy a zemního plynu a výroby elektřiny byly potvrzeny i útoky v jihokorejských elektrocentrálách. [16]
Největší známý kybernetický útok v ropném a plynárenském průmyslu byl proti společnosti Saudi Aramco. V srpnu 2012 hackeři infikovali firemní síť malwarem zvaným Shamoon. Tento malware přepsal hlavní spouštěcí soubory, tabulky oddílů a další náhodné datové soubory na napadených počítačích. [4] V důsledku toho byly počítače a informace na nich částečně nebo zcela zničeny (jednalo se o 30 až 55 tisíc počítačů). [13] To mělo okamžitý vliv na schopnost podniku dodávat 10% světové ropy, takže celkový finanční dopad byl ohromující. [17] Bezpečnostní experti se domnívají, že malware Shamoon byl státem sponzorovaná kybernetická zbraň navržená íránskými kybernetickými jednotkami s cílem zasáhnout energetický průmysl na blízkém východě, protože pravděpodobně stejný malware zasáhl také katarskou společnost na zkapalněný zemní plyn RasGas pouhé dva týdny po Saudi Aramco. [18]
Kybernetická kampaň využívající malware Dragonfly cílila v roce 2011 na obranné a letecké společnosti, v roce 2013 na energetické společnosti v USA a Evropě. Jednou z metod použitých během tohoto útoku byly spear-phishingové e-maily odesílané zaměstnancům cílených společností. Tyto e-maily byly pečlivě vytvořeny tak, aby vypadaly legitimně. Obsahovaly škodlivé přílohy nebo odkazy, které po kliknutí instalovaly malware na počítač oběti. Cílem útoků bylo získat přístup k ICS používaným k řízení elektrických sítí a další související kritické infrastruktury. [19] Dalším příkladem z roku 2013 je malware Havex, který vyjma tradičních metod infikování pomocí a phishingových e-mailů se škodlivými odkazy k napadení webových prohlížečů využíval také jeden netradiční vektor k infikování svých cílů. Tento vektor využíval zranitelnosti na webových stránkách poskytovatelů doprovodného ICS softwaru, kde legitimní softwarové balíčky byly nahrazeny trojanizovanými verzemi. Když operátoři stáhli aktualizace softwaru z kompromitovaných webových stránek, stáhli také škodlivý kód, který poté zavedl malware do jejich síťového prostředí. [20]
Z dalších významných kybernetických útoků lze zmínit dva na ukrajinskou elektrickou síť, které se staly během zim v letech 2015 a 2016. V prvním případě hackeři provedli koordinovaný kybernetický útok, což vedlo k rozsáhlým výpadkům proudu. Útok byl proveden pomocí malwaru BlackEnergy. Jedná se o první obecně známou událost kybernetického útoku, který způsobil výpadek proudu. Tento výpadek ovlivnil více než dvě stě tisíc lidí. Druhý útok také zasáhl elektrickou síť, což opět vedlo k rozsáhlým výpadkům. Tento byl proveden pomocí malwaru Crashoverride/ Industroyer, který byl speciálně navržen pro napadení průmyslových řídicích systémů (ICS). [21]
Z nejnovějších útoků je vhodné zmínit kybernetický útok na spol. ViaSat. Tato společnost, která je poskytovatelem satelitních komunikačních služeb, zaznamenala výpadek své sítě KA-SAT dne 24. února 2022 pouhou hodinu před začátkem konvenčního útoku Ruska na Ukrajinu. Tisíce koncových uživatelských terminálů byly pomocí destruktivního malwaru deaktivovány, což mnohým uživatelům znemožnilo připojení k síti. Satelitní síť byla využívána jak pro komerční, tak vojenské účely. I vzhledem k pravděpodobně nepřímým, ale velmi rozsáhlým dopadům kybernetického útoku na komerční společnosti využívající toto satelitní spojení, jakým bylo např. narušené řízení větrných turbín spol. Enercon v Německu, kdy téměř 5 800 turbín vyrábějících elektřinu pomocí větrné energie bylo nedostupných, se tento útok stává aktuálně nejvýznamnějším veřejně známým útokem proti vesmírnému systému. Způsob řízení rizik dodavatelského řetězce tak dostává nový rozměr, kdy je nutné brát v potaz také rizika vyplývající z dvojího použití systémů či specifických dodavatelů (dual-use risks). [22]
Některé výzvy oboru OT kybernetické bezpečnosti
V rámci nástupu Průmyslu 4.0 můžeme v mnoha průmyslových odvětvích sledovat rozvíjející se automatizaci a digitalizaci. Dříve byly OT systémy a industriální sítě odděleny od zbytku klasických počítačových sítí a od internetu samotného. Dnes je však žádaná propojenost industriálních sítí se sítěmi počítačovými, a to jak uvnitř organizace, tak za využití výpočetního výkonu a softwaru třetích stran v rámci cloudových služeb. Středobodem Průmyslu 4.0 je tak významné obohacování OT technologií o technologie ICT. Související výzvou z hlediska kybernetické bezpečnosti je tak udržení požadované úrovně bezpečnosti ve vztahu k rozvoji podniku.
Z hlediska architektury je hlavní výzvou tedy čím dál tím větší konvergence OT a ICT technologií. Dnes je mnoho průmyslových sítí natolik integrovaných, že tradiční oddělenost OT technologií je již minulostí a nelze na ni spoléhat. Z technologického hlediska OT zařízení byla postavena tak, aby vydržela často nepřetržitý provoz po mnoho let, nikoli tak, aby se vyvíjela. Přísné bezpečnostní požadavky na provozuschopnost mnoha těchto zařízení významně prodražují, ztěžují nebo činí riskantní jejich aktualizaci nebo výměnu. [23] Z tohoto důvodu mnoho OT zařízení obsahuje nespočet zranitelností a je zranitelných vůči moderním útokům. S tím, jak průmyslová digitální transformace přináší tuto konvergenci, jejíž součástí je zavádění nových technologií do průmyslového prostředí a pokrok v oblasti průmyslových protokolů směrem k jejich přenositelnosti v rámci ICT sítí, objevují se nové sofistikované kybernetické útoky na OT systémy.
Díky nárůstu průmyslového internetu věcí (IIoT) a zavádění cloudových služeb do celého průmyslového dodavatelského řetězce, se současně stávají také hrozbou známé útoky z ICT prostředí, které dříve byly pro průmyslové prostředí nemyslitelné. Přesto mnoho organizací váhá s přijetím byť jen základních bezpečnostních opatření z obavy např. z odstávek výroby, které by způsobily významnou ztrátu příjmů, narušení dodavatelského řetězce a souvisejících smluv, narušení infrastruktury, nebo dokonce ohrožení bezpečnosti lidí.
Mnoho společností působících v těchto odvětvích bohužel stále řeší i základní výzvy v oblasti kybernetické bezpečnosti. I přes neustále rostoucí počty kybernetických útoků bohužel stále schází kvalitní evangelizace oboru OT kybernetické bezpečnosti. A to jednak v rámci veřejného a podnikového prostředí, tak také v prostředí akademickém. V souvislosti s tím je v oboru kybernetické bezpečnosti dlouhodobý nedostatek odborníků [24], přičemž podobor OT kybernetické bezpečnosti je na tom oproti ICT kybernetické bezpečnosti podstatně hůře.
Z hlediska teoretického náhledu na kybernetickou bezpečnost stále není obecně přijímán fakt, že není pouze podmnožinou bezpečnosti informační, ale samostatným oborem propojeným s informační bezpečností pouze z části. Kybernetická bezpečnost v ČR je většinou řešena v rámci široce přijímaných standardů informační bezpečnosti řady ISO 27001. Z hlediska OT technologií je však tato jinak kvalitní série standardů naprosto nedostatečná, neboť není pro OT primárně určená, nebere v úvahu komplexní rozdíly mezi OT a ICT systémy a jejich odlišné způsoby využití v rámci podniků ani nijak nedefinuje pojmy související s OT kybernetickou bezpečností. [5] To má za následek většinou ignorování důležitosti nebo nedostatečné řešení OT kybernetické bezpečnosti. Situace je o to složitější, je-li tato norma v České republice inspirací pro řešení bezpečnosti v rámci Zákona o kybernetické bezpečnosti (v zákonu č. 181/2014 Sb., o kybernetické bezpečnosti, lze nalézt referenci na systém řízení bezpečnosti informací prezentovaný sérií ISO 27001 [25]). V ČR v zřejmě nejvíce rozšířeném Výkladovém slovníku kybernetické bezpečnosti jsou správně zmíněny ICS nebo systémy pro dispečerské řízení a sběr dat (SCADA – Supervisory Control and Data Acquisition), případně některé další skupiny OT technologií (viz níže). Definice pojmu OT a další důležité související pojmy zde bohužel scházejí i po jeho relativně nedávné páté aktualizaci. [25]
Související výzvou je dostupnost a porozumění nejpoužívanějších mezinárodních bezpečnostních standardů. Normy řady NIST ani IEC 62443 nejsou dostupné v českém jazyce, což samozřejmě brání jejich rozšíření a pochopení nejen širší veřejností, ale mnohdy i odbornou komunitou. U normy IEC lze také zmínit cenu, přičemž především cena jednotlivých elektronických verzí je vyšší. Bez zajištění české verze těchto norem ke zvýšení jejich dostupnosti a souvisejícího pochopení se bude kybernetická bezpečnost OT rozvíjet o poznání pomaleji.
Frameworky pro řešení OT kybernetické bezpečnosti
Jak již bylo řečeno, kybernetická bezpečnost provozních technologií je relativně novým oborem, z tohoto důvodu také její standardizace v rámci konkrétních průmyslových odvětví přichází postupně a s určitým zpožděním. Přesto lze nalézt země nebo odvětví, které tuto oblast aktivně řeší již mnoho let. Konkrétně v USA mají již dlouho zavedené bezpečnostní frameworky NIST pro svoji státní správu, jež jsou zároveň veřejně a bez poplatku dostupné pro implementaci tamějšími podniky. Pro ochranu OT technologií je určen především standard NIST SP 800-82: Guide to Operational Technology (OT) Security [8]2 či např. NISTIR 7628: Guidelines for Smart Grid cyber security – Vol. 1 – Smart Grid cyber security Strategy, Architecture, and High-Level Requirements, který je určený pro inteligentní sítě [26].
Spojené státy americké si obecně uvědomují důležitost kybernetické bezpečnosti a z hlediska přístupu k její implementaci v rámci celého státu přistupují příkladně. Vznikají zde různé modifikace bezpečnostních frameworků pro různá odvětví a pododvětví, např. námořnictví. Zde vznikají verze dokonce až pro jednotlivé třídy lodí. Ukazuje se, že veřejná dostupnost standardu bez poplatku v kombinaci s vhodně nastavenými zákony způsobí postupně jeho zavedení do různých, i vzdálených částí průmyslových oborů. Mezi existující frameworky v USA, jež jsou zaměřené na konkrétní sektory, se řadí NRC Regulation 5.71 pro nukleární energetiku, API 1164 pro petrochemický průmysl a CFATS pro chemická zařízení. Speciální řadu standardů představuje NERC CIP, jenž je cílený na kritickou infrastrukturu státu. [2]
Mezi dalšími použitelnými frameworky pro OT kybernetickou bezpečnost lze uvést francouzský ANSSI, německý BSI [7] či nadnárodní, široce uznávanou sérii standardů IEC 62443, na jejímž základě je možné vytvořit Systém řízení kybernetické bezpečnosti [28], jehož základem je řešení síťové architektury OT technologií s názvem The Purdue Enterprise Reference Architecture (tzv. PERA model). Dle tohoto modelu jsou ICT a OT rozděleny do jednotlivých úrovní podle funkčního zařazení v rámci podnikové infrastruktury. Úrovně jsou poté dle architektonického návrhu a požadované úrovně bezpečnosti segmentovány nebo segregovány na jednotlivé zóny. [28] V kontextu norem IEC 62443 je také možné zavést tzv. kompenzační opatření, která umožňují flexibilní přístup k řešení kybernetické bezpečnosti. [29]
Tato série norem je tak vhodná k implementacím v organizacích využívajících různorodé OT technologie a ICS systémy v rámci svých průmyslových činností. [30]
Tyto bezpečnostní frameworky představují ucelené metodiky pro řízení OT kybernetické bezpečnosti, jež začaly být ve světě přijímány a implementovány napříč podniky mnoha různých odvětví. Pro podniky slouží jejich strukturovaný obsah také jako inspirace k tvorbě vlastních interních politik a procedur. S pokračujícím vývojem zákonů o kybernetické bezpečnosti napříč jednotlivými státy světa je na ně zpravidla také odkazováno přímo z těchto lokálních zákonů jako na významné referenční body.
V souvislosti s postupy zavedení řízení OT kybernetické bezpečnosti do organizace představené výše uvedenými bezpečnostními frameworky bude často nutné přeorganizovat OT sítě bezpečnějším způsobem. Současně za podpory implementace bezpečnostních technologií, jako jsou průmyslové firewally, průmyslové systémy prevence a detekce průniků (Intrusion Detection/Prevention System – IDS/ IPS), průmyslové systémy bezpečnosti informací a správy událostí (Security Incident and Event Management – SIEM) či anti-malware software specializovaný na průmyslové využití. Všechna tato řešení jsou již běžně pro OT systémy dostupná.
Závěrem
V článku byly popsány styčné body k pochopení nutnosti řešení kybernetické bezpečnosti OT, které se používají napříč mnoha průmyslovými odvětvími. V rámci průmyslu 4.0 a celkové digitalizace a automatizace společnosti získávají OT systémy a jim přidružené technologie na čím dál větším významu. Porozumění tomu, co je to OT, které systémy a technologie do něj patří, jak jsou koncepčně propojeny, proč je důležité řešit OT kybernetickou bezpečnost a pochopit výzvy, kterým provozní technologie z hlediska kybernetické bezpečnosti čelí, je klíčové pro výběr správného bezpečnostního frameworku, kterým se tato problematika úspěšně řeší.
Tato e-mailová adresa je chráněna před spamboty. Pro její zobrazení musíte mít povolen Javascript.
Tato e-mailová adresa je chráněna před spamboty. Pro její zobrazení musíte mít povolen Javascript.
Poznámky pod čarou:
- V rámci významné oborové konference OT Cyber Security Summit pořádané v roce 2023 neziskovou společností International Society of Automation (ISA) ve skotském Aberdeenu byla zmíněna existence dokonce devíti set unikátních OT protokolů. Zahrneme-li mezi OT protokoly také protokoly XIoT, jejich skupina velmi významně naroste
- Tento standard, aktuálně v návrhové třetí verzi, byl v rámci evoluce oboru kybernetické bezpečnosti ve své poslední aktualizaci významně rozšířen na OT technologie. První dvě verze měly limitující aplikovatelnost pouze na průmyslové řídicí systémy
Použité zdroje:
[ 1 ] CARNOVALE Steven a YENIYURT Sengun. Cyber Security and Supply Chain Management: Risks, Challenges and Solutions. World Scientific, 2021. 978-9811231568.
[ 2 ] KNAPP, Eric D. a Joel Thomas LANGILL. Industrial Network Security: Securing Critical Infrastructure Networks for Smart Grid, SCADA, and Other Industrial Control Systems. Syngress, 2015. ISBN 978-1597496452.
[ 3 ] MACAULAY, Tyson a Bryan SINGER. Cybersecurity for Industrial Control Systems. CRC Press, 2012. ISBN 978-1439801963.
[ 4 ] BODUNGEN, Clint, Bryan SINGER, Aaron SHBEEB, Kyle WILHOIT a Stephen HILT. Hacking Exposed Industrial Control Systems: ICS and SCADA Security Secrets & Solutions. Mc Graw-Hill Education, 2016. ISBN 978-1259589713.
[ 5 ] DAVID, Ilja a Roman JAŠEK. Konvergence a divergence OT a ICT technologií ve vztahu ke kybernetické bezpečnosti (Convergence and divergence of OT and ICT technologies in relation to cyber security). Data Security Management (DSM). 2023, 30. 6. 2023, 10. ISSN 2336-6745
[ 6 ] VÁŇA, Martin. Kybernetické prostředí pro systémy typu ICS/SCADA. Brno, 2019, 60 s. Diplomová práce. Vysoké učení technické v Brně, Fakulta elektrotechniky a komunikačních technologií, Ústav telekomunikací. Vedoucí práce: Ing. Radek Fujdiak, Ph.D.
[ 7 ] RIEGER, Craig, Indrajit RAY, Quanyan ZHU a Michael A. HANEY, ed. Industrial Control Systems Security and Resiliency: Practice and Theory (Advances in Information Security. Springer, 2019. ISBN ISBN 978-3-030-18213-7.
[ 8 ] National Institute of Standards and Technology. NIST SP 800-82: Guide to Operational Technology (OT) Security. Rev. 3. NIST, 2022.
[ 9 ] ALIHUSSEIN, Ayman a Mohamed ABDELATI. A Supervisory Control and data acquisition (SCADA) for water pumping stations of Gaza. Reserch Gate [online]. 2011
[ 10 ] PRICOP, Emil, Jaouhar FATTAHI, Nitul DUTTA a Mariam IBRAHIM, ed. Recent Developments on Industrial Control Systems Resilience. Springer, 2020. ISBN 978-3-030-31328-9.
[ 11 ] ACKERMAN, Pascal. Industrial Cybersecurity. Packt, 2012. ISBN 978-1788395984.
[ 12 ] Defense-in-Depth: Cybersecurity in the Natural Gas and Oil Industry [online]. Oil and Natural Gas Subsector Coordinating Council (ONG SCC) and Natural Gas Council (NGC), 2018 [cit. 2021-5-11]. Available from: http://naturalgascouncil.org/wp-content/uploads/2018/10/Defense-in-Depth-Cybersecurity-in-the-Natural-Gas-and-Oil-Industry.pdf
[ 13 ] DIRENZO III., Joseph ed., Nicole K. DRUMHILLER ed. a Fred S. ROBERTS ed. Issues in Maritime Cyber Security. Westphalia Press, 2017. ISBN 1633915557.
[ 14 ] KESSLER, Gary C. a Steven D. SHEPARD. Maritime Cybersecurity: A Guide for Leaders and Managers. Independently Published, 2020. ISBN 9798676215354.
[ 15 ] Maritime Cyber-Risks [online]. CyberKeel, 2014 [cit. 2021-5-12]. Available from: https://maritimecyprus.files.wordpress.com/2015/06/maritime-cyber-risks.pdf
[ 16 ] GROSS, Jon. Operation Dust Storm [online]. Cylance, 2017 [cit. 2021-5-12]. Available from: https://attack.mitre.org/groups/G0031/
[ 17 ] COLBERT, Edward J.M. a Alexander KOTT, ed. Cyber-security of SCADA and Other Industrial Control Systems. Springer, 2016. ISBN 978-3319321233.
[ 18 ] Operation Clever [online]. Cylance, 2014 [cit. 2021-5-13]. Available from: https://scadahacker.com/library/Documents/Cyber_Events/Cylance%20-%20Operation%20Cleaver%20Report
[ 19 ] NELSON, N. J. (2020). The Impact of Dragonfly Malware on Industrial Control Systems. D. E. Whitehead, K. Owens, D. Gammel and J. Smith, "Ukraine cyber-induced power outage: Analysis and practical mitigation strategies," 2017 70th Annual Conference for Protective Relay Engineers (CPRE), College Station, TX, USA, 2017, pp. 1-8, doi: 10.1109/CPRE.2017.8090056.
[ 20 ] RRUSHI, J.L., FARHANGI, H., HOWEY, C., CARMICHAEL, K., a DABELL, J. (2015). A Quantitative Evaluation of the Target Selection of Havex ICS Malware Plugin.
[ 21 ] GJESVIK, Lars a Kacper SZULECKI. Interpreting cyber-energy-security events: experts, social imaginaries, and policy discourses around the 2016 Ukraine blackout, European Security, DOI: 10.1080/09662839.2022.2082838. 2023
[ 22 ] BOSHETI, Nicolò, Gordon NATHANIEL a Gregory FALCO. Space Cybersecurity Lessons Learned from The ViaSat Cyberattack. 2022
[ 23 ] RADVANOVSKY, Robert a Jakob BRODSKY, ed. Handbook of SCADA/Control Systems Security. 2nd. Edition. CRC Press, 2016. ISBN 9780367596668.
[ 24 ] Cybersecurity: How closing the skills gap can improve resilience and support a workforce in transition. World Economic Forum [online]. [cit. 2023-02-17]. Dostupné z: https://www.weforum.org/agenda/2023/02/cybersecurity-how-to-improve-resilience-and-support-a-workforce-in-transition/
[ 25 ] SMEJKAL, Vladimír, Tomáš SOKOL a Jindřich KODL. Bezpečnost informačních systémů podle zákona o kybernetické bezpečnosti. Aleš Čenek, 2019. ISBN 978-80-7380-765-8.
[ 26 ] JIRÁSEK, Petr, Luděk NOVÁK a Josef POŽÁR. Výkladový slovník kybernetické bezpečnosti: Cyber security glossary. Páté aktualizované vydání. Praha: Policejní akademie ČR v Praze, 2022. ISBN 978-80-7251-436-6.
[ 27 ] National Institute for Standards and Technology [NIST], “Guidelines for Smart Grid cyber security – Vol. 1 – Smart Grid cyber security Strategy, Architecture, and High-Level Requirements” NISTIR 7628, 2014.
[ 28 ] IEC 62443-1-1. Industrial communication networks – Network and system security – Part 1-1: Terminology, concepts and models. International Electrotechnical Comission, 2009.
[ 29 ] DAVID, Ilja a Luděk LUKÁŠ. Řešení kompenzačních opatření kybernetické bezpečnosti dle norem IEC 62443. Data Security Management (DSM). 2021, 1. 1. 2021, XXV(1), 7. ISSN 1211-8737.
[ 30 ] DAVID, Ilja a Luděk LUKÁŠ. Aplikace kompenzačních opatření pro systém vnitřních vodotěsných dveří do bezpečnostní politiky lodi dle IEC 62443 (Application of compensating countermeasures for system of internal water tight doors into ship security policy). Elektrorevue [online]. 2021, 30. 4. 2021, 2021(23), 10. ISSN 1213–1539.