Информационная безопасность для снижения риска

Информационная безопасность универсальна и действует на нескольких уровнях. В ОТ и производстве принцип информационной безопасности в первую очередь служит защите оборудования от опасностей, вызванных деятельностью человека. Этот принцип защищает машинное оборудование от таких опасностей, как кибератаки или манипуляции.

Но как выявить потенциальные риски или возможности атак?

Первое, что необходимо сделать при проверке производства на предмет информационной безопасности, — провести оценку рисков. Она раскрывает опасности и риски, которым подвергается машина в «киберпространстве», а также меры, которые необходимо принять для их минимизации.

Оценка рисков информационной безопасности всегда подразделяется на следующие этапы:

1. Определить активы: Что я хочу защитить?
2. Проанализировать угрозы: Каковы риски для элемента, который я хочу защитить?
3. Определить соответствующие цели защиты: Каких целей я хочу достичь?
4. Проанализировать и оценить риски: Насколько велика вероятность возникновения риска?
5. Анализ векторов угроз
6. Создание и реализация концепции информационной безопасности
7. Обзор процесса реализации
8. Регулярные повторные оценки
9. Выбор и внедрение мер безопасности: Как я могу защититься от потенциального риска?
10. Управление устойчивостью: Что мне делать после того, как система подверглась атаке? Как мне лучше закрепить представление об информационной безопасности в компании?

Уровни информационной безопасности определяют уровень защиты, которого стремятся достичь промышленные и производственные предприятия, используя меры информационной безопасности. Соответствующая информация предоставляется предварительной оценкой риска. Она определяет требующие защиты элементы и вероятность атаки на них. Уровень информационной безопасности (SL) устанавливается в соответствии с этим. В настоящее время уровень SL-2, представляющий собой защиту от «намеренного проникновения с использованием простых средств, незначительных ресурсов, общих знаний и низкой мотивации», должен рассматриваться как минимальный стандарт безопасности. Для поддержания такого минимального стандарта компании необходим определенный уровень зрелости системы информацион безопасности. Даже самые лучшие межсетевые экраны будут бесполезны, если персонал продолжает записывать пароли на стикерах и оставлять их на своих мониторах или не устанавливает требуемые обновления. Чем больше внимания компания уделяет вопросу информационной безопасности, тем выше общий уровень защиты. Поэтому комплексная концепция безопасности очень важна.

Общие сведения об уровнях информационной безопасности:

• Уровень информационной безопасности 1: Защита от случайного или непреднамеренного проникновения
• Уровень информационной безопасности 2: Защита от намеренного проникновения с использованием простых средств.
• Уровень информационной безопасности 3: Защита от намеренного проникновения с использованием продвинутых средств
• Уровень информационной безопасности 4: Защита от намеренного проникновения с использованием продвинутых средств и значительных ресурсов

Детальная оценка рисков информационной безопасности необходима для целенаправленной и специальной защиты машины. Однако общие меры также могут повысить информационную безопасность. Любая мера лучше, чем ничего. Следующие стратегии помогут вам внедрить надежную систему информационной безопасности на вашем предприятии:

1. Глубокоэшелонированная защита: Данный принцип основан на размещении новых и разнообразных препятствий на пути возможного вторжения в систему. При этом задача киберпреступников значительно усложняется. Суть заключается в том, чтобы создать как можно больше препятствий на всех возможных уровнях защиты, поскольку каждая отдельная мера, конечно, может быть преодолена. Важной частью этой концепции является постоянный учет человеческого фактора.

2. Организационные меры: Важно, чтобы все сотрудники компании серьезно относились к вопросам информационной безопасности. Рекомендуется разработать инструкции, которые будут применяться как к вашим сотрудникам, так и к партнерам, таким как поставщики и провайдеры услуг. Поскольку доверие — это хорошо, но контроль лучше, любой, кто отвечает за информационную безопасность, должен проверять соблюдение этих рекомендаций и при необходимости поддерживать их.

3. Обучение: Не все являются IT-специалистами, поэтому вашим сотрудникам необходимо регулярно проходить обучение по вопросам информационной безопасности. Семинары Pilz проходят в штаб-квартире компании в городе Остфильдерн недалеко от Штутгарта, на объектах заказчиков, или проводятся в форме веб-семинаров для проектировщиков машин и оборудования, а также для операторов.

4. Сегментация «Зоны и магистрали»: Зоны предприятия, имеющие схожие требования по информационной безопасности, должны разграничиваться при помощи межсетевых экранов или безопасных маршрутизаторов. Только те устройства, которые действительно уполномочены отправлять и получать информацию по магистралям между зонами, могут делать это. Например, устройствам, связанным с безопасностью машин, можно предоставить особенно сложную защиту в отдельной зоне, не создавая при этом угрозы стандартной эксплуатации.  

5. Межсетевые экраны: Хотя маршрутизаторы и коммутаторы могут поддерживать механизмы информационной безопасности, вам также следует использовать межсетевые экраны в вашей сети управления. Сетевое устройство защиты SecurityBridge, например, защищает средства управления машинами и оборудованием от манипуляций с данными технологического процесса и прочих угроз.

6. Управление патчами: Патчи особенно необходимы, когда вам становится известно об уязвимостях безопасности в программном обеспечении. Это касается прикладного программного обеспечения и встроенного программного обеспечения. Следует учитывать не только патчи и обновления, выпущенные производителем, но и стороннее программное обеспечение (например, офисные приложения, PDF Reader). Процесс управления ратчами помогает определить обязанности и процедуры.

Что касается информационной безопасности, то, если вы посмотрите на IEC 62443, вы найдете ряд основных требований, называемых «основополагающими требованиями», которые абстрактно описывают технические методы повышения информационной безопасности в промышленности:

Идентификация и контроль доступа (IAC)

Это гарантирует, что доступ к устройствам и содержащейся на них информации или ее изменение могут осуществлять только авторизованные лица, имеющие необходимые разрешения. Эти разрешения необходимы для обеспечения безопасной эксплуатации предприятия или установки и для гарантии работоспособности IACS (системы промышленной автоматизации и управления).

Контроль использования (UC)

Контроль использования (UC) гарантирует, что только уполномоченные лица могут использовать устройства и/или информацию для выполнения допустимых и необходимых задач, которые имеют решающее значение для безопасности машин и производительности оборудования или установки. Так что это вопрос разрешений. Необходимо соблюдать принцип «минимальных привилегий».

Целостность системы (SI)

Это основополагающее требование гарантирует, что в данные в каналах связи не могут быть внесены несанкционированные изменения, поэтому всегда доступны правильные данные. Например, отображаемые значения должны соответствовать фактическим значениям и не должны подвергаться манипуляциям. 

Конфиденциальность данных (DC)

Все данные в машине должны оставаться конфиденциальными и не должны быть доступны для просмотра посторонним лицам или неавторизованным внутренним пользователям.

Ограниченный поток данных

Это основополагающее требование гарантирует, что данные будут передаваться только туда, где они действительно необходимы. Это снижает вероятность несанкционированного просмотра или манипулирования данными. Это означает, что архитектура системы должна быть спроектирована таким образом, чтобы ее можно было разделить на зоны и каналы с соответствующими уровнями информационной безопасности. Полезную помощь может оказать использование таких устройств, как однонаправленный шлюз или диод данных.

Своевременное реагирование на события

Важно обеспечить, чтобы IACS предоставляла необходимые возможности для реагирования на нарушения информационной безопасности. Это включает в себя уведомление соответствующего органа, документирование доказательств нарушения и принятие своевременных корректирующих мер при обнаружении такого инцидента.

Доступность ресурсов

Необходимо обеспечить, чтобы система IACS была спроектирована и эксплуатировалась таким образом, чтобы не могла возникнуть ситуация, при которой система больше не будет контролироваться или, в худшем случае, ее даже невозможно будет привести в безопасное состояние. Это означает, что система безопасности машин не должна мешать переводить установку в безопасное состояние или выполнять свою защитную функцию даже в случае атаки типа «отказ в обслуживании».

Для каждого из этих основных требований определены дополнительные системные требования. Их можно использовать в качестве основы для реализации мер информационной безопасности и расширять их в зависимости от уровня технической безопасности, которого вы хотите достичь.