"Інтелект" промисловості: міфи та реальність безпеки

23 лютого 2018, 14:55
Вы также можете прочесть этот материал на русском языке

З розвитком автоматизованих систем управління виробництвом (АСУ ТП) ростуть і нові серйозні ризики для підприємств. На тлі зростаючих загроз з боку кіберзлочинців захист таких систем стає все більш пріоритетним. Експерти галузі пояснюють, як і чому організовувати цей захист компаніям і установам потрібно вже сьогодні.

Десять років тому "міцний горішок" Джон Макклейн вийшов на нове завдання. У четвертій серії легендарного бойовика вже немолодий детектив протистоїть кібертерористам, які взяли в облогу інфраструктуру цілої держави. Замість пістолетів і вибухівки головною зброєю виступає цифровий "інтелект" — наприклад, система управління дорожнім рухом. У 2007-му році такий сценарій виглядав ненауковою фантастикою. Сьогодні, в епоху глобального проникнення інтернету і автоматизованого управління, такі загрози вже більше, ніж реальні.

Відео дня

Йдеться про автоматизовані системи управління технологічними процесами — АСУ ТП. Вторгнення в їх роботу в останні роки стало набагато небезпечнішим, ніж раніше. "Порушення безпеки АСУ ТП загрожує набагато більш серйозними наслідками, ніж необхідність «просто відновити» працездатність комп'ютерів. "До кола ймовірних наслідків, крім фінансових і репутаційних, довелося віднести також екологічні і соціальні", — говорить R&D-директор компанії "ІТ-Інтегратор" Володимир Кург.

Як цифровий мозок керує виробництвом

Класика теорії управління свідчить, що контроль над виробництвом повинен використовувати різні технологічні методи. Причина в тому, що за допомогою лише людських зусиль складно впорядкувати безліч процесів. У важкому нинішньому хімпромі без АСУ ТП виробництво неможливе. Вважається, що завдяки АСУ ТП поліпшується розуміння операційної діяльності, обладнання використовується ефективніше і безпечніше, а витрати на енергоресурси — скорочуються. Використання цифрових систем управління промисловістю здатне привести до серйозної економії. Наприклад, в хім- або харчопромі витрати на енергію становлять до трьох відсотків від загальної суми, відзначають аналітики ринку Coherent Market Insights.

Вони відзначають, що найбільший попит на такі послуги — серед паливних підприємств. Нафтогазова промисловість стала лідером із закупівлі рішень АСУ ТП в останні роки і повинна зберегти лідерство і в найближчі кілька років. Тонке підлаштування виробничих процесів, кажуть експерти, здатне значно зменшити витрату сировини і підвищити ефективність.

Цифровий мозок працює 24/7 і не втомлюється, не вимагає обідніх перерв і відпусток. Не варто думати, що такі системи як і раніше представляють із себе сотні лампочок і напівпровідників, біля яких постійно сидять інженери і напружено дивляться на датчики.

Кевін Бітті, старший технологічний консультант Object Partners, пояснює, що сучасні АСУ ТП — союз як мінімум трьох компонентів. Перший — статичний контроль за процесами, який відстежує якість продукції. Другий — операційний, Run-to-Run контроль, який оптимізує окремі технологічні кроки. Третій — відстежує роботу кожного з компонентів обладнання і сигналізує про неполадки або складнощі.

В цілому, під АСУ ТП розуміють цілісне рішення, яке забезпечує автоматизацію основних операцій технологічного процесу на виробництві в цілому або певній його ділянці. Важливо пам'ятати, що поняття "автоматизований" на відміну від "автоматичний" підкреслює, що людина бере участь в окремих операціях, додає Володимир Кург з "ІТ-Інтегратора". Це робиться як для збереження контролю над процесом, так і в зв'язку зі складністю або недоцільністю автоматизації окремих операцій.

Такі системи за своєю специфікою повинні працювати цілодобово всі 365 днів на рік. "Дійсно, простій навіть банківської системи не принесе стількох бід, як відсутність світла, тепла, води, мобільного зв'язку. Це має на увазі, що середовище функціонування АСУ ТП повинне бути максимально стабільним і внесення до нього змін практично неприпустиме", — говорить засновник першого в Україні оператора послуг з кіберзахисту "Октава Кіберзахист" Олександр Кардаков.

Захист від чужинців

Яким би досконалим не був автоматизований комплекс, він не захищений на 100% від загроз ззовні. Гіганти промисловості, особливо які працюють в техногенно небезпечних галузях, як хімічні або енергетичні підприємства, для своїх АСУ ТП зазвичай використовують рекомендації з безпеки від американського інституту NIST. Відзначається, що кіберзагрози в цій сфері виявляються, серед іншого, як можливість прихованих, дистанційних і складно виявлених вразливостей. Хакери цілком можуть їх використовувати, щоб спровокувати серйозну промислову катастрофу.

В Україні досвід недавніх років показав, що проблемна ситуація цілком реальна. Багато підприємств взагалі не працюють над захистом своїх систем управління від сучасних серйозних кіберзагроз. В "ІТ-Інтегратор" радять, як мінімум, використовувати те ж керівництво з безпеки АСУ ТП, створене американським NIST. Фахівці з кібербезпеки детально описали в ньому ключові принципи і рекомендації з приводу того, як визначати ризики з градацією фізичної шкоди системам, як вибудовувати програми захисту і багато іншого.

"Деякі наші виробничники знають про існування цього і подібного документів і використовують їх в роботі. Але ми радимо використовувати їх більш активно. В якості першого кроку можна узяти його та зробити звірку ситуації з забезпеченням безпеки АСУ ТП на конкретному підприємстві", — радить Кург.

Експерт нагадує, що кібербезпека — це не продукт, а процес. Тобто, не можна просто так взяти і "купити" кіберзахист. Для цього потрібне не тільки ПЗ, але і постійне відстежування всіх процесів на виробництві, а також регулярний аналіз ризиків. "І звичайно ж, ефективність захисту залежить не тільки від заліза, але і від людей, їх грамотності і рівня правильної організації роботи", — підкреслює R&D-директор "ІТ-Інтегратора". Серед позитивних явищ останнього часу він називає постанову РНБО щодо захисту критичної інфраструктури і те, що після атаки вірусу Petya майже всі держпідприємства створили підрозділи кіберзахисту. В органах влади, додає він, ситуація поки що не настільки райдужна.

Кург вважає, що одне з найбільш критичних питань — моніторинг вразливостей програмного забезпечення, як того, що лежить в основі АСУ ТП, так і суміжного, операційних систем або баз даних. Американські фахівці додають, що більшості інцидентів можна було б запобігти, якби використовуваний софт регулярно оновлювався.

Другим за важливістю елементом в "ІТ-інтегратора" називають ізоляцію і "багатошаровий" захист цифрових систем АСУ ТП. Там рекомендують спеціалізовані фаєрволи, які «розуміють» АСУ ТП-протоколи на кордоні автоматизованих систем і корпоративної мережі. "Для забезпечення більшої безпеки потрібно створювати окремі мережеві сегменти і жорстко контролювати весь трафік між ними", — вважає Кург.

Небезпечні міфи про безпеку виробничих систем

Засновник "Октава Кіберзахист" Олександр Кардаков зазначає, що всупереч популярності цієї теми, мало хто розбирається в ній досконально. Через це виникають різні міфи, віра в які часто підвищує ризики для підприємств.
Наприклад, ідея про те, що АСУ ТП досить захищені, оскільки працюють в фізично ізольованих від інтернету і інших мереж підприємства системах. Втім, є яскравий приклад — масштабна кібератака на центрифуги зі збагачення урану в Ірані у 2011 році. Для цього спеціально розробили вірус Stuxnet, який спрацював незважаючи на те, що ніякого зв'язку із зовнішнім світом на ядерних об'єктах Ірану не було.

Ще одне твердження — "АСУ ТП не потребують спеціальних засобів захисту, тому що працюють за дуже специфічними протоколами на спеціалізованому обладнанні" — Кардаков також вважає помилкою. Багато систем АСУ ТП, каже він, працюють на ОС Windows або Linux застарілих версій, і з багатьма відомими критичними уразливостями. При цьому оновлювати їх складно з огляду на необхідність підтримувати безперервність виробничих процесів. Уся "специфічність", говорить він, як правило закінчується на обміні даними між промисловим комп'ютером і робочою станцією оператора. Оновлення для ПЗ таких систем не передбачені через необхідність працювати постійно, тому засобів кібербезпеки сучасні АСУ ТП потребують, "як ніколи раніше", додає експерт в сфері кібербезпеки.

Ще одним міфом Кардаков вважає заклик розділяти мережі і посилювати фізичну безпеку. "По-перше, варто визнати, що розділити мережі вже неможливо — ні з точки зору бізнесу, ні з точки зору виробництва і управління. Скільки за минуле не чіпляйся, ладу не буде. По-друге, захистити АСУ ТП — можливо!", — стверджує він.

IT-підприємець радить почати з глибокого і комплексного аналізу ризиків, виявлення та оцінки — а також подальшої мінімізації — джерел можливих загроз. Кардаков підкреслює, що все, що відбувається в мережах АСУ ТП на всіх рівнях має бути "видимим". Так можна забезпечити оперативне реагування на всій глибині мережі, а не тільки на периметрі, підсумовує експерт.

Текст доступний на умовах ліцензії Creative Commons Attribution-ShareAlike. При написанні матеріалу були використані коментарі спеціалістів компанії IT-Integrator.

Читайте також: Кібервійни та бізнес

Приєднуйтесь до нас у соцмережах Facebook, Telegram та Instagram.

poster
Картина ділового тижня

Щотижнева розсилка головних новин бізнесу і фінансів

Розсилка відправляється по суботах

Показати ще новини
Радіо НВ
X