Vreme de câteva decenii, securitatea echipamentelor de automatizare a fost o problemă de lacăt. Dulapul electric era încuiat, rețeaua utilajului nu ieșea din hală, iar cine voia să modifice programul trebuia să vină cu laptopul și cu un cablu. Modelul acesta a dispărut fără ca multe fabrici să observe. Astăzi utilajele raportează date în sisteme de producție, furnizorii cer acces la distanță pentru service, iar tabletele din hală sunt conectate la același wireless ca telefoanele personale.
OT înseamnă Operational Technology – tot ce controlează procese fizice: automate programabile, sisteme de supervizare, drive-uri, roboți, senzori. Diferența față de IT nu este doar tehnică, ci de priorități. În IT, confidențialitatea datelor stă pe primul loc. În OT, prima prioritate este disponibilitatea, urmată de siguranța oamenilor. Un server de e-mail oprit o oră este o neplăcere. O linie oprită o oră costă bani, iar un sistem de siguranță compromis costă mai mult decât bani.
De ce metodele din IT nu se aplică direct
Prima diferență este ciclul de viață. Un laptop se schimbă la patru ani, un automat programabil stă în producție douăzeci. Multe echipamente din hală rulează sisteme de operare care nu mai primesc actualizări de mult, iar înlocuirea lor nu este o opțiune bugetară realistă.
A doua diferență este că nu poți actualiza când vrei. O actualizare care cere repornire înseamnă oprirea liniei, deci trebuie planificată în fereastra de mentenanță, uneori la câteva luni distanță. Un antivirus care decide să scaneze în plin ciclu de producție poate încetini un sistem de supervizare până la punctul în care operatorul nu mai vede ce se întâmplă.
A treia diferență este că protocoalele industriale au fost proiectate într-o epocă în care nimeni nu se gândea la atacuri. Majoritatea nu au autentificare și nu au criptare. Cine ajunge pe magistrală poate, în principiu, scrie în registrele unui echipament, iar diferențele dintre Profinet, EtherCAT și Modbus nu schimbă esențial această realitate.
Segmentarea, măsura cu cel mai bun raport efort-beneficiu
Dacă o singură măsură ar trebui aleasă, aceasta este separarea rețelelor. Rețeaua de producție nu are ce căuta în aceeași plajă cu rețeaua de birouri, cu wireless-ul pentru vizitatori sau cu camerele de supraveghere.
Structura recomandată de standardele din familia IEC 62443 împarte infrastructura în zone, cu treceri controlate între ele. În practică, pentru o fabrică medie, asta înseamnă:
- o zonă pentru echipamentele de comandă, izolată de restul rețelei;
- o zonă intermediară în care stau serverele care schimbă date între producție și sistemele administrative;
- reguli explicite de trafic între zone – ce protocol, dinspre ce adresă, către ce adresă;
- rețele separate pentru fiecare linie, acolo unde este posibil, astfel încât o problemă să nu se propage în toată hala.
Efectul practic nu este doar defensiv. O rețea segmentată este mai stabilă, cu mai puțin trafic parazit, iar diagnoza unei probleme de comunicație devine mult mai simplă.
Accesul de la distanță și memory stick-ul din buzunar
Accesul remote al furnizorilor este subiectul cel mai delicat. Nimeni nu vrea să renunțe la el, pentru că scurtează intervențiile de la o zi la o oră. Soluția rezonabilă nu este interzicerea, ci controlul: conexiunea se deschide la cerere, nu permanent, este limitată la echipamentul în cauză și lasă o urmă – cine s-a conectat, când și ce a modificat. Un router de service lăsat conectat permanent, cu parola din fabrică, este echivalentul unei uși din spate lăsate deschise.
La fel de important este vectorul fizic. Cele mai multe incidente din mediul industrial nu au început cu un atac sofisticat, ci cu un stick USB folosit pe un laptop de acasă și apoi băgat într-o stație de operare. Regulile privind mediile portabile și laptopurile de service ar trebui scrise, nu subînțelese.
De unde se începe practic
Inventarul este pasul zero. Nu poți proteja ce nu știi că există, iar în multe fabrici nimeni nu are lista completă a echipamentelor conectate: automate, panouri, imprimante de etichete, cântare, camere, aparate de măsură lăsate de un furnizor acum trei ani.
Urmează schimbarea parolelor implicite, dezactivarea porturilor și a serviciilor nefolosite, apoi copiile de siguranță ale programelor și configurațiilor. Backup-ul merită insistență: în cazul unui incident, viteza de revenire depinde aproape exclusiv de existența unei arhive recente și verificate, iar aceasta se leagă direct de disciplina documentării programelor din automate.
În final, merită definit ce se face când ceva nu mai răspunde. Cine decide oprirea unei linii, pe cine sună electricianul de noapte, cum se trece pe comandă manuală acolo unde se poate. Un plan de o pagină, cunoscut de oamenii din schimb, valorează mai mult decât un echipament de securitate scump pe care nimeni nu îl monitorizează.
