Bezpieczeństwo informacji zautomatyzowanych systemów sterowania (ACS)

Zautomatyzowany system sterowania (ACS) — to usystematyzowany zestaw metod, oprogramowania i sprzętu służący do regulowania i kontrolowania różnych operacji w pracy organizacji. Wyróżnia się następujące systemy zautomatyzowane:

• obiektów — ACSO;

• procesu technologicznego — ACSTP;

• branży — ACSI;

• przedsiębiorstwa — ACSE;

• wojsk — ACST;

• ruchu drogowego — ACSRT;

• itd.

Bezpieczeństwo informacji (IS) — to stan systemu informacyjnego, w którym zapewniona jest poufność, dostępność i integralność krążących w nim danych.

Zalety stosowania ACS w przemyśle

Zautomatyzowany system sterowania składa się zazwyczaj z trzech poziomów: pulpitu sterowniczego, sprzętu do przetwarzania danych oraz typowych elementów automatyki, czyli różnego rodzaju czujników, routerów, urządzeń sterujących itp.

Warto zaznaczyć, że udział człowieka w pracy z ACS jest zminimalizowany, ale nadal występuje: na etapie konfiguracji systemu i przy podejmowaniu ważnych decyzji.

Stosowanie ACS pozwala firmom znacząco obniżyć koszty operacyjne, zwiększyć wielkość produkcji bez utraty jakości oraz podnieść poziom bezpieczeństwa w przedsiębiorstwie dzięki ograniczeniu wpływu czynnika ludzkiego, czyli zmniejszeniu liczby błędów w procesie produkcyjnym. Zalety ACS są powodem ich rosnącej popularności we wszystkich branżach.

Według Fortune Business Insights globalny rynek automatyki przemysłowej został wyceniony w 2022 roku na około 206 mld USD i ma osiągnąć 395 mld USD do 2029 roku, co odpowiada średniorocznemu tempu wzrostu na poziomie blisko 10%.

Oczekuje się przy tym, że innowacje takie jak cyfryzacja, pojawienie się technologii bezprzewodowej 5G, rozwój rzeczywistości rozszerzonej (AR), wykorzystanie technologii cyfrowych bliźniaków oraz przemysłowego internetu rzeczy (IIoT) dodatkowo przyspieszą wzrost globalnego rynku automatyki przemysłowej.

Dziś systemy zautomatyzowane służą nie tylko do sterowania urządzeniami przemysłowymi. ACS sprawdziły się w energetyce, logistyce, medycynie, edukacji, systemach oświetlenia, systemach ruchu drogowego oraz praktycznie we wszystkich obszarach rolnictwa i przemysłu.

Ponadto wiele systemów zautomatyzowanych obsługuje funkcje zbierania i przetwarzania danych bezpośrednio z obiektu. Przyspiesza to podejmowanie decyzji i jeszcze bardziej ogranicza udział człowieka w operacjach produkcyjnych.

Mimo to znaczny wzrost złożoności systemów informacyjnych w przedsiębiorstwach przemysłowych, a także architektury ich technologii operacyjnych, w tym ACS, poszerzył skalę zagrożeń, których zmaterializowanie się może prowadzić do katastrofalnych skutków.

Po co bezpieczeństwo informacji w ACS?

Cyfryzacja przemysłu charakteryzuje się wysokim poziomem automatyzacji i coraz szerszym połączeniem z sieciami zewnętrznymi, co otwiera nowe podatności na zagrożenia informacyjne: sabotaż, cyberataki, kradzież danych poufnych itd.  Wszystko to sprawia, że kwestia zapewnienia bezpieczeństwa zautomatyzowanych systemów sterowania i przetwarzanych w nich danych staje się szczególnie aktualna.

Dlaczego jest to konieczne?

Jak wspomniano powyżej, oprócz szkód ekonomicznych i wizerunkowych cyberataki oraz wycieki danych w zautomatyzowanych systemach sterowania mogą wywołać poważne, czasem katastrofalne zdarzenia (np. uwolnienie substancji niebezpiecznych do atmosfery, pożary, wybuchy) o dotkliwych konsekwencjach dla pracowników, ludności i środowiska. Jednocześnie wiele przedsiębiorstw, w tym z sektora energetycznego, to obiekty krytycznej infrastruktury informacyjnej (CII), a zapewnienie bezpieczeństwa informacji w takich przedsiębiorstwach jest obowiązkowe na mocy przepisów prawa. 

Wycieki informacji w instytucjach, które za pomocą zautomatyzowanych systemów sterowania przetwarzają ogromne ilości danych osobowych, grożą stratami finansowymi i wizerunkowymi. Dane osobowe użytkowników lub obywateli, czasem wrażliwe, są przedmiotem szczególnego zainteresowania grup przestępczych. Pracownicy mogą udostępnić osobom trzecim dostęp do danych poufnych nieumyślnie, przez pomyłkę lub w wyniku ataku phishingowego, albo świadomie, działając dla własnej korzyści lub w złych zamiarach.

Każdy incydent IS może prowadzić do zakłócenia procesów technologicznych realizowanych za pomocą ACS.

Specyfika działania zautomatyzowanych systemów sterowania w kontekście bezpieczeństwa informacji

Większość ACS jest rozproszona terytorialnie i komunikuje się między sobą, wymieniając duże ilości danych.

Wyróżnia się następujące cechy rozproszonych ACS:

• stosuje się wiele różnych metod przesyłania i przechowywania informacji;

• dane z różnych źródeł są łączone w bazy danych, przy czym część z nich znajduje się w rozproszonych węzłach sieci;

• z informacji przetwarzanych przez ACS korzysta bardzo wielu użytkowników;

• dziś odczuwalny jest dotkliwy brak kadr i specjalistycznego oprogramowania do ochrony ACS przed cyberzagrożeniami.

Jak omówiono powyżej, technologie operacyjne optymalizują procesy produkcyjne, jednocześnie otwierając nowe wektory cyberzagrożeń. 

Ryzyko incydentów bezpieczeństwa informacji znacząco zwiększają zatem następujące podatności ACS.

• Długi okres eksploatacji systemów sterowania. Zwykle systemy sterowania służą od 15 do 30 lat. Oznacza to, że część z nich powstała ponad dekadę temu, a atakujący mieli dość czasu, aby dokładnie zbadać wszystkie podatności.

• Dostęp zdalny. Podłączenie ACS do sieci bezprzewodowych oraz możliwość łączenia się z nimi zdalnie uprościły procesy zarządzania, ale znacznie poszerzyły krajobraz zagrożeń. 

• Informacje o działaniu systemów zautomatyzowanych są łatwo dostępne. Zwykle z systemami pracuje wiele osób: inżynierowie, operatorzy, kierownicy, a także stażyści i inni specjaliści. To znacznie zwiększa prawdopodobieństwo wycieku informacji o systemach zautomatyzowanych, zwłaszcza w porównaniu z czasami, gdy dostęp do systemów miało bardzo wąskie grono osób, które podpisały umowy o zachowaniu poufności.

• Czynnik ludzki. Chodzi o pracowników, którzy świadomie lub nieświadomie naruszają politykę bezpieczeństwa informacji firmy, na przykład używając niesprawdzonych nośników wymiennych itp.

• Dostęp fizyczny. Jeśli środki ograniczające fizyczny dostęp do sprzętu są niewystarczające, pojawia się ryzyko sabotażu lub nieumyślnego uszkodzenia ACS.

Uwzględnienie opisanych powyżej podatności pozwoli znacząco zmniejszyć ryzyko zagrożeń przy budowie systemu bezpieczeństwa informacji w przedsiębiorstwie. Jednocześnie, jak pokazuje praktyka, większość przedsiębiorstw skupia się na ochronie przed zagrożeniami zewnętrznymi i często nie zwraca uwagi na zagrożenia związane z ryzykiem wewnętrznym — wycieki danych z winy pracowników, zmianę lub zniszczenie ważnych informacji, a także sabotaż czy nieumyślne uszkodzenie sprzętu. Praktyka pokazuje, że sprawcami wycieków najczęściej są właśnie pracownicy i kierownicy organizacji. Ponadto również kontrahenci firmy nierzadko podejmują działania prowadzące do nieuprawnionego rozpowszechnienia informacji poufnych.

Dlaczego tak się dzieje? 

Najczęściej wycieki ważnych informacji o pracy ACS wiążą się z krytycznie niskim poziomem świadomości zasad bezpieczeństwa informacji wśród personelu. Pracownicy stosują słabe hasła, nie rozpoznają różnych schematów oszustw, lekkomyślnie przekazują ważne informacje i dokumenty osobom trzecim oraz używają niesprawdzonych nośników wymiennych.

Zapobiegaj wyciekom informacji poufnych z winy pracowników za pomocą systemu Anexet DLP. Sprawdź możliwości systemu w bezpłatnej wersji 30-dniowej.

Zagrożenia bezpieczeństwa informacji dla ACS

Zautomatyzowane systemy sterowania, w tym te zainstalowane na obiektach CII, są szczególnie wrażliwe nawet na minimalne zagrożenia bezpieczeństwa informacji, które w innych obszarach nie zostałyby uznane za naruszenie.  Jednocześnie obserwujemy dziś dotkliwy brak kadr i oprogramowania wyspecjalizowanego w bezpieczeństwie systemów informacyjnych, a stosowane obecnie w organizacjach środki są w większości przypadków zawodne i nie zapewniają właściwego poziomu ochrony. 

Budując system bezpieczeństwa informacji, wielu wciąż skupia się głównie na wdrożeniu systemów wykrywania i zapobiegania włamaniom. Warto jednak zwrócić uwagę także na inne wektory ataku.

Przyjrzyjmy się im bliżej.

Wektory ataku na systemy zautomatyzowane

1. Jeszcze niedawno bezpieczeństwo informacji ACS zapewniano między innymi przez ograniczenie dostępu fizycznego, czyli za pomocą tzw. air gap. Dziś większość ACS jest w taki czy inny sposób podłączona do sieci, aby realizować zadania operacyjne. Jeśli intruz uzyska dostęp do sieci firmowej, może dostać się także do sieci technologicznej, do systemu zautomatyzowanego.

2. Niedbalstwo. Używanie niesprawdzonych nośników wymiennych i podłączanie zewnętrznych modemów. Nośnik może być zainfekowany złośliwym oprogramowaniem, a modem może otworzyć dostęp z sieci technologicznej do publicznego internetu, czego być nie powinno.

3. Łańcuchy dostaw i firmy podwykonawcze. Kolejnym wektorem ataku są firmy podwykonawcze, które serwisują systemy zautomatyzowane i sprzęt technologiczny oraz mają możliwość zdalnego łączenia się z ACS. Jeśli podwykonawcy nie mają dopracowanego systemu bezpieczeństwa informacji, atakujący mogą przeniknąć do sieci technologicznej ACS, omijając wszystkie — nawet najbardziej drobiazgowe — środki ochrony informacji.

Na podstawie opisanych powyżej wektorów można wskazać najczęstsze zagrożenia bezpieczeństwa informacji dla systemów zautomatyzowanych.

Zagrożenie nr 1. Naruszenie perymetru sieci technologicznej. Większość ACS projektowano przy założeniu, że będą odizolowane od internetu, a nawet od sieci firmowych. Taki air gap dość skutecznie chroni przed złośliwymi działaniami w miejscach, w których najczęściej dochodzi do zdarzeń prowadzących do incydentów: na serwerach SCADA, stacjach roboczych personelu, sterownikach programowalnych PLC itd.

Zagrożenie nr 2. Ataki na systemy operacyjne i oprogramowanie. Z reguły zagrożenie to wiąże się z naruszaniem polityki bezpieczeństwa przez personel przedsiębiorstwa: klikaniem linków phishingowych, używaniem niezarejestrowanych nośników wymiennych, instalowaniem niepewnego oprogramowania na stacjach roboczych, korzystaniem z niezabezpieczonego systemu dostępu zdalnego itd.

Aby zminimalizować skutki tego zagrożenia, zaleca się wdrożenie systemu szkolenia personelu z podstaw bezpieczeństwa informacji oraz terminowe aktualizowanie oprogramowania używanego w przedsiębiorstwie.

Zagrożenie nr 3. Przeniknięcie przez dostęp zdalny. Nowoczesne ACS są coraz częściej podłączane do sieci globalnej, co znacznie upraszcza zarządzanie, ale otwiera nowe drogi nieuprawnionego dostępu do infrastruktury przedsiębiorstwa. Kolejną podatnością prowadzącą do zmaterializowania się tego zagrożenia jest stosowanie niezabezpieczonych protokołów połączeń zdalnych.

Zagrożenie nr 4. Bezprawne odłączenie sprzętu od sieci. Materializuje się wtedy, gdy środki ograniczające fizyczny dostęp do elementów ACS są niewystarczające.

Zagrożenie nr 5. Korzystanie z niezarejestrowanego oprogramowania. Niezarejestrowane oprogramowanie mogą instalować pracownicy naruszający firmowe zasady bezpieczeństwa informacji. Niezabezpieczone, niesprawdzone oprogramowanie oraz jego komponenty mogą zawierać podatności, które dają cyberprzestępcom dostęp do elementów systemu.

Zagrożenie nr 6. Ujawnienie, utrata lub przekazanie dostępu do systemu. Zdarza się z winy personelu organizacji. Dane autoryzacyjne mogą trafić do osób trzecich celowo albo przez pomyłkę.

Zagrożenie nr 7. Fizyczna awaria lub zniszczenie komponentu systemu. Materializuje się przy niewystarczających środkach ograniczających fizyczny dostęp do elementów ACS.

Zagrożenie nr 8. Werbowanie pracowników mających określone uprawnienia lub dostęp do informacji chronionych. Może odbywać się przez szantaż, przekupstwo itp.

Zagrożenie nr 9. Kradzież nośników danych: dysków, pamięci flash, urządzeń z pamięcią wewnętrzną oraz całych komputerów.

Zagrożenie nr 10. Wykorzystanie informacji szczątkowych z pamięci RAM i zewnętrznych nośników danych, a także z sektorów pamięci RAM używanych przez system operacyjny.

Zagrożenie nr 11. Kradzież zużytych nośników danych, których nie zniszczono na czas zgodnie z przepisami: różnych dokumentów, pamięci flash, dysków magnetycznych itp.

Zagrożenie nr 12. Stosowanie urządzeń podsłuchowych i środków przechwytywania, obserwacja oraz nieuprawnione fotografowanie i nagrywanie wideo.

Zagrożenie nr 13. Wprowadzenie do zespołu insiderów lub agentów, a następnie kradzież informacji chronionych albo sabotaż.

Zagrożenie nr 14. Różne działania wymierzone w zakłócenie pracy przedsiębiorstwa, np. tworzenie napiętej atmosfery w zespole przez nielojalnych pracowników, strajki, a także zmiany trybów pracy zautomatyzowanych systemów sterowania czy instalowanie sprzętu wytwarzającego zakłócenia radiowe na częstotliwościach, na których pracują systemy zautomatyzowane.

Zagrożenie nr 15. Przechwytywanie informacji przesyłanych kanałami elektromagnetycznymi, akustycznymi i innymi.

Ważne! Z reguły, aby osiągnąć cel, atakujący korzystają nie z jednej, lecz od razu z kilku dróg przeniknięcia do systemu.

Jak widać z powyższej listy, większość zagrożeń bezpieczeństwa informacji dla systemów zautomatyzowanych opiera się na czynniku ludzkim i ma charakter umyślny. Dlatego budując system bezpieczeństwa informacji dla systemów zautomatyzowanych, warto zwrócić uwagę nie tylko na środki ochrony przed zagrożeniami zewnętrznymi, lecz także na ochronę systemów przed nieumyślnym uszkodzeniem i sabotażem oraz na ochronę przetwarzanych w nich danych przed wyprowadzeniem — z winy pracowników.

---

Chroń swoje dane przed wyciekiem, zmianą i zniszczeniem za pomocą Anexet DLP.

---

Prawdziwy incydent w ACS: 1 000 000 USD strat w EnerVest wskutek sabotażu

Inżynier sieciowy amerykańskiej firmy energetycznej EnerVest z Wirginii Zachodniej dowiedział się, że ma zostać zwolniony, po czym przywrócił wszystkie serwery sieciowe do ustawień fabrycznych i wyłączył zdalne kopie zapasowe. Wiadomo, że za ten czyn odpowiadał przed sądem karnym. Mimo to w rezultacie EnerVest przez 30 dni nie mógł prowadzić działalności i poniósł straty przekraczające 1 mln USD.

Środki zapewniające bezpieczeństwo ACS

Wyróżnia się trzy rodzaje środków zapewniających bezpieczeństwo systemów zautomatyzowanych: fizyczne, organizacyjne oraz programowo-sprzętowe.

Środki organizacyjne mają niwelować wpływ czynnika ludzkiego na bezpieczeństwo informacji:

• opracowanie, zatwierdzenie i wdrożenie polityki bezpieczeństwa (dalej — PB);

• wyznaczenie osób odpowiedzialnych za zapewnienie bezpieczeństwa informacji;

• rozgraniczenie dostępu pracowników do ACS i jego komponentów.

Zapewnienie ochrony fizycznej

Ograniczenie dostępu do sprzętu i komponentów ACS oraz do stacji roboczych za pomocą ogrodzeń, systemów kontroli dostępu i monitoringu wideo. Instalacja punktów kontrolnych i alarmów bezpieczeństwa. Zapewnienie bezpieczeństwa komponentów systemu na wypadek klęsk żywiołowych: pożarów, trzęsień ziemi, powodzi itp.

Szyfrowanie danych

Stosowanie metod kryptograficznych do ochrony przesyłanych i przechowywanych danych przed nieuprawnionym dostępem.

Kopie zapasowe

Tworzenie kopii zapasowych krytycznych danych i oprogramowania, aby szybko je odtworzyć w razie awarii, sabotażu lub ataku.

Terminowe aktualizacje oprogramowania

Instalowanie poprawek i aktualizacji, które usuwają podatności i podnoszą bezpieczeństwo systemu.

Monitoring i audyt

Zbieranie i analizowanie informacji o zdarzeniach systemowych w celu wykrycia podejrzanej aktywności i potencjalnych zagrożeń.

Szkolenie personelu 

Prowadzenie tzw. cyberedukacji, szkoleń i seminariów z zakresu bezpieczeństwa informacji dla personelu pracującego z ACS.

Stosowanie programów antywirusowych i innych narzędzi chroniących przed złośliwym oprogramowaniem 

Trzeba nie dopuścić do zainfekowania ACS wirusami i innym złośliwym oprogramowaniem.

Wdrażając środki ochrony systemów zautomatyzowanych, trzeba uwzględnić wymagania opisane w aktach prawnych organów nadzoru, a także opierać się na światowych standardach bezpieczeństwa, o których piszemy poniżej.

Rodzina norm IEC 62443

Normy opierają się na podejściu opartym na ryzyku i określają wymagania wobec bezpieczeństwa przemysłowych systemów sterowania. Dokumenty opisują bezpieczeństwo informacji jako zestaw działań, które należy prowadzić regularnie na wszystkich etapach cyklu życia ACS.

Podsumowanie

Zapewniając bezpieczeństwo informacji ACS, trzeba wdrażać środki przeciwdziałające nie tylko zagrożeniom zewnętrznym, lecz także wewnętrznym. Jak pokazuje praktyka, to właśnie działalność człowieka stwarza największe ryzyko dla zautomatyzowanych systemów sterowania: niedbalstwo pracowników przy wykonywaniu zadań służbowych, działania insiderów i osób nielojalnych wobec organizacji, szpiegostwo przemysłowe itd.

Jednocześnie potencjalne ryzyko dla środowiska i obywateli, wynikające ze wstrzymania procesów technologicznych lub uszkodzenia sprzętu w przedsiębiorstwach, może być przedmiotem zainteresowania służb obcych państw, zwłaszcza w obecnej sytuacji geopolitycznej na świecie. Sprawia to, że kwestia zapewnienia IS systemów zautomatyzowanych jest szczególnie aktualna.