Co zagraża systemom ICS?

Przeczytaj także: Przemysł: systemy kontroli przemysłowej celem nr 1?

Różne obawy…

Jak wynika z badania, ocena szkód związanych z czyhającymi na firmy cyberzagrożeniami w dużej mierze zależy od branży. I tak np. w sektorze transportowym i logistycznym, rozwijającym swą działalność w oparciu o model usług, za najbardziej negatywną konsekwencję uważa się utratę zaufania klientów (75%). W przypadku większości firm produkcyjnych (66%) i energetycznych (73%) obawy dotyczą z kolei obniżenia jakości produkcji, którym może zaowocować cyberatak.

… te same łzy

Jednocześnie okazuje się, że częstotliwość i negatywne skutki ataków na systemy ICS to ciągle za mało, aby przedsięwziąć radykalne kroki w kierunku należytego zabezpieczenia przedsiębiorstw - okazuje się bowiem, że środki reagowania na wypadek takiego incydentu ustanowiła zaledwie połowa badanych przedsiębiorstw (52%). W porównaniu z takimi organizacjami ochrona sieci korporacyjnych jest na dojrzalszym poziomie: większość korporacji (77%) wdrożyła środki reagowania na wypadek incydentów mających wpływ na technologię informatyczną.

Istnieje kilka przyczyn tej sytuacji, wspólnych dla organizacji przemysłowych dążących do zabezpieczenia swoich sieci ICS.

Niewystarczające zasoby i umiejętności

Zadanie ochrony sieci przemysłowych często spada na osoby odpowiedzialne za korporacyjne bezpieczeństwo informacyjne. W 40% organizacji produkcyjnych ochrona systemów kontroli przemysłowej należy do zadań specjalistów ds. korporacyjnego bezpieczeństwa IT. W przypadku przedsiębiorstw transportowych i logistycznych ponad połowa respondentów (58%) potwierdza, że nad bezpieczeństwem ICS czuwa wyspecjalizowany zespół powołany do zwalczania zagrożeń, który pracuje w pełnym wymiarze godzin.

Organizacje przemysłowe, szczególnie te realizujące złożone procesy technologiczne, potrzebują wysoce wyspecjalizowanych, wykwalifikowanych pracowników w celu wypełnienia istniejącej luki. Na przykład w sektorze energetycznym, w którym krytyczna infrastruktura kraju jest zarządzana przy pomocy przemysłowych systemów sterowania, głównym wyzwaniem w zakresie zarządzania ochroną (61%) jest zaangażowanie pracowników posiadających odpowiednie umiejętności.

Brak zaangażowania kierownictwa wyższego szczebla skutkuje niedofinansowaniem

W wielu przedsiębiorstwach bezpieczeństwo IT stanowi priorytet dla kierownictwa wyższego szczebla, jednak w ponad połowie (54%) przedsiębiorstw produkcyjnych kierownictwo w niewielkim stopniu – jeśli w ogóle – angażuje się w kwestie ochrony systemów ICS, co prowadzi do niedoinwestowania. W rzeczywistości dwie trzecie (66%) przedsiębiorstw nie ustala budżetu na ochronę infrastruktury krytycznej. Takie podejście nie zmienia się nawet w przypadku groźby incydentu — 17% organizacji sektora produkcyjnego nie uważa tego za wystarczający powód do inwestowania w bezpieczeństwo ICS.

Czynnik ludzki to odwieczny problem bezpieczeństwa ICS

Skutki błędów pracowników stanowią istotne zagrożenie dla połowy organizacji wszystkich sektorów (49%). Nie jest to żadną niespodzianką, zwłaszcza że – zaraz po szkodliwym oprogramowaniu i ransomware – jest to najczęstsza przyczyna incydentów naruszenia bezpieczeństwa w systemach kontroli przemysłowej (27%). Na szczęście firmy są świadome problemu i próbują go rozwiązać poprzez szkolenia personelu i ustanawianie reguł zachowania w obiektach infrastruktury krytycznej. 82% organizacji wdrożyło już szkolenie dla pracowników, wykonawców oraz sprzedawców.

Niezależnie od tego, jakich konsekwencji najbardziej obawiają się organizacje przemysłowe, jedynym sposobem na uniemożliwienie lub ograniczenie skutku ataku jest wdrożenie solidnych środków i procedur bezpieczeństwa dla sieci przemysłowych. Monitorowanie i niezwłoczna reakcja na incydenty mające wpływ na sieci ICS powinny stanowić kluczowe priorytety bezpieczeństwa IT, wraz z wyposażeniem personelu w odpowiednią wiedzę i narzędzia umożliwiające zminimalizowanie zagrożeń dla ich działalności.

Cyberzagrożenia nieustannie ewoluują, a ataki ukierunkowane, takie jak niedawny Triton i Industroyer, wykorzystują niewiedzę pracowników. Incydenty spowodowane nierozważnymi działaniami pracowników mogą prowadzić do wycieku danych oraz awarii lub całkowitego przerwania procesów produkcji. W przypadku przedsiębiorstw może to prowadzić do ogromnych strat finansowych i wizerunkowych – powiedział Gieorgij Szebuldajew, szef działu Kaspersky Industrial Cybersecurity Business Development. Aby nie dopuścić do tego, niezbędne jest połączenie środków technicznych i administracyjnych, które obejmuje zarówno szkolenie personelu, jak i wdrożenie wyspecjalizowanych systemów cyberochrony dla wszystkich poziomów infrastruktury przemysłowej.