Kontrollsystemsäkerhet

Industrial Control System (ICS) Cybersäkerhet är att förhindra (avsiktlig eller oavsiktlig) störning av den korrekta driften av industriella automations- och kontrollsystem . Dessa styrsystem hanterar viktiga tjänster inklusive el, petroleumproduktion, vatten, transport, tillverkning och kommunikation. De förlitar sig på datorer, nätverk, operativsystem, applikationer och programmerbara kontroller , som var och en kan innehålla säkerhetsbrister . Upptäckten 2010 av Stuxnet-masken visade på dessa systems sårbarhet för cyberincidenter. USA och andra regeringar har antagit cybersäkerhetsbestämmelser som kräver förbättrat skydd för kontrollsystem som driver kritisk infrastruktur.

Styrsystemsäkerhet är känd under flera andra namn som SCADA- säkerhet , PCN-säkerhet , Industriell nätverkssäkerhet , Industriellt kontrollsystem (ICS) Cybersäkerhet , Operational Technology (OT) Säkerhet och Styrsystem Cybersäkerhet .

Risker

Osäkerhet eller sårbarheter som är inneboende i industriella automations- och kontrollsystem (IACS) kan leda till allvarliga konsekvenser i kategorier som säkerhet, förlust av liv, personskador, miljöpåverkan, förlorad produktion, skador på utrustning, informationsstöld och företagsimage. Vägledning för att bedöma, utvärdera och minska dessa potentiella risker tillhandahålls genom tillämpning av många statliga, regulatoriska, industridokument och globala standarder, som behandlas nedan.

Sårbarhet i styrsystem

Industriella automations- och kontrollsystem har blivit mycket mer sårbara för säkerhetsincidenter på grund av följande trender som har inträffat under de senaste 10 till 15 åren.

Tung användning av Commercial Off-the Shelf Technology (COTS) och protokoll. Integration av teknik som MS Windows, SQL och Ethernet gör att processkontrollsystem nu är sårbara för samma virus, maskar och trojaner som påverkar IT-system
Företagsintegration (med hjälp av anläggningar, företag och till och med offentliga nätverk) innebär att processkontrollsystem (legacy) nu utsätts för påfrestningar som de inte var designade för
Efterfrågan på fjärråtkomst - 24/7 åtkomst för teknik, drift eller teknisk support innebär mer osäkra eller oseriösa anslutningar till styrsystemet
Säkerhet genom obscurity - Att använda inte allmänt tillgängliga protokoll eller standarder är skadligt för systemsäkerheten

Cyberhoten och attackstrategierna på automationssystem förändras snabbt. Lyckligtvis är reglering av kontrollsystemsäkerhet sällsynt eftersom reglering är en långsam process. USA, till exempel, gör det bara för kärnkraften och den kemiska industrin .

Regeringens insatser

US Government Computer Emergency Readiness Team (US-CERT) inrättade ursprungligen ett säkerhetsprogram för kontrollsystem (CSSP), nu National Cybersecurity and Communications Integration Center (NCCIC) Industrial Control Systems, som har gjort en stor uppsättning gratis National Institute of Standards tillgänglig. and Technology (NIST) standarddokument gällande kontrollsystemsäkerhet. US Government Joint Capability Technology Demonstration (JCTD) känd som MOSIACS (More Situational Awareness for Industrial Control Systems) är den första demonstrationen av cybersäkerhetsförsvarsförmåga för kontrollsystem för kritisk infrastruktur. MOSAICS adresserar försvarsdepartementets (DOD) operativa behov av cyberförsvarskapacitet för att försvara kontrollsystem för kritisk infrastruktur från cyberattacker, såsom kraft, vatten och avloppsvatten, och säkerhetskontroller påverkar den fysiska miljön. MOSAICS JCTD-prototypen kommer att delas med kommersiell industri genom Industry Days för vidare forskning och utveckling, ett tillvägagångssätt som är avsett att leda till en innovativ, spelförändrande förmåga för cybersäkerhet för kontrollsystem för kritisk infrastruktur.

Industriella cybersäkerhetsstandarder

Den internationella standarden för cybersäkerhet inom industriell automation är IEC 62443. Dessutom har flera nationella organisationer som NIST och NERC i USA släppt riktlinjer och krav för cybersäkerhet i kontrollsystem.

IEC 62443

IEC 62443 cybersäkerhetsstandarden definierar processer, tekniker och krav för industriella automations- och kontrollsystem (IACS). Dess dokument är resultatet av processen för att skapa IEC-standarder där alla inblandade nationella kommittéer enas om en gemensam standard. IEC 62443 påverkades av och är delvis baserad på ANSI/ISA-99-serien av standarder och VDI/VDE 2182-riktlinjerna.

Planerade och publicerade IEC 62443 arbetsprodukter för IACS Security.

Alla IEC 62443-standarder och tekniska rapporter är organiserade i fyra allmänna kategorier som kallas Allmänt , Policies och Procedurer , System och Komponent .

Den första kategorin innehåller grundläggande information som begrepp, modeller och terminologi.
Den andra kategorin av arbetsprodukter riktar sig till tillgångsägaren. Dessa tar upp olika aspekter av att skapa och underhålla ett effektivt IACS-säkerhetsprogram.
Den tredje kategorin omfattar arbetsprodukter som beskriver systemdesignvägledning och krav på säker integration av styrsystem. Kärnan i detta är designmodellen för zon och ledning.
Den fjärde kategorin omfattar arbetsprodukter som beskriver den specifika produktutvecklingen och tekniska kraven på styrsystemprodukter.

NERC

Den mest erkända moderna NERC-säkerhetsstandarden är NERC 1300, som är en modifiering/uppdatering av NERC 1200. Den senaste versionen av NERC 1300 heter CIP-002-3 till CIP-009-3, med CIP som refererar till Critical Infrastructure Protection. Dessa standarder används för att säkra bulkelektriska system även om NERC har skapat standarder inom andra områden. Standarderna för bulkelektriska system tillhandahåller även administration av nätverkssäkerhet samtidigt som de stöder branschprocesser med bästa praxis.

The Public Foundation of Guidelines and Innovation (NIST) Online Protection System (CSF) är en struktur skapad av Public Establishment of Principles and Innovation (NIST) för att hjälpa föreningar med att övervaka nätverkssäkerhetsmöjligheter. Systemet är tänkt att användas av föreningar av alla storlekar och i alla företag, och det ger ett typiskt språk och tillvägagångssätt för att övervaka nätverksskyddsspel.

Säkerhetscertifieringar för kontrollsystem

Certifieringar för kontrollsystemsäkerhet har upprättats av flera globala certifieringsorgan. De flesta av systemen är baserade på IEC 62443 och beskriver testmetoder, policy för övervakningsrevision, policyer för offentlig dokumentation och andra specifika aspekter av deras program.

externa länkar

^ Byres, Eric; Cusimano, John (februari 2012). "De 7 stegen till ICS-säkerhet" . Tofino Security och exida Consulting LLC. Arkiverad från originalet den 23 januari 2013 . Hämtad 3 mars 2011 .
^ Gross, Michael Joseph (2011-04-01). "En deklaration om cyberkrig" . Vanity Fair . Condé Nast. Arkiverad från originalet 2014-07-13 . Hämtad 2017-11-29 .
^ "Standarder och referenser - NCCIC / ICS-CERT" . ics-cert.us-cert.gov/ . Arkiverad från originalet 2010-10-26 . Hämtad 2010-10-27 .
^ "Mer situationsmedvetenhet för industriella kontrollsystem (MOSAICS) gemensam kapacitetsteknologidemonstration (JCTD): En konceptutveckling för försvaret av uppdragskritisk infrastruktur - HDIAC" . Hämtad 2021-07-31 .
^ "Mer situationsmedvetenhet för industriella styrsystem (MOSAICS): Ingenjörskonst och utveckling av en kritisk infrastruktur Cyberförsvarskapacitet för högt kontextkänsliga dynamiska klasser: Del 1 - Engineering - HDIAC" . Hämtad 2021-07-31 .
^ "Mer situationsmedvetenhet för industriella styrsystem (MOSAICS): Ingenjörskonst och utveckling av en kritisk infrastruktur Cyberförsvarskapacitet för högt kontextkänsliga dynamiska klasser: Del 2 - Utveckling - HDIAC" . Hämtad 2021-07-31 .

[tofinoexida201202-1] Byres, Eric; Cusimano, John (februari 2012). "De 7 stegen till ICS-säkerhet" . Tofino Security och exida Consulting LLC. Arkiverad från originalet den 23 januari 2013 . Hämtad 3 mars 2011 .

[gross201104-2] Gross, Michael Joseph (2011-04-01). "En deklaration om cyberkrig" . Vanity Fair . Condé Nast. Arkiverad från originalet 2014-07-13 . Hämtad 2017-11-29 .

[3] "Standarder och referenser - NCCIC / ICS-CERT" . ics-cert.us-cert.gov/ . Arkiverad från originalet 2010-10-26 . Hämtad 2010-10-27 .

[4] "Mer situationsmedvetenhet för industriella kontrollsystem (MOSAICS) gemensam kapacitetsteknologidemonstration (JCTD): En konceptutveckling för försvaret av uppdragskritisk infrastruktur - HDIAC" . Hämtad 2021-07-31 .

[5] "Mer situationsmedvetenhet för industriella styrsystem (MOSAICS): Ingenjörskonst och utveckling av en kritisk infrastruktur Cyberförsvarskapacitet för högt kontextkänsliga dynamiska klasser: Del 1 - Engineering - HDIAC" . Hämtad 2021-07-31 .

[6] "Mer situationsmedvetenhet för industriella styrsystem (MOSAICS): Ingenjörskonst och utveckling av en kritisk infrastruktur Cyberförsvarskapacitet för högt kontextkänsliga dynamiska klasser: Del 2 - Utveckling - HDIAC" . Hämtad 2021-07-31 .