Piše: Marko Merkaš, viši razvojni inženjer, Eccos
U Eccosu, tvrtki koja sudjeluje u lancu dobave velikog broja kritičnih i važnih subjekata, kontinuirano se radi na povećanju kibernetičke otpornosti
Operacijske tehnologije (OT) omogućuju funkcioniranje niza bitnih sektora za naš svakodnevni život: proizvodnju hrane, proizvodnju i distribuciju električne energije, plina i vode, upravljanje prometom u gradovima, autocestama, tunelima itd. I dok su se u projektiranju OT sustava mehanizmi očuvanja dostupnosti sustava kao što je npr. osiguravanje neprekinutog napajanja standardizirali, svijest o kibernetičkoj sigurnosti tog sustava još nije ni približno na toj razini. Nedostatak kibernetičke sigurnosti u OT sustavima posljedica je njihove evolucije od izoliranih sustava prema povezanima, pri čemu se zbog potrebe za kompatibilnosti sa starim sustavima i zahtjevima od njihovih performansi uređaji nisu dovoljno razvijali kad je posrijedi kibernetička sigurnost.
Također, u nadogradnji OT sustava radovi se često moraju izvesti u uvjetima u kojima je potrebno osigurati neprekinuti rad sustava, što znatno povećava kompleksnost zadatka.
Upravljanje rizicima
Kibernetička je sigurnost proces koji nikad ne završava i uvijek se iznova evaluira. Razmišljanje o kibernetičkoj sigurnosti bilo kojeg sustava, a posebno OT-a, mora početi u dizajnu tog sustava jer kasnija provedba sigurnosnih mjera može biti znatno teža, skuplja, možda i nemoguća, a sa svakom promjenom u sustavu potrebna je i ponovna procjena stanja. U dizajniranju sustava je, među ostalim, bitno:
• odabrati komponente sustava koje već imaju ugrađene sigurnosne značajke i omogućuju komunikaciju koristeći se sigurnim protokolima
• odabrati mrežnu arhitekturu koja omogućuje laku ugradnju sigurnosnih kontrola
• odabrati softver koji omogućuje korištenje jake autentifikacije i kontrolu autorizacija, korištenje sigurnih protokola komunikacije, koji pruža redovite nadogradnje i čiji se razvojni proces temelji na načelima sigurnog razvoja softvera.
Direktiva NIS2
U 2024. godini čeka nas uvođenje direktive NIS2 (Network and Information Security 2) Europskog parlamenta i Europskog vijeća u naše zakonodavstvo, čime će se poslovnim subjektima koji se smatraju kritičnima ili važnima za funkcioniranje društva nametnuti obveze povezane s kibernetičkom sigurnosti njihovih sustava. Od njih se traži da provedu odgovarajuće i razmjerne tehničke, operativne i organizacijske mjere za upravljanje rizicima kojima su izloženi mrežni i informacijski sustavi kojima se služe u poslovanju ili pružanju usluga te za sprečavanje ili smanjivanje na najmanju moguću mjeru učinaka incidenata na primatelje njihovih usluga. U Eccosu, tvrtki koja sudjeluje u lancu dobave velikog broja kritičnih i važnih subjekata, kontinuirano radimo na povećanju kibernetičke sigurnosti svojih proizvoda redovitim edukacijama zaposlenika i stalnim nadogradnjama vlastitih proizvoda. Rezultati prikazani u izvještaju ‘OT:ICEFALL‘, koji sadržava popis od 61 ranjivosti u opremi 13 različitih proizvođača OT uređaja, od kojih čak 74 posto posjeduje neku vrstu certifikata o sigurnom razvoju, pokazuju nam da nijedan uređaj nije apsolutno siguran. Eccos zato kontinuirano prati informacije o potencijalnim ranjivostima u hardverskim i softverskim komponentama koje koristi kako bi u slučaju bilo kakva sigurnosnog propusta pravodobno reagirao i pružio svojim korisnicima način na koji ga otkloniti.
Eccosovi sustavi u tunelu Učka
Projekt gradnje druge cijevi tunela Učka, koji je u najvišoj fazi pripreme upravo u godini u kojoj Eccos slavi dvadeset pet godina uspješnog poslovanja, projekt je u kojem se također želimo potvrditi kao tvrtka koja isporučuje kibernetički sigurne integrirane sustave. Mrežna arhitektura nove cijevi tunela Učka dizajnirana je tako da omogući obranu u dubinu (engl. defense-in-depth), a vlastitim softverskim rješenjima korisniku omogućujemo vidljivost u sustav: pregled prisutnih uređaja i njihovu međusobnu komunikaciju, nadzor nad svim uređajima kako bi se mogli otkriti njihovi ispadi, neuobičajena komunikacija ili neautorizirani pokušaji pristupa uređajima.
Zbog važnosti posla koji OT sustavi obavljaju i sve većih prijetnji njihovoj sigurnosti, kibernetička sigurnost hardvera, softvera i kompletnih sustava više nije opcija, nego zahtjev koji treba ispuniti kako bi oni taj posao mogli neometano raditi.