Безопасность системы контроля

Безопасность системы управления , или кибербезопасность систем промышленного управления (ICS) , — это предотвращение (преднамеренного или непреднамеренного) вмешательства в правильную работу систем промышленной автоматизации и управления . Эти системы управления управляют основными услугами, включая электроэнергию, добычу нефти, воду, транспорт, производство и связь. Они полагаются на компьютеры, сети, операционные системы, приложения и программируемые контроллеры , каждый из которых может содержать уязвимости безопасности . Обнаружение червя Stuxnet в 2010 году продемонстрировало уязвимость этих систем к киберинцидентам. ^[1] Правительства США и других стран приняли правила кибербезопасности, требующие усиленной защиты систем управления, эксплуатирующих критически важную инфраструктуру.

Безопасность системы управления известна под несколькими другими названиями, такими как SCADA безопасность , безопасность PCN , безопасность промышленных сетей , кибербезопасность промышленной системы управления (ICS) , безопасность операционных технологий (OT), системы промышленной автоматизации и управления и кибербезопасность системы управления .

Риски [ править ]

Небезопасность или уязвимости, присущие системам промышленной автоматизации и управления (IACS), могут привести к серьезным последствиям в таких категориях, как безопасность, гибель людей, травмы, воздействие на окружающую среду, производственные потери, повреждение оборудования, кража информации и имидж компании.Руководство по оценке, оценке и смягчению этих потенциальных рисков предоставляется посредством применения многих правительственных, нормативных, отраслевых документов и глобальных стандартов, рассматриваемых ниже.

Уязвимость систем управления [ править ]

Промышленные системы управления (ICS) стали гораздо более уязвимыми для инцидентов безопасности из-за следующих тенденций, произошедших за последние 10–15 лет.

Интенсивное использование готовых коммерческих технологий (COTS) и протоколов. Интеграция таких технологий, как MS Windows, SQL и Ethernet, означает, что системы управления процессами теперь уязвимы для тех же вредоносных программ (вирусов, червей и троянов), которые поражают обычные ИТ-системы.
Интеграция предприятия (с использованием заводских, корпоративных и даже общедоступных сетей) означает, что системы управления процессами (устаревшие) теперь подвергаются нагрузкам, для которых они не были предназначены.
Спрос на удаленный доступ. Круглосуточный доступ 7 дней в неделю для инженерной, эксплуатационной или технической поддержки означает более небезопасные или несанкционированные подключения к системе управления.
Безопасность через неизвестность . Использование нестандартных, частных или проприетарных протоколов или стандартов наносит ущерб безопасности системы.

Киберугрозы и стратегии атак на системы автоматизации быстро меняются. Регулирование промышленных систем контроля безопасности встречается редко и представляет собой медленный процесс. Соединенные Штаты, например, делают это только в отношении атомной энергетики и химической промышленности . ^[2]

правительства Усилия

правительства США Группа готовности к компьютерным чрезвычайным ситуациям (US-CERT) первоначально учредила программу безопасности систем управления (CSSP), ныне Национальный центр кибербезопасности и интеграции коммуникаций (NCCIC) «Системы промышленного управления», которая предоставила большой набор бесплатных программ Национального института стандартов. и технологий (NIST) в отношении безопасности систем управления. ^[3] Демонстрация технологий совместных возможностей правительства США (JCTD), известная как MOSIACS (Большая ситуационная осведомленность для систем промышленного управления), является первой демонстрацией защитных возможностей кибербезопасности для систем управления критически важной инфраструктурой. ^[4] MOSAICS удовлетворяет оперативные потребности Министерства обороны (DOD) в возможностях киберзащиты для защиты критически важных систем управления инфраструктурой от кибератак, таких как электроснабжение, водоснабжение и водоотведение, а также средств контроля безопасности, влияющих на физическую среду. ^[5] Прототип MOSAICS JCTD будет представлен коммерческой отрасли в рамках Дней промышленности для дальнейших исследований и разработок. Этот подход призван привести к инновационным, меняющим правила игры возможностям кибербезопасности для систем управления критически важной инфраструктурой. ^[6]

промышленной кибербезопасности Стандарты

Международным стандартом кибербезопасности в промышленной автоматизации является IEC 62443. Кроме того, несколько национальных организаций, таких как NIST и NERC в США, выпустили рекомендации и требования по кибербезопасности в системах управления.

МЭК 62443 [ править ]

Стандарт кибербезопасности IEC 62443 определяет процессы, методы и требования для систем промышленной автоматизации и управления (IACS). Его документы являются результатом процесса создания стандартов МЭК, в ходе которого все участвующие национальные комитеты согласовывают общий стандарт. На стандарт IEC 62443 повлияла серия стандартов ANSI/ISA-99 и рекомендации VDI/VDE 2182, которые частично основаны на них.

Все стандарты и технические отчеты IEC 62443 сгруппированы в четыре общие категории: «Общее» , «Политика и процедуры» , «Система» и «Компонент» .

Первая категория включает основополагающую информацию, такую как концепции, модели и терминология.
Вторая категория рабочих продуктов предназначена для Владельца активов. Они касаются различных аспектов создания и поддержания эффективной программы безопасности IACS.
Третья категория включает рабочие продукты, описывающие рекомендации по проектированию систем и требования к безопасной интеграции систем управления. Основой здесь является модель проектирования зон и кабелепроводов.
Четвертая категория включает рабочие продукты, которые описывают конкретную разработку продукта и технические требования к продуктам систем управления.

НКРЭ [ править ]

Наиболее широко признанным и новейшим стандартом безопасности NERC является NERC 1300, который представляет собой модификацию/обновление NERC 1200. Последняя версия NERC 1300 называется от CIP-002-3 до CIP-009-3, где CIP относится к защите критической инфраструктуры. . Эти стандарты используются для обеспечения безопасности электрических систем, хотя NERC разработала стандарты и в других областях. Стандарты электрических систем также обеспечивают администрирование сетевой безопасности, сохраняя при этом поддержку передовых отраслевых процессов.

НИСТ [ править ]

Структура кибербезопасности NIST (NIST CSF) обеспечивает высокоуровневую классификацию результатов кибербезопасности и методологию оценки и управления этими результатами. Он предназначен для оказания помощи организациям частного сектора, предоставляющим критически важную инфраструктуру , с рекомендациями по ее защите. ^[7]

Специальная публикация NIST 800-82 Ред. 2 « Руководство по безопасности промышленных систем управления (ICS) » описывает, как защитить несколько типов промышленных систем управления от кибератак, принимая во внимание требования к производительности, надежности и безопасности, характерные для ICS. ^[8]

Сертификаты безопасности системы управления [ править ]

Сертификаты безопасности систем управления были установлены несколькими глобальными органами по сертификации. Большинство схем основаны на стандарте IEC 62443 и описывают методы испытаний, политику надзорного аудита, политику публичной документации и другие конкретные аспекты своей программы.

Внешние ссылки [ править ]

Ссылки [ править ]

^ Байрс, Эрик; Кузимано, Джон (февраль 2012 г.). «7 шагов к безопасности АСУ ТП» . Tofino Security и ООО «Exida Consulting». Архивировано из оригинала 23 января 2013 года . Проверено 3 марта 2011 г.
^ Гросс, Майкл Джозеф (01 апреля 2011 г.). «Объявление кибервойны» . Ярмарка тщеславия . Конде Наст. Архивировано из оригинала 13 июля 2014 г. Проверено 29 ноября 2017 г.
^ «Стандарты и ссылки – NCCIC/ICS-CERT» . ics-cert.us-cert.gov/ . Архивировано из оригинала 26 октября 2010 г. Проверено 27 октября 2010 г.
^ «Большая ситуационная осведомленность для промышленных систем управления (MOSAICS). Демонстрация технологий совместных возможностей (JCTD): разработка концепции защиты критически важной инфраструктуры - HDIAC» . Проверено 31 июля 2021 г.
^ «Большая ситуационная осведомленность для промышленных систем управления (MOSAICS): проектирование и разработка возможностей киберзащиты критической инфраструктуры для высококонтекстно-зависимых динамических классов: Часть 1 – Проектирование – HDIAC» . Проверено 31 июля 2021 г.
^ «Большая ситуационная осведомленность для промышленных систем управления (MOSAICS): проектирование и разработка возможностей киберзащиты критической инфраструктуры для высококонтекстно-зависимых динамических классов: Часть 2 – Разработка – HDIAC» . Проверено 31 июля 2021 г.
^ «Структура кибербезопасности NIST» . Проверено 2 августа 2016 г.
^ Стоуффер, Кейт; Лайтман, Сюзанна; Пиллиттери, Виктория; Абрамс, Маршалл; Хан, Адам (3 июня 2015 г.). «Руководство по безопасности промышленных систем управления (ICS)» . ЦКРС | НИСТ . дои : 10.6028/NIST.SP.800-82r2 . Проверено 29 декабря 2020 г.

[tofinoexida201202-1] Байрс, Эрик; Кузимано, Джон (февраль 2012 г.). «7 шагов к безопасности АСУ ТП» . Tofino Security и ООО «Exida Consulting». Архивировано из оригинала 23 января 2013 года . Проверено 3 марта 2011 г.

[gross201104-2] Гросс, Майкл Джозеф (01 апреля 2011 г.). «Объявление кибервойны» . Ярмарка тщеславия . Конде Наст. Архивировано из оригинала 13 июля 2014 г. Проверено 29 ноября 2017 г.

[3] «Стандарты и ссылки – NCCIC/ICS-CERT» . ics-cert.us-cert.gov/ . Архивировано из оригинала 26 октября 2010 г. Проверено 27 октября 2010 г.

[4] «Большая ситуационная осведомленность для промышленных систем управления (MOSAICS). Демонстрация технологий совместных возможностей (JCTD): разработка концепции защиты критически важной инфраструктуры - HDIAC» . Проверено 31 июля 2021 г.

[5] «Большая ситуационная осведомленность для промышленных систем управления (MOSAICS): проектирование и разработка возможностей киберзащиты критической инфраструктуры для высококонтекстно-зависимых динамических классов: Часть 1 – Проектирование – HDIAC» . Проверено 31 июля 2021 г.

[6] «Большая ситуационная осведомленность для промышленных систем управления (MOSAICS): проектирование и разработка возможностей киберзащиты критической инфраструктуры для высококонтекстно-зависимых динамических классов: Часть 2 – Разработка – HDIAC» . Проверено 31 июля 2021 г.

[7] «Структура кибербезопасности NIST» . Проверено 2 августа 2016 г.

[8] Стоуффер, Кейт; Лайтман, Сюзанна; Пиллиттери, Виктория; Абрамс, Маршалл; Хан, Адам (3 июня 2015 г.). «Руководство по безопасности промышленных систем управления (ICS)» . ЦКРС | НИСТ . дои : 10.6028/NIST.SP.800-82r2 . Проверено 29 декабря 2020 г.

[1]

[2]

[3]

[4]

[5]

[6]

[7]

[8]