Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa wydał rekomendację dla sektora wodociągowego. Dotyczy systemów sterujących urządzeniami, a lista zaleceń pasuje do każdego zakładu, w którym maszyna ma kabel sieciowy.
Czym są systemy OT
Skrót OT oznacza technologię operacyjną. To systemy, które monitorują urządzenia i nimi sterują: pompy, zawory, linie produkcyjne, automatykę. Przez lata żyły osobno, w zamkniętej sieci na hali.
Dziś coraz częściej są połączone z systemami informatycznymi firmy i udostępniane zdalnie. Korzystają z tego pracownicy, administratorzy, integratorzy i firmy serwisowe. Wygoda jest realna, ryzyko też.
Na czym polega zagrożenie
Panel administracyjny sterownika dostępny wprost z internetu to zaproszenie. Ktoś, kto przejmie nad nim kontrolę, może zakłócić proces technologiczny albo przerwać ciągłość działania zakładu.
W komunikacie pada jeszcze jedno słowo: zagrożenie dla bezpieczeństwa ludzi. Przy maszynie w ruchu to nie jest przenośnia.
Co zaleca rekomendacja
Zalecenia dzielą się na dwie grupy. Pierwsza dotyczy tego, jak poprowadzić sieć.
- Odseparować urządzenia OT od internetu.
- Wydzielić sieć OT od sieci korporacyjnej.
- Stosować strefy DMZ.
- Zabezpieczyć zdalny dostęp szyfrowanym kanałem i uwierzytelnianiem wieloskładnikowym.
Druga grupa to codzienna higiena, czyli rzeczy, które nie wymagają wielkiego budżetu.
- Zmienić domyślne hasła administracyjne.
- Założyć indywidualne konta użytkowników i dawać minimalne uprawnienia.
- Rejestrować zdarzenia administracyjne i monitorować bezpieczeństwo w sieci OT.
- Zarządzać podatnościami i aktualizacjami.
- Robić kopie zapasowe danych oraz konfiguracji.
- Uwzględnić systemy OT w analizie ryzyka, testach i reagowaniu na incydenty.
Rekomendacja wskazuje też na śledzenie ostrzeżeń publikowanych przez zespoły CSIRT i utrzymywanie kanałów komunikacji na czas obsługi incydentu.
Dlaczego to sprawa także małego zakładu
Formalnie dokument adresuje sektor wodociągowy. Praktycznie opisuje sytuację stolarni z centrum obróbczym, piekarni ze sterowaną linią czy chłodni z systemem monitoringu temperatury.
Wzorzec jest zawsze ten sam. Integrator prosi o zdalny dostęp do serwisu, ktoś wystawia panel na zewnątrz, hasło zostaje fabryczne, bo „to przecież tylko sterownik”. Po roku nikt już nie pamięta, że ten dostęp istnieje.
Dwie pozycje z listy da się odhaczyć tego samego dnia: zmiana domyślnego hasła i sprawdzenie, czy panel odpowiada spoza firmowej sieci. Reszta to temat na rozmowę z firmą, która instalowała automatykę.
Źródło: PAP MediaRoom, komunikat Ministerstwa Cyfryzacji
