Необходимость применения конкретных стандартов кибербезопасности промышленных систем управления в критически важных инфраструктурах

28/02/22

В этой статье я приведу несколько ссылок для реализации методологического подхода, разработанного на основе международного опыта, с использованием специального стандарта IEC62443 для киберзащита критически важных инфраструктур, необходимых для функционирования страны.

Ситуация, в которой мы живем, каждый день показывает нам, что кибервойны имеют совершенно иные характеристики, чем традиционные конфликты. Кибератака следует принципам асимметричной войны: нет четко определенного фронта, атаки могут произойти в любой точке и в любое время. Даже при ограниченных ресурсах может быть нанесен значительный ущерб: поэтому защита должна распространяться, обновляться и структурироваться в соответствии с твердыми, проверенными и общими критериями.

В мире критически важных инфраструктур непрерывность предоставления коммунальных услуг имеет наивысший приоритет и должна поддерживаться, чтобы гарантировать отсутствие ущерба для людей, окружающей среды или технологических систем. Ущерб, который может привести к огромным потерям человеческих жизней и финансового капитала.

С этой точки зрения законодательство НИС внесло весомый вклад в определение критических целей, выявление рисков и позволило ознакомиться с реальными мерами киберзащиты, существующими в стране.

Выполнив первый шаг, важно теперь принять во внимание специфику промышленных систем управления, которые почти всегда представляют собой бьющееся сердце инфраструктуры, предоставляющей основные услуги. Подумайте о DCS (распределенной системе управления) на нефтехимическом заводе или в фармацевтической промышленности, SCADA (диспетчерском управлении и сборе данных) в распределительной сети электричества, газа или питьевой воды, BMS (системе управления зданием) для управления структура госпиталя. Что ж, все эти инфраструктуры необходимо своевременно защищать, чтобы обеспечить их функционирование, в соответствии с четкими, четко определенными и простыми в применении правилами с точки зрения технологий и процессов. И что они понятны и применимы в контексте, который не посвящен исключительно информационным технологиям (ИТ), но на который влияет образ действий тех, кто взаимодействует с киберфизическим миром и часто не имеет основательного опыта в ЭТО.

Безопасность и охрана

В словаре промышленных систем управления используется терминология, заимствованная из англо-саксонского языка, которая проводит различие между безопасностью и безопасностью.

В итальянском языке у нас нет этого различия, мы говорим о «безопасности» во всеобъемлющем смысле, но у англоязычного различия есть своя причина: «Безопасность» связана с безопасностью HSE, то есть здоровьем, безопасностью и окружающей средой. «(буквально: здоровье, безопасность и окружающая среда), в то время как «Безопасность» касается безопасности данных, которые в промышленном мире, однако, не относятся к личным данным, а скорее к данным, необходимым для поддержания активного и правильного функционирования процесса.

На некоторых заводах существуют системы, предназначенные для обеспечения безопасности, так называемые автоматизированные системы безопасности (SIS), задачей которых является крайняя линия защиты, прежде чем система сможет нанести катастрофический ущерб. Например, ПСБ — это системы, которые контролируют аварийное отключение до того, как в технологическом реакторе может произойти взрыв, при закрытии части станции, подверженной пожару, чтобы огонь не распространялся. системы, регулирующие движение в туннеле. Что ж, эти системы уже должны соответствовать точным уровням безопасности SIL (Safety Integrity Level), которые определены международными стандартами (среди прочих IEC 61511, IEC61508), а также взяты из национальных законов, которые устанавливают шкалы безопасности, которые необходимо соблюдать в зависимости от рисков. компенсировать убытки, которые могут быть вызваны их неисправностью.

Шкала безопасности идет от SIL1: минимальное значение до SIL4: максимальная безопасность системы.

Соответствие SIL — это практика, которая используется в течение некоторого времени и принята во всех промышленных секторах и критически важных инфраструктурах и позволяет четко и точно определить, как защитить людей, будь то работник, пользователь или гражданин, от ущерба, который может быть вызваны механизмами, понимаемыми в самом широком смысле.

Подобно методу классификации «безопасности» с простой для понимания и применимой шкалой, существует конкретный стандарт «де-факто» для защиты промышленных систем управления OT (Operational Technology) от кибератак: IEC62443, который в настоящее время принимает горизонтальное значение, которое допустимо в любом инфраструктурном контексте, где есть системы или сети, которые необходимо защитить от злонамеренных действий (безопасность).

Стандарт родился в Соединенных Штатах в начале 2000-х годов как ISA99 (Международное общество автоматизации), а затем был реализован на международном уровне как IEC62443 (Международная электротехническая комиссия). Одна из частей этого стандарта (модуль 3-3) определяет уровни кибербезопасности, которые должны быть реализованы в соответствии с рисками и угрозами, от которых необходимо защититься.

Каковы угрозы? Как их можно классифицировать и затем применять защитные меры?

В связи с этим существует несколько классификаций, но одной из наиболее эффективных является классификация ФБР, которая выделяет следующее:

Стандарт IEC62443-3-3 определяет уровни безопасности как уровни безопасности, которые должны быть реализованы в зависимости от параметров риска, связанных с перечисленными выше угрозами, на основе четырех основных факторов: мотивация, навыки, средства и ресурсы.

Применение уровня безопасности SL4 позволяет критически важной инфраструктуре иметь очень высокую защиту от атак кибервойны, инициированных APT (Advanced Persistent Threats), то есть организациями, обладающими обширными ресурсами, сложными средствами, глубокими знаниями в данной области. промышленных систем управления (ICS) и которые имеют сильную мотивацию.

Как и зачем оценивать уровень безопасности SL?

SL представляет собой объективный параметр, не подверженный отклонениям, которые могут быть унаследованы от личного опыта, убедительности поставщика технологии или из предыдущей истории компании. Стандарт IEC62443 определяет 7 параметров (функциональные требования), по которым оценивается уровень безопасности: контроль аутентификации идентификации, контроль пользователя, целостность данных, конфиденциальность данных, ограниченный поток данных, своевременная реакция на события, доступность системы.

Каждый FR имеет дополнительные средства контроля, которые необходимо соблюдать, в зависимости от степени безопасности, которую необходимо получить. Чтобы оценить SL, существуют специальные контрольные списки для систем и сетей с более чем 100 пунктами для проверки.

В чем преимущество внедрения «стандартного» подхода к защите инфраструктуры страны? Такой подход дает возможность четко определить минимальный уровень безопасности, исходя из риска, который кибератака может оказать на саму инфраструктуру.

Со стороны оператора предлагается классификационная модель, которая уже вошла в его образ действий в отношении физической безопасности с уровнями SIL, определенными ранее. И в качестве дополнительного преимущества операторам предоставляется возможность определить путь безопасности, который может быть разработан поэтапно для достижения четкого целевого уровня безопасности в разумные сроки.

Подход к внедрению киберзащиты в соответствии с IEC62443 с уровнем безопасности получает все большее распространение на международном уровне. На самом деле сегодня многие проекты, особенно за рубежом, требуют соответствия уровням SL2 или SL3, где инфраструктуры считаются критически важными, а последствия вредоносных атак могут иметь последствия для населения или окружающей среды.

В связи с этим достаточно вспомнить, как в 2015 году после кибератаки BlackEnergy на киевскую электросеть, вызвавшей отключение электричества в центре города, криминалистические анализы показали, что внедрение 2-го уровня безопасности в системе управления электросети помешало бы эксплойту быть успешным.

выводы

В заключение я считаю, что пришло время уделить особое внимание не только защите конфиденциальности личных данных или сохранению бизнес-данных, но и защите критических инфраструктур с точки зрения непрерывности работы и рисков HSE, применение стандарта, посвященного киберзащите промышленных систем управления в широком смысле, такого как IEC61443.

Важно, чтобы внимание уделялось предоставлению операторам основных служб определенных руководств по внедрению однородных мер защиты системы управления. Должны требоваться минимальные уровни кибербезопасности, например, для защиты безопасности критически важных инфраструктур, как это уже имеет место для безопасности. Защита инфраструктур страны и систем промышленного контроля должна быть установлена ​​с определенными стандартами и объективными и измеримыми уровнями безопасности, иначе мы рискуем оказаться в темноте или без воды, но с личными данными наших счетов, хорошо охраняемыми и сохранились.

Умберто Каттанео (сертифицированный специалист IEC62443, PMP)

Ссылки:

КРАТКОЕ РУКОВОДСТВО: ОБЗОР СТАНДАРТОВ ISA / IEC 62443, ISA GLOBAL CYBERSECURITY ALLIANCE,

https://gca.isa.org/blog/download-the-new-guide-to-the-isa/iec-62443-cyb...

СЕРИЯ СТАНДАРТОВ 62443: ПРОМЫШЛЕННАЯ АВТОМАТИЗАЦИЯ И БЕЗОПАСНОСТЬ УПРАВЛЕНИЯ, КОМИТЕТ ISA99

Черная энергия: https://attack.mitre.org/software/S0089/ https://www.cisa.gov/uscert/ics/alerts/ICS-ALERT-14-281-01B