Gerenciando a segurança IIoT

Todos nós já ouvimos falar da Internet das Coisas (IoT) e da Internet das Coisas Industrial (IIoT). Sabemos que os dois são diferentes, porque a IoT é comumente usada para usos do consumidor e a IIoT é usada para fins industriais.

Mas como um grupo profissional como o Industrial Internet Consortium (IIC) realmente define a IIoT?

O grupo vê o IIoT como um sistema que conecta e integra ambientes de tecnologia operacional (OT), incluindo sistemas de controle industrial (ICS), com sistemas corporativos, processos de negócios e análises.

Esses sistemas IIoT diferem de ICS e OT porque estão amplamente conectados a outros sistemas e pessoas. E eles diferem dos sistemas de TI porque usam sensores e atuadores que interagem com o mundo físico, onde mudanças descontroladas podem levar a condições perigosas.

Os benefícios do IIoT são a capacidade dos sensores ou dispositivos conectados, como parte de um sistema de malha fechada, de coletar e analisar dados e, em seguida, fazer algo com base no que os dados revelam. A própria conectividade, no entanto, também aumenta o risco de ataque - e cada vez mais ciberataques - por aqueles que podem querer derrubar o sistema.

Um dos muitos projetos sob um programa do Departamento de Energia (DoE) para reduzir os incidentes cibernéticos está sendo conduzido pela Intel, visando a segurança aprimorada para a borda do sistema de energia.

Como os dispositivos de borda da grade se comunicam diretamente e por meio da nuvem, a pesquisa está desenvolvendo aprimoramentos de segurança para enfatizar a interoperabilidade e fornecer consciência situacional em tempo real.

Primeiro, isso precisa ser feito na forma de um gateway seguro para brownfield, ou dispositivos de sistema de energia legados, depois como uma atualização do FPGA (field programmable gate array) interno projetado como parte do greenfield ou dos dispositivos atuais.

O objetivo é reduzir a superfície de ataque cibernético de uma forma que não impeça o funcionamento normal das funções críticas de entrega de energia.

Sven Schrecker, arquiteto-chefe de soluções de segurança IoT da Intel e co-presidente do grupo de trabalho de segurança da IIC, disse que a segurança não deve ser a única consideração ao projetar e implantar dispositivos para sistemas IIoT, mas os desenvolvedores devem pensar mais amplamente sobre cinco fatores-chave gerais:

• segurança
• confiabilidade
• segurança
• privacidade
• resiliência

Embora os engenheiros de design possam ter que implementar elementos de segurança em um chip, software ou plataforma, eles podem não estar necessariamente cientes de como seu trabalho se encaixa nas políticas de segurança da empresa em geral. “A política de segurança deve ser criada pela equipe de TI e pela equipe de OT juntas, para que todos saibam qual dispositivo pode falar com o quê”, disse Schrecker.

Construindo uma cadeia de confiança
Um tema comum é estabelecer uma política de segurança e uma cadeia de confiança desde o início e, em seguida, garantir que seja mantida durante o projeto, desenvolvimento, produção e todo o ciclo de vida de um dispositivo. A confiança deve ser construída no dispositivo, na rede e em toda a cadeia de abastecimento.

Haydn Povey, membro do conselho da IoT Security Foundation e também CEO e fundador da Secure Thingz, disse que a segurança precisa ser tratada em quatro níveis:

• nível CxO
• arquiteto de segurança
• engenheiro de desenvolvimento
• gerente de operações

Os engenheiros de desenvolvimento ou projeto são os que precisam seguir a política de segurança da empresa. Eles também podem definir fatores como como identificar e verificar se um produto é deles e como fornecer atualizações de software e hardware com segurança e implementar isso em chips ou software.

A quarta parte da cadeia é onde os OEMs estão envolvidos na fabricação de produtos para redes IIoT ou na implantação desses produtos. Aqui, o gerente de produção ou operações precisa garantir que cada componente eletrônico tenha sua própria identidade exclusiva e possa ser autenticado com segurança em cada ponto da cadeia de suprimentos.

Ao discutir a falta de uma cadeia de confiança em hardware e software, Robert Martin, engenheiro principal sênior da MITER Corporation e membro do comitê de direção da CII, disse:“Os sistemas industriais conectados têm tantas tecnologias diferentes”.

Na verdade, ele advertiu:“Uma pequena mudança em um microprocessador pode ter um impacto não intencional no software executado nele. Se recompilarmos o software, executá-lo em um sistema operacional diferente, ele funcionará de forma diferente, mas ninguém será responsabilizado por falhas de software resultantes das mudanças. ”

Ele acrescentou:“Compare isso com o comércio de construção, onde você seria penalizado por fazer alterações que afetassem a segurança - há regulamentação, certificação. Mas simplesmente não temos o mesmo regime em tecnologias baseadas em software. ”

>> Continue para a página dois deste artigo em nosso site irmão, EE Times:“Guia do designer para segurança IIoT.”