Uma lista de verificação de segurança ICS

Na cibersegurança tradicional, uma violação pode expor, corromper ou mesmo manter os sistemas de dados corporativos cativos .

Embora uma violação de dados tradicional possa custar dinheiro e debilitar os sistemas de TI da empresa, um ataque cibernético aos sistemas de controle industrial pode afetar dados e operações de missão crítica. Dado que os sistemas de controle industrial controlam tudo, desde usinas nucleares a refinarias, redes de energia, fábricas e equipamentos pesados, a segurança do ICS é vital.

Embora os sistemas de TI sejam hardware em software em ambientes empresariais tradicionais, os sistemas de controle industrial - às vezes conhecidos como tecnologia operacional (OT) - compõem dispositivos, sistemas e redes para operar e / ou automatizar processos industriais.

Aqui, oferecemos um conjunto de princípios de segurança ICS para ajudar os profissionais da indústria a reduzir o risco de segurança cibernética.

1 Entenda seus ativos

A maioria das organizações industriais não está pronta para técnicas avançadas de segurança cibernética. Eles devem começar com o básico. “A maioria das organizações não sabe que tecnologia implantou”, disse Bill Malik, vice-presidente de estratégias de infraestrutura da Trend Micro.

Parte do desafio é o fato de que os ativos de tecnologia operacional geralmente diferem dos ativos de TI, disse Jason Haward-Grau, diretor de segurança da informação da PAS. Um servidor em um data center, por exemplo, é um ativo de TI. Mas um sistema em uma sala de servidores em uma fábrica é um “recurso que leva você a um ativo”, acrescentou. “Ele executará um sistema de controle para sistemas PLCs [controladores lógicos programáveis], SCADA [controle de supervisão e aquisição de dados] ou DCS [sistema de controle distribuído].”

Portanto, a contagem de servidores, endereços IP ou switches de rede não captura a imagem completa. “Há uma tonelada de sistemas [industriais] que não estão em uma rede formal”, disse Haward-Grau. Outro desafio é o envelhecimento do equipamento. “Ainda há tecnologia das décadas de 1960 e 1970 no centro de muitas fábricas”, acrescentou.

Na empresa, realizar uma avaliação de vulnerabilidade ou estabelecer um inventário de ativos é geralmente simples, as mesmas ações no mundo de OT e ICS geralmente não são. Fazer uma verificação de inventário “no ambiente de OT pode derrubar um dispositivo ou um ambiente inteiro”, disse Sean Peasley, parceiro de consultoria financeira e risco da Deloitte, líder em segurança de IoT. Os fornecedores de segurança ICS especializados podem fazer um inventário de dispositivos passivamente, disse ele.

2. Procure por ajuda no Frameworks

Proteger a infraestrutura industrial pode ser desafiador, mas há um conjunto crescente de padrões que podem ajudar. Ter uma estrutura comum que inclui segurança cibernética pode preencher a lacuna entre TI e OT e promover “uma mentalidade holística” em uma organização industrial, disse Peasley.

Há uma sobreposição considerável entre a maioria dos padrões ICS, disse Haward-Grau. “Comece com uma estrutura. Eu não me importo qual ", ele aconselhou.

Padrões e estruturas relevantes incluem o seguinte:

• Princípios estratégicos do DHS para proteger a Internet das coisas
• ISA / IEC 62443
• ISO / IEC 27001
• Estrutura MITER ATT e CK para sistemas de controle industrial
• NERC CIP
• Estrutura de Segurança Cibernética NIST, Guia NIST para Segurança de Sistemas de Controle Industrial (ICS) e Recomendações NIST para Fabricantes de Dispositivos IoT
• Padrões UL 2900

3. Tenha um plano de recuperação de desastres cibernéticos

Embora os documentos padrão de cibersegurança geralmente sejam densos, no final do dia, uma estrutura deve permitir que a equipe discuta a segurança cibernética em um inglês simples e fornecer a eles um plano de como responder a cenários de pesadelo cibernético. “[Com] frameworks, estamos falando sobre,‘ Como faço para identificar e proteger as coisas? Como vou detectar, responder e, mais importante, me recuperar de [ataques cibernéticos]? '”, Disse Haward-Grau.

4. Invista em ciberseguro

Porque os ataques cibernéticos geralmente causam o seguro cibernético é inestimável. A compra de seguro, entretanto, não é simples. Equipamentos industriais legados são comuns, então faz mais sentido garantir processos industriais em vez de tecnologia específica, de acordo com Haward-Grau. “Se eu tiver algo que não posso consertar, a ciber-seguradora vai procurar controles de compensação”, disse ele. Mesmo com um programa de segurança cibernética robusto em vigor, pode haver outras exclusões na apólice de seguro a serem observadas.

5. Adote o ‘Menor Privilégio’

Na segurança cibernética, o conceito de “privilégio mínimo” aconselha que uma organização limite os controles de acesso entre os sistemas de TI e os usuários, sem incluir as atividades principais.

Os firewalls são uma estratégia tradicional baseada em TI para atingir esse objetivo, mas também são vitais na segurança de OT. “Considere como o malware pode se espalhar por uma instalação de produção e configure firewalls”, disse Malik. Para evitar possíveis interferências, coloque os processos permitidos na lista branca.

Há mais “privilégios mínimos” do que firewalls, disse David Goldstein, CEO da AssetLink Global. Por exemplo, Goldstein recomendou “limitar o tráfego em direções que não são necessárias para o aplicativo. Se você estiver apenas monitorando, desative a capacidade de controle e assim por diante. ”

O acesso remoto é outra preocupação. “Use IDs exclusivos para tarefas de manutenção”, disse Malik. “Ao acessar a tecnologia em redes IP em um ambiente industrial, exige autenticação única para cada usuário.”

O uso de um PC genérico em um ambiente ICS também é um risco. “Bloqueie-o. Desabilite instalações, remova compiladores e desabilite qualquer processo desconhecido ou desnecessário ”, disse Malik.

6. Considere um programa de recompensa por bug

Os programas de recompensa por bugs - em que uma recompensa é dada aos desenvolvedores que identificam vulnerabilidades do sistema - ganharam popularidade nos últimos anos, inclusive em contextos industriais. “Os programas de recompensa por insetos são uma marca registrada dos vendedores de IoT e IoT industrial com visão de futuro”, disse Malik.

“Toda a jornada da digitalização mudará a forma como as fábricas operam”, disse Haward-Grau. “Se você começar a introduzir dispositivos IIoT e 5G, precisará de recompensas por bugs.”

Mas isso não significa que faz sentido priorizar a recompensa por bugs em todos os casos. Uma organização com equipamentos e estações de trabalho com décadas de idade executando sistemas operacionais sem correção ou desatualizados provavelmente consideraria os resultados de um programa de recompensa de bugs opressores.

7. Gerenciar risco de terceiros

Os programas de gerenciamento de risco de terceiros são de importância crescente no reino de OT, disse Peasley. Mas o gerenciamento de riscos em uma cadeia de suprimentos estendida é muitas vezes desafiador, enfatizou. “Para grandes empresas, pode haver milhares de terceiros, quartos e quintos diferentes que devem ser considerados”, disse ele. “Seja um fornecedor que incorpora algo em um subcomponente ou ... um produto de software, todos eles precisam ser considerados ”, acrescentou Peasley.

8. Inspire-se nos programas de segurança

Muitas organizações industriais têm programas de segurança em vigor há décadas. Agora que as ameaças à segurança cibernética podem causar ameaças relacionadas à segurança, “precisamos ter uma mentalidade semelhante em relação à segurança”, disse Peasley.

A ideia ganhou terreno. O Instituto Americano de Engenheiros Químicos, por exemplo, recomenda a integração de considerações de segurança cibernética na análise de risco de processo tradicional, que tradicionalmente se concentra no risco de erro humano, falha de equipamento e similares em instalações de engenharia química.

Uma estratégia para proteger as instalações industriais de desastres em potencial é o uso de sistemas instrumentados de segurança. Mas tais sistemas podem ser vulneráveis ​​a compromissos, disse Malik. E adaptar a funcionalidade de segurança em sistemas instrumentados de segurança existentes não é aconselhável, de acordo com Malik. “Você estaria construindo infraestrutura em cima de uma plataforma que nunca foi projetada para ser cibersegura”, disse ele.

Embora Haward-Grau reconhecesse que os sistemas com instrumentos de segurança são imperfeitos, ele enfatizou que eles são uma defesa vital. “À medida que começamos a expandir as operações e conectamos mais coisas, a necessidade de sistemas instrumentados de segurança mais eficazes não vai desaparecer em nenhum momento. Eles vão se tornar mais importantes. ”