IT sikkerhed

Joseph da Silva, Chief Information Security Officer hos Electrocomponents PLC, giver sit syn på, hvordan du sikrer, at dine IIoT-enheder er så sikre som muligt.

Cyber-sikkerhed har været et område, der har givet IT-chefer søvnløse nætter i årevis, men fremkomsten af The Industrial Internet of Things (IIoT) har forøget den potentielle risiko, da et stigende antal enheder er forbundet til virksomhedsnetværk.

Mens IIoT byder på mange spændende muligheder for virksomheder, lige fra forebyggende og proaktiv vedligeholdelse til potentielle nye indtjeningsmuligheder, er det vigtigt at se IIoT-implementeringer som en del af et system, og ikke kun i forbindelse med den overordnede IIoT-løsning.

IIoT implementeringer udgør en del af et bredere system i din virksomhed, hvad enten det er tilsigtet eller ej, og det er vigtigt at overveje, hvordan en IIoT-implementering kan udvide den samlede angrebsflade i hele organisationen. En usikker IIoT-løsning kan give adgang til dit operationelle teknologimiljø eller dit bredere IT-miljø, eller den kan give adgang til dine logistikprocesser, dine lagerstyringsprocesser eller dine økonomiske processer.

Hvad kan du så gøre for at beskytte dig selv? Skal du tage en sølvpapirshat på og gå tilbage til dampproduktionen? Selvfølgelig ikke. Sikkerhed er et risikobaseret spil, og det første skridt til at mindske risikoen er at forstå det. Sikkerheden bør ikke betragtes som "en andens problem", den bør absolut ikke blot overlades til dine IT-medarbejdere, og i den grad slet ikke overlades til eksterne leverandører.

Husk: Alle enheder er et potentielt nyt adgangspunkt for en hacker. Du behøver ikke at være ekspert, men du skal stille de rigtige spørgsmål og foretage de rigtige forholdsregler. Nogle af disse er beskrevet nedenfor:

1. Skift adgangskoder. De fleste IIoT-enheder og det meste IT-software leveres med standardadgangskoder. Få dem ændret med det samme til noget stærkt og unikt (du må under ingen omstændigheder bruge den samme adgangskode til alt…). Undgå udstyr med hardcoded adgangskoder. Hvis en adgangskode er hardcoded, kender alle hackere det.

2. Separate netværk. Placer ikke IIoT-enheder i virksomhedens netværk eller på samme netværk, som du bruger til dit OT-udstyr. Så får du helt sikkert problemer. En enkelt enhed bør heller ikke være i stand til at få adgang til flere netværk, da den så kan bruges som "bro".

3. Deaktiver unødvendige funktioner. Kan du se det TV, der er placeret på væggen i mødelokalet? Det er sikkert et Smart TV. Bluetooth-funktionen er sandsynligvis ikke slået fra. Sikkert heller ikke mikrofonen. Eller den webserver, som den driver. Unødvendige funktioner kan bruges som en "vej ind", både til enheden og til netværket, det er koblet på. Sluk for tingene programmeringsmæssigt, eller deaktiver dem fysisk. En tang eller flydende epoxy er enkle metoder til permanent deaktivering af f.eks. et USB-stik.

4. Opdater. Software-sårbarheder er meget almindelige, men de mest almindelige er kendte rettelser til disse sårbarheder, der ikke installeres med det samme. Sørg for, at firmware og software opdateres regelmæssigt, og at du har en proces på plads til at gøre dette, især hvis det indebærer planlægning af nedetid. Du kan ikke tage et samlebånd, der kører døgnet rundt, ud af drift, men du bør kunne håndtere nedetid for overvågningssensorer.

5. Test, test, test. Hyr en indtrængningsspecialist, der er ekspert i industrielt udstyr og driftsteknologi – det er ikke alle, som er det. Dette er et specialiseret område, som kræver specialviden om PLC'er og SCADA-udstyr, og du har brug for en venligtsindet til at teste det, før en ondsindet gør det. Vigtigst af alt skal du følge deres anbefalinger – du kan muligvis ikke løse alt, men træf risikobaserede beslutninger om det, du ønsker at løse, hvad du afhjælper på anden vis, og hvad du kan acceptere.

6. Vær klar over, hvem der gør hvad.Selvom du køber en tilsyneladende "nøglefærdig" løsning, er det aldrig helt så enkelt, især hvis tjenesteudbyderen selv er afhængig af en række tredjeparter. Få indblik i, hvor dine data ender, hvem der har adgang til dem, og hvordan de beskyttes. "De er i skyudbyderens datacenter, de er helt sikret" er ikke et godt nok svar.

7. Og vigtigst af alt: Hav en plan, hvis det går galt. Kør nogle scenarier, og test dem regelmæssigt via en simulering eller en prøvekørsel. Hvis der opstår en sikkerhedshændelse, skal der ikke være tvivl om, hvem der gør hvad og hvornår, og ved at have dette tydeligt dokumenteret og let tilgængeligt, herunder forberedt kommunikation, vil det spare en masse tid og bekymringer.

Joseph da Silva, Chief Information Security Office hos Electrocomponents PLC

Joseph er leder inden for informationssikkerhed med omfattende IT- og erhvervserfaring i flere sektorer. Han er ansvarlig for Electrocomponents Information Security for at hjælpe både virksomheden og dens kunder med at forstå og håndtere risici og samtidig muliggøre virksomhedsvækst. Han er uddannet CCISO, CISM og BCS samt har en B-A. i biokemi og laver i øjeblikket forskning til sin PhD.