|
Hackerangrepp handlar inte bara om att få åtkomst till data
”Hackerangrepp handlar inte bara om att få åtkomst till data. Om en hackare kan hota med att stänga ner produktionen i en verksamhet så kan det bli mycket dyrare, och därmed kan de kräva långt större belopp”, förklarar Joseph da Silva, säkerhetschef hos RS Components.
”När alla produktionsanläggningar i industrin är uppkopplade mot nätet är lösningarna lika sårbara som vilken dator som helst. De kan hackas, övertas eller stoppas av personer med fientliga avsikter.”
Varningen kommer från Joseph da Silva, som jobbar som säkerhetschef på RS Components. Men han vill inte sprida teknikfruktan.
7 goda råd: Så säkrar du dina IIoT-enheter
Joseph da Silva, som jobbar som säkerhetschef på RS Components, presenterar här sju råd om hur du säkrar dina IIoT-enheter.
1. Byt ut standardlösenord
De flesta industriella IoT (IIoT)-enheter har ett standardlösenord. Det ska ändras med detsamma. Undvik till varje pris utrustning där lösenordet är förprogrammerat i hårdvaran, eftersom dessa lösenord redan är kända hos alla hackare.
2. Separata nätverk
Undvik att koppla upp industriella IoT-enheter mot företagsnätverket eller till samma nätverk som den utrustning som styr produktionen. Det är också viktigt att en IIoT-enhet inte har tillgång till flera nätverk, eftersom den då kan användas som en brygga mellan de olika nätverken.
3. Avlägsna överflödiga funktioner
Den stora smart-TV:n som hänger på väggen i styrelserummet har garanterat både Bluetooth, en mikrofon och en USB-sticka som ingen använder. Den har säkert även en webbläsare så att den kan användas online. Koppla ifrån allt som ändå inte används.
4. Uppdatera styrsystem och mjukvara
Det är vanligt att det finns svagheter i mjukvara. Men även om många leverantörer rutinmässigt tillhandahåller uppdateringar som ska avlägsna sårbarheterna, så är det vanligt att dessa inte installeras. Se till att uppdatera IIoT-enheter, och se till att ha fasta rutiner som försäkrar att uppdateringarna blir installerade.
5. Testa, testa, testa
Låt en säkerhetsexpert med erfarenhet av industriell IoT utföra ett penetrationstest. Detta är ett specialistområde som kräver kunskap om PLC- och SCADA-system. Även om du inte kan följa alla deras råd så bör du göra en riskbaserad värdering av vad som är viktigt att åtgärda – för personer med fientliga avsikter är inställda på att prova sig fram.
6. Vem gör vad?
Även om du har köpt en heltäckande lösning är det ändå viktigt att veta vilka underliggande delar som ingår. Om dina data ligger i en molnlösning är det en god ide att ta reda på vilket företag som står för lösningen, och hur den är säkrad.
7. När det går snett: ha en plan på plats
Sist men inte minst: se till att ha en nödplan. Gå igenom möjliga scenarion och testa om er nödplan verkligen kommer fungera. Om ni drabbas av hackare ska det vara fullständigt klart vem som gör vad. Om ni har en väldokumenterad plan tillgänglig, inklusive planer för vad som ska kommuniceras, så besparar det er en massa tid och adrenalin.
Han vill istället att medvetenheten om säkerhet hos industriella IoT-lösningar (IIoT) ska ligga på samma nivå som för allt annat inom IT.
Den industriella IoT-verksamheten har inte fått samma uppmärksamhet som när Internet gjorde sitt intåg. Men den är lika omfattande.
”Allt som rör sig i en industrilösning blir förr eller senare slitet. Därför kan det också löna sig att övervaka utrustningen. Genom att mäta exempelvis mängden mängden av vibrationen eller genomströmningen kan man förutsäga när de olika delarna ska bytas ut. Därmed kan man minimera kostnaderna vid ett dyrt produktionsstopp”, förklarar Joseph da Silva.
Utmaningen består i att all utrustning som är uppkopplad mot Internet också kan hackas. Och konsekvenserna kan bli mer dramatiska än vanligt.
IoT-hackning mer lönsamt än ransomware
År 2018 fylldes medierna av historier om ransomware, där virusdrabbade datorer krypterades, och där hackarna krävde en hög ”lösensumma” för att låsa upp dem igen. Joseph da Silva fruktar att denna trend kommer drabba industriverksamheter.
”Hackerangrepp handlar inte bara om att få åtkomst till data. Om en hackare kan hota med att stänga ner produktionen i en verksamhet så kan det bli mycket dyrare, och därmed kan de kräva långt större belopp”, förklarar Joseph da Silva.
Han poängterar också att det kan vara svårare att upprätta en nödplan när det gäller IIoT-hackning.
”Det är förhållandevis överkomligt att säkra backup av data i ens verksamhet så att man snabbt kan återetablera datorer och arbetsplatser. Det är mycket svårare, för att inte säga omöjligt, för exempelvis en livsmedelsverksamhet att ha backup för alla produktionsfaciliteter.”
Energisektorn ett uppenbart mål
”Energi- och transportsektorerna är uppenbara mål eftersom konsekvenserna för hela samhället snabbt blir mycket stora när strömmen försvinner, eller när ingen kan åka tåg”, säger Joseph da Silva.
Att detta inte bara är en teoretisk möjlighet blev klart när hackare lyckades stänga ner en transformatorstation i Ukraina, så att en femtedel av Kievs strömförsörjning försvann.
Vid andra tillfällen används oskyldiga IIoT-enheter endast som en genväg till att få åtkomst till ett företags nätverk. Säkerhetsföretaget Darktrace berättade i sin rapport för 2017 om ett amerikanskt försäkringsbolag vars nätverk användes som utgångspunkt för hackare som ville utnyttja datorkraft för att skörda bitcoins.
Hackning är underrapporterat
Joseph da Silva bedömer att IIoT-hackning är underrapporterat i media. ”De nya GDPR-reglerna ålägger verksamheterna att offentliggöra om användarnas data kan ha hamnat i händerna på hackare. Denna öppenhet finns inte på samma sätt när det gäller IIoT-hackning.”
”Därför kommer det mycket sällan till allmänhetens kännedom att en verksamhet är drabbad. De är inte ålagda att berätta något, och de har inget intresse av att vara öppna med det, tvärtom”, understryker Joseph da Silva.
Han understryker att verksamheter inte ska låta sig skrämmas iväg från de många fördelar som finns med användning av IoT-enheter.
”Vi har istället sammanställt sju goda råd som är en bra checklista. Om man börjar här är man på god väg att säkra sig mot hackare. Det handlar egentligen bara om att få samma förståelse för vikten av IT-säkerhet som man har inom all annan IT”, säger Joseph da Silva.
Vill du veta mer?
Prata med RS Components som inte bara levererar IIoT-utrustning, men som även har bred erfarenhet av rådgivning om implementering av IIoT-lösningar och därigenom bidrar med ytterligare perspektiv och rådgivning när det gäller funderingar kring säkerhet.
Kontakta Sales Director Scandinavia Claus Pedersen på claus.pedersen@rs-components.com för mer information.
Du hittar mer information om IoT-lösningar från RS Components här.
