IIoT säkerhet

Joseph da Silva, Chief Information Security Office på Electrocomponents ger sina synpunkter på hur man ser till att implementeringen av IIoT sker så säkert som möjligt.

Cybersäkerhet har varit ett ämne som har medfört åratals sömnlösa nätter för IT-chefer. Med introduktionen av Industriell IoT har den potentiella risken ökat i takt med att ett snabbt växlande antal enheter ansluts till företagsnätverk.

Medan IIoT erbjuder många spännande möjligheter för företag, från förutseende och proaktivt underhåll hela vägen till potentiella nya inkomstflöden, är det viktigt att betrakta eventuella implementeringar av IIoT som en del av ett system, och inte bara inom ramen för den övergripande IIoT-lösningen.

IIoT-implementeringar bildar en del av ett bredare system inom din verksamhet, oavsett om det är medvetet eller inte, och det är viktigt att överväga hur en IIoT-implementering skulle kunna expandera hela organisationens övergripande angreppsyta. En osäker IIoT-lösning kan ge oinbjudna gäster en bakdörr in till hela anläggningens driftsystemet eller verksamhetens IT-system. Den samma kan göra dig gällande för system som hanterar logistik-, lagerstyrnings- eller ekonomiprocesser.

Vad kan du då göra för att skydda dig? Är det dags att sätta på en foliehatt och återgå till ångans tidevarv? Självklart inte. Säkerhet är ett riskbaserat spel och första steget mot att dämpa risken är att ha kunskap om den. Säkerhet ska inte betraktas som ”någon annans problem”, ska inte bara överlämnas till IT-teamet och värst av allt: den ska inte överlämnas till externa leverantörer.

Kom ihåg: varje enhet är en potentiell ny intrångspunkt för en hackare. Du behöver inte vara expert, men du måste ställa rätt frågor och vidta rätt åtgärder. Några av dessa beskrivs nedan:

1. Byt standardlösenord. De flesta IIoT-enheter, och förvisso den största delen av IT-programvaran, levereras med standardlösenord. Byt dem omedelbart till något starkt och unikt (använd absolut inte samma lösenord överallt …). Undvik all utrustning med hårdkodade lösenord. Om de är hårdkodade är de redan välkända av alla hackare därute.
   
   
2. Separata nätverk. Anslut inte IIoT-enheter i företagsnätverket eller i samma nätverk som används för OT-utrustning. Det är verkligen att be om problem. En enda enhet ska inte ha åtkomst till flera nätverk heller, eftersom den då kan användas som en ”brygga”.
   
   
3. Stäng av onödiga funktioner. Ser du TV:n på väggen i konferensrummet? Jag slår vad om att det är en smart TV. Jag slår vad om att ingen har stängt av Bluetooth-funktionen. Eller mikrofonen. Eller den webbserver som den driver. Onödiga funktioner kan användas som ”inkörsport”, både till enheten och till det bredare nätverk som den är ansluten till. Stäng av saker via en programmeringsfunktion eller avaktivera dem manuellt. En tång eller flytande epoxi är enkla hjälpmedel för att avaktivera exempelvis ett USB-uttag.
   
   
4. Håll dig uppdaterad. Sårbarheter i programvara är mycket vanliga, men det som är ännu vanligare är att kända sårbarhetsfixar inte används direkt. Se till att fast programvara och annan programvara uppdateras regelbundet och ha en process för att göra detta, i synnerhet om det inbegriper att planera in stilleståndstid. Du har inte möjlighet att ta ned en monteringslinje som används dygnet runt, men du bör kunna godta stilleståndstid för sensorer som sköter tillståndsövervakning.
   
   
5. Testa, testa, testa. Anlita en specialisttestare gällande penetration med expertis inom industriell verksamhet och driftsteknik – vilket inte alla har. Det här är ett specialistområde som kräver specialkunskaper om PLC- och SCADA-utrustning och du vill att en vänskapligt sinnad person ska utföra tester innan en fientligt inställd person gör det. Det viktigaste är att följa testarens rekommendationer – du kanske inte kan åtgärda allt, men fatta riskbaserade beslut om vad du ska åtgärda, vad som går att mildra på ett annat sätt och vad du accepterar.
   
   
6. Var tydlig med vem som ska göra vad; även om du köper en så kallad ”körklar” lösning är det aldrig så enkelt som det låter, i synnerhet om tjänsteleverantören själv förlitar sig på ett antal tredje parter. Ha kunskap om vart dina data tar vägen, vem som har tillgång till dem och hur de skyddas. ”De finns i StoraMolnleverantörens datacenter, de är skyddade” är inte ett tillräckligt bra svar.
   
   
7. Slutligen och viktigast: ha en plan för vad som ska göras när något går snett. Kör några scenarier och testa dem regelbundet via en simulering eller en övning. Om en säkerhetsincident skulle inträffa måste det stå helt klart vem som gör vad och när. Om detta dokumenteras tydligt och är lättillgängligt, inklusive mallstyrda kommunikationsredogörelser, sparar du en mängd tid och adrenalin.

Joseph da Silva, Chief Information Security Office på Electrocomponents PLC

Joseph är en ansedd ledare inom informationssäkerhet med omfattande IT- och verksamhetserfarenhet inom flera sektorer. Han driver Electrocomponents agenda gällande informationssäkerhet för att hjälpa både organisationen och dess kunder att förstå och ta itu med risker och samtidigt möjliggöra verksamhetstillväxt. Han har CCISO-, CISM- och BCS-certifiering, såväl som examensbevis i biokemi och utför för närvarande forskning för sin doktorandexamen.