Cyberbezpieczeństwo przemysłowe: Teraz z większą liczbą stref i mniejszą paniką??? #vCISO

Ostatnio miałem okazję pracować w projektach infrastruktury krytyczne i tworzyć architektury, gdzie systemy OT spotykają się z IT i wszystkimi współczesnymi zagrożeniami. Świat OT czy IIoT to pytania z cyklu dlaczego ten sterownik PLC rozmawia z ekspresem do kawy ☕🤖 albo dlaczego nikt nie pyta o hasło?

Jedna rzecz, która ciągle wraca jak bumerang w różnych konfiguracjach to seria standardów i rekomendacji ISA/IEC 62443.

Ale jak to wytłumaczyć komuś, kto nie żyje światem OT? To może tak z przymrużeniem oka:

„To trochę jak zabezpieczanie fabryki przez budowanie cyfrowych fos, przypisywanie kart dostępu każdemu śrubokrętowi i upewnianie się, że Twój PLC nie wysyła potajemnie SMS-ów do obcych.”

Ten zestaw polityk i rekomendacji do budowania programów bezpieczeństwa dla Przemysłowych Systemów Automatyki i Sterowania (IACS), ale bądźmy szczerzy – momentami przypomina to raczej labirynt skrótów, schematów i dziwnych na pierwszy rzut oka wymagań, które brzmią bardziej jak starożytne proroctwa niż praktyczne wskazówki.

Mimo to… to działa.

Pomaga zapanować nad chaos w bardzo wymagających środowiskach, które nie lubią zmian, aktualizacji czy nie tak popularnageo w IT „restartu” jako panaceum na wszystko. ISA/IEC 62443 wprowadza porządek w środowiska, gdzie entropia rośnie do nieskończoności i sprawia, że nie tylko gasimy pożary, ale faktycznie budujemy odporność w systemach, które po prostu nie mogą zawieść.

Praktyka pokazuję,  że podział na strefy, definiowanie kanałów komunikacyjnych i skupienie się na kontrolach opartych na ryzyku potrafi całkowicie odmienić sytuację – nie tylko z punktu widzenia zgodności, ale i zdrowia psychicznego osób zaangażowanych w utrzymanie ruchu czy działań operacyjnych

Autor: vCISO Integrale IT