Hyökkäykset tuotantoverkkoihin lisääntyvät – miten huomioit tämän suunnittelussa?
Erityyppisten suomalaisten tuotantolaitosten tietoverkkoihin kohdistuvat hyökkäykset ovat lisääntyneet viime vuosina, eivätkä hyökkäykset ainakaan ole muuttumassa harvinaisemmiksi.
Hyökkäyksiä ei tehdä pelkästään IT-verkkoihin vaan enenevässä määrin myös yritysten tuotantoverkkoihin (OT). Hyökkäysten lisääntyessä teollisuuslaitosten onkin syytä kysyä, ovatko niiden valmiudet hallita tuotantoon liittyviä tietoturvariskejä riittävällä tasolla.
Tuotantoverkot ovat alun perin olleet fyysisesti eristettyinä, mutta nykyään tuotantoverkkoon tarvitaan joustavampi pääsy, tai verkon dataa halutaan hyödyntää joustavasti, tarvittaessa jopa reaaliaikaisesti. Vaikka tuotantoverkko olisi eristettynä muusta infrastruktuurista palomuurilla, se altistuu verkosta tuleville hyökkäyksille joko suoraan tai välillisesti muun IT-infrastruktuurin kautta.
Haasteina turvallisen tuotantoverkon suunnittelu ja tietoturvan ylläpito
Haasteena tämän päivän maailmassa on, kuinka suunnitella tuotantoverkko siten, ettei tietoturva ole vain päälle liimattu teknologia tai toiminnallisuus. Tietoturvan pitäisi lähteä jo suunnitteluvaiheessa siitä, että tarvittavat laitteistot ja liikennevirrat huomioidaan ja suojataan lähtökohtaisesti verkon toimintojen pohjalta. Ymmärrys automaatiojärjestelmän toiminnasta, tehtävästä ja osallisuudesta toiminnan turvallisuuden ja luotettavuuden ylläpitämisessä tulisi olla selkeä tietoturvaa suunniteltaessa. Tällaiseen kokonaisvaltaiseen toimintaan ei asiakkaiden eikä monen laitetoimittajankaan asiantuntemus riitä. Kokonaisvaltainen suunnittelu ei koske vain uusia investointihankkeita, vaan se voidaan toteuttaa uusilla teknologioilla myös olemassa oleville tuotantolaitoksille.
Toiseksi haasteeksi nousee laitteistojen ja ohjelmistojen tietoturvan ylläpito kaikkine siihen liittyvine prosesseineen, työkaluineen ja vaadittavine tietotaitoineen. IT-verkon ylläpito yleensä osataan, mutta vastaavat työkalut ja toimintatavat tuotantoverkon osalta ovat vielä määrittelemättä. Tuotantoverkkoon on voitu lisätä laitteita yksitellen erilaisten tarpeiden takia ja mahdollistettu etäyhteydet niihin. Ovatko kaikki tuotantoverkkoon kytketyt laitteet tiedossa ja kokonaisuus hallinnassa? Ymmärretäänkö laitteiden vaikutus toiminnan jatkuvuuteen ja turvallisuuteen? Onko tuotantoverkkoa ja IT-verkkoa ylläpitävä henkilöstö kartalla toistensa tekemisistä? Tämä nousee esille varsinkin silloin, kun toinen osa-alue on ulkoistettu palveluntarjoajalle. Jos tieto ei kulje, on kokonaisuus IT- ja OT-verkot mukaan lukien vain niin vahva kuin sen heikoin lenkki.
Miksi tuotantoverkon suojaus on tärkeää ja miten se eroaa IT-verkon suojauksesta?
Tuotantoverkon ja sen järjestelmien toimivuus on ratkaisevaa liiketoiminnan jatkuvuudelle. Tuotantoverkon laitteet ovat usein jo vuosia sitten elinkaarensa lopun ohittaneita laitteita, joihin ei enää tehdä päivityksiä. Joissakin tapauksissa jopa laitetoimittajien tuki on loppunut. Ohjainlaitteissa ajetaan vanhoja käyttöjärjestelmiä tai versioita, joita IT-verkoissa ei ole nähty enää vuosiin. Lisäksi tuotantoverkon laitteilta edellytetään hyvin pientä viivettä, eli ohjaussignaalien reaaliaikaisuus on tuotannon ohjaukselle kriittinen tekijä. Isoksi kysymykseksi nouseekin, kuinka jatkaa näiden tuotannolle kriittisten ja jo vanhentuneiden laitteiden käyttöä ja kuinka pitää tietoturvan taso riittävänä. Tuotantoverkon haavoittuvuus kun voi johtaa paljon vakavampiin seurauksiin kuin vain verkon ohjainlaitteiden vaarantumiseen tai tuotannon menetyksiin. Pahimmillaan hyökkääjä voi tuhota tuotannon laitteita, pysäyttää tuotantoprosessin tai vaarantaa koko tuotantoympäristön ja ihmisten fyysisen turvallisuuden.
Tuotantoverkon suojaaminen vaatii ohjeistuksia, teknologiaa ja osaavan henkilöstön
Kaikki käytettävät teknologiat, teollisuusautomaatio, verkon laitteet ja tietoturva pitää suunnitella ja toteuttaa yhteneväisen ohjeistuksen mukaan. Ohjeistuksen luominen vaatii tietoa tuotannon laitteista, automaatiojärjestelmästä ja toiminnallisesta turvallisuudesta, ymmärrystä teollisuuden digitalisaation toteutuksesta, arkkitehtuurista ja tulevaisuuden tarpeista sekä kokemusta tuotantoverkon tietoturvan toteuttamisesta erilaisiin ympäristöihin.
Tuotantoverkon suojaus vaatii aina omaa siihen tarkoitukseen kehitettyä teknologiaa, mutta käytettävät teknologiat ovat vain osa ratkaisua. Teknologioiden lisäksi tietoturvan ylläpitämiseksi pitää tuntea ajantasaiset uhkakuvat, määritellä prosessit ja roolit sekä huolehtia henkilöstön osaamisesta. Tehtäviä pitää myös harjoitella, jotta osaaminen säilyy ja jotta löydetään mahdollisia aukkoja sekä suojauksesta että omista tekemisistä. Kuka vastaa mistäkin ja millaisiin tuotannon katkoihin ajoitetaan päivityksiä? Kuinka toimitaan, jos tuotantoverkkoon hyökätään, ja miten aloitetaan toimenpiteet tilanteen korjaamiseksi? Kuinka asiasta tiedotetaan sisäisesti ja julkisuuteen? Kaikki nämä asiat pitää käydä läpi, jotta voidaan ennalta varmistaa vahinkojen minimointi. Mikään suojaus ei kuitenkaan ole sataprosenttinen, vaan pahimpaan pitää aina varautua.
AFRYltä kattavat tietoturvapalvelut teollisuudelle
AFRY suunnittelee ja valvoo teollisuuden automaatiolaitteiden ja tuotantoverkkojen toteutusta ja auttaa kyberturvallisuuteen liittyvissä asioissa. AFRYn palvelut kattavat kokonaisvaltaisesti teollisuuden digitalisaatioon liittyvät ratkaisut, IT/OT/ET-dataan liittyvien järjestelmien integraatiot ja niiden dataa hyödyntävät sovellukset sekä tietoturvan eri osa-alueet. Onko haasteenasi yksi sovellus vai kokonainen tuotantoympäristö? Tarvitsetko tietoturvan auditointia tai tietoa suojausteknologioista? Autamme turvallisen tuotantoverkon suunnittelussa ja konkreettisessa toteutuksessa, aina asiakkaan toimiympäristöön sovitettuna.
Laaja kokemus, tarvittavien osa-alueiden syvä tuntemus ja teknologiakumppanuudet luovat perustan AFRYn tietoturvapalveluille, jotka opastavat tuotantoverkkojen turvaamisessa, tuotantoon liittyvissä teknologioissa, liiketoiminnan tarpeissa ja käytettävissä suojausteknologioissa.
Kirjoitus on julkaistu alun perin Tekniikka & Taloudessa kaupallisena blogina.
