Multă vreme, în companiile industriale, securitatea cibernetică a fost considerată parte a IT-ului de birou. Firewall, antivirus, parole, copii de rezervă — iar sistemul de producție sau cel energetic funcționa separat, după propria logică tehnică.

Odată cu convergența IT/OT, această linie de demarcație a dispărut. PLC-urile, invertoarele, automatizarea clădirilor, SCADA, gateway-urile și conexiunile de service la distanță pot face astăzi parte din același spațiu de risc digital. Consecințele rămân însă fizice: producție oprită, reglaj eronat, întreruperea alimentării cu energie sau servicii indisponibile.

De aceea, NIS2 ridică gestionarea riscului cibernetic la nivelul conducerii și al organizației. IEC 62443, la rândul său, oferă o abordare de securitate industrială și un sistem de cerințe cu ajutorul cărora mediul OT poate fi pus în ordine și din punct de vedere tehnic.

NIS2 nu este o listă de cumpărături tehnologice

Directiva NIS2 a Uniunii Europene a creat un cadru de securitate cibernetică mai unitar pentru 18 sectoare critice. Întreprinderile mijlocii și mari care intră sub incidența sa trebuie să instituie măsuri adecvate de gestionare a riscurilor și procese de raportare a incidentelor. Directiva subliniază explicit și responsabilitatea conducerii de vârf.

Este o schimbare importantă: securitatea cibernetică nu poate fi delegată nelimitat unui administrator de sistem sau unui furnizor extern. Conducerea trebuie să înțeleagă și să gestioneze dependențele digitale care pun în pericol funcționarea esențială.

NIS2 nu spune ce firewall de la ce producător trebuie cumpărat. Ea cere o funcționare bazată pe risc, care include, printre altele:

  • gestionarea incidentelor;
  • continuitatea activității și recuperarea;
  • securitatea lanțului de aprovizionare;
  • gestionarea vulnerabilităților;
  • controlul accesului;
  • criptografia și securitatea comunicațiilor;
  • conștientizarea în materie de securitate;
  • evaluarea eficacității măsurilor.

Dacă o anumită organizație intră efectiv sub incidența directivei și ce cerințe naționale i se aplică (în Ungaria, NIS2 este transpusă prin Legea XXIII din 2023) trebuie stabilit individual, în funcție de sector, dimensiune, serviciu și dreptul național aplicabil. Gestionarea riscurilor tehnice rămâne totuși în interesul afacerii, chiar dacă, în final, compania nu intră sub incidența obligațiilor.

De ce este riscul OT diferit?

Sistemele OT au cicluri de viață lungi. Nu sunt rare echipamentele vechi de zece-douăzeci de ani, sistemele de operare care nu mai sunt suportate sau controlerele greu de actualizat fără oprirea producției.

În plus, în OT:

  • disponibilitatea și siguranța fizică au prioritate;
  • modificările trebuie testate din cauza riscului tehnologic;
  • multe dispozitive nu au fost proiectate de la început pentru un mediu de rețea ostil;
  • accesul de la distanță al producătorului sau al firmei de mentenanță este frecvent;
  • inventarul echipamentelor este adesea incomplet;
  • responsabilitatea este împărțită între IT, automatizare, exploatare și furnizori.

De aceea, simpla copiere a unei politici clasice de securitate IT nu este suficientă.

Rolul IEC 62443

Seria de standarde ISA/IEC 62443 tratează securitatea cibernetică a sistemelor industriale de automatizare și control pe întregul ciclu de viață. Nu are în vedere doar operatorul: definește cerințe și roluri și pentru producătorul de echipamente, integratorul de sisteme și proprietarul activelor (asset owner).

Unul dintre elementele-cheie ale abordării este definirea unor zone bazate pe risc și a unor legături de comunicație controlate (conduits) între acestea.

Într-o zonă pot fi incluse dispozitive cu riscuri și cerințe de securitate similare. Fluxul de date între zone poate avea loc doar pe trasee și protocoale definite și conform unor reguli stabilite.

Acest mod de gândire este mult mai precis decât „avem un firewall spre internet”. Atacul sau defecțiunea poate porni și din interior: printr-o conexiune de mentenanță la distanță, de pe laptopul unui furnizor sau dintr-un sistem IT compromis.

Prima sarcină incomodă: inventarul echipamentelor și al conexiunilor de date

Nu poți proteja ceea ce nu știi că există.

Primul pas real în securitatea OT nu este, de regulă, instalarea unui produs nou, ci cartografierea mediului real:

  • ce PLC-uri, HMI-uri, contoare, invertoare și gateway-uri funcționează;
  • cu ce versiune de firmware și software;
  • în ce rețea sunt accesibile;
  • cu cine și prin ce protocol comunică;
  • cine le poate accesa local și de la distanță;
  • ce proces de afaceri sau fizic depinde de ele;
  • ce se întâmplă în cazul căderii sau compromiterii lor.

Inventarul nu trebuie să rămână un tabel Excel static. Merită ca și modificările, responsabilitățile, evenimentele și documentele să fie legate într-un sistem trasabil.

Accesul de la distanță, un punct slab tipic

Sistemele industriale au adesea nevoie de asistență din partea producătorului sau a integratorului. Problema nu este accesul de la distanță în sine, ci accesul necontrolat, permanent și direct.

O soluție solidă din punctul de vedere al securității trebuie să stabilească:

  • cine poate iniția conexiunea;
  • dacă este necesară autentificarea multifactor;
  • ce sistem concret poate fi accesat;
  • în ce interval de timp;
  • dacă este necesară aprobarea locală sau a conducerii;
  • dacă sesiunea poate fi înregistrată;
  • cum poate fi revocată permisiunea;
  • ce se întâmplă la încetarea contractului cu furnizorul.

O soluție de tipul „AnyDesk e instalat pe calculator, dacă e nevoie” este comodă, dar nu reprezintă o arhitectură de securitate.

Lanțul de aprovizionare face parte din OT

Într-un sistem industrial, securitatea nu este determinată doar de propria echipă. Producătorul hardware, furnizorul de firmware, integratorul, operatorul de telecomunicații și platforma cloud pot face parte, deopotrivă, din lanțul de risc.

De aceea, în specificația tehnică și în contracte ar trebui să apară, de exemplu:

  • perioada de suport și de actualizare;
  • modul de raportare a vulnerabilităților;
  • cerințele privind accesul și jurnalizarea;
  • informațiile despre componente și versiuni;
  • cooperarea în timpul unui incident;
  • returnarea datelor și a configurațiilor.

Aici se întâlnește perspectiva NIS2 asupra lanțului de aprovizionare cu abordarea IEC 62443 bazată pe ciclul de viață și pe roluri.

Securitate reală în locul simplei conformități

Bifarea unei liste de audit nu oprește, în sine, un atac. Adevăratul obiectiv este ca organizația să își cunoască procesele critice, să reducă suprafața de atac, să detecteze anomaliile, să limiteze propagarea și să poată restabili funcționarea în mod demonstrabil.

În acest context, OrigSmart nu trebuie privită doar ca o platformă de afișare a datelor. Gestionarea comună a dispozitivelor de teren, gateway-urilor, conexiunilor de rețea, identităților, evenimentelor și proceselor executabile ajută la transformarea cerințelor de securitate în funcționare tehnică.

În proiectele gestionate de OrigSmart, securitatea trebuie proiectată ca parte a arhitecturii: conexiuni segmentate, privilegiul minim necesar, evenimente jurnalizate, acces de la distanță controlat, funcționare locală de rezervă (fallback) și acțiuni trasabile.

NIS2 arată că riscul cibernetic trebuie tratat cu seriozitate la nivelul organizației. IEC 62443 ajută la traducerea acestei cerințe în realitatea tehnică a sistemelor OT.

Să discutăm despre proiectul dumneavoastră

Surse

Notă: articolul are caracter informativ general și nu constituie consultanță juridică sau de conformitate.