Industrija 4.0 – kibernetski parni stroj
mag. Matevž Mesojednik, specialist za informacijsko varnost, SIQ Ljubljana
Industrijo četrte generacije zaradi njenih prepoznavnih sinergijskih učinkov radi povezujemo s četrto industrijsko revolucijo. Če sta prvo zaznamovala izum parnega stroja in posledična mehanizacija (do tedaj) ročne proizvodnje, je za zadnjo značilen preplet prej nezdružljivih okolij: fizičnega in kibernetskega sveta, operativnih (OT) in informacijskih (IT) sistemov ter industrijskih in poslovnih procesov.
T. i. kiberfizični sistemi (angl. Cyber-Physical Systems) Industrije 4.0 plemenitijo ustaljene in pogosto toge industrijske procese s številnimi novostmi. Izboljšave se odražajo predvsem v smereh:
- avtomatizacije proizvodnih procesov ter celovite podpore odločanju,
- večje prožnosti pri ustvarjanju ponudbe in povpraševanja,
- usmerjenega prilagajanja izdelkov kupcem ter
- učinkovite izmenjave informacij med vsemi deležniki dobavne verige (proizvajalci, dobavitelji, kupci).
Novi pristopi dvigajo kakovost, spodbujajo konkurenčnost ter povečujejo dodano vrednost industrijskih proizvodov. Posredno pa dajejo več izbire, zadovoljstva ter zaupanja nam, kupcem in končnim uporabnikom izdelkov. Zaupanje pa je potrebno upravičiti in ga vsaj v enaki meri tudi ohraniti.
Številnim pozitivnim učinkom digitalne preobrazbe industrijskih panog nasprotuje vse večja pojavnost usmerjenih kibernetskih napadov. Ti vse pogosteje ciljajo na industrijska okolja in organizacije s kritično infrastrukturo. Takšni napadi so zlasti posledica večje izpostavljenosti industrijskih obratov, ki v podporo digitalizaciji odpirajo in povezujejo še do nedavnega privzeto zaprte sisteme. Sodobne, t. i. »pametne tovarne« (angl. Smart Factories) že v svoji zasnovi zagotavljajo potrebno informacijsko podporo poslovnim procesom.
Uveljavljena je uporaba koncepta industrijskih, spletno povezanih naprav IIOT (angl. Industrial Internet of Things) v obliki integriranih senzorjev in aktuatorjev, ki omogočajo spremljanje in nadzor proizvodnih obratov ter njihovo optimalno uravnavanje. Operativnim (OT) in informacijskim (IT) okoljem skupna podatkovna odlagališča, oblačne storitve in odprti programski vmesniki (API) omogočajo shranjevanje ter neprekinjeno analitiko ogromnih količin podatkov (angl. Big Data). Ti so uporabnikom kadarkoli na voljo v želeni obliki in v podporo hitremu odločanju.
Strnemo lahko, da površino kibernetskih tveganj Industrije 4.0 v največji meri oblikuje prav eksponentna rast spletno povezanih deležnikov. Ti postanejo v konvergenčnih okoljih IT-OT tudi lažje dostopni. Upoštevaje še druge, praviloma konzervativne zakonitosti okolij OT, kot so daljši življenjski cikli obratovanja sistemov, podhranjenost varnostnih zmogljivosti strojnih in programskih komponent ter zahtevnost obvladovanja dobavne verige (angl. Supply Chain), lahko prav področju kibernetske varnosti pripišemo temeljno vlogo v nadaljnjem razmahu Industrije četrte generacije.
Industrijska okolja, naj na tem mestu izpostavimo kritično infrastrukturo, ki zagotavlja bistvene dobrine in storitve na nacionalni ravni (V Sloveniji to področje ureja Zakon o informacijski varnosti.), predstavljajo izjemno zanimivo tarčo za motivirane napadalce. Ne pozabimo tudi na orodja, ki jih hekerji uporabljajo za ohromitev ali druge oblike kibernetskih napadov. Ta orodja (p)ostajajo široko dostopna in se tudi nenehno izpopolnjujejo.
Industrija 4.0 obvladovanju kibernetskih groženj pripisuje visok pomen. Poudarjen je pristop »Security in Depth«, ki predvideva varno zasnovo vseh omenjenih komponent, njihovo redno utrjevanje in neodvisno varnostno preskušanje skozi njihov celotni življenjski cikel. Spodbudna je raziskava, ki jo je v letu 2019 na globalni ravni opravila neodvisna institucija SANS na reprezentativnem vzorcu anketiranih ICS/IT/SCADA strokovnjakov. V raziskavi je ugotovljeno, da je v letu 2019 kar 69 % organizacij izvedlo neodvisni varnostni pregled sistema ICS/SCADA oz. preverilo varnostno skladnost po vsaj enem od uveljavljenih industrijskih standardov (IEC 62443, NIST 800-82, CIS Critical Security Controls). Statistiko, za katero menimo, da na nacionalni ravni ni vodena oz. širši javnosti znana, bi bilo zanimivo videti, saj ocenjujemo, da je ta delež v Sloveniji izrazito manjši.
SIQ Ljubljana s svojim kompetenčnim centrom znanja s področja kibernetske varnosti in največjo lastno ekipo izkušenih strokovnjakov v regiji izvaja celovit nabor varnostnih pregledov. Izvajamo standardne varnostne preglede (zunanji in notranji varnostni pregled, avtomatiziran pregled ranljivosti) in specializirane preglede glede na potrebe naročnika (kot so varnostni pregled industrijskih okolij in sistemov SCADA, revizijski in tehnični pregled skladnosti spletno povezljivih naprav, sistemov in procesov po standardu IEC 62443, pregled skladnosti s PCI DSS – ASV in QSA, varnostni pregled aplikacij, pregled mobilnih naprav, pregled igralniških sistemov, pregled izvorne kode, socialni inženiring, revizijski pregled informacijskega sistema ter sistemov ISO/IEC 27001, ISO/IEC 20000 in ISO 22301).