Кибербезопасность OT на стадии проектирования

Если вы, дождавшись завершения строительства, начнете думать, где разместить камеры видеонаблюдения и системы герметизации для хранения биологически опасных веществ, вам придется ломать уже готовые стены и таким образом потратить значительно больше средств. Привлечение специалистов по безопасности на самых ранних этапах гарантирует, что врачи (электрические системы) смогут действовать быстро и спасать жизни (поддерживать энергоснабжение), не сталкиваясь с препятствиями в виде мер безопасности.

Усиленная забота о кибербезопасности во многом обусловлена ужесточением глобального регулирования на законодательном уровне. Директива NIS2 устанавливает новые стандарты для критической инфраструктуры в Европе, а Швейцария ввела особые нормативные требования для энергетического сектора с целью обеспечить долгосрочную устойчивость электроснабжения. Аналогичным образом в Соединенных Штатах соблюдение стандартов NIST становится обязательным для изготовителей продукции и установок. Для инженерных компаний это уже не абстрактные правила, а жесткие требования со стороны заказчика, которые необходимо выполнять ради получения тендеров и обеспечения успеха проектов.

Ключевым моментом нормативного регулирования является необходимость сглаживания различий между разными подходами к обеспечению безопасности в мире Интернета вещей/IT и специализированной области электротехники. Подобное несоответствие нередко является причиной технических конфликтов.

Если выполнить шифрование сетей, традиционно рекомендуемое стандартами кибербезопасности, например IEC 62443, в сетях реального времени энергообъектов, это может привести к увеличению периода ожидания и потенциальной задержке срабатывания быстродействующих реле защиты, предотвращающих повреждение оборудования или обесточения. Вот почему некоторые меры безопасности, широко применяемые в IT, нельзя напрямую реализовать в сфере OT. С целью достижения необходимого уровня кибербезопасности следует внедрить соответствующие компенсационные меры, позволяющие снизить риск до желаемого уровня. Данные факторы необходимо принимать во внимание на самой ранней стадии проектирования, чтобы минимизировать трудозатраты и расходы.

Основной механизм воплощения концепции защиты на ранней стадии проектирования в конкретные действия заключается в комплексной оценке рисков безопасности. Оценка рисков – это не просто формальность, а стратегический план, позволяющий определить, какое оборудование является критически важным и какой уровень защиты ему необходим (и реально достижим).

Например, в ходе расширения подстанции в Великобритании оценка рисков выявила, что старые устройства не поддерживают шифрование, рекомендованное стандартом IEC 62443. Вместо того чтобы ставить под угрозу проект и останавливать его, инженеры задокументировали риски и внедрили компенсирующие меры контроля, такие как строгие правила доступа и специализированный мониторинг. В результате была создана система, которая учитывает и нейтрализует цифровые угрозы, оставаясь в то же время функциональной и безопасной. Задокументировав все «за» и «против», инженеры предложили путь, который позволил согласовать идеальные стандарты безопасности с суровыми реалиями эксплуатации.

Поскольку отрасль уверенно движется в сторону глобальной стандартизации и обязательного соблюдения таких стандартов, как ISO 27019, создание устойчивой энергосистемы перестало быть задачей, выполняемой в одиночку. Наиболее успешными считаются так называемые «командные» проекты, работа над которыми предполагает тесное сотрудничество между клиентами, инженерами и специалистами по кибербезопасности. Забота о безопасности на самых ранних стадиях разработки, прозрачность документации рисков и особый, разработанный для OT мониторинг – вот почему энергетическую отрасль ждет будущее, в котором поставки останутся надежными, а цифровая сеть сохранит устойчивость к постоянно видоизменяющимся угрозам.