Afkodning af NCSC's nye vejledning til cloud-hostet SCADA
Indholdsfortegnelse:
Operational Technology (OT) systemer overvåger og kontrollerer automatisk processer og udstyr, der kører alt fra kraftværker til smarte hospitaler. Fejl eller funktionsfejl i OT udgør fysiske farer fraværende fra IT-systemer. Sikkerhed, pålidelighed og tilgængelighed er prioriteret i førstnævnte.
Det er derfor nyt National Cyber Security Center (NCSC) vejledning er blevet bredt hilst velkommen. Det er designet til at hjælpe OT-organisationer med at bestemme egnetheden af forskellige cloud-platforme til at hoste deres tilsynskontrol- og dataindsamlingssystemer (SCADA).
Hvorfor SCADA-sikkerhed betyder noget
Sikkerhedsbrud i OT-systemer som SCADA kan resultere i systemets utilgængelighed og eksponering af følsomme data. Hacks på industrianlæg har resulteret i strømafbrydelser i Ukraine, handicappede sikkerhedssystemer på en petrokemisk anlægog frigivet urenset spildevand ind i parker og floder. Ingen af disse angreb var afhængige af hacking i skybaserede kontroller. Men ved at migrere disse systemer til skyen kan organisationer uforvarende give deres modstandere en anden vej til at gå på kompromis.
Alligevel er skymigrering i stigende grad, hvad OT-organisationer gør. Cloud-baserede SCADA-kontroller tilbyder flere fordele, herunder skalerbarhed for at imødekomme skiftende behov, centraliseret godkendelse for forbedret sikkerhed, DDoS-beskyttelse mod mindre sofistikerede lammelsesangreb og lavere forudgående omkostninger.
En foreløbig velkomst
Det er her, NCSC's vejledning kommer ind i billedet. Den lægger vægt på en risikoorienteret tilgang, der anerkender forskellige organisationers unikke sikkerhedsbehov og gamle begrænsninger. Rådene skitserer muligheder lige fra en simpel standby-/gendannelsesopsætning til at forbinde eksisterende applikationer til nye systemer, der kører i skyen, til fuld udskiftning af de eksisterende applikationer med skybaserede alternativer. På den måde giver det et overblik på højt niveau over, hvad der skal gøres for at bruge en cloud- eller SaaS-løsning sikkert.
Uafhængige sikkerhedseksperter udspurgt af ISMS.online roste vejledningen for at tilbyde en nyttig køreplan, mens de argumenterede for, at yderligere detaljer om specifikke sikkerhedsforanstaltninger kunne styrke rammerne.
"At udvide med bedste praksis for sikkerhedsarkitektur ville være gavnligt," siger APIContext CEO, Mayur Upadhyaya, til ISMS.online. "Dette kunne omfatte vejledning om netværkssegmenteringsstrategier skræddersyet til SCADA-systemer sammen med robuste identitets- og adgangsstyringsprotokoller (IAM) specielt designet til disse kritiske kontrolmiljøer."
Upadhyaya tilføjer: "Derudover kunne en mere detaljeret analyse af det cybertrussellandskab, der er specifikt for skybaseret SCADA, forfine risikovurderinger og informere afbødningsstrategier."
Operationelle risici
Flytning af SCADA-baserede applikationer ind i skyen lover at gøre infrastrukturen nemmere at administrere, samtidig med at overhead for interne it-teams reduceres. Men dette skal overvejes sammen med sikkerheds- og operationelle styringsrisici. Disse omfatter øget risiko fra databrud, uautoriseret adgang, udnyttelse af sårbarheder og denial-of-service-angreb, ifølge GuidePoint Securitys chef for OT-sikkerhed, Pat Gillespie.
"Skyløsninger vil tilføje latency, når de får adgang til applikationer, databaser og tjenester," siger han til ISMS.online. Dette er et stort problem, fordi SCADA-kontroller og industrielle applikationer er afhængige af realtidsdata.
Med sikkerhed og tilgængelighed som højeste prioritet for ethvert SCADA-system, vil uplanlagte udfald i cloud-løsningen, den lokale internetudbyder eller en hvilken som helst internetudbyder imellem få disse sikkerhedssystemer til at svigte.
Nogle risici kan i det mindste afbødes eller styres, ifølge Gillespie.
"Der er tilfælde, hvor SCADA-data i skyen kan hjælpe virksomheder med at træffe bedre beslutninger ved at få SCADA-kontroller, IIoT-enheder eller industrielle applikationer til at skubbe data til skyen til dataanalyse," forklarer han. "I tilfælde af høj latenstid eller udfald skal SCADA-kontrollerne imidlertid være i stand til at udføre deres processer og funktioner for at sikre sikkerhed og tilgængelighed."
Andre muligheder inkluderer AWS Outpost, hvor organisationer kan være vært for en AWS-instans på en lokal facilitet, tilføjer Gillespie.
En sikker migrationssti
"Organisationer skal være forsigtige, selvom de ikke kun flytter deres nuværende problemer på stedet til skyen. De er nødt til at trække vejret og sikre, at de omfavner den nye driftsmodel fuldt ud,” fortæller Qualys EMEA MD, Mat Middleton-Leal til ISMS.online.
En række udfordringer, der er iboende i de skybaserede migreringer af OT-kontroller, kan også udløse det uforsigtige, tilføjer Chris Doman, CTO Security CTO.
"For det første adskiller cloud-ekspertise sig fra SCADA-ekspertise, så en samlet tilgang er nødvendig," siger han til ISMS.online. "For det andet kan ældre SCADA-systemer muligvis ikke integreres problemfrit med cloud-native løsninger. Endelig kan det være vanskeligt at implementere detaljerede adgangskontroller i ældre miljøer."
For eksempel køres traditionelle SCADA-systemer typisk på stedet og beskyttes ved hjælp af teknikker som interne firewalls og luftgab. Når disse systemer flytter til skyen, skal de implementeres med fulde cloud-native sikkerhedsmodeller på plads fra starten.
"Dette kan være problematisk, når disse applikationer og systemer har kørt i miljøer, der ikke kræver de samme sikkerhedsmodeller, som er på plads omkring cloud-implementeringer," forklarer Qualys' Middleton-Leal.
Flytning af kritisk infrastruktur til skyen kræver også omhyggelig planlægning på grund af den delte ansvarsmodel mellem cloududbydere og kunder. Mens cloud-udbyderen sikrer infrastrukturen, er kunderne ansvarlige for datasikkerhed og konfiguration.
Sikring af kritisk infrastruktur i skyen kræver en flerstrenget tilgang, ifølge Cado Securitys Doman.
Samarbejde mellem cloud-udbydere, offentlige myndigheder og kritiske infrastrukturoperatører, investering i cloud-ekspertise inden for kritiske infrastrukturorganisationer og modernisering af ældre SCADA-systemer for at forbedre integrationen med cloud-løsninger er alle påkrævet, hævder han.
Overholdelse af standarder
ISO-standarder som ISO 27001 (Information Security Management) og IEC 62443 (Security for Industrial Automation and Control Systems) giver værdifulde rammer for styring af OT-risici i skyen, ifølge APIContexts Upadhyaya.
"Disse standarder tilbyder strukturerede tilgange til sikkerhed, der skitserer retningslinjer for etablering og vedligeholdelse af et robust sikkerhedsstyringssystem," forklarer Upadhyaya.
"Dette inkluderer risikovurdering og afbødningsstrategier, der specifikt kan tilpasses til både cloud- og OT-miljøer. Organisationer bør dog huske, at ISO-standarder tilbyder tilpasningsdygtige rammer, ikke en løsning, der passer til alle."
Organisationers succes med at migrere deres SCADA-løsninger sikkert til skyen kan meget vel afhænge af deres evne til at tilpasse sådanne retningslinjer til deres unikke krav.
