NIS2 efterlevelse for OT kan virke skræmmende og uoverskueligt - men man kommer rigtigt langt med en helt lavpraktisk tilgang uden store projekter og analyser... IT og OT sikkerhed er reelt set det samme, så tag udgangspunkt i CIS anbefalingerne, lav en screening, og tag fat på de største GAP's først!!
Med dette udgangspunkt har jeg været involveret i mange sager, omkring OT-sikkerhed. Sager der typisk er udløst af den brændende platform NIS2 direktivet har skabt. ...og risikobilledet er som hovedregel det samme (i prioriteret rækkefølge):
- Forældede / legacy systemer eller udstyr
- Manglende netværkssegregering
- Manglende adgangsstyring til OT-systemer og enheder
- Manglende sikkerhedskopiering af konfigurationer
- Mangelfuld eller ingen logning
Målet med denne - og følgende artikler - er at afmystificere compliance arbejdet og pege på vej til løsninger der virker i praksis, og som giver værdi for driften i det daglige! I denne omgang ser vi på Forældede / legacy systemer eller udstyr og Manglende netværkssegregering. Hvad betyder det - og hvad bør man gøre?
Der er naturligvis ofte mange andre findings, men i stort set alle sager jeg har været involveret i - er #1 til #4 topscorerne som risikofaktorer, mens #5 er særligt vigtig af hensyn til NIS2.
Bemærk: dette er rene 'cyber' risikomomenter - og derfor er de uomtvisteligt omfattet af NIS2. Men NIS2 rækker bredere ud, da det dækker den generelle evne til at opretholde produktion, og have sikker viden om sårbarheder. Det betyder - i mine øjne - at også fysiske produktionsanlæg, deres resiliens og nøddrift, er omfattet af NIS2 direktivet - men det er der ikke generel enighed om i branchen.
Forældede / legacy systemer eller udstyr
Alle systemer og udstyr skal være fuldt supporterede med service og sikkerhedsopdateringer - og så skal de være fuldt opdateret!
Er dette ikke tilfældet, så er første opgave at få udskiftet de elementer som ikke er compliant - og hvis det er vanskeligt, så at isolere disse systemer / udstyr i lukkede netværkssegmenter, uden mulighed for direkte fjerntilgang, indtil det kan ske.
Jeg har set kritiske produktionslinier køre på udstyr, der forlængst er udgået af produktion, og hvor man måske kan skaffe brugte reservedele. Det kan være alt fra specialkodede styrings systemer (SCADA / SRO), til programmering af PLC / styringer som ikke længere er på markedet - og over til netværksudstyr, PLC, servere og andet som ikke længere understøttes af sikkerhedspatches.
Det er ikke bare en cyber risiko - men en overhængende produktionsrisiko. Hvad sker der når en gl. win 2003 server går ned - og ikke kan genskabes - og de systemer der kørte på den, netop ikke kan køre på nyere setup. Det skal fixes!
Måden at få styr på dette område er
- Opret og vedligehold oversigter over alt anvendt IT udstyr i OT installationen, og sikr at det er omfattet af service aftaler og kan patches
- Opret og vedligehold oversigter over alle anvendte systemer og software i OT installationen, og sikr at det er fuldt supporteret fra leverandøren, og løbende sikkerhedsopdateres
- Beskriv en kritikalitets skala (f.eks: meget kritisk, kritisk, ikke kritisk) - marker udstyr og systemer med en vurdering
- Gennemgå halvårligt oversigterne og sæt aktiviterter i gang for udskiftning af forældede systemer eller udstyr
- hvis der er lavet vurdering af kritikalitet, så skal det mest kritisk naturligvis prioriteres til udskiftning først!
Man kan naturligvis bruge meget tid på risikovurderinger ud fra processer og så videre - og på den måde få den helt rigige kritikalitetsvurdering - men min erfaring er, at driften som regel godt ved hvor skoen trykker! Og så er det langt mere effektivt at tage udgangspunkt i en kritikalitetsvurdering ud fra en mavefornemmelse som første skridt.
Alt det her kan håndteres i regneark, men et godt vedligeholdelses system vil være langt bedre, og supplerer med mange andre anvendelige funktioner.
Manglende netværkssegregering
OT-installationen SKAL køre på et netværk der er isoleret fra alle andre netværk i virksomheden, og fra internettet!
Er dette ikke tilfældet, så er det med at få fart i planlægning af segregering. Herunder bør det sikres at OT-netværket opdeles i segmeneter som indbyrdes også er isoleret, med individuel adgang til core-OT-nettet.
Det er helt sædvanligt at jeg møder installationer, hvor der kun er et fælles LAN, med tilhørende WiFi. Det kan vel være at dette er sikret som det skal være - men da brugertrafikken på 'kontor'-netværket vil betyde en stor dynamisk risko for introduktion af nye sårbarheder (internet trafik, mails, bærbare enheder mm.), så vil disse samtidig ramme det oftest langt mere statiske OT-net. Derfor skal disse net være fuldt adskilt!
En mulig tilgang til at få styr på dette kan være:
- Da OT-udstyr oftest er tungere at vedligeholde med IP adresser osv. er det ofte en god ide at bevare det eksisterende net som OT-net, og så opbygge et nyt kontor net, og flytte brugerudstyret (med DHCP support) og adminstrative systemer over på dette
- Adskillelsen bør omfatte enheder som switche og mindre dedikerede OT-routere (ved decentrale sites)
- Adskillelsen behøver ikke nødvendigvis at omfatte virtualiserede SCADA / SRO-servere, centralt firewall- eller sikkerhedsudstyr - sålænge disse adminstreres fra endnu et isoleret mangement-netværk - og der ikke er trafik mellem netværkene i øvrigt (udenom firewall)
- Opstil en række jump-hosts, så operatører via f.eks. RDP kan tilgå udstyr på OT-netværket efter behørig sikkerhedsgodkendelse
Dette er de helt grundlæggende foranstaltninger der skal tages. Når dette er på plads, så skal der sikres løbende test af sikkerheden på nettet, og detektering / håndtering af fremmed udstyr...
Virker det uoverskueligt?
..så husk: Det vigtigste er at have en plan, og tage et skridt ad gangen!
Når vi taler om IT og OT-sikkerhed, så er det absolut værste man kan gøre er - ingenting! Man KAN ikke løse alle problemer på én gang, så derfor må man prioritere og tage dem en ad gangen.
Mantraet er 'risiko baseret tilgang' - og det er også fint. Udfordringen er at det tager lang tid at få styr på sit risikobillede - og i den sidste ende er det alligvel de samme ting der skal gøres.
Ovenstående er en erfaringsbaseret liste over det almindeligste - og mest kritiske - risiko elementer i de IT- og OT-installationer jeg har set - så chancen er et jeres ligner! Og hvis I allerede har styr på ovenstående, så er det sådan set bare at arbejde videre med CIS anbefalingerne indtil alle er behandlet.
..stadig uoverskueligt?
Hvis I har brug for en status og oplæg til en plan, så tag fat i os i Apento - og hør om Cyber Risk Management - hvor vi kan udføre en Sikkerhedsscreening på jeres installation. Her gennemgår vi setup overordnet, interviewer om processer og setup, og udfærdigere en statusrapport med anbefalinger og prioritering er af tiltag. På den måde får I et hurtigt overblik, og professionel hjælp til en prioriterinr der giver mest effekt for pengene!
En Sikkerhedsscreening kan afhængig af kompleksitet og scope typisk gennemføres på 37-65 timer / 4-7 konsulentdage.
I kan også få hjælp indenfor de 5 hovedområder fra en af mine andre gode kolleger i Apento - i f.eks. Identity & Access Management.
Disclaimer: I denne artikel har jeg alene taget udgangspunkt i alt det som IT- og OT-ansvarlige kan gøre uden videre, og som helt sikkert er rigtige tiltag. Det som ikke er adresseret - er ledelseforankringen (lige bortset fra brugergodkendelser). En vigtig del af compliance arbejdet er naturligvis at ledelsen har fastlagt mål og politiker - som ideelt set er grundlaget for hvordan man skal sikre.
Det er jo på ingen måde forkert - men det tager tid at arbejde top-down - og min erfaring er som nævnt, at det man ender med at skulle gøre, rent teknisk / operativt, er det samme - så tag bare fat!
Comments