Tri težave, ki ogrožajo varnost industrijskih nadzornih sistemov

Zaposleni v industrijskih in energetskih podjetjih in tudi v transportnih in logističnih družbah imajo različna mnenja glede negativnih vplivov spletnih napadov na njihova industrijska omrežja, kaže raziskava družbe Kaspersky Lab ‘State of Industrial Cybersecurity 2018’. A ko pride do težav, ki vplivajo na zaščito njihovih omrežji, so tri glavne skrbi, ki pestijo vsa podjetja: pomanjkanje zaposlenih, nezadostno vlaganje s strani vodstva in človeški faktor. Ker se skoraj 40 % računalnikov industrijskih nadzornih sistemov vsakih šest mesecev sooča z napadi, lahko zgornje vrzeli v spletni varnosti kritične infrastrukture pomembno povečajo tveganja za organizacije.

V različnih industrijah organizacije različno ocenjujejo morebitno škodo, ki bi jo njihovo poslovanje utrpelo zaradi spletnih groženj. Za transportna in logistična podjetja, katerih poslovanje je storitvene narave, je največja negativna posledica izguba zaupanja strank (75 %). Za večino proizvodnih podjetji (66 %) in energetskih družb (73 %) je največja skrb, da bi spletni napad ogrozil kakovost proizvodnje.

Raziskava družbe Kaspersky Lab kaže, da ne glede na pogostost in negativen vpliv kibernetskih napadov na omrežje industrijskih nadzornih sistemov ima samo 52 % podjetji pripravljen načrt ukrepanja v primeru varnostnega incidenta. V primeru incidentov, ki vplivajo na korporativno informacijsko tehnologijo, je zaščita korporativnih omrežji na višji ravni, saj ima za to tveganje večina organizacij (77 %) predvidene ukrepe. Razlogov za to je kar nekaj.

Premalo zaposlenih in pomanjkanje znanja

V 40 % proizvodnih podjetji so za zaščito industrijskih nadzornih sistemov odgovorni zaposlenih na oddelku varovanja korporativne informacijske tehnologije. V transportnih in logističnih družbah pa več kot polovica (58 %) vprašanih potrjuje, da je zaščita industrijskih nadzornih sistemov v rokah posebne ekipe, ki svoj delovni čas nameni v celoti boju proti grožnjam. Industrijske organizacije potrebujejo specializirane in usposobljene zaposlene. Na primer, v energetskem sektorju, kjer se nacionalna kritična infrastruktura upravlja s pomočjo informacijskih nadzornih sistemov, je glavni izziv pri upravljanju varnosti (61 %) prav zaposlovanje delavcev z ustreznim znanjem.

Pomanjkanje vključenosti vodstva se odraža v premajhnem investiranju v varnost

V številnih družbah je varnost industrijske tehnologije prednostna naloga za vodstvo. A v več kot polovici (54 %) proizvodnih podjetji je vodstvo malo, če sploh, vključeno v težave pri zaščiti industrijskih nadzornih sistemov. To ima za posledico prenizko financiranje. Dve tretjini (66 %) podjetji namreč nima namenskega proračuna za zagotavljanje varnosti kritične infrastrukture. Ta situacija se ne spremeniti niti v primeru tveganja za incident. V 17 % proizvodnih organizacij takšna tveganja namreč ne vidijo kot zadosten razlog, da bi investirali v varnost industrijskih nadzornih sistemov.

Človeški dejavnik je pri varnosti industrijskih nadzornih sistemov večen problem

Posledice napak zaposlenih predstavljajo kritično grožnjo polovici vseh industrijskih organizacij iz različnih sektorjev (49 %). To ni presenečenje, saj je človeški dejavnik takoj za zlonamerno programsko opremo in izsiljevalskimi virusi najpogostejši razlog za varnostne incidente na industrijskih nadzornih sistemih. Podjetja se na srečo zavedajo tega problema in ga poskušajo rešiti z usposabljanjem osebja in uvajanjem pravil vedenja na objektih kritične infrastrukture. 82 % organizacij že izvaja usposabljanja za zaposlene, pogodbene delavce in dobavitelje.

Edini način za preprečitev ali zmanjšanje učinka napada je vzpostavitev močnih varnostnih ukrepov in postopkov za zaščito omrežij industrijskih nadzornih sistemov. Nadzor in pravočasni odzivi na incidente v industrijskih omrežjih bi morali postali ključna prioriteta varnosti industrijske tehnologije. To velja seveda v povezavi z izobraževanjem in usposabljanjem zaposlenih o tem, kako minimalizirati tveganja pri delu.

»Spletne grožnje se neprestano razvijajo in usmerjeni napadi izkoriščajo šibkosti zaposlenih. Incidenti, ki jih povzročijo nenamerna dejanja zaposlenih, lahko vodijo do uhajanja podatkov in do napak oz. popoldne zaustavitve proizvodnega procesa. Posledično bi lahko imela podjetja velike finančne izgube in utrpele upad ugleda,« je povedal Georgy Shebuldaev, vodja poslovnega razvoja industrijske spletne varnosti pri družbi Kaspersky Lab.

Na povezavi https://ics.kaspersky.com/ izveste, kako lahko družba Kaspersky Lab pomaga pri zaščiti omrežji industrijskih nadzornih sistemov.